Mengumpulkan log Vectra Detect

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Vectra Detect ke Google Security Operations menggunakan agen Bindplane.

Vectra Detect adalah platform deteksi dan respons jaringan (NDR) yang menghasilkan pesan syslog berformat JSON dan CEF untuk deteksi host, peristiwa kampanye, peristiwa audit, dan peristiwa kesehatan. Parser mengekstrak kolom dari format SYSLOG, JSON, dan CEF, lalu memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan perangkat Vectra Detect
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke UI Vectra Detect

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/vectra_detect:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VECTRA_DETECT
      raw_log_field: body
  
  service:
    pipelines:
      logs/vectra_detect_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/vectra_detect
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang akan diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/vectra_detect:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VECTRA_DETECT
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi Vectra Detect untuk mengirim syslog

1. Login ke UI Vectra Detect.
2. Buka Setelan > Notifikasi.
3. Buka bagian Syslog.
4. Klik Edit untuk menambahkan atau mengedit konfigurasi syslog.
   • Destination: Masukkan alamat IP agen Bindplane.
   • Port: Masukkan nomor port agen Bindplane.
   • Protocol: Pilih UDP atau TCP berdasarkan konfigurasi Bindplane Anda.
   • Format: Pilih JSON.
   • Jenis Log: Pilih log yang ingin Anda kirim ke Google SecOps.
   • Centang kotak Sertakan Detail yang Ditingkatkan.
5. Opsional: Konfigurasi tombol tambahan di sisi kanan:
   • Sertakan Deteksi yang di-triase: Jika dinonaktifkan, pesan syslog tidak akan dikirim saat deteksi yang di-triase dibuat atau diperbarui.
   • Sertakan deteksi dalam kategori Info: Jika dinonaktifkan, pesan syslog tidak akan dikirim saat deteksi dalam kategori info dibuat atau diperbarui.
   • Sertakan penurunan skor host/akun: Jika dinonaktifkan, pesan syslog tidak akan dikirim saat skor ancaman dan kepastian menurun atau tetap sama.
6. Klik Simpan.
7. Klik Uji untuk menguji konfigurasi.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
action	read_only_udm.security_result.action	Nilai diambil dari kolom "action" jika [result] adalah "true" atau "failure" di Peristiwa Audit.
category	read_only_udm.security_result.category_details	Nilai diambil dari kolom "category".
certainty	read_only_udm.security_result.confidence	Jika [certainty] berada di antara 0 dan 35, tetapkan ke "LOW_CONFIDENCE". Jika [kepastian] antara 35 dan 70, tetapkan ke "MEDIUM_CONFIDENCE". Jika [certainty] antara 70 dan 100, tetapkan ke "HIGH_CONFIDENCE".
dd_bytes_rcvd	read_only_udm.network.received_bytes	Nilai diambil dari kolom "dd_bytes_rcvd".
dd_bytes_sent	read_only_udm.network.sent_bytes	Nilai diambil dari kolom "dd_bytes_sent".
dd_dst_dns	read_only_udm.target.hostname	Nilai diambil dari kolom "dd_dst_dns".
dd_dst_dns	read_only_udm.target.asset.hostname	Nilai diambil dari kolom "dd_dst_dns".
dd_dst_ip	read_only_udm.target.asset.ip	Nilai diambil dari kolom "dd_dst_ip".
dd_dst_ip	read_only_udm.target.ip	Nilai diambil dari kolom "dd_dst_ip".
dd_dst_port	read_only_udm.target.port	Nilai diambil dari kolom "dd_dst_port".
detection_id	read_only_udm.metadata.product_log_id	Nilai diambil dari kolom "detection_id".
detection_profile.name	read_only_udm.security_result.detection_fields	Kunci adalah "detection_profile name", nilai diambil dari kolom "detection_profile.name".
detection_profile.scoringDetections	read_only_udm.security_result.detection_fields	Kuncinya adalah "detectionprofile scoringDetections{index}", nilai diambil dari setiap elemen dalam array "detection_profile.scoringDetections".
detection_profile.vname	read_only_udm.security_result.detection_fields	Kuncinya adalah "detection_profile vname", nilai diambil dari kolom "detection_profile.vname".
dest_ip	read_only_udm.target.asset.ip	Nilai diambil dari kolom "dest_ip" di Peristiwa Kampanye.
dest_ip	read_only_udm.target.ip	Nilai diambil dari kolom "dest_ip" di Peristiwa Kampanye.
dest_name	read_only_udm.target.asset.hostname	Nilai diambil dari kolom "dest_name" di Peristiwa Kampanye.
dest_name	read_only_udm.target.hostname	Nilai diambil dari kolom "dest_name" di Peristiwa Kampanye.
d_type	read_only_udm.additional.fields	Kunci adalah "d_type", nilai diambil dari kolom "d_type".
d_type_vname	read_only_udm.additional.fields	Kunci adalah "d_type_vname", nilai diambil dari kolom "d_type_vname".
dvchost	read_only_udm.observer.hostname	Nilai diambil dari kolom "dvchost".
dvchost	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom "dvchost" jika [host_name] kosong di Peristiwa HOST.
dvchost	read_only_udm.principal.hostname	Nilai diambil dari kolom "dvchost" jika [host_name] kosong di Peristiwa HOST.
headend_addr	read_only_udm.observer.ip	Nilai diambil dari kolom "headend_addr".
headend_addr	read_only_udm.principal.asset.ip	Nilai diambil dari kolom "headend_addr" jika [host_ip] kosong di Peristiwa Deteksi.
headend_addr	read_only_udm.principal.ip	Nilai diambil dari kolom "headend_addr" jika [host_ip] kosong di Peristiwa Deteksi.
href	read_only_udm.target.url	Nilai diambil dari kolom "href".
host_id	read_only_udm.target.asset_id	Nilainya adalah "VectraAI.DETECT:{host_id}" di Peristiwa HOST.
host_ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom "host_ip" di HOST dan Peristiwa Deteksi.
host_ip	read_only_udm.principal.ip	Nilai diambil dari kolom "host_ip" di HOST dan Peristiwa Deteksi.
host_name	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom "host_name".
host_name	read_only_udm.principal.hostname	Nilai diambil dari kolom "host_name".
msg_data	read_only_udm.security_result.summary	Nilai diambil dari kolom "msg_data" di Peristiwa Audit dan Kesehatan.
quadrant	read_only_udm.security_result.priority_details	Nilai diambil dari kolom "quadrant".
result	read_only_udm.security_result.action	Jika [result] adalah "true", tetapkan ke "ALLOW". Jika [result] adalah "failure", tetapkan ke "BLOCK" di Peristiwa Audit.
result	read_only_udm.security_result.detection_fields	Kuncinya adalah "result", nilai diambil dari kolom "result" di Peristiwa Audit dan Kesehatan.
role	read_only_udm.target.user.attribute.roles.name	Nilai diambil dari kolom "peran" di Peristiwa Audit.
severity	read_only_udm.security_result.severity	Jika [threat] antara 0 dan 20, tetapkan ke "INFORMATIONAL". Jika [threat] antara 20 dan 40, tetapkan ke "LOW". Jika [ancaman] antara 40 dan 60, tetapkan ke "SEDANG". Jika [threat] antara 60 dan 80, tetapkan ke "HIGH". Jika [threat] antara 80 dan 100, tetapkan ke "CRITICAL".
severity	read_only_udm.security_result.severity_details	Nilai diambil dari kolom "severity".
source_ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom "source_ip" di Peristiwa Audit dan Kesehatan.
source_ip	read_only_udm.principal.ip	Nilai diambil dari kolom "source_ip" di Peristiwa Audit dan Kesehatan.
src	read_only_udm.principal.asset.ip	Nilai diambil dari kolom "src" di Peristiwa CEF.
src	read_only_udm.principal.ip	Nilai diambil dari kolom "src" di Peristiwa CEF.
src_ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom "src_ip" di Peristiwa Kampanye.
src_ip	read_only_udm.principal.ip	Nilai diambil dari kolom "src_ip" di Peristiwa Kampanye.
src_name	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom "src_name" jika [host_name] dan [dvchost] kosong.
src_name	read_only_udm.principal.hostname	Nilai diambil dari kolom "src_name" jika [host_name] dan [dvchost] kosong.
threat	read_only_udm.security_result.severity	Jika [threat] antara 0 dan 20, tetapkan ke "INFORMATIONAL". Jika [threat] antara 20 dan 40, tetapkan ke "LOW". Jika [threat] antara 40 dan 60, tetapkan ke "MEDIUM". Jika [threat] antara 60 dan 80, tetapkan ke "HIGH". Jika [threat] antara 80 dan 100, tetapkan ke "CRITICAL".
triaged	read_only_udm.additional.fields	Kuncinya adalah "triaged", nilainya diambil dari kolom "triaged".
type	read_only_udm.metadata.product_event_type	Nilai diambil dari kolom "type" di Peristiwa Kesehatan.
user	read_only_udm.target.user.userid	Nilai diambil dari kolom "user" di Peristiwa Audit.
vectra_timestamp	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom "vectra_timestamp".
version	read_only_udm.metadata.product_version	Nilai diambil dari kolom "version".
	read_only_udm.metadata.event_type	Disetel ke "USER_LOGIN" jika [msg_data] berisi "log in" dan [user] tidak kosong di Peristiwa Audit.
	read_only_udm.metadata.event_type	Tetapkan ke "SCAN_HOST" di Peristiwa HOST.
	read_only_udm.metadata.event_type	Ditetapkan ke "NETWORK_HTTP" jika [host_ip] tidak kosong, [principal_present] benar, dan [target_present] benar di Peristiwa Deteksi.
	read_only_udm.metadata.event_type	Tetapkan ke "STATUS_UPDATE" jika [principal_present] bernilai benar (true) di Peristiwa Deteksi.
	read_only_udm.metadata.event_type	Tetapkan ke "NETWORK_CONNECTION" jika [principal_present] bernilai benar (true) dan [target_present] bernilai benar (true) di Peristiwa Deteksi.
	read_only_udm.metadata.event_type	Ditetapkan ke "NETWORK_CONNECTION" jika [event_type] adalah "GENERIC_EVENT", [principal_present] adalah benar (true), dan [target_present] adalah benar (true).
	read_only_udm.metadata.event_type	Disetel ke "STATUS_UPDATE" jika [event_type] adalah "GENERIC_EVENT" dan [principal_present] adalah benar (true).
	read_only_udm.metadata.log_type	Tetapkan ke "VECTRA_DETECT".
	read_only_udm.metadata.vendor_name	Tetapkan ke "Vectra.AI".
	read_only_udm.metadata.product_name	Tetapkan ke "DETECT".
	read_only_udm.network.application_protocol	Tetapkan ke "HTTP" jika [dd_dst_port] adalah 80.
	read_only_udm.network.application_protocol	Disetel ke "HTTPS" jika [dd_dst_port] adalah 443.
	read_only_udm.network.application_protocol	Ditetapkan ke "UNKNOWN_APPLICATION_PROTOCOL" jika [principal_present] adalah benar (true) dan [target_present] adalah benar (true) di Peristiwa Deteksi.
	read_only_udm.network.http.method	Ditetapkan ke "METHOD_OTHER".
	read_only_udm.extensions.auth.type	Disetel ke "AUTHTYPE_UNSPECIFIED" jika [msg_data] berisi "log in" di Peristiwa Audit.
	is_alert	Disetel ke "true" jika [triaged] benar.
detection_id	event.idm.read_only_udm.metadata.product_log_id	Dipetakan dari log perubahan
id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
entity_id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detail.event_id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detail.account_id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detail.dst_host.id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detail.dst_host.session_luid	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detail.src_account.id	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detection_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
entity_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
entity_uid	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.event_name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.sensor.count	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.count	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.first_timestamp	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.last_timestamp	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.additional_details.client_name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.additional_details.cookie	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.additional_details.encrypted	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
detail.additional_details.normal	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
phase1_bytes.sent	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
phase1_bytes.recv	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
phase2_bytes.sent	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
phase2_bytes.recv	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
breadth_contrib	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
entity_importance	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
importance	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
is_prioritized	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
urgency_score	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
velocity_contrib	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
attack_rating	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
active_detection_types	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
last_detection_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
last_detection_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
threat	event.idm.read_only_udm.security_result.severity	Dipetakan dari log perubahan
certainty	event.idm.read_only_udm.security_result.confidence	Dipetakan dari log perubahan
detection_href	event.idm.read_only_udm.principal.url	Dipetakan dari log perubahan
detail.src_host.ip	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
detail.src_host.name	event.idm.read_only_udm.principal.hostname	Dipetakan dari log perubahan
detail.dst_host.ip	event.idm.read_only_udm.target.ip	Dipetakan dari log perubahan
detail.dst_host.name	event.idm.read_only_udm.target.hostname	Dipetakan dari log perubahan
detail.src_account.name	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
detail.dst_account.id	event.idm.read_only_udm.target.user.userid	Dipetakan dari log perubahan
detail.dst_account.name	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
detail.sensor.name	event.idm.read_only_udm.observer.hostname	Dipetakan dari log perubahan
detail.dst_port	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
detail.additional_details.dst_ips	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
detail.bytes_received	event.idm.read_only_udm.network.sent_bytes	Dipetakan dari log perubahan
last_detection_url	event.idm.read_only_udm.target.url	Dipetakan dari log perubahan
detail.account_uid	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
threat", "certainty", and "score_decreases	additional.fields	Dipetakan dari log perubahan
detection_profile.name", "detection_profile.vname", and "detection_profile.scoringDetections	security_result.detection_fields	Dipetakan dari log perubahan
msg.quadrant	security_result.priority_details	Dipetakan dari log perubahan
suser	principal.user.email_addresses	Dipetakan dari log perubahan
suser	principal.user.userid	Dipetakan dari log perubahan
message	security_result.summary	Dipetakan dari log perubahan
device_version	metadata.product_version	Dipetakan dari log perubahan
externalId	metadata.product_log_id	Dipetakan dari log perubahan
event_name" and "device_event_class_id	metadata.product_event_type	Dipetakan dari log perubahan
shost	principal.hostname	Dipetakan dari log perubahan
dhost	target.hostname	Dipetakan dari log perubahan
cs5	additional.fields	Dipetakan dari log perubahan
cs4	metadata.target.url	Dipetakan dari log perubahan
out	network.sent_bytes	Dipetakan dari log perubahan
dpt	target.port	Dipetakan dari log perubahan
proto	network.ip_protocol	Dipetakan dari log perubahan
href	metadata.target.url	Dipetakan dari log perubahan
account_uid	additional.fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.