Raccogli i log di Versa Networks Secure Access Service Edge (SASE)

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Versa Networks Secure Access Service Edge (SASE) in Google Security Operations utilizzando l'agente Bindplane.

Versa Networks SASE è una piattaforma unificata di sicurezza e networking che genera messaggi syslog per eventi firewall, log delle minacce, classificazione delle applicazioni, filtro URL, rilevamenti IDS/IPS ed eventi di allarme. Il parser estrae le coppie chiave-valore dai messaggi syslog e le mappa al modello Unified Data Model (UDM).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive o host Linux con systemd
• Connettività di rete tra l'agente Bindplane e il nodo Versa Analytics
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso privilegiato a Versa SASE

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua, quindi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion legacy (malachiteingestion-pa.googleapis.com), il cui fine del ciclo di vita è previsto da Google per il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade dell'agente di raccolta prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/versa_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VERSA_FIREWALL
      raw_log_field: body
  
  service:
    pipelines:
      logs/versa_firewall_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/versa_firewall
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • listen_address: Indirizzo IP e porta da ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)
    • Versa utilizza il trasporto TCP, quindi è necessario un ricevitore tcplog

• Configurazione dell'esportatore:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID cliente copiato dalla console Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione su chronicle.googleapis.com.

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/versa_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VERSA_FIREWALL
      raw_log_field: body
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per individuare eventuali errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura SASE di Versa Networks

Gli amministratori devono configurare i raccoglitori remoti su ogni nodo di Versa Analytics per inoltrare i log a sistemi di terze parti.

Attiva l'inoltro dei log

1. Accedi al server di analisi di Versa.
2. Vai all'CLI eseguendo il comando cli.
3. Passa alla modalità di configurazione eseguendo il comando configure, quindi inserisci load merge terminal.

4. Copia e incolla i seguenti comandi per configurare l'inoltro dei log (sostituisci <collector_ip> e <collector_port> con l'indirizzo IP e la porta del tuo raccoglitore syslog):

   set system analytics log-collector-exporter destination-address <collector_ip>
   set system analytics log-collector-exporter destination-port <collector_port>
   set system analytics log-collector-exporter transport tcp
   set system analytics log-collector-exporter log-types firewall-log
   set system analytics log-collector-exporter log-types threat-log
   commit
   

5. Salva la configurazione:

   save
   

   Nota: se non viene specificato alcun tipo di log, vengono trasmessi in streaming tutti gli eventi del tipo di log.

Abilita il logging dell'ID sessione

Per registrare le informazioni relative all'IP, attiva il logging dell'ID sessione:

1. Accedi a Versa Director.
2. Passa alla visualizzazione regista.
3. Vai a Configurazione > Dispositivi > Tenant > Dispositivo per accedere alla visualizzazione Appliance.
4. Seleziona Configuration (Configurazione) > Others (Altri) > System (Sistema) > Configuration (Configurazione) > Configuration (Configurazione).
5. Nel riquadro Parametri, fai clic su Modifica.
6. Nella finestra Modifica parametri, seleziona LEF.
7. Nella sezione Firewall, seleziona la casella di controllo Includi il logging dell'ID sessione.

8. Fai clic su OK.

   Nota: nelle release 21.1.1 e successive, l'identificazione della sessione viene attivata automaticamente.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
accCkt	additional.fields[].key: "accCkt" additional.fields[].value.string_value: accCkt	Valore preso direttamente dal campo accCkt.
accCktId	additional.fields[].key: "accCktId" additional.fields[].value.string_value: accCktId	Valore estratto direttamente dal campo accCktId.
accCktName	additional.fields[].key: "accCktName" additional.fields[].value.string_value: accCktName	Valore estratto direttamente dal campo accCktName.
accessType	additional.fields[].key: "accessType" additional.fields[].value.string_value: accessType	Valore estratto direttamente dal campo accessType.
action	security_result.action: action	Se action, type, idpAction, avAction o urlAction sono "allow", allora ALLOW. Se action, type, idpAction, avAction o urlAction sono "reject", "drop", "block", "deny", allora BLOCK. Se idpAction è qualsiasi altro valore, allora UNKNOWN_ACTION.
alarmCause	security_result.detection_fields[].key: "alarmCause" security_result.detection_fields[].value: alarmCause	Valore preso direttamente dal campo alarmCause.
alarmClass	security_result.detection_fields[].key: "alarmClass" security_result.detection_fields[].value: alarmClass	Valore preso direttamente dal campo alarmClass.
alarmClearable	security_result.detection_fields[].key: "alarmClearable" security_result.detection_fields[].value: alarmClearable	Valore estratto direttamente dal campo alarmClearable.
alarmEventType	metadata.product_event_type: alarmEventType	Valore preso direttamente dal campo alarmEventType.
alarmKey	security_result.detection_fields[].key: "alarmKey" security_result.detection_fields[].value: alarmKey	Valore estratto direttamente dal campo alarmKey.
alarmKind	security_result.detection_fields[].key: "alarmKind" security_result.detection_fields[].value: alarmKind	Valore preso direttamente dal campo alarmKind.
alarmOwner	security_result.detection_fields[].key: "alarmOwner" security_result.detection_fields[].value: alarmOwner	Valore estratto direttamente dal campo alarmOwner.
alarmSeqNo	security_result.detection_fields[].key: "alarmSeqNo" security_result.detection_fields[].value: alarmSeqNo	Valore preso direttamente dal campo alarmSeqNo.
alarmSeverity	security_result.severity_details: alarmSeverity	Valore estratto direttamente dal campo alarmSeverity.
alarmText	security_result.summary: alarmText	Valore estratto direttamente dal campo alarmText, con le virgolette doppie rimosse.
alarmType	security_result.description: alarmType	Valore estratto direttamente dal campo alarmType.
appFamily	metadata.product_event_type: appFamily security_result.detection_fields[].key: "appFamily" security_result.detection_fields[].value: appFamily	Valore preso direttamente dal campo appFamily.
appId	security_result.detection_fields[].key: "ID applicazione" security_result.detection_fields[].value: appId	Valore preso direttamente dal campo appId.
appIdStr	security_result.detection_fields[].key: "appIdStr" security_result.detection_fields[].value: appIdStr	Valore estratto direttamente dal campo appIdStr.
applianceName	principal.hostname: applianceName	Valore estratto direttamente dal campo applianceName, siteName o site.
appProductivity	security_result.detection_fields[].key: "appProductivity" security_result.detection_fields[].value: appProductivity	Valore preso direttamente dal campo appProductivity.
appRisk	security_result.severity_details: appRisk	Valore estratto direttamente dal campo appRisk.
appSubFamily	security_result.detection_fields[].key: "appSubFamily" security_result.detection_fields[].value: appSubFamily	Valore preso direttamente dal campo appSubFamily.
avAccuracy	additional.fields[].key: "avAccuracy" additional.fields[].value.string_value: avAccuracy	Valore preso direttamente dal campo avAccuracy.
avAction	security_result.action: avAction	Per la logica, vedi action.
avMalwareName	security_result.threat_name: avMalwareName	Valore estratto direttamente dal campo avMalwareName.
avMalwareType	security_result.category_details: avMalwareType	Valore preso direttamente dal campo avMalwareType.
classMsg	security_result.description: classMsg	Valore preso direttamente dal campo classMsg, senza virgolette doppie.
clientIPv4Address	target.ip: clientIPv4Address	Valore estratto direttamente dal campo clientIPv4Address.
destIp	target.ip: destIp destinationIPv4Address: destIp	Valore estratto direttamente dal campo destIp.
destinationIPv4Address	target.ip: destinationIPv4Address	Valore preso direttamente dal campo destinationIPv4Address o derivato dal campo networkPrefix.
destinationIPv6Address	target.ip: destinationIPv6Address	Valore preso direttamente dal campo destinationIPv6Address.
destinationPort	target.port: destinationPort	Valore estratto direttamente dal campo destinationPort e convertito in numero intero.
destinationTransportPort	target.port: destinationTransportPort	Valore preso direttamente dal campo destinationTransportPort e convertito in numero intero.
deviceKey	about.resource.attribute.labels[].key: "deviceKey" about.resource.attribute.labels[].value: deviceKey	Valore estratto direttamente dal campo deviceKey se non è "Sconosciuto".
deviceName	about.resource.attribute.labels[].key: "deviceName" about.resource.attribute.labels[].value: deviceName	Valore preso direttamente dal campo deviceName se non è "Sconosciuto".
duration	network.session_duration.seconds: duration	Valore estratto direttamente dal campo duration e convertito in numero intero.
egressInterfaceName	additional.fields[].key: "egressInterfaceName" additional.fields[].value.string_value: egressInterfaceName	Valore estratto direttamente dal campo egressInterfaceName.
event.type	metadata.event_type: event.type	Se sono presenti sia applianceName (o sourceIPv4Address o user o sourceIPv6Address) sia destinationIPv4Address (o remoteSite o destinationIPv6Address o clientIPv4Address o hostname), allora NETWORK_CONNECTION. In caso contrario, STATUS_UPDATE. Se applianceName è vuoto, allora GENERIC_EVENT.
eventType	principal.resource.attribute.labels[].key: "eventType" principal.resource.attribute.labels[].value: eventType	Valore preso direttamente dal campo eventType.
family	security_result.detection_fields[].key: "family" security_result.detection_fields[].value: family	Valore preso direttamente dal campo family.
fc	security_result.detection_fields[].key: "ForwardingClass" security_result.detection_fields[].value: fc	Valore estratto direttamente dal campo fc.
fileTransDir	additional.fields[].key: "fileTransDir" additional.fields[].value.string_value: fileTransDir	Valore preso direttamente dal campo fileTransDir.
filename	target.file.names: filename	Valore estratto direttamente dal campo filename.
flowCookie	metadata.collected_timestamp: flowCookie	Valore preso direttamente dal campo flowCookie e convertito in timestamp utilizzando il formato UNIX.
flowId	principal.resource.product_object_id: flowId	Valore preso direttamente dal campo flowId.
forwardForwardingClass	security_result.detection_fields[].key: "forwardForwardingClass" security_result.detection_fields[].value: forwardForwardingClass	Valore estratto direttamente dal campo forwardForwardingClass.
fromCountry	principal.location.country_or_region: fromCountry target.location.country_or_region: fromCountry	Valore estratto direttamente dal campo fromCountry.
fromUser	principal.user.userid: fromUser	Valore estratto direttamente dal campo fromUser se non è vuoto, "unknown" o "Unknown".
fromZone	additional.fields[].key: "fromZone" additional.fields[].value.string_value: fromZone	Valore preso direttamente dal campo fromZone.
generateTime	metadata.collected_timestamp: generateTime	Valore preso direttamente dal campo generateTime e convertito in timestamp utilizzando il formato UNIX.
hostname	target.hostname: hostname	Valore estratto direttamente dal campo hostname.
httpUrl	target.url: httpUrl	Valore preso direttamente dal campo httpUrl.
icmpTypeIPv4	additional.fields[].key: "icmpTypeIPv4" additional.fields[].value.string_value: icmpTypeIPv4	Valore estratto direttamente dal campo icmpTypeIPv4.
idpAction	security_result.action: idpAction	Per la logica, consulta action.
ingressInterfaceName	additional.fields[].key: "ingressInterfaceName" additional.fields[].value.string_value: ingressInterfaceName	Valore preso direttamente dal campo ingressInterfaceName.
ipsApplication	additional.fields[].key: "ipsApplication" additional.fields[].value.string_value: ipsApplication	Valore preso direttamente dal campo ipsApplication.
ipsDirection	security_result.detection_fields[].key: "ipsDirection" security_result.detection_fields[].value: ipsDirection	Valore preso direttamente dal campo ipsDirection.
ipsProfile	security_result.detection_fields[].key: "ipsProfile" security_result.detection_fields[].value: ipsProfile	Valore estratto direttamente dal campo ipsProfile.
ipsProfileRule	security_result.rule_name: ipsProfileRule	Valore preso direttamente dal campo ipsProfileRule.
ipsProtocol	network.ip_protocol: ipsProtocol	Valore estratto direttamente dal campo ipsProtocol.
log_type	metadata.description: log_type metadata.log_type: log_type	Valore preso direttamente dal campo log_type.
mstatsTimeBlock	metadata.collected_timestamp: mstatsTimeBlock	Valore preso direttamente dal campo mstatsTimeBlock e convertito in timestamp utilizzando il formato UNIX.
mstatsTotRecvdOctets	network.received_bytes: mstatsTotRecvdOctets	Valore estratto direttamente dal campo mstatsTotRecvdOctets e convertito in numero intero senza segno.
mstatsTotSentOctets	network.sent_bytes: mstatsTotSentOctets	Valore estratto direttamente dal campo mstatsTotSentOctets e convertito in numero intero senza segno.
mstatsTotSessCount	additional.fields[].key: "mstatsTotSessCount" additional.fields[].value.string_value: mstatsTotSessCount	Valore preso direttamente dal campo mstatsTotSessCount.
mstatsTotSessDuration	network.session_duration.seconds: mstatsTotSessDuration	Valore preso direttamente dal campo mstatsTotSessDuration e convertito in numero intero.
mstatsType	security_result.category_details: mstatsType	Valore preso direttamente dal campo mstatsType.
networkPrefix	target.ip: networkPrefix target.port: networkPrefix	Indirizzo IP estratto dal campo networkPrefix. Porta estratta dal campo networkPrefix e convertita in numero intero.
protocolIdentifier	network.ip_protocol: protocolIdentifier	Valore preso direttamente dal campo protocolIdentifier, convertito in numero intero e mappato al nome del protocollo IP utilizzando una ricerca.
recvdOctets	network.received_bytes: recvdOctets	Valore preso direttamente dal campo recvdOctets e convertito in un numero intero senza segno.
recvdPackets	network.received_packets: recvdPackets	Valore preso direttamente dal campo recvdPackets e convertito in numero intero.
remoteSite	target.hostname: remoteSite	Valore estratto direttamente dal campo remoteSite.
reverseForwardingClass	security_result.detection_fields[].key: "reverseForwardingClass" security_result.detection_fields[].value: reverseForwardingClass	Valore estratto direttamente dal campo reverseForwardingClass.
risk	security_result.risk_score: risk	Valore preso direttamente dal campo risk e convertito in float.
rule	security_result.rule_name: rule	Valore preso direttamente dal campo rule.
sentOctets	network.sent_bytes: sentOctets	Valore estratto direttamente dal campo sentOctets e convertito in numero intero senza segno.
sentPackets	network.sent_packets: sentPackets	Valore preso direttamente dal campo sentPackets e convertito in numero intero.
serialNum	security_result.detection_fields[].key: "serialNum" security_result.detection_fields[].value: serialNum	Valore preso direttamente dal campo serialNum.
signatureId	security_result.detection_fields[].key: "signatureID" security_result.detection_fields[].value: signatureId	Valore preso direttamente dal campo signatureId.
signatureMsg	security_result.detection_fields[].key: "signatureMsg" security_result.detection_fields[].value: signatureMsg	Valore preso direttamente dal campo signatureMsg.
signaturePriority	security_result.severity: signaturePriority	Se signaturePriority è "low" (senza distinzione tra maiuscole e minuscole), allora LOW. Se signaturePriority è "medium" (senza distinzione tra maiuscole e minuscole), allora MEDIUM. Se signaturePriority è "high" (senza distinzione tra maiuscole e minuscole), allora HIGH.
site	principal.hostname: site applianceName: site	Valore preso direttamente dal campo site.
siteId	additional.fields[].key: "siteId" additional.fields[].value.string_value: siteId	Valore estratto direttamente dal campo siteId.
siteName	principal.hostname: siteName applianceName: siteName	Valore preso direttamente dal campo siteName.
sourceIPv4Address	principal.ip: sourceIPv4Address	Valore preso direttamente dal campo sourceIPv4Address.
sourceIPv6Address	principal.ip: sourceIPv6Address	Valore preso direttamente dal campo sourceIPv6Address.
sourcePort	principal.port: sourcePort	Valore estratto direttamente dal campo sourcePort e convertito in numero intero.
sourceTransportPort	principal.port: sourceTransportPort	Valore preso direttamente dal campo sourceTransportPort e convertito in numero intero.
subFamily	security_result.detection_fields[].key: "subFamily" security_result.detection_fields[].value: subFamily	Valore preso direttamente dal campo subFamily.
tcpConnAborted	additional.fields[].key: "tcpConnAborted" additional.fields[].value.string_value: tcpConnAborted	Valore preso direttamente dal campo tcpConnAborted se non è vuoto o "0".
tcpConnRefused	additional.fields[].key: "tcpConnRefused" additional.fields[].value.string_value: tcpConnRefused	Valore estratto direttamente dal campo tcpConnRefused se non è vuoto o "0".
tcpPktsFwd	network.sent_packets: tcpPktsFwd	Valore preso direttamente dal campo tcpPktsFwd e convertito in numero intero.
tcpPktsRev	network.received_packets: tcpPktsRev	Valore estratto direttamente dal campo tcpPktsRev e convertito in numero intero.
tcpReXmitFwd	additional.fields[].key: "tcpReXmitFwd" additional.fields[].value.string_value: tcpReXmitFwd	Valore estratto direttamente dal campo tcpReXmitFwd se non è vuoto o "0".
tcpReXmitRev	additional.fields[].key: "tcpReXmitRev" additional.fields[].value.string_value: tcpReXmitRev	Valore estratto direttamente dal campo tcpReXmitRev se non è vuoto o "0".
tcpSAA	additional.fields[].key: "tcpSAA" additional.fields[].value.string_value: tcpSAA	Valore preso direttamente dal campo tcpSAA se non è vuoto o "0".
tcpSSA	additional.fields[].key: "tcpSSA" additional.fields[].value.string_value: tcpSSA	Valore preso direttamente dal campo tcpSSA se non è vuoto o "0".
tcpSessCnt	additional.fields[].key: "tcpSessCnt" additional.fields[].value.string_value: tcpSessCnt	Valore preso direttamente dal campo tcpSessCnt.
tcpSessDur	network.session_duration.seconds: tcpSessDur	Valore preso direttamente dal campo tcpSessDur e convertito in numero intero.
tcpSynAckReXmit	additional.fields[].key: "tcpSynAckReXmit" additional.fields[].value.string_value: tcpSynAckReXmit	Valore estratto direttamente dal campo tcpSynAckReXmit se non è vuoto o "0".
tcpSynReXmit	additional.fields[].key: "tcpSynReXmit" additional.fields[].value.string_value: tcpSynReXmit	Valore preso direttamente dal campo tcpSynReXmit se non è vuoto o "0".
tcpTWHS	additional.fields[].key: "tcpTWHS" additional.fields[].value.string_value: tcpTWHS	Valore preso direttamente dal campo tcpTWHS se non è vuoto o "0".
tenantId	principal.resource.attribute.labels[].key: "tenantId" principal.resource.attribute.labels[].value: tenantId	Valore preso direttamente dal campo tenantId.
tenantName	observer.hostname: tenantName	Valore estratto direttamente dal campo tenantName.
threatType	security_result.detection_fields[].key: "threatType" security_result.detection_fields[].value: threatType	Valore preso direttamente dal campo threatType.
toCountry	target.location.country_or_region: toCountry	Valore preso direttamente dal campo toCountry.
toZone	additional.fields[].key: "toZone" additional.fields[].value.string_value: toZone	Valore preso direttamente dal campo toZone.
traffType	additional.fields[].key: "traffType" additional.fields[].value.string_value: traffType	Valore estratto direttamente dal campo traffType.
ts	metadata.event_timestamp: ts	Valore preso direttamente dal campo ts e convertito in timestamp.
type	security_result.action: type	Per la logica, consulta action.
urlAction	security_result.action: urlAction	Per la logica, consulta action.
urlActionMessage	security_result.summary: urlActionMessage	Valore estratto direttamente dal campo urlActionMessage.
urlCategory	principal.resource.attribute.labels[].key: "urlCategory" principal.resource.attribute.labels[].value: urlCategory	Valore estratto direttamente dal campo urlCategory.
urlProfile	additional.fields[].key: "urlProfile" additional.fields[].value.string_value: urlProfile	Valore preso direttamente dal campo urlProfile.
urlReputation	security_result.severity_details: urlReputation	Valore preso direttamente dal campo urlReputation.
user	principal.ip: user	Valore estratto direttamente dal campo user.
vsnId	principal.resource.attribute.labels[].key: "vsnId" principal.resource.attribute.labels[].value: vsnId	Valore preso direttamente dal campo vsnId. Valore impostato come hardcoded. Valore impostato come hardcoded.
applianceName	event.idm.read_only_udm.intermediary.hostname	Mappato dal log delle modifiche
postNATSourceIPv4Address	event.idm.read_only_udm.principal.nat_ip	Mappato dal log delle modifiche
postNATDestinationIPv4Address	event.idm.read_only_udm.target.nat_ip	Mappato dal log delle modifiche
postNAPTsourceTransportPort	event.idm.read_only_udm.principal.nat_port	Mappato dal log delle modifiche
postNAPTdestinationTransportPort	event.idm.read_only_udm.target.nat_port	Mappato dal log delle modifiche
natRuleName	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
natEvent	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
log_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
flowCookie	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
flowId	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sourceNatPoolName	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
destNatPoolName	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
deviceKey	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
deviceName	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
observationTimeMilliseconds	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
threatSeverity	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
dnsfBadCname	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
dnsfEvType	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
dnsfDomain	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
dnsfMsgType	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
dnsfProfileName	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
dnsfIpReputation	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
dnsfAction	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
HitCount	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
groupId	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
signatureRev	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
packetTime	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
moduleId	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dnsfBadResolvedV4Addr	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
dnsfIpGeoLocation	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
sourceIPv4Address	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
destinationIPv4Address	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
host	event.idm.read_only_udm.target.hostname	Mappato dal log delle modifiche
eipProfileName	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
traffScope	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
srcSGT	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
destSGT	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ucsBand	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ucsReason	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
urlLookupSrc	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
protocolInfo	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ecsBand	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ecsReason	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
appAuth	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ucsScore	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
policyActionName	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
policyActionModule	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
ecsScore	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
applianceId	event.idm.read_only_udm.intermediary.asset.product_object_id	Mappato dal log delle modifiche
inter_hostname	event.idm.ready_only_udm.intermediary.hostname	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.