Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

VMware ESXi-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie VMware ESXi-Logs mit Bindplane in Google Security Operations aufnehmen. VMware ESXi ist ein Bare-Metal-Hypervisor, der direkt auf physischen Servern installiert wird, um sie in mehrere virtuelle Maschinen zu partitionieren. ESXi-Logs erfassen Hostsystemereignisse, Authentifizierungsaktivitäten, Vorgänge auf virtuellen Maschinen, Speicher- und Netzwerkereignisse sowie Hypervisor-Kernel-Nachrichten.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz.
Ein Windows 2016- oder höherer oder Linux-Host mit systemd.
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf den VMware ESXi-Host (Root- oder Administratorrolle) über den ESXi Host Client oder vSphere Client.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Rufen Sie die Konfigurationsdatei auf:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
- Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

Bearbeiten Sie die Datei config.yamlso:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran.
Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
Ersetzen Sie YOUR_CUSTOMER_ID durch die tatsächliche Kundennummer.
Aktualisieren Sie /path/to/ingestion-authentication-file.json mit dem Dateipfad, in dem die Dienstkontoschlüsseldatei (Option 1) in Schritt 1 gespeichert wurde.

Exporter für die Legacy Ingestion API

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Syslog-Weiterleitung für VMware ESXi konfigurieren

ESXi unterstützt die native Syslog-Weiterleitung über UDP. Sie können ihn mit dem ESXi Host Client, dem vSphere Client oder der ESXi Shell (SSH) konfigurieren.

Option – ESXi Host Client oder vSphere Client

Melden Sie sich beim ESXi-Hostclient (https://<esxi-host>/ui) oder beim vSphere-Client an und wählen Sie den ESXi-Host aus.
Gehe zu Verwalten > System > Erweiterte Einstellungen.
Suchen Sie nach Syslog.global.logHost.
Klicken Sie auf Bearbeiten und legen Sie den Wert auf Folgendes fest:
- udp://<BINDPLANE_IP>:514
- Wenn Sie mehrere Syslog-Server hinzufügen möchten, trennen Sie sie durch Kommas (z. B. udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).
Klicken Sie auf Speichern.
Suchen Sie nach Syslog.global.logDir, um zu prüfen, ob auch das lokale Logging aktiviert ist (z. B. [] /scratch/log).

Option – ESXi-Shell (SSH)

Stellen Sie über SSH eine Verbindung zum ESXi-Host her.
Führen Sie den folgenden Befehl aus, um den Remote-Syslog-Server zu konfigurieren:
```
esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"
```
Laden Sie den Syslog-Dienst neu:
```
esxcli system syslog reload
```
Konfiguration prüfen:
```
esxcli system syslog config get
```

ESXi-Firewall für Syslog konfigurieren

Wenn die ESXi-Firewall aktiviert ist, öffnen Sie die Syslog-Ausgangsregel. Stellen Sie über SSH eine Verbindung her und führen Sie Folgendes aus:
```
esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true
```
Aktualisieren Sie die Firewallregeln:
```
esxcli network firewall refresh
```

Prüfen Sie, ob die Syslog-Firewallregel aktiviert ist:

esxcli network firewall ruleset list | grep syslog

Weitere Informationen finden Sie in der VMware ESXi-Syslog-Dokumentation.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`@fields.alias`	`event.idm.read_only_udm.principal.cloud.project.alias`	Direkt aus dem Feld `@fields.alias` des JSON-Logs zugeordnet.
`@fields.company_name`	`event.idm.read_only_udm.principal.user.company_name`	Wird direkt aus dem Feld `@fields.company_name` des JSON-Logs zugeordnet.
`@fields.facility`	`event.idm.read_only_udm.principal.resource.type`	Wird direkt aus dem Feld `@fields.facility` des JSON-Logs zugeordnet.
`@fields.host`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Direkt aus dem Feld `@fields.host` des JSON-Logs zugeordnet.
`@fields.privatecloud_id`	`event.idm.read_only_udm.principal.cloud.project.id`	Direkt aus dem Feld `@fields.privatecloud_id` des JSON-Logs zugeordnet.
`@fields.privatecloud_name`	`event.idm.read_only_udm.principal.cloud.project.name`	Direkt aus dem Feld `@fields.privatecloud_name` des JSON-Logs zugeordnet.
`@fields.procid`	`event.idm.read_only_udm.principal.process.pid`	Wird direkt aus dem Feld `@fields.procid` des JSON-Logs zugeordnet.
`@fields.region_id`	`event.idm.read_only_udm.principal.location.country_or_region`	Wird direkt aus dem Feld `@fields.region_id` des JSON-Logs zugeordnet.
`@fields.severity`	`event.idm.read_only_udm.security_result.severity`	Wird aus dem Feld `@fields.severity` des JSON-Logs zugeordnet. Wenn der Wert „info“ oder ähnlich ist, wird er „INFORMATIONAL“ zugeordnet.
`@timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	Geparsed und mit dem Filter `date` in ein Zeitstempelobjekt aus dem Feld `@timestamp` des Logs konvertiert.
`adapter`	`event.idm.read_only_udm.target.resource.name`	Direkt aus dem Feld `adapter` des Rohlogs zugeordnet.
`action`	`event.idm.read_only_udm.security_result.action`	Direkt aus dem Feld `action` des Rohlogs zugeordnet. Es werden Werte wie „ALLOW“ und „BLOCK“ verwendet.
`action`	`event.idm.read_only_udm.security_result.action_details`	Direkt aus dem Feld `action` des Rohlogs zugeordnet. Es werden Werte wie „Weiterleitung“ verwendet.
`administrative_domain`	`event.idm.read_only_udm.principal.administrative_domain`	Direkt aus dem Feld `administrative_domain` des Rohlogs zugeordnet.
`agent.hostname`	`event.idm.read_only_udm.intermediary.hostname`	Wird direkt aus dem Feld `agent.hostname` des JSON-Logs zugeordnet.
`agent.id`	`event.idm.read_only_udm.intermediary.asset.id`	Wird direkt aus dem Feld `agent.id` des JSON-Logs zugeordnet.
`agent.name`	`event.idm.read_only_udm.intermediary.asset.name`	Wird direkt aus dem Feld `agent.name` des JSON-Logs zugeordnet.
`agent.type`	`event.idm.read_only_udm.intermediary.asset.type`	Wird direkt aus dem Feld `agent.type` des JSON-Logs zugeordnet.
`agent.version`	`event.idm.read_only_udm.intermediary.asset.version`	Direkt aus dem Feld `agent.version` des JSON-Logs zugeordnet.
`app_name`	`event.idm.read_only_udm.principal.application`	Direkt aus dem Feld `app_name` des Rohlogs zugeordnet.
`app_protocol`	`event.idm.read_only_udm.network.application_protocol`	Direkt aus dem Feld `app_protocol` des Rohlogs zugeordnet. Wenn der Wert „http“ (Groß-/Kleinschreibung wird nicht berücksichtigt) entspricht, wird er „HTTP“ zugeordnet.
`application`	`event.idm.read_only_udm.principal.application`	Wird direkt aus dem Feld `program` des JSON-Logs zugeordnet.
`cmd`	`event.idm.read_only_udm.target.process.command_line`	Direkt aus dem Feld `cmd` des Rohlogs zugeordnet.
`collection_time`	`event.idm.read_only_udm.metadata.event_timestamp`	Die Nanosekunden aus dem Feld `collection_time` werden zu den Sekunden aus dem Feld `collection_time` addiert, um `event_timestamp` zu erstellen.
`data`	`event.idm.read_only_udm.metadata.description`	Die Roh-Logeinträge werden geparst und relevante Teile werden extrahiert, um das Beschreibungsfeld zu füllen.
`descrip`	`event.idm.read_only_udm.metadata.description`	Direkt aus dem Feld `descrip` des Rohlogs zugeordnet.
`dns.answers.data`	`event.idm.read_only_udm.network.dns.answers.data`	Wird direkt aus dem Feld `dns.answers.data` des JSON-Logs zugeordnet.
`dns.answers.ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	Wird direkt aus dem Feld `dns.answers.ttl` des JSON-Logs zugeordnet.
`dns.answers.type`	`event.idm.read_only_udm.network.dns.answers.type`	Wird direkt aus dem Feld `dns.answers.type` des JSON-Logs zugeordnet.
`dns.questions.name`	`event.idm.read_only_udm.network.dns.questions.name`	Direkt aus dem Feld `dns.questions.name` des JSON-Logs zugeordnet.
`dns.questions.type`	`event.idm.read_only_udm.network.dns.questions.type`	Direkt aus dem Feld `dns.questions.type` des JSON-Logs zugeordnet.
`dns.response`	`event.idm.read_only_udm.network.dns.response`	Direkt aus dem Feld `dns.response` des JSON-Logs zugeordnet.
`ecs.version`	`event.idm.read_only_udm.metadata.product_version`	Wird direkt aus dem Feld `ecs.version` des JSON-Logs zugeordnet.
`event_message`	`event.idm.read_only_udm.metadata.description`	Wird direkt aus dem Feld `event_message` des JSON-Logs zugeordnet.
`event_metadata`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	Das Feld `event_metadata` wird geparst, um den Wert `opID` zu extrahieren. Diesem wird dann „opID:“ vorangestellt und er wird dem UDM zugeordnet.
`event_type`	`event.idm.read_only_udm.metadata.event_type`	Wird direkt aus dem Feld `event_type` des JSON-Logs zugeordnet.
`filepath`	`event.idm.read_only_udm.target.file.full_path`	Direkt aus dem Feld `filepath` des Rohlogs zugeordnet.
`fields.company_name`	`event.idm.read_only_udm.principal.user.company_name`	Direkt aus dem Feld `fields.company_name` des JSON-Logs zugeordnet.
`fields.facility`	`event.idm.read_only_udm.principal.resource.type`	Wird direkt aus dem Feld `fields.facility` des JSON-Logs zugeordnet.
`fields.host`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Wird direkt aus dem Feld `fields.host` des JSON-Logs zugeordnet.
`fields.privatecloud_id`	`event.idm.read_only_udm.principal.cloud.project.id`	Wird direkt aus dem Feld `fields.privatecloud_id` des JSON-Logs zugeordnet.
`fields.privatecloud_name`	`event.idm.read_only_udm.principal.cloud.project.name`	Direkt aus dem Feld `fields.privatecloud_name` des JSON-Logs zugeordnet.
`fields.procid`	`event.idm.read_only_udm.principal.process.pid`	Wird direkt aus dem Feld `fields.procid` des JSON-Logs zugeordnet.
`fields.region_id`	`event.idm.read_only_udm.principal.location.country_or_region`	Wird direkt aus dem Feld `fields.region_id` des JSON-Logs zugeordnet.
`fields.severity`	`event.idm.read_only_udm.security_result.severity`	Wird aus dem Feld `fields.severity` des JSON-Logs zugeordnet. Wenn der Wert „info“ oder ähnlich ist, wird er „INFORMATIONAL“ zugeordnet.
`host.architecture`	`event.idm.read_only_udm.principal.asset.architecture`	Direkt aus dem Feld `host.architecture` des JSON-Logs zugeordnet.
`host.containerized`	`event.idm.read_only_udm.principal.asset.containerized`	Direkt aus dem Feld `host.containerized` des JSON-Logs zugeordnet.
`host.hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Direkt aus dem Feld `host.hostname` des JSON-Logs zugeordnet.
`host.id`	`event.idm.read_only_udm.principal.asset.id`	Wird direkt aus dem Feld `host.id` des JSON-Logs zugeordnet.
`host.ip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Wird direkt aus dem Feld `host.ip` des JSON-Logs zugeordnet.
`host.mac`	`event.idm.read_only_udm.principal.mac`, `event.idm.read_only_udm.principal.asset.mac`	Wird direkt aus dem Feld `host.mac` des JSON-Logs zugeordnet.
`host.name`	`event.idm.read_only_udm.principal.asset.name`	Wird direkt aus dem Feld `host.name` des JSON-Logs zugeordnet.
`host.os.codename`	`event.idm.read_only_udm.principal.asset.os.codename`	Wird direkt aus dem Feld `host.os.codename` des JSON-Logs zugeordnet.
`host.os.family`	`event.idm.read_only_udm.principal.asset.os.family`	Direkt aus dem Feld `host.os.family` des JSON-Logs zugeordnet.
`host.os.kernel`	`event.idm.read_only_udm.principal.asset.os.kernel`	Wird direkt aus dem Feld `host.os.kernel` des JSON-Logs zugeordnet.
`host.os.name`	`event.idm.read_only_udm.principal.asset.os.name`	Direkt aus dem Feld `host.os.name` des JSON-Logs zugeordnet.
`host.os.platform`	`event.idm.read_only_udm.principal.asset.os.platform`	Wird direkt aus dem Feld `host.os.platform` des JSON-Logs zugeordnet.
`host.os.version`	`event.idm.read_only_udm.principal.asset.os.version`	Direkt aus dem Feld `host.os.version` des JSON-Logs zugeordnet.
`iporhost`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Direkt aus dem Feld `iporhost` des Rohlogs zugeordnet.
`iporhost`	`event.idm.read_only_udm.principal.ip`	Direkt aus dem Feld `iporhost` des Rohlogs zugeordnet, wenn es sich um eine IP-Adresse handelt.
`iporhost1`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Direkt aus dem Feld `iporhost1` des Rohlogs zugeordnet.
`kv_data1`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	Das Feld `kv_data1` wird geparst, um den Wert `opID` oder `sub` zu extrahieren. Diesem wird dann „opID:“ oder „sub:“ vorangestellt und er wird dem UDM zugeordnet.
`kv_msg`	`event.idm.read_only_udm.additional.fields`	Das Feld `kv_msg` wird als Schlüssel/Wert-Paare geparst und dem Array `additional_fields` im UDM hinzugefügt.
`kv_msg1`	`event.idm.read_only_udm.additional.fields`	Das Feld `kv_msg1` wird als Schlüssel/Wert-Paare geparst und dem Array `additional_fields` im UDM hinzugefügt.
`lbdn`	`event.idm.read_only_udm.target.hostname`	Direkt aus dem Feld `lbdn` des Rohlogs zugeordnet.
`log.source.address`	`event.idm.read_only_udm.observer.hostname`	Wird direkt aus dem Feld `log.source.address` des JSON-Logs zugeordnet, wobei nur der Hostname-Teil verwendet wird.
`log_event.original`	`event.idm.read_only_udm.metadata.description`	Wird direkt aus dem Feld `event.original` des JSON-Logs zugeordnet.
`log_level`	`event.idm.read_only_udm.security_result.severity_details`	Direkt aus dem Feld `log_level` des JSON-Logs zugeordnet.
`logstash.collect.host`	`event.idm.read_only_udm.observer.hostname`	Direkt aus dem Feld `logstash.collect.host` des JSON-Logs zugeordnet.
`logstash.collect.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	Geparsed und mit dem Filter `date` in ein Zeitstempelobjekt aus dem Feld `logstash.collect.timestamp` des Logs konvertiert.
`logstash.ingest.host`	`event.idm.read_only_udm.intermediary.hostname`	Direkt aus dem Feld `logstash.ingest.host` des JSON-Logs zugeordnet.
`logstash.ingest.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	Wird mit dem Filter `date` aus dem Feld `logstash.ingest.timestamp` des Logs geparst und in ein Zeitstempelobjekt konvertiert.
`logstash.process.host`	`event.idm.read_only_udm.intermediary.hostname`	Wird direkt aus dem Feld `logstash.process.host` des JSON-Logs zugeordnet.
`logstash.process.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	Geparsed und mit dem Filter `date` in ein Zeitstempelobjekt aus dem Feld `logstash.process.timestamp` des Logs konvertiert.
`log_type`	`event.idm.read_only_udm.metadata.log_type`	Direkt aus dem Feld `log_type` des Rohlogs zugeordnet.
`message`	`event.idm.read_only_udm.metadata.description`	Direkt aus dem Feld `message` des JSON-Logs zugeordnet.
`message_to_process`	`event.idm.read_only_udm.metadata.description`	Direkt aus dem Feld `message_to_process` des Rohlogs zugeordnet.
`metadata.event_type`	`event.idm.read_only_udm.metadata.event_type`	Wird anfänglich auf „GENERIC_EVENT“ gesetzt und dann möglicherweise basierend auf dem geparsten `service` oder anderen Loginhalten überschrieben. Kann Werte wie `PROCESS_LAUNCH`, `NETWORK_CONNECTION`, `USER_LOGIN` usw. haben.
`metadata.product_event_type`	`event.idm.read_only_udm.metadata.product_event_type`	Wird direkt aus dem Feld `process_id` oder `prod_event_type` des Rohlogs zugeordnet.
`metadata.product_log_id`	`event.idm.read_only_udm.metadata.product_log_id`	Direkt aus dem Feld `event_id` des Rohlogs zugeordnet.
`metadata.product_name`	`event.idm.read_only_udm.metadata.product_name`	Legen Sie diesen Wert auf „ESX“ fest.
`metadata.product_version`	`event.idm.read_only_udm.metadata.product_version`	Wird direkt aus dem Feld `version` des JSON-Logs zugeordnet.
`metadata.vendor_name`	`event.idm.read_only_udm.metadata.vendor_name`	Legen Sie diesen Wert auf „VMWARE“ fest.
`msg`	`event.idm.read_only_udm.metadata.description`	Direkt aus dem Feld `msg` des Rohlogs zugeordnet.
`network.application_protocol`	`event.idm.read_only_udm.network.application_protocol`	Auf „DNS“ festgelegt, wenn `service` „named“ ist, auf „HTTPS“, wenn der Port 443 ist, oder auf „HTTP“, wenn `app_protocol` mit „http“ übereinstimmt.
`network.direction`	`event.idm.read_only_udm.network.direction`	Wird anhand von Schlüsselwörtern im Rohprotokoll bestimmt, z. B. „IN“, „OUT“, „->“. Kann `INBOUND` oder `OUTBOUND` sein.
`network.http.method`	`event.idm.read_only_udm.network.http.method`	Direkt aus dem Feld `method` des Rohlogs zugeordnet.
`network.http.parsed_user_agent`	`event.idm.read_only_udm.network.http.parsed_user_agent`	Wird mit dem Filter `convert` aus dem Feld `useragent` geparst.
`network.http.referral_url`	`event.idm.read_only_udm.network.http.referral_url`	Direkt aus dem Feld `prin_url` des Rohlogs zugeordnet.
`network.http.response_code`	`event.idm.read_only_udm.network.http.response_code`	Direkt aus dem Feld `status_code` des Rohlogs zugeordnet und in eine Ganzzahl konvertiert.
`network.http.user_agent`	`event.idm.read_only_udm.network.http.user_agent`	Direkt aus dem Feld `useragent` des Rohlogs zugeordnet.
`network.ip_protocol`	`event.idm.read_only_udm.network.ip_protocol`	Wird anhand von Schlüsselwörtern im Rohprotokoll ermittelt, z. B. „TCP“, „UDP“.
`network.received_bytes`	`event.idm.read_only_udm.network.received_bytes`	Direkt aus dem Feld `rec_bytes` des Rohlogs zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
`network.sent_bytes`	`event.idm.read_only_udm.network.sent_bytes`	Aus dem Feld `message_to_process` des Rohlogs extrahiert.
`network.session_id`	`event.idm.read_only_udm.network.session_id`	Direkt aus dem Feld `session` des Rohlogs zugeordnet.
`pid`	`event.idm.read_only_udm.target.process.parent_process.pid`	Direkt aus dem Feld `pid` des Rohlogs zugeordnet.
`pid`	`event.idm.read_only_udm.principal.process.pid`	Wird direkt aus dem Feld `pid` des JSON-Logs zugeordnet.
`pid`	`event.idm.read_only_udm.target.process.pid`	Direkt aus dem Feld `pid` des Rohlogs zugeordnet.
`port`	`event.idm.read_only_udm.target.port`	Direkt aus dem Feld `port` des JSON-Logs zugeordnet.
`principal.application`	`event.idm.read_only_udm.principal.application`	Direkt aus dem Feld `app_name` oder `service` des Rohlogs abgeleitet.
`principal.asset.hostname`	`event.idm.read_only_udm.principal.asset.hostname`	Wird direkt aus dem Feld `principal_hostname` oder `iporhost` des Rohlogs zugeordnet.
`principal.asset.ip`	`event.idm.read_only_udm.principal.asset.ip`	Direkt aus dem Feld `syslog_ip` des Rohlogs zugeordnet.
`principal.hostname`	`event.idm.read_only_udm.principal.hostname`	Wird direkt aus dem Feld `principal_hostname` oder `iporhost` des Rohlogs zugeordnet.
`principal.ip`	`event.idm.read_only_udm.principal.ip`	Wird direkt aus dem Feld `iporhost` oder `syslog_ip` des Rohlogs zugeordnet.
`principal.port`	`event.idm.read_only_udm.principal.port`	Direkt aus dem Feld `srcport` des Rohlogs zugeordnet.
`principal.process.command_line`	`event.idm.read_only_udm.principal.process.command_line`	Direkt aus dem Feld `cmd` des Rohlogs zugeordnet.
`principal.process.parent_process.pid`	`event.idm.read_only_udm.principal.process.parent_process.pid`	Direkt aus dem Feld `parent_pid` des Rohlogs zugeordnet.
`principal.process.pid`	`event.idm.read_only_udm.principal.process.pid`	Direkt aus dem Feld `process_id` des Rohlogs zugeordnet.
`principal.process.product_specific_process_id`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	Wird aus dem Feld `message_to_process` des Rohlogs extrahiert, normalerweise mit dem Präfix „opID:“.
`principal.url`	`event.idm.read_only_udm.principal.url`	Direkt aus dem Feld `prin_url` des Rohlogs zugeordnet.
`principal.user.company_name`	`event.idm.read_only_udm.principal.user.company_name`	Wird direkt aus dem Feld `fields.company_name` des JSON-Logs zugeordnet.
`principal.user.userid`	`event.idm.read_only_udm.principal.user.userid`	Direkt aus dem Feld `USER` des Rohlogs zugeordnet.
`priority`	`event.idm.read_only_udm.metadata.product_event_type`	Direkt aus dem Feld `priority` des Rohlogs zugeordnet.
`program`	`event.idm.read_only_udm.principal.application`	Wird direkt aus dem Feld `program` des JSON-Logs zugeordnet.
`qname`	`event.idm.read_only_udm.network.dns.questions.name`	Direkt aus dem Feld `qname` des Rohlogs zugeordnet.
`response_data`	`event.idm.read_only_udm.network.dns.answers.data`	Direkt aus dem Feld `response_data` des Rohlogs zugeordnet.
`response_rtype`	`event.idm.read_only_udm.network.dns.answers.type`	Direkt aus dem Feld `response_rtype` des Rohlogs zugeordnet. Der numerische DNS-Eintragstyp wird extrahiert.
`response_ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	Direkt aus dem Feld `response_ttl` des Rohlogs zugeordnet.
`rtype`	`event.idm.read_only_udm.network.dns.questions.type`	Direkt aus dem Feld `rtype` des Rohlogs zugeordnet. Der numerische DNS-Eintragstyp wird extrahiert.
`security_result.action`	`event.idm.read_only_udm.security_result.action`	Wird anhand von Keywords oder dem Status im Rohlog ermittelt. Kann `ALLOW` oder `BLOCK` sein.
`security_result.action_details`	`event.idm.read_only_udm.security_result.action_details`	Wird aus dem Rohprotokolleintrag extrahiert und bietet mehr Kontext zur ausgeführten Aktion.
`security_result.category`	`event.idm.read_only_udm.security_result.category`	Wird auf `POLICY_VIOLATION` gesetzt, wenn das Log eine Übereinstimmung mit einer Firewallregel angibt.
`security_result.description`	`event.idm.read_only_udm.security_result.description`	Aus dem Roh-Logeintrag extrahiert, um mehr Kontext zum Sicherheitsergebnis zu liefern.
`security_result.rule_id`	`event.idm.read_only_udm.security_result.rule_id`	Direkt aus dem Feld `rule_id` des Rohlogs zugeordnet.
`security_result.severity`	`event.idm.read_only_udm.security_result.severity`	Wird anhand von Schlüsselwörtern im Rohlog ermittelt, z. B. „info“, „warning“ oder „error“. Kann `INFORMATIONAL`, `LOW`, `MEDIUM` oder `HIGH` sein.
`security_result.severity_details`	`event.idm.read_only_udm.security_result.severity_details`	Direkt aus dem Feld `severity` oder `log.syslog.severity.name` des Rohlogs abgeleitet.
`security_result.summary`	`event.idm.read_only_udm.security_result.summary`	Aus dem rohen Logeintrag extrahiert, um eine prägnante Zusammenfassung des Sicherheitsergebnisses zu liefern.
`service`	`event.idm.read_only_udm.principal.application`	Direkt aus dem Feld `service` des Rohlogs zugeordnet.
`source`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Direkt aus dem Feld `source` des Rohlogs zugeordnet.
`src.file.full_path`	`event.idm.read_only_udm.src.file.full_path`	Aus dem Roh-Logeintrag extrahiert.
`src.hostname`	`event.idm.read_only_udm.src.hostname`	Direkt aus dem Feld `src.hostname` des Rohlogs zugeordnet.
`src_ip`	`event.idm.read_only_udm.principal.ip`	Direkt aus dem Feld `src_ip` des Rohlogs zugeordnet.
`src_mac_address`	`event.idm.read_only_udm.principal.mac`	Direkt aus dem Feld `src_mac_address` des Rohlogs zugeordnet.
`srcport`	`event.idm.read_only_udm.principal.port`	Direkt aus dem Feld `srcport` des Rohlogs zugeordnet.
`srcip`	`event.idm.read_only_udm.principal.ip`	Direkt aus dem Feld `srcip` des Rohlogs zugeordnet.
`subtype`	`event.idm.read_only_udm.metadata.event_type`	Direkt aus dem Feld `subtype` des Rohlogs zugeordnet.
`tags`	`event.idm.read_only_udm.metadata.tags`	Wird direkt aus dem Feld `tags` des JSON-Logs zugeordnet.
`target.application`	`event.idm.read_only_udm.target.application`	Direkt aus dem Feld `target_application` des Rohlogs zugeordnet.
`target.file.full_path`	`event.idm.read_only_udm.target.file.full_path`	Aus dem Roh-Logeintrag extrahiert.
`target.hostname`	`event.idm.read_only_udm.target.hostname`, `event.idm.read_only_udm.target.asset.hostname`	Wird direkt aus dem Feld `target_hostname` oder `iporhost` des Rohlogs zugeordnet.
`target.ip`	`event.idm.read_only_udm.target.ip`	Direkt aus dem Feld `target_ip` des Rohlogs zugeordnet.
`target.mac`	`event.idm.read_only_udm.target.mac`	Direkt aus dem Feld `target_mac_address` des Rohlogs zugeordnet.
`target.port`	`event.idm.read_only_udm.target.port`	Direkt aus dem Feld `target_port` des Rohlogs zugeordnet.
`target.process.command_line`	`event.idm.read_only_udm.target.process.command_line`	Direkt aus dem Feld `cmd` des Rohlogs zugeordnet.
`target.process.parent_process.pid`	`event.idm.read_only_udm.target.process.parent_process.pid`	Direkt aus dem Feld `parent_pid` des Rohlogs zugeordnet.
`target.process.pid`	`event.idm.read_only_udm.target.process.pid`	Direkt aus dem Feld `pid` des Rohlogs zugeordnet.
`target.process.product_specific_process_id`	`event.idm.read_only_udm.target.process.product_specific_process_id`	Wird aus dem Feld `message_to_process` des Rohlogs extrahiert, normalerweise mit dem Präfix „opID:“.
`target.resource.name`	`event.idm.read_only_udm.target.resource.name`	Direkt aus dem Feld `adapter` des Rohlogs zugeordnet.
`target.resource.resource_type`	`event.idm.read_only_udm.target.resource.resource_type`	Wird auf `VIRTUAL_MACHINE` gesetzt, wenn das Log einen VM-Vorgang angibt.
`target.resource.type`	`event.idm.read_only_udm.target.resource.type`	Wird auf `SETTING` gesetzt, wenn das Protokoll eine Änderung der Einstellungen angibt.
`target.user.userid`	`event.idm.read_only_udm.target.user.userid`	Direkt aus dem Feld `target_username` oder `user1` des Rohlogs abgeleitet.
`timestamp`	`event.timestamp`	Wird mit dem Filter `date` aus dem Feld `timestamp` oder `data` des Logs geparst und in ein Zeitstempelobjekt konvertiert.
`type`	`event.idm.read_only_udm.additional.fields`	Das Feld `type` des Logs wird dem Array `additional_fields` im UDM mit dem Schlüssel „LogType“ hinzugefügt.
`user1`	`event.idm.read_only_udm.target.user.userid`	Direkt aus dem Feld `user1` des Rohlogs zugeordnet.
`useragent`	`event.idm.read_only_udm.network.http.user_agent`	Direkt aus dem Feld `useragent` des Rohlogs zugeordnet.
`vmw_cluster`	`event.idm.read_only_udm.target.resource.name`	Direkt aus dem Feld `vmw_cluster` des Rohlogs zugeordnet.
`vmw_datacenter`	`event.idm.read_only_udm.target.resource.name`	Direkt aus dem Feld `vmw_datacenter` des Rohlogs zugeordnet.
`vmw_host`	`event.idm.read_only_udm.target.ip`	Direkt aus dem Feld `vmw_host` des Rohlogs zugeordnet.
`vmw_object_id`	`event.idm.read_only_udm.target.resource.id`	Direkt aus dem Feld `vmw_object_id` des Rohlogs zugeordnet.
`vmw_product`	`event.idm.read_only_udm.target.application`	Direkt aus dem Feld `vmw_product` des Rohlogs zugeordnet.
`vmw_vcenter`	`event.idm.read_only_udm.target.cloud.availability_zone`	Direkt aus dem Feld `vmw_vcenter` des Rohlogs zugeordnet.
`vmw_vcenter_id`	`event.idm.read_only_udm.target.cloud.availability_zone.id`	Direkt aus dem Feld `vmw_vcenter_id` des Rohlogs zugeordnet.
`vmw_vr_ops_appname`	`event.idm.read_only_udm.target.application`	Direkt aus dem Feld `vmw_vr_ops_appname` des Rohlogs zugeordnet.
`vmw_vr_ops_clustername`	`event.idm.read_only_udm.target.resource.name`	Direkt aus dem Feld `vmw_vr_ops_clustername` des Rohlogs zugeordnet.
`vmw_vr_ops_clusterrole`	`event.idm.read_only_udm.target.resource.type`	Direkt aus dem Feld `vmw_vr_ops_clusterrole` des Rohlogs zugeordnet.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten