Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux VMware ESXi

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux VMware ESXi dans Google Security Operations à l'aide de Bindplane. VMware ESXi est un hyperviseur Bare Metal qui s'installe directement sur des serveurs physiques pour les partitionner en plusieurs machines virtuelles. Les journaux ESXi capturent les événements du système hôte, l'activité d'authentification, les opérations des machines virtuelles, les événements de stockage et de réseau, ainsi que les messages du noyau de l'hyperviseur.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps.
Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd.
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
Accès privilégié à l'hôte VMware ESXi (rôle racine ou administrateur) via le client hôte ESXi ou le client vSphere.

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Installation sous Linux

Ouvrez un terminal avec des privilèges root ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Autres ressources d'installation

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Accédez au fichier de configuration :
- Trouvez le fichier config.yaml. En général, il se trouve dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
- Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Notepad).

Modifiez le fichier config.yaml comme suit :

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com.
Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
Remplacez YOUR_CUSTOMER_ID par le numéro client réel.
Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

Redémarrez l'agent BindPlane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :
```
sudo systemctl restart observiq-otel-collector
```
Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Configurer le transfert syslog VMware ESXi

ESXi est compatible avec le transfert syslog natif via UDP. Vous pouvez le configurer à l'aide du client hôte ESXi, du client vSphere ou du shell ESXi (SSH).

Option : ESXi Host Client ou vSphere Client

Connectez-vous au client hôte ESXi (https://<esxi-host>/ui) ou au client vSphere, puis sélectionnez l'hôte ESXi.
Accédez à Gérer > Système > Paramètres avancés.
Recherchez Syslog.global.logHost.
Cliquez sur Modifier et définissez la valeur sur :
- udp://<BINDPLANE_IP>:514
- Pour ajouter plusieurs serveurs Syslog, séparez-les par une virgule (par exemple, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).
Cliquez sur Enregistrer.
Recherchez Syslog.global.logDir pour vérifier que la journalisation locale est également activée (par exemple, [] /scratch/log).

Option : shell ESXi (SSH)

Connectez-vous à l'hôte ESXi via SSH.

Exécutez la commande suivante pour configurer le serveur syslog distant :

esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"

Rechargez le service syslog :
```
esxcli system syslog reload
```
Vérifiez la configuration :
```
esxcli system syslog config get
```

Configurer le pare-feu ESXi pour Syslog

Si le pare-feu ESXi est activé, ouvrez la règle de trafic sortant syslog. Connectez-vous via SSH et exécutez la commande suivante :
```
esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true
```
Actualisez les règles de pare-feu :
```
esxcli network firewall refresh
```

Vérifiez que la règle de pare-feu syslog est activée :

esxcli network firewall ruleset list | grep syslog

Pour en savoir plus, consultez la documentation VMware ESXi sur syslog.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
`@fields.alias`	`event.idm.read_only_udm.principal.cloud.project.alias`	Directement mappé à partir du champ `@fields.alias` du journal JSON.
`@fields.company_name`	`event.idm.read_only_udm.principal.user.company_name`	Mappé directement à partir du champ `@fields.company_name` du journal JSON.
`@fields.facility`	`event.idm.read_only_udm.principal.resource.type`	Directement mappé à partir du champ `@fields.facility` du journal JSON.
`@fields.host`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Mappé directement à partir du champ `@fields.host` du journal JSON.
`@fields.privatecloud_id`	`event.idm.read_only_udm.principal.cloud.project.id`	Mappé directement à partir du champ `@fields.privatecloud_id` du journal JSON.
`@fields.privatecloud_name`	`event.idm.read_only_udm.principal.cloud.project.name`	Directement mappé à partir du champ `@fields.privatecloud_name` du journal JSON.
`@fields.procid`	`event.idm.read_only_udm.principal.process.pid`	Mappé directement à partir du champ `@fields.procid` du journal JSON.
`@fields.region_id`	`event.idm.read_only_udm.principal.location.country_or_region`	Mappé directement à partir du champ `@fields.region_id` du journal JSON.
`@fields.severity`	`event.idm.read_only_udm.security_result.severity`	Mappé à partir du champ `@fields.severity` du journal JSON. Si la valeur est "info" ou similaire, elle est mappée sur "INFORMATIONAL".
`@timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	Analysé et converti en objet d'horodatage à partir du champ `@timestamp` du journal à l'aide du filtre `date`.
`adapter`	`event.idm.read_only_udm.target.resource.name`	Mappé directement à partir du champ `adapter` du journal brut.
`action`	`event.idm.read_only_udm.security_result.action`	Mappé directement à partir du champ `action` du journal brut. Les valeurs "ALLOW" et "BLOCK" sont utilisées.
`action`	`event.idm.read_only_udm.security_result.action_details`	Mappé directement à partir du champ `action` du journal brut. Des valeurs telles que "Redirect" sont utilisées.
`administrative_domain`	`event.idm.read_only_udm.principal.administrative_domain`	Mappé directement à partir du champ `administrative_domain` du journal brut.
`agent.hostname`	`event.idm.read_only_udm.intermediary.hostname`	Mappé directement à partir du champ `agent.hostname` du journal JSON.
`agent.id`	`event.idm.read_only_udm.intermediary.asset.id`	Directement mappé à partir du champ `agent.id` du journal JSON.
`agent.name`	`event.idm.read_only_udm.intermediary.asset.name`	Mappé directement à partir du champ `agent.name` du journal JSON.
`agent.type`	`event.idm.read_only_udm.intermediary.asset.type`	Directement mappé à partir du champ `agent.type` du journal JSON.
`agent.version`	`event.idm.read_only_udm.intermediary.asset.version`	Mappé directement à partir du champ `agent.version` du journal JSON.
`app_name`	`event.idm.read_only_udm.principal.application`	Mappé directement à partir du champ `app_name` du journal brut.
`app_protocol`	`event.idm.read_only_udm.network.application_protocol`	Mappé directement à partir du champ `app_protocol` du journal brut. Si la valeur correspond à "http" (non sensible à la casse), elle est mappée à "HTTP".
`application`	`event.idm.read_only_udm.principal.application`	Mappé directement à partir du champ `program` du journal JSON.
`cmd`	`event.idm.read_only_udm.target.process.command_line`	Mappé directement à partir du champ `cmd` du journal brut.
`collection_time`	`event.idm.read_only_udm.metadata.event_timestamp`	Les nanosecondes du champ `collection_time` sont ajoutées aux secondes du champ `collection_time` pour créer `event_timestamp`.
`data`	`event.idm.read_only_udm.metadata.description`	Le message de journal brut est analysé, et les parties pertinentes sont extraites pour renseigner le champ de description.
`descrip`	`event.idm.read_only_udm.metadata.description`	Mappé directement à partir du champ `descrip` du journal brut.
`dns.answers.data`	`event.idm.read_only_udm.network.dns.answers.data`	Directement mappé à partir du champ `dns.answers.data` du journal JSON.
`dns.answers.ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	Mappé directement à partir du champ `dns.answers.ttl` du journal JSON.
`dns.answers.type`	`event.idm.read_only_udm.network.dns.answers.type`	Mappé directement à partir du champ `dns.answers.type` du journal JSON.
`dns.questions.name`	`event.idm.read_only_udm.network.dns.questions.name`	Directement mappé à partir du champ `dns.questions.name` du journal JSON.
`dns.questions.type`	`event.idm.read_only_udm.network.dns.questions.type`	Mappé directement à partir du champ `dns.questions.type` du journal JSON.
`dns.response`	`event.idm.read_only_udm.network.dns.response`	Directement mappé à partir du champ `dns.response` du journal JSON.
`ecs.version`	`event.idm.read_only_udm.metadata.product_version`	Mappé directement à partir du champ `ecs.version` du journal JSON.
`event_message`	`event.idm.read_only_udm.metadata.description`	Mappé directement à partir du champ `event_message` du journal JSON.
`event_metadata`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	Le champ `event_metadata` est analysé pour extraire la valeur `opID`, qui est ensuite précédée de "opID:" et mappée à l'UDM.
`event_type`	`event.idm.read_only_udm.metadata.event_type`	Mappé directement à partir du champ `event_type` du journal JSON.
`filepath`	`event.idm.read_only_udm.target.file.full_path`	Mappé directement à partir du champ `filepath` du journal brut.
`fields.company_name`	`event.idm.read_only_udm.principal.user.company_name`	Mappé directement à partir du champ `fields.company_name` du journal JSON.
`fields.facility`	`event.idm.read_only_udm.principal.resource.type`	Mappé directement à partir du champ `fields.facility` du journal JSON.
`fields.host`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Directement mappé à partir du champ `fields.host` du journal JSON.
`fields.privatecloud_id`	`event.idm.read_only_udm.principal.cloud.project.id`	Mappé directement à partir du champ `fields.privatecloud_id` du journal JSON.
`fields.privatecloud_name`	`event.idm.read_only_udm.principal.cloud.project.name`	Mappé directement à partir du champ `fields.privatecloud_name` du journal JSON.
`fields.procid`	`event.idm.read_only_udm.principal.process.pid`	Mappé directement à partir du champ `fields.procid` du journal JSON.
`fields.region_id`	`event.idm.read_only_udm.principal.location.country_or_region`	Mappé directement à partir du champ `fields.region_id` du journal JSON.
`fields.severity`	`event.idm.read_only_udm.security_result.severity`	Mappé à partir du champ `fields.severity` du journal JSON. Si la valeur est "info" ou similaire, elle est mappée sur "INFORMATIONAL".
`host.architecture`	`event.idm.read_only_udm.principal.asset.architecture`	Directement mappé à partir du champ `host.architecture` du journal JSON.
`host.containerized`	`event.idm.read_only_udm.principal.asset.containerized`	Mappé directement à partir du champ `host.containerized` du journal JSON.
`host.hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Mappé directement à partir du champ `host.hostname` du journal JSON.
`host.id`	`event.idm.read_only_udm.principal.asset.id`	Mappé directement à partir du champ `host.id` du journal JSON.
`host.ip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Mappé directement à partir du champ `host.ip` du journal JSON.
`host.mac`	`event.idm.read_only_udm.principal.mac`, `event.idm.read_only_udm.principal.asset.mac`	Directement mappé à partir du champ `host.mac` du journal JSON.
`host.name`	`event.idm.read_only_udm.principal.asset.name`	Mappé directement à partir du champ `host.name` du journal JSON.
`host.os.codename`	`event.idm.read_only_udm.principal.asset.os.codename`	Mappé directement à partir du champ `host.os.codename` du journal JSON.
`host.os.family`	`event.idm.read_only_udm.principal.asset.os.family`	Mappé directement à partir du champ `host.os.family` du journal JSON.
`host.os.kernel`	`event.idm.read_only_udm.principal.asset.os.kernel`	Directement mappé à partir du champ `host.os.kernel` du journal JSON.
`host.os.name`	`event.idm.read_only_udm.principal.asset.os.name`	Mappé directement à partir du champ `host.os.name` du journal JSON.
`host.os.platform`	`event.idm.read_only_udm.principal.asset.os.platform`	Mappé directement à partir du champ `host.os.platform` du journal JSON.
`host.os.version`	`event.idm.read_only_udm.principal.asset.os.version`	Directement mappé à partir du champ `host.os.version` du journal JSON.
`iporhost`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Mappé directement à partir du champ `iporhost` du journal brut.
`iporhost`	`event.idm.read_only_udm.principal.ip`	Mappé directement à partir du champ `iporhost` du journal brut s'il s'agit d'une adresse IP.
`iporhost1`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Mappé directement à partir du champ `iporhost1` du journal brut.
`kv_data1`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	Le champ `kv_data1` est analysé pour extraire la valeur `opID` ou `sub`, qui est ensuite précédée de "opID:" ou "sub:" respectivement, et mappée à l'UDM.
`kv_msg`	`event.idm.read_only_udm.additional.fields`	Le champ `kv_msg` est analysé en tant que paires clé-valeur et ajouté au tableau `additional_fields` dans l'UDM.
`kv_msg1`	`event.idm.read_only_udm.additional.fields`	Le champ `kv_msg1` est analysé en tant que paires clé-valeur et ajouté au tableau `additional_fields` dans l'UDM.
`lbdn`	`event.idm.read_only_udm.target.hostname`	Mappé directement à partir du champ `lbdn` du journal brut.
`log.source.address`	`event.idm.read_only_udm.observer.hostname`	Mappé directement à partir du champ `log.source.address` du journal JSON, en ne prenant que la partie du nom d'hôte.
`log_event.original`	`event.idm.read_only_udm.metadata.description`	Directement mappé à partir du champ `event.original` du journal JSON.
`log_level`	`event.idm.read_only_udm.security_result.severity_details`	Directement mappé à partir du champ `log_level` du journal JSON.
`logstash.collect.host`	`event.idm.read_only_udm.observer.hostname`	Directement mappé à partir du champ `logstash.collect.host` du journal JSON.
`logstash.collect.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	Analysé et converti en objet d'horodatage à partir du champ `logstash.collect.timestamp` du journal à l'aide du filtre `date`.
`logstash.ingest.host`	`event.idm.read_only_udm.intermediary.hostname`	Mappé directement à partir du champ `logstash.ingest.host` du journal JSON.
`logstash.ingest.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	Analysé et converti en objet d'horodatage à partir du champ `logstash.ingest.timestamp` du journal à l'aide du filtre `date`.
`logstash.process.host`	`event.idm.read_only_udm.intermediary.hostname`	Mappé directement à partir du champ `logstash.process.host` du journal JSON.
`logstash.process.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	Analysé et converti en objet d'horodatage à partir du champ `logstash.process.timestamp` du journal à l'aide du filtre `date`.
`log_type`	`event.idm.read_only_udm.metadata.log_type`	Mappé directement à partir du champ `log_type` du journal brut.
`message`	`event.idm.read_only_udm.metadata.description`	Directement mappé à partir du champ `message` du journal JSON.
`message_to_process`	`event.idm.read_only_udm.metadata.description`	Mappé directement à partir du champ `message_to_process` du journal brut.
`metadata.event_type`	`event.idm.read_only_udm.metadata.event_type`	Définie initialement sur "GENERIC_EVENT", puis potentiellement écrasée en fonction du `service` analysé ou d'un autre contenu de journal. Il peut s'agir de valeurs telles que `PROCESS_LAUNCH`, `NETWORK_CONNECTION`, `USER_LOGIN`, etc.
`metadata.product_event_type`	`event.idm.read_only_udm.metadata.product_event_type`	Mappé directement à partir du champ `process_id` ou `prod_event_type` du journal brut.
`metadata.product_log_id`	`event.idm.read_only_udm.metadata.product_log_id`	Mappé directement à partir du champ `event_id` du journal brut.
`metadata.product_name`	`event.idm.read_only_udm.metadata.product_name`	Défini sur "ESX".
`metadata.product_version`	`event.idm.read_only_udm.metadata.product_version`	Mappé directement à partir du champ `version` du journal JSON.
`metadata.vendor_name`	`event.idm.read_only_udm.metadata.vendor_name`	Définissez cette option sur "VMWARE".
`msg`	`event.idm.read_only_udm.metadata.description`	Mappé directement à partir du champ `msg` du journal brut.
`network.application_protocol`	`event.idm.read_only_udm.network.application_protocol`	Définissez sur "DNS" si `service` est "named", "HTTPS" si le port est 443 ou "HTTP" si `app_protocol` correspond à "http".
`network.direction`	`event.idm.read_only_udm.network.direction`	Déterminé à partir des mots clés du journal brut, tels que "IN", "OUT" ou "->". Peut être `INBOUND` ou `OUTBOUND`.
`network.http.method`	`event.idm.read_only_udm.network.http.method`	Mappé directement à partir du champ `method` du journal brut.
`network.http.parsed_user_agent`	`event.idm.read_only_udm.network.http.parsed_user_agent`	Analysé à partir du champ `useragent` à l'aide du filtre `convert`.
`network.http.referral_url`	`event.idm.read_only_udm.network.http.referral_url`	Mappé directement à partir du champ `prin_url` du journal brut.
`network.http.response_code`	`event.idm.read_only_udm.network.http.response_code`	Mappé directement à partir du champ `status_code` du journal brut et converti en entier.
`network.http.user_agent`	`event.idm.read_only_udm.network.http.user_agent`	Mappé directement à partir du champ `useragent` du journal brut.
`network.ip_protocol`	`event.idm.read_only_udm.network.ip_protocol`	Déterminé à partir de mots clés dans le journal brut, tels que "TCP" ou "UDP".
`network.received_bytes`	`event.idm.read_only_udm.network.received_bytes`	Mappé directement à partir du champ `rec_bytes` du journal brut et converti en entier non signé.
`network.sent_bytes`	`event.idm.read_only_udm.network.sent_bytes`	Extrait du champ `message_to_process` du journal brut.
`network.session_id`	`event.idm.read_only_udm.network.session_id`	Mappé directement à partir du champ `session` du journal brut.
`pid`	`event.idm.read_only_udm.target.process.parent_process.pid`	Mappé directement à partir du champ `pid` du journal brut.
`pid`	`event.idm.read_only_udm.principal.process.pid`	Mappé directement à partir du champ `pid` du journal JSON.
`pid`	`event.idm.read_only_udm.target.process.pid`	Mappé directement à partir du champ `pid` du journal brut.
`port`	`event.idm.read_only_udm.target.port`	Mappé directement à partir du champ `port` du journal JSON.
`principal.application`	`event.idm.read_only_udm.principal.application`	Directement mappé à partir du champ `app_name` ou `service` du journal brut.
`principal.asset.hostname`	`event.idm.read_only_udm.principal.asset.hostname`	Directement mappé à partir du champ `principal_hostname` ou `iporhost` du journal brut.
`principal.asset.ip`	`event.idm.read_only_udm.principal.asset.ip`	Mappé directement à partir du champ `syslog_ip` du journal brut.
`principal.hostname`	`event.idm.read_only_udm.principal.hostname`	Mappé directement à partir du champ `principal_hostname` ou `iporhost` du journal brut.
`principal.ip`	`event.idm.read_only_udm.principal.ip`	Directement mappé à partir du champ `iporhost` ou `syslog_ip` du journal brut.
`principal.port`	`event.idm.read_only_udm.principal.port`	Mappé directement à partir du champ `srcport` du journal brut.
`principal.process.command_line`	`event.idm.read_only_udm.principal.process.command_line`	Mappé directement à partir du champ `cmd` du journal brut.
`principal.process.parent_process.pid`	`event.idm.read_only_udm.principal.process.parent_process.pid`	Mappé directement à partir du champ `parent_pid` du journal brut.
`principal.process.pid`	`event.idm.read_only_udm.principal.process.pid`	Mappé directement à partir du champ `process_id` du journal brut.
`principal.process.product_specific_process_id`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	Extrait du champ `message_to_process` du journal brut, généralement précédé de "opID:".
`principal.url`	`event.idm.read_only_udm.principal.url`	Mappé directement à partir du champ `prin_url` du journal brut.
`principal.user.company_name`	`event.idm.read_only_udm.principal.user.company_name`	Mappé directement à partir du champ `fields.company_name` du journal JSON.
`principal.user.userid`	`event.idm.read_only_udm.principal.user.userid`	Mappé directement à partir du champ `USER` du journal brut.
`priority`	`event.idm.read_only_udm.metadata.product_event_type`	Mappé directement à partir du champ `priority` du journal brut.
`program`	`event.idm.read_only_udm.principal.application`	Directement mappé à partir du champ `program` du journal JSON.
`qname`	`event.idm.read_only_udm.network.dns.questions.name`	Mappé directement à partir du champ `qname` du journal brut.
`response_data`	`event.idm.read_only_udm.network.dns.answers.data`	Mappé directement à partir du champ `response_data` du journal brut.
`response_rtype`	`event.idm.read_only_udm.network.dns.answers.type`	Mappé directement à partir du champ `response_rtype` du journal brut. Le type d'enregistrement DNS numérique est extrait.
`response_ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	Mappé directement à partir du champ `response_ttl` du journal brut.
`rtype`	`event.idm.read_only_udm.network.dns.questions.type`	Mappé directement à partir du champ `rtype` du journal brut. Le type d'enregistrement DNS numérique est extrait.
`security_result.action`	`event.idm.read_only_udm.security_result.action`	Déterminé à partir des mots clés ou de l'état dans le journal brut. Il peut s'agir de `ALLOW` ou `BLOCK`.
`security_result.action_details`	`event.idm.read_only_udm.security_result.action_details`	Extrait du message de journal brut, fournissant plus de contexte sur l'action effectuée.
`security_result.category`	`event.idm.read_only_udm.security_result.category`	Définie sur `POLICY_VIOLATION` si le journal indique une correspondance avec une règle de pare-feu.
`security_result.description`	`event.idm.read_only_udm.security_result.description`	Extrait du message de journal brut, fournissant plus de contexte sur le résultat de sécurité.
`security_result.rule_id`	`event.idm.read_only_udm.security_result.rule_id`	Mappé directement à partir du champ `rule_id` du journal brut.
`security_result.severity`	`event.idm.read_only_udm.security_result.severity`	Déterminé à partir des mots clés du journal brut, tels que "info", "avertissement" ou "erreur". Il peut s'agir de `INFORMATIONAL`, `LOW`, `MEDIUM` ou `HIGH`.
`security_result.severity_details`	`event.idm.read_only_udm.security_result.severity_details`	Directement mappé à partir du champ `severity` ou `log.syslog.severity.name` du journal brut.
`security_result.summary`	`event.idm.read_only_udm.security_result.summary`	Extrait du message de journal brut, il fournit un résumé concis du résultat de sécurité.
`service`	`event.idm.read_only_udm.principal.application`	Mappé directement à partir du champ `service` du journal brut.
`source`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Mappé directement à partir du champ `source` du journal brut.
`src.file.full_path`	`event.idm.read_only_udm.src.file.full_path`	Extrait du message de journal brut.
`src.hostname`	`event.idm.read_only_udm.src.hostname`	Mappé directement à partir du champ `src.hostname` du journal brut.
`src_ip`	`event.idm.read_only_udm.principal.ip`	Mappé directement à partir du champ `src_ip` du journal brut.
`src_mac_address`	`event.idm.read_only_udm.principal.mac`	Mappé directement à partir du champ `src_mac_address` du journal brut.
`srcport`	`event.idm.read_only_udm.principal.port`	Mappé directement à partir du champ `srcport` du journal brut.
`srcip`	`event.idm.read_only_udm.principal.ip`	Mappé directement à partir du champ `srcip` du journal brut.
`subtype`	`event.idm.read_only_udm.metadata.event_type`	Mappé directement à partir du champ `subtype` du journal brut.
`tags`	`event.idm.read_only_udm.metadata.tags`	Directement mappé à partir du champ `tags` du journal JSON.
`target.application`	`event.idm.read_only_udm.target.application`	Mappé directement à partir du champ `target_application` du journal brut.
`target.file.full_path`	`event.idm.read_only_udm.target.file.full_path`	Extrait du message de journal brut.
`target.hostname`	`event.idm.read_only_udm.target.hostname`, `event.idm.read_only_udm.target.asset.hostname`	Mappé directement à partir du champ `target_hostname` ou `iporhost` du journal brut.
`target.ip`	`event.idm.read_only_udm.target.ip`	Mappé directement à partir du champ `target_ip` du journal brut.
`target.mac`	`event.idm.read_only_udm.target.mac`	Mappé directement à partir du champ `target_mac_address` du journal brut.
`target.port`	`event.idm.read_only_udm.target.port`	Mappé directement à partir du champ `target_port` du journal brut.
`target.process.command_line`	`event.idm.read_only_udm.target.process.command_line`	Mappé directement à partir du champ `cmd` du journal brut.
`target.process.parent_process.pid`	`event.idm.read_only_udm.target.process.parent_process.pid`	Mappé directement à partir du champ `parent_pid` du journal brut.
`target.process.pid`	`event.idm.read_only_udm.target.process.pid`	Mappé directement à partir du champ `pid` du journal brut.
`target.process.product_specific_process_id`	`event.idm.read_only_udm.target.process.product_specific_process_id`	Extrait du champ `message_to_process` du journal brut, généralement précédé de "opID:".
`target.resource.name`	`event.idm.read_only_udm.target.resource.name`	Mappé directement à partir du champ `adapter` du journal brut.
`target.resource.resource_type`	`event.idm.read_only_udm.target.resource.resource_type`	Définissez cette option sur `VIRTUAL_MACHINE` si le journal indique une opération de VM.
`target.resource.type`	`event.idm.read_only_udm.target.resource.type`	Défini sur `SETTING` si le journal indique une modification de paramètre.
`target.user.userid`	`event.idm.read_only_udm.target.user.userid`	Mappé directement à partir du champ `target_username` ou `user1` du journal brut.
`timestamp`	`event.timestamp`	Analysé et converti en objet d'horodatage à partir du champ `timestamp` ou `data` du journal à l'aide du filtre `date`.
`type`	`event.idm.read_only_udm.additional.fields`	Le champ `type` du journal est ajouté au tableau `additional_fields` dans l'UDM avec la clé "LogType".
`user1`	`event.idm.read_only_udm.target.user.userid`	Mappé directement à partir du champ `user1` du journal brut.
`useragent`	`event.idm.read_only_udm.network.http.user_agent`	Mappé directement à partir du champ `useragent` du journal brut.
`vmw_cluster`	`event.idm.read_only_udm.target.resource.name`	Mappé directement à partir du champ `vmw_cluster` du journal brut.
`vmw_datacenter`	`event.idm.read_only_udm.target.resource.name`	Mappé directement à partir du champ `vmw_datacenter` du journal brut.
`vmw_host`	`event.idm.read_only_udm.target.ip`	Mappé directement à partir du champ `vmw_host` du journal brut.
`vmw_object_id`	`event.idm.read_only_udm.target.resource.id`	Mappé directement à partir du champ `vmw_object_id` du journal brut.
`vmw_product`	`event.idm.read_only_udm.target.application`	Mappé directement à partir du champ `vmw_product` du journal brut.
`vmw_vcenter`	`event.idm.read_only_udm.target.cloud.availability_zone`	Mappé directement à partir du champ `vmw_vcenter` du journal brut.
`vmw_vcenter_id`	`event.idm.read_only_udm.target.cloud.availability_zone.id`	Mappé directement à partir du champ `vmw_vcenter_id` du journal brut.
`vmw_vr_ops_appname`	`event.idm.read_only_udm.target.application`	Mappé directement à partir du champ `vmw_vr_ops_appname` du journal brut.
`vmw_vr_ops_clustername`	`event.idm.read_only_udm.target.resource.name`	Mappé directement à partir du champ `vmw_vr_ops_clustername` du journal brut.
`vmw_vr_ops_clusterrole`	`event.idm.read_only_udm.target.resource.type`	Mappé directement à partir du champ `vmw_vr_ops_clusterrole` du journal brut.

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.