Collecter les journaux VMware ESXi

Compatible avec :

Ce document explique comment ingérer des journaux VMware ESXi dans Google Security Operations à l'aide de Bindplane. VMware ESXi est un hyperviseur Bare Metal qui s'installe directement sur des serveurs physiques pour les partitionner en plusieurs machines virtuelles. Les journaux ESXi enregistrent les événements du système hôte, l'activité d'authentification, les opérations de machine virtuelle, les événements de stockage et de réseau, ainsi que les messages du noyau de l'hyperviseur.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd.
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à l'hôte VMware ESXi (rôle racine ou administrateur) via le client ESXi Host ou vSphere.

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Agents de collecte.

  3. Téléchargez le fichier d'authentification d'ingestion.

    • Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Autres ressources d'installation

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
  • Remplacez YOUR_CUSTOMER_ID par le numéro client réel.
  • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier d'authentification que vous avez enregistré à l'étape 1.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  1. Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Pour redémarrer l'agent Bindplane dans Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurer le transfert syslog VMware ESXi

ESXi est compatible avec le transfert syslog natif via UDP. Vous pouvez le configurer à l'aide d'ESXi Host Client, de vSphere Client ou d'ESXi Shell (SSH).

Option : ESXi Host Client ou vSphere Client

  1. Connectez-vous à l'ESXi Host Client (https://<esxi-host>/ui) ou au vSphere Client, puis sélectionnez l'hôte ESXi.
  2. Accédez à Gérer > Système > Paramètres avancés.
  3. Recherchez Syslog.global.logHost.

  4. Cliquez sur Modifier et définissez la valeur sur :

    • udp://<BINDPLANE_IP>:514
    • Pour ajouter plusieurs serveurs Syslog, séparez-les par une virgule (par exemple, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).

  5. Cliquez sur Enregistrer.

  6. Recherchez Syslog.global.logDir pour vérifier que la journalisation locale est également activée (par exemple, [] /scratch/log).

Option : shell ESXi (SSH)

  1. Connectez-vous à l'hôte ESXi via SSH.

  2. Exécutez la commande suivante pour configurer le serveur syslog distant :

    esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"

  3. Rechargez le service syslog :

    esxcli system syslog reload

  4. Vérifiez la configuration :

    esxcli system syslog config get

Configurer le pare-feu ESXi pour Syslog

  1. Si le pare-feu ESXi est activé, ouvrez la règle de trafic sortant syslog. Connectez-vous via SSH et exécutez la commande suivante :

    esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true

  2. Actualisez les règles de pare-feu :

    esxcli network firewall refresh

  3. Vérifiez que la règle de pare-feu syslog est activée :

    esxcli network firewall ruleset list | grep syslog

Pour en savoir plus, consultez la documentation VMware ESXi sur syslog.

Table de mappage UDM

Champ de journal Mappage UDM Logique
@fields.alias event.idm.read_only_udm.principal.cloud.project.alias Directement mappé à partir du champ @fields.alias du journal JSON.
@fields.company_name event.idm.read_only_udm.principal.user.company_name Directement mappé à partir du champ @fields.company_name du journal JSON.
@fields.facility event.idm.read_only_udm.principal.resource.type Directement mappé à partir du champ @fields.facility du journal JSON.
@fields.host event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Directement mappé à partir du champ @fields.host du journal JSON.
@fields.privatecloud_id event.idm.read_only_udm.principal.cloud.project.id Directement mappé à partir du champ @fields.privatecloud_id du journal JSON.
@fields.privatecloud_name event.idm.read_only_udm.principal.cloud.project.name Directement mappé à partir du champ @fields.privatecloud_name du journal JSON.
@fields.procid event.idm.read_only_udm.principal.process.pid Directement mappé à partir du champ @fields.procid du journal JSON.
@fields.region_id event.idm.read_only_udm.principal.location.country_or_region Directement mappé à partir du champ @fields.region_id du journal JSON.
@fields.severity event.idm.read_only_udm.security_result.severity Mappé à partir du champ @fields.severity du journal JSON. Si la valeur est "info" ou similaire, elle est mappée sur "INFORMATIONAL".
@timestamp event.idm.read_only_udm.metadata.event_timestamp Analysé et converti en objet d'horodatage à partir du champ @timestamp du journal à l'aide du filtre date.
adapter event.idm.read_only_udm.target.resource.name Mappé directement à partir du champ adapter du journal brut.
action event.idm.read_only_udm.security_result.action Mappé directement à partir du champ action du journal brut. Des valeurs telles que "ALLOW" (AUTORISER) et "BLOCK" (BLOQUER) sont utilisées.
action event.idm.read_only_udm.security_result.action_details Mappé directement à partir du champ action du journal brut. Des valeurs telles que "Redirection" sont utilisées.
administrative_domain event.idm.read_only_udm.principal.administrative_domain Mappé directement à partir du champ administrative_domain du journal brut.
agent.hostname event.idm.read_only_udm.intermediary.hostname Directement mappé à partir du champ agent.hostname du journal JSON.
agent.id event.idm.read_only_udm.intermediary.asset.id Directement mappé à partir du champ agent.id du journal JSON.
agent.name event.idm.read_only_udm.intermediary.asset.name Directement mappé à partir du champ agent.name du journal JSON.
agent.type event.idm.read_only_udm.intermediary.asset.type Directement mappé à partir du champ agent.type du journal JSON.
agent.version event.idm.read_only_udm.intermediary.asset.version Directement mappé à partir du champ agent.version du journal JSON.
app_name event.idm.read_only_udm.principal.application Mappé directement à partir du champ app_name du journal brut.
app_protocol event.idm.read_only_udm.network.application_protocol Mappé directement à partir du champ app_protocol du journal brut. Si la valeur correspond à "http" (sans tenir compte de la casse), elle est mappée sur "HTTP".
application event.idm.read_only_udm.principal.application Directement mappé à partir du champ program du journal JSON.
cmd event.idm.read_only_udm.target.process.command_line Mappé directement à partir du champ cmd du journal brut.
collection_time event.idm.read_only_udm.metadata.event_timestamp Les nanosecondes du champ collection_time sont ajoutées aux secondes du champ collection_time pour créer event_timestamp.
data event.idm.read_only_udm.metadata.description Le message de journal brut est analysé et les parties pertinentes sont extraites pour remplir le champ de description.
descrip event.idm.read_only_udm.metadata.description Mappé directement à partir du champ descrip du journal brut.
dns.answers.data event.idm.read_only_udm.network.dns.answers.data Directement mappé à partir du champ dns.answers.data du journal JSON.
dns.answers.ttl event.idm.read_only_udm.network.dns.answers.ttl Directement mappé à partir du champ dns.answers.ttl du journal JSON.
dns.answers.type event.idm.read_only_udm.network.dns.answers.type Directement mappé à partir du champ dns.answers.type du journal JSON.
dns.questions.name event.idm.read_only_udm.network.dns.questions.name Directement mappé à partir du champ dns.questions.name du journal JSON.
dns.questions.type event.idm.read_only_udm.network.dns.questions.type Directement mappé à partir du champ dns.questions.type du journal JSON.
dns.response event.idm.read_only_udm.network.dns.response Directement mappé à partir du champ dns.response du journal JSON.
ecs.version event.idm.read_only_udm.metadata.product_version Directement mappé à partir du champ ecs.version du journal JSON.
event_message event.idm.read_only_udm.metadata.description Directement mappé à partir du champ event_message du journal JSON.
event_metadata event.idm.read_only_udm.principal.process.product_specific_process_id Le champ event_metadata est analysé pour extraire la valeur opID, qui est ensuite précédée de "opID:" et mappée à l'UDM.
event_type event.idm.read_only_udm.metadata.event_type Directement mappé à partir du champ event_type du journal JSON.
filepath event.idm.read_only_udm.target.file.full_path Mappé directement à partir du champ filepath du journal brut.
fields.company_name event.idm.read_only_udm.principal.user.company_name Directement mappé à partir du champ fields.company_name du journal JSON.
fields.facility event.idm.read_only_udm.principal.resource.type Directement mappé à partir du champ fields.facility du journal JSON.
fields.host event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Directement mappé à partir du champ fields.host du journal JSON.
fields.privatecloud_id event.idm.read_only_udm.principal.cloud.project.id Directement mappé à partir du champ fields.privatecloud_id du journal JSON.
fields.privatecloud_name event.idm.read_only_udm.principal.cloud.project.name Directement mappé à partir du champ fields.privatecloud_name du journal JSON.
fields.procid event.idm.read_only_udm.principal.process.pid Directement mappé à partir du champ fields.procid du journal JSON.
fields.region_id event.idm.read_only_udm.principal.location.country_or_region Directement mappé à partir du champ fields.region_id du journal JSON.
fields.severity event.idm.read_only_udm.security_result.severity Mappé à partir du champ fields.severity du journal JSON. Si la valeur est "info" ou similaire, elle est mappée sur "INFORMATIONAL".
host.architecture event.idm.read_only_udm.principal.asset.architecture Directement mappé à partir du champ host.architecture du journal JSON.
host.containerized event.idm.read_only_udm.principal.asset.containerized Directement mappé à partir du champ host.containerized du journal JSON.
host.hostname event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Directement mappé à partir du champ host.hostname du journal JSON.
host.id event.idm.read_only_udm.principal.asset.id Directement mappé à partir du champ host.id du journal JSON.
host.ip event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Directement mappé à partir du champ host.ip du journal JSON.
host.mac event.idm.read_only_udm.principal.mac, event.idm.read_only_udm.principal.asset.mac Directement mappé à partir du champ host.mac du journal JSON.
host.name event.idm.read_only_udm.principal.asset.name Directement mappé à partir du champ host.name du journal JSON.
host.os.codename event.idm.read_only_udm.principal.asset.os.codename Directement mappé à partir du champ host.os.codename du journal JSON.
host.os.family event.idm.read_only_udm.principal.asset.os.family Directement mappé à partir du champ host.os.family du journal JSON.
host.os.kernel event.idm.read_only_udm.principal.asset.os.kernel Directement mappé à partir du champ host.os.kernel du journal JSON.
host.os.name event.idm.read_only_udm.principal.asset.os.name Directement mappé à partir du champ host.os.name du journal JSON.
host.os.platform event.idm.read_only_udm.principal.asset.os.platform Directement mappé à partir du champ host.os.platform du journal JSON.
host.os.version event.idm.read_only_udm.principal.asset.os.version Directement mappé à partir du champ host.os.version du journal JSON.
iporhost event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mappé directement à partir du champ iporhost du journal brut.
iporhost event.idm.read_only_udm.principal.ip Mappé directement à partir du champ iporhost du journal brut s'il s'agit d'une adresse IP.
iporhost1 event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mappé directement à partir du champ iporhost1 du journal brut.
kv_data1 event.idm.read_only_udm.principal.process.product_specific_process_id Le champ kv_data1 est analysé pour extraire la valeur opID ou sub, qui est ensuite précédée de "opID:" ou "sub:", respectivement, et mappée à l'UDM.
kv_msg event.idm.read_only_udm.additional.fields Le champ kv_msg est analysé en tant que paires clé-valeur et ajouté au tableau additional_fields dans l'UDM.
kv_msg1 event.idm.read_only_udm.additional.fields Le champ kv_msg1 est analysé en tant que paires clé-valeur et ajouté au tableau additional_fields dans l'UDM.
lbdn event.idm.read_only_udm.target.hostname Mappé directement à partir du champ lbdn du journal brut.
log.source.address event.idm.read_only_udm.observer.hostname Mappé directement à partir du champ log.source.address du journal JSON, en ne prenant que la partie du nom d'hôte.
log_event.original event.idm.read_only_udm.metadata.description Directement mappé à partir du champ event.original du journal JSON.
log_level event.idm.read_only_udm.security_result.severity_details Directement mappé à partir du champ log_level du journal JSON.
logstash.collect.host event.idm.read_only_udm.observer.hostname Directement mappé à partir du champ logstash.collect.host du journal JSON.
logstash.collect.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Analysé et converti en objet d'horodatage à partir du champ logstash.collect.timestamp du journal à l'aide du filtre date.
logstash.ingest.host event.idm.read_only_udm.intermediary.hostname Directement mappé à partir du champ logstash.ingest.host du journal JSON.
logstash.ingest.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Analysé et converti en objet d'horodatage à partir du champ logstash.ingest.timestamp du journal à l'aide du filtre date.
logstash.process.host event.idm.read_only_udm.intermediary.hostname Directement mappé à partir du champ logstash.process.host du journal JSON.
logstash.process.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Analysé et converti en objet d'horodatage à partir du champ logstash.process.timestamp du journal à l'aide du filtre date.
log_type event.idm.read_only_udm.metadata.log_type Mappé directement à partir du champ log_type du journal brut.
message event.idm.read_only_udm.metadata.description Directement mappé à partir du champ message du journal JSON.
message_to_process event.idm.read_only_udm.metadata.description Mappé directement à partir du champ message_to_process du journal brut.
metadata.event_type event.idm.read_only_udm.metadata.event_type La valeur est initialement définie sur "GENERIC_EVENT", puis peut être remplacée en fonction du contenu service analysé ou d'autres contenus de journaux. Il peut s'agir de valeurs telles que PROCESS_LAUNCH, NETWORK_CONNECTION, USER_LOGIN, etc.
metadata.product_event_type event.idm.read_only_udm.metadata.product_event_type Directement mappé à partir du champ process_id ou prod_event_type du journal brut.
metadata.product_log_id event.idm.read_only_udm.metadata.product_log_id Mappé directement à partir du champ event_id du journal brut.
metadata.product_name event.idm.read_only_udm.metadata.product_name Défini sur "ESX".
metadata.product_version event.idm.read_only_udm.metadata.product_version Directement mappé à partir du champ version du journal JSON.
metadata.vendor_name event.idm.read_only_udm.metadata.vendor_name Défini sur "VMWARE".
msg event.idm.read_only_udm.metadata.description Mappé directement à partir du champ msg du journal brut.
network.application_protocol event.idm.read_only_udm.network.application_protocol Définissez la valeur sur "DNS" si service est "named", sur "HTTPS" si le port est 443 ou sur "HTTP" si app_protocol correspond à "http".
network.direction event.idm.read_only_udm.network.direction Déterminé à partir des mots clés du journal brut, tels que "IN", "OUT" ou "->". Peut être INBOUND ou OUTBOUND.
network.http.method event.idm.read_only_udm.network.http.method Mappé directement à partir du champ method du journal brut.
network.http.parsed_user_agent event.idm.read_only_udm.network.http.parsed_user_agent Analysé à partir du champ useragent à l'aide du filtre convert.
network.http.referral_url event.idm.read_only_udm.network.http.referral_url Mappé directement à partir du champ prin_url du journal brut.
network.http.response_code event.idm.read_only_udm.network.http.response_code Mappé directement à partir du champ status_code du journal brut et converti en entier.
network.http.user_agent event.idm.read_only_udm.network.http.user_agent Mappé directement à partir du champ useragent du journal brut.
network.ip_protocol event.idm.read_only_udm.network.ip_protocol Déterminé à partir des mots clés du journal brut, tels que "TCP" ou "UDP".
network.received_bytes event.idm.read_only_udm.network.received_bytes Directement mappé à partir du champ rec_bytes du journal brut et converti en entier non signé.
network.sent_bytes event.idm.read_only_udm.network.sent_bytes Extrait du champ message_to_process du journal brut.
network.session_id event.idm.read_only_udm.network.session_id Mappé directement à partir du champ session du journal brut.
pid event.idm.read_only_udm.target.process.parent_process.pid Mappé directement à partir du champ pid du journal brut.
pid event.idm.read_only_udm.principal.process.pid Directement mappé à partir du champ pid du journal JSON.
pid event.idm.read_only_udm.target.process.pid Mappé directement à partir du champ pid du journal brut.
port event.idm.read_only_udm.target.port Directement mappé à partir du champ port du journal JSON.
principal.application event.idm.read_only_udm.principal.application Directement mappé à partir du champ app_name ou service du journal brut.
principal.asset.hostname event.idm.read_only_udm.principal.asset.hostname Directement mappé à partir du champ principal_hostname ou iporhost du journal brut.
principal.asset.ip event.idm.read_only_udm.principal.asset.ip Mappé directement à partir du champ syslog_ip du journal brut.
principal.hostname event.idm.read_only_udm.principal.hostname Directement mappé à partir du champ principal_hostname ou iporhost du journal brut.
principal.ip event.idm.read_only_udm.principal.ip Directement mappé à partir du champ iporhost ou syslog_ip du journal brut.
principal.port event.idm.read_only_udm.principal.port Mappé directement à partir du champ srcport du journal brut.
principal.process.command_line event.idm.read_only_udm.principal.process.command_line Mappé directement à partir du champ cmd du journal brut.
principal.process.parent_process.pid event.idm.read_only_udm.principal.process.parent_process.pid Mappé directement à partir du champ parent_pid du journal brut.
principal.process.pid event.idm.read_only_udm.principal.process.pid Mappé directement à partir du champ process_id du journal brut.
principal.process.product_specific_process_id event.idm.read_only_udm.principal.process.product_specific_process_id Extrait du champ message_to_process du journal brut, généralement précédé de "opID:".
principal.url event.idm.read_only_udm.principal.url Mappé directement à partir du champ prin_url du journal brut.
principal.user.company_name event.idm.read_only_udm.principal.user.company_name Directement mappé à partir du champ fields.company_name du journal JSON.
principal.user.userid event.idm.read_only_udm.principal.user.userid Mappé directement à partir du champ USER du journal brut.
priority event.idm.read_only_udm.metadata.product_event_type Mappé directement à partir du champ priority du journal brut.
program event.idm.read_only_udm.principal.application Directement mappé à partir du champ program du journal JSON.
qname event.idm.read_only_udm.network.dns.questions.name Mappé directement à partir du champ qname du journal brut.
response_data event.idm.read_only_udm.network.dns.answers.data Mappé directement à partir du champ response_data du journal brut.
response_rtype event.idm.read_only_udm.network.dns.answers.type Mappé directement à partir du champ response_rtype du journal brut. Le type d'enregistrement DNS numérique est extrait.
response_ttl event.idm.read_only_udm.network.dns.answers.ttl Mappé directement à partir du champ response_ttl du journal brut.
rtype event.idm.read_only_udm.network.dns.questions.type Mappé directement à partir du champ rtype du journal brut. Le type d'enregistrement DNS numérique est extrait.
security_result.action event.idm.read_only_udm.security_result.action Déterminé à partir des mots clés ou de l'état dans le journal brut. Il peut s'agir de ALLOW ou BLOCK.
security_result.action_details event.idm.read_only_udm.security_result.action_details Extrait du message de journal brut, il fournit plus de contexte sur l'action effectuée.
security_result.category event.idm.read_only_udm.security_result.category Définissez sur POLICY_VIOLATION si le journal indique une correspondance de règle de pare-feu.
security_result.description event.idm.read_only_udm.security_result.description Extrait du message de journal brut, il fournit plus de contexte sur le résultat de sécurité.
security_result.rule_id event.idm.read_only_udm.security_result.rule_id Mappé directement à partir du champ rule_id du journal brut.
security_result.severity event.idm.read_only_udm.security_result.severity Déterminé à partir des mots clés du journal brut, tels que "info", "avertissement" ou "erreur". Il peut s'agir de INFORMATIONAL, LOW, MEDIUM ou HIGH.
security_result.severity_details event.idm.read_only_udm.security_result.severity_details Directement mappé à partir du champ severity ou log.syslog.severity.name du journal brut.
security_result.summary event.idm.read_only_udm.security_result.summary Extrait du message de journal brut, il fournit un résumé concis du résultat de sécurité.
service event.idm.read_only_udm.principal.application Mappé directement à partir du champ service du journal brut.
source event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mappé directement à partir du champ source du journal brut.
src.file.full_path event.idm.read_only_udm.src.file.full_path Extrait du message de journal brut.
src.hostname event.idm.read_only_udm.src.hostname Mappé directement à partir du champ src.hostname du journal brut.
src_ip event.idm.read_only_udm.principal.ip Mappé directement à partir du champ src_ip du journal brut.
src_mac_address event.idm.read_only_udm.principal.mac Mappé directement à partir du champ src_mac_address du journal brut.
srcport event.idm.read_only_udm.principal.port Mappé directement à partir du champ srcport du journal brut.
srcip event.idm.read_only_udm.principal.ip Mappé directement à partir du champ srcip du journal brut.
subtype event.idm.read_only_udm.metadata.event_type Mappé directement à partir du champ subtype du journal brut.
tags event.idm.read_only_udm.metadata.tags Directement mappé à partir du champ tags du journal JSON.
target.application event.idm.read_only_udm.target.application Mappé directement à partir du champ target_application du journal brut.
target.file.full_path event.idm.read_only_udm.target.file.full_path Extrait du message de journal brut.
target.hostname event.idm.read_only_udm.target.hostname, event.idm.read_only_udm.target.asset.hostname Directement mappé à partir du champ target_hostname ou iporhost du journal brut.
target.ip event.idm.read_only_udm.target.ip Mappé directement à partir du champ target_ip du journal brut.
target.mac event.idm.read_only_udm.target.mac Mappé directement à partir du champ target_mac_address du journal brut.
target.port event.idm.read_only_udm.target.port Mappé directement à partir du champ target_port du journal brut.
target.process.command_line event.idm.read_only_udm.target.process.command_line Mappé directement à partir du champ cmd du journal brut.
target.process.parent_process.pid event.idm.read_only_udm.target.process.parent_process.pid Mappé directement à partir du champ parent_pid du journal brut.
target.process.pid event.idm.read_only_udm.target.process.pid Mappé directement à partir du champ pid du journal brut.
target.process.product_specific_process_id event.idm.read_only_udm.target.process.product_specific_process_id Extrait du champ message_to_process du journal brut, généralement précédé de "opID:".
target.resource.name event.idm.read_only_udm.target.resource.name Mappé directement à partir du champ adapter du journal brut.
target.resource.resource_type event.idm.read_only_udm.target.resource.resource_type Définissez la valeur sur VIRTUAL_MACHINE si le journal indique une opération de VM.
target.resource.type event.idm.read_only_udm.target.resource.type Défini sur SETTING si le journal indique une modification de paramètre.
target.user.userid event.idm.read_only_udm.target.user.userid Directement mappé à partir du champ target_username ou user1 du journal brut.
timestamp event.timestamp Analysé et converti en objet d'horodatage à partir du champ timestamp ou data du journal à l'aide du filtre date.
type event.idm.read_only_udm.additional.fields Le champ type du journal est ajouté au tableau additional_fields dans l'UDM avec la clé "LogType".
user1 event.idm.read_only_udm.target.user.userid Mappé directement à partir du champ user1 du journal brut.
useragent event.idm.read_only_udm.network.http.user_agent Mappé directement à partir du champ useragent du journal brut.
vmw_cluster event.idm.read_only_udm.target.resource.name Mappé directement à partir du champ vmw_cluster du journal brut.
vmw_datacenter event.idm.read_only_udm.target.resource.name Mappé directement à partir du champ vmw_datacenter du journal brut.
vmw_host event.idm.read_only_udm.target.ip Mappé directement à partir du champ vmw_host du journal brut.
vmw_object_id event.idm.read_only_udm.target.resource.id Mappé directement à partir du champ vmw_object_id du journal brut.
vmw_product event.idm.read_only_udm.target.application Mappé directement à partir du champ vmw_product du journal brut.
vmw_vcenter event.idm.read_only_udm.target.cloud.availability_zone Mappé directement à partir du champ vmw_vcenter du journal brut.
vmw_vcenter_id event.idm.read_only_udm.target.cloud.availability_zone.id Mappé directement à partir du champ vmw_vcenter_id du journal brut.
vmw_vr_ops_appname event.idm.read_only_udm.target.application Mappé directement à partir du champ vmw_vr_ops_appname du journal brut.
vmw_vr_ops_clustername event.idm.read_only_udm.target.resource.name Mappé directement à partir du champ vmw_vr_ops_clustername du journal brut.
vmw_vr_ops_clusterrole event.idm.read_only_udm.target.resource.type Mappé directement à partir du champ vmw_vr_ops_clusterrole du journal brut.

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.