‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של VMware ESXi

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של VMware ESXi ב-Google Security Operations באמצעות Bindplane. ‫VMware ESXi הוא היפר-ויז'ר bare-metal שמותקן ישירות בשרתים פיזיים כדי לחלק אותם למכונות וירטואליות מרובות. ביומנים של ESXi מתועדים אירועים במערכת המארחת, פעילות אימות, פעולות של מכונות וירטואליות, אירועים ברשת ובאחסון והודעות של ליבת ההיפר-ויז'ור.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps.
מארח Windows 2016 ואילך או Linux עם systemd.
אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות לשרת VMware ESXi (תפקיד root או אדמין) דרך ESXi Host Client או vSphere Client.

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Collection Agents (סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים.
- שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

ניגשים לקובץ התצורה:
- מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux או בספריית ההתקנה ב-Windows.
- פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

עורכים את הקובץ config.yaml באופן הבא:

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
מחליפים את YOUR_CUSTOMER_ID במזהה הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ האימות בשלב 1.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

הגדרת העברה של syslog ב-VMware ESXi

‫ESXi תומך בהעברה מקורית של syslog באמצעות UDP. אפשר להגדיר אותו באמצעות ESXi Host Client,‏ vSphere Client או ESXi Shell ‏ (SSH).

אפשרות – ESXi Host Client או vSphere Client

נכנסים אל ESXi Host Client ‏ (https://<esxi-host>/ui) או אל vSphere Client ובוחרים את מארח ESXi.
עוברים אל ניהול > מערכת > הגדרות מתקדמות.
חיפוש של Syslog.global.logHost.
לוחצים על עריכה ומגדירים את הערך:
- udp://<BINDPLANE_IP>:514
- כדי להוסיף כמה שרתים של syslog, מפרידים ביניהם באמצעות פסיקים (לדוגמה, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).
לוחצים על Save.
מחפשים את Syslog.global.logDir כדי לוודא שרישום ביומן מקומי מופעל גם הוא (לדוגמה, [] /scratch/log).

אפשרות – ESXi Shell‏ (SSH)

מתחברים למארח ESXi באמצעות SSH.
מריצים את הפקודה הבאה כדי להגדיר את שרת ה-syslog המרוחק:
```
esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"
```
טוענים מחדש את שירות ה-syslog:
```
esxcli system syslog reload
```
מאמתים את ההגדרה:
```
esxcli system syslog config get
```

הגדרת חומת אש של ESXi ל-syslog

אם חומת האש של ESXi מופעלת, פותחים את כלל היציאה של syslog. מתחברים באמצעות SSH ומריצים את הפקודה:
```
esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true
```
מרעננים את הכללים של חומת האש:
```
esxcli network firewall refresh
```
מוודאים שכלל חומת האש של syslog מופעל:
```
esxcli network firewall ruleset list | grep syslog
```

מידע נוסף זמין במסמכי העזרה בנושא VMware ESXi syslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`@fields.alias`	`event.idm.read_only_udm.principal.cloud.project.alias`	ממופה ישירות מהשדה `@fields.alias` ביומן JSON.
`@fields.company_name`	`event.idm.read_only_udm.principal.user.company_name`	ממופה ישירות מהשדה `@fields.company_name` ביומן JSON.
`@fields.facility`	`event.idm.read_only_udm.principal.resource.type`	ממופה ישירות מהשדה `@fields.facility` ביומן JSON.
`@fields.host`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `@fields.host` ביומן JSON.
`@fields.privatecloud_id`	`event.idm.read_only_udm.principal.cloud.project.id`	ממופה ישירות מהשדה `@fields.privatecloud_id` ביומן JSON.
`@fields.privatecloud_name`	`event.idm.read_only_udm.principal.cloud.project.name`	ממופה ישירות מהשדה `@fields.privatecloud_name` ביומן JSON.
`@fields.procid`	`event.idm.read_only_udm.principal.process.pid`	ממופה ישירות מהשדה `@fields.procid` ביומן JSON.
`@fields.region_id`	`event.idm.read_only_udm.principal.location.country_or_region`	ממופה ישירות מהשדה `@fields.region_id` ביומן JSON.
`@fields.severity`	`event.idm.read_only_udm.security_result.severity`	ממופה מהשדה `@fields.severity` ביומן JSON. אם הערך הוא info או דומה, הוא ממופה ל-INFORMATIONAL.
`@timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	השדה `@timestamp` ביומן מנותח ומומר לאובייקט של חותמת זמן באמצעות המסנן `date`.
`adapter`	`event.idm.read_only_udm.target.resource.name`	ממופה ישירות מהשדה `adapter` ביומן הגולמי.
`action`	`event.idm.read_only_udm.security_result.action`	ממופה ישירות מהשדה `action` ביומן הגולמי. השימוש הוא בערכים כמו ALLOW ו-BLOCK.
`action`	`event.idm.read_only_udm.security_result.action_details`	ממופה ישירות מהשדה `action` ביומן הגולמי. נעשה שימוש בערכים כמו 'הפניה אוטומטית'.
`administrative_domain`	`event.idm.read_only_udm.principal.administrative_domain`	ממופה ישירות מהשדה `administrative_domain` ביומן הגולמי.
`agent.hostname`	`event.idm.read_only_udm.intermediary.hostname`	ממופה ישירות מהשדה `agent.hostname` ביומן JSON.
`agent.id`	`event.idm.read_only_udm.intermediary.asset.id`	ממופה ישירות מהשדה `agent.id` ביומן JSON.
`agent.name`	`event.idm.read_only_udm.intermediary.asset.name`	ממופה ישירות מהשדה `agent.name` ביומן JSON.
`agent.type`	`event.idm.read_only_udm.intermediary.asset.type`	ממופה ישירות מהשדה `agent.type` ביומן JSON.
`agent.version`	`event.idm.read_only_udm.intermediary.asset.version`	ממופה ישירות מהשדה `agent.version` ביומן JSON.
`app_name`	`event.idm.read_only_udm.principal.application`	ממופה ישירות מהשדה `app_name` ביומן הגולמי.
`app_protocol`	`event.idm.read_only_udm.network.application_protocol`	ממופה ישירות מהשדה `app_protocol` ביומן הגולמי. אם הערך תואם ל-"http" (לא תלוי באותיות רישיות), הוא ממופה ל-"HTTP".
`application`	`event.idm.read_only_udm.principal.application`	ממופה ישירות מהשדה `program` ביומן JSON.
`cmd`	`event.idm.read_only_udm.target.process.command_line`	ממופה ישירות מהשדה `cmd` ביומן הגולמי.
`collection_time`	`event.idm.read_only_udm.metadata.event_timestamp`	הננו-שניות מהשדה `collection_time` מתווספות לשניות מהשדה `collection_time` כדי ליצור את השדה `event_timestamp`.
`data`	`event.idm.read_only_udm.metadata.description`	הודעת היומן הגולמית מנותחת וחלקים רלוונטיים מופקים כדי לאכלס את שדה התיאור.
`descrip`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `descrip` ביומן הגולמי.
`dns.answers.data`	`event.idm.read_only_udm.network.dns.answers.data`	ממופה ישירות מהשדה `dns.answers.data` ביומן JSON.
`dns.answers.ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	ממופה ישירות מהשדה `dns.answers.ttl` ביומן JSON.
`dns.answers.type`	`event.idm.read_only_udm.network.dns.answers.type`	ממופה ישירות מהשדה `dns.answers.type` ביומן JSON.
`dns.questions.name`	`event.idm.read_only_udm.network.dns.questions.name`	ממופה ישירות מהשדה `dns.questions.name` ביומן JSON.
`dns.questions.type`	`event.idm.read_only_udm.network.dns.questions.type`	ממופה ישירות מהשדה `dns.questions.type` ביומן JSON.
`dns.response`	`event.idm.read_only_udm.network.dns.response`	ממופה ישירות מהשדה `dns.response` ביומן JSON.
`ecs.version`	`event.idm.read_only_udm.metadata.product_version`	ממופה ישירות מהשדה `ecs.version` ביומן JSON.
`event_message`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `event_message` ביומן JSON.
`event_metadata`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	השדה `event_metadata` מנותח כדי לחלץ את הערך `opID`, שאליו מתווסף הקידומת opID: והוא ממופה ל-UDM.
`event_type`	`event.idm.read_only_udm.metadata.event_type`	ממופה ישירות מהשדה `event_type` ביומן JSON.
`filepath`	`event.idm.read_only_udm.target.file.full_path`	ממופה ישירות מהשדה `filepath` ביומן הגולמי.
`fields.company_name`	`event.idm.read_only_udm.principal.user.company_name`	ממופה ישירות מהשדה `fields.company_name` ביומן JSON.
`fields.facility`	`event.idm.read_only_udm.principal.resource.type`	ממופה ישירות מהשדה `fields.facility` ביומן JSON.
`fields.host`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `fields.host` ביומן JSON.
`fields.privatecloud_id`	`event.idm.read_only_udm.principal.cloud.project.id`	ממופה ישירות מהשדה `fields.privatecloud_id` ביומן JSON.
`fields.privatecloud_name`	`event.idm.read_only_udm.principal.cloud.project.name`	ממופה ישירות מהשדה `fields.privatecloud_name` ביומן JSON.
`fields.procid`	`event.idm.read_only_udm.principal.process.pid`	ממופה ישירות מהשדה `fields.procid` ביומן JSON.
`fields.region_id`	`event.idm.read_only_udm.principal.location.country_or_region`	ממופה ישירות מהשדה `fields.region_id` ביומן JSON.
`fields.severity`	`event.idm.read_only_udm.security_result.severity`	ממופה מהשדה `fields.severity` ביומן JSON. אם הערך הוא info או דומה, הוא ממופה ל-INFORMATIONAL.
`host.architecture`	`event.idm.read_only_udm.principal.asset.architecture`	ממופה ישירות מהשדה `host.architecture` ביומן JSON.
`host.containerized`	`event.idm.read_only_udm.principal.asset.containerized`	ממופה ישירות מהשדה `host.containerized` ביומן JSON.
`host.hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `host.hostname` ביומן JSON.
`host.id`	`event.idm.read_only_udm.principal.asset.id`	ממופה ישירות מהשדה `host.id` ביומן JSON.
`host.ip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `host.ip` ביומן JSON.
`host.mac`	`event.idm.read_only_udm.principal.mac`, `event.idm.read_only_udm.principal.asset.mac`	ממופה ישירות מהשדה `host.mac` ביומן JSON.
`host.name`	`event.idm.read_only_udm.principal.asset.name`	ממופה ישירות מהשדה `host.name` ביומן JSON.
`host.os.codename`	`event.idm.read_only_udm.principal.asset.os.codename`	ממופה ישירות מהשדה `host.os.codename` ביומן JSON.
`host.os.family`	`event.idm.read_only_udm.principal.asset.os.family`	ממופה ישירות מהשדה `host.os.family` ביומן JSON.
`host.os.kernel`	`event.idm.read_only_udm.principal.asset.os.kernel`	ממופה ישירות מהשדה `host.os.kernel` ביומן JSON.
`host.os.name`	`event.idm.read_only_udm.principal.asset.os.name`	ממופה ישירות מהשדה `host.os.name` ביומן JSON.
`host.os.platform`	`event.idm.read_only_udm.principal.asset.os.platform`	ממופה ישירות מהשדה `host.os.platform` ביומן JSON.
`host.os.version`	`event.idm.read_only_udm.principal.asset.os.version`	ממופה ישירות מהשדה `host.os.version` ביומן JSON.
`iporhost`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `iporhost` ביומן הגולמי.
`iporhost`	`event.idm.read_only_udm.principal.ip`	ממופה ישירות מהשדה `iporhost` ביומן הגולמי אם מדובר בכתובת IP.
`iporhost1`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `iporhost1` ביומן הגולמי.
`kv_data1`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	השדה `kv_data1` עובר ניתוח כדי לחלץ את הערך `opID` או `sub`, ואז מתווסף לו הקידומת opID:‎ או sub:‎ בהתאמה, והוא ממופה ל-UDM.
`kv_msg`	`event.idm.read_only_udm.additional.fields`	השדה `kv_msg` מנותח כצמדי מפתח/ערך ומוסף למערך `additional_fields` ב-UDM.
`kv_msg1`	`event.idm.read_only_udm.additional.fields`	השדה `kv_msg1` מנותח כצמדי מפתח/ערך ומוסף למערך `additional_fields` ב-UDM.
`lbdn`	`event.idm.read_only_udm.target.hostname`	ממופה ישירות מהשדה `lbdn` ביומן הגולמי.
`log.source.address`	`event.idm.read_only_udm.observer.hostname`	ממופה ישירות מהשדה `log.source.address` ביומן JSON, וכולל רק את החלק של שם המארח.
`log_event.original`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `event.original` ביומן JSON.
`log_level`	`event.idm.read_only_udm.security_result.severity_details`	ממופה ישירות מהשדה `log_level` ביומן JSON.
`logstash.collect.host`	`event.idm.read_only_udm.observer.hostname`	ממופה ישירות מהשדה `logstash.collect.host` ביומן JSON.
`logstash.collect.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	השדה `logstash.collect.timestamp` ביומן מנותח ומומר לאובייקט של חותמת זמן באמצעות המסנן `date`.
`logstash.ingest.host`	`event.idm.read_only_udm.intermediary.hostname`	ממופה ישירות מהשדה `logstash.ingest.host` ביומן JSON.
`logstash.ingest.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	מנותח ומומר לאובייקט של חותמת זמן מהשדה `logstash.ingest.timestamp` ביומן באמצעות המסנן `date`.
`logstash.process.host`	`event.idm.read_only_udm.intermediary.hostname`	ממופה ישירות מהשדה `logstash.process.host` ביומן JSON.
`logstash.process.timestamp`	`event.idm.read_only_udm.metadata.ingested_timestamp`	השדה `logstash.process.timestamp` ביומן מנותח ומומר לאובייקט של חותמת זמן באמצעות המסנן `date`.
`log_type`	`event.idm.read_only_udm.metadata.log_type`	ממופה ישירות מהשדה `log_type` ביומן הגולמי.
`message`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `message` ביומן JSON.
`message_to_process`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `message_to_process` ביומן הגולמי.
`metadata.event_type`	`event.idm.read_only_udm.metadata.event_type`	הערך שמוגדר בהתחלה הוא GENERIC_EVENT, אבל יכול להיות שהוא יידרס בהמשך על סמך התוכן המנותח של `service` או של יומן רישום אחר. יכולים להיות ערכים כמו `PROCESS_LAUNCH`,‏ `NETWORK_CONNECTION`,‏ `USER_LOGIN` וכו'.
`metadata.product_event_type`	`event.idm.read_only_udm.metadata.product_event_type`	ממופה ישירות מהשדה `process_id` או `prod_event_type` ביומן הגולמי.
`metadata.product_log_id`	`event.idm.read_only_udm.metadata.product_log_id`	ממופה ישירות מהשדה `event_id` ביומן הגולמי.
`metadata.product_name`	`event.idm.read_only_udm.metadata.product_name`	ההגדרה היא ESX.
`metadata.product_version`	`event.idm.read_only_udm.metadata.product_version`	ממופה ישירות מהשדה `version` ביומן JSON.
`metadata.vendor_name`	`event.idm.read_only_udm.metadata.vendor_name`	מגדירים את הערך VMWARE.
`msg`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `msg` ביומן הגולמי.
`network.application_protocol`	`event.idm.read_only_udm.network.application_protocol`	מגדירים את הערך ל-DNS אם `service` הוא named, ל-HTTPS אם היציאה היא 443, או ל-HTTP אם `app_protocol` תואם ל-http.
`network.direction`	`event.idm.read_only_udm.network.direction`	נקבע לפי מילות מפתח ביומן הגולמי, כמו IN,‏ OUT,‏ ->. יכול להיות `INBOUND` או `OUTBOUND`.
`network.http.method`	`event.idm.read_only_udm.network.http.method`	ממופה ישירות מהשדה `method` ביומן הגולמי.
`network.http.parsed_user_agent`	`event.idm.read_only_udm.network.http.parsed_user_agent`	הערך הזה מנותח מהשדה `useragent` באמצעות המסנן `convert`.
`network.http.referral_url`	`event.idm.read_only_udm.network.http.referral_url`	ממופה ישירות מהשדה `prin_url` ביומן הגולמי.
`network.http.response_code`	`event.idm.read_only_udm.network.http.response_code`	מופה ישירות מהשדה `status_code` ביומן הגולמי והומר למספר שלם.
`network.http.user_agent`	`event.idm.read_only_udm.network.http.user_agent`	ממופה ישירות מהשדה `useragent` ביומן הגולמי.
`network.ip_protocol`	`event.idm.read_only_udm.network.ip_protocol`	נקבע לפי מילות מפתח ביומן הגולמי, כמו TCP או UDP.
`network.received_bytes`	`event.idm.read_only_udm.network.received_bytes`	מופה ישירות מהשדה `rec_bytes` ביומן הגולמי והומר למספר שלם לא מסומן.
`network.sent_bytes`	`event.idm.read_only_udm.network.sent_bytes`	חילוץ מהשדה `message_to_process` ביומן הגולמי.
`network.session_id`	`event.idm.read_only_udm.network.session_id`	ממופה ישירות מהשדה `session` ביומן הגולמי.
`pid`	`event.idm.read_only_udm.target.process.parent_process.pid`	ממופה ישירות מהשדה `pid` ביומן הגולמי.
`pid`	`event.idm.read_only_udm.principal.process.pid`	ממופה ישירות מהשדה `pid` ביומן JSON.
`pid`	`event.idm.read_only_udm.target.process.pid`	ממופה ישירות מהשדה `pid` ביומן הגולמי.
`port`	`event.idm.read_only_udm.target.port`	ממופה ישירות מהשדה `port` ביומן JSON.
`principal.application`	`event.idm.read_only_udm.principal.application`	ממופה ישירות מהשדה `app_name` או `service` ביומן הגולמי.
`principal.asset.hostname`	`event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `principal_hostname` או `iporhost` ביומן הגולמי.
`principal.asset.ip`	`event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `syslog_ip` ביומן הגולמי.
`principal.hostname`	`event.idm.read_only_udm.principal.hostname`	ממופה ישירות מהשדה `principal_hostname` או `iporhost` ביומן הגולמי.
`principal.ip`	`event.idm.read_only_udm.principal.ip`	ממופה ישירות מהשדה `iporhost` או `syslog_ip` ביומן הגולמי.
`principal.port`	`event.idm.read_only_udm.principal.port`	ממופה ישירות מהשדה `srcport` ביומן הגולמי.
`principal.process.command_line`	`event.idm.read_only_udm.principal.process.command_line`	ממופה ישירות מהשדה `cmd` ביומן הגולמי.
`principal.process.parent_process.pid`	`event.idm.read_only_udm.principal.process.parent_process.pid`	ממופה ישירות מהשדה `parent_pid` ביומן הגולמי.
`principal.process.pid`	`event.idm.read_only_udm.principal.process.pid`	ממופה ישירות מהשדה `process_id` ביומן הגולמי.
`principal.process.product_specific_process_id`	`event.idm.read_only_udm.principal.process.product_specific_process_id`	הערך חולץ מהשדה `message_to_process` ביומן הגולמי, ובדרך כלל מופיע לפניו הקידומת opID:.
`principal.url`	`event.idm.read_only_udm.principal.url`	ממופה ישירות מהשדה `prin_url` ביומן הגולמי.
`principal.user.company_name`	`event.idm.read_only_udm.principal.user.company_name`	ממופה ישירות מהשדה `fields.company_name` ביומן JSON.
`principal.user.userid`	`event.idm.read_only_udm.principal.user.userid`	ממופה ישירות מהשדה `USER` ביומן הגולמי.
`priority`	`event.idm.read_only_udm.metadata.product_event_type`	ממופה ישירות מהשדה `priority` ביומן הגולמי.
`program`	`event.idm.read_only_udm.principal.application`	ממופה ישירות מהשדה `program` ביומן JSON.
`qname`	`event.idm.read_only_udm.network.dns.questions.name`	ממופה ישירות מהשדה `qname` ביומן הגולמי.
`response_data`	`event.idm.read_only_udm.network.dns.answers.data`	ממופה ישירות מהשדה `response_data` ביומן הגולמי.
`response_rtype`	`event.idm.read_only_udm.network.dns.answers.type`	ממופה ישירות מהשדה `response_rtype` ביומן הגולמי. סוג רשומת ה-DNS המספרית מחולץ.
`response_ttl`	`event.idm.read_only_udm.network.dns.answers.ttl`	ממופה ישירות מהשדה `response_ttl` ביומן הגולמי.
`rtype`	`event.idm.read_only_udm.network.dns.questions.type`	ממופה ישירות מהשדה `rtype` ביומן הגולמי. סוג רשומת ה-DNS המספרית מחולץ.
`security_result.action`	`event.idm.read_only_udm.security_result.action`	נקבע על סמך מילות מפתח או סטטוס ביומן הגולמי. יכול להיות `ALLOW` או `BLOCK`.
`security_result.action_details`	`event.idm.read_only_udm.security_result.action_details`	הערך הזה מחולץ מההודעה ביומן הגולמי, ומספק הקשר נוסף לגבי הפעולה שבוצעה.
`security_result.category`	`event.idm.read_only_udm.security_result.category`	הערך הוא `POLICY_VIOLATION` אם ביומן מצוין שכלל חומת האש תאם.
`security_result.description`	`event.idm.read_only_udm.security_result.description`	הערך הזה מחולץ מההודעה ביומן הגולמי, ומספק הקשר נוסף לגבי תוצאת האבטחה.
`security_result.rule_id`	`event.idm.read_only_udm.security_result.rule_id`	ממופה ישירות מהשדה `rule_id` ביומן הגולמי.
`security_result.severity`	`event.idm.read_only_udm.security_result.severity`	נקבע לפי מילות מפתח ביומן הגולמי, כמו info,‏ warning,‏ error. הערכים האפשריים הם `INFORMATIONAL`, `LOW`, `MEDIUM` או `HIGH`.
`security_result.severity_details`	`event.idm.read_only_udm.security_result.severity_details`	ממופה ישירות מהשדה `severity` או `log.syslog.severity.name` ביומן הגולמי.
`security_result.summary`	`event.idm.read_only_udm.security_result.summary`	הערך הזה מחולץ מהודעת היומן הגולמית ומספק סיכום תמציתי של תוצאת האבטחה.
`service`	`event.idm.read_only_udm.principal.application`	ממופה ישירות מהשדה `service` ביומן הגולמי.
`source`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `source` ביומן הגולמי.
`src.file.full_path`	`event.idm.read_only_udm.src.file.full_path`	המידע הזה מחולץ מהודעת היומן הגולמי.
`src.hostname`	`event.idm.read_only_udm.src.hostname`	ממופה ישירות מהשדה `src.hostname` ביומן הגולמי.
`src_ip`	`event.idm.read_only_udm.principal.ip`	ממופה ישירות מהשדה `src_ip` ביומן הגולמי.
`src_mac_address`	`event.idm.read_only_udm.principal.mac`	ממופה ישירות מהשדה `src_mac_address` ביומן הגולמי.
`srcport`	`event.idm.read_only_udm.principal.port`	ממופה ישירות מהשדה `srcport` ביומן הגולמי.
`srcip`	`event.idm.read_only_udm.principal.ip`	ממופה ישירות מהשדה `srcip` ביומן הגולמי.
`subtype`	`event.idm.read_only_udm.metadata.event_type`	ממופה ישירות מהשדה `subtype` ביומן הגולמי.
`tags`	`event.idm.read_only_udm.metadata.tags`	ממופה ישירות מהשדה `tags` ביומן JSON.
`target.application`	`event.idm.read_only_udm.target.application`	ממופה ישירות מהשדה `target_application` ביומן הגולמי.
`target.file.full_path`	`event.idm.read_only_udm.target.file.full_path`	המידע הזה מחולץ מהודעת היומן הגולמי.
`target.hostname`	`event.idm.read_only_udm.target.hostname`, `event.idm.read_only_udm.target.asset.hostname`	ממופה ישירות מהשדה `target_hostname` או `iporhost` ביומן הגולמי.
`target.ip`	`event.idm.read_only_udm.target.ip`	ממופה ישירות מהשדה `target_ip` ביומן הגולמי.
`target.mac`	`event.idm.read_only_udm.target.mac`	ממופה ישירות מהשדה `target_mac_address` ביומן הגולמי.
`target.port`	`event.idm.read_only_udm.target.port`	ממופה ישירות מהשדה `target_port` ביומן הגולמי.
`target.process.command_line`	`event.idm.read_only_udm.target.process.command_line`	ממופה ישירות מהשדה `cmd` ביומן הגולמי.
`target.process.parent_process.pid`	`event.idm.read_only_udm.target.process.parent_process.pid`	ממופה ישירות מהשדה `parent_pid` ביומן הגולמי.
`target.process.pid`	`event.idm.read_only_udm.target.process.pid`	ממופה ישירות מהשדה `pid` ביומן הגולמי.
`target.process.product_specific_process_id`	`event.idm.read_only_udm.target.process.product_specific_process_id`	הערך חולץ מהשדה `message_to_process` ביומן הגולמי, ובדרך כלל מופיע לפניו הקידומת opID:.
`target.resource.name`	`event.idm.read_only_udm.target.resource.name`	ממופה ישירות מהשדה `adapter` ביומן הגולמי.
`target.resource.resource_type`	`event.idm.read_only_udm.target.resource.resource_type`	הערך שמוגדר הוא `VIRTUAL_MACHINE` אם היומן מציין פעולה במכונה וירטואלית.
`target.resource.type`	`event.idm.read_only_udm.target.resource.type`	מגדירים את הערך `SETTING` אם ביומן מצוין שינוי בהגדרה.
`target.user.userid`	`event.idm.read_only_udm.target.user.userid`	ממופה ישירות מהשדה `target_username` או `user1` ביומן הגולמי.
`timestamp`	`event.timestamp`	הערך מנותח ומומר לאובייקט של חותמת זמן מהשדה `timestamp` או `data` ביומן באמצעות המסנן `date`.
`type`	`event.idm.read_only_udm.additional.fields`	השדה `type` ביומן מתווסף למערך `additional_fields` ב-UDM עם המפתח LogType.
`user1`	`event.idm.read_only_udm.target.user.userid`	ממופה ישירות מהשדה `user1` ביומן הגולמי.
`useragent`	`event.idm.read_only_udm.network.http.user_agent`	ממופה ישירות מהשדה `useragent` ביומן הגולמי.
`vmw_cluster`	`event.idm.read_only_udm.target.resource.name`	ממופה ישירות מהשדה `vmw_cluster` ביומן הגולמי.
`vmw_datacenter`	`event.idm.read_only_udm.target.resource.name`	ממופה ישירות מהשדה `vmw_datacenter` ביומן הגולמי.
`vmw_host`	`event.idm.read_only_udm.target.ip`	ממופה ישירות מהשדה `vmw_host` ביומן הגולמי.
`vmw_object_id`	`event.idm.read_only_udm.target.resource.id`	ממופה ישירות מהשדה `vmw_object_id` ביומן הגולמי.
`vmw_product`	`event.idm.read_only_udm.target.application`	ממופה ישירות מהשדה `vmw_product` ביומן הגולמי.
`vmw_vcenter`	`event.idm.read_only_udm.target.cloud.availability_zone`	ממופה ישירות מהשדה `vmw_vcenter` ביומן הגולמי.
`vmw_vcenter_id`	`event.idm.read_only_udm.target.cloud.availability_zone.id`	ממופה ישירות מהשדה `vmw_vcenter_id` ביומן הגולמי.
`vmw_vr_ops_appname`	`event.idm.read_only_udm.target.application`	ממופה ישירות מהשדה `vmw_vr_ops_appname` ביומן הגולמי.
`vmw_vr_ops_clustername`	`event.idm.read_only_udm.target.resource.name`	ממופה ישירות מהשדה `vmw_vr_ops_clustername` ביומן הגולמי.
`vmw_vr_ops_clusterrole`	`event.idm.read_only_udm.target.resource.type`	ממופה ישירות מהשדה `vmw_vr_ops_clusterrole` ביומן הגולמי.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.