איסוף יומני VMware ESXi

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני VMware ESXi ב-Google Security Operations באמצעות Bindplane. ‫VMware ESXi הוא hypervisor מסוג bare-metal שמותקן ישירות על שרתים פיזיים כדי לחלק אותם למספר מכונות וירטואליות. ביומני ESXi מתועדים אירועים של מערכת המארח, פעילות אימות, פעולות של מכונות וירטואליות, אירועי אחסון ורשת והודעות ליבה של Hypervisor.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או מארח Linux עם systemd.
• אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למארח VMware ESXi (תפקיד אדמין או הרשאות בסיסיות) דרך ESXi Host Client או vSphere Client.

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

מקורות מידע נוספים בנושא התקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane כדי להטמיע את syslog ולשלוח ל-Google SecOps

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

2. עורכים את הקובץ config.yaml:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'VMWARE_ESX'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
• מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את YOUR_CUSTOMER_ID במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בשלב 1.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'VMWARE_ESX'
      raw_log_field: body
      ingestion_labels:
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

1. כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

הגדרת העברת syslog של VMware ESXi

‫ESXi תומך בהעברה מקורית של syslog דרך UDP. אפשר להגדיר אותו באמצעות ESXi Host Client,‏ vSphere Client או ESXi Shell ‏(SSH).

אפשרות – ESXi Host Client או vSphere Client

1. נכנסים ל-ESXi Host Client (https://<esxi-host>/ui) או ל-vSphere Client ובוחרים את מארח ה-ESXi.
2. עוברים אל ניהול > מערכת > הגדרות מתקדמות.
3. חיפוש של Syslog.global.logHost.

4. לוחצים על Edit ומגדירים את הערך הבא:

   • udp://<BINDPLANE_IP>:514
   • כדי להוסיף כמה שרתי syslog, צריך להפריד ביניהם באמצעות פסיקים (לדוגמה, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).

5. לוחצים על Save.

6. מחפשים את Syslog.global.logDir כדי לוודא שגם הרישום המקומי ביומן מופעל (לדוגמה, [] /scratch/log).

אפשרות – ESXi Shell ‏(SSH)

1. מתחברים למארח ESXi באמצעות SSH.

2. מריצים את הפקודה הבאה כדי להגדיר את שרת ה-syslog המרוחק:

   esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"
   

3. טוענים מחדש את שירות syslog:

   esxcli system syslog reload
   

4. מאמתים את ההגדרות:

   esxcli system syslog config get
   

הגדרת חומת האש של ESXi ל-syslog

1. אם חומת האש של ESXi מופעלת, פותחים את הכלל היוצא של syslog. מתחברים באמצעות SSH ומריצים את הפקודה:

   esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true
   

2. מרעננים את הכללים של חומת האש:

   esxcli network firewall refresh
   

3. מוודאים שהכלל של חומת האש של syslog מופעל:

   esxcli network firewall ruleset list | grep syslog
   

מידע נוסף זמין במסמכי התיעוד של VMware ESXi syslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
@fields.alias	event.idm.read_only_udm.principal.cloud.project.alias	ממופה ישירות מהשדה @fields.alias ביומן ה-JSON.
@fields.company_name	event.idm.read_only_udm.principal.user.company_name	ממופה ישירות מהשדה @fields.company_name ביומן ה-JSON.
@fields.facility	event.idm.read_only_udm.principal.resource.type	ממופה ישירות מהשדה @fields.facility ביומן ה-JSON.
@fields.host	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה @fields.host ביומן ה-JSON.
@fields.privatecloud_id	event.idm.read_only_udm.principal.cloud.project.id	ממופה ישירות מהשדה @fields.privatecloud_id ביומן ה-JSON.
@fields.privatecloud_name	event.idm.read_only_udm.principal.cloud.project.name	ממופה ישירות מהשדה @fields.privatecloud_name ביומן ה-JSON.
@fields.procid	event.idm.read_only_udm.principal.process.pid	ממופה ישירות מהשדה @fields.procid ביומן ה-JSON.
@fields.region_id	event.idm.read_only_udm.principal.location.country_or_region	ממופה ישירות מהשדה @fields.region_id ביומן ה-JSON.
@fields.severity	event.idm.read_only_udm.security_result.severity	ממופה מהשדה @fields.severity ביומן ה-JSON. אם הערך הוא "info" או ערך דומה, הוא ממופה ל-"INFORMATIONAL".
@timestamp	event.idm.read_only_udm.metadata.event_timestamp	מנותח ומומר לאובייקט של חותמת זמן מהשדה @timestamp של היומן באמצעות המסנן date.
adapter	event.idm.read_only_udm.target.resource.name	ממופה ישירות מהשדה adapter של היומן הגולמי.
action	event.idm.read_only_udm.security_result.action	ממופה ישירות מהשדה action של היומן הגולמי. נעשה שימוש בערכים כמו ALLOW ו-BLOCK.
action	event.idm.read_only_udm.security_result.action_details	ממופה ישירות מהשדה action של היומן הגולמי. נעשה שימוש בערכים כמו "הפניה אוטומטית".
administrative_domain	event.idm.read_only_udm.principal.administrative_domain	ממופה ישירות מהשדה administrative_domain של היומן הגולמי.
agent.hostname	event.idm.read_only_udm.intermediary.hostname	ממופה ישירות מהשדה agent.hostname ביומן ה-JSON.
agent.id	event.idm.read_only_udm.intermediary.asset.id	ממופה ישירות מהשדה agent.id ביומן ה-JSON.
agent.name	event.idm.read_only_udm.intermediary.asset.name	ממופה ישירות מהשדה agent.name ביומן ה-JSON.
agent.type	event.idm.read_only_udm.intermediary.asset.type	ממופה ישירות מהשדה agent.type ביומן ה-JSON.
agent.version	event.idm.read_only_udm.intermediary.asset.version	ממופה ישירות מהשדה agent.version ביומן ה-JSON.
app_name	event.idm.read_only_udm.principal.application	ממופה ישירות מהשדה app_name של היומן הגולמי.
app_protocol	event.idm.read_only_udm.network.application_protocol	ממופה ישירות מהשדה app_protocol של היומן הגולמי. אם הערך תואם ל-"http" (לא תלוי-רישיות), הוא ממופה ל-"HTTP".
application	event.idm.read_only_udm.principal.application	ממופה ישירות מהשדה program ביומן ה-JSON.
cmd	event.idm.read_only_udm.target.process.command_line	ממופה ישירות מהשדה cmd של היומן הגולמי.
collection_time	event.idm.read_only_udm.metadata.event_timestamp	הננו-שניות מהשדה collection_time מתווספות לשניות מהשדה collection_time כדי ליצור את event_timestamp.
data	event.idm.read_only_udm.metadata.description	הודעת היומן הגולמית מנותחת, והחלקים הרלוונטיים נשלפים כדי לאכלס את שדה התיאור.
descrip	event.idm.read_only_udm.metadata.description	ממופה ישירות מהשדה descrip של היומן הגולמי.
dns.answers.data	event.idm.read_only_udm.network.dns.answers.data	ממופה ישירות מהשדה dns.answers.data ביומן ה-JSON.
dns.answers.ttl	event.idm.read_only_udm.network.dns.answers.ttl	ממופה ישירות מהשדה dns.answers.ttl ביומן ה-JSON.
dns.answers.type	event.idm.read_only_udm.network.dns.answers.type	ממופה ישירות מהשדה dns.answers.type ביומן ה-JSON.
dns.questions.name	event.idm.read_only_udm.network.dns.questions.name	ממופה ישירות מהשדה dns.questions.name ביומן ה-JSON.
dns.questions.type	event.idm.read_only_udm.network.dns.questions.type	ממופה ישירות מהשדה dns.questions.type ביומן ה-JSON.
dns.response	event.idm.read_only_udm.network.dns.response	ממופה ישירות מהשדה dns.response ביומן ה-JSON.
ecs.version	event.idm.read_only_udm.metadata.product_version	ממופה ישירות מהשדה ecs.version ביומן ה-JSON.
event_message	event.idm.read_only_udm.metadata.description	ממופה ישירות מהשדה event_message ביומן ה-JSON.
event_metadata	event.idm.read_only_udm.principal.process.product_specific_process_id	השדה event_metadata מנותח כדי לחלץ את הערך opID, ואז מתווספת לו הקידומת "opID:" והוא ממופה ל-UDM.
event_type	event.idm.read_only_udm.metadata.event_type	ממופה ישירות מהשדה event_type ביומן ה-JSON.
filepath	event.idm.read_only_udm.target.file.full_path	ממופה ישירות מהשדה filepath של היומן הגולמי.
fields.company_name	event.idm.read_only_udm.principal.user.company_name	ממופה ישירות מהשדה fields.company_name ביומן ה-JSON.
fields.facility	event.idm.read_only_udm.principal.resource.type	ממופה ישירות מהשדה fields.facility ביומן ה-JSON.
fields.host	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה fields.host ביומן ה-JSON.
fields.privatecloud_id	event.idm.read_only_udm.principal.cloud.project.id	ממופה ישירות מהשדה fields.privatecloud_id ביומן ה-JSON.
fields.privatecloud_name	event.idm.read_only_udm.principal.cloud.project.name	ממופה ישירות מהשדה fields.privatecloud_name ביומן ה-JSON.
fields.procid	event.idm.read_only_udm.principal.process.pid	ממופה ישירות מהשדה fields.procid ביומן ה-JSON.
fields.region_id	event.idm.read_only_udm.principal.location.country_or_region	ממופה ישירות מהשדה fields.region_id ביומן ה-JSON.
fields.severity	event.idm.read_only_udm.security_result.severity	ממופה מהשדה fields.severity ביומן ה-JSON. אם הערך הוא "info" או ערך דומה, הוא ממופה ל-"INFORMATIONAL".
host.architecture	event.idm.read_only_udm.principal.asset.architecture	ממופה ישירות מהשדה host.architecture ביומן ה-JSON.
host.containerized	event.idm.read_only_udm.principal.asset.containerized	ממופה ישירות מהשדה host.containerized ביומן ה-JSON.
host.hostname	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה host.hostname ביומן ה-JSON.
host.id	event.idm.read_only_udm.principal.asset.id	ממופה ישירות מהשדה host.id ביומן ה-JSON.
host.ip	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	ממופה ישירות מהשדה host.ip ביומן ה-JSON.
host.mac	event.idm.read_only_udm.principal.mac, event.idm.read_only_udm.principal.asset.mac	ממופה ישירות מהשדה host.mac ביומן ה-JSON.
host.name	event.idm.read_only_udm.principal.asset.name	ממופה ישירות מהשדה host.name ביומן ה-JSON.
host.os.codename	event.idm.read_only_udm.principal.asset.os.codename	ממופה ישירות מהשדה host.os.codename ביומן ה-JSON.
host.os.family	event.idm.read_only_udm.principal.asset.os.family	ממופה ישירות מהשדה host.os.family ביומן ה-JSON.
host.os.kernel	event.idm.read_only_udm.principal.asset.os.kernel	ממופה ישירות מהשדה host.os.kernel ביומן ה-JSON.
host.os.name	event.idm.read_only_udm.principal.asset.os.name	ממופה ישירות מהשדה host.os.name ביומן ה-JSON.
host.os.platform	event.idm.read_only_udm.principal.asset.os.platform	ממופה ישירות מהשדה host.os.platform ביומן ה-JSON.
host.os.version	event.idm.read_only_udm.principal.asset.os.version	ממופה ישירות מהשדה host.os.version ביומן ה-JSON.
iporhost	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה iporhost של היומן הגולמי.
iporhost	event.idm.read_only_udm.principal.ip	מיפוי ישיר מהשדה iporhost ביומן הגולמי, אם מדובר בכתובת IP.
iporhost1	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה iporhost1 של היומן הגולמי.
kv_data1	event.idm.read_only_udm.principal.process.product_specific_process_id	השדה kv_data1 מנותח כדי לחלץ את הערך opID או sub, ואז מתווסף אליו "opID:‎" או "sub:‎" בהתאמה, והוא ממופה ל-UDM.
kv_msg	event.idm.read_only_udm.additional.fields	השדה kv_msg מנותח כצמדי מפתח/ערך ומתווסף למערך additional_fields ב-UDM.
kv_msg1	event.idm.read_only_udm.additional.fields	השדה kv_msg1 מנותח כצמדי מפתח/ערך ומתווסף למערך additional_fields ב-UDM.
lbdn	event.idm.read_only_udm.target.hostname	ממופה ישירות מהשדה lbdn של היומן הגולמי.
log.source.address	event.idm.read_only_udm.observer.hostname	ממופה ישירות מהשדה log.source.address ביומן ה-JSON, וכולל רק את החלק של שם המארח.
log_event.original	event.idm.read_only_udm.metadata.description	ממופה ישירות מהשדה event.original ביומן ה-JSON.
log_level	event.idm.read_only_udm.security_result.severity_details	ממופה ישירות מהשדה log_level ביומן ה-JSON.
logstash.collect.host	event.idm.read_only_udm.observer.hostname	ממופה ישירות מהשדה logstash.collect.host ביומן ה-JSON.
logstash.collect.timestamp	event.idm.read_only_udm.metadata.ingested_timestamp	מנותח ומומר לאובייקט של חותמת זמן מהשדה logstash.collect.timestamp של היומן באמצעות המסנן date.
logstash.ingest.host	event.idm.read_only_udm.intermediary.hostname	ממופה ישירות מהשדה logstash.ingest.host ביומן ה-JSON.
logstash.ingest.timestamp	event.idm.read_only_udm.metadata.ingested_timestamp	מנותח ומומר לאובייקט של חותמת זמן מהשדה logstash.ingest.timestamp של היומן באמצעות המסנן date.
logstash.process.host	event.idm.read_only_udm.intermediary.hostname	ממופה ישירות מהשדה logstash.process.host ביומן ה-JSON.
logstash.process.timestamp	event.idm.read_only_udm.metadata.ingested_timestamp	מנותח ומומר לאובייקט של חותמת זמן מהשדה logstash.process.timestamp של היומן באמצעות המסנן date.
log_type	event.idm.read_only_udm.metadata.log_type	ממופה ישירות מהשדה log_type של היומן הגולמי.
message	event.idm.read_only_udm.metadata.description	ממופה ישירות מהשדה message ביומן ה-JSON.
message_to_process	event.idm.read_only_udm.metadata.description	ממופה ישירות מהשדה message_to_process של היומן הגולמי.
metadata.event_type	event.idm.read_only_udm.metadata.event_type	מוגדר בהתחלה כ-"GENERIC_EVENT", ואז יכול להיות שיוחלף על סמך ה-service המנותח או תוכן אחר ביומן. אפשר להזין ערכים כמו PROCESS_LAUNCH,‏ NETWORK_CONNECTION,‏ USER_LOGIN וכו'.
metadata.product_event_type	event.idm.read_only_udm.metadata.product_event_type	ממופה ישירות מהשדה process_id או prod_event_type של היומן הגולמי.
metadata.product_log_id	event.idm.read_only_udm.metadata.product_log_id	ממופה ישירות מהשדה event_id של היומן הגולמי.
metadata.product_name	event.idm.read_only_udm.metadata.product_name	מגדירים את הערך "ESX".
metadata.product_version	event.idm.read_only_udm.metadata.product_version	ממופה ישירות מהשדה version ביומן ה-JSON.
metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	מגדירים את הערך "VMWARE".
msg	event.idm.read_only_udm.metadata.description	ממופה ישירות מהשדה msg של היומן הגולמי.
network.application_protocol	event.idm.read_only_udm.network.application_protocol	צריך להגדיר את הערך "DNS" אם service הוא "named", את הערך "HTTPS" אם היציאה היא 443, או את הערך "HTTP" אם app_protocol תואם ל-"http".
network.direction	event.idm.read_only_udm.network.direction	נקבע לפי מילות מפתח ביומן הגולמי, כמו "IN",‏ "OUT",‏ "->". יכול להיות INBOUND או OUTBOUND.
network.http.method	event.idm.read_only_udm.network.http.method	ממופה ישירות מהשדה method של היומן הגולמי.
network.http.parsed_user_agent	event.idm.read_only_udm.network.http.parsed_user_agent	נותח מהשדה useragent באמצעות המסנן convert.
network.http.referral_url	event.idm.read_only_udm.network.http.referral_url	ממופה ישירות מהשדה prin_url של היומן הגולמי.
network.http.response_code	event.idm.read_only_udm.network.http.response_code	ממופה ישירות מהשדה status_code של היומן הגולמי ומומר למספר שלם.
network.http.user_agent	event.idm.read_only_udm.network.http.user_agent	ממופה ישירות מהשדה useragent של היומן הגולמי.
network.ip_protocol	event.idm.read_only_udm.network.ip_protocol	נקבע לפי מילות מפתח ביומן הגולמי, כמו "TCP" או "UDP".
network.received_bytes	event.idm.read_only_udm.network.received_bytes	ממופה ישירות מהשדה rec_bytes של היומן הגולמי ומומר למספר שלם ללא סימן.
network.sent_bytes	event.idm.read_only_udm.network.sent_bytes	חולץ מהשדה message_to_process של היומן הגולמי.
network.session_id	event.idm.read_only_udm.network.session_id	ממופה ישירות מהשדה session של היומן הגולמי.
pid	event.idm.read_only_udm.target.process.parent_process.pid	ממופה ישירות מהשדה pid של היומן הגולמי.
pid	event.idm.read_only_udm.principal.process.pid	ממופה ישירות מהשדה pid ביומן ה-JSON.
pid	event.idm.read_only_udm.target.process.pid	ממופה ישירות מהשדה pid של היומן הגולמי.
port	event.idm.read_only_udm.target.port	ממופה ישירות מהשדה port ביומן ה-JSON.
principal.application	event.idm.read_only_udm.principal.application	ממופה ישירות מהשדה app_name או service של היומן הגולמי.
principal.asset.hostname	event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה principal_hostname או iporhost של היומן הגולמי.
principal.asset.ip	event.idm.read_only_udm.principal.asset.ip	ממופה ישירות מהשדה syslog_ip של היומן הגולמי.
principal.hostname	event.idm.read_only_udm.principal.hostname	ממופה ישירות מהשדה principal_hostname או iporhost של היומן הגולמי.
principal.ip	event.idm.read_only_udm.principal.ip	ממופה ישירות מהשדה iporhost או syslog_ip של היומן הגולמי.
principal.port	event.idm.read_only_udm.principal.port	ממופה ישירות מהשדה srcport של היומן הגולמי.
principal.process.command_line	event.idm.read_only_udm.principal.process.command_line	ממופה ישירות מהשדה cmd של היומן הגולמי.
principal.process.parent_process.pid	event.idm.read_only_udm.principal.process.parent_process.pid	ממופה ישירות מהשדה parent_pid של היומן הגולמי.
principal.process.pid	event.idm.read_only_udm.principal.process.pid	ממופה ישירות מהשדה process_id של היומן הגולמי.
principal.process.product_specific_process_id	event.idm.read_only_udm.principal.process.product_specific_process_id	חולץ מהשדה message_to_process של היומן הגולמי, בדרך כלל עם הקידומת "opID:‎".
principal.url	event.idm.read_only_udm.principal.url	ממופה ישירות מהשדה prin_url של היומן הגולמי.
principal.user.company_name	event.idm.read_only_udm.principal.user.company_name	ממופה ישירות מהשדה fields.company_name ביומן ה-JSON.
principal.user.userid	event.idm.read_only_udm.principal.user.userid	ממופה ישירות מהשדה USER של היומן הגולמי.
priority	event.idm.read_only_udm.metadata.product_event_type	ממופה ישירות מהשדה priority של היומן הגולמי.
program	event.idm.read_only_udm.principal.application	ממופה ישירות מהשדה program ביומן ה-JSON.
qname	event.idm.read_only_udm.network.dns.questions.name	ממופה ישירות מהשדה qname של היומן הגולמי.
response_data	event.idm.read_only_udm.network.dns.answers.data	ממופה ישירות מהשדה response_data של היומן הגולמי.
response_rtype	event.idm.read_only_udm.network.dns.answers.type	ממופה ישירות מהשדה response_rtype של היומן הגולמי. המערכת מחלצת את הסוג המספרי של רשומת ה-DNS.
response_ttl	event.idm.read_only_udm.network.dns.answers.ttl	ממופה ישירות מהשדה response_ttl של היומן הגולמי.
rtype	event.idm.read_only_udm.network.dns.questions.type	ממופה ישירות מהשדה rtype של היומן הגולמי. המערכת מחלצת את הסוג המספרי של רשומת ה-DNS.
security_result.action	event.idm.read_only_udm.security_result.action	נקבע לפי מילות מפתח או סטטוס ביומן הגולמי. הערך יכול להיות ALLOW או BLOCK.
security_result.action_details	event.idm.read_only_udm.security_result.action_details	המידע הזה נשלף מהודעת היומן הגולמית, והוא מספק הקשר נוסף לגבי הפעולה שבוצעה.
security_result.category	event.idm.read_only_udm.security_result.category	אם ביומן מצוינת התאמה לכלל של חומת אש, מגדירים את הערך POLICY_VIOLATION.
security_result.description	event.idm.read_only_udm.security_result.description	השדה הזה נשלף מהודעת היומן הגולמית, והוא מספק הקשר נוסף לגבי תוצאת האבטחה.
security_result.rule_id	event.idm.read_only_udm.security_result.rule_id	ממופה ישירות מהשדה rule_id של היומן הגולמי.
security_result.severity	event.idm.read_only_udm.security_result.severity	נקבעת לפי מילות מפתח ביומן הגולמי, כמו "מידע", "אזהרה", "שגיאה". הערכים האפשריים: INFORMATIONAL,‏ LOW,‏ MEDIUM או HIGH.
security_result.severity_details	event.idm.read_only_udm.security_result.severity_details	ממופה ישירות מהשדה severity או log.syslog.severity.name של היומן הגולמי.
security_result.summary	event.idm.read_only_udm.security_result.summary	השדה הזה נשלף מהודעת היומן הגולמית, והוא מספק סיכום תמציתי של תוצאת האבטחה.
service	event.idm.read_only_udm.principal.application	ממופה ישירות מהשדה service של היומן הגולמי.
source	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	ממופה ישירות מהשדה source של היומן הגולמי.
src.file.full_path	event.idm.read_only_udm.src.file.full_path	חולץ מהודעת היומן הגולמית.
src.hostname	event.idm.read_only_udm.src.hostname	ממופה ישירות מהשדה src.hostname של היומן הגולמי.
src_ip	event.idm.read_only_udm.principal.ip	ממופה ישירות מהשדה src_ip של היומן הגולמי.
src_mac_address	event.idm.read_only_udm.principal.mac	ממופה ישירות מהשדה src_mac_address של היומן הגולמי.
srcport	event.idm.read_only_udm.principal.port	ממופה ישירות מהשדה srcport של היומן הגולמי.
srcip	event.idm.read_only_udm.principal.ip	ממופה ישירות מהשדה srcip של היומן הגולמי.
subtype	event.idm.read_only_udm.metadata.event_type	ממופה ישירות מהשדה subtype של היומן הגולמי.
tags	event.idm.read_only_udm.metadata.tags	ממופה ישירות מהשדה tags ביומן ה-JSON.
target.application	event.idm.read_only_udm.target.application	ממופה ישירות מהשדה target_application של היומן הגולמי.
target.file.full_path	event.idm.read_only_udm.target.file.full_path	חולץ מהודעת היומן הגולמית.
target.hostname	event.idm.read_only_udm.target.hostname, event.idm.read_only_udm.target.asset.hostname	ממופה ישירות מהשדה target_hostname או iporhost של היומן הגולמי.
target.ip	event.idm.read_only_udm.target.ip	ממופה ישירות מהשדה target_ip של היומן הגולמי.
target.mac	event.idm.read_only_udm.target.mac	ממופה ישירות מהשדה target_mac_address של היומן הגולמי.
target.port	event.idm.read_only_udm.target.port	ממופה ישירות מהשדה target_port של היומן הגולמי.
target.process.command_line	event.idm.read_only_udm.target.process.command_line	ממופה ישירות מהשדה cmd של היומן הגולמי.
target.process.parent_process.pid	event.idm.read_only_udm.target.process.parent_process.pid	ממופה ישירות מהשדה parent_pid של היומן הגולמי.
target.process.pid	event.idm.read_only_udm.target.process.pid	ממופה ישירות מהשדה pid של היומן הגולמי.
target.process.product_specific_process_id	event.idm.read_only_udm.target.process.product_specific_process_id	חולץ מהשדה message_to_process של היומן הגולמי, בדרך כלל עם הקידומת "opID:‎".
target.resource.name	event.idm.read_only_udm.target.resource.name	ממופה ישירות מהשדה adapter של היומן הגולמי.
target.resource.resource_type	event.idm.read_only_udm.target.resource.resource_type	אם היומן מציין פעולה של מכונה וירטואלית, מגדירים את הערך VIRTUAL_MACHINE.
target.resource.type	event.idm.read_only_udm.target.resource.type	אם ביומן מצוין שינוי בהגדרה, צריך להגדיר את הערך SETTING.
target.user.userid	event.idm.read_only_udm.target.user.userid	ממופה ישירות מהשדה target_username או user1 של היומן הגולמי.
timestamp	event.timestamp	מנותח ומומר לאובייקט חותמת זמן מהשדה timestamp או data של היומן באמצעות המסנן date.
type	event.idm.read_only_udm.additional.fields	השדה type של היומן נוסף למערך additional_fields ב-UDM עם המפתח LogType.
user1	event.idm.read_only_udm.target.user.userid	ממופה ישירות מהשדה user1 של היומן הגולמי.
useragent	event.idm.read_only_udm.network.http.user_agent	ממופה ישירות מהשדה useragent של היומן הגולמי.
vmw_cluster	event.idm.read_only_udm.target.resource.name	ממופה ישירות מהשדה vmw_cluster של היומן הגולמי.
vmw_datacenter	event.idm.read_only_udm.target.resource.name	ממופה ישירות מהשדה vmw_datacenter של היומן הגולמי.
vmw_host	event.idm.read_only_udm.target.ip	ממופה ישירות מהשדה vmw_host של היומן הגולמי.
vmw_object_id	event.idm.read_only_udm.target.resource.id	ממופה ישירות מהשדה vmw_object_id של היומן הגולמי.
vmw_product	event.idm.read_only_udm.target.application	ממופה ישירות מהשדה vmw_product של היומן הגולמי.
vmw_vcenter	event.idm.read_only_udm.target.cloud.availability_zone	ממופה ישירות מהשדה vmw_vcenter של היומן הגולמי.
vmw_vcenter_id	event.idm.read_only_udm.target.cloud.availability_zone.id	ממופה ישירות מהשדה vmw_vcenter_id של היומן הגולמי.
vmw_vr_ops_appname	event.idm.read_only_udm.target.application	ממופה ישירות מהשדה vmw_vr_ops_appname של היומן הגולמי.
vmw_vr_ops_clustername	event.idm.read_only_udm.target.resource.name	ממופה ישירות מהשדה vmw_vr_ops_clustername של היומן הגולמי.
vmw_vr_ops_clusterrole	event.idm.read_only_udm.target.resource.type	ממופה ישירות מהשדה vmw_vr_ops_clusterrole של היומן הגולמי.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.