Mengumpulkan log VMware ESXi

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log VMware ESXi ke Google Security Operations menggunakan Bindplane. VMware ESXi adalah hypervisor bare-metal yang diinstal langsung di server fisik untuk membaginya menjadi beberapa virtual machine. Log ESXi mencatat peristiwa sistem host, aktivitas autentikasi, operasi virtual machine, peristiwa penyimpanan dan jaringan, serta pesan kernel hypervisor.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps.
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd.
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane.
• Akses istimewa ke host VMware ESXi (peran root atau administrator) melalui ESXi Host Client atau vSphere Client.

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke Google Cloud konsol dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

Referensi penginstalan tambahan

Untuk opsi pemasangan tambahan, lihat panduan pemasangan ini.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

1. Akses file konfigurasi:

   • Cari file config.yaml. Biasanya, file ini berada di direktori /opt/observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'VMWARE_ESX'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
• Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan mengawali chronicle.googleapis.com dengan nilai ini.
• Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
• Ganti YOUR_CUSTOMER_ID dengan ID Pelanggan yang sebenarnya.
• Perbarui /path/to/ingestion-authentication-file.json ke jalur file tempat file kunci akun layanan (Opsi 1) disimpan di Langkah 1.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'VMWARE_ESX'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang agen Bindplane untuk menerapkan perubahan

1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Mengonfigurasi penerusan syslog VMware ESXi

ESXi mendukung penerusan syslog native melalui UDP. Anda dapat mengonfigurasinya menggunakan ESXi Host Client, vSphere Client, atau ESXi Shell (SSH).

Opsi - Klien Host ESXi atau Klien vSphere

1. Login ke ESXi Host Client (https://<esxi-host>/ui) atau vSphere Client, lalu pilih host ESXi.
2. Buka Kelola > Sistem > Setelan Lanjutan.
3. Telusuri Syslog.global.logHost.

4. Klik Edit dan tetapkan nilai ke:

   • udp://<BINDPLANE_IP>:514
   • Untuk menambahkan beberapa server syslog, pisahkan dengan koma (misalnya, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).

5. Klik Simpan.

6. Cari Syslog.global.logDir untuk memverifikasi bahwa logging lokal juga diaktifkan (misalnya, [] /scratch/log).

Opsi - ESXi Shell (SSH)

1. Hubungkan ke host ESXi melalui SSH.

2. Jalankan perintah berikut untuk mengonfigurasi server syslog jarak jauh:

   esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"
   

3. Muat ulang layanan syslog:

   esxcli system syslog reload
   

4. Verifikasi konfigurasi:

   esxcli system syslog config get
   

Mengonfigurasi firewall ESXi untuk syslog

1. Jika firewall ESXi diaktifkan, buka aturan keluar syslog. Hubungkan melalui SSH dan jalankan:

   esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true
   

2. Muat ulang aturan firewall:

   esxcli network firewall refresh
   

3. Pastikan aturan firewall syslog diaktifkan:

   esxcli network firewall ruleset list | grep syslog
   

Untuk mengetahui informasi selengkapnya, lihat dokumentasi syslog VMware ESXi.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
@fields.alias	event.idm.read_only_udm.principal.cloud.project.alias	Dipetakan langsung dari kolom @fields.alias log JSON.
@fields.company_name	event.idm.read_only_udm.principal.user.company_name	Dipetakan langsung dari kolom @fields.company_name log JSON.
@fields.facility	event.idm.read_only_udm.principal.resource.type	Dipetakan langsung dari kolom @fields.facility log JSON.
@fields.host	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom @fields.host log JSON.
@fields.privatecloud_id	event.idm.read_only_udm.principal.cloud.project.id	Dipetakan langsung dari kolom @fields.privatecloud_id log JSON.
@fields.privatecloud_name	event.idm.read_only_udm.principal.cloud.project.name	Dipetakan langsung dari kolom @fields.privatecloud_name log JSON.
@fields.procid	event.idm.read_only_udm.principal.process.pid	Dipetakan langsung dari kolom @fields.procid log JSON.
@fields.region_id	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan langsung dari kolom @fields.region_id log JSON.
@fields.severity	event.idm.read_only_udm.security_result.severity	Dipetakan dari kolom @fields.severity log JSON. Jika nilainya adalah "info" atau yang serupa, nilai tersebut dipetakan ke "INFORMATIONAL".
@timestamp	event.idm.read_only_udm.metadata.event_timestamp	Diurai dan dikonversi menjadi objek stempel waktu dari kolom @timestamp log menggunakan filter date.
adapter	event.idm.read_only_udm.target.resource.name	Dipetakan langsung dari kolom adapter log mentah.
action	event.idm.read_only_udm.security_result.action	Dipetakan langsung dari kolom action log mentah. Nilai seperti "ALLOW" dan "BLOCK" digunakan.
action	event.idm.read_only_udm.security_result.action_details	Dipetakan langsung dari kolom action log mentah. Nilai seperti "Alihkan" digunakan.
administrative_domain	event.idm.read_only_udm.principal.administrative_domain	Dipetakan langsung dari kolom administrative_domain log mentah.
agent.hostname	event.idm.read_only_udm.intermediary.hostname	Dipetakan langsung dari kolom agent.hostname log JSON.
agent.id	event.idm.read_only_udm.intermediary.asset.id	Dipetakan langsung dari kolom agent.id log JSON.
agent.name	event.idm.read_only_udm.intermediary.asset.name	Dipetakan langsung dari kolom agent.name log JSON.
agent.type	event.idm.read_only_udm.intermediary.asset.type	Dipetakan langsung dari kolom agent.type log JSON.
agent.version	event.idm.read_only_udm.intermediary.asset.version	Dipetakan langsung dari kolom agent.version log JSON.
app_name	event.idm.read_only_udm.principal.application	Dipetakan langsung dari kolom app_name log mentah.
app_protocol	event.idm.read_only_udm.network.application_protocol	Dipetakan langsung dari kolom app_protocol log mentah. Jika nilainya cocok dengan "http" (tidak peka huruf besar/kecil), nilai tersebut akan dipetakan ke "HTTP".
application	event.idm.read_only_udm.principal.application	Dipetakan langsung dari kolom program log JSON.
cmd	event.idm.read_only_udm.target.process.command_line	Dipetakan langsung dari kolom cmd log mentah.
collection_time	event.idm.read_only_udm.metadata.event_timestamp	Nanodetik dari kolom collection_time ditambahkan ke detik dari kolom collection_time untuk membuat event_timestamp.
data	event.idm.read_only_udm.metadata.description	Pesan log mentah diuraikan dan bagian yang relevan diekstrak untuk mengisi kolom deskripsi.
descrip	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom descrip log mentah.
dns.answers.data	event.idm.read_only_udm.network.dns.answers.data	Dipetakan langsung dari kolom dns.answers.data log JSON.
dns.answers.ttl	event.idm.read_only_udm.network.dns.answers.ttl	Dipetakan langsung dari kolom dns.answers.ttl log JSON.
dns.answers.type	event.idm.read_only_udm.network.dns.answers.type	Dipetakan langsung dari kolom dns.answers.type log JSON.
dns.questions.name	event.idm.read_only_udm.network.dns.questions.name	Dipetakan langsung dari kolom dns.questions.name log JSON.
dns.questions.type	event.idm.read_only_udm.network.dns.questions.type	Dipetakan langsung dari kolom dns.questions.type log JSON.
dns.response	event.idm.read_only_udm.network.dns.response	Dipetakan langsung dari kolom dns.response log JSON.
ecs.version	event.idm.read_only_udm.metadata.product_version	Dipetakan langsung dari kolom ecs.version log JSON.
event_message	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom event_message log JSON.
event_metadata	event.idm.read_only_udm.principal.process.product_specific_process_id	Kolom event_metadata diuraikan untuk mengekstrak nilai opID, yang kemudian ditambahkan dengan "opID:" dan dipetakan ke UDM.
event_type	event.idm.read_only_udm.metadata.event_type	Dipetakan langsung dari kolom event_type log JSON.
filepath	event.idm.read_only_udm.target.file.full_path	Dipetakan langsung dari kolom filepath log mentah.
fields.company_name	event.idm.read_only_udm.principal.user.company_name	Dipetakan langsung dari kolom fields.company_name log JSON.
fields.facility	event.idm.read_only_udm.principal.resource.type	Dipetakan langsung dari kolom fields.facility log JSON.
fields.host	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom fields.host log JSON.
fields.privatecloud_id	event.idm.read_only_udm.principal.cloud.project.id	Dipetakan langsung dari kolom fields.privatecloud_id log JSON.
fields.privatecloud_name	event.idm.read_only_udm.principal.cloud.project.name	Dipetakan langsung dari kolom fields.privatecloud_name log JSON.
fields.procid	event.idm.read_only_udm.principal.process.pid	Dipetakan langsung dari kolom fields.procid log JSON.
fields.region_id	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan langsung dari kolom fields.region_id log JSON.
fields.severity	event.idm.read_only_udm.security_result.severity	Dipetakan dari kolom fields.severity log JSON. Jika nilainya adalah "info" atau yang serupa, nilai tersebut akan dipetakan ke "INFORMATIONAL".
host.architecture	event.idm.read_only_udm.principal.asset.architecture	Dipetakan langsung dari kolom host.architecture log JSON.
host.containerized	event.idm.read_only_udm.principal.asset.containerized	Dipetakan langsung dari kolom host.containerized log JSON.
host.hostname	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom host.hostname log JSON.
host.id	event.idm.read_only_udm.principal.asset.id	Dipetakan langsung dari kolom host.id log JSON.
host.ip	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	Dipetakan langsung dari kolom host.ip log JSON.
host.mac	event.idm.read_only_udm.principal.mac, event.idm.read_only_udm.principal.asset.mac	Dipetakan langsung dari kolom host.mac log JSON.
host.name	event.idm.read_only_udm.principal.asset.name	Dipetakan langsung dari kolom host.name log JSON.
host.os.codename	event.idm.read_only_udm.principal.asset.os.codename	Dipetakan langsung dari kolom host.os.codename log JSON.
host.os.family	event.idm.read_only_udm.principal.asset.os.family	Dipetakan langsung dari kolom host.os.family log JSON.
host.os.kernel	event.idm.read_only_udm.principal.asset.os.kernel	Dipetakan langsung dari kolom host.os.kernel log JSON.
host.os.name	event.idm.read_only_udm.principal.asset.os.name	Dipetakan langsung dari kolom host.os.name log JSON.
host.os.platform	event.idm.read_only_udm.principal.asset.os.platform	Dipetakan langsung dari kolom host.os.platform log JSON.
host.os.version	event.idm.read_only_udm.principal.asset.os.version	Dipetakan langsung dari kolom host.os.version log JSON.
iporhost	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom iporhost log mentah.
iporhost	event.idm.read_only_udm.principal.ip	Dipetakan langsung dari kolom iporhost log mentah jika berupa alamat IP.
iporhost1	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom iporhost1 log mentah.
kv_data1	event.idm.read_only_udm.principal.process.product_specific_process_id	Kolom kv_data1 diuraikan untuk mengekstrak nilai opID atau sub, yang kemudian diawali dengan "opID:" atau "sub:" dan dipetakan ke UDM.
kv_msg	event.idm.read_only_udm.additional.fields	Kolom kv_msg diuraikan sebagai pasangan nilai kunci dan ditambahkan ke array additional_fields di UDM.
kv_msg1	event.idm.read_only_udm.additional.fields	Kolom kv_msg1 diuraikan sebagai pasangan nilai kunci dan ditambahkan ke array additional_fields di UDM.
lbdn	event.idm.read_only_udm.target.hostname	Dipetakan langsung dari kolom lbdn log mentah.
log.source.address	event.idm.read_only_udm.observer.hostname	Dipetakan langsung dari kolom log.source.address log JSON, hanya mengambil bagian nama host.
log_event.original	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom event.original log JSON.
log_level	event.idm.read_only_udm.security_result.severity_details	Dipetakan langsung dari kolom log_level log JSON.
logstash.collect.host	event.idm.read_only_udm.observer.hostname	Dipetakan langsung dari kolom logstash.collect.host log JSON.
logstash.collect.timestamp	event.idm.read_only_udm.metadata.ingested_timestamp	Diurai dan dikonversi menjadi objek stempel waktu dari kolom logstash.collect.timestamp log menggunakan filter date.
logstash.ingest.host	event.idm.read_only_udm.intermediary.hostname	Dipetakan langsung dari kolom logstash.ingest.host log JSON.
logstash.ingest.timestamp	event.idm.read_only_udm.metadata.ingested_timestamp	Diurai dan dikonversi ke objek stempel waktu dari kolom logstash.ingest.timestamp log menggunakan filter date.
logstash.process.host	event.idm.read_only_udm.intermediary.hostname	Dipetakan langsung dari kolom logstash.process.host log JSON.
logstash.process.timestamp	event.idm.read_only_udm.metadata.ingested_timestamp	Diuraikan dan dikonversi menjadi objek stempel waktu dari kolom logstash.process.timestamp log menggunakan filter date.
log_type	event.idm.read_only_udm.metadata.log_type	Dipetakan langsung dari kolom log_type log mentah.
message	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom message log JSON.
message_to_process	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom message_to_process log mentah.
metadata.event_type	event.idm.read_only_udm.metadata.event_type	Awalnya ditetapkan ke "GENERIC_EVENT", lalu berpotensi ditimpa berdasarkan service yang diuraikan atau konten log lainnya. Dapat berupa nilai seperti PROCESS_LAUNCH, NETWORK_CONNECTION, USER_LOGIN, dll.
metadata.product_event_type	event.idm.read_only_udm.metadata.product_event_type	Dipetakan langsung dari kolom process_id atau prod_event_type log mentah.
metadata.product_log_id	event.idm.read_only_udm.metadata.product_log_id	Dipetakan langsung dari kolom event_id log mentah.
metadata.product_name	event.idm.read_only_udm.metadata.product_name	Tetapkan ke "ESX".
metadata.product_version	event.idm.read_only_udm.metadata.product_version	Dipetakan langsung dari kolom version log JSON.
metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	Tetapkan ke "VMWARE".
msg	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom msg log mentah.
network.application_protocol	event.idm.read_only_udm.network.application_protocol	Tetapkan ke "DNS" jika service adalah "named", "HTTPS" jika port-nya adalah 443, atau "HTTP" jika app_protocol cocok dengan "http".
network.direction	event.idm.read_only_udm.network.direction	Ditentukan dari kata kunci dalam log mentah, seperti "IN", "OUT", "->". Dapat berupa INBOUND atau OUTBOUND.
network.http.method	event.idm.read_only_udm.network.http.method	Dipetakan langsung dari kolom method log mentah.
network.http.parsed_user_agent	event.idm.read_only_udm.network.http.parsed_user_agent	Diuraikan dari kolom useragent menggunakan filter convert.
network.http.referral_url	event.idm.read_only_udm.network.http.referral_url	Dipetakan langsung dari kolom prin_url log mentah.
network.http.response_code	event.idm.read_only_udm.network.http.response_code	Dipetakan langsung dari kolom status_code log mentah dan dikonversi menjadi bilangan bulat.
network.http.user_agent	event.idm.read_only_udm.network.http.user_agent	Dipetakan langsung dari kolom useragent log mentah.
network.ip_protocol	event.idm.read_only_udm.network.ip_protocol	Ditentukan dari kata kunci dalam log mentah, seperti "TCP", "UDP".
network.received_bytes	event.idm.read_only_udm.network.received_bytes	Dipetakan langsung dari kolom rec_bytes log mentah dan dikonversi menjadi bilangan bulat tanpa tanda.
network.sent_bytes	event.idm.read_only_udm.network.sent_bytes	Diekstrak dari kolom message_to_process log mentah.
network.session_id	event.idm.read_only_udm.network.session_id	Dipetakan langsung dari kolom session log mentah.
pid	event.idm.read_only_udm.target.process.parent_process.pid	Dipetakan langsung dari kolom pid log mentah.
pid	event.idm.read_only_udm.principal.process.pid	Dipetakan langsung dari kolom pid log JSON.
pid	event.idm.read_only_udm.target.process.pid	Dipetakan langsung dari kolom pid log mentah.
port	event.idm.read_only_udm.target.port	Dipetakan langsung dari kolom port log JSON.
principal.application	event.idm.read_only_udm.principal.application	Dipetakan langsung dari kolom app_name atau service log mentah.
principal.asset.hostname	event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom principal_hostname atau iporhost log mentah.
principal.asset.ip	event.idm.read_only_udm.principal.asset.ip	Dipetakan langsung dari kolom syslog_ip log mentah.
principal.hostname	event.idm.read_only_udm.principal.hostname	Dipetakan langsung dari kolom principal_hostname atau iporhost log mentah.
principal.ip	event.idm.read_only_udm.principal.ip	Dipetakan langsung dari kolom iporhost atau syslog_ip log mentah.
principal.port	event.idm.read_only_udm.principal.port	Dipetakan langsung dari kolom srcport log mentah.
principal.process.command_line	event.idm.read_only_udm.principal.process.command_line	Dipetakan langsung dari kolom cmd log mentah.
principal.process.parent_process.pid	event.idm.read_only_udm.principal.process.parent_process.pid	Dipetakan langsung dari kolom parent_pid log mentah.
principal.process.pid	event.idm.read_only_udm.principal.process.pid	Dipetakan langsung dari kolom process_id log mentah.
principal.process.product_specific_process_id	event.idm.read_only_udm.principal.process.product_specific_process_id	Diekstrak dari kolom message_to_process log mentah, biasanya diawali dengan "opID:".
principal.url	event.idm.read_only_udm.principal.url	Dipetakan langsung dari kolom prin_url log mentah.
principal.user.company_name	event.idm.read_only_udm.principal.user.company_name	Dipetakan langsung dari kolom fields.company_name log JSON.
principal.user.userid	event.idm.read_only_udm.principal.user.userid	Dipetakan langsung dari kolom USER log mentah.
priority	event.idm.read_only_udm.metadata.product_event_type	Dipetakan langsung dari kolom priority log mentah.
program	event.idm.read_only_udm.principal.application	Dipetakan langsung dari kolom program log JSON.
qname	event.idm.read_only_udm.network.dns.questions.name	Dipetakan langsung dari kolom qname log mentah.
response_data	event.idm.read_only_udm.network.dns.answers.data	Dipetakan langsung dari kolom response_data log mentah.
response_rtype	event.idm.read_only_udm.network.dns.answers.type	Dipetakan langsung dari kolom response_rtype log mentah. Jenis data DNS numerik diekstrak.
response_ttl	event.idm.read_only_udm.network.dns.answers.ttl	Dipetakan langsung dari kolom response_ttl log mentah.
rtype	event.idm.read_only_udm.network.dns.questions.type	Dipetakan langsung dari kolom rtype log mentah. Jenis data DNS numerik diekstrak.
security_result.action	event.idm.read_only_udm.security_result.action	Ditentukan dari kata kunci atau status dalam log mentah. Dapat berupa ALLOW atau BLOCK.
security_result.action_details	event.idm.read_only_udm.security_result.action_details	Diekstrak dari pesan log mentah, memberikan lebih banyak konteks tentang tindakan yang dilakukan.
security_result.category	event.idm.read_only_udm.security_result.category	Ditetapkan ke POLICY_VIOLATION jika log menunjukkan kecocokan aturan firewall.
security_result.description	event.idm.read_only_udm.security_result.description	Diekstrak dari pesan log mentah, memberikan lebih banyak konteks tentang hasil keamanan.
security_result.rule_id	event.idm.read_only_udm.security_result.rule_id	Dipetakan langsung dari kolom rule_id log mentah.
security_result.severity	event.idm.read_only_udm.security_result.severity	Ditentukan dari kata kunci dalam log mentah, seperti "info", "peringatan", "error". Dapat berupa INFORMATIONAL, LOW, MEDIUM, atau HIGH.
security_result.severity_details	event.idm.read_only_udm.security_result.severity_details	Dipetakan langsung dari kolom severity atau log.syslog.severity.name log mentah.
security_result.summary	event.idm.read_only_udm.security_result.summary	Diekstrak dari pesan log mentah, yang memberikan ringkasan singkat tentang hasil keamanan.
service	event.idm.read_only_udm.principal.application	Dipetakan langsung dari kolom service log mentah.
source	event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname	Dipetakan langsung dari kolom source log mentah.
src.file.full_path	event.idm.read_only_udm.src.file.full_path	Diekstrak dari pesan log mentah.
src.hostname	event.idm.read_only_udm.src.hostname	Dipetakan langsung dari kolom src.hostname log mentah.
src_ip	event.idm.read_only_udm.principal.ip	Dipetakan langsung dari kolom src_ip log mentah.
src_mac_address	event.idm.read_only_udm.principal.mac	Dipetakan langsung dari kolom src_mac_address log mentah.
srcport	event.idm.read_only_udm.principal.port	Dipetakan langsung dari kolom srcport log mentah.
srcip	event.idm.read_only_udm.principal.ip	Dipetakan langsung dari kolom srcip log mentah.
subtype	event.idm.read_only_udm.metadata.event_type	Dipetakan langsung dari kolom subtype log mentah.
tags	event.idm.read_only_udm.metadata.tags	Dipetakan langsung dari kolom tags log JSON.
target.application	event.idm.read_only_udm.target.application	Dipetakan langsung dari kolom target_application log mentah.
target.file.full_path	event.idm.read_only_udm.target.file.full_path	Diekstrak dari pesan log mentah.
target.hostname	event.idm.read_only_udm.target.hostname, event.idm.read_only_udm.target.asset.hostname	Dipetakan langsung dari kolom target_hostname atau iporhost log mentah.
target.ip	event.idm.read_only_udm.target.ip	Dipetakan langsung dari kolom target_ip log mentah.
target.mac	event.idm.read_only_udm.target.mac	Dipetakan langsung dari kolom target_mac_address log mentah.
target.port	event.idm.read_only_udm.target.port	Dipetakan langsung dari kolom target_port log mentah.
target.process.command_line	event.idm.read_only_udm.target.process.command_line	Dipetakan langsung dari kolom cmd log mentah.
target.process.parent_process.pid	event.idm.read_only_udm.target.process.parent_process.pid	Dipetakan langsung dari kolom parent_pid log mentah.
target.process.pid	event.idm.read_only_udm.target.process.pid	Dipetakan langsung dari kolom pid log mentah.
target.process.product_specific_process_id	event.idm.read_only_udm.target.process.product_specific_process_id	Diekstrak dari kolom message_to_process log mentah, biasanya diawali dengan "opID:".
target.resource.name	event.idm.read_only_udm.target.resource.name	Dipetakan langsung dari kolom adapter log mentah.
target.resource.resource_type	event.idm.read_only_udm.target.resource.resource_type	Tetapkan ke VIRTUAL_MACHINE jika log menunjukkan operasi VM.
target.resource.type	event.idm.read_only_udm.target.resource.type	Tetapkan ke SETTING jika log menunjukkan modifikasi setelan.
target.user.userid	event.idm.read_only_udm.target.user.userid	Dipetakan langsung dari kolom target_username atau user1 log mentah.
timestamp	event.timestamp	Diurai dan dikonversi menjadi objek stempel waktu dari kolom timestamp atau data log menggunakan filter date.
type	event.idm.read_only_udm.additional.fields	Kolom type log ditambahkan ke array additional_fields di UDM dengan kunci "LogType".
user1	event.idm.read_only_udm.target.user.userid	Dipetakan langsung dari kolom user1 log mentah.
useragent	event.idm.read_only_udm.network.http.user_agent	Dipetakan langsung dari kolom useragent log mentah.
vmw_cluster	event.idm.read_only_udm.target.resource.name	Dipetakan langsung dari kolom vmw_cluster log mentah.
vmw_datacenter	event.idm.read_only_udm.target.resource.name	Dipetakan langsung dari kolom vmw_datacenter log mentah.
vmw_host	event.idm.read_only_udm.target.ip	Dipetakan langsung dari kolom vmw_host log mentah.
vmw_object_id	event.idm.read_only_udm.target.resource.id	Dipetakan langsung dari kolom vmw_object_id log mentah.
vmw_product	event.idm.read_only_udm.target.application	Dipetakan langsung dari kolom vmw_product log mentah.
vmw_vcenter	event.idm.read_only_udm.target.cloud.availability_zone	Dipetakan langsung dari kolom vmw_vcenter log mentah.
vmw_vcenter_id	event.idm.read_only_udm.target.cloud.availability_zone.id	Dipetakan langsung dari kolom vmw_vcenter_id log mentah.
vmw_vr_ops_appname	event.idm.read_only_udm.target.application	Dipetakan langsung dari kolom vmw_vr_ops_appname log mentah.
vmw_vr_ops_clustername	event.idm.read_only_udm.target.resource.name	Dipetakan langsung dari kolom vmw_vr_ops_clustername log mentah.
vmw_vr_ops_clusterrole	event.idm.read_only_udm.target.resource.type	Dipetakan langsung dari kolom vmw_vr_ops_clusterrole log mentah.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.