Mengumpulkan log VMware ESXi

Didukung di:

Dokumen ini menjelaskan cara menyerap log VMware ESXi ke Google Security Operations menggunakan Bindplane. VMware ESXi adalah hypervisor bare-metal yang diinstal langsung di server fisik untuk membaginya menjadi beberapa virtual machine. Log ESXi mencatat peristiwa sistem host, aktivitas autentikasi, operasi mesin virtual, peristiwa penyimpanan dan jaringan, serta pesan kernel hypervisor.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps.
  • Host Windows 2016 atau yang lebih baru atau Linux dengan systemd.
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane.
  • Akses istimewa ke host VMware ESXi (peran root atau administrator) melalui ESXi Host Client atau vSphere Client.

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Collection Agents.

  3. Download File Autentikasi Penyerapan.

    • Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Referensi penginstalan tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

  1. Akses file konfigurasi:

    • Cari file config.yaml. Biasanya, file ini berada di direktori /etc/bindplane-agent/ di Linux atau di direktori penginstalan di Windows.
    • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

  2. Edit file config.yaml sebagai berikut:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
  • Ganti YOUR_CUSTOMER_ID dengan ID Pelanggan yang sebenarnya.
  • Perbarui /path/to/ingestion-authentication-file.json ke jalur file tempat file autentikasi disimpan di Langkah 1.

Mulai ulang agen Bindplane untuk menerapkan perubahan

  1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

    net stop observiq-otel-collector && net start observiq-otel-collector

Mengonfigurasi penerusan syslog VMware ESXi

ESXi mendukung penerusan syslog native melalui UDP. Anda dapat mengonfigurasinya menggunakan ESXi Host Client, vSphere Client, atau ESXi Shell (SSH).

Opsi - Klien Host ESXi atau Klien vSphere

  1. Login ke ESXi Host Client (https://<esxi-host>/ui) atau vSphere Client, lalu pilih host ESXi.
  2. Buka Kelola > Sistem > Setelan Lanjutan.
  3. Telusuri Syslog.global.logHost.

  4. Klik Edit dan tetapkan nilai ke:

    • udp://<BINDPLANE_IP>:514
    • Untuk menambahkan beberapa server syslog, pisahkan dengan koma (misalnya, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).

  5. Klik Simpan.

  6. Cari Syslog.global.logDir untuk memverifikasi bahwa logging lokal juga diaktifkan (misalnya, [] /scratch/log).

Opsi - ESXi Shell (SSH)

  1. Hubungkan ke host ESXi melalui SSH.

  2. Jalankan perintah berikut untuk mengonfigurasi server syslog jarak jauh:

    esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"

  3. Muat ulang layanan syslog:

    esxcli system syslog reload

  4. Verifikasi konfigurasi:

    esxcli system syslog config get

Mengonfigurasi firewall ESXi untuk syslog

  1. Jika firewall ESXi diaktifkan, buka aturan keluar syslog. Hubungkan melalui SSH dan jalankan:

    esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true

  2. Muat ulang aturan firewall:

    esxcli network firewall refresh

  3. Pastikan aturan firewall syslog diaktifkan:

    esxcli network firewall ruleset list | grep syslog

Untuk mengetahui informasi selengkapnya, lihat dokumentasi syslog VMware ESXi.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
@fields.alias event.idm.read_only_udm.principal.cloud.project.alias Dipetakan langsung dari kolom @fields.alias log JSON.
@fields.company_name event.idm.read_only_udm.principal.user.company_name Dipetakan langsung dari kolom @fields.company_name log JSON.
@fields.facility event.idm.read_only_udm.principal.resource.type Dipetakan langsung dari kolom @fields.facility log JSON.
@fields.host event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom @fields.host log JSON.
@fields.privatecloud_id event.idm.read_only_udm.principal.cloud.project.id Dipetakan langsung dari kolom @fields.privatecloud_id log JSON.
@fields.privatecloud_name event.idm.read_only_udm.principal.cloud.project.name Dipetakan langsung dari kolom @fields.privatecloud_name log JSON.
@fields.procid event.idm.read_only_udm.principal.process.pid Dipetakan langsung dari kolom @fields.procid log JSON.
@fields.region_id event.idm.read_only_udm.principal.location.country_or_region Dipetakan langsung dari kolom @fields.region_id log JSON.
@fields.severity event.idm.read_only_udm.security_result.severity Dipetakan dari kolom @fields.severity log JSON. Jika nilainya adalah "info" atau yang serupa, nilai tersebut dipetakan ke "INFORMATIONAL".
@timestamp event.idm.read_only_udm.metadata.event_timestamp Diuraikan dan dikonversi menjadi objek stempel waktu dari kolom @timestamp log menggunakan filter date.
adapter event.idm.read_only_udm.target.resource.name Dipetakan langsung dari kolom adapter log mentah.
action event.idm.read_only_udm.security_result.action Dipetakan langsung dari kolom action log mentah. Nilai seperti "ALLOW" dan "BLOCK" digunakan.
action event.idm.read_only_udm.security_result.action_details Dipetakan langsung dari kolom action log mentah. Nilai seperti "Alihkan" digunakan.
administrative_domain event.idm.read_only_udm.principal.administrative_domain Dipetakan langsung dari kolom administrative_domain log mentah.
agent.hostname event.idm.read_only_udm.intermediary.hostname Dipetakan langsung dari kolom agent.hostname log JSON.
agent.id event.idm.read_only_udm.intermediary.asset.id Dipetakan langsung dari kolom agent.id log JSON.
agent.name event.idm.read_only_udm.intermediary.asset.name Dipetakan langsung dari kolom agent.name log JSON.
agent.type event.idm.read_only_udm.intermediary.asset.type Dipetakan langsung dari kolom agent.type log JSON.
agent.version event.idm.read_only_udm.intermediary.asset.version Dipetakan langsung dari kolom agent.version log JSON.
app_name event.idm.read_only_udm.principal.application Dipetakan langsung dari kolom app_name log mentah.
app_protocol event.idm.read_only_udm.network.application_protocol Dipetakan langsung dari kolom app_protocol log mentah. Jika nilai cocok dengan "http" (tidak peka huruf besar/kecil), nilai tersebut dipetakan ke "HTTP".
application event.idm.read_only_udm.principal.application Dipetakan langsung dari kolom program log JSON.
cmd event.idm.read_only_udm.target.process.command_line Dipetakan langsung dari kolom cmd log mentah.
collection_time event.idm.read_only_udm.metadata.event_timestamp Nanodetik dari kolom collection_time ditambahkan ke detik dari kolom collection_time untuk membuat event_timestamp.
data event.idm.read_only_udm.metadata.description Pesan log mentah diuraikan dan bagian yang relevan diekstrak untuk mengisi kolom deskripsi.
descrip event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom descrip log mentah.
dns.answers.data event.idm.read_only_udm.network.dns.answers.data Dipetakan langsung dari kolom dns.answers.data log JSON.
dns.answers.ttl event.idm.read_only_udm.network.dns.answers.ttl Dipetakan langsung dari kolom dns.answers.ttl log JSON.
dns.answers.type event.idm.read_only_udm.network.dns.answers.type Dipetakan langsung dari kolom dns.answers.type log JSON.
dns.questions.name event.idm.read_only_udm.network.dns.questions.name Dipetakan langsung dari kolom dns.questions.name log JSON.
dns.questions.type event.idm.read_only_udm.network.dns.questions.type Dipetakan langsung dari kolom dns.questions.type log JSON.
dns.response event.idm.read_only_udm.network.dns.response Dipetakan langsung dari kolom dns.response log JSON.
ecs.version event.idm.read_only_udm.metadata.product_version Dipetakan langsung dari kolom ecs.version log JSON.
event_message event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom event_message log JSON.
event_metadata event.idm.read_only_udm.principal.process.product_specific_process_id Kolom event_metadata diuraikan untuk mengekstrak nilai opID, yang kemudian ditambahkan dengan "opID:" dan dipetakan ke UDM.
event_type event.idm.read_only_udm.metadata.event_type Dipetakan langsung dari kolom event_type log JSON.
filepath event.idm.read_only_udm.target.file.full_path Dipetakan langsung dari kolom filepath log mentah.
fields.company_name event.idm.read_only_udm.principal.user.company_name Dipetakan langsung dari kolom fields.company_name log JSON.
fields.facility event.idm.read_only_udm.principal.resource.type Dipetakan langsung dari kolom fields.facility log JSON.
fields.host event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom fields.host log JSON.
fields.privatecloud_id event.idm.read_only_udm.principal.cloud.project.id Dipetakan langsung dari kolom fields.privatecloud_id log JSON.
fields.privatecloud_name event.idm.read_only_udm.principal.cloud.project.name Dipetakan langsung dari kolom fields.privatecloud_name log JSON.
fields.procid event.idm.read_only_udm.principal.process.pid Dipetakan langsung dari kolom fields.procid log JSON.
fields.region_id event.idm.read_only_udm.principal.location.country_or_region Dipetakan langsung dari kolom fields.region_id log JSON.
fields.severity event.idm.read_only_udm.security_result.severity Dipetakan dari kolom fields.severity log JSON. Jika nilainya adalah "info" atau yang serupa, nilai tersebut dipetakan ke "INFORMATIONAL".
host.architecture event.idm.read_only_udm.principal.asset.architecture Dipetakan langsung dari kolom host.architecture log JSON.
host.containerized event.idm.read_only_udm.principal.asset.containerized Dipetakan langsung dari kolom host.containerized log JSON.
host.hostname event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom host.hostname log JSON.
host.id event.idm.read_only_udm.principal.asset.id Dipetakan langsung dari kolom host.id log JSON.
host.ip event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Dipetakan langsung dari kolom host.ip log JSON.
host.mac event.idm.read_only_udm.principal.mac, event.idm.read_only_udm.principal.asset.mac Dipetakan langsung dari kolom host.mac log JSON.
host.name event.idm.read_only_udm.principal.asset.name Dipetakan langsung dari kolom host.name log JSON.
host.os.codename event.idm.read_only_udm.principal.asset.os.codename Dipetakan langsung dari kolom host.os.codename log JSON.
host.os.family event.idm.read_only_udm.principal.asset.os.family Dipetakan langsung dari kolom host.os.family log JSON.
host.os.kernel event.idm.read_only_udm.principal.asset.os.kernel Dipetakan langsung dari kolom host.os.kernel log JSON.
host.os.name event.idm.read_only_udm.principal.asset.os.name Dipetakan langsung dari kolom host.os.name log JSON.
host.os.platform event.idm.read_only_udm.principal.asset.os.platform Dipetakan langsung dari kolom host.os.platform log JSON.
host.os.version event.idm.read_only_udm.principal.asset.os.version Dipetakan langsung dari kolom host.os.version log JSON.
iporhost event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom iporhost log mentah.
iporhost event.idm.read_only_udm.principal.ip Dipetakan langsung dari kolom iporhost log mentah jika merupakan alamat IP.
iporhost1 event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom iporhost1 log mentah.
kv_data1 event.idm.read_only_udm.principal.process.product_specific_process_id Kolom kv_data1 diuraikan untuk mengekstrak nilai opID atau sub, yang kemudian diawali dengan "opID:" atau "sub:" dan dipetakan ke UDM.
kv_msg event.idm.read_only_udm.additional.fields Kolom kv_msg diuraikan sebagai pasangan nilai kunci dan ditambahkan ke array additional_fields di UDM.
kv_msg1 event.idm.read_only_udm.additional.fields Kolom kv_msg1 diuraikan sebagai pasangan nilai kunci dan ditambahkan ke array additional_fields di UDM.
lbdn event.idm.read_only_udm.target.hostname Dipetakan langsung dari kolom lbdn log mentah.
log.source.address event.idm.read_only_udm.observer.hostname Dipetakan langsung dari kolom log.source.address log JSON, hanya mengambil bagian nama host.
log_event.original event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom event.original log JSON.
log_level event.idm.read_only_udm.security_result.severity_details Dipetakan langsung dari kolom log_level log JSON.
logstash.collect.host event.idm.read_only_udm.observer.hostname Dipetakan langsung dari kolom logstash.collect.host log JSON.
logstash.collect.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Diuraikan dan dikonversi menjadi objek stempel waktu dari kolom logstash.collect.timestamp log menggunakan filter date.
logstash.ingest.host event.idm.read_only_udm.intermediary.hostname Dipetakan langsung dari kolom logstash.ingest.host log JSON.
logstash.ingest.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Diuraikan dan dikonversi menjadi objek stempel waktu dari kolom logstash.ingest.timestamp log menggunakan filter date.
logstash.process.host event.idm.read_only_udm.intermediary.hostname Dipetakan langsung dari kolom logstash.process.host log JSON.
logstash.process.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Diuraikan dan dikonversi menjadi objek stempel waktu dari kolom logstash.process.timestamp log menggunakan filter date.
log_type event.idm.read_only_udm.metadata.log_type Dipetakan langsung dari kolom log_type log mentah.
message event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom message log JSON.
message_to_process event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom message_to_process log mentah.
metadata.event_type event.idm.read_only_udm.metadata.event_type Awalnya disetel ke "GENERIC_EVENT", lalu berpotensi diganti berdasarkan service yang diuraikan atau konten log lainnya. Dapat berupa nilai seperti PROCESS_LAUNCH, NETWORK_CONNECTION, USER_LOGIN, dll.
metadata.product_event_type event.idm.read_only_udm.metadata.product_event_type Dipetakan langsung dari kolom process_id atau prod_event_type log mentah.
metadata.product_log_id event.idm.read_only_udm.metadata.product_log_id Dipetakan langsung dari kolom event_id log mentah.
metadata.product_name event.idm.read_only_udm.metadata.product_name Tetapkan ke "ESX".
metadata.product_version event.idm.read_only_udm.metadata.product_version Dipetakan langsung dari kolom version log JSON.
metadata.vendor_name event.idm.read_only_udm.metadata.vendor_name Tetapkan ke "VMWARE".
msg event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom msg log mentah.
network.application_protocol event.idm.read_only_udm.network.application_protocol Disetel ke "DNS" jika service adalah "bernama", "HTTPS" jika portnya adalah 443, atau "HTTP" jika app_protocol cocok dengan "http".
network.direction event.idm.read_only_udm.network.direction Ditentukan dari kata kunci dalam log mentah, seperti "IN", "OUT", "->". Dapat berupa INBOUND atau OUTBOUND.
network.http.method event.idm.read_only_udm.network.http.method Dipetakan langsung dari kolom method log mentah.
network.http.parsed_user_agent event.idm.read_only_udm.network.http.parsed_user_agent Diuraikan dari kolom useragent menggunakan filter convert.
network.http.referral_url event.idm.read_only_udm.network.http.referral_url Dipetakan langsung dari kolom prin_url log mentah.
network.http.response_code event.idm.read_only_udm.network.http.response_code Dipetakan langsung dari kolom status_code log mentah dan dikonversi menjadi bilangan bulat.
network.http.user_agent event.idm.read_only_udm.network.http.user_agent Dipetakan langsung dari kolom useragent log mentah.
network.ip_protocol event.idm.read_only_udm.network.ip_protocol Ditentukan dari kata kunci dalam log mentah, seperti "TCP", "UDP".
network.received_bytes event.idm.read_only_udm.network.received_bytes Dipetakan langsung dari kolom rec_bytes log mentah dan dikonversi menjadi bilangan bulat tidak bertanda.
network.sent_bytes event.idm.read_only_udm.network.sent_bytes Diekstrak dari kolom message_to_process log mentah.
network.session_id event.idm.read_only_udm.network.session_id Dipetakan langsung dari kolom session log mentah.
pid event.idm.read_only_udm.target.process.parent_process.pid Dipetakan langsung dari kolom pid log mentah.
pid event.idm.read_only_udm.principal.process.pid Dipetakan langsung dari kolom pid log JSON.
pid event.idm.read_only_udm.target.process.pid Dipetakan langsung dari kolom pid log mentah.
port event.idm.read_only_udm.target.port Dipetakan langsung dari kolom port log JSON.
principal.application event.idm.read_only_udm.principal.application Dipetakan langsung dari kolom app_name atau service log mentah.
principal.asset.hostname event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom principal_hostname atau iporhost log mentah.
principal.asset.ip event.idm.read_only_udm.principal.asset.ip Dipetakan langsung dari kolom syslog_ip log mentah.
principal.hostname event.idm.read_only_udm.principal.hostname Dipetakan langsung dari kolom principal_hostname atau iporhost log mentah.
principal.ip event.idm.read_only_udm.principal.ip Dipetakan langsung dari kolom iporhost atau syslog_ip log mentah.
principal.port event.idm.read_only_udm.principal.port Dipetakan langsung dari kolom srcport log mentah.
principal.process.command_line event.idm.read_only_udm.principal.process.command_line Dipetakan langsung dari kolom cmd log mentah.
principal.process.parent_process.pid event.idm.read_only_udm.principal.process.parent_process.pid Dipetakan langsung dari kolom parent_pid log mentah.
principal.process.pid event.idm.read_only_udm.principal.process.pid Dipetakan langsung dari kolom process_id log mentah.
principal.process.product_specific_process_id event.idm.read_only_udm.principal.process.product_specific_process_id Diekstrak dari kolom message_to_process log mentah, biasanya diawali dengan "opID:".
principal.url event.idm.read_only_udm.principal.url Dipetakan langsung dari kolom prin_url log mentah.
principal.user.company_name event.idm.read_only_udm.principal.user.company_name Dipetakan langsung dari kolom fields.company_name log JSON.
principal.user.userid event.idm.read_only_udm.principal.user.userid Dipetakan langsung dari kolom USER log mentah.
priority event.idm.read_only_udm.metadata.product_event_type Dipetakan langsung dari kolom priority log mentah.
program event.idm.read_only_udm.principal.application Dipetakan langsung dari kolom program log JSON.
qname event.idm.read_only_udm.network.dns.questions.name Dipetakan langsung dari kolom qname log mentah.
response_data event.idm.read_only_udm.network.dns.answers.data Dipetakan langsung dari kolom response_data log mentah.
response_rtype event.idm.read_only_udm.network.dns.answers.type Dipetakan langsung dari kolom response_rtype log mentah. Jenis data DNS numerik diekstrak.
response_ttl event.idm.read_only_udm.network.dns.answers.ttl Dipetakan langsung dari kolom response_ttl log mentah.
rtype event.idm.read_only_udm.network.dns.questions.type Dipetakan langsung dari kolom rtype log mentah. Jenis data DNS numerik diekstrak.
security_result.action event.idm.read_only_udm.security_result.action Ditentukan dari kata kunci atau status dalam log mentah. Dapat berupa ALLOW atau BLOCK.
security_result.action_details event.idm.read_only_udm.security_result.action_details Diekstrak dari pesan log mentah, memberikan lebih banyak konteks tentang tindakan yang dilakukan.
security_result.category event.idm.read_only_udm.security_result.category Disetel ke POLICY_VIOLATION jika log menunjukkan kecocokan aturan firewall.
security_result.description event.idm.read_only_udm.security_result.description Diekstrak dari pesan log mentah, memberikan lebih banyak konteks tentang hasil keamanan.
security_result.rule_id event.idm.read_only_udm.security_result.rule_id Dipetakan langsung dari kolom rule_id log mentah.
security_result.severity event.idm.read_only_udm.security_result.severity Ditentukan dari kata kunci dalam log mentah, seperti "info", "peringatan", "error". Dapat berupa INFORMATIONAL, LOW, MEDIUM, atau HIGH.
security_result.severity_details event.idm.read_only_udm.security_result.severity_details Dipetakan langsung dari kolom severity atau log.syslog.severity.name log mentah.
security_result.summary event.idm.read_only_udm.security_result.summary Diekstrak dari pesan log mentah, yang memberikan ringkasan singkat hasil keamanan.
service event.idm.read_only_udm.principal.application Dipetakan langsung dari kolom service log mentah.
source event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Dipetakan langsung dari kolom source log mentah.
src.file.full_path event.idm.read_only_udm.src.file.full_path Diekstrak dari pesan log mentah.
src.hostname event.idm.read_only_udm.src.hostname Dipetakan langsung dari kolom src.hostname log mentah.
src_ip event.idm.read_only_udm.principal.ip Dipetakan langsung dari kolom src_ip log mentah.
src_mac_address event.idm.read_only_udm.principal.mac Dipetakan langsung dari kolom src_mac_address log mentah.
srcport event.idm.read_only_udm.principal.port Dipetakan langsung dari kolom srcport log mentah.
srcip event.idm.read_only_udm.principal.ip Dipetakan langsung dari kolom srcip log mentah.
subtype event.idm.read_only_udm.metadata.event_type Dipetakan langsung dari kolom subtype log mentah.
tags event.idm.read_only_udm.metadata.tags Dipetakan langsung dari kolom tags log JSON.
target.application event.idm.read_only_udm.target.application Dipetakan langsung dari kolom target_application log mentah.
target.file.full_path event.idm.read_only_udm.target.file.full_path Diekstrak dari pesan log mentah.
target.hostname event.idm.read_only_udm.target.hostname, event.idm.read_only_udm.target.asset.hostname Dipetakan langsung dari kolom target_hostname atau iporhost log mentah.
target.ip event.idm.read_only_udm.target.ip Dipetakan langsung dari kolom target_ip log mentah.
target.mac event.idm.read_only_udm.target.mac Dipetakan langsung dari kolom target_mac_address log mentah.
target.port event.idm.read_only_udm.target.port Dipetakan langsung dari kolom target_port log mentah.
target.process.command_line event.idm.read_only_udm.target.process.command_line Dipetakan langsung dari kolom cmd log mentah.
target.process.parent_process.pid event.idm.read_only_udm.target.process.parent_process.pid Dipetakan langsung dari kolom parent_pid log mentah.
target.process.pid event.idm.read_only_udm.target.process.pid Dipetakan langsung dari kolom pid log mentah.
target.process.product_specific_process_id event.idm.read_only_udm.target.process.product_specific_process_id Diekstrak dari kolom message_to_process log mentah, biasanya diawali dengan "opID:".
target.resource.name event.idm.read_only_udm.target.resource.name Dipetakan langsung dari kolom adapter log mentah.
target.resource.resource_type event.idm.read_only_udm.target.resource.resource_type Disetel ke VIRTUAL_MACHINE jika log menunjukkan operasi VM.
target.resource.type event.idm.read_only_udm.target.resource.type Disetel ke SETTING jika log menunjukkan modifikasi setelan.
target.user.userid event.idm.read_only_udm.target.user.userid Dipetakan langsung dari kolom target_username atau user1 log mentah.
timestamp event.timestamp Diuraikan dan dikonversi menjadi objek stempel waktu dari kolom timestamp atau data log menggunakan filter date.
type event.idm.read_only_udm.additional.fields Kolom type log ditambahkan ke array additional_fields di UDM dengan kunci "LogType".
user1 event.idm.read_only_udm.target.user.userid Dipetakan langsung dari kolom user1 log mentah.
useragent event.idm.read_only_udm.network.http.user_agent Dipetakan langsung dari kolom useragent log mentah.
vmw_cluster event.idm.read_only_udm.target.resource.name Dipetakan langsung dari kolom vmw_cluster log mentah.
vmw_datacenter event.idm.read_only_udm.target.resource.name Dipetakan langsung dari kolom vmw_datacenter log mentah.
vmw_host event.idm.read_only_udm.target.ip Dipetakan langsung dari kolom vmw_host log mentah.
vmw_object_id event.idm.read_only_udm.target.resource.id Dipetakan langsung dari kolom vmw_object_id log mentah.
vmw_product event.idm.read_only_udm.target.application Dipetakan langsung dari kolom vmw_product log mentah.
vmw_vcenter event.idm.read_only_udm.target.cloud.availability_zone Dipetakan langsung dari kolom vmw_vcenter log mentah.
vmw_vcenter_id event.idm.read_only_udm.target.cloud.availability_zone.id Dipetakan langsung dari kolom vmw_vcenter_id log mentah.
vmw_vr_ops_appname event.idm.read_only_udm.target.application Dipetakan langsung dari kolom vmw_vr_ops_appname log mentah.
vmw_vr_ops_clustername event.idm.read_only_udm.target.resource.name Dipetakan langsung dari kolom vmw_vr_ops_clustername log mentah.
vmw_vr_ops_clusterrole event.idm.read_only_udm.target.resource.type Dipetakan langsung dari kolom vmw_vr_ops_clusterrole log mentah.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.