Coletar registros do VMware ESXi

Compatível com:

Este documento explica como ingerir registros do VMware ESXi no Google Security Operations usando o Bindplane. O VMware ESXi é um hipervisor bare metal que é instalado diretamente em servidores físicos para particioná-los em várias máquinas virtuais. Os registros do ESXi capturam eventos do sistema host, atividades de autenticação, operações de máquina virtual, eventos de armazenamento e rede e mensagens do kernel do hipervisor.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps.
  • Um host Windows 2016 ou posterior ou Linux com systemd.
  • Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao host VMware ESXi (função de administrador ou raiz) pelo ESXi Host Client ou vSphere Client.

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

  • Novas implantações: use a API Chronicle (opção 1).
  • Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja descontinuada em 20 de julho de 2027.
  1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
  2. Acesse IAM e administrador > Contas de serviço.
  3. Clique em Criar conta de serviço.
  4. Informe os seguintes detalhes de configuração:
    • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
    • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
  5. Clique em Criar e continuar.
  6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
  7. Clique em Continuar e depois em Concluído.
  8. Clique na conta de serviço que você criou e acesse a guia Chaves.
  9. Clique em Adicionar chave > Criar nova chave.
  10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
  11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
  12. Acesse IAM e administrador > Configurações e copie o número do projeto. Você vai precisar dele para configurar o exportador.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de ingestão.
  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte este guia de instalação.

Configurar o agente do Bindplane para ingerir o syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:

    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /opt/observiq-otel-collector/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
  • Substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor.
  • Substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • Substitua YOUR_CUSTOMER_ID pelo ID de cliente real.
  • Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de chave da conta de serviço (Opção 1) foi salvo na Etapa 1.

Exportador da API de ingestão legada

  • Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'VMWARE_ESX'
    raw_log_field: body
    ingestion_labels:

Reinicie o agente do Bindplane para aplicar as mudanças

  1. Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

  2. Para reiniciar o agente do Bindplane em Windows, use o console Serviços ou digite o seguinte comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurar o encaminhamento de syslog do VMware ESXi

O ESXi é compatível com o encaminhamento syslog nativo por UDP. É possível configurá-lo usando o ESXi Host Client, o vSphere Client ou o ESXi Shell (SSH).

Opção: cliente host ESXi ou cliente vSphere

  1. Faça login no ESXi Host Client (https://<esxi-host>/ui) ou no vSphere Client e selecione o host ESXi.
  2. Acesse Gerenciar > Sistema > Configurações avançadas.
  3. Pesquisar por Syslog.global.logHost.

  4. Clique em Editar e defina o valor como:

    • udp://<BINDPLANE_IP>:514
    • Para adicionar vários servidores syslog, separe-os com vírgulas (por exemplo, udp://<BINDPLANE_IP>:514,udp://<BACKUP_IP>:514).

  5. Clique em Salvar.

  6. Pesquise Syslog.global.logDir para verificar se a geração de registros local também está ativada (por exemplo, [] /scratch/log).

Opção: ESXi Shell (SSH)

  1. Conecte-se ao host ESXi via SSH.

  2. Execute o seguinte comando para configurar o servidor syslog remoto:

    esxcli system syslog config set --loghost="udp://<BINDPLANE_IP>:514"

  3. Atualize o serviço syslog:

    esxcli system syslog reload

  4. Para verificar a configuração:

    esxcli system syslog config get

Configurar o firewall do ESXi para syslog

  1. Se o firewall do ESXi estiver ativado, abra a regra de saída do syslog. Conecte-se via SSH e execute:

    esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true

  2. Atualize as regras de firewall:

    esxcli network firewall refresh

  3. Verifique se a regra de firewall do syslog está ativada:

    esxcli network firewall ruleset list | grep syslog

Para mais informações, consulte a documentação do syslog do VMware ESXi.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
@fields.alias event.idm.read_only_udm.principal.cloud.project.alias Mapeado diretamente do campo @fields.alias do registro JSON.
@fields.company_name event.idm.read_only_udm.principal.user.company_name Mapeado diretamente do campo @fields.company_name do registro JSON.
@fields.facility event.idm.read_only_udm.principal.resource.type Mapeado diretamente do campo @fields.facility do registro JSON.
@fields.host event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo @fields.host do registro JSON.
@fields.privatecloud_id event.idm.read_only_udm.principal.cloud.project.id Mapeado diretamente do campo @fields.privatecloud_id do registro JSON.
@fields.privatecloud_name event.idm.read_only_udm.principal.cloud.project.name Mapeado diretamente do campo @fields.privatecloud_name do registro JSON.
@fields.procid event.idm.read_only_udm.principal.process.pid Mapeado diretamente do campo @fields.procid do registro JSON.
@fields.region_id event.idm.read_only_udm.principal.location.country_or_region Mapeado diretamente do campo @fields.region_id do registro JSON.
@fields.severity event.idm.read_only_udm.security_result.severity Mapeado do campo @fields.severity do registro JSON. Se o valor for "info" ou semelhante, ele será mapeado como "INFORMATIONAL".
@timestamp event.idm.read_only_udm.metadata.event_timestamp Analisado e convertido em um objeto de carimbo de data/hora do campo @timestamp do registro usando o filtro date.
adapter event.idm.read_only_udm.target.resource.name Mapeado diretamente do campo adapter do registro bruto.
action event.idm.read_only_udm.security_result.action Mapeado diretamente do campo action do registro bruto. Valores como "ALLOW" e "BLOCK" são usados.
action event.idm.read_only_udm.security_result.action_details Mapeado diretamente do campo action do registro bruto. Valores como "Redirecionamento" são usados.
administrative_domain event.idm.read_only_udm.principal.administrative_domain Mapeado diretamente do campo administrative_domain do registro bruto.
agent.hostname event.idm.read_only_udm.intermediary.hostname Mapeado diretamente do campo agent.hostname do registro JSON.
agent.id event.idm.read_only_udm.intermediary.asset.id Mapeado diretamente do campo agent.id do registro JSON.
agent.name event.idm.read_only_udm.intermediary.asset.name Mapeado diretamente do campo agent.name do registro JSON.
agent.type event.idm.read_only_udm.intermediary.asset.type Mapeado diretamente do campo agent.type do registro JSON.
agent.version event.idm.read_only_udm.intermediary.asset.version Mapeado diretamente do campo agent.version do registro JSON.
app_name event.idm.read_only_udm.principal.application Mapeado diretamente do campo app_name do registro bruto.
app_protocol event.idm.read_only_udm.network.application_protocol Mapeado diretamente do campo app_protocol do registro bruto. Se o valor corresponder a "http" (não diferencia maiúsculas de minúsculas), ele será mapeado para "HTTP".
application event.idm.read_only_udm.principal.application Mapeado diretamente do campo program do registro JSON.
cmd event.idm.read_only_udm.target.process.command_line Mapeado diretamente do campo cmd do registro bruto.
collection_time event.idm.read_only_udm.metadata.event_timestamp Os nanossegundos do campo collection_time são adicionados aos segundos do campo collection_time para criar o event_timestamp.
data event.idm.read_only_udm.metadata.description A mensagem de registro bruta é analisada, e as partes relevantes são extraídas para preencher o campo de descrição.
descrip event.idm.read_only_udm.metadata.description Mapeado diretamente do campo descrip do registro bruto.
dns.answers.data event.idm.read_only_udm.network.dns.answers.data Mapeado diretamente do campo dns.answers.data do registro JSON.
dns.answers.ttl event.idm.read_only_udm.network.dns.answers.ttl Mapeado diretamente do campo dns.answers.ttl do registro JSON.
dns.answers.type event.idm.read_only_udm.network.dns.answers.type Mapeado diretamente do campo dns.answers.type do registro JSON.
dns.questions.name event.idm.read_only_udm.network.dns.questions.name Mapeado diretamente do campo dns.questions.name do registro JSON.
dns.questions.type event.idm.read_only_udm.network.dns.questions.type Mapeado diretamente do campo dns.questions.type do registro JSON.
dns.response event.idm.read_only_udm.network.dns.response Mapeado diretamente do campo dns.response do registro JSON.
ecs.version event.idm.read_only_udm.metadata.product_version Mapeado diretamente do campo ecs.version do registro JSON.
event_message event.idm.read_only_udm.metadata.description Mapeado diretamente do campo event_message do registro JSON.
event_metadata event.idm.read_only_udm.principal.process.product_specific_process_id O campo event_metadata é analisado para extrair o valor opID, que é adicionado com o prefixo "opID:" e mapeado para o UDM.
event_type event.idm.read_only_udm.metadata.event_type Mapeado diretamente do campo event_type do registro JSON.
filepath event.idm.read_only_udm.target.file.full_path Mapeado diretamente do campo filepath do registro bruto.
fields.company_name event.idm.read_only_udm.principal.user.company_name Mapeado diretamente do campo fields.company_name do registro JSON.
fields.facility event.idm.read_only_udm.principal.resource.type Mapeado diretamente do campo fields.facility do registro JSON.
fields.host event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo fields.host do registro JSON.
fields.privatecloud_id event.idm.read_only_udm.principal.cloud.project.id Mapeado diretamente do campo fields.privatecloud_id do registro JSON.
fields.privatecloud_name event.idm.read_only_udm.principal.cloud.project.name Mapeado diretamente do campo fields.privatecloud_name do registro JSON.
fields.procid event.idm.read_only_udm.principal.process.pid Mapeado diretamente do campo fields.procid do registro JSON.
fields.region_id event.idm.read_only_udm.principal.location.country_or_region Mapeado diretamente do campo fields.region_id do registro JSON.
fields.severity event.idm.read_only_udm.security_result.severity Mapeado do campo fields.severity do registro JSON. Se o valor for "info" ou semelhante, ele será mapeado como "INFORMATIONAL".
host.architecture event.idm.read_only_udm.principal.asset.architecture Mapeado diretamente do campo host.architecture do registro JSON.
host.containerized event.idm.read_only_udm.principal.asset.containerized Mapeado diretamente do campo host.containerized do registro JSON.
host.hostname event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo host.hostname do registro JSON.
host.id event.idm.read_only_udm.principal.asset.id Mapeado diretamente do campo host.id do registro JSON.
host.ip event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mapeado diretamente do campo host.ip do registro JSON.
host.mac event.idm.read_only_udm.principal.mac, event.idm.read_only_udm.principal.asset.mac Mapeado diretamente do campo host.mac do registro JSON.
host.name event.idm.read_only_udm.principal.asset.name Mapeado diretamente do campo host.name do registro JSON.
host.os.codename event.idm.read_only_udm.principal.asset.os.codename Mapeado diretamente do campo host.os.codename do registro JSON.
host.os.family event.idm.read_only_udm.principal.asset.os.family Mapeado diretamente do campo host.os.family do registro JSON.
host.os.kernel event.idm.read_only_udm.principal.asset.os.kernel Mapeado diretamente do campo host.os.kernel do registro JSON.
host.os.name event.idm.read_only_udm.principal.asset.os.name Mapeado diretamente do campo host.os.name do registro JSON.
host.os.platform event.idm.read_only_udm.principal.asset.os.platform Mapeado diretamente do campo host.os.platform do registro JSON.
host.os.version event.idm.read_only_udm.principal.asset.os.version Mapeado diretamente do campo host.os.version do registro JSON.
iporhost event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo iporhost do registro bruto.
iporhost event.idm.read_only_udm.principal.ip Mapeado diretamente do campo iporhost do registro bruto se for um endereço IP.
iporhost1 event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo iporhost1 do registro bruto.
kv_data1 event.idm.read_only_udm.principal.process.product_specific_process_id O campo kv_data1 é analisado para extrair o valor opID ou sub, que é precedido por "opID:" ou "sub:", respectivamente, e mapeado para o UDM.
kv_msg event.idm.read_only_udm.additional.fields O campo kv_msg é analisado como pares de chave-valor e adicionado à matriz additional_fields no UDM.
kv_msg1 event.idm.read_only_udm.additional.fields O campo kv_msg1 é analisado como pares de chave-valor e adicionado à matriz additional_fields na UDM.
lbdn event.idm.read_only_udm.target.hostname Mapeado diretamente do campo lbdn do registro bruto.
log.source.address event.idm.read_only_udm.observer.hostname Mapeado diretamente do campo log.source.address do registro JSON, usando apenas a parte do nome do host.
log_event.original event.idm.read_only_udm.metadata.description Mapeado diretamente do campo event.original do registro JSON.
log_level event.idm.read_only_udm.security_result.severity_details Mapeado diretamente do campo log_level do registro JSON.
logstash.collect.host event.idm.read_only_udm.observer.hostname Mapeado diretamente do campo logstash.collect.host do registro JSON.
logstash.collect.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Analisado e convertido em um objeto de carimbo de data/hora do campo logstash.collect.timestamp do registro usando o filtro date.
logstash.ingest.host event.idm.read_only_udm.intermediary.hostname Mapeado diretamente do campo logstash.ingest.host do registro JSON.
logstash.ingest.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Analisado e convertido em um objeto de carimbo de data/hora do campo logstash.ingest.timestamp do registro usando o filtro date.
logstash.process.host event.idm.read_only_udm.intermediary.hostname Mapeado diretamente do campo logstash.process.host do registro JSON.
logstash.process.timestamp event.idm.read_only_udm.metadata.ingested_timestamp Analisado e convertido em um objeto de carimbo de data/hora do campo logstash.process.timestamp do registro usando o filtro date.
log_type event.idm.read_only_udm.metadata.log_type Mapeado diretamente do campo log_type do registro bruto.
message event.idm.read_only_udm.metadata.description Mapeado diretamente do campo message do registro JSON.
message_to_process event.idm.read_only_udm.metadata.description Mapeado diretamente do campo message_to_process do registro bruto.
metadata.event_type event.idm.read_only_udm.metadata.event_type Definido como "GENERIC_EVENT" inicialmente e, em seguida, possivelmente substituído com base no service analisado ou em outro conteúdo de registro. Podem ser valores como PROCESS_LAUNCH, NETWORK_CONNECTION, USER_LOGIN etc.
metadata.product_event_type event.idm.read_only_udm.metadata.product_event_type Mapeado diretamente do campo process_id ou prod_event_type do registro bruto.
metadata.product_log_id event.idm.read_only_udm.metadata.product_log_id Mapeado diretamente do campo event_id do registro bruto.
metadata.product_name event.idm.read_only_udm.metadata.product_name Defina como "ESX".
metadata.product_version event.idm.read_only_udm.metadata.product_version Mapeado diretamente do campo version do registro JSON.
metadata.vendor_name event.idm.read_only_udm.metadata.vendor_name Defina como "VMWARE".
msg event.idm.read_only_udm.metadata.description Mapeado diretamente do campo msg do registro bruto.
network.application_protocol event.idm.read_only_udm.network.application_protocol Definido como "DNS" se o service for "named", "HTTPS" se a porta for 443 ou "HTTP" se o app_protocol corresponder a "http".
network.direction event.idm.read_only_udm.network.direction Determinado com base em palavras-chave no registro bruto, como "IN", "OUT", "->". Pode ser INBOUND ou OUTBOUND.
network.http.method event.idm.read_only_udm.network.http.method Mapeado diretamente do campo method do registro bruto.
network.http.parsed_user_agent event.idm.read_only_udm.network.http.parsed_user_agent Analisado do campo useragent usando o filtro convert.
network.http.referral_url event.idm.read_only_udm.network.http.referral_url Mapeado diretamente do campo prin_url do registro bruto.
network.http.response_code event.idm.read_only_udm.network.http.response_code Mapeado diretamente do campo status_code do registro bruto e convertido em um número inteiro.
network.http.user_agent event.idm.read_only_udm.network.http.user_agent Mapeado diretamente do campo useragent do registro bruto.
network.ip_protocol event.idm.read_only_udm.network.ip_protocol Determinado com base em palavras-chave no registro bruto, como "TCP" e "UDP".
network.received_bytes event.idm.read_only_udm.network.received_bytes Mapeado diretamente do campo rec_bytes do registro bruto e convertido em um número inteiro sem sinal.
network.sent_bytes event.idm.read_only_udm.network.sent_bytes Extraído do campo message_to_process do registro bruto.
network.session_id event.idm.read_only_udm.network.session_id Mapeado diretamente do campo session do registro bruto.
pid event.idm.read_only_udm.target.process.parent_process.pid Mapeado diretamente do campo pid do registro bruto.
pid event.idm.read_only_udm.principal.process.pid Mapeado diretamente do campo pid do registro JSON.
pid event.idm.read_only_udm.target.process.pid Mapeado diretamente do campo pid do registro bruto.
port event.idm.read_only_udm.target.port Mapeado diretamente do campo port do registro JSON.
principal.application event.idm.read_only_udm.principal.application Mapeado diretamente do campo app_name ou service do registro bruto.
principal.asset.hostname event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo principal_hostname ou iporhost do registro bruto.
principal.asset.ip event.idm.read_only_udm.principal.asset.ip Mapeado diretamente do campo syslog_ip do registro bruto.
principal.hostname event.idm.read_only_udm.principal.hostname Mapeado diretamente do campo principal_hostname ou iporhost do registro bruto.
principal.ip event.idm.read_only_udm.principal.ip Mapeado diretamente do campo iporhost ou syslog_ip do registro bruto.
principal.port event.idm.read_only_udm.principal.port Mapeado diretamente do campo srcport do registro bruto.
principal.process.command_line event.idm.read_only_udm.principal.process.command_line Mapeado diretamente do campo cmd do registro bruto.
principal.process.parent_process.pid event.idm.read_only_udm.principal.process.parent_process.pid Mapeado diretamente do campo parent_pid do registro bruto.
principal.process.pid event.idm.read_only_udm.principal.process.pid Mapeado diretamente do campo process_id do registro bruto.
principal.process.product_specific_process_id event.idm.read_only_udm.principal.process.product_specific_process_id Extraído do campo message_to_process do registro bruto, geralmente prefixado com "opID:".
principal.url event.idm.read_only_udm.principal.url Mapeado diretamente do campo prin_url do registro bruto.
principal.user.company_name event.idm.read_only_udm.principal.user.company_name Mapeado diretamente do campo fields.company_name do registro JSON.
principal.user.userid event.idm.read_only_udm.principal.user.userid Mapeado diretamente do campo USER do registro bruto.
priority event.idm.read_only_udm.metadata.product_event_type Mapeado diretamente do campo priority do registro bruto.
program event.idm.read_only_udm.principal.application Mapeado diretamente do campo program do registro JSON.
qname event.idm.read_only_udm.network.dns.questions.name Mapeado diretamente do campo qname do registro bruto.
response_data event.idm.read_only_udm.network.dns.answers.data Mapeado diretamente do campo response_data do registro bruto.
response_rtype event.idm.read_only_udm.network.dns.answers.type Mapeado diretamente do campo response_rtype do registro bruto. O tipo de registro DNS numérico é extraído.
response_ttl event.idm.read_only_udm.network.dns.answers.ttl Mapeado diretamente do campo response_ttl do registro bruto.
rtype event.idm.read_only_udm.network.dns.questions.type Mapeado diretamente do campo rtype do registro bruto. O tipo de registro DNS numérico é extraído.
security_result.action event.idm.read_only_udm.security_result.action Determinado com base em palavras-chave ou status no registro bruto. Pode ser ALLOW ou BLOCK.
security_result.action_details event.idm.read_only_udm.security_result.action_details Extraído da mensagem de registro bruta, fornecendo mais contexto sobre a ação realizada.
security_result.category event.idm.read_only_udm.security_result.category Defina como POLICY_VIOLATION se o registro indicar uma correspondência de regra de firewall.
security_result.description event.idm.read_only_udm.security_result.description Extraído da mensagem de registro bruta, fornecendo mais contexto sobre o resultado de segurança.
security_result.rule_id event.idm.read_only_udm.security_result.rule_id Mapeado diretamente do campo rule_id do registro bruto.
security_result.severity event.idm.read_only_udm.security_result.severity Determinado por palavras-chave no registro bruto, como "info", "warning", "error". Pode ser INFORMATIONAL, LOW, MEDIUM ou HIGH.
security_result.severity_details event.idm.read_only_udm.security_result.severity_details Mapeado diretamente do campo severity ou log.syslog.severity.name do registro bruto.
security_result.summary event.idm.read_only_udm.security_result.summary Extraído da mensagem de registro bruta, fornecendo um resumo conciso do resultado de segurança.
service event.idm.read_only_udm.principal.application Mapeado diretamente do campo service do registro bruto.
source event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente do campo source do registro bruto.
src.file.full_path event.idm.read_only_udm.src.file.full_path Extraído da mensagem de registro bruta.
src.hostname event.idm.read_only_udm.src.hostname Mapeado diretamente do campo src.hostname do registro bruto.
src_ip event.idm.read_only_udm.principal.ip Mapeado diretamente do campo src_ip do registro bruto.
src_mac_address event.idm.read_only_udm.principal.mac Mapeado diretamente do campo src_mac_address do registro bruto.
srcport event.idm.read_only_udm.principal.port Mapeado diretamente do campo srcport do registro bruto.
srcip event.idm.read_only_udm.principal.ip Mapeado diretamente do campo srcip do registro bruto.
subtype event.idm.read_only_udm.metadata.event_type Mapeado diretamente do campo subtype do registro bruto.
tags event.idm.read_only_udm.metadata.tags Mapeado diretamente do campo tags do registro JSON.
target.application event.idm.read_only_udm.target.application Mapeado diretamente do campo target_application do registro bruto.
target.file.full_path event.idm.read_only_udm.target.file.full_path Extraído da mensagem de registro bruta.
target.hostname event.idm.read_only_udm.target.hostname, event.idm.read_only_udm.target.asset.hostname Mapeado diretamente do campo target_hostname ou iporhost do registro bruto.
target.ip event.idm.read_only_udm.target.ip Mapeado diretamente do campo target_ip do registro bruto.
target.mac event.idm.read_only_udm.target.mac Mapeado diretamente do campo target_mac_address do registro bruto.
target.port event.idm.read_only_udm.target.port Mapeado diretamente do campo target_port do registro bruto.
target.process.command_line event.idm.read_only_udm.target.process.command_line Mapeado diretamente do campo cmd do registro bruto.
target.process.parent_process.pid event.idm.read_only_udm.target.process.parent_process.pid Mapeado diretamente do campo parent_pid do registro bruto.
target.process.pid event.idm.read_only_udm.target.process.pid Mapeado diretamente do campo pid do registro bruto.
target.process.product_specific_process_id event.idm.read_only_udm.target.process.product_specific_process_id Extraído do campo message_to_process do registro bruto, geralmente prefixado com "opID:".
target.resource.name event.idm.read_only_udm.target.resource.name Mapeado diretamente do campo adapter do registro bruto.
target.resource.resource_type event.idm.read_only_udm.target.resource.resource_type Definido como VIRTUAL_MACHINE se o registro indicar uma operação de VM.
target.resource.type event.idm.read_only_udm.target.resource.type Defina como SETTING se o registro indicar uma modificação de configuração.
target.user.userid event.idm.read_only_udm.target.user.userid Mapeado diretamente do campo target_username ou user1 do registro bruto.
timestamp event.timestamp Analisado e convertido em um objeto de carimbo de data/hora do campo timestamp ou data do registro usando o filtro date.
type event.idm.read_only_udm.additional.fields O campo type do registro é adicionado à matriz additional_fields no UDM com a chave "LogType".
user1 event.idm.read_only_udm.target.user.userid Mapeado diretamente do campo user1 do registro bruto.
useragent event.idm.read_only_udm.network.http.user_agent Mapeado diretamente do campo useragent do registro bruto.
vmw_cluster event.idm.read_only_udm.target.resource.name Mapeado diretamente do campo vmw_cluster do registro bruto.
vmw_datacenter event.idm.read_only_udm.target.resource.name Mapeado diretamente do campo vmw_datacenter do registro bruto.
vmw_host event.idm.read_only_udm.target.ip Mapeado diretamente do campo vmw_host do registro bruto.
vmw_object_id event.idm.read_only_udm.target.resource.id Mapeado diretamente do campo vmw_object_id do registro bruto.
vmw_product event.idm.read_only_udm.target.application Mapeado diretamente do campo vmw_product do registro bruto.
vmw_vcenter event.idm.read_only_udm.target.cloud.availability_zone Mapeado diretamente do campo vmw_vcenter do registro bruto.
vmw_vcenter_id event.idm.read_only_udm.target.cloud.availability_zone.id Mapeado diretamente do campo vmw_vcenter_id do registro bruto.
vmw_vr_ops_appname event.idm.read_only_udm.target.application Mapeado diretamente do campo vmw_vr_ops_appname do registro bruto.
vmw_vr_ops_clustername event.idm.read_only_udm.target.resource.name Mapeado diretamente do campo vmw_vr_ops_clustername do registro bruto.
vmw_vr_ops_clusterrole event.idm.read_only_udm.target.resource.type Mapeado diretamente do campo vmw_vr_ops_clusterrole do registro bruto.

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.