Wir haben die Navigationsstruktur unserer Dokumentation neu organisiert, um sie direkt an Ihre betrieblichen Arbeitsabläufe anzupassen. Weitere Informationen finden Sie in den Versionshinweisen und im Video zur Anleitung.

Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

VMware Networking and Security Virtualization (NSX) Manager-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie VMware NSX Manager-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

VMware NSX ist eine Plattform für Netzwerkvirtualisierung und Sicherheit, die Syslog-Nachrichten für Firewallereignisse, verteilte Firewallregeln, Routingänderungen, Audit-Logs und Controllerereignisse generiert. Der Parser extrahiert Felder mithilfe von Grok-Mustern, Schlüssel/Wert-Parsing und JSON-Parsing und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent und der VMware NSX-Umgebung
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Administratorzugriff auf VMware NSX

Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```
Der Dienst sollte als RUNNING (Wird ausgeführt) angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/vmware_nsx:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VMWARE_NSX
        raw_log_field: body

service:
    pipelines:
        logs/vmware_nsx_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/vmware_nsx

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- listen_address: IP-Adresse und Port, auf die gewartet werden soll:
  - 0.0.0.0, um alle Schnittstellen zu überwachen (empfohlen)
  - Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
- endpoint: Regionale Endpunkt-URL:
  - USA: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
- Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```
1. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sudo systemctl status observiq-otel-collector
```
2. Logs auf Fehler prüfen:
```
sudo journalctl -u observiq-otel-collector -f
```
Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agent unter Windows neu zu starten:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Services-Konsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
  4. Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```
  5. Logs auf Fehler prüfen:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Syslog-Konfiguration für NSX Edge

Melden Sie sich im vSphere-Webclient an.
Gehen Sie zu Networking & Security > NSX Edges.
Wählen Sie die NSX Edge-Instanz aus, die Sie konfigurieren möchten.
Gehen Sie zu den Syslog-Einstellungen:
- Für NSX 6.4.4 und höher: Verwalten > Einstellungen > Geräteeinstellungen > Einstellungen > Syslog-Konfiguration ändern.
- Für NSX 6.4.3 und früher: Verwalten > Einstellungen > Konfiguration > Details > Ändern.
Konfigurieren Sie die Details des Syslog-Servers:
- Server: Geben Sie die IP-Adresse oder den Hostnamen des Syslog-Servers (Bindplane) ein.
- Protokoll: Wählen Sie UDP oder TCP aus (je nach Bindplane-Konfiguration).
- Port: Geben Sie die Portnummer ein (abhängig von Ihrer Bindplane-Konfiguration).
Klicken Sie auf OK, um die Einstellungen zu speichern.

Syslog-Konfiguration für NSX Manager

Melden Sie sich mit Administratoranmeldedaten (https://<NSX-Manager-IP> oder https://<NSX-Manager-Hostname>) in der NSX Manager-Weboberfläche an.
Gehe zu Geräteeinstellungen verwalten> Allgemein.
Klicken Sie auf Bearbeiten, um die Syslog-Servereinstellungen zu konfigurieren.
Geben Sie die Syslog-Serverdetails ein:
- Server: Geben Sie die IP-Adresse oder den Hostnamen des Syslog-Servers (Bindplane) ein.
- Protokoll: Wählen Sie UDP oder TCP aus (je nach Bindplane-Konfiguration).
- Port: Geben Sie die Portnummer ein (abhängig von Ihrer Bindplane-Konfiguration).
Klicken Sie auf OK, um die Einstellungen zu speichern.

Syslog-Konfiguration für NSX Controller

Melden Sie sich im vSphere-Webclient an.
Gehen Sie zu Networking & Security > Installation and Upgrade > Management > NSX Controller Nodes.
Wählen Sie den NSX Manager aus, der die Controllerknoten verwaltet.
Klicken Sie auf Common Controller Attributes Edit (Allgemeine Controllerattribute bearbeiten).
Klicken Sie im Dialogfeld Syslog Servers (Syslog-Server) auf Add (Hinzufügen):
- Geben Sie den Namen oder die IP-Adresse des Syslog-Servers ein.
- Wählen Sie das UDP-Protokoll aus (je nach Bindplane-Konfiguration).
- Legen Sie die Protokollierungsebene fest (z. B. INFO).
Klicken Sie auf OK, um die Einstellungen zu speichern.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`DST`	`event.idm.read_only_udm.target.ip`	Die Ziel-IP-Adresse wird aus dem Feld `DST` im Rohlog extrahiert.
`ID`	`event.idm.read_only_udm.metadata.product_log_id`	Die Produkt-Log-ID wird aus dem Feld `ID` im Rohlog extrahiert.
`MAC`	`event.idm.read_only_udm.principal.mac`	Die MAC-Adresse wird aus dem Feld `MAC` im Rohlog extrahiert.
`ModuleName`	`event.idm.read_only_udm.metadata.product_event_type`	Der Produktereignistyp wird aus dem Feld `ModuleName` im Rohlog extrahiert.
`Operation`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Vorgang wird aus dem Feld `Operation` im Rohlog extrahiert und als Label mit dem Schlüssel „Operation“ hinzugefügt.
`PROTO`	`event.idm.read_only_udm.network.ip_protocol`	Das IP-Protokoll wird aus dem Feld `PROTO` im Rohlog extrahiert.
`RES`	`event.idm.read_only_udm.target.resource.name`	Der Name der Zielressource wird aus dem Feld `RES` im Rohlog extrahiert.
`SRC`	`event.idm.read_only_udm.principal.ip`	Die Quell-IP-Adresse wird aus dem Feld `SRC` im Rohlog extrahiert.
`SPT`	`event.idm.read_only_udm.principal.port`	Der Quellport wird aus dem Feld `SPT` im Rohlog extrahiert.
`UserName`	`event.idm.read_only_udm.principal.user.userid`	Die Nutzer-ID wird aus dem Feld `UserName` im Rohlog extrahiert.
`app_type`	`event.idm.read_only_udm.principal.application`	Die Hauptanwendung wird aus dem Feld `app_type` im Rohlog extrahiert.
`application`	`event.idm.read_only_udm.target.application`	Die Zielanwendung wird aus dem Feld `application` im Rohlog extrahiert.
`audit`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Audit-Wert wird aus dem Feld `audit` im Rohlog extrahiert und als Label mit dem Schlüssel „audit“ hinzugefügt.
`cancelTimeUTC`	`event.idm.read_only_udm.principal.resource.attribute.last_update_time`	Der Zeitpunkt der letzten Aktualisierung wird aus dem Feld `cancelTimeUTC` im Rohlog abgeleitet.
`client`	`event.idm.read_only_udm.principal.ip` oder `event.idm.read_only_udm.principal.administrative_domain`	Wenn das Feld `client` eine IP-Adresse ist, wird es der primären IP-Adresse zugeordnet. Andernfalls wird sie der primären Verwaltungsdomain zugeordnet.
`comp`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Komponentenwert wird aus dem Feld `comp` im Rohlog extrahiert und als Label mit dem Schlüssel „Comp“ hinzugefügt.
`datetime`	`event.idm.read_only_udm.metadata.event_timestamp`	Der Ereigniszeitstempel wird aus dem Feld `datetime` im Rohlog extrahiert.
`description`	`event.idm.read_only_udm.metadata.description`	Die Beschreibung wird aus dem Feld `description` im Rohlog extrahiert.
`details`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Die Details werden aus dem Feld `details` im Rohlog extrahiert und als Labels hinzugefügt.
`direction`	`event.idm.read_only_udm.network.direction`	Wenn das Feld `direction` „OUT“ ist, wird es „OUTBOUND“ zugeordnet.
`dst_ip`	`event.idm.read_only_udm.target.ip`	Die Ziel-IP-Adresse wird aus dem Feld `dst_ip` im Rohlog extrahiert.
`DPT`	`event.idm.read_only_udm.target.port`	Der Zielport wird aus dem Feld `DPT` im Rohlog extrahiert.
`errorCode`	`event.idm.read_only_udm.security_result.detection_fields`	Der Fehlercode wird aus dem Feld `errorCode` im Rohlog extrahiert und als Erkennungsfeld hinzugefügt.
`eventType`	`event.idm.read_only_udm.metadata.product_event_type`	Der Produktereignistyp wird aus dem Feld `eventType` im Rohlog extrahiert.
`filepath`	`event.idm.read_only_udm.principal.process.file.full_path`	Der Dateipfad wird aus dem Feld `filepath` im Rohlog extrahiert.
`hostname`	`event.idm.read_only_udm.principal.ip`	Der Hostname wird aus dem Feld `hostname` im Rohlog extrahiert und, falls es sich um eine IP-Adresse handelt, der primären IP-Adresse zugeordnet.
`kv_data`	Verschiedene UDM-Felder	Die Schlüssel/Wert-Paare in `kv_data` werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
`kv_data1`	Verschiedene UDM-Felder	Die Schlüssel/Wert-Paare in `kv_data1` werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
`kv_data2`	Verschiedene UDM-Felder	Die Schlüssel/Wert-Paare in `kv_data2` werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
`kv_data3`	Verschiedene UDM-Felder	Die Schlüssel/Wert-Paare in `kv_data3` werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
`kv_data4`	Verschiedene UDM-Felder	Die Schlüssel/Wert-Paare in `kv_data4` werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
`level`	`event.idm.read_only_udm.security_result.severity`	Wenn das Feld `level` „INFO“ lautet, wird es „INFORMATIONAL“ zugeordnet. Wenn es „ERROR“ ist, wird es „ERROR“ zugeordnet.
`managedExternally`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Wert „managedExternally“ wird aus dem Feld `managedExternally` im Rohlog extrahiert und als Label mit dem Schlüssel „managedExternally“ hinzugefügt.
`message`	Verschiedene UDM-Felder	Das Nachrichtenfeld wird geparst, um verschiedene UDM-Felder zu extrahieren.
`message_data`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Die Nachrichtendaten werden aus dem Feld `message_data` im Rohlog extrahiert und als Label mit dem Schlüssel „message“ hinzugefügt.
`network_status`	`event.idm.read_only_udm.additional.fields`	Der Netzwerkstatus wird aus dem Feld `network_status` im Rohlog extrahiert und als zusätzliches Feld mit dem Schlüssel „Network_Connection_Status“ hinzugefügt.
`new_value`	Verschiedene `event.idm.read_only_udm.target`-Felder	Der neue Wert wird aus dem Feld `new_value` im Rohlog extrahiert und zum Ausfüllen verschiedener Zielfelder verwendet.
`node`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Knotenwert wird aus dem Feld `node` im Rohlog extrahiert und als Label mit dem Schlüssel „node“ hinzugefügt.
`old_value`	Verschiedene UDM-Felder	Der alte Wert wird aus dem Feld `old_value` im Rohlog extrahiert und zum Ausfüllen verschiedener UDM-Felder verwendet.
`payload`	Verschiedene UDM-Felder	Die Nutzlast wird aus dem Feld `payload` im Rohlog extrahiert und zum Ausfüllen verschiedener UDM-Felder verwendet.
`pid`	`event.idm.read_only_udm.target.process.pid`	Die Prozess-ID wird aus dem Feld `pid` im Rohlog extrahiert.
`reqId`	`event.idm.read_only_udm.metadata.product_log_id`	Die Produkt-Log-ID wird aus dem Feld `reqId` im Rohlog extrahiert.
`resourceId`	`event.idm.read_only_udm.principal.resource.product_object_id`	Die Produktobjekt-ID wird aus dem Feld `resourceId` im Rohlog extrahiert.
`s2comp`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der s2comp-Wert wird aus dem Feld `s2comp` im Rohlog extrahiert und als Label mit dem Schlüssel „s2comp“ hinzugefügt.
`ses`	`event.idm.read_only_udm.network.session_id`	Die Sitzungs-ID wird aus dem Feld `ses` im Rohlog extrahiert.
`src_host`	`event.idm.read_only_udm.principal.hostname`	Der Prinzipal-Hostname wird aus dem Feld `src_host` im Rohlog extrahiert.
`src_ip`	`event.idm.read_only_udm.principal.ip`	Die Quell-IP-Adresse wird aus dem Feld `src_ip` im Rohlog extrahiert.
`src_ip1`	`event.idm.read_only_udm.principal.ip`	Die Quell-IP-Adresse wird aus dem Feld `src_ip1` im Rohlog extrahiert.
`src_port`	`event.idm.read_only_udm.principal.port`	Der Quellport wird aus dem Feld `src_port` im Rohlog extrahiert.
`startTimeUTC`	`event.idm.read_only_udm.principal.resource.attribute.creation_time`	Die Erstellungszeit wird aus dem Feld `startTimeUTC` im Rohlog abgeleitet.
`subcomp`	`event.idm.read_only_udm.network.application_protocol` oder `event.idm.read_only_udm.principal.resource.attribute.labels.value`	Wenn das Feld `subcomp` „http“ enthält, wird es „HTTP“ zugeordnet. Andernfalls wird sie als Label mit dem Schlüssel „Sub Comp“ hinzugefügt.
`tname`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Wert „tname“ wird aus dem Feld `tname` im Rohlog extrahiert und als Label mit dem Schlüssel „tname“ hinzugefügt.
`type`	`event.idm.read_only_udm.metadata.product_event_type`	Der Produktereignistyp wird aus dem Feld `type` im Rohlog extrahiert.
`uid`	`event.idm.read_only_udm.principal.user.userid`	Die Nutzer-ID wird aus dem Feld `uid` im Rohlog extrahiert.
`update`	`event.idm.read_only_udm.principal.resource.attribute.labels.value`	Der Aktualisierungswert wird aus dem Feld `update` im Rohlog extrahiert und als Label mit dem Schlüssel „update“ hinzugefügt.
`user`	`event.idm.read_only_udm.principal.user.user_display_name`	Der Anzeigename des Nutzers wird aus dem Feld `user` im Rohlog extrahiert.
`vmw_cluster`	`event.idm.read_only_udm.target.resource.name`	Der Name der Zielressource wird aus dem Feld `vmw_cluster` im Rohlog extrahiert.
`vmw_datacenter`	`event.idm.read_only_udm.target.resource.attribute.labels.value`	Der Wert „vmw_datacenter“ wird aus dem Feld `vmw_datacenter` im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_datacenter“ hinzugefügt.
`vmw_host`	`event.idm.read_only_udm.target.hostname` oder `event.idm.read_only_udm.target.ip`	Wenn das Feld `vmw_host` ein Hostname ist, wird es dem Zielhostnamen zugeordnet. Andernfalls wird sie der Ziel-IP zugeordnet.
`vmw_object_id`	`event.idm.read_only_udm.target.resource.product_object_id`	Die Produktobjekt-ID wird aus dem Feld `vmw_object_id` im Rohlog extrahiert.
`vmw_product`	`event.idm.read_only_udm.target.application`	Die Zielanwendung wird aus dem Feld `vmw_product` im Rohlog extrahiert.
`vmw_vcenter`	`event.idm.read_only_udm.target.cloud.availability_zone`	Die Verfügbarkeitszone wird aus dem Feld `vmw_vcenter` im Rohlog extrahiert.
`vmw_vcenter_id`	`event.idm.read_only_udm.target.resource.attribute.labels.value`	Der Wert „vmw_vcenter_id“ wird aus dem Feld `vmw_vcenter_id` im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_vcenter_id“ hinzugefügt.
`vmw_vr_ops_appname`	`event.idm.read_only_udm.intermediary.application`	Die Vermittleranwendung wird aus dem Feld `vmw_vr_ops_appname` im Rohlog extrahiert.
`vmw_vr_ops_clustername`	`event.idm.read_only_udm.intermediary.resource.name`	Der Name der Vermittlerressource wird aus dem Feld `vmw_vr_ops_clustername` im Rohlog extrahiert.
`vmw_vr_ops_clusterrole`	`event.idm.read_only_udm.intermediary.resource.attribute.roles.name`	Der Rollenname der Vermittlungsressource wird aus dem Feld `vmw_vr_ops_clusterrole` im Rohlog extrahiert.
`vmw_vr_ops_hostname`	`event.idm.read_only_udm.intermediary.hostname`	Der Hostname des Vermittlers wird aus dem Feld `vmw_vr_ops_hostname` im Rohlog extrahiert.
`vmw_vr_ops_id`	`event.idm.read_only_udm.intermediary.resource.product_object_id`	Die ID des Zwischenproduktobjekts wird aus dem Feld `vmw_vr_ops_id` im Rohlog extrahiert.
`vmw_vr_ops_logtype`	`event.idm.read_only_udm.intermediary.resource.attribute.labels.value`	Der Wert „vmw_vr_ops_logtype“ wird aus dem Feld `vmw_vr_ops_logtype` im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_vr_ops_logtype“ hinzugefügt.
`vmw_vr_ops_nodename`	`event.idm.read_only_udm.intermediary.resource.attribute.labels.value`	Der Wert „vmw_vr_ops_nodename“ wird aus dem Feld `vmw_vr_ops_nodename` im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_vr_ops_nodename“ hinzugefügt. Wird durch eine Reihe von bedingten Anweisungen auf Grundlage der Werte anderer Felder bestimmt. Mögliche Werte sind USER_LOGIN, NETWORK_CONNECTION, STATUS_UPDATE und GENERIC_EVENT. Fest codiert auf „VMWARE_NSX“. Fest codiert auf „VMWARE_NSX“. Fest codiert auf „VMWARE_NSX“. Auf „AUTHTYPE_UNSPECIFIED“ festgelegt, wenn `Operation` „LOGIN“ ist und `target_details` nicht leer ist oder wenn `message` „authentication failure“ enthält und `application` nicht leer ist. Auf „SSH“ festgelegt, wenn `PROTO` „ssh2“ ist, oder auf „HTTP“ festgelegt, wenn `subcomp` „http“ ist. Wird durch eine Reihe von bedingten Anweisungen auf Grundlage der Werte anderer Felder bestimmt. Mögliche Werte sind ALLOW und BLOCK. Wird auf „VIRTUAL_MACHINE“ gesetzt, wenn `vmw_cluster` nicht leer ist.
`Resource`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`zone_action`	`event.idm.read_only_udm.security_result.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`product_id`	`event.idm.read_only_udm.metadata.product_log_id`	Aus dem Änderungsprotokoll zugeordnet
`dst_port`	`event.idm.read_only_udm.target.port`	Aus dem Änderungsprotokoll zugeordnet
`sent_pkt`	`event.idm.read_only_udm.network.sent_packets`	Aus dem Änderungsprotokoll zugeordnet
`received_pkt`	`event.idm.read_only_udm.network.received_packets`	Aus dem Änderungsprotokoll zugeordnet
`sent_byte`	`event.idm.read_only_udm.network.sent_bytes`	Aus dem Änderungsprotokoll zugeordnet
`received_byte`	`event.idm.read_only_udm.network.received_bytes`	Aus dem Änderungsprotokoll zugeordnet
`msg1`	`event.idm.read_only_udm.metadata.description`	Aus dem Änderungsprotokoll zugeordnet
`ip_version`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`ip_protocol_type`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`ip_protocol_code`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`interface_id`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`tcp_flags`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`src_zone_value`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Aus dem Änderungsprotokoll zugeordnet
`sec_desc`	`event.idm.read_only_udm.security_result.description`	Aus dem Änderungsprotokoll zugeordnet
`Originated_Ip`	`event.idm.read_only_udm.principal.ip`	Aus dem Änderungsprotokoll zugeordnet
`Originated_Ip`	`event.idm.read_only_udm.principal.asset.ip`	Aus dem Änderungsprotokoll zugeordnet
`event_source`	`event.idm.read_only_udm.target.resource.name`	Aus dem Änderungsprotokoll zugeordnet
`Resource_Name`	`event.idm.read_only_udm.target.resource.name`	Aus dem Änderungsprotokoll zugeordnet
`Universal_Object`	`event.idm.read_only_udm.target.resource.attribute.labels`	Aus dem Änderungsprotokoll zugeordnet
`Severity`	`event.idm.read_only_udm.security_result.severity`	Aus dem Änderungsprotokoll zugeordnet
`Code`	`event.idm.read_only_udm.security_result.rule_id`	Aus dem Änderungsprotokoll zugeordnet
`Event_Message`	`event.idm.read_only_udm.metadata.description`	Aus dem Änderungsprotokoll zugeordnet
`Above_supported_instances`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`Above_threshold_instances`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`Below_threshold_instances`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`supported_compact`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`supported_quadlarge`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`supported_large`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`supported_xlarge`	`event.idm.read_only_udm.additional.fields`	Aus dem Änderungsprotokoll zugeordnet
`action`	`security_result.action_details`	Aus dem Änderungsprotokoll zugeordnet
`rule_id`	`security_result.rule_id`	Aus dem Änderungsprotokoll zugeordnet
`network.direction`	`INBOUND`	Aus dem Änderungsprotokoll zugeordnet
`security_result.action_details`	`ALLOW`	Aus dem Änderungsprotokoll zugeordnet
`security_result.action_details`	`BLOCK`	Aus dem Änderungsprotokoll zugeordnet
`metadata.event_type`	`NETWORK_CONNECTION`	Aus dem Änderungsprotokoll zugeordnet
`unique_id`	`principal.resource.product_object_id`	Aus dem Änderungsprotokoll zugeordnet
`resource_type`	`principal.resource.sub_type`	Aus dem Änderungsprotokoll zugeordnet
`_create_user","_last_modified_user`	`principal.user.email_addresses`	Aus dem Änderungsprotokoll zugeordnet
`action`	`security_result.action`	Aus dem Änderungsprotokoll zugeordnet
`display_name`	`principal.resource.name`	Aus dem Änderungsprotokoll zugeordnet
`_last_modified_time`	`principal.resource.attribute.last_update_time`	Aus dem Änderungsprotokoll zugeordnet
`_create_time`	`principal.resource.attribute.creation_time`	Aus dem Änderungsprotokoll zugeordnet
`parent_path`	`principal.resource.parent`	Aus dem Änderungsprotokoll zugeordnet
`id`	`principal.resource.id`	Aus dem Änderungsprotokoll zugeordnet
`resource_type`	`target.resource.sub_type`	Aus dem Änderungsprotokoll zugeordnet
`unique_id`	`target.resource.product_object_id`	Aus dem Änderungsprotokoll zugeordnet
`path`	`target.process.file.full_path`	Aus dem Änderungsprotokoll zugeordnet
`id`	`target.resource.id`	Aus dem Änderungsprotokoll zugeordnet
`vmw_host`	`target_details.hostname or target_details.ip`	Aus dem Änderungsprotokoll zugeordnet
`vmw_vr_ops_clusterrole`	`intermediary.resource.attribute.labels.roles.name`	Aus dem Änderungsprotokoll zugeordnet
`vmw_host","vmw_product","vmw_vcenter","vmw_cluster","vmw_vr_ops_id","vmw_object_id","vmw_datacenter","vmw_vcenter_id","vmw_vr_ops_logtype","vmw_vr_ops_appname","vmw_vr_ops_hostname","vmw_vr_ops_nodename","vmw_vr_ops_clustername","vmw_vr_ops_clusterrole","managedExternally","update","filepath","eventType","resourceId`	`principal.resource.attribute.labels`	Aus dem Änderungsprotokoll zugeordnet
`tname", "s2comp", "node`	`principal.resource.attribute.labels`	Aus dem Änderungsprotokoll zugeordnet
`exe`	`target.process.file.full_path`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten