VMware Networking and Security Virtualization (NSX) Manager-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie VMware NSX Manager-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

VMware NSX ist eine Netzwerkvirtualisierungs- und Sicherheitsplattform, die Syslog-Nachrichten für Firewall-Ereignisse, verteilte Firewallregeln, Routingänderungen, Audit-Logs und Controller-Ereignisse generiert. Der Parser extrahiert Felder mithilfe von Grok-Mustern, Schlüssel/Wert-Parsing und JSON-Parsing und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und der VMware NSX-Umgebung
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf VMware NSX

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_nsx:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_NSX
    raw_log_field: body

service:
  pipelines:
    logs/vmware_nsx_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_nsx

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vmware_nsx:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_NSX
    raw_log_field: body

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Prüfen Sie die Logs auf Fehler:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Konfiguration für NSX Edge

  1. Melden Sie sich im vSphere Web Client an.
  2. Gehen Sie zu Netzwerk und Sicherheit > NSX Edges.
  3. Wählen Sie die spezifische NSX Edge-Instanz aus, die Sie konfigurieren möchten.
  4. Gehen Sie zu Syslog-Einstellungen:
    • Für NSX 6.4.4 und höher: Manage > Settings > Appliance Settings > Settings > Change Syslog Configuration (Verwalten > Einstellungen > Geräteeinstellungen > Einstellungen > Syslog-Konfiguration ändern).
    • Für NSX 6.4.3 und früher: Verwalten > Einstellungen > Konfiguration > Details > Ändern.
  5. Konfigurieren Sie die Syslog-Serverdetails:
    • Server: Geben Sie die IP-Adresse oder den Hostnamen des Syslog-Servers (Bindplane) ein.
    • Protokoll: Wählen Sie UDP oder TCP aus (je nach Bindplane-Konfiguration).
    • Port: Geben Sie die Portnummer ein (abhängig von Ihrer Bindplane-Konfiguration).
  6. Klicken Sie auf OK, um die Einstellungen zu speichern.

Syslog-Konfiguration für NSX Manager

  1. Melden Sie sich mit Administratoranmeldedaten (https://<NSX-Manager-IP> oder https://<NSX-Manager-Hostname>) in der NSX Manager-Weboberfläche an.
  2. Gehen Sie zu Geräteeinstellungen verwalten > Allgemein.
  3. Klicken Sie auf Bearbeiten, um die Syslog-Servereinstellungen zu konfigurieren.
  4. Geben Sie die Syslog-Serverdetails ein:
    • Server: Geben Sie die IP-Adresse oder den Hostnamen des Syslog-Servers (Bindplane) ein.
    • Protokoll: Wählen Sie UDP oder TCP aus (je nach Bindplane-Konfiguration).
    • Port: Geben Sie die Portnummer ein (abhängig von Ihrer Bindplane-Konfiguration).
  5. Klicken Sie auf OK, um die Einstellungen zu speichern.

Syslog-Konfiguration für NSX Controller

  1. Melden Sie sich im vSphere Web Client an.
  2. Gehen Sie zu Netzwerk und Sicherheit > Installation und Upgrade > Verwaltung > NSX-Controller-Knoten.
  3. Wählen Sie den NSX Manager aus, der die Controllerknoten verwaltet.
  4. Klicken Sie auf Allgemeine Controller-Attribute bearbeiten.
  5. Klicken Sie im Dialogfeld Syslog-Server auf Hinzufügen:
    • Geben Sie den Namen oder die IP-Adresse des Syslog-Servers ein.
    • Wählen Sie das Protokoll UDP aus (je nach Bindplane-Konfiguration).
    • Legen Sie die Logebene fest (z. B. INFO).
  6. Klicken Sie auf OK, um die Einstellungen zu speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
DST event.idm.read_only_udm.target.ip Die Ziel-IP-Adresse wird aus dem Feld DST im Rohlog extrahiert.
ID event.idm.read_only_udm.metadata.product_log_id Die Produkt-Log-ID wird aus dem Feld ID im Rohlog extrahiert.
MAC event.idm.read_only_udm.principal.mac Die MAC-Adresse wird aus dem Feld MAC im Rohlog extrahiert.
ModuleName event.idm.read_only_udm.metadata.product_event_type Der Produktereignistyp wird aus dem Feld ModuleName im Rohlog extrahiert.
Operation event.idm.read_only_udm.principal.resource.attribute.labels.value Der Vorgang wird aus dem Feld Operation im Rohlog extrahiert und als Label mit dem Schlüssel „Operation“ hinzugefügt.
PROTO event.idm.read_only_udm.network.ip_protocol Das IP-Protokoll wird aus dem Feld PROTO im Rohlog extrahiert.
RES event.idm.read_only_udm.target.resource.name Der Name der Zielressource wird aus dem Feld RES im Rohlog extrahiert.
SRC event.idm.read_only_udm.principal.ip Die Quell-IP-Adresse wird aus dem Feld SRC im Rohlog extrahiert.
SPT event.idm.read_only_udm.principal.port Der Quellport wird aus dem Feld SPT im Rohlog extrahiert.
UserName event.idm.read_only_udm.principal.user.userid Die Nutzer-ID wird aus dem Feld UserName im Rohlog extrahiert.
app_type event.idm.read_only_udm.principal.application Die Hauptanwendung wird aus dem Feld app_type im Rohlog extrahiert.
application event.idm.read_only_udm.target.application Die Zielanwendung wird aus dem Feld application im Rohlog extrahiert.
audit event.idm.read_only_udm.principal.resource.attribute.labels.value Der Audit-Wert wird aus dem Feld audit im Rohlog extrahiert und als Label mit dem Schlüssel „audit“ hinzugefügt.
cancelTimeUTC event.idm.read_only_udm.principal.resource.attribute.last_update_time Der Zeitpunkt der letzten Aktualisierung wird aus dem Feld cancelTimeUTC im Rohlog abgeleitet.
client event.idm.read_only_udm.principal.ip oder event.idm.read_only_udm.principal.administrative_domain Wenn das Feld client eine IP-Adresse ist, wird es der Haupt-IP-Adresse zugeordnet. Andernfalls wird sie der primären Verwaltungsdomain zugeordnet.
comp event.idm.read_only_udm.principal.resource.attribute.labels.value Der Komponentenwert wird aus dem Feld comp im Rohlog extrahiert und als Label mit dem Schlüssel „Comp“ hinzugefügt.
datetime event.idm.read_only_udm.metadata.event_timestamp Der Zeitstempel des Ereignisses wird aus dem Feld datetime im Rohlog extrahiert.
description event.idm.read_only_udm.metadata.description Die Beschreibung wird aus dem Feld description im Rohlog extrahiert.
details event.idm.read_only_udm.principal.resource.attribute.labels Die Details werden aus dem Feld details im Rohlog extrahiert und als Labels hinzugefügt.
direction event.idm.read_only_udm.network.direction Wenn das Feld direction den Wert „OUT“ hat, wird es „OUTBOUND“ zugeordnet.
dst_ip event.idm.read_only_udm.target.ip Die Ziel-IP-Adresse wird aus dem Feld dst_ip im Rohlog extrahiert.
DPT event.idm.read_only_udm.target.port Der Zielport wird aus dem Feld DPT im Rohlog extrahiert.
errorCode event.idm.read_only_udm.security_result.detection_fields Der Fehlercode wird aus dem Feld errorCode im Rohprotokoll extrahiert und als Erkennungsfeld hinzugefügt.
eventType event.idm.read_only_udm.metadata.product_event_type Der Produktereignistyp wird aus dem Feld eventType im Rohlog extrahiert.
filepath event.idm.read_only_udm.principal.process.file.full_path Der Dateipfad wird aus dem Feld filepath im Rohlog extrahiert.
hostname event.idm.read_only_udm.principal.ip Der Hostname wird aus dem Feld hostname im Rohlog extrahiert und, falls es sich um eine IP-Adresse handelt, der Haupt-IP zugeordnet.
kv_data Verschiedene UDM-Felder Die Schlüssel/Wert-Paare in kv_data werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
kv_data1 Verschiedene UDM-Felder Die Schlüssel/Wert-Paare in kv_data1 werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
kv_data2 Verschiedene UDM-Felder Die Schlüssel/Wert-Paare in kv_data2 werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
kv_data3 Verschiedene UDM-Felder Die Schlüssel/Wert-Paare in kv_data3 werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
kv_data4 Verschiedene UDM-Felder Die Schlüssel/Wert-Paare in kv_data4 werden anhand ihrer Schlüssel verschiedenen UDM-Feldern zugeordnet.
level event.idm.read_only_udm.security_result.severity Wenn das Feld level „INFO“ enthält, wird es „INFORMATIONAL“ zugeordnet. Wenn es „ERROR“ ist, wird es „ERROR“ zugeordnet.
managedExternally event.idm.read_only_udm.principal.resource.attribute.labels.value Der Wert „managedExternally“ wird aus dem Feld managedExternally im Rohlog extrahiert und als Label mit dem Schlüssel „managedExternally“ hinzugefügt.
message Verschiedene UDM-Felder Das Nachrichtenfeld wird geparst, um verschiedene UDM-Felder zu extrahieren.
message_data event.idm.read_only_udm.principal.resource.attribute.labels.value Die Nachrichtendaten werden aus dem Feld message_data im Rohlog extrahiert und als Label mit dem Schlüssel „message“ hinzugefügt.
network_status event.idm.read_only_udm.additional.fields Der Netzwerkstatus wird aus dem Feld network_status im Rohlog extrahiert und als zusätzliches Feld mit dem Schlüssel „Network_Connection_Status“ hinzugefügt.
new_value Verschiedene event.idm.read_only_udm.target-Felder Der neue Wert wird aus dem Feld new_value im Rohlog extrahiert und zum Ausfüllen verschiedener Zielfelder verwendet.
node event.idm.read_only_udm.principal.resource.attribute.labels.value Der Knotenwert wird aus dem Feld node im Rohlog extrahiert und als Label mit dem Schlüssel „node“ hinzugefügt.
old_value Verschiedene UDM-Felder Der alte Wert wird aus dem Feld old_value im Rohlog extrahiert und zum Ausfüllen verschiedener UDM-Felder verwendet.
payload Verschiedene UDM-Felder Die Nutzlast wird aus dem Feld payload im Rohlog extrahiert und zum Ausfüllen verschiedener UDM-Felder verwendet.
pid event.idm.read_only_udm.target.process.pid Die Prozess-ID wird aus dem Feld pid im Rohlog extrahiert.
reqId event.idm.read_only_udm.metadata.product_log_id Die Produktprotokoll-ID wird aus dem Feld reqId im Rohprotokoll extrahiert.
resourceId event.idm.read_only_udm.principal.resource.product_object_id Die Produktobjekt-ID wird aus dem Feld resourceId im Rohlog extrahiert.
s2comp event.idm.read_only_udm.principal.resource.attribute.labels.value Der s2comp-Wert wird aus dem Feld s2comp im Rohlog extrahiert und als Label mit dem Schlüssel „s2comp“ hinzugefügt.
ses event.idm.read_only_udm.network.session_id Die Sitzungs-ID wird aus dem Feld ses im Rohlog extrahiert.
src_host event.idm.read_only_udm.principal.hostname Der Hostname des Hauptkontos wird aus dem Feld src_host im Rohlog extrahiert.
src_ip event.idm.read_only_udm.principal.ip Die Quell-IP-Adresse wird aus dem Feld src_ip im Rohlog extrahiert.
src_ip1 event.idm.read_only_udm.principal.ip Die Quell-IP-Adresse wird aus dem Feld src_ip1 im Rohlog extrahiert.
src_port event.idm.read_only_udm.principal.port Der Quellport wird aus dem Feld src_port im Rohlog extrahiert.
startTimeUTC event.idm.read_only_udm.principal.resource.attribute.creation_time Die Erstellungszeit wird aus dem Feld startTimeUTC im Rohlog abgeleitet.
subcomp event.idm.read_only_udm.network.application_protocol oder event.idm.read_only_udm.principal.resource.attribute.labels.value Wenn das Feld subcomp „http“ ist, wird es „HTTP“ zugeordnet. Andernfalls wird er als Label mit dem Schlüssel „Sub Comp“ hinzugefügt.
tname event.idm.read_only_udm.principal.resource.attribute.labels.value Der tname-Wert wird aus dem Feld tname im Rohlog extrahiert und als Label mit dem Schlüssel „tname“ hinzugefügt.
type event.idm.read_only_udm.metadata.product_event_type Der Produktereignistyp wird aus dem Feld type im Rohlog extrahiert.
uid event.idm.read_only_udm.principal.user.userid Die Nutzer-ID wird aus dem Feld uid im Rohprotokoll extrahiert.
update event.idm.read_only_udm.principal.resource.attribute.labels.value Der Aktualisierungswert wird aus dem Feld update im Rohlog extrahiert und als Label mit dem Schlüssel „update“ hinzugefügt.
user event.idm.read_only_udm.principal.user.user_display_name Der Anzeigename des Nutzers wird aus dem Feld user im Rohlog extrahiert.
vmw_cluster event.idm.read_only_udm.target.resource.name Der Name der Zielressource wird aus dem Feld vmw_cluster im Rohlog extrahiert.
vmw_datacenter event.idm.read_only_udm.target.resource.attribute.labels.value Der Wert „vmw_datacenter“ wird aus dem Feld vmw_datacenter im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_datacenter“ hinzugefügt.
vmw_host event.idm.read_only_udm.target.hostname oder event.idm.read_only_udm.target.ip Wenn das Feld vmw_host ein Hostname ist, wird es dem Zielhostnamen zugeordnet. Andernfalls wird sie, wenn es sich um eine IP-Adresse handelt, der Ziel-IP zugeordnet.
vmw_object_id event.idm.read_only_udm.target.resource.product_object_id Die Produktobjekt-ID wird aus dem Feld vmw_object_id im Rohlog extrahiert.
vmw_product event.idm.read_only_udm.target.application Die Zielanwendung wird aus dem Feld vmw_product im Rohlog extrahiert.
vmw_vcenter event.idm.read_only_udm.target.cloud.availability_zone Die Verfügbarkeitszone wird aus dem Feld vmw_vcenter im Rohlog extrahiert.
vmw_vcenter_id event.idm.read_only_udm.target.resource.attribute.labels.value Der Wert „vmw_vcenter_id“ wird aus dem Feld vmw_vcenter_id im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_vcenter_id“ hinzugefügt.
vmw_vr_ops_appname event.idm.read_only_udm.intermediary.application Die Vermittleranwendung wird aus dem Feld vmw_vr_ops_appname im Rohlog extrahiert.
vmw_vr_ops_clustername event.idm.read_only_udm.intermediary.resource.name Der Name der Vermittlerressource wird aus dem Feld vmw_vr_ops_clustername im Rohlog extrahiert.
vmw_vr_ops_clusterrole event.idm.read_only_udm.intermediary.resource.attribute.roles.name Der Name der Rolle der Zwischenressource wird aus dem Feld vmw_vr_ops_clusterrole im Rohlog extrahiert.
vmw_vr_ops_hostname event.idm.read_only_udm.intermediary.hostname Der Hostname des Zwischenhosts wird aus dem Feld vmw_vr_ops_hostname im Rohlog extrahiert.
vmw_vr_ops_id event.idm.read_only_udm.intermediary.resource.product_object_id Die ID des Zwischenproduktobjekts wird aus dem Feld vmw_vr_ops_id im Rohlog extrahiert.
vmw_vr_ops_logtype event.idm.read_only_udm.intermediary.resource.attribute.labels.value Der Wert „vmw_vr_ops_logtype“ wird aus dem Feld vmw_vr_ops_logtype im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_vr_ops_logtype“ hinzugefügt.
vmw_vr_ops_nodename event.idm.read_only_udm.intermediary.resource.attribute.labels.value Der Wert „vmw_vr_ops_nodename“ wird aus dem Feld vmw_vr_ops_nodename im Rohlog extrahiert und als Label mit dem Schlüssel „vmw_vr_ops_nodename“ hinzugefügt. Wird durch eine Reihe von bedingten Anweisungen bestimmt, die auf den Werten anderer Felder basieren. Mögliche Werte sind USER_LOGIN, NETWORK_CONNECTION, STATUS_UPDATE und GENERIC_EVENT. Hartcodiert auf „VMWARE_NSX“. Hartcodiert auf „VMWARE_NSX“. Fest codiert auf „VMWARE_NSX“. Auf „AUTHTYPE_UNSPECIFIED“ festgelegt, wenn Operation „LOGIN“ ist und target_details nicht leer ist oder wenn message „authentication failure“ enthält und application nicht leer ist. Legen Sie diesen Wert auf „SSH“ fest, wenn PROTO „ssh2“ ist, oder auf „HTTP“, wenn subcomp „http“ ist. Wird durch eine Reihe von bedingten Anweisungen bestimmt, die auf den Werten anderer Felder basieren. Mögliche Werte sind ALLOW und BLOCK. Wird auf „VIRTUAL_MACHINE“ gesetzt, wenn vmw_cluster nicht leer ist.
Resource event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
zone_action event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
product_id event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet
dst_port event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
sent_pkt event.idm.read_only_udm.network.sent_packets Aus Änderungsprotokoll zugeordnet
received_pkt event.idm.read_only_udm.network.received_packets Aus Änderungsprotokoll zugeordnet
sent_byte event.idm.read_only_udm.network.sent_bytes Aus Änderungsprotokoll zugeordnet
received_byte event.idm.read_only_udm.network.received_bytes Aus Änderungsprotokoll zugeordnet
msg1 event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
ip_version event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ip_protocol_type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ip_protocol_code event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
interface_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
tcp_flags event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
src_zone_value event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
sec_desc event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
Originated_Ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
Originated_Ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
event_source event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
Resource_Name event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
Universal_Object event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
Severity event.idm.read_only_udm.security_result.severity Aus Änderungsprotokoll zugeordnet
Code event.idm.read_only_udm.security_result.rule_id Aus Änderungsprotokoll zugeordnet
Event_Message event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
Above_supported_instances event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Above_threshold_instances event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Below_threshold_instances event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
supported_compact event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
supported_quadlarge event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
supported_large event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
supported_xlarge event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
action security_result.action_details Aus Änderungsprotokoll zugeordnet
rule_id security_result.rule_id Aus Änderungsprotokoll zugeordnet
network.direction INBOUND Aus Änderungsprotokoll zugeordnet
security_result.action_details ALLOW Aus Änderungsprotokoll zugeordnet
security_result.action_details BLOCK Aus Änderungsprotokoll zugeordnet
metadata.event_type NETWORK_CONNECTION Aus Änderungsprotokoll zugeordnet
unique_id principal.resource.product_object_id Aus Änderungsprotokoll zugeordnet
resource_type principal.resource.sub_type Aus Änderungsprotokoll zugeordnet
_create_user","_last_modified_user principal.user.email_addresses Aus Änderungsprotokoll zugeordnet
action security_result.action Aus Änderungsprotokoll zugeordnet
display_name principal.resource.name Aus Änderungsprotokoll zugeordnet
_last_modified_time principal.resource.attribute.last_update_time Aus Änderungsprotokoll zugeordnet
_create_time principal.resource.attribute.creation_time Aus Änderungsprotokoll zugeordnet
parent_path principal.resource.parent Aus Änderungsprotokoll zugeordnet
id principal.resource.id Aus Änderungsprotokoll zugeordnet
resource_type target.resource.sub_type Aus Änderungsprotokoll zugeordnet
unique_id target.resource.product_object_id Aus Änderungsprotokoll zugeordnet
path target.process.file.full_path Aus Änderungsprotokoll zugeordnet
id target.resource.id Aus Änderungsprotokoll zugeordnet
vmw_host target_details.hostname or target_details.ip Aus Änderungsprotokoll zugeordnet
vmw_vr_ops_clusterrole intermediary.resource.attribute.labels.roles.name Aus Änderungsprotokoll zugeordnet
vmw_host","vmw_product","vmw_vcenter","vmw_cluster","vmw_vr_ops_id","vmw_object_id","vmw_datacenter","vmw_vcenter_id","vmw_vr_ops_logtype","vmw_vr_ops_appname","vmw_vr_ops_hostname","vmw_vr_ops_nodename","vmw_vr_ops_clustername","vmw_vr_ops_clusterrole","managedExternally","update","filepath","eventType","resourceId principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
tname", "s2comp", "node principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
exe target.process.file.full_path Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten