איסוף יומנים של VMware Networking and Security Virtualization (NSX) Manager

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של VMware NSX Manager ב-Google Security Operations באמצעות סוכן Bindplane.

‫VMware NSX היא פלטפורמה לאבטחה ולווירטואליזציה של רשתות, שיוצרת הודעות syslog לאירועים של חומת אש, כללים של חומת אש מבוזרת, שינויים בניתוב, יומני ביקורת ואירועים של בקרים. המנתח מחלץ שדות באמצעות תבניות grok, ניתוח של מפתח/ערך וניתוח של JSON, וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין סביבת VMware NSX
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין ב-VMware NSX

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מספקים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/vmware_nsx:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VMWARE_NSX
      raw_log_field: body
  
  service:
    pipelines:
      logs/vmware_nsx_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/vmware_nsx
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/vmware_nsx:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VMWARE_NSX
      raw_log_field: body
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת Syslog ל-NSX Edge

1. נכנסים אל vSphere Web Client.
2. עוברים אל Networking & Security > NSX Edges.
3. בוחרים את המכונה הספציפית של NSX Edge שרוצים להגדיר.
4. עוברים אל Syslog Settings (הגדרות Syslog):
   • ב-NSX 6.4.4 ואילך: ניהול > הגדרות > הגדרות של מכשיר וירטואלי > הגדרות > שינוי ההגדרה של Syslog.
   • ב-NSX 6.4.3 ובגרסאות קודמות: ניהול > הגדרות > הגדרה > פרטים > שינוי.
5. מגדירים את פרטי שרת ה-syslog:
   • שרת: מזינים את כתובת ה-IP או את שם המארח של שרת ה-syslog ‏ (Bindplane).
   • Protocol: בוחרים באפשרות UDP או TCP (בהתאם להגדרות של Bindplane).
   • יציאה: מזינים את מספר היציאה (בהתאם להגדרות של Bindplane).
6. לוחצים על אישור כדי לשמור את ההגדרות.

הגדרת Syslog ל-NSX Manager

1. נכנסים לממשק האינטרנט של NSX Manager באמצעות פרטי כניסה של אדמין (https://<NSX-Manager-IP> או https://<NSX-Manager-Hostname>).
2. עוברים אל ניהול הגדרות המכשיר > כללי.
3. לוחצים על עריכה כדי לקבוע את הגדרות שרת ה-syslog.
4. מזינים את פרטי שרת ה-syslog:
   • שרת: מזינים את כתובת ה-IP או את שם המארח של שרת ה-syslog ‏ (Bindplane).
   • Protocol: בוחרים באפשרות UDP או TCP (בהתאם להגדרות של Bindplane).
   • יציאה: מזינים את מספר היציאה (בהתאם להגדרות של Bindplane).
5. לוחצים על אישור כדי לשמור את ההגדרות.

הגדרת Syslog לבקר NSX

1. נכנסים אל vSphere Web Client.
2. עוברים אל Networking & Security > Installation and Upgrade > Management > NSX Controller Nodes.
3. בוחרים את NSX Manager שמנהל את צומתי הבקר.
4. לוחצים על עריכת מאפיינים נפוצים של בקר.
5. בתיבת הדו-שיח שרתי Syslog, לוחצים על Add:
   • מזינים את השם או את כתובת ה-IP של שרת ה-syslog.
   • בוחרים בפרוטוקול UDP (בהתאם להגדרות של Bindplane).
   • מגדירים את רמת היומן (לדוגמה, INFO).
6. לוחצים על אישור כדי לשמור את ההגדרות.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
DST	event.idm.read_only_udm.target.ip	כתובת ה-IP של היעד מחולצת מהשדה DST ביומן הגולמי.
ID	event.idm.read_only_udm.metadata.product_log_id	מזהה היומן של המוצר נשלף מהשדה ID ביומן הגולמי.
MAC	event.idm.read_only_udm.principal.mac	כתובת ה-MAC נשלפת מהשדה MAC ביומן הגולמי.
ModuleName	event.idm.read_only_udm.metadata.product_event_type	סוג אירוע המוצר מחולץ מהשדה ModuleName ביומן הגולמי.
Operation	event.idm.read_only_udm.principal.resource.attribute.labels.value	הפעולה מחולצת מהשדה Operation ביומן הגולמי ומוסיפה כתווית עם המפתח Operation.
PROTO	event.idm.read_only_udm.network.ip_protocol	פרוטוקול ה-IP נשלף מהשדה PROTO ביומן הגולמי.
RES	event.idm.read_only_udm.target.resource.name	השם של משאב היעד מחולץ מהשדה RES ביומן הגולמי.
SRC	event.idm.read_only_udm.principal.ip	כתובת ה-IP של המקור מחולצת מהשדה SRC ביומן הגולמי.
SPT	event.idm.read_only_udm.principal.port	יציאת המקור מחולצת מהשדה SPT ביומן הגולמי.
UserName	event.idm.read_only_udm.principal.user.userid	מזהה המשתמש נשלף מהשדה UserName ביומן הגולמי.
app_type	event.idm.read_only_udm.principal.application	האפליקציה הראשית נשלפת מהשדה app_type ביומן הגולמי.
application	event.idm.read_only_udm.target.application	אפליקציית היעד נשלפת מהשדה application ביומן הגולמי.
audit	event.idm.read_only_udm.principal.resource.attribute.labels.value	ערך הביקורת מחולץ מהשדה audit ביומן הגולמי ומוסף כתווית עם המפתח audit.
cancelTimeUTC	event.idm.read_only_udm.principal.resource.attribute.last_update_time	מועד העדכון האחרון נגזר מהשדה cancelTimeUTC ביומן הגולמי.
client	event.idm.read_only_udm.principal.ip או event.idm.read_only_udm.principal.administrative_domain	אם השדה client הוא כתובת IP, הוא ממופה לכתובת ה-IP העיקרית. אחרת, הוא ממופה לדומיין הניהולי הראשי.
comp	event.idm.read_only_udm.principal.resource.attribute.labels.value	ערך הרכיב מחולץ מהשדה comp ביומן הגולמי ומוסף כתווית עם המפתח Comp.
datetime	event.idm.read_only_udm.metadata.event_timestamp	חותמת הזמן של האירוע מחולצת מהשדה datetime ביומן הגולמי.
description	event.idm.read_only_udm.metadata.description	התיאור נשלף מהשדה description ביומן הגולמי.
details	event.idm.read_only_udm.principal.resource.attribute.labels	הפרטים נשלפים מהשדה details ביומן הגולמי ומתווספים כתוויות.
direction	event.idm.read_only_udm.network.direction	אם הערך בשדה direction הוא OUT, הוא ממופה ל-OUTBOUND.
dst_ip	event.idm.read_only_udm.target.ip	כתובת ה-IP של היעד מחולצת מהשדה dst_ip ביומן הגולמי.
DPT	event.idm.read_only_udm.target.port	יציאת היעד מחולצת מהשדה DPT ביומן הגולמי.
errorCode	event.idm.read_only_udm.security_result.detection_fields	קוד השגיאה נשלף מהשדה errorCode ביומן הגולמי ונוסף כשדה זיהוי.
eventType	event.idm.read_only_udm.metadata.product_event_type	סוג האירוע של המוצר נשלף מהשדה eventType ביומן הגולמי.
filepath	event.idm.read_only_udm.principal.process.file.full_path	נתיב הקובץ נשלף מהשדה filepath ביומן הגולמי.
hostname	event.idm.read_only_udm.principal.ip	שם המארח נשלף מהשדה hostname ביומן הגולמי, ואם מדובר בכתובת IP, הוא ממופה לכתובת ה-IP של הישות.
kv_data	שדות שונים ב-UDM	צמדי המפתח/ערך ב-kv_data ממופים לשדות שונים של UDM על סמך המפתחות שלהם.
kv_data1	שדות שונים ב-UDM	צמדי המפתח/ערך ב-kv_data1 ממופים לשדות שונים של UDM על סמך המפתחות שלהם.
kv_data2	שדות UDM שונים	צמדי מפתח/ערך ב-kv_data2 ממופים לשדות שונים ב-UDM על סמך המפתחות שלהם.
kv_data3	שדות שונים ב-UDM	צמדי מפתח/ערך ב-kv_data3 ממופים לשדות שונים ב-UDM על סמך המפתחות שלהם.
kv_data4	שדות UDM שונים	צמדי מפתח/ערך ב-kv_data4 ממופים לשדות שונים ב-UDM על סמך המפתחות שלהם.
level	event.idm.read_only_udm.security_result.severity	אם השדה level הוא INFO, הוא ממופה ל-INFORMATIONAL. אם הערך הוא "ERROR", הוא ממופה ל-"ERROR".
managedExternally	event.idm.read_only_udm.principal.resource.attribute.labels.value	הערך managedExternally מחולץ מהשדה managedExternally ביומן הגולמי ומוסף כתווית עם המפתח managedExternally.
message	שדות שונים ב-UDM	השדה של ההודעה מנותח כדי לחלץ שדות שונים של UDM.
message_data	event.idm.read_only_udm.principal.resource.attribute.labels.value	נתוני ההודעה נשלפים מהשדה message_data ביומן הגולמי ומתווספים כתווית עם המפתח "message".
network_status	event.idm.read_only_udm.additional.fields	סטטוס הרשת נשלף מהשדה network_status ביומן הגולמי ומתווסף כשדה נוסף עם המפתח Network_Connection_Status.
new_value	שדות שונים של event.idm.read_only_udm.target	הערך החדש נשלף מהשדה new_value ביומן הגולמי ומשמש לאכלוס שדות יעד שונים.
node	event.idm.read_only_udm.principal.resource.attribute.labels.value	ערך הצומת נשלף מהשדה node ביומן הגולמי ומתווסף כתווית עם המפתח "node".
old_value	שדות UDM שונים	הערך הישן נשלף מהשדה old_value ביומן הגולמי ומשמש לאכלוס שדות שונים של UDM.
payload	שדות שונים ב-UDM	המטען הייעודי חולץ מהשדה payload ביומן הגולמי ומשמש לאכלוס שדות שונים ב-UDM.
pid	event.idm.read_only_udm.target.process.pid	מזהה התהליך מחולץ מהשדה pid ביומן הגולמי.
reqId	event.idm.read_only_udm.metadata.product_log_id	מזהה יומן המוצר נשלף מהשדה reqId ביומן הגולמי.
resourceId	event.idm.read_only_udm.principal.resource.product_object_id	מזהה האובייקט של המוצר נשלף מהשדה resourceId ביומן הגולמי.
s2comp	event.idm.read_only_udm.principal.resource.attribute.labels.value	הערך של s2comp נשלף מהשדה s2comp ביומן הגולמי ומתווסף כתווית עם המפתח "s2comp".
ses	event.idm.read_only_udm.network.session_id	מזהה הסשן נשלף מהשדה ses ביומן הגולמי.
src_host	event.idm.read_only_udm.principal.hostname	שם המארח הראשי נשלף מהשדה src_host ביומן הגולמי.
src_ip	event.idm.read_only_udm.principal.ip	כתובת ה-IP של המקור נשלפת מהשדה src_ip ביומן הגולמי.
src_ip1	event.idm.read_only_udm.principal.ip	כתובת ה-IP של המקור נשלפת מהשדה src_ip1 ביומן הגולמי.
src_port	event.idm.read_only_udm.principal.port	יציאת המקור מחולצת מהשדה src_port ביומן הגולמי.
startTimeUTC	event.idm.read_only_udm.principal.resource.attribute.creation_time	זמן היצירה נגזר מהשדה startTimeUTC ביומן הגולמי.
subcomp	event.idm.read_only_udm.network.application_protocol או event.idm.read_only_udm.principal.resource.attribute.labels.value	אם הערך בשדה subcomp הוא "http", הוא ממופה ל-"HTTP". אחרת, הוא מתווסף כתווית עם המפתח "Sub Comp".
tname	event.idm.read_only_udm.principal.resource.attribute.labels.value	הערך tname מחולץ מהשדה tname ביומן הגולמי ומוסף כתווית עם המפתח tname.
type	event.idm.read_only_udm.metadata.product_event_type	סוג האירוע של המוצר נשלף מהשדה type ביומן הגולמי.
uid	event.idm.read_only_udm.principal.user.userid	מזהה המשתמש מחולץ מהשדה uid ביומן הגולמי.
update	event.idm.read_only_udm.principal.resource.attribute.labels.value	ערך העדכון נשלף מהשדה update ביומן הגולמי ומתווסף כתווית עם המפתח "update".
user	event.idm.read_only_udm.principal.user.user_display_name	השם המוצג של המשתמש נשלף מהשדה user ביומן הגולמי.
vmw_cluster	event.idm.read_only_udm.target.resource.name	השם של משאב היעד מחולץ מהשדה vmw_cluster ביומן הגולמי.
vmw_datacenter	event.idm.read_only_udm.target.resource.attribute.labels.value	הערך של vmw_datacenter נשלף מהשדה vmw_datacenter ביומן הגולמי, ונוסף כתווית עם המפתח "vmw_datacenter".
vmw_host	event.idm.read_only_udm.target.hostname או event.idm.read_only_udm.target.ip	אם השדה vmw_host הוא שם מארח, הוא ממופה לשם המארח של היעד. אחרת, אם מדובר בכתובת IP, היא ממופה לכתובת ה-IP של היעד.
vmw_object_id	event.idm.read_only_udm.target.resource.product_object_id	מזהה אובייקט המוצר מחולץ מהשדה vmw_object_id ביומן הגולמי.
vmw_product	event.idm.read_only_udm.target.application	אפליקציית היעד נשלפת מהשדה vmw_product ביומן הגולמי.
vmw_vcenter	event.idm.read_only_udm.target.cloud.availability_zone	אזור הזמינות נשלף מהשדה vmw_vcenter ביומן הגולמי.
vmw_vcenter_id	event.idm.read_only_udm.target.resource.attribute.labels.value	הערך של vmw_vcenter_id נשלף מהשדה vmw_vcenter_id ביומן הגולמי, ונוסף כתווית עם המפתח "vmw_vcenter_id".
vmw_vr_ops_appname	event.idm.read_only_udm.intermediary.application	האפליקציה המתווכת נשלפת מהשדה vmw_vr_ops_appname ביומן הגולמי.
vmw_vr_ops_clustername	event.idm.read_only_udm.intermediary.resource.name	שם משאב הביניים מחולץ מהשדה vmw_vr_ops_clustername ביומן הגולמי.
vmw_vr_ops_clusterrole	event.idm.read_only_udm.intermediary.resource.attribute.roles.name	שם התפקיד של משאב הביניים נשלף מהשדה vmw_vr_ops_clusterrole ביומן הגולמי.
vmw_vr_ops_hostname	event.idm.read_only_udm.intermediary.hostname	שם המארח המתווך נשלף מהשדה vmw_vr_ops_hostname ביומן הגולמי.
vmw_vr_ops_id	event.idm.read_only_udm.intermediary.resource.product_object_id	מזהה האובייקט של מוצר הביניים נשלף מהשדה vmw_vr_ops_id ביומן הגולמי.
vmw_vr_ops_logtype	event.idm.read_only_udm.intermediary.resource.attribute.labels.value	הערך vmw_vr_ops_logtype נשלף מהשדה vmw_vr_ops_logtype ביומן הגולמי ומתווסף כתווית עם המפתח "vmw_vr_ops_logtype".
vmw_vr_ops_nodename	event.idm.read_only_udm.intermediary.resource.attribute.labels.value	הערך vmw_vr_ops_nodename מחולץ מהשדה vmw_vr_ops_nodename ביומן הגולמי ומוסף כתווית עם המפתח vmw_vr_ops_nodename. נקבע לפי סדרה של הצהרות מותנות שמבוססות על הערכים של שדות אחרים. הערכים האפשריים הם USER_LOGIN,‏ NETWORK_CONNECTION,‏ STATUS_UPDATE ו-GENERIC_EVENT. הערך מוטמע בקוד כ-VMWARE_NSX. מקודד באופן קשיח ל-"VMWARE_NSX". מקודד באופן קשיח ל-"VMWARE_NSX". הערך שמוגדר הוא AUTHTYPE_UNSPECIFIED אם Operation הוא LOGIN ו-target_details לא ריק, או אם message מכיל את הערך authentication failure ו-application לא ריק. מגדירים את הערך כ-SSH אם PROTO הוא ssh2, או מגדירים את הערך כ-HTTP אם subcomp הוא http. נקבע לפי סדרה של הצהרות מותנות שמבוססות על הערכים של שדות אחרים. הערכים האפשריים הם ALLOW ו-BLOCK. הערך הוא VIRTUAL_MACHINE אם vmw_cluster לא ריק.
Resource	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
zone_action	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
product_id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
dst_port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
sent_pkt	event.idm.read_only_udm.network.sent_packets	מופה מיומן השינויים
received_pkt	event.idm.read_only_udm.network.received_packets	מופה מיומן השינויים
sent_byte	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
received_byte	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
msg1	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
ip_version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ip_protocol_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ip_protocol_code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
interface_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tcp_flags	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
src_zone_value	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
sec_desc	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
Originated_Ip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
Originated_Ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
event_source	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
Resource_Name	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
Universal_Object	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
Severity	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
Code	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
Event_Message	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
Above_supported_instances	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Above_threshold_instances	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Below_threshold_instances	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
supported_compact	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
supported_quadlarge	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
supported_large	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
supported_xlarge	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
action	security_result.action_details	מופה מיומן השינויים
rule_id	security_result.rule_id	מופה מיומן השינויים
network.direction	INBOUND	מופה מיומן השינויים
security_result.action_details	ALLOW	מופה מיומן השינויים
security_result.action_details	BLOCK	מופה מיומן השינויים
metadata.event_type	NETWORK_CONNECTION	מופה מיומן השינויים
unique_id	principal.resource.product_object_id	מופה מיומן השינויים
resource_type	principal.resource.sub_type	מופה מיומן השינויים
_create_user","_last_modified_user	principal.user.email_addresses	מופה מיומן השינויים
action	security_result.action	מופה מיומן השינויים
display_name	principal.resource.name	מופה מיומן השינויים
_last_modified_time	principal.resource.attribute.last_update_time	מופה מיומן השינויים
_create_time	principal.resource.attribute.creation_time	מופה מיומן השינויים
parent_path	principal.resource.parent	מופה מיומן השינויים
id	principal.resource.id	מופה מיומן השינויים
resource_type	target.resource.sub_type	מופה מיומן השינויים
unique_id	target.resource.product_object_id	מופה מיומן השינויים
path	target.process.file.full_path	מופה מיומן השינויים
id	target.resource.id	מופה מיומן השינויים
vmw_host	target_details.hostname or target_details.ip	מופה מיומן השינויים
vmw_vr_ops_clusterrole	intermediary.resource.attribute.labels.roles.name	מופה מיומן השינויים
vmw_host","vmw_product","vmw_vcenter","vmw_cluster","vmw_vr_ops_id","vmw_object_id","vmw_datacenter","vmw_vcenter_id","vmw_vr_ops_logtype","vmw_vr_ops_appname","vmw_vr_ops_hostname","vmw_vr_ops_nodename","vmw_vr_ops_clustername","vmw_vr_ops_clusterrole","managedExternally","update","filepath","eventType","resourceId	principal.resource.attribute.labels	מופה מיומן השינויים
tname", "s2comp", "node	principal.resource.attribute.labels	מופה מיומן השינויים
exe	target.process.file.full_path	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.