VMware vCenter-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie VMware vCenter-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

VMware vCenter ist eine Serververwaltungsplattform, die JSON- und Syslog-Nachrichten für Vorgänge virtueller Maschinen, Hostverwaltung, Authentifizierung und Konfigurationsänderungen generiert.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agenten und dem VMware vCenter-Server
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die VMware vCenter Server Management-Web-UI

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vcenter:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vcenter_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vcenter

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vmware_vcenter:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Prüfen Sie die Logs auf Fehler:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog in VMware vCenter konfigurieren

  1. Melden Sie sich in der Web-UI vCenter Server Management an.
  2. Rufen Sie Syslog> Weiterleitungskonfiguration auf.
  3. Klicken Sie auf Konfigurieren, um eine neue Weiterleitungskonfiguration zu erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Serveradresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Protokoll: Wählen Sie UDP aus.
    • Port: Geben Sie die Portnummer des BindPlane-Agenten ein (z. B. 514).
  5. Klicken Sie auf Speichern.
  6. Klicken Sie auf Testnachricht senden, um die Konfiguration zu prüfen.

UDM-Zuordnungstabelle

In der folgenden Tabelle sind die Feldzuordnungen von Protokoll zu UDM für VMware vCenter-Protokolle aufgeführt:

Logfeld UDM-Zuordnung
Access Mask principal.process.access_mask
Account Domain principal.administrative_domain
Account Name target.user.userid
AccessControlRuleAction security_result.action
AccessControlRuleName security_result.rule_name
ACPolicy security_result.rule_labels
admin principal.resource.attribute.labels
agent.hostname principal.hostname,
principal.asset.hostname
agent.type observer.application
agent.version intermediary.platform_version
alarm_target about.resource.name
api_call_method metadata.product_event_type
app principal.application
ApplicationProtocol network.application_protocol
appname principal.application
auth_date_time metadata.collected_timestamp
auth_user target.user.userid
Authentication Package security_result.about.resource.name
basedn_group_iden target.user.group_identifiers
bytes_received network.received_bytes
bytes_sent network.sent_bytes
Client target.user.attribute.labels
Client Address principal.ip
Client Port principal.port
client_ip principal.ip,
principal.asset.ip
client_port principal.port
ClientVersion target.platform_version
cmd target.process.command_line
ConnectionID security_result.about.labels
cor_id metadata.product_log_id
data_center target.location.name
datacenter target.location.name
desc metadata.description
description_data metadata.description
dest_ip target.ip,
target.asset.ip
dest_port target.port
DeviceUUID metadata.product_log_id
domain principal.administrative_domain
dstip target.ip,
target.asset.ip
EgressZone target.location.name
error_code security_result.detection_fields
error_message security_result.summary
event_name metadata.product_event_type
eventid metadata.product_event_type
EventPriority security_result.severity,
security_result.severity_details
@fields.company_name principal.user.company_name
@fields.facility principal.resource.resource_subtype
@fields.host principal.hostname,
principal.asset.hostname
@fields.privatecloud_id principal.resource_ancestors.product_object_id
@fields.privatecloud_name principal.resource_ancestors.name
@fields.procid principal.process.pid
@fields.region_id principal.location.country_or_region
file_path target.process.file.full_path
file_type network.http.response_headers
FirstPacketSecond security_result.about.labels
f_path target.file.full_path
function security_result.detection_fields
hmethod network.http.method
host.architecture principal.asset.hardware
host.id observer.asset_id
host.ip principal.ip,
principal.asset.ip
host.mac principal.mac
host.os.kernel principal.platform_patch_level
host.os.platform target.platform
host.os.version principal.platform_version
host_ip principal.ip,
principal.asset.ip
http_method network.http.method
HTTPResponse network.http.response_code
http_version network.tls.version_protocol
i_ip intermediary.ip,
intermediary.asset.ip
i_port intermediary.port
IngressZone principal.location.name
InitiatorBytes network.sent_bytes
InitiatorPackets network.sent_packets
insertId metadata.product_log_id
InstanceId target.asset_id
inter_host_name intermediary.hostname
inter_ip intermediary.ip
inter_port target.port
intermediary_ip intermediary.ip
intermediary_port intermediary.port
ip target.ip,
target.asset.ip
ips principal.ip,
principal.asset.ip
jsonPayload.appname security_result.detection_fields
jsonPayload.facility security_result.detection_fields
jsonPayload.hostname principal.hostname,
principal.asset.hostname
jsonPayload.message security_result.detection_fields
jsonPayload.priority security_result.detection_fields
jsonPayload.version security_result.detection_fields
kv_msg1.cipher network.tls.cipher
kv_msg1.ctladdr intermediary.user.attribute.labels
kv_msg1.daemon security_result.about.labels
kv_msg1.from network.email.from
kv_msg1.get_error intermediary.user.attribute.labels
kv_msg1.msgid network.email.mail_id
kv_msg1.proto security_result.about.labels
kv_msg1.size network.sent_bytes
kv_msg1.stat security_result.summary
kv_msg1.to network.email.to
kv_msg1.verify security_result.description,
security_result.action
kv_msg1.version network.tls.version
labels.log_type metadata.product_event_type
labels.net.host.ip principal.ip,
principal.asset.ip
labels.net.host.port principal.port
labels.net.peer.ip intermediary.ip,
intermediary.asset.ip,
target.ip,
target.asset.ip
labels.net.peer.port intermediary.port,
target.port
labels.net.transport network.ip_protocol
level security_result.severity,
security_result.severity_details
level_name security_result.severity,
security_result.severity_details
local_address_1 observer.ip
local_address_2 observer.ip
local_port_1 observer.port
log.file.path target.process.file.full_path
log.source.address intermediary.ip,
intermediary.port
log.syslog.severity.name security_result.severity_details
log_id metadata.product_log_id
log_level security_result.severity,
security_result.severity_details
logName security_result.category_details
Logon Account principal.user.userid
logstash.irm_site target.location.name
logstash.process.host additional.fields
mail_from network.email.from
mail_to network.email.to
msg metadata.description
name about.group.group_display_name
namespace principal.namespace
NAPPolicy security_result.rule_labels
o_ip observer.ip,
observer.asset.ip
o_port observer.port
obj_h additional.fields
obj_p additional.fields
p_ip principal.ip,
principal.asset.ip
p_log_id metadata.product_log_id
p_port principal.port
p_user_id principal.user.userid
p_vm_name target.resource.name
parsable_message metadata.description
pid target.process.pid
port intermediary.port
ppid principal.process.pid
prin_app principal.application
prin_domain principal.administrative_domain
prin_name principal.resource.attribute.labels
prin_pid principal.process.pid
principal_email principal.user.email_addresses
principal_ip1 principal.ip,
principal.asset.ip
principal_ip2 principal.ip,
principal.asset.ip
principal_port principal.port
priority security_result.severity,
security_result.severity_details
process principal.application
process_id principal.process.pid
product_event_type metadata.product_event_type
program principal.application
Protocol network.ip_protocol
providername principal.application
r_bytes network.received_bytes
r_name principal.resource.name
ReferencedHost target.hostname,
target.asset.hostname
Relative Target Name target.file.full_path
relay intermediary.hostname,
intermediary.ip
request_path target.url
resource.labels.project_id src.resource_ancestors.product_object_id
resource.type src.user.attribute.labels
resource_name target.resource.name
ResponderBytes network.received_bytes
ResponderPackets network.received_packets
response_code network.http.response_code
response_details target.resource.attribute.labels
role target.user.attribute.roles
s_bytes network.sent_bytes
sec_desc security_result.description
Security ID target.user.windows_sid
security_result_action_detail security_result.action_details
server_name target.hostname,
target.asset.hostname
session_id network.session_id
severity security_result.severity,
security_result.severity_details
severity_data security_result.severity,
security_result.severity_details
Share Name target.resource.name
sid about.group.windows_sid
Source Network Address principal.ip
Source Port principal.port
source_port principal.port
src_ip principal.ip
srcip principal.ip,
principal.asset.ip
ssh_proto network.application_protocol
summary security_result.summary
syslog_host target.hostname,
target.asset.hostname
t_ip target.ip,
target.asset.ip
t_port target.port
t_url target.url
tags additional.fields
principal_app principal.application
target_domain target.administrative_domain
target_host target.hostname,
target.asset.hostname
target_ip1 target.ip,
target.asset.ip
target_ip2 target.ip,
target.asset.ip
target_port target.port
target_userid target.user.userid
temp_host intermediary.hostname
tgt_domain target.administrative_domain
tgt_user target.user.userid
thread_id principal.resource.attribute.labels
tls_cipher network.tls.cipher
type metadata.product_event_type
upn_name intermediary.url
upstream_ip target.ip,
target.asset.ip
upstream_port target.port
URL target.url
User security_result.summary
user target.user.userid,
principal.user.userid
User ID target.user.userid
user_id principal.user.userid
UserAgent network.http.user_agent,
network.http.parsed_user_agent
username principal.user.userid
usrName target.user.userid
vc_event_obj_id target.asset.asset_id
vc_event_severity security_result.severity,
security_result.severity_details
vc_username target.user.userid
ver_proto network.tls.version
version metadata.product_version
@version principal.platform_version
vpxd_some_id additional.fields
LEEF_version additional.fields
ICMPType additional.fields
ICMPCode additional.fields
IngressInterface additional.fields
EgressInterface additional.fields
WebApplication additional.fields
DNSQuery additional.fields
DNSRecordType additional.fields
DNSResponseType additional.fields
DNS_TTL additional.fields
ApplicationProtocol additional.fields
service.type additional.fields
log.syslog.facility.code additional.fields
log.syslog.facility.name additional.fields
log.syslog.severity.code additional.fields
log.syslog.priority additional.fields
host.os.name additional.fields
host.os.build additional.fields
labels.plugin_id additional.fields
opID additional.fields
sub additional.fields
api_invocations additional.fields
vc_event_cat_0 additional.fields
vc_event_cat_1 additional.fields
vc_event_chain_id additional.fields
vc_event_obj_name additional.fields
vc_event_obj_type additional.fields
p_log_id_repeat additional.fields
sys_priority additional.fields
facility additional.fields
originator additional.fields
originator_id additional.fields
subsystem additional.fields
request_timestamp additional.fields
response_flags additional.fields
duration_total_ms additional.fields
duration_upstream_connect_ms additional.fields
duration_response_tx_ms additional.fields
local_port_2 additional.fields
proc_id additional.fields
eventid_label additional.fields
Logger_Name additional.fields
subcomponent additional.fields
op_id additional.fields
vcenter_uuid_1 additional.fields
vcenter_uuid_2 additional.fields
object_lookup_method additional.fields
conn_id additional.fields
performed_action additional.fields
login_time additional.fields
open_connections additional.fields
total_connections additional.fields
channel_id additional.fields
line_number additional.fields
vc_event_desc additional.fields
uid additional.fields
euid additional.fields
ruser additional.fields
tty additional.fields
tenant additional.fields
duration_ms additional.fields
provider additional.fields
provider_type additional.fields
response_flag additional.fields
http_path additional.fields
unknown_metric_1 additional.fields
unknown_metric_2 additional.fields
sequence_id additional.fields
syslog_facility_code additional.fields
syslog_severity_code additional.fields
syslog_severity additional.fields
syslog_pri additional.fields
syslog_facility additional.fields
logstash.collect.timestamp additional.fields
logstash.ingest.timestamp additional.fields
logstash.process.timestamp additional.fields
logstash.irm_site additional.fields
logstash.irm_environment additional.fields
logstash.irm_region additional.fields
agent.id additional.fields
agent.ephemeral_id additional.fields
ecs.version additional.fields
input.type additional.fields

Referenz zu Delta-UDM-Zuordnungen

Am 15. September 2026 hat Google SecOps eine neue Version des VMware vCenter-Parsers veröffentlicht, die Änderungen an der Zuordnung von VMware vCenter-Logfeldern zu UDM-Feldern enthält.

Delta der Logfeldzuordnung

In der folgenden Tabelle ist das Mapping-Delta für VMware vCenter-Log-zu-UDM-Felder aufgeführt, die vor dem 15. September 2026 und danach verfügbar waren (in den Spalten Altes Mapping bzw. Aktuelles Mapping):

Logfeld Alte Zuordnung Aktuelle Zuordnung Änderungsgrund
appname target.application principal.application Das Tool wird als das Tool betrachtet, das die Aktion durch den Nutzer initiiert. Es ist also die primäre Anwendung, aus der das Ereignis stammt, und nicht das Ziel, auf das sich die Aktion bezieht.
auth_user principal.user.userid target.user.userid Dies ist ein Nutzer-Log-in-Ereignis, auf das reagiert wird.
logstash.process.host target.hostname additional.fields Dieses Feld wird von der Logstash-Pipeline hinzugefügt. Gibt den Hostnamen des Servers an, auf dem der Logstash-Prozess ausgeführt wird. Dieser ist Teil der Infrastruktur für die Protokollerfassung. Dieser Host ist nicht die Quelle des Ereignisses selbst, sondern ein Vermittler, der das Log verarbeitet.
username target.user.userid principal.user.userid Diese Nutzer-ID gehört zur Quelle des Ereignisses und nicht zum Ziel.
domain target.administrative_domain principal.administrative_domain Diese Domain gehört zur Quelle des Ereignisses und nicht zum Ziel.
resource.labels.project_id src.cloud.project.id src.resource_ancestors.product_object_id Das vorherige Feld wird nicht mehr unterstützt.
target_app target.application principal.application Das Log beschreibt speziell ein internes Single Sign-On.
process additional.fields principal.application Besser geeignet.
app target.application principal.application Das Log beschreibt speziell ein internes Single Sign-On.
@fields.privatecloud_id principal.cloud.project.id principal.resource_ancestors.product_object_id Vorheriges Feld wird nicht mehr unterstützt.
@fields.privatecloud_name principal.cloud.project.name principal.resource_ancestors.name Vorheriges Feld wird nicht mehr unterstützt.
@fields.facility principal.resource.type principal.resource.resource_subtype Vorheriges Feld wird nicht mehr unterstützt.
Client target.labels target.user.attribute.labels Vorheriges Feld wird nicht mehr unterstützt.
kv_msg1.ctladdr intermediary.labels intermediary.user.attribute.labels Vorheriges Feld wird nicht mehr unterstützt.
kv_msg1.get_error intermediary.labels intermediary.user.attribute.labels Vorheriges Feld wird nicht mehr unterstützt.
resource.type src.labels src.user.attribute.labels Vorheriges Feld wird nicht mehr unterstützt.
admin principal.user.attribute.labels principal.resource.attribute.labels Vorheriges Feld wird nicht mehr unterstützt.
role target.user.role_name target.user.attribute.roles Vorheriges Feld wird nicht mehr unterstützt.
syslog_host Nicht zugeordnet target.hostname Neu hinzugefügte Feldzuordnung.
log.source.address Nicht zugeordnet intermediary.ip,
intermediary.port		 Neu hinzugefügte Feldzuordnung.
agent.type Nicht zugeordnet observer.application Neu hinzugefügte Feldzuordnung.
agent.version Nicht zugeordnet intermediary.platform_version Neu hinzugefügte Feldzuordnung.
pid Nicht zugeordnet target.process.pid Neu hinzugefügte Feldzuordnung.
temp_host Nicht zugeordnet intermediary.hostname Neu hinzugefügte Feldzuordnung.
port Nicht zugeordnet intermediary.port Neu hinzugefügte Feldzuordnung.
inter_hostname Nicht zugeordnet intermediary.hostname Neu hinzugefügte Feldzuordnung.
tgt_user Nicht zugeordnet target.user.userid Neu hinzugefügte Feldzuordnung.
tgt_domain Nicht zugeordnet target.administrative_domain Neu hinzugefügte Feldzuordnung.
alarm_target Nicht zugeordnet about.resource.name Neu hinzugefügte Feldzuordnung.
prin_app Nicht zugeordnet principal.application Neu hinzugefügte Feldzuordnung.
dest_ip Nicht zugeordnet target.ip Neu hinzugefügte Feldzuordnung.
dest_port Nicht zugeordnet target.port Neu hinzugefügte Feldzuordnung.
error_message Nicht zugeordnet security_result.summary Neu hinzugefügte Feldzuordnung.
error_code Nicht zugeordnet security_result.detection_fields Neu hinzugefügte Feldzuordnung.
function Nicht zugeordnet security_result.detection_fields Neu hinzugefügte Feldzuordnung.
thread_id Nicht zugeordnet principal.resource.attribute.labels Neu hinzugefügte Feldzuordnung.
obj_p Nicht zugeordnet additional.fields Neu hinzugefügte Feldzuordnung.
obj_h Nicht zugeordnet additional.fields Neu hinzugefügte Feldzuordnung.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten