‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים מ-VMware vCenter

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני VMware vCenter ב-Google Security Operations באמצעות סוכן Bindplane.

‫VMware vCenter היא פלטפורמה לניהול שרתים שיוצרת הודעות JSON ו-syslog לפעולות של מכונות וירטואליות, ניהול מארחים, אימות ושינויים בהגדרות.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין שרת VMware vCenter
אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישה עם הרשאות לממשק המשתמש של VMware vCenter Server Management באינטרנט

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

‫Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vcenter:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vcenter_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vcenter

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)
הגדרת הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/vmware_vcenter:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VCENTER
    raw_log_field: body
```

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת syslog ב-VMware vCenter

נכנסים לממשק המשתמש של vCenter Server Management באינטרנט.
עוברים אל Syslog > Forwarding Configuration (הגדרת העברה של Syslog).
לוחצים על Configure כדי ליצור הגדרת העברה חדשה.
מספקים את פרטי ההגדרה הבאים:
- כתובת השרת: מזינים את כתובת ה-IP של סוכן Bindplane.
- פרוטוקול: בוחרים באפשרות UDP.
- יציאה: מזינים את מספר היציאה של סוכן Bindplane (לדוגמה, 514).
לוחצים על Save.
לוחצים על שליחת הודעת בדיקה כדי לאמת את ההגדרה.

טבלת מיפוי UDM

בטבלה הבאה מפורטים מיפויי השדות של יומני VMware vCenter ל-UDM:

שדה ביומן	מיפוי UDM
`Access Mask`	`principal.process.access_mask`
`Account Domain`	`principal.administrative_domain`
`Account Name`	`target.user.userid`
`AccessControlRuleAction`	`security_result.action`
`AccessControlRuleName`	`security_result.rule_name`
`ACPolicy`	`security_result.rule_labels`
`admin`	`principal.resource.attribute.labels`
`agent.hostname`	`principal.hostname`, `principal.asset.hostname`
`agent.type`	`observer.application`
`agent.version`	`intermediary.platform_version`
`alarm_target`	`about.resource.name`
`api_call_method`	`metadata.product_event_type`
`app`	`principal.application`
`ApplicationProtocol`	`network.application_protocol`
`appname`	`principal.application`
`auth_date_time`	`metadata.collected_timestamp`
`auth_user`	`target.user.userid`
`Authentication Package`	`security_result.about.resource.name`
`basedn_group_iden`	`target.user.group_identifiers`
`bytes_received`	`network.received_bytes`
`bytes_sent`	`network.sent_bytes`
`Client`	`target.user.attribute.labels`
`Client Address`	`principal.ip`
`Client Port`	`principal.port`
`client_ip`	`principal.ip`, `principal.asset.ip`
`client_port`	`principal.port`
`ClientVersion`	`target.platform_version`
`cmd`	`target.process.command_line`
`ConnectionID`	`security_result.about.labels`
`cor_id`	`metadata.product_log_id`
`data_center`	`target.location.name`
`datacenter`	`target.location.name`
`desc`	`metadata.description`
`description_data`	`metadata.description`
`dest_ip`	`target.ip`, `target.asset.ip`
`dest_port`	`target.port`
`DeviceUUID`	`metadata.product_log_id`
`domain`	`principal.administrative_domain`
`dstip`	`target.ip`, `target.asset.ip`
`EgressZone`	`target.location.name`
`error_code`	`security_result.detection_fields`
`error_message`	`security_result.summary`
`event_name`	`metadata.product_event_type`
`eventid`	`metadata.product_event_type`
`EventPriority`	`security_result.severity`, `security_result.severity_details`
`@fields.company_name`	`principal.user.company_name`
`@fields.facility`	`principal.resource.resource_subtype`
`@fields.host`	`principal.hostname`, `principal.asset.hostname`
`@fields.privatecloud_id`	`principal.resource_ancestors.product_object_id`
`@fields.privatecloud_name`	`principal.resource_ancestors.name`
`@fields.procid`	`principal.process.pid`
`@fields.region_id`	`principal.location.country_or_region`
`file_path`	`target.process.file.full_path`
`file_type`	`network.http.response_headers`
`FirstPacketSecond`	`security_result.about.labels`
`f_path`	`target.file.full_path`
`function`	`security_result.detection_fields`
`hmethod`	`network.http.method`
`host.architecture`	`principal.asset.hardware`
`host.id`	`observer.asset_id`
`host.ip`	`principal.ip`, `principal.asset.ip`
`host.mac`	`principal.mac`
`host.os.kernel`	`principal.platform_patch_level`
`host.os.platform`	`target.platform`
`host.os.version`	`principal.platform_version`
`host_ip`	`principal.ip`, `principal.asset.ip`
`http_method`	`network.http.method`
`HTTPResponse`	`network.http.response_code`
`http_version`	`network.tls.version_protocol`
`i_ip`	`intermediary.ip`, `intermediary.asset.ip`
`i_port`	`intermediary.port`
`IngressZone`	`principal.location.name`
`InitiatorBytes`	`network.sent_bytes`
`InitiatorPackets`	`network.sent_packets`
`insertId`	`metadata.product_log_id`
`InstanceId`	`target.asset_id`
`inter_host_name`	`intermediary.hostname`
`inter_ip`	`intermediary.ip`
`inter_port`	`target.port`
`intermediary_ip`	`intermediary.ip`
`intermediary_port`	`intermediary.port`
`ip`	`target.ip`, `target.asset.ip`
`ips`	`principal.ip`, `principal.asset.ip`
`jsonPayload.appname`	`security_result.detection_fields`
`jsonPayload.facility`	`security_result.detection_fields`
`jsonPayload.hostname`	`principal.hostname`, `principal.asset.hostname`
`jsonPayload.message`	`security_result.detection_fields`
`jsonPayload.priority`	`security_result.detection_fields`
`jsonPayload.version`	`security_result.detection_fields`
`kv_msg1.cipher`	`network.tls.cipher`
`kv_msg1.ctladdr`	`intermediary.user.attribute.labels`
`kv_msg1.daemon`	`security_result.about.labels`
`kv_msg1.from`	`network.email.from`
`kv_msg1.get_error`	`intermediary.user.attribute.labels`
`kv_msg1.msgid`	`network.email.mail_id`
`kv_msg1.proto`	`security_result.about.labels`
`kv_msg1.size`	`network.sent_bytes`
`kv_msg1.stat`	`security_result.summary`
`kv_msg1.to`	`network.email.to`
`kv_msg1.verify`	`security_result.description`, `security_result.action`
`kv_msg1.version`	`network.tls.version`
`labels.log_type`	`metadata.product_event_type`
`labels.net.host.ip`	`principal.ip`, `principal.asset.ip`
`labels.net.host.port`	`principal.port`
`labels.net.peer.ip`	`intermediary.ip`, `intermediary.asset.ip`, `target.ip`, `target.asset.ip`
`labels.net.peer.port`	`intermediary.port`, `target.port`
`labels.net.transport`	`network.ip_protocol`
`level`	`security_result.severity`, `security_result.severity_details`
`level_name`	`security_result.severity`, `security_result.severity_details`
`local_address_1`	`observer.ip`
`local_address_2`	`observer.ip`
`local_port_1`	`observer.port`
`log.file.path`	`target.process.file.full_path`
`log.source.address`	`intermediary.ip`, `intermediary.port`
`log.syslog.severity.name`	`security_result.severity_details`
`log_id`	`metadata.product_log_id`
`log_level`	`security_result.severity`, `security_result.severity_details`
`logName`	`security_result.category_details`
`Logon Account`	`principal.user.userid`
`logstash.irm_site`	`target.location.name`
`logstash.process.host`	`additional.fields`
`mail_from`	`network.email.from`
`mail_to`	`network.email.to`
`msg`	`metadata.description`
`name`	`about.group.group_display_name`
`namespace`	`principal.namespace`
`NAPPolicy`	`security_result.rule_labels`
`o_ip`	`observer.ip`, `observer.asset.ip`
`o_port`	`observer.port`
`obj_h`	`additional.fields`
`obj_p`	`additional.fields`
`p_ip`	`principal.ip`, `principal.asset.ip`
`p_log_id`	`metadata.product_log_id`
`p_port`	`principal.port`
`p_user_id`	`principal.user.userid`
`p_vm_name`	`target.resource.name`
`parsable_message`	`metadata.description`
`pid`	`target.process.pid`
`port`	`intermediary.port`
`ppid`	`principal.process.pid`
`prin_app`	`principal.application`
`prin_domain`	`principal.administrative_domain`
`prin_name`	`principal.resource.attribute.labels`
`prin_pid`	`principal.process.pid`
`principal_email`	`principal.user.email_addresses`
`principal_ip1`	`principal.ip`, `principal.asset.ip`
`principal_ip2`	`principal.ip`, `principal.asset.ip`
`principal_port`	`principal.port`
`priority`	`security_result.severity`, `security_result.severity_details`
`process`	`principal.application`
`process_id`	`principal.process.pid`
`product_event_type`	`metadata.product_event_type`
`program`	`principal.application`
`Protocol`	`network.ip_protocol`
`providername`	`principal.application`
`r_bytes`	`network.received_bytes`
`r_name`	`principal.resource.name`
`ReferencedHost`	`target.hostname`, `target.asset.hostname`
`Relative Target Name`	`target.file.full_path`
`relay`	`intermediary.hostname`, `intermediary.ip`
`request_path`	`target.url`
`resource.labels.project_id`	`src.resource_ancestors.product_object_id`
`resource.type`	`src.user.attribute.labels`
`resource_name`	`target.resource.name`
`ResponderBytes`	`network.received_bytes`
`ResponderPackets`	`network.received_packets`
`response_code`	`network.http.response_code`
`response_details`	`target.resource.attribute.labels`
`role`	`target.user.attribute.roles`
`s_bytes`	`network.sent_bytes`
`sec_desc`	`security_result.description`
`Security ID`	`target.user.windows_sid`
`security_result_action_detail`	`security_result.action_details`
`server_name`	`target.hostname`, `target.asset.hostname`
`session_id`	`network.session_id`
`severity`	`security_result.severity`, `security_result.severity_details`
`severity_data`	`security_result.severity`, `security_result.severity_details`
`Share Name`	`target.resource.name`
`sid`	`about.group.windows_sid`
`Source Network Address`	`principal.ip`
`Source Port`	`principal.port`
`source_port`	`principal.port`
`src_ip`	`principal.ip`
`srcip`	`principal.ip`, `principal.asset.ip`
`ssh_proto`	`network.application_protocol`
`summary`	`security_result.summary`
`syslog_host`	`target.hostname`, `target.asset.hostname`
`t_ip`	`target.ip`, `target.asset.ip`
`t_port`	`target.port`
`t_url`	`target.url`
`tags`	`additional.fields`
`principal_app`	`principal.application`
`target_domain`	`target.administrative_domain`
`target_host`	`target.hostname`, `target.asset.hostname`
`target_ip1`	`target.ip`, `target.asset.ip`
`target_ip2`	`target.ip`, `target.asset.ip`
`target_port`	`target.port`
`target_userid`	`target.user.userid`
`temp_host`	`intermediary.hostname`
`tgt_domain`	`target.administrative_domain`
`tgt_user`	`target.user.userid`
`thread_id`	`principal.resource.attribute.labels`
`tls_cipher`	`network.tls.cipher`
`type`	`metadata.product_event_type`
`upn_name`	`intermediary.url`
`upstream_ip`	`target.ip`, `target.asset.ip`
`upstream_port`	`target.port`
`URL`	`target.url`
`User`	`security_result.summary`
`user`	`target.user.userid`, `principal.user.userid`
`User ID`	`target.user.userid`
`user_id`	`principal.user.userid`
`UserAgent`	`network.http.user_agent`, `network.http.parsed_user_agent`
`username`	`principal.user.userid`
`usrName`	`target.user.userid`
`vc_event_obj_id`	`target.asset.asset_id`
`vc_event_severity`	`security_result.severity`, `security_result.severity_details`
`vc_username`	`target.user.userid`
`ver_proto`	`network.tls.version`
`version`	`metadata.product_version`
`@version`	`principal.platform_version`
`vpxd_some_id`	`additional.fields`
`LEEF_version`	`additional.fields`
`ICMPType`	`additional.fields`
`ICMPCode`	`additional.fields`
`IngressInterface`	`additional.fields`
`EgressInterface`	`additional.fields`
`WebApplication`	`additional.fields`
`DNSQuery`	`additional.fields`
`DNSRecordType`	`additional.fields`
`DNSResponseType`	`additional.fields`
`DNS_TTL`	`additional.fields`
`ApplicationProtocol`	`additional.fields`
`service.type`	`additional.fields`
`log.syslog.facility.code`	`additional.fields`
`log.syslog.facility.name`	`additional.fields`
`log.syslog.severity.code`	`additional.fields`
`log.syslog.priority`	`additional.fields`
`host.os.name`	`additional.fields`
`host.os.build`	`additional.fields`
`labels.plugin_id`	`additional.fields`
`opID`	`additional.fields`
`sub`	`additional.fields`
`api_invocations`	`additional.fields`
`vc_event_cat_0`	`additional.fields`
`vc_event_cat_1`	`additional.fields`
`vc_event_chain_id`	`additional.fields`
`vc_event_obj_name`	`additional.fields`
`vc_event_obj_type`	`additional.fields`
`p_log_id_repeat`	`additional.fields`
`sys_priority`	`additional.fields`
`facility`	`additional.fields`
`originator`	`additional.fields`
`originator_id`	`additional.fields`
`subsystem`	`additional.fields`
`request_timestamp`	`additional.fields`
`response_flags`	`additional.fields`
`duration_total_ms`	`additional.fields`
`duration_upstream_connect_ms`	`additional.fields`
`duration_response_tx_ms`	`additional.fields`
`local_port_2`	`additional.fields`
`proc_id`	`additional.fields`
`eventid_label`	`additional.fields`
`Logger_Name`	`additional.fields`
`subcomponent`	`additional.fields`
`op_id`	`additional.fields`
`vcenter_uuid_1`	`additional.fields`
`vcenter_uuid_2`	`additional.fields`
`object_lookup_method`	`additional.fields`
`conn_id`	`additional.fields`
`performed_action`	`additional.fields`
`login_time`	`additional.fields`
`open_connections`	`additional.fields`
`total_connections`	`additional.fields`
`channel_id`	`additional.fields`
`line_number`	`additional.fields`
`vc_event_desc`	`additional.fields`
`uid`	`additional.fields`
`euid`	`additional.fields`
`ruser`	`additional.fields`
`tty`	`additional.fields`
`tenant`	`additional.fields`
`duration_ms`	`additional.fields`
`provider`	`additional.fields`
`provider_type`	`additional.fields`
`response_flag`	`additional.fields`
`http_path`	`additional.fields`
`unknown_metric_1`	`additional.fields`
`unknown_metric_2`	`additional.fields`
`sequence_id`	`additional.fields`
`syslog_facility_code`	`additional.fields`
`syslog_severity_code`	`additional.fields`
`syslog_severity`	`additional.fields`
`syslog_pri`	`additional.fields`
`syslog_facility`	`additional.fields`
`logstash.collect.timestamp`	`additional.fields`
`logstash.ingest.timestamp`	`additional.fields`
`logstash.process.timestamp`	`additional.fields`
`logstash.irm_site`	`additional.fields`
`logstash.irm_environment`	`additional.fields`
`logstash.irm_region`	`additional.fields`
`agent.id`	`additional.fields`
`agent.ephemeral_id`	`additional.fields`
`ecs.version`	`additional.fields`
`input.type`	`additional.fields`

הפניה לדלתא של מיפוי UDM

ב-15 בספטמבר 2026, Google SecOps השיקה גרסה חדשה של מנתח VMware vCenter, שכוללת שינויים במיפוי של שדות היומן של VMware vCenter לשדות UDM.

דלתא של מיפוי שדות ביומן

בטבלה הבאה מפורטים השינויים במיפוי של שדות היומן של VMware vCenter ל-UDM שנחשפו לפני 15 בספטמבר 2026 ואחריו (מופיעים בעמודות מיפוי ישן ומיפוי נוכחי בהתאמה):

שדה ביומן	מיפוי ישן	המיפוי הנוכחי	הסיבה לשינוי
`appname`	`target.application`	`principal.application`	הכלי הזה נחשב לכלי שיוזם את הפעולה של המשתמש, ולכן הוא האפליקציה העיקרית שממנה מגיע האירוע, ולא היעד שבו מתבצעת הפעולה.
`auth_user`	`principal.user.userid`	`target.user.userid`	זהו אירוע של התחברות משתמש, שמתבצעת לגביו פעולה.
`logstash.process.host`	`target.hostname`	`additional.fields`	השדה הזה מתווסף על ידי צינור Logstash. הוא מציין את שם המארח של השרת שבו פועל תהליך Logstash, שהוא חלק מהתשתית לאיסוף היומנים. המארח הזה הוא לא המקור של האירוע עצמו, אלא גורם מתווך שמבצע עיבוד של היומן.
`username`	`target.user.userid`	`principal.user.userid`	מזהה המשתמש הזה שייך למקור האירוע ולא ליעד.
`domain`	`target.administrative_domain`	`principal.administrative_domain`	הדומיין הזה שייך למקור האירוע ולא ליעד.
`resource.labels.project_id`	`src.cloud.project.id`	`src.resource_ancestors.product_object_id`	השדה הקודם הוצא משימוש.
`target_app`	`target.application`	`principal.application`	היומן מתאר באופן ספציפי כניסה פנימית יחידה (SSO).
`process`	`additional.fields`	`principal.application`	מתאים יותר.
`app`	`target.application`	`principal.application`	היומן מתאר באופן ספציפי כניסה פנימית יחידה (SSO).
`@fields.privatecloud_id`	`principal.cloud.project.id`	`principal.resource_ancestors.product_object_id`	השדה הקודם הוצא משימוש.
`@fields.privatecloud_name`	`principal.cloud.project.name`	`principal.resource_ancestors.name`	השדה הקודם הוצא משימוש.
`@fields.facility`	`principal.resource.type`	`principal.resource.resource_subtype`	השדה הקודם הוצא משימוש.
`Client`	`target.labels`	`target.user.attribute.labels`	השדה הקודם הוצא משימוש.
`kv_msg1.ctladdr`	`intermediary.labels`	`intermediary.user.attribute.labels`	השדה הקודם הוצא משימוש.
`kv_msg1.get_error`	`intermediary.labels`	`intermediary.user.attribute.labels`	השדה הקודם הוצא משימוש.
`resource.type`	`src.labels`	`src.user.attribute.labels`	השדה הקודם הוצא משימוש.
`admin`	`principal.user.attribute.labels`	`principal.resource.attribute.labels`	השדה הקודם הוצא משימוש.
`role`	`target.user.role_name`	`target.user.attribute.roles`	השדה הקודם הוצא משימוש.
`syslog_host`	לא ממופות	`target.hostname`	מיפוי שדות שנוסף לאחרונה.
`log.source.address`	לא ממופות	`intermediary.ip`, `intermediary.port`	מיפוי שדות שנוסף לאחרונה.
`agent.type`	לא ממופות	`observer.application`	מיפוי שדות שנוסף לאחרונה.
`agent.version`	לא ממופות	`intermediary.platform_version`	מיפוי שדות שנוסף לאחרונה.
`pid`	לא ממופות	`target.process.pid`	מיפוי שדות שנוסף לאחרונה.
`temp_host`	לא ממופות	`intermediary.hostname`	מיפוי שדות שנוסף לאחרונה.
`port`	לא ממופות	`intermediary.port`	מיפוי שדות שנוסף לאחרונה.
`inter_hostname`	לא ממופות	`intermediary.hostname`	מיפוי שדות שנוסף לאחרונה.
`tgt_user`	לא ממופות	`target.user.userid`	מיפוי שדות שנוסף לאחרונה.
`tgt_domain`	לא ממופות	`target.administrative_domain`	מיפוי שדות שנוסף לאחרונה.
`alarm_target`	לא ממופות	`about.resource.name`	מיפוי שדות שנוסף לאחרונה.
`prin_app`	לא ממופות	`principal.application`	מיפוי שדות שנוסף לאחרונה.
`dest_ip`	לא ממופות	`target.ip`	מיפוי שדות שנוסף לאחרונה.
`dest_port`	לא ממופות	`target.port`	מיפוי שדות שנוסף לאחרונה.
`error_message`	לא ממופות	`security_result.summary`	מיפוי שדות שנוסף לאחרונה.
`error_code`	לא ממופות	`security_result.detection_fields`	מיפוי שדות שנוסף לאחרונה.
`function`	לא ממופות	`security_result.detection_fields`	מיפוי שדות שנוסף לאחרונה.
`thread_id`	לא ממופות	`principal.resource.attribute.labels`	מיפוי שדות שנוסף לאחרונה.
`obj_p`	לא ממופות	`additional.fields`	מיפוי שדות שנוסף לאחרונה.
`obj_h`	לא ממופות	`additional.fields`	מיפוי שדות חדש שנוסף.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.