Collecter les journaux VMware Aria Suite (anciennement VMware vRealize Suite)

Compatible avec :

Ce guide explique comment ingérer les journaux VMware Aria Suite (anciennement VMware vRealize Suite) dans Google Security Operations à l'aide de Bindplane.

VMware Aria Suite (anciennement VMware vRealize Suite, désormais disponible dans VMware Cloud Foundation et vSphere Foundation) est une plate-forme de gestion cloud qui fournit des fonctionnalités de gestion des opérations, d'automatisation, d'analyse des journaux et de visibilité du réseau pour les environnements hybrides et multicloud. L'analyseur extrait les champs des messages syslog à l'aide de modèles grok basés sur le champ msg_type, les mappe au modèle de données unifié (UDM) et enrichit les données avec des informations réseau, des détails sur l'utilisateur et des attributs de ressources.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et l'environnement VMware Aria Suite
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès administrateur à VMware Aria Operations (ou VMware Aria Suite)

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation de Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vrealize:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VREALIZE
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vrealize_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vrealize

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :

      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite un accès racine sous Linux ; utilisez 1514 pour un accès non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :

      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • customer_id : ID client copié depuis la console Google SecOps

    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.

    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.

    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vmware_vrealize:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VREALIZE
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent BindPlane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

      sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog dans VMware Aria Operations

  1. Connectez-vous à l'UI Web VMware Aria Operations.
  2. Accédez à Administration > Management > Outbound Settings (Administration > Gestion > Paramètres sortants).
  3. Cliquez sur Ajouter.
  4. Dans le menu déroulant Plugin Type (Type de plug-in), sélectionnez Syslog.

  5. Fournissez les informations de configuration suivantes :

    • Nom de l'instance : saisissez un nom unique pour identifier la destination syslog (par exemple, Chronicle-Bindplane).
    • Nœud : saisissez l'adresse IP de l'hôte de l'agent BindPlane (par exemple, 192.168.1.100).
    • Port : saisissez 514.
    • Protocole : sélectionnez UDP.

  6. Cliquez sur Tester pour vérifier la connexion à l'agent BindPlane.

  7. Cliquez sur Enregistrer pour appliquer les paramètres syslog sortants.

Table de mappage UDM

Champ du journal Mappage UDM Logique
actorDomain principal.hostname La valeur de actorDomain du journal brut est mappée au champ UDM.
actorId principal.resource.attribute.labels.key La chaîne "actorId" est attribuée à la clé.
actorId principal.resource.attribute.labels.value La valeur de actorId du journal brut est attribuée à la valeur.
actorId additional.fields.key La chaîne "actorId" est attribuée à la clé.
actorId additional.fields.value.string_value La valeur de actorId du journal brut est attribuée à la valeur.
actorUserName principal.user.userid La valeur de actorUserName du journal brut est mappée au champ UDM.
actorUuid principal.resource.attribute.labels.key La chaîne "actorUuid" est attribuée à la clé.
actorUuid principal.resource.attribute.labels.value La valeur de actorUuid du journal brut est attribuée à la valeur.
actorUuid additional.fields.key La chaîne "actorUuid" est attribuée à la clé.
actorUuid additional.fields.value.string_value La valeur de actorUuid du journal brut est attribuée à la valeur.
all_request_headers.sec-ch-ua-platform principal.platform La valeur est dérivée de all_request_headers.sec-ch-ua-platform. S'il contient "win" ou "windows" (non sensible à la casse), la valeur est "WINDOWS". Si elle contient "Mac" (non sensible à la casse), la valeur est "MAC". S'il contient "lin" ou "linux" (non sensible à la casse), la valeur est "LINUX".
all_request_headers.X-Requested-With network.application_protocol Si la valeur contient "http" (non sensible à la casse), la valeur est définie sur "HTTP".
automation_tag metadata.product_event_type La valeur de automation_tag du journal brut est mappée au champ UDM.
client_ip principal.ip La valeur de client_ip du journal brut est mappée au champ UDM.
client_src_port principal.port La valeur de client_src_port du journal brut est mappée au champ UDM.
comp about.resource.attribute.labels.key La chaîne "Component" est attribuée à la clé.
comp about.resource.attribute.labels.value La valeur de comp du journal brut est attribuée à la valeur.
compression additional.fields.key La chaîne "compression" est attribuée à la clé.
compression additional.fields.value.string_value La valeur de compression du journal brut est attribuée à la valeur.
data about.resource.attribute.labels.key La logique dépend de msg_type. Si msg_type est défini sur "Vpxa", "Hostd" ou "VSANMGMTSVC", le champ de données est analysé à l'aide de paires clé-valeur, et des clés spécifiques (comme opID et sub) sont mappées sur about.resource.attribute.labels. Si msg_type est "SWITCHING", "FABRIC", "MONITORING", "SYSTEM", "ROUTING", "LOAD", "nsx", "nestdb", "cfgAgent", "NSX" ou "NSXV", le champ de données est analysé pour rechercher des clés telles que comp, subcomp, s2comp, qui sont ensuite mappées à about.resource.attribute.labels.
data about.resource.attribute.labels.value Consultez la logique pour about.resource.attribute.labels.key.
data security_result.description Si msg_type est "Vpxa", "Hostd" ou "VSANMGMTSVC", et qu'après l'analyse des données pour les paires clé-valeur, un champ msg existe, sa valeur est attribuée à security_result.description.
description security_result.description Si le champ de description existe dans le journal brut, sa valeur est mappée au champ UDM.
deviceId principal.resource.attribute.labels.key La chaîne "deviceType" est attribuée à la clé.
deviceId principal.resource.attribute.labels.value La valeur de values.deviceType du journal brut est attribuée à la valeur.
deviceId additional.fields.key La chaîne "deviceType" est attribuée à la clé.
deviceId additional.fields.value.string_value La valeur de values.deviceType du journal brut est attribuée à la valeur.
direction network.direction Si la valeur est "OUT", elle est mappée sur "OUTBOUND". Si la valeur est "IN", elle est mappée sur "INBOUND".
dst_ip target.ip La valeur de dst_ip du journal brut est mappée au champ UDM.
dst_port target.port La valeur de dst_port du journal brut est mappée au champ UDM.
event_source principal.url La valeur de event_source du journal brut est mappée au champ UDM.
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.key La chaîne "headers_received_from_server.Access-Control-Allow-Origin" est attribuée à la clé.
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.value La valeur de headers_received_from_server.Access-Control-Allow-Origin du journal brut est attribuée à la valeur.
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.key La chaîne "headers_received_from_server.Content-Security-Policy" est attribuée à la clé.
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.value La valeur de headers_received_from_server.Content-Security-Policy du journal brut est attribuée à la valeur.
headers_received_from_server.Cookie target.resource.attribute.labels.key La chaîne "headers_received_from_server.Cookie" est attribuée à la clé.
headers_received_from_server.Cookie target.resource.attribute.labels.value La valeur de headers_sent_to_server.Cookie du journal brut est attribuée à la valeur.
headers_received_from_server.set-cookie target.resource.attribute.labels.key La chaîne "headers_received_from_server.set-cookie" est attribuée à la clé.
headers_received_from_server.set-cookie target.resource.attribute.labels.value La valeur de headers_received_from_server.set-cookie du journal brut est attribuée à la valeur.
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.key La chaîne "headers_sent_to_server.sec-ch-ua" est attribuée à la clé.
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.value La valeur de headers_sent_to_server.sec-ch-ua du journal brut est attribuée à la valeur.
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.key La chaîne "headers_sent_to_server.X-CSRF-TOKEN" est attribuée à la clé.
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.value La valeur de headers_sent_to_server.X-CSRF-TOKEN du journal brut est attribuée à la valeur.
hostname principal.hostname La valeur du nom d'hôte du journal brut est mappée sur le champ UDM.
hostname intermediary.hostname La valeur du nom d'hôte du journal brut est mappée au champ UDM.
host principal.hostname La valeur de l'hôte du journal brut est mappée au champ UDM.
isLocal additional.fields.key La chaîne "isLocal" est attribuée à la clé.
isLocal additional.fields.value.string_value La valeur de isLocal du journal brut est attribuée à la valeur.
json_data Various fields within principal, target, additional, and security_result Le champ de données json_data du journal brut est analysé au format JSON, et les champs extraits sont mappés à différents champs UDM en fonction de leur nom et de la logique de l'analyseur. Cela inclut des champs tels que uuid, tenantId, actorId, actorUserName, actorDomain, sourceIp, objectName, objectType, objectId, values.resourceType, values.success, etc.
kv_data Various fields Le champ kv_data est analysé en tant que paires clé-valeur, et les champs extraits sont mappés à différents champs UDM en fonction de leur nom et de la logique de l'analyseur.
level security_result.severity Si la valeur est "info" (non sensible à la casse), elle est mappée sur "INFORMATIONAL".
log_id metadata.product_log_id La valeur de log_id du journal brut est mappée au champ UDM.
message Various fields Le champ "message" est la principale source de données. Il est analysé de manière approfondie à l'aide de modèles grok pour extraire différents champs tels que ts, hostname, msg_type, sub_msg, etc. Ces champs extraits sont ensuite utilisés pour renseigner différents champs UDM en fonction de la logique de l'analyseur.
method network.http.method La valeur de la méthode du journal brut est mappée au champ UDM.
msg security_result.description Si msg_type est "Vpxa", "Hostd", "VSANMGMTSVC", "SWITCHING", "FABRIC", "ROUTING", "LOAD-BALANCER", "nsx", "nestdb", "cfgAgent", "NSX", "NSXV" ou "Rhttpproxy", et après toute analyse grok pertinente, si le champ msg existe, sa valeur est attribuée à security_result.description. Cette logique comporte des cas particuliers pour certains contenus de message, comme "keepalive connection".
msg_type metadata.product_event_type Si msg_type est "FIREWALL_PKTLOG" ou "FIREWALL-PKTLOG", sa valeur est mappée au champ UDM.
objectName target.resource.attribute.labels.key La chaîne "objectName" est attribuée à la clé.
objectName target.resource.attribute.labels.value La valeur de objectName du journal brut est attribuée à la valeur.
objectName additional.fields.key La chaîne "objectName" est attribuée à la clé.
objectName additional.fields.value.string_value La valeur de objectName du journal brut est attribuée à la valeur.
objectId target.resource.attribute.labels.key La chaîne "objectId" est attribuée à la clé.
objectId target.resource.attribute.labels.value La valeur de objectId du journal brut est attribuée à la valeur.
objectId additional.fields.key La chaîne "objectId" est attribuée à la clé.
objectId additional.fields.value.string_value La valeur objectId du journal brut est attribuée à la valeur.
objectType target.resource.attribute.labels.key La chaîne "objectType" est attribuée à la clé.
objectType target.resource.attribute.labels.value La valeur de objectType du journal brut est attribuée à la valeur.
objectType additional.fields.key La chaîne "objectType" est attribuée à la clé.
objectType additional.fields.value.string_value La valeur de objectType du journal brut est attribuée à la valeur.
objectType security_result.description Si objectType est défini sur "LAUNCH" et que la valeur de success n'est pas "true", la description est "application launch attempt was successful". Si objectType est "LAUNCH_ERROR" et que success n'est pas "true", la description est "L'utilisateur a lancé une application avec une requête non valide".
opID about.resource.attribute.labels.key La chaîne "opId" est attribuée à la clé.
opID about.resource.attribute.labels.value La valeur de opID du journal brut est attribuée à la valeur.
pool additional.fields.key La chaîne "pool" est attribuée à la clé.
pool additional.fields.value.string_value La valeur du pool du journal brut est attribuée à la valeur.
pool_name additional.fields.key La chaîne "pool_name" est attribuée à la clé.
pool_name additional.fields.value.string_value La valeur de pool_name du journal brut est attribuée à la valeur.
protocol network.ip_protocol La valeur du protocole du journal brut est convertie en majuscules et mappée au champ UDM. Si la valeur est "PROTO", elle n'est pas mappée.
protocol additional.fields.key Si la valeur du protocole est "PROTO", la chaîne "ip_protocol" est attribuée à la clé.
protocol additional.fields.value.string_value Si la valeur du protocole est "PROTO", la valeur du protocole du journal brut est attribuée à la valeur.
query_data network.dns.questions.name Le champ query_data est analysé pour extraire le champ question_name, qui est ensuite mappé au champ UDM.
query_data network.dns.questions.type Le champ query_data est analysé pour extraire le query_type, qui est ensuite mappé au champ UDM à l'aide d'une recherche incluse dans "dns_record_type.include".
query_data network.dns.questions.class Le champ query_data est analysé pour extraire dns_class, qui est ensuite mappé au champ UDM à l'aide d'une recherche incluse dans "dns_query_class_mapping.include".
referer principal.url La valeur du champ "referrer" du journal brut est mappée sur le champ UDM.
request_content_type additional.fields.key La chaîne "request_content_type" est attribuée à la clé.
request_content_type additional.fields.value.string_value La valeur de request_content_type du journal brut est attribuée à la valeur.
request_state additional.fields.key La chaîne "request_state" est attribuée à la clé.
request_state additional.fields.value.string_value La valeur de request_state du journal brut est attribuée à la valeur.
response_code network.http.response_code La valeur de response_code ou server_response_code du journal brut est mappée au champ UDM.
response_content_type additional.fields.key La chaîne "request_content_type" est attribuée à la clé.
response_content_type additional.fields.value.string_value La valeur de response_content_type du journal brut est attribuée à la valeur.
rule_id security_result.rule_id La valeur de rule_id du journal brut est mappée sur le champ UDM.
s2comp about.resource.attribute.labels.key La chaîne "S2-Component" est attribuée à la clé.
s2comp about.resource.attribute.labels.value La valeur de s2comp du journal brut est attribuée à la valeur.
server_ip target.ip La valeur de server_ip du journal brut est mappée au champ UDM.
server_name target.hostname La valeur de server_name du journal brut est mappée au champ UDM.
server_response_code network.http.response_code Consultez la logique pour response_code.
server_src_port target.port La valeur de server_src_port du journal brut est mappée sur le champ UDM.
service_engine additional.fields.key La chaîne "service_engine" est attribuée à la clé.
service_engine additional.fields.value.string_value La valeur de service_engine du journal brut est attribuée à la valeur.
sourceIp principal.ip La valeur de sourceIp du journal brut est mappée au champ UDM.
ssl_cipher network.tls.cipher La valeur de ssl_cipher du journal brut est mappée au champ UDM.
ssl_session_id network.session_id La valeur de ssl_session_id du journal brut est mappée au champ UDM.
ssl_version network.tls.version_protocol La valeur de ssl_version du journal brut est mappée au champ UDM.
sub about.resource.attribute.labels.key La chaîne "Sub Component" est attribuée à la clé.
sub about.resource.attribute.labels.value La valeur de "sub" du journal brut est attribuée à la valeur.
subClusterUuid additional.fields.key La chaîne "subClusterUuid" est attribuée à la clé.
subClusterUuid additional.fields.value.string_value La valeur de subClusterUuid du journal brut est attribuée à la valeur.
sub_msg Various fields within principal, target, network, security_result, and about Le champ sub_msg est analysé différemment en fonction de msg_type. Il peut être analysé au format JSON, à l'aide de modèles grok ou de paires clé/valeur. Les champs extraits sont ensuite mappés à différents champs UDM en fonction de leurs noms et de la logique de l'analyseur. Cela inclut des champs tels que ip_type, action, rule_id, direction, protocol, tcp_flag, src_ip, src_port, dst_ip, dst_port, data, msg, etc.
subcomp about.resource.attribute.labels.key La chaîne "Sub Component" est attribuée à la clé.
subcomp about.resource.attribute.labels.value La valeur de subcomp du journal brut est attribuée à la valeur.
tenantId principal.resource.attribute.labels.key La chaîne "tenantId" est attribuée à la clé.
tenantId principal.resource.attribute.labels.value La valeur tenantId du journal brut est attribuée à la valeur.
tenantId additional.fields.key La chaîne "tenantId" est attribuée à la clé.
tenantId additional.fields.value.string_value La valeur tenantId du journal brut est attribuée à la valeur.
ts metadata.event_timestamp La valeur de "ts" du journal brut est analysée en tant que code temporel et mappée au champ UDM.
ts timestamp La valeur de ts du journal brut est analysée en tant que code temporel et mappée au champ UDM.
updateType additional.fields.key La chaîne "updateType" est attribuée à la clé.
updateType additional.fields.value.string_value La valeur de updateType du journal brut est attribuée à la valeur.
uri_path network.http.referral_url La valeur de uri_path du journal brut est mappée au champ UDM.
user_agent network.http.user_agent La valeur de user_agent du journal brut est mappée au champ UDM.
user_agent network.http.parsed_user_agent La valeur de user_agent du journal brut est analysée en tant que chaîne d'agent utilisateur et mappée au champ UDM.
USER principal.user.user_display_name La valeur de USER du journal brut est mappée sur le champ UDM.
values.actorExternalId principal.resource.attribute.labels.key La chaîne "actorExternalId" est attribuée à la clé.
values.actorExternalId principal.resource.attribute.labels.value La valeur de values.actorExternalId du journal brut est attribuée à la valeur.
values.actorExternalId additional.fields.key La chaîne "actorExternalId" est attribuée à la clé.
values.actorExternalId additional.fields.value.string_value La valeur de values.actorExternalId du journal brut est attribuée à la valeur.
values.deviceType principal.resource.attribute.labels.key La chaîne "deviceType" est attribuée à la clé.
values.deviceType principal.resource.attribute.labels.value La valeur de values.deviceType du journal brut est attribuée à la valeur.
values.deviceType additional.fields.key La chaîne "deviceType" est attribuée à la clé.
values.deviceType additional.fields.value.string_value La valeur de values.deviceType du journal brut est attribuée à la valeur.
values.resourceType principal.resource.resource_subtype La valeur de values.resourceType du journal brut est mappée au champ UDM. "principal.resource.type" est défini sur "VIRTUAL_MACHINE".
values.success security_result.action Si la valeur est "true" (non sensible à la casse), elle est mappée sur "ALLOW". Si la valeur est "false" (non sensible à la casse), elle est mappée sur "BLOCK".
virtualservice additional.fields.key La chaîne "virtualservice" est attribuée à la clé.
virtualservice `additional.fields.value.string_value" La valeur de virtualservice du journal brut est attribuée à la valeur.
vmw_vr_ops_appname about.resource.attribute.labels.key La chaîne "Ops AppName" est attribuée à la clé.
vmw_vr_ops_appname about.resource.attribute.labels.value La valeur de vmw_vr_ops_appname du journal brut est attribuée à la valeur.
vmw_vr_ops_clustername about.resource.attribute.labels.key La chaîne "Ops ClusterName" est attribuée à la clé.
vmw_vr_ops_clustername about.resource.attribute.labels.value La valeur de vmw_vr_ops_clustername du journal brut est attribuée à la valeur.
vmw_vr_ops_logtype about.resource.attribute.labels.key La chaîne "Ops Logtype" est attribuée à la clé.
`vmw_vr_ops_logtype" about.resource.attribute.labels.value La valeur de vmw_vr_ops_logtype du journal brut est attribuée à la valeur.
vmw_vr_ops_nodename about.resource.attribute.labels.key La chaîne "Ops NodeName" est attribuée à la clé.
vmw_vr_ops_nodename about.resource.attribute.labels.value La valeur de vmw_vr_ops_nodename du journal brut est attribuée à la valeur.
vs_name additional.fields.key La chaîne "vs_name" est attribuée à la clé.
vs_name additional.fields.value.string_value La valeur de vs_name du journal brut est attribuée à la valeur.
etag event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
request_length event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
server_response_length event.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
server_conn_src_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
vs_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
persistent_session_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client_rtt event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
server_response_time_first_byte event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
server_response_time_last_byte event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
response_length event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
response_time_first_byte event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
response_time_last_byte event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
compression_percentage event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client_insights event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request_headers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
server_ssl_session_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
server_connection_reused event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
response_headers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
servers_tried event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
jwt_log event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
max_ingress_latency_fe event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
conn_est_time_fe event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
max_ingress_latency_be event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
conn_est_time_be event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
isLocal", "updateType", "subClusterUuid", "valueLength event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.