איסוף יומנים של VMware Aria Suite (לשעבר VMware vRealize Suite)

נתמך ב:

Google SecOps SIEM

במדריך הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של VMware Aria Suite (לשעבר VMware vRealize Suite) באמצעות Bindplane.

‫VMware Aria Suite (לשעבר VMware vRealize Suite, עכשיו זמין כחלק מ-VMware Cloud Foundation ו-vSphere Foundation) היא פלטפורמה לניהול ענן שמספקת ניהול תפעול, אוטומציה, ניתוח יומנים ונראות רשת לסביבות היברידיות ורב-ענניות. הכלי מנתח את ההודעות ב-syslog באמצעות דפוסי grok שמבוססים על השדה msg_type, ממפה אותם למודל הנתונים המאוחד (UDM) ומעשיר את הנתונים במידע על הרשת, בפרטי משתמש ובמאפייני משאבים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין סביבת VMware Aria Suite
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• הרשאת אדמין ל-VMware Aria Operations (או VMware Aria Suite)

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.

3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/vmware_vrealize:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VMWARE_VREALIZE
          raw_log_field: body
  
  service:
      pipelines:
          logs/vmware_vrealize_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/vmware_vrealize
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:

    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:

    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps

  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:

    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • לרשימה המלאה של נקודות קצה אזוריות

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:

     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

     sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ב-VMware Aria Operations

1. נכנסים לממשק המשתמש באינטרנט של VMware Aria Operations.
2. עוברים אל ניהול > ניהול > הגדרות של הודעות יוצאות.
3. לוחצים על הוספה.
4. בתפריט הנפתח Plugin Type, בוחרים באפשרות Syslog.

5. מספקים את פרטי ההגדרה הבאים:

   • שם המכונה: מזינים שם ייחודי לזיהוי היעד של ה-syslog (לדוגמה, Chronicle-Bindplane).
   • Node: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות UDP.

6. לוחצים על Test כדי לאמת את החיבור לסוכן Bindplane.

7. לוחצים על שמירה כדי להחיל את הגדרות ה-syslog של הדואר היוצא.

   הערה: כדי למנוע בעיות בניתוח חותמות הזמן, חשוב לוודא ש-VMware Aria Operations מוגדר לשליחת יומנים באזור הזמן UTC.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
actorDomain	principal.hostname	הערך של actorDomain מהיומן הגולמי ממופה לשדה UDM.
actorId	principal.resource.attribute.labels.key	המחרוזת "actorId" מוקצית למפתח.
actorId	principal.resource.attribute.labels.value	הערך של actorId מיומן הגולמי מוקצה לערך.
actorId	additional.fields.key	המחרוזת actorId מוקצית למפתח.
actorId	additional.fields.value.string_value	הערך של actorId מהיומן הגולמי מוקצה לערך.
actorUserName	principal.user.userid	הערך של actorUserName מהיומן הגולמי ממופה לשדה UDM.
actorUuid	principal.resource.attribute.labels.key	המחרוזת actorUuid מוקצית למפתח.
actorUuid	principal.resource.attribute.labels.value	הערך של actorUuid מהיומן הגולמי מוקצה לערך.
actorUuid	additional.fields.key	המחרוזת actorUuid מוקצית למפתח.
actorUuid	additional.fields.value.string_value	הערך של actorUuid מיומן הגולמי מוקצה לערך.
all_request_headers.sec-ch-ua-platform	principal.platform	הערך נגזר מ-all_request_headers.sec-ch-ua-platform. אם הוא מכיל את הערך win או windows (לא תלוי אותיות רישיות או קטנות), הערך הוא WINDOWS. אם הוא מכיל את המחרוזת Mac (לא תלוי אותיות רישיות), הערך הוא MAC. אם הוא מכיל את המחרוזת 'lin' או 'linux' (לא תלוי באותיות רישיות), הערך הוא 'LINUX'.
all_request_headers.X-Requested-With	network.application_protocol	אם הערך מכיל את המחרוזת 'http' (לא תלוית-רישיות), הערך מוגדר כ-'HTTP'.
automation_tag	metadata.product_event_type	הערך של automation_tag מהיומן הגולמי ממופה לשדה UDM.
client_ip	principal.ip	הערך של client_ip מיומן הגולמי ממופה לשדה UDM.
client_src_port	principal.port	הערך של client_src_port מהיומן הגולמי ממופה לשדה UDM.
comp	about.resource.attribute.labels.key	המחרוזת "Component" מוקצית למפתח.
comp	about.resource.attribute.labels.value	הערך של comp מיומן הגולמי משויך לערך.
compression	additional.fields.key	המחרוזת 'דחיסה' מוקצית למפתח.
compression	additional.fields.value.string_value	ערך הדחיסה מהיומן הגולמי מוקצה לערך.
data	about.resource.attribute.labels.key	הלוגיקה תלויה ב-msg_type. אם msg_type הוא Vpxa,‏ Hostd או VSANMGMTSVC, שדה הנתונים מנותח באמצעות צמדי מפתח/ערך, ומפתחות ספציפיים (כמו opID,‏ sub) ממופים אל about.resource.attribute.labels. אם הערך של msg_type הוא "SWITCHING",‏ "FABRIC",‏ "MONITORING",‏ "SYSTEM",‏ "ROUTING",‏ "LOAD",‏ "nsx",‏ "nestdb",‏ "cfgAgent",‏ "NSX" או "NSXV", שדה הנתונים מנותח לפי מפתחות כמו comp,‏ subcomp,‏ s2comp, שממופים לאחר מכן ל-about.resource.attribute.labels.
data	about.resource.attribute.labels.value	ראו את הלוגיקה של about.resource.attribute.labels.key.
data	security_result.description	אם msg_type הוא Vpxa,‏ Hostd או VSANMGMTSVC, ואחרי ניתוח הנתונים לצמדי מפתח/ערך, אם קיים שדה msg, הערך שלו מוקצה ל-security_result.description.
description	security_result.description	אם שדה התיאור קיים ביומן הגולמי, הערך שלו ממופה לשדה UDM.
deviceId	principal.resource.attribute.labels.key	המחרוזת deviceType מוקצית למפתח.
deviceId	principal.resource.attribute.labels.value	הערך של values.deviceType מיומן הגולמי משויך לערך.
deviceId	additional.fields.key	המחרוזת deviceType מוקצית למפתח.
deviceId	additional.fields.value.string_value	הערך של values.deviceType מהיומן הגולמי מוקצה לערך.
direction	network.direction	אם הערך הוא "OUT", הוא ממופה ל-"OUTBOUND". אם הערך הוא IN, הוא ממופה ל-INBOUND.
dst_ip	target.ip	הערך של dst_ip מיומן הגולמי ממופה לשדה UDM.
dst_port	target.port	הערך של dst_port מיומן הגולמי ממופה לשדה UDM.
event_source	principal.url	הערך של event_source מיומן הגולמי ממופה לשדה UDM.
headers_received_from_server.Access-Control-Allow-Origin	target.resource.attribute.labels.key	המחרוזת 'headers_received_from_server.Access-Control-Allow-Origin' מוקצית למפתח.
headers_received_from_server.Access-Control-Allow-Origin	target.resource.attribute.labels.value	הערך של headers_received_from_server.Access-Control-Allow-Origin מתוך היומן הגולמי מוקצה לערך.
headers_received_from_server.Content-Security-Policy	principal.resource.attribute.labels.key	המחרוזת 'headers_received_from_server.Content-Security-Policy' מוקצית למפתח.
headers_received_from_server.Content-Security-Policy	principal.resource.attribute.labels.value	הערך של headers_received_from_server.Content-Security-Policy מהיומן הגולמי מוקצה לערך.
headers_received_from_server.Cookie	target.resource.attribute.labels.key	המחרוזת 'headers_received_from_server.Cookie' מוקצית למפתח.
headers_received_from_server.Cookie	target.resource.attribute.labels.value	הערך של headers_sent_to_server.Cookie מיומן הגולמי מוקצה לערך.
headers_received_from_server.set-cookie	target.resource.attribute.labels.key	המחרוזת 'headers_received_from_server.set-cookie' מוקצית למפתח.
headers_received_from_server.set-cookie	target.resource.attribute.labels.value	הערך של headers_received_from_server.set-cookie מיומן הגולמי מוקצה לערך.
headers_sent_to_server.sec-ch-ua	principal.resource.attribute.labels.key	המחרוזת "headers_sent_to_server.sec-ch-ua" מוקצית למפתח.
headers_sent_to_server.sec-ch-ua	principal.resource.attribute.labels.value	הערך של headers_sent_to_server.sec-ch-ua מהיומן הגולמי מוקצה לערך.
headers_sent_to_server.X-CSRF-TOKEN	principal.resource.attribute.labels.key	המחרוזת "headers_sent_to_server.X-CSRF-TOKEN" מוקצית למפתח.
headers_sent_to_server.X-CSRF-TOKEN	principal.resource.attribute.labels.value	הערך של headers_sent_to_server.X-CSRF-TOKEN מהיומן הגולמי מוקצה לערך.
hostname	principal.hostname	הערך של שם המארח מיומן הגולמי ממופה לשדה UDM.
hostname	intermediary.hostname	הערך של שם המארח מהיומן הגולמי ממופה לשדה UDM.
host	principal.hostname	הערך של המארח מהיומן הגולמי ממופה לשדה UDM.
isLocal	additional.fields.key	המחרוזת isLocal מוקצית למפתח.
isLocal	additional.fields.value.string_value	הערך של isLocal מהיומן הגולמי מוקצה לערך.
json_data	Various fields within principal, target, additional, and security_result	השדה json_data מיומן הגולמי מנותח כ-JSON, והשדות שחולצו ממופים לשדות שונים ב-UDM על סמך השמות שלהם והלוגיקה של כלי הניתוח. זה כולל שדות כמו uuid,‏ tenantId,‏ actorId,‏ actorUserName,‏ actorDomain,‏ sourceIp,‏ objectName,‏ objectType,‏ objectId,‏ values.resourceType,‏ values.success ועוד.
kv_data	Various fields	השדה kv_data מנותח כצמדי מפתח/ערך, והשדות שחולצו ממופים לשדות שונים במודל UDM על סמך השמות שלהם והלוגיקה של כלי הניתוח.
level	security_result.severity	אם הערך הוא info (לא תלוי רישיות), הוא ממופה ל-INFORMATIONAL.
log_id	metadata.product_log_id	הערך של log_id מהיומן הגולמי ממופה לשדה UDM.
message	Various fields	שדה ההודעה הוא מקור הנתונים העיקרי, והוא עובר ניתוח מקיף באמצעות דפוסי grok כדי לחלץ שדות שונים כמו ts, ‏ hostname, ‏ msg_type, ‏ sub_msg ועוד. לאחר מכן, השדות שחולצו משמשים לאכלוס שדות שונים ב-UDM על סמך הלוגיקה של כלי הניתוח.
method	network.http.method	הערך של השיטה מהיומן הגולמי ממופה לשדה UDM.
msg	security_result.description	אם msg_type הוא Vpxa,‏ Hostd,‏ VSANMGMTSVC,‏ SWITCHING,‏ FABRIC,‏ ROUTING,‏ LOAD-BALANCER,‏ nsx,‏ nestdb,‏ cfgAgent,‏ NSX,‏ NSXV או Rhttpproxy, ואחרי ניתוח grok רלוונטי, אם השדה msg קיים, הערך שלו מוקצה ל-security_result.description. יש מקרים מיוחדים בלוגיקה הזו לתוכן ספציפי של הודעות, כמו "חיבור keepalive".
msg_type	metadata.product_event_type	אם msg_type הוא FIREWALL_PKTLOG או FIREWALL-PKTLOG, הערך שלו ממופה לשדה UDM.
objectName	target.resource.attribute.labels.key	המחרוזת objectName מוקצית למפתח.
objectName	target.resource.attribute.labels.value	הערך של objectName מהיומן הגולמי מוקצה לערך.
objectName	additional.fields.key	המחרוזת objectName מוקצית למפתח.
objectName	additional.fields.value.string_value	הערך של objectName מיומן הגולמי מוקצה לערך.
objectId	target.resource.attribute.labels.key	המחרוזת objectId מוקצית למפתח.
objectId	target.resource.attribute.labels.value	הערך של objectId מיומן הגולמי מוקצה לערך.
objectId	additional.fields.key	המחרוזת objectId מוקצית למפתח.
objectId	additional.fields.value.string_value	הערך של objectId מהיומן הגולמי מוקצה לערך.
objectType	target.resource.attribute.labels.key	המחרוזת objectType מוקצית למפתח.
objectType	target.resource.attribute.labels.value	הערך של objectType מיומן הגולמי מוקצה לערך.
objectType	additional.fields.key	המחרוזת objectType מוקצית למפתח.
objectType	additional.fields.value.string_value	הערך של objectType מהיומן הגולמי מוקצה לערך.
objectType	security_result.description	אם objectType הוא LAUNCH והערך של success הוא לא true, התיאור הוא 'ניסיון להפעלת האפליקציה הצליח'. אם objectType הוא LAUNCH_ERROR והערך של success הוא לא true, התיאור הוא User launched an application with an invalid request (המשתמש הפעיל אפליקציה עם בקשה לא חוקית).
opID	about.resource.attribute.labels.key	המחרוזת opId מוקצית למפתח.
opID	about.resource.attribute.labels.value	הערך של opID מהיומן הגולמי מוקצה לערך.
pool	additional.fields.key	המחרוזת pool מוקצית למפתח.
pool	additional.fields.value.string_value	הערך של המאגר מהיומן הגולמי מוקצה לערך.
pool_name	additional.fields.key	המחרוזת pool_name מוקצית למפתח.
pool_name	additional.fields.value.string_value	הערך של pool_name מיומן הגולמי משויך לערך.
protocol	network.ip_protocol	הערך של הפרוטוקול מיומן הגולמי מומר לאותיות רישיות וממופה לשדה UDM. אם הערך הוא "PROTO", הוא לא ממופה.
protocol	additional.fields.key	אם ערך הפרוטוקול הוא PROTO, המחרוזת ip_protocol מוקצית למפתח.
protocol	additional.fields.value.string_value	אם ערך הפרוטוקול הוא PROTO, הערך של הפרוטוקול מיומן הגולמי משויך לערך.
query_data	network.dns.questions.name	השדה query_data מנותח כדי לחלץ את question_name, שמופה לאחר מכן לשדה UDM.
query_data	network.dns.questions.type	השדה query_data מנותח כדי לחלץ את query_type, שממופה לאחר מכן לשדה UDM באמצעות חיפוש שנכלל מ-"dns_record_type.include".
query_data	network.dns.questions.class	השדה query_data מנותח כדי לחלץ את dns_class, שממופה לאחר מכן לשדה UDM באמצעות חיפוש שנכלל מ-"dns_query_class_mapping.include".
referer	principal.url	הערך של referer מהיומן הגולמי ממופה לשדה UDM.
request_content_type	additional.fields.key	המחרוזת request_content_type מוקצית למפתח.
request_content_type	additional.fields.value.string_value	הערך של request_content_type מיומן הרישום הגולמי מוקצה לערך.
request_state	additional.fields.key	המחרוזת request_state מוקצית למפתח.
request_state	additional.fields.value.string_value	הערך של request_state מהיומן הגולמי מוקצה לערך.
response_code	network.http.response_code	הערך של response_code או server_response_code מיומן הגולמי ממופה לשדה UDM.
response_content_type	additional.fields.key	המחרוזת request_content_type מוקצית למפתח.
response_content_type	additional.fields.value.string_value	הערך של response_content_type מיומן הגולמי מוקצה לערך.
rule_id	security_result.rule_id	הערך של rule_id מיומן הגולמי ממופה לשדה UDM.
s2comp	about.resource.attribute.labels.key	המחרוזת "S2-Component" מוקצית למפתח.
s2comp	about.resource.attribute.labels.value	הערך של s2comp מיומן הגולמי מוקצה לערך.
server_ip	target.ip	הערך של server_ip מיומן הגולמי ממופה לשדה UDM.
server_name	target.hostname	הערך של server_name מיומן הגולמי ממופה לשדה UDM.
server_response_code	network.http.response_code	הלוגיקה של response_code.
server_src_port	target.port	הערך של server_src_port מיומן הגולמי ממופה לשדה UDM.
service_engine	additional.fields.key	המחרוזת service_engine מוקצית למפתח.
service_engine	additional.fields.value.string_value	הערך של service_engine מהיומן הגולמי מוקצה לערך.
sourceIp	principal.ip	הערך של sourceIp מהיומן הגולמי ממופה לשדה UDM.
ssl_cipher	network.tls.cipher	הערך של ssl_cipher מיומן הגולמי ממופה לשדה UDM.
ssl_session_id	network.session_id	הערך של ssl_session_id מיומן הגולמי ממופה לשדה UDM.
ssl_version	network.tls.version_protocol	הערך של ssl_version מיומן הגולמי ממופה לשדה UDM.
sub	about.resource.attribute.labels.key	המחרוזת Sub Component (רכיב משנה) מוקצית למפתח.
sub	about.resource.attribute.labels.value	הערך של sub מיומן הגולמי משויך לערך.
subClusterUuid	additional.fields.key	המחרוזת "subClusterUuid" מוקצית למפתח.
subClusterUuid	additional.fields.value.string_value	הערך של subClusterUuid מהיומן הגולמי מוקצה לערך.
sub_msg	Various fields within principal, target, network, security_result, and about	הניתוח של השדה sub_msg משתנה בהתאם ל-msg_type. אפשר לנתח אותו כ-JSON באמצעות דפוסי grok או באמצעות צמדי מפתח/ערך. השדות שחולצו ממופים לשדות שונים ב-UDM על סמך השמות שלהם והלוגיקה של כלי הניתוח. זה כולל שדות כמו ip_type,‏ action,‏ rule_id,‏ direction,‏ protocol,‏ tcp_flag,‏ src_ip,‏ src_port,‏ dst_ip,‏ dst_port,‏ data,‏ msg ועוד.
subcomp	about.resource.attribute.labels.key	המחרוזת Sub Component (רכיב משנה) מוקצית למפתח.
subcomp	about.resource.attribute.labels.value	הערך של subcomp מיומן הגולמי משויך לערך.
tenantId	principal.resource.attribute.labels.key	המחרוזת "tenantId" מוקצית למפתח.
tenantId	principal.resource.attribute.labels.value	הערך של tenantId מיומן הגולמי מוקצה לערך.
tenantId	additional.fields.key	המחרוזת tenantId מוקצית למפתח.
tenantId	additional.fields.value.string_value	הערך של tenantId מהיומן הגולמי מוקצה לערך.
ts	metadata.event_timestamp	הערך של ts מיומן הגולמי מנותח כחותמת זמן וממופה לשדה UDM.
ts	timestamp	הערך של ts מיומן הגולמי מנותח כחותמת זמן וממופה לשדה UDM.
updateType	additional.fields.key	המחרוזת updateType מוקצית למפתח.
updateType	additional.fields.value.string_value	הערך של updateType מהיומן הגולמי מוקצה לערך.
uri_path	network.http.referral_url	הערך של uri_path מהיומן הגולמי ממופה לשדה UDM.
user_agent	network.http.user_agent	הערך של user_agent מהיומן הגולמי ממופה לשדה UDM.
user_agent	network.http.parsed_user_agent	הערך של user_agent מתוך היומן הגולמי מנותח כמחרוזת של סוכן משתמש וממופה לשדה UDM.
USER	principal.user.user_display_name	הערך USER מיומן הגולמי ממופה לשדה UDM.
values.actorExternalId	principal.resource.attribute.labels.key	המחרוזת actorExternalId מוקצית למפתח.
values.actorExternalId	principal.resource.attribute.labels.value	הערך של values.actorExternalId מהיומן הגולמי מוקצה לערך.
values.actorExternalId	additional.fields.key	המחרוזת actorExternalId מוקצית למפתח.
values.actorExternalId	additional.fields.value.string_value	הערך של values.actorExternalId מהיומן הגולמי מוקצה לערך.
values.deviceType	principal.resource.attribute.labels.key	המחרוזת deviceType מוקצית למפתח.
values.deviceType	principal.resource.attribute.labels.value	הערך של values.deviceType מיומן הגולמי משויך לערך.
values.deviceType	additional.fields.key	המחרוזת deviceType מוקצית למפתח.
values.deviceType	additional.fields.value.string_value	הערך של values.deviceType מהיומן הגולמי מוקצה לערך.
values.resourceType	principal.resource.resource_subtype	הערך של values.resourceType מהיומן הגולמי ממופה לשדה UDM. הערך של principal.resource.type הוא VIRTUAL_MACHINE.
values.success	security_result.action	אם הערך הוא "true" (לא תלוי-רישיות), הוא ממופה ל-"ALLOW". אם הערך הוא "false" (לא תלוי-רישיות), הוא ממופה ל-"BLOCK".
virtualservice	additional.fields.key	המחרוזת "virtualservice" מוקצית למפתח.
virtualservice	`additional.fields.value.string_value"	הערך של virtualservice מהיומן הגולמי מוקצה לערך.
vmw_vr_ops_appname	about.resource.attribute.labels.key	המחרוזת 'Ops AppName' מוקצית למפתח.
vmw_vr_ops_appname	about.resource.attribute.labels.value	הערך של vmw_vr_ops_appname מיומן הגולמי מוקצה לערך.
vmw_vr_ops_clustername	about.resource.attribute.labels.key	המחרוזת Ops ClusterName מוקצית למפתח.
vmw_vr_ops_clustername	about.resource.attribute.labels.value	הערך של vmw_vr_ops_clustername מיומן הגולמי מוקצה לערך.
vmw_vr_ops_logtype	about.resource.attribute.labels.key	המחרוזת Ops Logtype מוקצית למפתח.
`vmw_vr_ops_logtype"	about.resource.attribute.labels.value	הערך של vmw_vr_ops_logtype מהיומן הגולמי מוקצה לערך.
vmw_vr_ops_nodename	about.resource.attribute.labels.key	המחרוזת Ops NodeName מוקצית למפתח.
vmw_vr_ops_nodename	about.resource.attribute.labels.value	הערך של vmw_vr_ops_nodename מיומן הגולמי מוקצה לערך.
vs_name	additional.fields.key	המחרוזת vs_name מוקצית למפתח.
vs_name	additional.fields.value.string_value	הערך של vs_name מיומן הגולמי מוקצה לערך.
etag	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
request_length	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
server_response_length	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
server_conn_src_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
vs_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
persistent_session_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client_rtt	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_response_time_first_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_response_time_last_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_length	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_time_first_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_time_last_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
compression_percentage	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client_insights	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_headers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_ssl_session_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_connection_reused	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_headers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
servers_tried	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
jwt_log	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
max_ingress_latency_fe	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
conn_est_time_fe	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
max_ingress_latency_be	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
conn_est_time_be	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
isLocal", "updateType", "subClusterUuid", "valueLength	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.