איסוף יומנים של VMware Aria Suite (לשעבר VMware vRealize Suite)

נתמך ב:

Google SecOps SIEM

במדריך הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של VMware Aria Suite (לשעבר VMware vRealize Suite) באמצעות Bindplane.

‫VMware Aria Suite (לשעבר VMware vRealize Suite, זמינה עכשיו כחלק מ-VMware Cloud Foundation ומ-vSphere Foundation) היא פלטפורמה לניהול ענן שמספקת ניהול תפעולי, אוטומציה, ניתוח של יומנים וניראות של הרשת לסביבות היברידיות ולסביבות עם כמה עננים. המנתח מחלץ שדות מהודעות syslog באמצעות תבניות grok שמבוססות על השדה msg_type, ממפה אותן למודל הנתונים המאוחד (UDM) ומעשיר את הנתונים במידע על הרשת, בפרטי המשתמשים ובמאפייני המשאבים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין סביבת VMware Aria Suite
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין ל-VMware Aria Operations (או ל-VMware Aria Suite)

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/vmware_vrealize:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VMWARE_VREALIZE
      raw_log_field: body
  
  service:
    pipelines:
      logs/vmware_vrealize_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/vmware_vrealize
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:

    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח בפורמט JSON של חשבון השירות (אפשרות 1):

    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps

  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.

  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.

  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/vmware_vrealize:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VMWARE_VREALIZE
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת פקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:

     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

     sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ב-VMware Aria Operations

1. נכנסים לממשק המשתמש באינטרנט של VMware Aria Operations.
2. עוברים אל Administration > Management > Outbound Settings.
3. לוחצים על הוספה.
4. בתפריט הנפתח Plugin Type, בוחרים באפשרות Syslog.

5. ממלאים את פרטי ההגדרה הבאים:

   • שם המכונה: מזינים שם ייחודי לזיהוי יעד ה-syslog (לדוגמה, Chronicle-Bindplane).
   • Node: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות UDP.

6. לוחצים על Test כדי לאמת את החיבור לסוכן Bindplane.

7. לוחצים על שמירה כדי להחיל את ההגדרות של יומן המערכת היוצא.

   הערה: כדי למנוע בעיות בניתוח חותמות זמן, ודאו ש-VMware Aria Operations מוגדר לשלוח יומנים באזור הזמן UTC.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
actorDomain	principal.hostname	הערך של actorDomain מיומן הגולמי ממופה לשדה UDM.
actorId	principal.resource.attribute.labels.key	המחרוזת "actorId" מוקצית למפתח.
actorId	principal.resource.attribute.labels.value	הערך של actorId מהיומן הגולמי מוקצה לערך.
actorId	additional.fields.key	המחרוזת "actorId" מוקצית למפתח.
actorId	additional.fields.value.string_value	הערך של actorId מהיומן הגולמי מוקצה לערך.
actorUserName	principal.user.userid	הערך של actorUserName מהיומן הגולמי ממופה לשדה UDM.
actorUuid	principal.resource.attribute.labels.key	המחרוזת "actorUuid" מוקצית למפתח.
actorUuid	principal.resource.attribute.labels.value	הערך של actorUuid מהיומן הגולמי מוקצה לערך.
actorUuid	additional.fields.key	המחרוזת actorUuid מוקצית למפתח.
actorUuid	additional.fields.value.string_value	הערך של actorUuid מיומן הגולמי מוקצה לערך.
all_request_headers.sec-ch-ua-platform	principal.platform	הערך נגזר מ-all_request_headers.sec-ch-ua-platform. אם הוא מכיל את הערך win או windows (לא תלוי אותיות רישיות או קטנות), הערך הוא WINDOWS. אם הוא מכיל את המחרוזת Mac (לא תלוי אותיות רישיות), הערך הוא MAC. אם הוא מכיל את המחרוזת "lin" או "linux" (לא תלוי-רישיות), הערך הוא "LINUX".
all_request_headers.X-Requested-With	network.application_protocol	אם הערך מכיל את המחרוזת 'http' (לא תלוית-רישיות), הערך מוגדר כ-'HTTP'.
automation_tag	metadata.product_event_type	הערך של automation_tag מהיומן הגולמי ממופה לשדה UDM.
client_ip	principal.ip	הערך של client_ip מיומן הגולמי ממופה לשדה UDM.
client_src_port	principal.port	הערך של client_src_port מהיומן הגולמי ממופה לשדה UDM.
comp	about.resource.attribute.labels.key	המחרוזת "Component" מוקצית למפתח.
comp	about.resource.attribute.labels.value	הערך של comp מהיומן הגולמי מוקצה לערך.
compression	additional.fields.key	המחרוזת "compression" מוקצית למפתח.
compression	additional.fields.value.string_value	ערך הדחיסה מהיומן הגולמי מוקצה לערך.
data	about.resource.attribute.labels.key	הלוגיקה תלויה ב-msg_type. אם הערך של msg_type הוא "Vpxa",‏ "Hostd" או "VSANMGMTSVC", שדה הנתונים מנותח באמצעות צמדי מפתח/ערך, ומפתחות ספציפיים (כמו opID,‏ sub) ממופים ל-about.resource.attribute.labels. אם msg_type הוא SWITCHING,‏ FABRIC,‏ MONITORING,‏ SYSTEM,‏ ROUTING,‏ LOAD,‏ nsx,‏ nestdb,‏ cfgAgent,‏ NSX או NSXV, שדה הנתונים מנותח למפתחות כמו comp,‏ subcomp,‏ s2comp, שממופים לאחר מכן ל-about.resource.attribute.labels.
data	about.resource.attribute.labels.value	הלוגיקה של about.resource.attribute.labels.key.
data	security_result.description	אם msg_type הוא Vpxa,‏ Hostd או VSANMGMTSVC, ואחרי ניתוח הנתונים לצמדי מפתח/ערך, אם קיים שדה msg, הערך שלו מוקצה ל-security_result.description.
description	security_result.description	אם שדה התיאור קיים ביומן הגולמי, הערך שלו ממופה לשדה ה-UDM.
deviceId	principal.resource.attribute.labels.key	המחרוזת "deviceType" מוקצית למפתח.
deviceId	principal.resource.attribute.labels.value	הערך של values.deviceType מיומן הגולמי משויך לערך.
deviceId	additional.fields.key	המחרוזת deviceType מוקצית למפתח.
deviceId	additional.fields.value.string_value	הערך של values.deviceType מהיומן הגולמי מוקצה לערך.
direction	network.direction	אם הערך הוא "OUT", הוא ממופה ל-"OUTBOUND". אם הערך הוא "IN", הוא ממופה ל-"INBOUND".
dst_ip	target.ip	הערך של dst_ip מהיומן הגולמי ממופה לשדה ה-UDM.
dst_port	target.port	הערך של dst_port מהיומן הגולמי ממופה לשדה UDM.
event_source	principal.url	הערך של event_source מיומן הגולמי ממופה לשדה UDM.
headers_received_from_server.Access-Control-Allow-Origin	target.resource.attribute.labels.key	המחרוזת 'headers_received_from_server.Access-Control-Allow-Origin' מוקצית למפתח.
headers_received_from_server.Access-Control-Allow-Origin	target.resource.attribute.labels.value	הערך של headers_received_from_server.Access-Control-Allow-Origin מתוך היומן הגולמי מוקצה לערך.
headers_received_from_server.Content-Security-Policy	principal.resource.attribute.labels.key	המחרוזת "headers_received_from_server.Content-Security-Policy" מוקצית למפתח.
headers_received_from_server.Content-Security-Policy	principal.resource.attribute.labels.value	הערך של headers_received_from_server.Content-Security-Policy מהיומן הגולמי מוקצה לערך.
headers_received_from_server.Cookie	target.resource.attribute.labels.key	המחרוזת "headers_received_from_server.Cookie" מוקצית למפתח.
headers_received_from_server.Cookie	target.resource.attribute.labels.value	הערך של headers_sent_to_server.Cookie מיומן הגולמי מוקצה לערך.
headers_received_from_server.set-cookie	target.resource.attribute.labels.key	המחרוזת "headers_received_from_server.set-cookie" מוקצית למפתח.
headers_received_from_server.set-cookie	target.resource.attribute.labels.value	הערך של headers_received_from_server.set-cookie מהיומן הגולמי מוקצה לערך.
headers_sent_to_server.sec-ch-ua	principal.resource.attribute.labels.key	המחרוזת headers_sent_to_server.sec-ch-ua מוקצית למפתח.
headers_sent_to_server.sec-ch-ua	principal.resource.attribute.labels.value	הערך של headers_sent_to_server.sec-ch-ua מיומן הגולמי מוקצה לערך.
headers_sent_to_server.X-CSRF-TOKEN	principal.resource.attribute.labels.key	המחרוזת 'headers_sent_to_server.X-CSRF-TOKEN' מוקצית למפתח.
headers_sent_to_server.X-CSRF-TOKEN	principal.resource.attribute.labels.value	הערך של headers_sent_to_server.X-CSRF-TOKEN מהיומן הגולמי מוקצה לערך.
hostname	principal.hostname	הערך של שם המארח מהיומן הגולמי ממופה לשדה UDM.
hostname	intermediary.hostname	הערך של שם המארח מיומן הגולמי ממופה לשדה UDM.
host	principal.hostname	הערך של המארח מהיומן הגולמי ממופה לשדה UDM.
isLocal	additional.fields.key	המחרוזת isLocal מוקצית למפתח.
isLocal	additional.fields.value.string_value	הערך של isLocal מיומן הגולמי מוקצה לערך.
json_data	Various fields within principal, target, additional, and security_result	השדה json_data מיומן הגולמי מנותח כ-JSON, והשדות שחולצו ממופים לשדות שונים ב-UDM על סמך השמות שלהם והלוגיקה של כלי הניתוח. זה כולל שדות כמו uuid,‏ tenantId,‏ actorId,‏ actorUserName,‏ actorDomain,‏ sourceIp,‏ objectName,‏ objectType,‏ objectId,‏ values.resourceType,‏ values.success ועוד.
kv_data	Various fields	השדה kv_data מנותח כצמדי מפתח/ערך, והשדות שחולצו ממופים לשדות שונים במודל UDM על סמך השמות שלהם והלוגיקה של כלי הניתוח.
level	security_result.severity	אם הערך הוא info (לא תלוי רישיות), הוא ממופה ל-INFORMATIONAL.
log_id	metadata.product_log_id	הערך של log_id מהיומן הגולמי ממופה לשדה UDM.
message	Various fields	שדה ההודעה הוא מקור הנתונים העיקרי, והוא מנותח באופן נרחב באמצעות דפוסי grok כדי לחלץ שדות שונים כמו ts, ‏ hostname, ‏ msg_type, ‏ sub_msg ועוד. השדות שחולצו משמשים לאכלוס שדות UDM שונים על סמך הלוגיקה של המנתח.
method	network.http.method	הערך של השיטה מהיומן הגולמי ממופה לשדה UDM.
msg	security_result.description	אם msg_type הוא "Vpxa",‏ "Hostd",‏ "VSANMGMTSVC",‏ "SWITCHING",‏ "FABRIC",‏ "ROUTING",‏ "LOAD-BALANCER",‏ "nsx",‏ "nestdb",‏ "cfgAgent",‏ "NSX",‏ "NSXV" או "Rhttpproxy", ואחרי כל ניתוח grok רלוונטי, אם השדה msg קיים, הערך שלו מוקצה ל-security_result.description. יש מקרים מיוחדים בלוגיקה הזו לתוכן ספציפי של הודעות, כמו "חיבור keepalive".
msg_type	metadata.product_event_type	אם msg_type הוא FIREWALL_PKTLOG או FIREWALL-PKTLOG, הערך שלו ממופה לשדה UDM.
objectName	target.resource.attribute.labels.key	המחרוזת "objectName" מוקצית למפתח.
objectName	target.resource.attribute.labels.value	הערך של objectName מהיומן הגולמי מוקצה לערך.
objectName	additional.fields.key	המחרוזת "objectName" מוקצית למפתח.
objectName	additional.fields.value.string_value	הערך של objectName מיומן הגולמי מוקצה לערך.
objectId	target.resource.attribute.labels.key	המחרוזת "objectId" מוקצית למפתח.
objectId	target.resource.attribute.labels.value	הערך של objectId מיומן הגולמי מוקצה לערך.
objectId	additional.fields.key	המחרוזת "objectId" מוקצית למפתח.
objectId	additional.fields.value.string_value	הערך של objectId מיומן הגולמי מוקצה לערך.
objectType	target.resource.attribute.labels.key	המחרוזת "objectType" מוקצית למפתח.
objectType	target.resource.attribute.labels.value	הערך של objectType מיומן הגולמי מוקצה לערך.
objectType	additional.fields.key	המחרוזת "objectType" מוקצית למפתח.
objectType	additional.fields.value.string_value	הערך של objectType מיומן הגולמי מוקצה לערך.
objectType	security_result.description	אם הערך של objectType הוא "LAUNCH" והערך של success הוא לא "true", התיאור הוא "application launch attempt was successful". אם objectType הוא LAUNCH_ERROR והערך של success הוא לא true, התיאור הוא User launched an application with an invalid request (המשתמש הפעיל אפליקציה עם בקשה לא חוקית).
opID	about.resource.attribute.labels.key	המחרוזת opId מוקצית למפתח.
opID	about.resource.attribute.labels.value	הערך של opID מיומן הגולמי מוקצה לערך.
pool	additional.fields.key	המחרוזת "pool" מוקצית למפתח.
pool	additional.fields.value.string_value	הערך של המאגר מהיומן הגולמי מוקצה לערך.
pool_name	additional.fields.key	המחרוזת pool_name מוקצית למפתח.
pool_name	additional.fields.value.string_value	הערך של pool_name מהיומן הגולמי מוקצה לערך.
protocol	network.ip_protocol	הערך של הפרוטוקול מיומן הגולמי מומר לאותיות רישיות וממופה לשדה UDM. אם הערך הוא PROTO, הוא לא ממופה.
protocol	additional.fields.key	אם הערך של הפרוטוקול הוא "PROTO", המחרוזת "ip_protocol" מוקצית למפתח.
protocol	additional.fields.value.string_value	אם הערך של הפרוטוקול הוא "PROTO", הערך של הפרוטוקול מהיומן הגולמי מוקצה לערך.
query_data	network.dns.questions.name	השדה query_data מנותח כדי לחלץ את question_name, שמופה לאחר מכן לשדה UDM.
query_data	network.dns.questions.type	השדה query_data מנותח כדי לחלץ את query_type, שממופה לאחר מכן לשדה UDM באמצעות חיפוש שנכלל מ-"dns_record_type.include".
query_data	network.dns.questions.class	השדה query_data מנותח כדי לחלץ את dns_class, שממופה לאחר מכן לשדה UDM באמצעות חיפוש שנכלל מ-"dns_query_class_mapping.include".
referer	principal.url	הערך של referer מהיומן הגולמי ממופה לשדה UDM.
request_content_type	additional.fields.key	המחרוזת request_content_type מוקצית למפתח.
request_content_type	additional.fields.value.string_value	הערך של request_content_type מהיומן הגולמי מוקצה לערך.
request_state	additional.fields.key	המחרוזת request_state מוקצית למפתח.
request_state	additional.fields.value.string_value	הערך של request_state מהיומן הגולמי מוקצה לערך.
response_code	network.http.response_code	הערך של response_code או server_response_code מהיומן הגולמי ממופה לשדה UDM.
response_content_type	additional.fields.key	המחרוזת request_content_type מוקצית למפתח.
response_content_type	additional.fields.value.string_value	הערך של response_content_type מהיומן הגולמי מוקצה לערך.
rule_id	security_result.rule_id	הערך של rule_id מיומן הגולמי ממופה לשדה UDM.
s2comp	about.resource.attribute.labels.key	המחרוזת "S2-Component" מוקצית למפתח.
s2comp	about.resource.attribute.labels.value	הערך של s2comp מהיומן הגולמי מוקצה לערך.
server_ip	target.ip	הערך של server_ip מהיומן הגולמי ממופה לשדה ה-UDM.
server_name	target.hostname	הערך של server_name מיומן הגולמי ממופה לשדה UDM.
server_response_code	network.http.response_code	הלוגיקה של response_code.
server_src_port	target.port	הערך של server_src_port מהיומן הגולמי ממופה לשדה UDM.
service_engine	additional.fields.key	המחרוזת service_engine מוקצית למפתח.
service_engine	additional.fields.value.string_value	הערך של service_engine מיומן הרישום הגולמי מוקצה לערך.
sourceIp	principal.ip	הערך של sourceIp מיומן הגולמי ממופה לשדה UDM.
ssl_cipher	network.tls.cipher	הערך של ssl_cipher מיומן הגולמי ממופה לשדה UDM.
ssl_session_id	network.session_id	הערך של ssl_session_id מהיומן הגולמי ממופה לשדה UDM.
ssl_version	network.tls.version_protocol	הערך של ssl_version מהיומן הגולמי ממופה לשדה ה-UDM.
sub	about.resource.attribute.labels.key	המחרוזת Sub Component (רכיב משנה) מוקצית למפתח.
sub	about.resource.attribute.labels.value	הערך של sub מהיומן הגולמי מוקצה לערך.
subClusterUuid	additional.fields.key	המחרוזת "subClusterUuid" מוקצית למפתח.
subClusterUuid	additional.fields.value.string_value	הערך של subClusterUuid מהיומן הגולמי מוקצה לערך.
sub_msg	Various fields within principal, target, network, security_result, and about	הניתוח של השדה sub_msg משתנה בהתאם ל-msg_type. אפשר לנתח אותו כ-JSON, באמצעות תבניות grok או באמצעות צמדי מפתח/ערך. לאחר מכן, השדות שחולצו ממופים לשדות UDM שונים על סמך השמות שלהם והלוגיקה של המנתח. השדות האלה כוללים את ip_type,‏ action,‏ rule_id,‏ direction,‏ protocol,‏ tcp_flag,‏ src_ip,‏ src_port,‏ dst_ip,‏ dst_port,‏ data,‏ msg ועוד.
subcomp	about.resource.attribute.labels.key	המחרוזת Sub Component (רכיב משנה) מוקצית למפתח.
subcomp	about.resource.attribute.labels.value	הערך של subcomp מהיומן הגולמי מוקצה לערך.
tenantId	principal.resource.attribute.labels.key	המחרוזת "tenantId" מוקצית למפתח.
tenantId	principal.resource.attribute.labels.value	הערך של tenantId מיומן הגולמי מוקצה לערך.
tenantId	additional.fields.key	המחרוזת "tenantId" מוקצית למפתח.
tenantId	additional.fields.value.string_value	הערך של tenantId מהיומן הגולמי מוקצה לערך.
ts	metadata.event_timestamp	הערך של ts מיומן הגולמי מנותח כחותמת זמן וממופה לשדה UDM.
ts	timestamp	הערך של ts מיומן הגולמי מנותח כחותמת זמן וממופה לשדה UDM.
updateType	additional.fields.key	המחרוזת updateType מוקצית למפתח.
updateType	additional.fields.value.string_value	הערך של updateType מהיומן הגולמי מוקצה לערך.
uri_path	network.http.referral_url	הערך של uri_path מהיומן הגולמי ממופה לשדה UDM.
user_agent	network.http.user_agent	הערך של user_agent מהיומן הגולמי ממופה לשדה UDM.
user_agent	network.http.parsed_user_agent	הערך של user_agent מתוך היומן הגולמי מנותח כמחרוזת של סוכן משתמש וממופה לשדה UDM.
USER	principal.user.user_display_name	הערך של USER מהיומן הגולמי ממופה לשדה UDM.
values.actorExternalId	principal.resource.attribute.labels.key	המחרוזת "actorExternalId" מוקצית למפתח.
values.actorExternalId	principal.resource.attribute.labels.value	הערך של values.actorExternalId מהיומן הגולמי מוקצה לערך.
values.actorExternalId	additional.fields.key	המחרוזת "actorExternalId" מוקצית למפתח.
values.actorExternalId	additional.fields.value.string_value	הערך של values.actorExternalId מהיומן הגולמי מוקצה לערך.
values.deviceType	principal.resource.attribute.labels.key	המחרוזת "deviceType" מוקצית למפתח.
values.deviceType	principal.resource.attribute.labels.value	הערך של values.deviceType מיומן הגולמי משויך לערך.
values.deviceType	additional.fields.key	המחרוזת deviceType מוקצית למפתח.
values.deviceType	additional.fields.value.string_value	הערך של values.deviceType מהיומן הגולמי מוקצה לערך.
values.resourceType	principal.resource.resource_subtype	הערך של values.resourceType מיומן הגולמי ממופה לשדה UDM. הערך של principal.resource.type מוגדר כ-"VIRTUAL_MACHINE".
values.success	security_result.action	אם הערך הוא true (לא תלוי באותיות רישיות), הוא ממופה ל-ALLOW. אם הערך הוא "false" (לא תלוי-רישיות), הוא ממופה ל-"BLOCK".
virtualservice	additional.fields.key	המחרוזת 'virtualservice' מוקצית למפתח.
virtualservice	`additional.fields.value.string_value"	הערך של virtualservice מיומן הגולמי מוקצה לערך.
vmw_vr_ops_appname	about.resource.attribute.labels.key	המחרוזת "Ops AppName" מוקצית למפתח.
vmw_vr_ops_appname	about.resource.attribute.labels.value	הערך של vmw_vr_ops_appname מהיומן הגולמי מוקצה לערך.
vmw_vr_ops_clustername	about.resource.attribute.labels.key	המחרוזת Ops ClusterName מוקצית למפתח.
vmw_vr_ops_clustername	about.resource.attribute.labels.value	הערך של vmw_vr_ops_clustername מיומן הגולמי מוקצה לערך.
vmw_vr_ops_logtype	about.resource.attribute.labels.key	המחרוזת Ops Logtype מוקצית למפתח.
`vmw_vr_ops_logtype"	about.resource.attribute.labels.value	הערך של vmw_vr_ops_logtype מהיומן הגולמי מוקצה לערך.
vmw_vr_ops_nodename	about.resource.attribute.labels.key	המחרוזת Ops NodeName מוקצית למפתח.
vmw_vr_ops_nodename	about.resource.attribute.labels.value	הערך של vmw_vr_ops_nodename מהיומן הגולמי מוקצה לערך.
vs_name	additional.fields.key	המחרוזת vs_name מוקצית למפתח.
vs_name	additional.fields.value.string_value	הערך של vs_name מהיומן הגולמי מוקצה לערך.
etag	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
request_length	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
server_response_length	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
server_conn_src_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
vs_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
persistent_session_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client_rtt	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_response_time_first_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_response_time_last_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_length	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_time_first_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_time_last_byte	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
compression_percentage	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client_insights	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_headers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_ssl_session_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
server_connection_reused	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_headers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
servers_tried	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
jwt_log	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
max_ingress_latency_fe	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
conn_est_time_fe	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
max_ingress_latency_be	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
conn_est_time_be	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
isLocal", "updateType", "subClusterUuid", "valueLength	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.