Coletar registros do VMware Aria Suite (antigo VMware vRealize Suite)

Compatível com:

Neste guia, explicamos como ingerir registros do VMware Aria Suite (antigo VMware vRealize Suite) no Google Security Operations usando o Bindplane.

O VMware Aria Suite (antigo VMware vRealize Suite, já disponível como parte do VMware Cloud Foundation e do vSphere Foundation) é uma plataforma de gerenciamento de nuvem que oferece gerenciamento de operações, automação, análise de registros e visibilidade de rede para ambientes híbridos e multicloud. O analisador extrai campos de mensagens syslog usando padrões grok com base no campo msg_type, mapeia para o modelo de dados unificado (UDM) e enriquece os dados com informações de rede, detalhes do usuário e atributos de recursos.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o ambiente do VMware Aria Suite
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso administrativo ao VMware Aria Operations (ou VMware Aria Suite)

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

  • Novas implantações: use a API Chronicle (opção 1).
  • Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.
  1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
  2. Acesse IAM e administrador > Contas de serviço.
  3. Clique em Criar conta de serviço.
  4. Informe os seguintes detalhes de configuração:
    • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
    • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
  5. Clique em Criar e continuar.
  6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
  7. Clique em Continuar e depois em Concluído.
  8. Clique na conta de serviço que você criou e acesse a guia Chaves.
  9. Clique em Adicionar chave > Criar nova chave.
  10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
  11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do Bindplane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
  12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para a configuração do exportador.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de ingestão.
  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/vmware_vrealize:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VMWARE_VREALIZE
    raw_log_field: body

service:
  pipelines:
    logs/vmware_vrealize_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/vmware_vrealize

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados:

      • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
      • A porta 514 é a porta syslog padrão (requer raiz no Linux; use 1514 para não raiz)

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):

      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • customer_id: ID do cliente copiado do console do Google SecOps

    • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.

    • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.

    • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

  • Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/vmware_vrealize:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VMWARE_VREALIZE
    raw_log_field: body

Salve o arquivo de configuração.

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças:

Para reiniciar o agente do Bindplane no Linux:

  1. Execute este comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifique se o serviço está em execução:

    sudo systemctl status observiq-otel-collector

  3. Verifique se há erros nos registros:

    sudo journalctl -u observiq-otel-collector -f

Para reiniciar o agente do Bindplane em Windows:

  1. Escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:
    net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

  2. Verifique se o serviço está em execução:

      sc query observiq-otel-collector

  3. Verifique se há erros nos registros:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento de syslog no VMware Aria Operations

  1. Faça login na UI da Web do VMware Aria Operations.
  2. Acesse Administration > Management > Outbound Settings.
  3. Clique em Adicionar.
  4. No menu suspenso Tipo de plug-in, selecione Syslog.

  5. Informe os seguintes detalhes de configuração:

    • Nome da instância: insira um nome exclusivo para identificar o destino do syslog (por exemplo, Chronicle-Bindplane).
    • Nó: insira o endereço IP do host do agente do Bindplane (por exemplo, 192.168.1.100).
    • Porta: insira 514.
    • Protocolo: selecione UDP.

  6. Clique em Testar para verificar a conexão com o agente do Bindplane.

  7. Clique em Salvar para aplicar as configurações de syslog de saída.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
actorDomain principal.hostname O valor de actorDomain do registro bruto é mapeado para o campo do UDM.
actorId principal.resource.attribute.labels.key A string "actorId" é atribuída à chave.
actorId principal.resource.attribute.labels.value O valor de actorId do registro bruto é atribuído ao valor.
actorId additional.fields.key A string "actorId" é atribuída à chave.
actorId additional.fields.value.string_value O valor de actorId do registro bruto é atribuído ao valor.
actorUserName principal.user.userid O valor de "actorUserName" do registro bruto é mapeado para o campo do UDM.
actorUuid principal.resource.attribute.labels.key A string "actorUuid" é atribuída à chave.
actorUuid principal.resource.attribute.labels.value O valor de actorUuid do registro bruto é atribuído ao valor.
actorUuid additional.fields.key A string "actorUuid" é atribuída à chave.
actorUuid additional.fields.value.string_value O valor de actorUuid do registro bruto é atribuído ao valor.
all_request_headers.sec-ch-ua-platform principal.platform O valor é derivado de all_request_headers.sec-ch-ua-platform. Se contiver "win" ou "windows" (não diferencia maiúsculas de minúsculas), o valor será "WINDOWS". Se contiver "Mac" (não diferencia maiúsculas de minúsculas), o valor será "MAC". Se contiver "lin" ou "linux" (sem diferenciar maiúsculas de minúsculas), o valor será "LINUX".
all_request_headers.X-Requested-With network.application_protocol Se o valor contiver "http" (sem diferenciar maiúsculas de minúsculas), ele será definido como "HTTP".
automation_tag metadata.product_event_type O valor de automation_tag do registro bruto é mapeado para o campo do UDM.
client_ip principal.ip O valor de "client_ip" do registro bruto é mapeado para o campo do UDM.
client_src_port principal.port O valor de client_src_port do registro bruto é mapeado para o campo do UDM.
comp about.resource.attribute.labels.key A string "Component" é atribuída à chave.
comp about.resource.attribute.labels.value O valor de comp do registro bruto é atribuído ao valor.
compression additional.fields.key A string "compression" é atribuída à chave.
compression additional.fields.value.string_value O valor de compactação do registro bruto é atribuído ao valor.
data about.resource.attribute.labels.key A lógica depende de msg_type. Se msg_type for "Vpxa", "Hostd" ou "VSANMGMTSVC", o campo de dados será analisado usando pares de chave-valor, e chaves específicas (como opID, sub) serão mapeadas para about.resource.attribute.labels. Se msg_type for "SWITCHING", "FABRIC", "MONITORING", "SYSTEM", "ROUTING", "LOAD", "nsx", "nestdb", "cfgAgent", "NSX" ou "NSXV", o campo de dados será analisado em busca de chaves como comp, subcomp, s2comp, que serão mapeadas para about.resource.attribute.labels.
data about.resource.attribute.labels.value Consulte a lógica de about.resource.attribute.labels.key.
data security_result.description Se msg_type for "Vpxa", "Hostd" ou "VSANMGMTSVC" e, após analisar os dados em busca de pares de chave-valor, se houver um campo msg, o valor dele será atribuído a security_result.description.
description security_result.description Se o campo de descrição existir no registro bruto, o valor dele será mapeado para o campo da UDM.
deviceId principal.resource.attribute.labels.key A string "deviceType" é atribuída à chave.
deviceId principal.resource.attribute.labels.value O valor de values.deviceType do registro bruto é atribuído ao valor.
deviceId additional.fields.key A string "deviceType" é atribuída à chave.
deviceId additional.fields.value.string_value O valor de values.deviceType do registro bruto é atribuído ao valor.
direction network.direction Se o valor for "OUT", ele será mapeado para "OUTBOUND". Se for "IN", será mapeado como "INBOUND".
dst_ip target.ip O valor de dst_ip do registro bruto é mapeado para o campo do UDM.
dst_port target.port O valor de "dst_port" do registro bruto é mapeado para o campo UDM.
event_source principal.url O valor de event_source do registro bruto é mapeado para o campo do UDM.
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.key A string "headers_received_from_server.Access-Control-Allow-Origin" é atribuída à chave.
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.value O valor de headers_received_from_server.Access-Control-Allow-Origin do registro bruto é atribuído ao valor.
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.key A string "headers_received_from_server.Content-Security-Policy" é atribuída à chave.
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.value O valor de headers_received_from_server.Content-Security-Policy do registro bruto é atribuído ao valor.
headers_received_from_server.Cookie target.resource.attribute.labels.key A string "headers_received_from_server.Cookie" é atribuída à chave.
headers_received_from_server.Cookie target.resource.attribute.labels.value O valor de headers_sent_to_server.Cookie do registro bruto é atribuído ao valor.
headers_received_from_server.set-cookie target.resource.attribute.labels.key A string "headers_received_from_server.set-cookie" é atribuída à chave.
headers_received_from_server.set-cookie target.resource.attribute.labels.value O valor de headers_received_from_server.set-cookie do registro bruto é atribuído ao valor.
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.key A string "headers_sent_to_server.sec-ch-ua" é atribuída à chave.
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.value O valor de headers_sent_to_server.sec-ch-ua do registro bruto é atribuído ao valor.
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.key A string "headers_sent_to_server.X-CSRF-TOKEN" é atribuída à chave.
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.value O valor de headers_sent_to_server.X-CSRF-TOKEN do registro bruto é atribuído ao valor.
hostname principal.hostname O valor do nome do host do registro bruto é mapeado para o campo do UDM.
hostname intermediary.hostname O valor do nome do host do registro bruto é mapeado para o campo do UDM.
host principal.hostname O valor do host do registro bruto é mapeado para o campo da UDM.
isLocal additional.fields.key A string "isLocal" é atribuída à chave.
isLocal additional.fields.value.string_value O valor de isLocal do registro bruto é atribuído ao valor.
json_data Various fields within principal, target, additional, and security_result O campo de dados json_data do registro bruto é analisado como JSON, e os campos extraídos são mapeados para vários campos da UDM com base nos nomes e na lógica do analisador. Isso inclui campos como uuid, tenantId, actorId, actorUserName, actorDomain, sourceIp, objectName, objectType, objectId, values.resourceType, values.success e outros.
kv_data Various fields O campo de dados "kv_data" é analisado como pares de chave-valor, e os campos extraídos são mapeados para vários campos da UDM com base nos nomes e na lógica do analisador.
level security_result.severity Se o valor for "info" (não diferencia maiúsculas de minúsculas), ele será mapeado para "INFORMATIONAL".
log_id metadata.product_log_id O valor de log_id do registro bruto é mapeado para o campo do UDM.
message Various fields O campo de mensagem é a principal fonte de dados e é analisado extensivamente usando padrões grok para extrair vários campos, como ts, hostname, msg_type, sub_msg e outros. Esses campos extraídos são usados para preencher diferentes campos do UDM com base na lógica do analisador.
method network.http.method O valor do método do registro bruto é mapeado para o campo do UDM.
msg security_result.description Se msg_type for "Vpxa", "Hostd", "VSANMGMTSVC", "SWITCHING", "FABRIC", "ROUTING", "LOAD-BALANCER", "nsx", "nestdb", "cfgAgent", "NSX", "NSXV" ou "Rhttpproxy", e depois de qualquer análise grok relevante, se o campo "msg" existir, o valor dele será atribuído a "security_result.description". Há casos especiais nessa lógica para conteúdo de mensagem específico, como "conexão keepalive".
msg_type metadata.product_event_type Se msg_type for "FIREWALL_PKTLOG" ou "FIREWALL-PKTLOG", o valor será mapeado para o campo do UDM.
objectName target.resource.attribute.labels.key A string "objectName" é atribuída à chave.
objectName target.resource.attribute.labels.value O valor de "objectName" do registro bruto é atribuído ao valor.
objectName additional.fields.key A string "objectName" é atribuída à chave.
objectName additional.fields.value.string_value O valor de objectName do registro bruto é atribuído ao valor.
objectId target.resource.attribute.labels.key A string "objectId" é atribuída à chave.
objectId target.resource.attribute.labels.value O valor de "objectId" do registro bruto é atribuído ao valor.
objectId additional.fields.key A string "objectId" é atribuída à chave.
objectId additional.fields.value.string_value O valor de objectId do registro bruto é atribuído ao valor.
objectType target.resource.attribute.labels.key A string "objectType" é atribuída à chave.
objectType target.resource.attribute.labels.value O valor de "objectType" do registro bruto é atribuído ao valor.
objectType additional.fields.key A string "objectType" é atribuída à chave.
objectType additional.fields.value.string_value O valor de objectType do registro bruto é atribuído ao valor.
objectType security_result.description Se "objectType" for "LAUNCH" e "success" não for "true", a descrição será "A tentativa de inicialização do aplicativo foi bem-sucedida". Se objectType for "LAUNCH_ERROR" e success não for "true", a descrição será "O usuário iniciou um aplicativo com uma solicitação inválida".
opID about.resource.attribute.labels.key A string "opId" é atribuída à chave.
opID about.resource.attribute.labels.value O valor de opID do registro bruto é atribuído ao valor.
pool additional.fields.key A string "pool" é atribuída à chave.
pool additional.fields.value.string_value O valor do pool do registro bruto é atribuído ao valor.
pool_name additional.fields.key A string "pool_name" é atribuída à chave.
pool_name additional.fields.value.string_value O valor de pool_name do registro bruto é atribuído ao valor.
protocol network.ip_protocol O valor do protocolo do registro bruto é convertido para letras maiúsculas e mapeado para o campo da UDM. Se o valor for "PROTO", ele não será mapeado.
protocol additional.fields.key Se o valor do protocolo for "PROTO", a string "ip_protocol" será atribuída à chave.
protocol additional.fields.value.string_value Se o valor do protocolo for "PROTO", o valor do protocolo do registro bruto será atribuído ao valor.
query_data network.dns.questions.name O campo "query_data" é analisado para extrair o "question_name", que é mapeado para o campo da UDM.
query_data network.dns.questions.type O campo query_data é analisado para extrair o query_type, que é mapeado para o campo UDM usando uma pesquisa incluída em "dns_record_type.include".
query_data network.dns.questions.class O campo "query_data" é analisado para extrair a dns_class, que é mapeada para o campo da UDM usando uma pesquisa incluída em "dns_query_class_mapping.include".
referer principal.url O valor do referenciador do registro bruto é mapeado para o campo da UDM.
request_content_type additional.fields.key A string "request_content_type" é atribuída à chave.
request_content_type additional.fields.value.string_value O valor de request_content_type do registro bruto é atribuído ao valor.
request_state additional.fields.key A string "request_state" é atribuída à chave.
request_state additional.fields.value.string_value O valor de request_state do registro bruto é atribuído ao valor.
response_code network.http.response_code O valor de response_code ou server_response_code do registro bruto é mapeado para o campo do UDM.
response_content_type additional.fields.key A string "request_content_type" é atribuída à chave.
response_content_type additional.fields.value.string_value O valor de response_content_type do registro bruto é atribuído ao valor.
rule_id security_result.rule_id O valor de rule_id do registro bruto é mapeado para o campo do UDM.
s2comp about.resource.attribute.labels.key A string "S2-Component" é atribuída à chave.
s2comp about.resource.attribute.labels.value O valor de s2comp do registro bruto é atribuído ao valor.
server_ip target.ip O valor de server_ip do registro bruto é mapeado para o campo do UDM.
server_name target.hostname O valor de "server_name" do registro bruto é mapeado para o campo da UDM.
server_response_code network.http.response_code Consulte a lógica para response_code.
server_src_port target.port O valor de server_src_port do registro bruto é mapeado para o campo do UDM.
service_engine additional.fields.key A string "service_engine" é atribuída à chave.
service_engine additional.fields.value.string_value O valor de service_engine do registro bruto é atribuído ao valor.
sourceIp principal.ip O valor de "sourceIp" do registro bruto é mapeado para o campo da UDM.
ssl_cipher network.tls.cipher O valor de "ssl_cipher" do registro bruto é mapeado para o campo da UDM.
ssl_session_id network.session_id O valor de ssl_session_id do registro bruto é mapeado para o campo do UDM.
ssl_version network.tls.version_protocol O valor de ssl_version do registro bruto é mapeado para o campo do UDM.
sub about.resource.attribute.labels.key A string "Sub Component" é atribuída à chave.
sub about.resource.attribute.labels.value O valor de sub do registro bruto é atribuído ao valor.
subClusterUuid additional.fields.key A string "subClusterUuid" é atribuída à chave.
subClusterUuid additional.fields.value.string_value O valor de subClusterUuid do registro bruto é atribuído ao valor.
sub_msg Various fields within principal, target, network, security_result, and about O campo sub_msg é analisado de forma diferente com base no msg_type. Ele pode ser analisado como JSON, usando padrões grok ou pares de chave-valor. Os campos extraídos são mapeados para vários campos do UDM com base nos nomes e na lógica do analisador. Isso inclui campos como ip_type, action, rule_id, direction, protocol, tcp_flag, src_ip, src_port, dst_ip, dst_port, data, msg e outros.
subcomp about.resource.attribute.labels.key A string "Sub Component" é atribuída à chave.
subcomp about.resource.attribute.labels.value O valor de subcomp do registro bruto é atribuído ao valor.
tenantId principal.resource.attribute.labels.key A string "tenantId" é atribuída à chave.
tenantId principal.resource.attribute.labels.value O valor de tenantId do registro bruto é atribuído ao valor.
tenantId additional.fields.key A string "tenantId" é atribuída à chave.
tenantId additional.fields.value.string_value O valor de tenantId do registro bruto é atribuído ao valor.
ts metadata.event_timestamp O valor de "ts" do registro bruto é analisado como um carimbo de data/hora e mapeado para o campo da UDM.
ts timestamp O valor de "ts" do registro bruto é analisado como um carimbo de data/hora e mapeado para o campo da UDM.
updateType additional.fields.key A string "updateType" é atribuída à chave.
updateType additional.fields.value.string_value O valor de "updateType" do registro bruto é atribuído ao valor.
uri_path network.http.referral_url O valor de "uri_path" do registro bruto é mapeado para o campo da UDM.
user_agent network.http.user_agent O valor de "user_agent" do registro bruto é mapeado para o campo da UDM.
user_agent network.http.parsed_user_agent O valor de user_agent do registro bruto é analisado como uma string de user agent e mapeado para o campo da UDM.
USER principal.user.user_display_name O valor de USER do registro bruto é mapeado para o campo do UDM.
values.actorExternalId principal.resource.attribute.labels.key A string "actorExternalId" é atribuída à chave.
values.actorExternalId principal.resource.attribute.labels.value O valor de values.actorExternalId do registro bruto é atribuído ao valor.
values.actorExternalId additional.fields.key A string "actorExternalId" é atribuída à chave.
values.actorExternalId additional.fields.value.string_value O valor de values.actorExternalId do registro bruto é atribuído ao valor.
values.deviceType principal.resource.attribute.labels.key A string "deviceType" é atribuída à chave.
values.deviceType principal.resource.attribute.labels.value O valor de values.deviceType do registro bruto é atribuído ao valor.
values.deviceType additional.fields.key A string "deviceType" é atribuída à chave.
values.deviceType additional.fields.value.string_value O valor de values.deviceType do registro bruto é atribuído ao valor.
values.resourceType principal.resource.resource_subtype O valor de "values.resourceType" do registro bruto é mapeado para o campo da UDM. O principal.resource.type é definido como "VIRTUAL_MACHINE".
values.success security_result.action Se o valor for "true" (não diferencia maiúsculas de minúsculas), ele será mapeado como "ALLOW". Se for "false" (não diferencia maiúsculas de minúsculas), ele será mapeado para "BLOCK".
virtualservice additional.fields.key A string "virtualservice" é atribuída à chave.
virtualservice `additional.fields.value.string_value" O valor de "virtualservice" do registro bruto é atribuído ao valor.
vmw_vr_ops_appname about.resource.attribute.labels.key A string "Ops AppName" é atribuída à chave.
vmw_vr_ops_appname about.resource.attribute.labels.value O valor de vmw_vr_ops_appname do registro bruto é atribuído ao valor.
vmw_vr_ops_clustername about.resource.attribute.labels.key A string "Ops ClusterName" é atribuída à chave.
vmw_vr_ops_clustername about.resource.attribute.labels.value O valor de vmw_vr_ops_clustername do registro bruto é atribuído ao valor.
vmw_vr_ops_logtype about.resource.attribute.labels.key A string "Ops Logtype" é atribuída à chave.
`vmw_vr_ops_logtype" about.resource.attribute.labels.value O valor de vmw_vr_ops_logtype do registro bruto é atribuído ao valor.
vmw_vr_ops_nodename about.resource.attribute.labels.key A string "Ops NodeName" é atribuída à chave.
vmw_vr_ops_nodename about.resource.attribute.labels.value O valor de vmw_vr_ops_nodename do registro bruto é atribuído ao valor.
vs_name additional.fields.key A string "vs_name" é atribuída à chave.
vs_name additional.fields.value.string_value O valor de vs_name do registro bruto é atribuído ao valor.
etag event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
request_length event.idm.read_only_udm.network.sent_bytes Mapeado do registro de alterações
server_response_length event.idm.read_only_udm.network.received_bytes Mapeado do registro de alterações
server_conn_src_ip event.idm.read_only_udm.intermediary.ip Mapeado do registro de alterações
vs_ip event.idm.read_only_udm.intermediary.ip Mapeado do registro de alterações
persistent_session_id event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
client_rtt event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
server_response_time_first_byte event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
server_response_time_last_byte event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
response_length event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
response_time_first_byte event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
response_time_last_byte event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
compression_percentage event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
client_insights event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
request_headers event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
server_ssl_session_id event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
server_connection_reused event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
response_headers event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
request_id event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
servers_tried event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
jwt_log event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
max_ingress_latency_fe event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
conn_est_time_fe event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
max_ingress_latency_be event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
conn_est_time_be event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
isLocal", "updateType", "subClusterUuid", "valueLength event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.