Recopila registros de Wiz
Compatible con:
Google SecOps
SIEM
En este documento, se explica cómo transferir registros de Wiz a Google Security Operations. El analizador transforma los registros con formato JSON de Wiz en un modelo de datos unificado (UDM). Primero, inicializa los valores predeterminados para los campos de UDM, luego analiza el mensaje JSON, extrae los campos relevantes, como la información del usuario, la ubicación, los detalles del dispositivo y los resultados de seguridad.
Wiz es una plataforma de seguridad en la nube que ofrece visibilidad sin agentes de extremo a extremo y priorización de riesgos en entornos de Google Cloud, AWS, Azure, OCI y Kubernetes.
Antes de comenzar
Asegúrate de cumplir con los siguientes requisitos previos:
- Instancia de Google SecOps
- Acceso con privilegios a Wiz
Obtén el ID de cliente de Google SecOps
- Accede a la consola de Google SecOps.
- Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.
- Copia y guarda el ID de cliente de la sección Detalles de la organización.
Configura la integración en Wiz
- Haz clic en la integración de Google SecOps (Chronicle) en tu usuario de Wiz.
- Como alternativa, accede a la IU web de Wiz.
- Ve a la página Conectarse a Wiz.
- Haz clic en Google SecOps (Chronicle).
- Ingresa un nombre para la integración de Google SecOps.
- Selecciona el Permiso.
- Ingresa tu ID de cliente de Google SecOps.
- Ingresa el ID del proyecto que contiene tu instancia de Google SecOps.
- Selecciona la ubicación en la que se almacenan tus datos de Google SecOps.
- Opcional: Ingresa el Espacio de nombres del entorno para identificar el dominio de datos (el valor predeterminado es
WIZ). - Sube el archivo de la clave de la cuenta de servicio (.JSON).
- Asegúrate de que se haya otorgado el rol
roles/chronicle.editora la cuenta de servicio en el proyecto superior y, luego, selecciona Otorgué el rol de editor de la API de Chronicle. - Haz clic en Guardar.
Agrega una regla de automatización para Google Security Operations
Agrega una regla de automatización para enviar los problemas o las detecciones de Wiz a Google SecOps cuando se cumplan los criterios especificados.
Para agregar una regla automática, haz lo siguiente:
- En la página Políticas > Reglas de automatización, haz clic en Agregar regla.
- Ingresa un Nombre corto, pero significativo.
- Opcional: Ingresa una Descripción más larga.
- Elige un permiso.
En Condiciones de la regla, selecciona cuándo se debe activar la regla:
- Activador Problemas
- Activador de detección
Elige el formato de datos Nativo.
- Nativo: Esta es la opción que recomienda Google. El formato de datos nativo es un esquema de Wiz que incluye campos como categoría, fuente de activación y proyectos.
- OCSF: Genera eventos en el formato de Open Cybersecurity Schema Framework.
Te recomendamos que selecciones la casilla de verificación Incluir la evidencia del problema.
Opcional: En Etiquetas, haz clic en Agregar.
IF: Haz clic en Agregar filtro y, luego, define los criterios de filtro. Repite este paso para cada filtro adicional.
THEN: Haz lo siguiente para activar la Automated Platform Action de la regla automática:
- Haz clic en Agregar acción.
- En la lista de integraciones configuradas, selecciona las que se aplican al activador que elegiste.
Opcional: Modifica la configuración de la acción predeterminada. Si la integración seleccionada admite la configuración de acciones, puedes hacer lo siguiente:
- Usa una plantilla de acción existente. Para ello, haz clic en Cargar desde plantilla, selecciona una plantilla de acción y, luego, haz clic en Usar plantilla.
- Modifica los parámetros de acción.
Para guardar las modificaciones, haz clic en Guardar como plantilla, ingresa un Nombre de plantilla, selecciona un Alcance del proyecto y haz clic en Guardar.
Opcional: Haz clic en Probar para validar la regla automática con la integración seleccionada y los datos de prueba.
Haz clic en Agregar acción.
Opcional: Vuelve a hacer clic en Agregar acción para agregar hasta diez acciones.
Te recomendamos que vayas al final de la página para obtener una vista previa de las coincidencias anteriores de los filtros de
IFseleccionados. Verifica que los resultados del filtro coincidan con tus expectativas.Haz clic en Agregar regla.
Tabla de asignación de UDM
La siguiente tabla se aplica al tipo de registro WIZ_IO. Para el tipo de registro OCSF, consulta Recopila registros de OCSF.
| Campo de registro | Asignación de UDM | Comentario |
|---|---|---|
account.cloudPlatform |
additional.fields (clave = "cloudAccount_cloudPlatform") |
Dentro del bucle for account in cloudAccounts |
account.externalId |
target.cloud.project.id |
Dentro del bucle for account in cloudAccounts |
account.id |
target.resource.attribute.labels (clave = "cloudAccount_id") |
Dentro del bucle for account in cloudAccounts |
account.name |
target.cloud.project.name |
Dentro del bucle for account in cloudAccounts |
action |
metadata.product_event_type |
Si has_user == "true" y action == "Login": metadata.event_type se establece en USER_LOGIN, extensions.auth.type se establece en AUTHTYPE_UNSPECIFIED |
actionParameters.clientID |
additional.fields (clave = "ID de cliente") |
|
actionParameters.clientID |
principal.group.product_object_id |
|
actionParameters.groups |
security_result.detection_fields (clave = "service_account_group") |
Itera a través del array. |
actionParameters.input.patch.portalVisitHistory.dateTime |
additional.fields (key = "dateTime {index}") |
Se itera dentro del array. |
actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels (key = "id {index}") |
Se itera dentro del array. |
actionParameters.input.patch.portalVisitHistory.name |
principal.resource.attribute.labels (key = "name {index}") |
Se itera dentro del array. |
actionParameters.input.patch.portalVisitHistory.resourceName |
principal.resource.attribute.labels (key = "resourceName {index}") |
Se itera dentro del array. |
actionParameters.input.patch.portalVisitHistory.resourceType |
principal.resource.attribute.labels (clave = "resourceType {index}") |
Se itera dentro del array. |
actionParameters.input.patch.portalVisitHistory.ruleType |
principal.resource.attribute.labels (clave = "ruleType {index}") |
Se itera dentro del array. |
actionParameters.input.patch.portalVisitHistory.type |
additional.fields (key = "type {index}") |
Se itera dentro del array. |
actionParameters.name |
target.user.user_display_name |
|
actionParameters.products |
security_result.detection_fields (clave = "service_account_product") |
Itera por el array y omite los valores vacíos o "*". |
actionParameters.role |
target.user.attribute.roles |
|
actionParameters.scopes |
security_result.detection_fields (key = "service_account_scope") |
Se itera y cada permiso se agrega como un par clave-valor independiente. |
actionParameters.selection.preferences |
additional.fields (clave = "Preferences") |
Iterados: los valores se agregan como una lista de cadenas. |
actionParameters.userEmail |
target.user.email_addresses |
|
actionParameters.userID |
target.user.userid |
|
actionParameters.userpoolID |
additional.fields (clave = "UserPool ID") |
|
actionParameters.userPoolType |
additional.fields (clave = "UserPool Type") |
|
actor.displayName |
target.user.user_display_name |
|
actor.id |
target.user.userid |
|
actors.externalId |
intermediary.ip, intermediary.asset.ip |
Itera a través de los actores. |
actors.id |
additional.fields (key = "actor_id: %{index}") |
Itera a través de los actores. |
actors.name |
target.ip, target.asset.ip |
Itera a través de los actores. |
actors.type |
target.resource.attribute.labels (key = "actor_type: %{index}") |
Itera a través de los actores. |
authenticationContext.authenticationProvider |
security_result.detection_fields (clave = "authenticationProvider") |
Se combinó en security_result.detection_fields. |
authenticationContext.credentialProvider |
security_result.detection_fields (clave = "credentialProvider") |
Se combinó en security_result.detection_fields. |
authenticationContext.credentialType |
extensions.auth.mechanism |
Lógica: "OTP" para SMS/EMAIL, "USERNAME_PASSWORD" para PASSWORD. |
authenticationContext.externalSessionId |
network.parent_session_id |
|
client.device |
principal.asset.type |
Se asigna de forma condicional según la regex. |
client.geographicalContext.city |
principal.location.city |
|
client.geographicalContext.country |
principal.location.country_or_region |
|
client.geographicalContext.geolocation.lat |
principal.location.region_latitude |
|
client.geographicalContext.geolocation.lon |
principal.location.region_longitude |
|
client.geographicalContext.postalCode |
additional.fields (clave = "Código postal") |
|
client.geographicalContext.state |
principal.location.state |
|
client.ipAddress |
principal.ip, principal.asset.ip |
|
client.userAgent.browser |
target.resource.attribute.labels (clave = "Navegador") |
|
client.userAgent.os |
principal.platform |
Se asigna a LINUX, WINDOWS o MAC. |
client.userAgent.rawUserAgent |
network.http.user_agent, network.http.parsed_user_agent |
|
control.description |
security_result.detection_fields (clave = "control_description") |
|
control.id |
security_result.detection_fields (clave = "control_id") |
|
control.IssueURL |
security_result.url_back_to_product |
|
control.name |
security_result.detection_fields (clave = "control_name") |
|
control.resolutionRecommendation |
security_result.detection_fields (clave = "control_resolution") |
|
control.risks |
security_result.detection_fields (clave = "risk {i}") |
Itera a través del array. |
control.securitySubCategories.category.framework.name |
security_result.detection_fields (clave = "framework_name") |
El bucle procesa el array de subcategorías. |
control.securitySubCategories.category.name |
security_result.category_details |
El bucle procesa el array de subcategorías. |
control.securitySubCategories.title |
security_result.summary |
El bucle procesa el array de subcategorías. |
control.severity |
security_result.severity |
Establece de forma condicional HIGH, MEDIUM o LOW. |
createdAt |
metadata.event_timestamp |
|
debugContext.debugData.behaviors |
security_result.description |
|
debugContext.debugData.deviceFingerprint |
target.asset.asset_id |
Se antepone "device_finger_print:" |
debugContext.debugData.dtHash |
security_result.detection_fields (clave = "dtHash") |
|
debugContext.debugData.factor |
security_result.detection_fields (clave = "factor") |
|
debugContext.debugData.promptingPolicyTypes |
security_result.detection_fields (clave = "promptingPolicyTypes") |
|
debugContext.debugData.requestUri |
extensions.auth.auth_details |
|
description |
security_result.description |
|
detection.actors.externalId |
principal.user.userid |
iterating over detection.actors |
detection.actors.externalId |
target.user.userid |
iterating over detection.actors |
detection.actors.id |
principal.user.product_object_id |
iterating over detection.actors |
detection.actors.id |
target.user.product_object_id |
iterating over detection.actors |
detection.actors.name |
principal.user.user_display_name |
iterating over detection.actors |
detection.actors.name |
target.user.user_display_name |
iterating over detection.actors |
detection.actors.nativeType |
principal.user.attribute.labels (key = "actor_nativeType {index}") |
iterating over detection.actors |
detection.actors.nativeType |
target.user.attribute.labels (key = "primaryActor_nativeType {index}") |
iterating over detection.actors |
detection.actors.type |
security_result.detection_fields (key = "actor_type {index}") |
iterating over detection.actors |
detection.actors.type |
security_result.detection_fields (key = "primary_actor_type {index}") |
iterating over detection.actors |
detection.cloudAccounts.cloudPlatform |
additional.fields (clave = "detection_cloudAccount_cloudPlatform {i}") |
Itera a través del array. |
detection.cloudAccounts.externalId |
additional.fields (clave = "detection_cloudAccount_externalId {i}") |
Itera a través del array. |
detection.cloudAccounts.id |
additional.fields (clave = "detection_cloudAccount_id {i}") |
Itera a través del array. |
detection.cloudAccounts.name |
additional.fields (clave = "detection_cloudAccount_name {i}") |
Itera a través del array. |
detection.cloudOrganizations |
principal.resource.attribute.labels (clave = "detectioncloudOrganization{index}") |
|
detection.createdAt |
additional.fields (clave = "detection_createdAt") |
|
detection.description |
security_result.description |
|
detection.detectionURL |
security_result.url_back_to_product |
|
detection.id |
metadata.product_log_id |
|
detection.mitreTactics |
additional.fields (clave = "mitre_tactic {i}") |
Itera a través del array. |
detection.mitreTechniques |
additional.fields (clave = "mitre_technique {i}") |
Itera a través del array. |
detection.primaryActor.actingAs.externalId |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_externalId") |
|
detection.primaryActor.actingAs.id |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_id") |
|
detection.primaryActor.actingAs.name |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_name") |
|
detection.primaryActor.actingAs.providerUniqueId |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_providerUniqueId") |
|
detection.primaryActor.actingAs.type |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_type") |
|
detection.primaryResource.externalId |
target.resource.product_object_id |
|
detection.primaryResource.id |
additional.fields (clave = "detection_primaryResource_id") |
|
detection.primaryResource.name |
target.hostname, target.asset.hostname |
|
detection.primaryResource.type |
additional.fields (clave = "detection_primaryResource_type") |
|
detection.primaryResource.type |
target.resource.resource_type |
Se establece en VIRTUAL_MACHINE si el tipo coincide con los criterios. |
detection.resources.cloudProviderURL |
target.resource.attribute.labels (clave = "detection_resource_cloudProviderURL {i}") |
Itera a través del array detection.resources |
detection.resources.externalId |
security_result.about.resource.attribute.labels (key = "detection_resource_externalId {i}") |
Itera a través del array detection.resources |
detection.resources.id |
security_result.about.resource.attribute.labels (clave = "detection_resource_id {i}") |
Itera a través del array detection.resources |
detection.resources.kubernetesCluster.externalId |
target.resource.attribute.labels (key = "kubernetesClusterexternalId{i}") |
Itera a través del array detection.resources |
detection.resources.kubernetesCluster.id |
target.resource.attribute.labels (key = "kubernetesClusterid{i}") |
Itera a través del array detection.resources |
detection.resources.kubernetesnamespace.id |
additional.fields (key = "kubernetesnamespaceid{i}") |
Itera a través del array detection.resources |
detection.resources.name |
security_result.about.resource.attribute.labels (clave = "detection_resource_name {i}") |
Itera a través del array detection.resources |
detection.resources.nativeType |
security_result.about.resource.attribute.labels (clave = "detection_resource_nativeType {i}") |
Itera a través del array detection.resources |
detection.resources.region |
security_result.about.resource.attribute.labels (clave = "detection_resource_region {i}") |
Itera a través del array detection.resources |
detection.resources.status |
target.resource.attribute.labels (clave = "detection_resource_status {i}") |
Itera a través del array detection.resources |
detection.resources.type |
security_result.about.resource.attribute.labels (clave = "detection_resource_type {i}") |
Itera a través del array detection.resources |
detection.tdrId |
additional.fields (clave = "detection_tdr_id") |
|
detection.tdrSource |
additional.fields (clave = "detection_tdr_source") |
|
detection.threatId |
security_result.threat_id |
|
detection.threatURL |
security_result.detection_fields (clave = "threatURL") |
|
detection.timeframe.end |
metadata.collected_timestamp |
|
detection.timeframe.start |
metadata.event_timestamp |
|
detection.title |
security_result.rule_name |
|
detection.triggeringEvents.actor.externalId |
security_result.detection_fields (key = "detection_triggeringEvent_actor_externalId {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actor.id |
security_result.detection_fields (key = "detection_triggeringEvent_actor_id {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actor.name |
security_result.detection_fields (clave = "detection_triggeringEvent_actor_name {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actor.type |
security_result.detection_fields (clave = "detection_triggeringEvent_actor_type {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIP |
principal.ip y principal.asset.ip |
Itera a través de triggeringEvents. |
detection.triggeringEvents.actorIP |
principal.resource.attribute.labels (clave = "detection_triggeringEvent_actorIP {index}") |
Itera a través de triggeringEvents. |
detection.triggeringEvents.actorIPMeta.autonomousSystemNumber |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_autonomousSystemNumber {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.autonomousSystemOrganization |
additional.fields (clave = "detection_triggeringEvent_actorIPMeta_autonomousSystemOrganization {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.country |
additional.fields (clave = "detection_triggeringEvent_actorIPMeta_country {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.isForeign |
additional.fields (clave = "detection_triggeringEvent_actorIPMeta_isForeign {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputation |
security_result.about.resource.attribute.labels (key = "detection_triggeringEvent_actorIPMeta_reputation {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputationSource |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_reputationSource {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.category |
additional.fields (clave = "detection_triggeringEvent_category {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.cloudPlatform |
additional.fields (clave = "detection_triggeringEvent_cloudPlatform {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.cloudProviderUrl |
target.url |
Itera a través de triggeringEvents |
detection.triggeringEvents.description |
metadata.description |
Itera a través de triggeringEvents |
detection.triggeringEvents.eventTime |
additional.fields (clave = "detection_triggeringEvent_eventTime {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.externalId |
additional.fields (key = "detection_triggeringEvent_externalId {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.id |
additional.fields (clave = "detection_triggeringEvent_id {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.name |
additional.fields (clave = "detection_triggeringEvent_name {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.origin |
additional.fields (key = "detection_triggeringEvent_origin {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.runtimeDetails.currentWorkingDirectory |
additional.fields (clave = "detection_triggeringEvent_runtimeDetails_currentWorkingDirectory {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.runtimeDetails.processTree[0].path |
principal.process.file.full_path |
Itera a través de triggeringEvents. Anula la lógica de índice 0/1. |
detection.triggeringEvents.runtimeDetails.processTree[0].username |
additional.fields (key = "detection_triggeringEvent_runtimeDetails_username {index}") |
Itera a través de triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[1].hash |
additional.fields (clave = "detection_triggeringEvent_runtimeDetails_hash {index}") |
Itera a través de triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[2].path |
principal.process.parent_process.file.full_path |
Itera a través de triggeringEvents |
detection.triggeringEvents.source |
additional.fields (clave = "detection_triggeringEvent_source {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.status |
additional.fields (key = "detection_triggeringEvent_status {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents[0].runtimeDetails.processTree[0].command |
target.process.command_line |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].hash |
target.process.file.sha1 |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].path |
target.process.file.full_path |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].size |
target.process.file.size |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].username |
principal.user.userid |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[1].command |
principal.process.command_line |
Solo para el primer elemento triggeringEvent y el segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].hash |
principal.process.file.sha1 |
Solo para el primer elemento triggeringEvent y el segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].path |
principal.process.file.full_path |
Solo para el primer elemento triggeringEvent y el segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].size |
principal.process.file.size |
Solo para el primer elemento triggeringEvent y el segundo elemento processTree. |
detection.triggeringEventsCount |
additional.fields (clave = "triggering_events_count") |
|
DetectionURL |
security_result.url_back_to_product |
|
dueAt |
additional.fields (clave = "due_at") |
|
entitySnapshot.cloudPlatform |
principal.cloud.vpc.name |
|
entitySnapshot.externalId |
principal.group.product_object_id |
|
entitySnapshot.id |
principal.asset_id |
|
entitySnapshot.name |
principal.cloud.project.name |
|
entitySnapshot.nativeType |
principal.cloud.project.resource_subtype |
|
entitySnapshot.providerId |
principal.cloud.vpc.id |
|
entitySnapshot.status |
security_result.action_details |
|
entitySnapshot.tags.io.cri-containerd.kind |
target.resource.attribute.labels (clave = "Containerd Kind") |
|
entitySnapshot.tags.io.kubernetes.container.name |
target.resource.attribute.labels (clave = "Nombre del contenedor") |
|
entitySnapshot.tags.io.kubernetes.pod.name |
target.resource.attribute.labels (clave = "Pod Name") |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
principal.namespace |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
target.resource.attribute.labels (clave = "Espacio de nombres del Pod") |
|
entitySnapshot.tags.io.kubernetes.pod.uid |
target.resource.attribute.labels (clave = "ID del pod") |
|
entitySnapshot.tags.maintainer |
target.resource.attribute.labels (clave = "Maintainer") |
|
entitySnapshot.type |
principal.cloud.project.id |
|
eventType |
metadata.product_event_type |
|
eventType (valores específicos) |
extensions.auth.mechanism |
Se combinó con auth_type para los tipos de acceso. |
Hardcoded to "WIZ_IO" |
metadata.product_name |
|
Hardcoded to "WIZ_IO" |
metadata.vendor_name |
|
id |
metadata.product_log_id |
|
issue.created |
metadata.event_timestamp |
|
issue.id |
metadata.product_log_id |
|
issue.projects |
additional.fields (clave = "issue_projects") |
|
issue.severity |
Sets intermediate variable severity |
Se establece en INFORMATIONAL si se cumple la condición. |
issue.status |
security_result.action_details |
|
issue.status |
security_result.action_details |
Se asigna solo si el estado es "OPEN" |
metadata_data.version |
metadata.product_version |
|
mitreTactics (elemento de array) |
additional.fields (clave = "mitre_tactic %{i}") |
Itera a través del array. |
mitreTechniques (elemento de array) |
additional.fields (clave = "mitre_technique %{i}") |
Itera a través del array. |
outcome.reason |
security_result.category_details |
|
outcome.result |
security_result.action |
Asignación indirecta a ALLOW, CHALLENGE o BLOCK. |
primaryActor.actingAs |
additional.fields (clave = "primaryActor_actingAs") |
|
primaryActor.email |
additional.fields (key = "primaryActor_email") |
|
primaryActor.externalId |
principal.ip, principal.asset.ip |
|
primaryActor.id |
additional.fields (key = "primaryActor_id") |
|
primaryActor.name |
target.ip, target.asset.ip |
|
primaryActor.nativeType |
additional.fields (key = "primaryActor_nativeType") |
|
primaryActor.providerUniqueId |
additional.fields (clave = "primaryActor_providerUniqueId") |
|
primaryActor.type |
principal.resource.type |
|
primaryResource.cloudAccount.cloudPlatform |
additional.fields (clave = "primaryResourceCloudPlatform") |
|
primaryResource.cloudAccount.externalId |
target.cloud.project.id |
|
primaryResource.cloudAccount.id |
additional.fields (clave = "primaryResourceCloudAccountId") |
|
primaryResource.cloudAccount.name |
target.cloud.project.name |
|
primaryResource.cloudProviderURL |
target.url |
|
primaryResource.externalId |
additional.fields (clave = "primaryResourceExternalId") |
|
primaryResource.id |
target.resource.id |
|
primaryResource.name |
target.resource.name |
|
primaryResource.nativeType |
additional.fields (key = "primaryResourceNativeType") |
|
primaryResource.region |
target.asset.location.country_or_region |
|
primaryResource.type |
target.resource.type |
|
process.command |
target.resource.attribute.labels (clave = "processcommand{process_index}") |
|
process.container.externalId |
target.resource.attribute.labels (clave = "containerexternalId{process_index}") |
|
process.container.id |
target.resource.attribute.labels (clave = "process_containerid{process_index}") |
|
process.container.imageExternalId |
target.resource.attribute.labels (clave = "containerimageExternalId{process_index}") |
|
process.container.imageId |
target.resource.attribute.labels (clave = "containerimageId{process_index}") |
|
process.container.name |
target.resource.attribute.labels (clave = "process_containername{process_index}") |
|
process.currentWorkingDirectory |
target.resource.attribute.labels (clave = "currentWorkingDirectory_{process_index}") |
|
process.hash |
target.resource.attribute.labels (clave = "processhash{process_index}") |
|
process.id |
target.resource.attribute.labels (clave = "processid{process_index}") |
|
process.path |
target.resource.attribute.labels (clave = "processpath{process_index}") |
|
process.size |
target.process.file.size |
|
process.userId |
target.resource.attribute.labels (clave = "processuserId{process_index}") |
|
process.username |
target.resource.attribute.labels (clave = "processusername{process_index}") |
|
requestId |
metadata.product_log_id |
|
resource.cloudAccount.cloudPlatform |
additional.fields (clave = "cloudPlatform") |
Parte del objeto se combinó en el campo repetido "about". |
resource.cloudAccount.externalId |
additional.fields (clave = "cloudAccountExternalId") |
Parte del objeto se combinó en el campo repetido "about". |
resource.cloudAccount.id |
additional.fields (clave = "cloudAccountId") |
Parte del objeto se combinó en el campo repetido "about". |
resource.cloudAccount.name |
cloudAccountName |
|
resource.cloudPlatform |
additional.fields (clave = "resource_cloudPlatform") |
|
resource.cloudProviderURL |
about.url |
Parte del objeto se combinó en el campo repetido "about". |
resource.cloudProviderURL |
target.url |
|
resource.externalId |
additional.fields (clave = "externalId") |
Parte del objeto se combinó en el campo repetido "about". |
resource.id |
about.resource.product_object_id |
Parte del objeto se combinó en el campo repetido "about". |
resource.id |
target.resource.id |
|
resource.name |
about.resource.name |
Parte del objeto se combinó en el campo repetido "about". |
resource.name |
target.resource.name |
|
resource.nativeType |
about.resource.resource_subtype |
Parte del objeto se combinó en el campo repetido "about". |
resource.region |
about.location.country_or_region |
Parte del objeto se combinó en el campo repetido "about". |
resource.region |
target.asset.location.country_or_region |
|
resource.region |
target.location.country_or_region |
|
resource.status |
about.resource.attribute.labels (clave = "status") |
Parte del objeto se combinó en el campo repetido "about". |
resource.status |
target.resource.attribute.labels (clave = "status") |
|
resource.subscriptionId |
target.cloud.project.id |
|
resource.subscriptionName |
target.cloud.project.name |
|
resource.type |
about.resource.type |
Parte del objeto se combinó en el campo repetido "about". |
resource.type |
target.resource.type |
|
serviceAccount.name |
principal.application |
Solo si la acción es "Denunciar" |
sourceIP |
principal.ip, principal.asset.ip |
|
sourceRule.id |
principal.user.userid |
|
status |
security_result.summary |
|
statusChangedAt |
additional.fields (clave = "status_changed_at") |
|
tdrId |
security_result.detection_fields (clave = "tdrId") |
|
tdrSource |
security_result.detection_fields (clave = "tdrSource") |
|
The detection.severity variable |
security_result.severity |
Se normaliza (p.ej., INFO -> LOW) y, luego, se asigna. |
threat.actors.externalId |
principal.user.email_addresses |
Itera a través de agentes de amenazas. |
threat.actors.id |
principal.resource.attribute.labels (key = "actor_id:%{index}") |
Se asigna para los elementos después del primero (índice > 0). |
threat.actors.id |
principal.resource.product_object_id |
Se asigna para el primer elemento (índice 0). |
threat.actors.name |
principal.user.email_addresses |
Itera a través de agentes de amenazas. |
threat.actors.nativeType |
principal.resource.attribute.labels (key = "actor_nativeType:%{index}") |
Se asigna para los elementos después del primero (índice > 0). |
threat.actors.nativeType |
principal.resource.resource_subtype |
Se asigna para el primer elemento (índice 0). |
threat.actors.type |
additional.fields (key = "actor_type") |
Itera a través de agentes de amenazas. |
threat.cloudAccounts |
target.resource.attribute.labels (clave = "threat_cloudAccounts") |
|
threat.cloudOrganizations.cloudProvider |
target.resource.attribute.labels (clave = "org_cloudProvider:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudOrganizations.externalId |
target.resource.attribute.labels (clave = "org_externalId:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudOrganizations.id |
target.resource.attribute.labels (clave = "org_id:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudOrganizations.name |
target.resource.attribute.labels (clave = "org_name:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudPlatform |
additional.fields (clave = "threat_cloudPlatform") |
|
threat.created |
metadata.event_timestamp |
|
threat.description |
security_result.description |
|
threat.detectionIds |
additional.fields (clave = "detectionId") |
Cadena separada por comas dividida en una lista. |
threat.id |
metadata.product_log_id |
|
threat.mitreTactics |
additional.fields (clave = "tactic_vallabel{index}") |
Itera a través del array. |
threat.mitreTechniques |
additional.fields (key = "technique_vallabel{i}") |
Itera a través del array. |
threat.notes |
additional.fields (clave = "threat_notes") |
|
threat.projects |
additional.fields (clave = "threat_projects") |
|
threat.resolutionNote |
additional.fields (clave = "threat_resolutionNote") |
|
threat.resolvedAt |
additional.fields (clave = "threat_resolvedAt") |
|
threat.resources.externalId |
target.resource.attribute.labels (key = "resource_externalId:%{index}") |
Se asigna para los elementos después del primero (índice > 0). |
threat.resources.externalId |
target.resource.product_object_id |
Se asigna para el primer elemento (índice 0). |
threat.resources.id |
target.resource.attribute.labels (key = "resource_id:%{index}") |
Itera a través de threat.resources. |
threat.resources.name |
target.resource.attribute.labels (key = "resource_name:%{index}") |
Se asigna para los elementos después del primero (índice > 0). |
threat.resources.name |
target.resource.name |
Se asigna para el primer elemento (índice 0). |
threat.resources.nativeType |
target.resource.attribute.labels (clave = "resource_nativeType:%{index}") |
Se asigna para los elementos después del primero (índice > 0). |
threat.resources.nativeType |
target.resource.resource_subtype |
Se asigna para el primer elemento (índice 0). |
threat.resources.type |
additional.fields (clave = "resource_type") |
Itera a través de threat.resources. |
threat.severity |
security_result.severity |
Se normalizó de forma indirecta (p.ej., INFO -> LOW). |
threat.status |
security_result.action_details |
|
threat.tdrNames |
additional.fields (key = "tdrName") |
Cadena separada por comas dividida en una lista. |
threat.threatURL |
security_result.url_back_to_product |
|
threat.title |
metadata.description |
|
threat.updatedAt |
additional.fields (clave = "threat_updatedAt") |
|
threatId |
security_result.threat_id |
|
threatURL |
security_result.detection_fields (clave = "threatURL") |
|
timeframe.end |
additional.fields (clave = "timeframe_end") |
|
timeframe.start |
metadata.collected_timestamp |
|
timestamp |
metadata.event_timestamp |
|
title |
security_result.summary |
|
trigger.changedBy |
principal.user.product_object_id |
|
trigger.ruleId |
security_result.rule_id |
|
trigger.ruleName |
additional.fields (clave = "rule_name") |
|
trigger.source |
metadata.product_event_type |
|
trigger.type |
additional.fields (clave = "trigger_type") |
|
trigger.updatedFields |
additional.fields (clave = "updated_fields") |
|
triggeringEvents.actor.id |
principal.user.userid |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actor.name |
about.user.user_display_name |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.actor.type |
about.resource.type |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.actorIP |
observer.ip |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemNumber |
principal.labels (clave = "actorIP_autonomousSystemNumber") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemOrganization |
principal.labels (key = "actorIP_autonomousSystemOrganization") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.country |
principal.asset.location.country_or_region |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.isForeign |
principal.labels (clave = "actorIP_isForeign") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.reputation |
principal.labels (clave = "actorIP_reputation") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.reputationSource |
principal.labels (key = "actorIP_reputationSource") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.category |
about.resource.attribute.labels (clave = "triggeringEvent_category") |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.cloudPlatform |
security_result.detection_fields (clave = "triggeringEvent_cloudPlatform") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.cloudProviderUrltarget.url |
Mapped within the triggeringEvents loop. |
|
triggeringEvents.description |
metadata.description |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.eventTime |
about.resource.attribute.labels (clave = "triggeringEvent_eventTime") |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.externalId |
principal.resource.product_object_id |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.id |
metadata.product_log_id |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.name |
security_result.summary |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.origin |
about.resource.attribute.labels (clave = "triggeringEvent_origin") |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.resources.externalId |
about.resource.attribute.labels (clave = "externalId") |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.id |
about.resource.product_object_id |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.name |
about.resource.name |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.nativeType |
about.resource.resource_subtype |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.region |
about.location.country_or_region |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.type |
about.resource.type |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.source |
additional.fields (clave = "triggeringEvent_source") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.status |
security_result.action_details |
Se asigna dentro del bucle triggeringEvents. |
triggeringEventsCount |
additional.fields (clave = "triggeringEventsCount") |
|
type |
metadata.product_event_type |
|
updatedAt |
additional.fields (clave = "updated_at") |
|
version |
security_result.detection_fields (clave = "version") |
|
detection.primaryActor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Asignado desde el registro de cambios |
detection.actors.type |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.actors.externalId |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.actors.id |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.actors.name |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.email |
event.idm.read_only_udm.principal.user.email_addresses |
Asignado desde el registro de cambios |
detection.primaryActor.friendlyName |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.providerUniqueId |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.actors |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
detection.tdrId |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
detection.tdrSource |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
detection.cloudAccounts.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.cloudAccounts.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.cloudAccounts.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Asignado desde el registro de cambios |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.triggeringEvents.actor.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Asignado desde el registro de cambios |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.triggeringEvents.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Asignado desde el registro de cambios |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.triggeringEvents.description |
event.idm.read_only_udm.metadata.description |
Asignado desde el registro de cambios |
detection.triggeringEvents.description |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Asignado desde el registro de cambios |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.summary |
Asignado desde el registro de cambios |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.action_details |
Asignado desde el registro de cambios |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
title |
event.idm.read_only_udm.security_result.rule_name |
Asignado desde el registro de cambios |
createdAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Asignado desde el registro de cambios |
actors.externalId |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Asignado desde el registro de cambios |
actors.externalId |
event.idm.read_only_udm.principal.user.userid |
Asignado desde el registro de cambios |
actors.id |
event.idm.read_only_udm.principal.user.product_object_id |
Asignado desde el registro de cambios |
actors.name |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Asignado desde el registro de cambios |
actors.name |
event.idm.read_only_udm.principal.user.user_display_name |
Asignado desde el registro de cambios |
actors.type |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Asignado desde el registro de cambios |
primaryResource.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryResource.name |
event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname |
Asignado desde el registro de cambios |
triggeringEvents.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvents.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvents.actorIP |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Asignado desde el registro de cambios |
triggeringEvents.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvents.category |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvents.eventTime |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvents.origin |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Asignado desde el registro de cambios |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvents.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
detection.triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Asignado desde el registro de cambios |
mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Asignado desde el registro de cambios |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
resource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Asignado desde el registro de cambios |
resource.subscriptionId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
resource.subscriptionName |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
account.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
account.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Asignado desde el registro de cambios |
primaryResource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Asignado desde el registro de cambios |
primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Asignado desde el registro de cambios |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.actor.type |
event.idm.read_only_udm.about.resource.resource_type |
Asignado desde el registro de cambios |
client.geographicalContext.geolocation.lat |
event.idm.read_only_udm.principal.location.region_coordinates.latitude |
Asignado desde el registro de cambios |
client.geographicalContext.geolocation.lon |
event.idm.read_only_udm.principal.location.region_coordinates.longitude |
Asignado desde el registro de cambios |
triggeringEvent.resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Asignado desde el registro de cambios |
resource.type |
event.idm.read_only_udm.target.resource.resource_type |
Asignado desde el registro de cambios |
resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Asignado desde el registro de cambios |
actor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.executionTime |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesNamespace.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesNamespace.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesNamespace.providerUniqueId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
primaryResource.kubernetesNamespace.name |
event.idm.read_only_udm.target.namespace |
Asignado desde el registro de cambios |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.about.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Asignado desde el registro de cambios |
detection.primaryResource.name |
event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.n.currentWorkingDirectory |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.command |
event.idm.read_only_udm.principal.process.command_line |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.path |
event.idm.read_only_udm.principal.process.file.full_path |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.principal.process.file.sha1 |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.size |
event.idm.read_only_udm.principal.process.file.size |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.principal.user.userid |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.command |
event.idm.read_only_udm.target.process.command_line |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.target.process.file.full_path |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.hash |
event.idm.read_only_udm.target.process.file.sha1 |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.size |
event.idm.read_only_udm.target.process.file.size |
Asignado desde el registro de cambios |
detection.title |
event.idm.read_only_udm.security_result.rule_name |
Asignado desde el registro de cambios |
trigger.ruleName |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection_cloudOrganizations |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection_triggeringEvent_actorIP |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.actingAs.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.actingAs.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.actingAs.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.actingAs.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
detection.primaryActor.actingAs.providerUniqueId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.status |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.cloudProviderURL |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
actor_externalId |
event.idm.read_only_udm.principal.user.email_addresses |
Asignado desde el registro de cambios |
actor_name |
event.idm.read_only_udm.principal.user.email_addresses |
Asignado desde el registro de cambios |
actor_id |
event.idm.read_only_udm.principal.resource.product_object_id |
Asignado desde el registro de cambios |
actor_nativeType |
event.idm.read_only_udm.principal.resource.resource_subtype |
Asignado desde el registro de cambios |
actor_type |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource_type |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threat_cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threat_resolutionNote |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threat_resolvedAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threat_projects |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threat_notes |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
tactic_val |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
technique_val |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threat.updatedAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
tdrName |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detectionId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource_externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Asignado desde el registro de cambios |
resource_nativeType |
event.idm.read_only_udm.target.resource.resource_subtype |
Asignado desde el registro de cambios |
org_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
org_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
org_cloudProvider |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
org_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
resource_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
resource_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
resource_nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
resource_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
threat.threatURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Asignado desde el registro de cambios |
threat.id |
event.idm.read_only_udm.metadata.product_log_id |
Asignado desde el registro de cambios |
threat.title |
event.idm.read_only_udm.metadata.description |
Asignado desde el registro de cambios |
threat.description |
event.idm.read_only_udm.security_result.description |
Asignado desde el registro de cambios |
threat.status |
event.idm.read_only_udm.security_result.action_details |
Asignado desde el registro de cambios |
threat.created |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
threat.severity |
event.idm.read_only_udm.security_result.severity |
Asignado desde el registro de cambios |
resource_name |
event.idm.read_only_udm.target.resource.name |
Asignado desde el registro de cambios |
actor_id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
actor_nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process_command |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process_container_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process_container_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process.container.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process.container.imageId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process.container.imageExternalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process_hash |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process_path |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process.username |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
process.userId |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.kubernetesnamespace.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.currentWorkingDirectory |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.principal.process.file.full_path |
Asignado desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.2.path |
event.idm.read_only_udm.principal.process.parent_process.file.full_path |
Asignado desde el registro de cambios |
process.size |
event.idm.read_only_udm.target.process.file.size |
Asignado desde el registro de cambios |
detection.id |
event.idm.read_only_udm.metadata.product_log_id |
Asignado desde el registro de cambios |
detection.threatId |
event.idm.read_only_udm.security_result.threat_id |
Asignado desde el registro de cambios |
detection.detectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Asignado desde el registro de cambios |
detection.threatURL |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
primaryActor.type |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvent.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvent.actor.id |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvent.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvent.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
detection.title |
event.idm.read_only_udm.security_result.summary |
Asignado desde el registro de cambios |
detection.description |
event.idm.read_only_udm.security_result.description |
Asignado desde el registro de cambios |
detection.severity |
event.idm.read_only_udm.severity |
Asignado desde el registro de cambios |
detection.tdrId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.tdrSource |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.mitreTactics |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.mitreTechniques |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
account.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
account.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
account.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
account.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.createdAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.primaryResource.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.primaryResource.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.primaryResource.type |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.category |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.eventTime |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.origin |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.source |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEvent.status |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
detection.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
detection.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Asignado desde el registro de cambios |
actor.externalId |
event.idm.read_only_udm.principal.user.userid |
Asignado desde el registro de cambios |
actor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Asignado desde el registro de cambios |
actor.name |
event.idm.read_only_udm.principal.user.user_display_name |
Asignado desde el registro de cambios |
primaryActor.externalId |
event.idm.read_only_udm.target.user.userid |
Asignado desde el registro de cambios |
primaryActor.id |
event.idm.read_only_udm.target.user.product_object_id |
Asignado desde el registro de cambios |
primaryActor.name |
event.idm.read_only_udm.target.user.user_display_name |
Asignado desde el registro de cambios |
metadata_data.version |
event.idm.read_only_udm.metadata.product_version |
Asignado desde el registro de cambios |
triggeringEvent.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.type |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.externalId |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.id |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.name |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.nativeType |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
det_resource.region |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.actorIP |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Asignado desde el registro de cambios |
actor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Asignado desde el registro de cambios |
primaryActor.nativeType |
event.idm.read_only_udm.target.user.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.description |
event.idm.read_only_udm.metadata.description |
Asignado desde el registro de cambios |
actor.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
trigger.source |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
issue.projects |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
control.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
threatURL |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
tdrId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
tdrSource |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryActor.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryActor.actingAs |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryActor.email |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryActor.nativeType |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryActor.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource.cloudAccount.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
resource.cloudAccount.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
primaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
mitreTactics |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
mitreTechniques |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
trigger.type |
event.idm.read_only_udm.metadata.product_event_type |
Asignado desde el registro de cambios |
trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Asignado desde el registro de cambios |
trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Asignado desde el registro de cambios |
trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Asignado desde el registro de cambios |
issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Asignado desde el registro de cambios |
triggeringEvent.id |
event.idm.read_only_udm.metadata.product_log_id |
Asignado desde el registro de cambios |
issue.status |
event.idm.read_only_udm.security_result.action_details |
Asignado desde el registro de cambios |
triggeringEvent.status |
event.idm.read_only_udm.security_result.action_details |
Asignado desde el registro de cambios |
issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
createdAt |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
resource.id |
event.idm.read_only_udm.target.resource.id |
Asignado desde el registro de cambios |
primaryResource.id |
event.idm.read_only_udm.target.resource.id |
Asignado desde el registro de cambios |
resource.name |
event.idm.read_only_udm.target.resource.name |
Asignado desde el registro de cambios |
primaryResource.name |
event.idm.read_only_udm.target.resource.name |
Asignado desde el registro de cambios |
resource.type |
event.idm.read_only_udm.target.resource.type |
Asignado desde el registro de cambios |
primaryResource.type |
event.idm.read_only_udm.target.resource.type |
Asignado desde el registro de cambios |
resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Asignado desde el registro de cambios |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Asignado desde el registro de cambios |
resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Asignado desde el registro de cambios |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Asignado desde el registro de cambios |
resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Asignado desde el registro de cambios |
primaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Asignado desde el registro de cambios |
resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Asignado desde el registro de cambios |
primaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Asignado desde el registro de cambios |
control.id |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
risk |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
control.description |
event.idm.read_only_udm.metadata.description |
Asignado desde el registro de cambios |
control.severity |
event.idm.read_only_udm.security_result.severity |
Asignado desde el registro de cambios |
issue.severity |
event.idm.read_only_udm.security_result.severity |
Asignado desde el registro de cambios |
severity |
event.idm.read_only_udm.security_result.severity |
Asignado desde el registro de cambios |
control.IssueURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Asignado desde el registro de cambios |
DetectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Asignado desde el registro de cambios |
threatId |
event.idm.read_only_udm.security_result.threat_id |
Asignado desde el registro de cambios |
title |
event.idm.read_only_udm.security_result.summary |
Asignado desde el registro de cambios |
triggeringEvent.name |
event.idm.read_only_udm.security_result.summary |
Asignado desde el registro de cambios |
description |
event.idm.read_only_udm.security_result.description |
Asignado desde el registro de cambios |
primaryActor.externalId |
event.idm.read_only_udm.principal.ip |
Asignado desde el registro de cambios |
primaryActor.type |
event.idm.read_only_udm.principal.resource.type |
Asignado desde el registro de cambios |
primaryActor.name |
event.idm.read_only_udm.target.ip |
Asignado desde el registro de cambios |
resource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
actor.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
resource.status |
event.idm.read_only_udm.resource_obj.resource.attribute.labels |
Asignado desde el registro de cambios |
resource.region |
event.idm.read_only_udm.target.location.country_or_region |
Asignado desde el registro de cambios |
resource.cloudProviderURL |
event.idm.read_only_udm.resource_obj.url |
Asignado desde el registro de cambios |
triggeringEvent.actorIP |
event.idm.read_only_udm.observer.ip |
Asignado desde el registro de cambios |
triggeringEvent.actor.id |
event.idm.read_only_udm.principal.user.userid |
Asignado desde el registro de cambios |
triggeringEvent.actor.name |
event.idm.read_only_udm.about_obj.user.user_display_name |
Asignado desde el registro de cambios |
triggeringEvent.actor.type |
event.idm.read_only_udm.about_obj.resource.type |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.principal.labels |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.principal.labels |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.principal.labels |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.principal.labels |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.principal.labels |
Asignado desde el registro de cambios |
triggeringEvent.category |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.eventTime |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.origin |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Asignado desde el registro de cambios |
triggeringEvent.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Asignado desde el registro de cambios |
actor_name_ip |
event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip |
Asignado desde el registro de cambios |
actor_externalId_ip |
event.idm.read_only_udm.intermediary.ip y event.idm.read_only_udm.intermediary.asset.ip |
Asignado desde el registro de cambios |
record.trigger.source |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.cloudOrganizations |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.trigger.type |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.control.risks |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.control.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.DetectionURL |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.threatURL |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.tdrId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.tdrSource |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
mitreTactic |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
cloudAccounts.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
cloudAccounts.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
cloudAccounts.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
cloudAccounts.name |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.status |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.VCSRepository |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.cloudOrganization |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.kubernetesNamespace |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.PrimaryResource.kubernetesCluster |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
record.trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Asignado desde el registro de cambios |
record.trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Asignado desde el registro de cambios |
record.trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Asignado desde el registro de cambios |
record.issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Asignado desde el registro de cambios |
record.issue.status |
event.idm.read_only_udm.security_result.alert_state |
Asignado desde el registro de cambios |
record.issue.severity |
event.idm.read_only_udm.security_result.severity |
Asignado desde el registro de cambios |
record.severity |
event.idm.read_only_udm.security_result.severity |
Asignado desde el registro de cambios |
record.issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
record.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Asignado desde el registro de cambios |
record.resource.id |
event.idm.read_only_udm.target.resource.id |
Asignado desde el registro de cambios |
record.PrimaryResource.id |
event.idm.read_only_udm.target.resource.id |
Asignado desde el registro de cambios |
record.resource.name |
event.idm.read_only_udm.target.resource.name |
Asignado desde el registro de cambios |
record.PrimaryResource.name |
event.idm.read_only_udm.target.resource.name |
Asignado desde el registro de cambios |
record.resource.type |
event.idm.read_only_udm.target.resource.type |
Asignado desde el registro de cambios |
record.PrimaryResource.type |
event.idm.read_only_udm.target.resource.type |
Asignado desde el registro de cambios |
record.resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Asignado desde el registro de cambios |
record.PrimaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Asignado desde el registro de cambios |
record.resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Asignado desde el registro de cambios |
record.PrimaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Asignado desde el registro de cambios |
record.resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Asignado desde el registro de cambios |
record.PrimaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Asignado desde el registro de cambios |
record.resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Asignado desde el registro de cambios |
record.resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Asignado desde el registro de cambios |
record.PrimaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Asignado desde el registro de cambios |
record.control.id |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
record.issue.projects |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
triggeringEvent.actorIPMeta.category |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
record.control.description |
event.idm.read_only_udm.metadata.description |
Asignado desde el registro de cambios |
record.control.IssueURL |
event.idm.read_only_udm.security_result.about.url |
Asignado desde el registro de cambios |
record.threatId |
event.idm.read_only_udm.security_result.threat_id |
Asignado desde el registro de cambios |
record.title |
event.idm.read_only_udm.metadata.product_event_type |
Asignado desde el registro de cambios |
record.description |
event.idm.read_only_udm.security_result.description |
Asignado desde el registro de cambios |
record.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Asignado desde el registro de cambios |
act.externalId |
event.idm.read_only_udm.target.ip |
Asignado desde el registro de cambios |
pactor.externalId |
event.idm.read_only_udm.principal.ip |
Asignado desde el registro de cambios |
triggeringEvents.actor.id |
event.idm.read_only_udm.principal.user.userid |
Asignado desde el registro de cambios |
id |
event.idm.read_only_udm.metadata.product_log_id |
Asignado desde el registro de cambios |
createdAt |
event.idm.read_only_udm.metadata.timestamp |
Asignado desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.uid |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.container.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.tags.io.cri-containerd.kind |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.tags.maintainer |
event.idm.read_only_udm.target.resource.attribute.labels |
Asignado desde el registro de cambios |
entitySnapshot.externalId |
event.idm.read_only_udm.principal.group.product_object_id |
Asignado desde el registro de cambios |
actionParameters.clientID |
event.idm.read_only_udm.principal.group.product_object_id |
Asignado desde el registro de cambios |
type |
event.idm.read_only_udm.metadata.product_event_type |
Asignado desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.principal.namespace |
Asignado desde el registro de cambios |
entitySnapshot.id |
event.idm.read_only_udm.principal.asset_id |
Asignado desde el registro de cambios |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.cloud.vpc.name |
Asignado desde el registro de cambios |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.cloud.vpc.id |
Asignado desde el registro de cambios |
entitySnapshot.type |
event.idm.read_only_udm.principal.cloud.project.id |
Asignado desde el registro de cambios |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.cloud.project.resource_subtype |
Asignado desde el registro de cambios |
entitySnapshot.name |
event.idm.read_only_udm.principal.cloud.project.name |
Asignado desde el registro de cambios |
entitySnapshot.status |
event.idm.read_only_udm.security_result.action_details |
Asignado desde el registro de cambios |
updatedAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
dueAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
statusChangedAt |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
sourceRule.id |
event.idm.read_only_udm.principal.user.userid |
Asignado desde el registro de cambios |
control.name |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
control.description |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
control.resolutionRecommendation |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
subcategories.title |
event.idm.read_only_udm.security_result.category |
Asignado desde el registro de cambios |
subcategories.category.name |
event.idm.read_only_udm.security_result.category_details |
Asignado desde el registro de cambios |
subcategories.category.framework.name |
event.idm.read_only_udm.security_result.detection_fields |
Asignado desde el registro de cambios |
actionParameters.userPoolType |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
actionParameters.userpoolID |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
actionParameters.clientID |
event.idm.read_only_udm.additional.fields |
Asignado desde el registro de cambios |
actionParameters.selection.preferences", "actionParameters.input.patch.portalVisitHistory.dateTime", and "actionParameters.input.patch.portalVisitHistory.type |
additional.fields |
Asignado desde el registro de cambios |
actionParameters.input.patch.portalVisitHistory.name", "actionParameters.input.patch.portalVisitHistory.resourceName", "actionParameters.input.patch.portalVisitHistory.resourceType", "actionParameters.input.patch.portalVisitHistory.ruleType", and "actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels |
Asignado desde el registro de cambios |
user.id |
target.user.id |
Asignado desde el registro de cambios |
user.name |
target.user.user_display_name |
Asignado desde el registro de cambios |
actionParameters.groups" and "actionParameters.products |
security_result.detection_fields |
Asignado desde el registro de cambios |
Tabla de asignación de eventos
| eventType del registro | Old event_type | event_type actual |
|---|---|---|
if [eventType] == "user.session.end" |
metadata.event_type |
"USER_LOGOUT" |
if [eventType] in ["user.authentication.auth_via_AD_agent" , "user.authentication.auth_via_LDAP_agent"] |
metadata.event_type |
STATUS_UPDATE |
if [eventType] in ["user.authentication.auth_via_mfa", "user.authentication.sso", "user.session.start","user.session.access_admin_app"] |
metadata.event_type |
USER_LOGIN |
if [has_principal] == "true" |
metadata.event_type |
"STATUS_UPDATE" |
if [has_resource] == "true" |
metadata.event_type |
USER_RESOURCE_ACCESS |
if [has_user] == "true" |
metadata.event_type |
USER_UNCATEGORIZED |
if [has_user] == "true" and [action] == "Login" |
metadata.event_type |
"USER_LOGIN" |
if [has_user] == "true" and [action] == "Login" |
event.idm.read_only_udm.extensions.auth.type |
"AUTHTYPE_UNSPECIFIED" |
if [has_user] == "true" and [event][idm][read_only_udm][metadata][event_type] == "GENERIC_EVENT" |
metadata.event_type |
USER_UNCATEGORIZED |
else |
metadata.event_type |
GENERIC_EVENT |
Registro de cambios
Consulta el registro de cambios de este analizador
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.