Recopila registros de Wiz
Se admite en los siguientes sistemas operativos:
Google SecOps
SIEM
En este documento, se explica cómo transferir registros de Wiz a Google Security Operations. El analizador transforma los registros con formato JSON de Wiz en un modelo de datos unificado (UDM). Primero, inicializa los valores predeterminados para los campos del UDM y, luego, analiza el mensaje JSON y extrae los campos pertinentes, como la información del usuario, la ubicación, los detalles del dispositivo y los resultados de seguridad.
Wiz es una plataforma de seguridad en la nube que ofrece visibilidad integral y sin agentes, y priorización de riesgos en entornos de Google Cloud, AWS, Azure, OCI y Kubernetes.
Antes de comenzar
Asegúrate de cumplir con los siguientes requisitos previos:
- Instancia de Google SecOps
- Acceso con privilegios a Wiz
Obtén el ID de cliente de Google SecOps
- Accede a la consola de Google SecOps.
- Ve a Configuración de SIEM > Perfil.
- Copia y guarda el ID de cliente de la sección Detalles de la organización.
Configura la integración en Wiz
- Haz clic en la integración de Google SecOps (Chronicle) en tu arrendatario de Wiz.
- También puedes acceder a la IU web de Wiz.
- Ve a la página Conectar a Wiz.
- Haz clic en Google SecOps (Chronicle).
- Ingresa un nombre para la integración de Google SecOps.
- Selecciona el permiso.
- Ingresa tu ID de cliente de Google SecOps.
- Ingresa el ID del proyecto que contiene tu instancia de Google SecOps.
- Selecciona la Ubicación en la que se almacenan tus datos de Google SecOps.
- Opcional: Ingresa el espacio de nombres del entorno para identificar el dominio de datos (el valor predeterminado es
WIZ). - Sube el archivo de clave de cuenta de servicio (.JSON).
- Asegúrate de que se haya otorgado el rol
roles/chronicle.editora la cuenta de servicio en el proyecto principal y, luego, selecciona I granted Chronicle API Editor. - Haz clic en Guardar.
Agrega una regla de automatización para Google Security Operations
Agrega una regla de automatización para enviar problemas o detecciones de Wiz a Google SecOps cuando se cumplan los criterios especificados.
Para agregar una regla de automatización, haz lo siguiente:
- En la página Políticas > Reglas de automatización, haz clic en Agregar regla.
- Ingresa un Nombre corto pero significativo.
- Opcional: Ingresa una Descripción más larga.
- Elige un permiso.
En Condiciones de la regla, selecciona cuándo se debe activar la regla:
- Activador de problemas
- Activador de detección
Elige el formato de datos Nativo.
- Nativo: Esta es la opción que recomienda Google. El formato de datos Native es un esquema de Wiz que incluye campos como categoría, fuente de activación y proyectos.
- OCSF: Genera eventos en el formato de Open Cybersecurity Schema Framework.
Te recomendamos que selecciones la casilla de verificación Incluir evidencia del problema.
Opcional: En Etiquetas, haz clic en Agregar.
SI: Haz clic en Agregar filtro y, luego, define los criterios del filtro. Repite este paso para cada filtro adicional.
LUEGO, haz lo siguiente para activar la Acción de plataforma automatizada para la regla de automatización:
- Haz clic en Agregar acción.
- En la lista de integraciones configuradas, selecciona las que se apliquen al activador que seleccionaste.
Opcional: Modifica la Configuración de acción predeterminada. Si la integración seleccionada admite la Configuración de acciones, puedes hacer lo siguiente:
- Usar una plantilla de acción existente. Para ello, haz clic en Cargar desde plantilla, selecciona una plantilla de acción y, luego, haz clic en Usar plantilla.
- Modifica los parámetros de acción.
Para guardar las modificaciones, haz clic en Guardar como plantilla, ingresa un Nombre de plantilla, selecciona un Alcance del proyecto y haz clic en Guardar.
Opcional: Haz clic en Probar para validar la regla de automatización con la integración seleccionada y datos simulados.
Haz clic en Agregar acción.
Opcional: Vuelve a hacer clic en Agregar acción para agregar hasta diez acciones.
Te recomendamos que vayas a la parte inferior de la página para obtener una vista previa de los partidos anteriores con los filtros
IFseleccionados. Verifica que los resultados del filtro coincidan con tus expectativas.Haz clic en Agregar regla.
Tabla de asignación de UDM
La siguiente tabla se aplica al tipo de registro WIZ_IO. Para el tipo de registro OCSF, consulta Cómo recopilar registros de OCSF.
| Campo de registro | Asignación de UDM | Comentario |
|---|---|---|
account.cloudPlatform |
additional.fields (clave = "cloudAccount_cloudPlatform") |
Dentro del bucle for de account en cloudAccounts |
account.externalId |
target.cloud.project.id |
Dentro del bucle for de account en cloudAccounts |
account.id |
target.resource.attribute.labels (clave = "cloudAccount_id") |
Dentro del bucle for de account en cloudAccounts |
account.name |
target.cloud.project.name |
Dentro del bucle for de account en cloudAccounts |
action |
metadata.product_event_type |
Si has_user == "true" y action == "Login", metadata.event_type se establece en USER_LOGIN y extensions.auth.type se establece en AUTHTYPE_UNSPECIFIED. |
actionParameters.clientID |
additional.fields (clave = "ID de cliente") |
|
actionParameters.clientID |
principal.group.product_object_id |
|
actionParameters.groups |
security_result.detection_fields (key = "service_account_group") |
Itera el array |
actionParameters.input.patch.portalVisitHistory.dateTime |
additional.fields (key = "dateTime {index}") |
Se iteró dentro del array. |
actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels (clave = "id {index}") |
Se iteró dentro del array. |
actionParameters.input.patch.portalVisitHistory.name |
principal.resource.attribute.labels (clave = "name {index}") |
Se iteró dentro del array. |
actionParameters.input.patch.portalVisitHistory.resourceName |
principal.resource.attribute.labels (key = "resourceName {index}") |
Se iteró dentro del array. |
actionParameters.input.patch.portalVisitHistory.resourceType |
principal.resource.attribute.labels (key = "resourceType {index}") |
Se iteró dentro del array. |
actionParameters.input.patch.portalVisitHistory.ruleType |
principal.resource.attribute.labels (clave = "ruleType {index}") |
Se iteró dentro del array. |
actionParameters.input.patch.portalVisitHistory.type |
additional.fields (clave = "type {index}") |
Se iteró dentro del array. |
actionParameters.name |
target.user.user_display_name |
|
actionParameters.products |
security_result.detection_fields (key = "service_account_product") |
Itera el array y omite los valores vacíos o "*". |
actionParameters.role |
target.user.attribute.roles |
|
actionParameters.scopes |
security_result.detection_fields (key = "service_account_scope") |
Se itera, y cada alcance se agrega como un par clave-valor independiente. |
actionParameters.selection.preferences |
additional.fields (clave = "Preferences") |
Cuando se itera, los valores se agregan como una lista de cadenas. |
actionParameters.userEmail |
target.user.email_addresses |
|
actionParameters.userID |
target.user.userid |
|
actionParameters.userpoolID |
additional.fields (clave = "ID del grupo de usuarios") |
|
actionParameters.userPoolType |
additional.fields (clave = "Tipo de grupo de usuarios") |
|
actor.displayName |
target.user.user_display_name |
|
actor.id |
target.user.userid |
|
actors.externalId |
intermediary.ip, intermediary.asset.ip |
Itera a través de los actores. |
actors.id |
additional.fields (key = "actor_id: %{index}") |
Itera a través de los actores. |
actors.name |
target.ip, target.asset.ip |
Itera a través de los actores. |
actors.type |
target.resource.attribute.labels (key = "actor_type: %{index}") |
Itera a través de los actores. |
authenticationContext.authenticationProvider |
security_result.detection_fields (clave = "authenticationProvider") |
Se combinó en security_result.detection_fields. |
authenticationContext.credentialProvider |
security_result.detection_fields (clave = "credentialProvider") |
Se combinó en security_result.detection_fields. |
authenticationContext.credentialType |
extensions.auth.mechanism |
Lógica: "OTP" para SMS/CORREO ELECTRÓNICO, "USERNAME_PASSWORD" para PASSWORD. |
authenticationContext.externalSessionId |
network.parent_session_id |
|
client.device |
principal.asset.type |
Se asigna de forma condicional según la expresión regular. |
client.geographicalContext.city |
principal.location.city |
|
client.geographicalContext.country |
principal.location.country_or_region |
|
client.geographicalContext.geolocation.lat |
principal.location.region_latitude |
|
client.geographicalContext.geolocation.lon |
principal.location.region_longitude |
|
client.geographicalContext.postalCode |
additional.fields (clave = "Código postal") |
|
client.geographicalContext.state |
principal.location.state |
|
client.ipAddress |
principal.ip, principal.asset.ip |
|
client.userAgent.browser |
target.resource.attribute.labels (clave = "Browser") |
|
client.userAgent.os |
principal.platform |
Se asigna a LINUX, WINDOWS o MAC. |
client.userAgent.rawUserAgent |
network.http.user_agent, network.http.parsed_user_agent |
|
control.description |
security_result.detection_fields (clave = "control_description") |
|
control.id |
security_result.detection_fields (clave = "control_id") |
|
control.IssueURL |
security_result.url_back_to_product |
|
control.name |
security_result.detection_fields (key = "control_name") |
|
control.resolutionRecommendation |
security_result.detection_fields (clave = "control_resolution") |
|
control.risks |
security_result.detection_fields (clave = "risk {i}") |
Itera el array |
control.securitySubCategories.category.framework.name |
security_result.detection_fields (clave = "framework_name") |
Es un array de subcategorías de procesos de bucle. |
control.securitySubCategories.category.name |
security_result.category_details |
Es un array de subcategorías de procesos de bucle. |
control.securitySubCategories.title |
security_result.summary |
Es un array de subcategorías de procesos de bucle. |
control.severity |
security_result.severity |
Establece de forma condicional HIGH, MEDIUM o LOW. |
createdAt |
metadata.event_timestamp |
|
debugContext.debugData.behaviors |
security_result.description |
|
debugContext.debugData.deviceFingerprint |
target.asset.asset_id |
Se antepone "device_finger_print:". |
debugContext.debugData.dtHash |
security_result.detection_fields (key = "dtHash") |
|
debugContext.debugData.factor |
security_result.detection_fields (clave = "factor") |
|
debugContext.debugData.promptingPolicyTypes |
security_result.detection_fields (clave = "promptingPolicyTypes") |
|
debugContext.debugData.requestUri |
extensions.auth.auth_details |
|
description |
security_result.description |
|
detection.actors.externalId |
principal.user.userid |
Itera sobre detection.actors |
detection.actors.externalId |
target.user.userid |
Itera sobre detection.actors |
detection.actors.id |
principal.user.product_object_id |
Itera sobre detection.actors |
detection.actors.id |
target.user.product_object_id |
Itera sobre detection.actors |
detection.actors.name |
principal.user.user_display_name |
Itera sobre detection.actors |
detection.actors.name |
target.user.user_display_name |
Itera sobre detection.actors |
detection.actors.nativeType |
principal.user.attribute.labels (key = "actor_nativeType {index}") |
Itera sobre detection.actors |
detection.actors.nativeType |
target.user.attribute.labels (key = "primaryActor_nativeType {index}") |
Itera sobre detection.actors |
detection.actors.type |
security_result.detection_fields (key = "actor_type {index}") |
Itera sobre detection.actors |
detection.actors.type |
security_result.detection_fields (key = "primary_actor_type {index}") |
Itera sobre detection.actors |
detection.cloudAccounts.cloudPlatform |
additional.fields (key = "detection_cloudAccount_cloudPlatform {i}") |
Itera el array |
detection.cloudAccounts.externalId |
additional.fields (clave = "detection_cloudAccount_externalId {i}") |
Itera el array |
detection.cloudAccounts.id |
additional.fields (clave = "detection_cloudAccount_id {i}") |
Itera el array |
detection.cloudAccounts.name |
additional.fields (key = "detection_cloudAccount_name {i}") |
Itera el array |
detection.cloudOrganizations |
principal.resource.attribute.labels (clave = "detectioncloudOrganization{index}") |
|
detection.createdAt |
additional.fields (clave = "detection_createdAt") |
|
detection.description |
security_result.description |
|
detection.detectionURL |
security_result.url_back_to_product |
|
detection.id |
metadata.product_log_id |
|
detection.mitreTactics |
additional.fields (key = "mitre_tactic {i}") |
Itera el array |
detection.mitreTechniques |
additional.fields (key = "mitre_technique {i}") |
Itera el array |
detection.primaryActor.actingAs.externalId |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_externalId") |
|
detection.primaryActor.actingAs.id |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_id") |
|
detection.primaryActor.actingAs.name |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_name") |
|
detection.primaryActor.actingAs.providerUniqueId |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_providerUniqueId") |
|
detection.primaryActor.actingAs.type |
principal.resource.attribute.labels (clave = "detection_primaryActor_actingAs_type") |
|
detection.primaryResource.externalId |
target.resource.product_object_id |
|
detection.primaryResource.id |
additional.fields (clave = "detection_primaryResource_id") |
|
detection.primaryResource.name |
target.hostname, target.asset.hostname |
|
detection.primaryResource.type |
additional.fields (clave = "detection_primaryResource_type") |
|
detection.primaryResource.type |
target.resource.resource_type |
Se establece en VIRTUAL_MACHINE si el tipo coincide con los criterios. |
detection.resources.cloudProviderURL |
target.resource.attribute.labels (key = "detection_resource_cloudProviderURL {i}") |
Itera a través del array detection.resources |
detection.resources.externalId |
security_result.about.resource.attribute.labels (key = "detection_resource_externalId {i}") |
Itera a través del array detection.resources |
detection.resources.id |
security_result.about.resource.attribute.labels (key = "detection_resource_id {i}") |
Itera a través del array detection.resources |
detection.resources.kubernetesCluster.externalId |
target.resource.attribute.labels (key = "kubernetesClusterexternalId{i}") |
Itera a través del array detection.resources |
detection.resources.kubernetesCluster.id |
target.resource.attribute.labels (clave = "kubernetesClusterid{i}") |
Itera a través del array detection.resources |
detection.resources.kubernetesnamespace.id |
additional.fields (key = "kubernetesnamespaceid{i}") |
Itera a través del array detection.resources |
detection.resources.name |
security_result.about.resource.attribute.labels (key = "detection_resource_name {i}") |
Itera a través del array detection.resources |
detection.resources.nativeType |
security_result.about.resource.attribute.labels (key = "detection_resource_nativeType {i}") |
Itera a través del array detection.resources |
detection.resources.region |
security_result.about.resource.attribute.labels (key = "detection_resource_region {i}") |
Itera a través del array detection.resources |
detection.resources.status |
target.resource.attribute.labels (key = "detection_resource_status {i}") |
Itera a través del array detection.resources |
detection.resources.type |
security_result.about.resource.attribute.labels (key = "detection_resource_type {i}") |
Itera a través del array detection.resources |
detection.tdrId |
additional.fields (clave = "detection_tdr_id") |
|
detection.tdrSource |
additional.fields (key = "detection_tdr_source") |
|
detection.threatId |
security_result.threat_id |
|
detection.threatURL |
security_result.detection_fields (clave = "threatURL") |
|
detection.timeframe.end |
metadata.collected_timestamp |
|
detection.timeframe.start |
metadata.event_timestamp |
|
detection.title |
security_result.rule_name |
|
detection.triggeringEvents.actor.externalId |
security_result.detection_fields (key = "detection_triggeringEvent_actor_externalId {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actor.id |
security_result.detection_fields (key = "detection_triggeringEvent_actor_id {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actor.name |
security_result.detection_fields (clave = "detection_triggeringEvent_actor_name {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actor.type |
security_result.detection_fields (clave = "detection_triggeringEvent_actor_type {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIP |
principal.ip y principal.asset.ip |
Itera a través de triggeringEvents. |
detection.triggeringEvents.actorIP |
principal.resource.attribute.labels (clave = "detection_triggeringEvent_actorIP {index}") |
Itera a través de triggeringEvents. |
detection.triggeringEvents.actorIPMeta.autonomousSystemNumber |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_autonomousSystemNumber {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.autonomousSystemOrganization |
additional.fields (clave = "detection_triggeringEvent_actorIPMeta_autonomousSystemOrganization {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.country |
additional.fields (clave = "detection_triggeringEvent_actorIPMeta_country {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.isForeign |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_isForeign {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputation |
security_result.about.resource.attribute.labels (key = "detection_triggeringEvent_actorIPMeta_reputation {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputationSource |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_reputationSource {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.category |
additional.fields (key = "detection_triggeringEvent_category {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.cloudPlatform |
additional.fields (clave = "detection_triggeringEvent_cloudPlatform {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.cloudProviderUrl |
target.url |
Itera a través de triggeringEvents |
detection.triggeringEvents.description |
metadata.description |
Itera a través de triggeringEvents |
detection.triggeringEvents.eventTime |
additional.fields (clave = "detection_triggeringEvent_eventTime {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.externalId |
additional.fields (key = "detection_triggeringEvent_externalId {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.id |
additional.fields (key = "detection_triggeringEvent_id {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.name |
additional.fields (key = "detection_triggeringEvent_name {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.origin |
additional.fields (key = "detection_triggeringEvent_origin {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.runtimeDetails.currentWorkingDirectory |
additional.fields (clave = "detection_triggeringEvent_runtimeDetails_currentWorkingDirectory {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.runtimeDetails.processTree[0].path |
principal.process.file.full_path |
Itera a través de triggeringEvents. Anula la lógica del índice 0/1. |
detection.triggeringEvents.runtimeDetails.processTree[0].username |
additional.fields (clave = "detection_triggeringEvent_runtimeDetails_username {index}") |
Itera a través de triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[1].hash |
additional.fields (clave = "detection_triggeringEvent_runtimeDetails_hash {index}") |
Itera a través de triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[2].path |
principal.process.parent_process.file.full_path |
Itera a través de triggeringEvents |
detection.triggeringEvents.source |
additional.fields (key = "detection_triggeringEvent_source {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents.status |
additional.fields (key = "detection_triggeringEvent_status {index}") |
Itera a través de triggeringEvents |
detection.triggeringEvents[0].runtimeDetails.processTree[0].command |
target.process.command_line |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].hash |
target.process.file.sha1 |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].path |
target.process.file.full_path |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].size |
target.process.file.size |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].username |
principal.user.userid |
Solo para el primer triggeringEvent y el primer elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[1].command |
principal.process.command_line |
Solo para el primer triggeringEvent y el segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].hash |
principal.process.file.sha1 |
Solo para el primer triggeringEvent y el segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].path |
principal.process.file.full_path |
Solo para el primer triggeringEvent y el segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].size |
principal.process.file.size |
Solo para el primer triggeringEvent y el segundo elemento processTree. |
detection.triggeringEventsCount |
additional.fields (clave = "triggering_events_count") |
|
DetectionURL |
security_result.url_back_to_product |
|
dueAt |
additional.fields (clave = "due_at") |
|
entitySnapshot.cloudPlatform |
principal.cloud.vpc.name |
|
entitySnapshot.externalId |
principal.group.product_object_id |
|
entitySnapshot.id |
principal.asset_id |
|
entitySnapshot.name |
principal.cloud.project.name |
|
entitySnapshot.nativeType |
principal.cloud.project.resource_subtype |
|
entitySnapshot.providerId |
principal.cloud.vpc.id |
|
entitySnapshot.status |
security_result.action_details |
|
entitySnapshot.tags.io.cri-containerd.kind |
target.resource.attribute.labels (clave = "Containerd Kind") |
|
entitySnapshot.tags.io.kubernetes.container.name |
target.resource.attribute.labels (clave = "Nombre del contenedor") |
|
entitySnapshot.tags.io.kubernetes.pod.name |
target.resource.attribute.labels (clave = "Nombre del Pod") |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
principal.namespace |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
target.resource.attribute.labels (clave = "Espacio de nombres del Pod") |
|
entitySnapshot.tags.io.kubernetes.pod.uid |
target.resource.attribute.labels (clave = "Pod Id") |
|
entitySnapshot.tags.maintainer |
target.resource.attribute.labels (clave = "Maintainer") |
|
entitySnapshot.type |
principal.cloud.project.id |
|
eventType |
metadata.product_event_type |
|
eventType (valores específicos) |
extensions.auth.mechanism |
Se combina con auth_type para los tipos de acceso. |
Hardcoded to "WIZ_IO" |
metadata.product_name |
|
Hardcoded to "WIZ_IO" |
metadata.vendor_name |
|
id |
metadata.product_log_id |
|
issue.created |
metadata.event_timestamp |
|
issue.id |
metadata.product_log_id |
|
issue.projects |
additional.fields (clave = "issue_projects") |
|
issue.severity |
Sets intermediate variable severity |
Se establece en INFORMATIONAL si se cumple la condición. |
issue.status |
security_result.action_details |
|
issue.status |
security_result.action_details |
Se asigna solo si el estado es "ABIERTO". |
metadata_data.version |
metadata.product_version |
|
mitreTactics (elemento del array) |
additional.fields (key = "mitre_tactic %{i}") |
Itera a través del array. |
mitreTechniques (elemento del array) |
additional.fields (key = "mitre_technique %{i}") |
Itera a través del array. |
outcome.reason |
security_result.category_details |
|
outcome.result |
security_result.action |
Asignación indirecta a ALLOW, CHALLENGE o BLOCK. |
primaryActor.actingAs |
additional.fields (clave = "primaryActor_actingAs") |
|
primaryActor.email |
additional.fields (key = "primaryActor_email") |
|
primaryActor.externalId |
principal.ip, principal.asset.ip |
|
primaryActor.id |
additional.fields (key = "primaryActor_id") |
|
primaryActor.name |
target.ip, target.asset.ip |
|
primaryActor.nativeType |
additional.fields (key = "primaryActor_nativeType") |
|
primaryActor.providerUniqueId |
additional.fields (clave = "primaryActor_providerUniqueId") |
|
primaryActor.type |
principal.resource.type |
|
primaryResource.cloudAccount.cloudPlatform |
additional.fields (clave = "primaryResourceCloudPlatform") |
|
primaryResource.cloudAccount.externalId |
target.cloud.project.id |
|
primaryResource.cloudAccount.id |
additional.fields (clave = "primaryResourceCloudAccountId") |
|
primaryResource.cloudAccount.name |
target.cloud.project.name |
|
primaryResource.cloudProviderURL |
target.url |
|
primaryResource.externalId |
additional.fields (clave = "primaryResourceExternalId") |
|
primaryResource.id |
target.resource.id |
|
primaryResource.name |
target.resource.name |
|
primaryResource.nativeType |
additional.fields (key = "primaryResourceNativeType") |
|
primaryResource.region |
target.asset.location.country_or_region |
|
primaryResource.type |
target.resource.type |
|
process.command |
target.resource.attribute.labels (key = "processcommand{process_index}") |
|
process.container.externalId |
target.resource.attribute.labels (key = "containerexternalId{process_index}") |
|
process.container.id |
target.resource.attribute.labels (clave = "process_containerid{process_index}") |
|
process.container.imageExternalId |
target.resource.attribute.labels (key = "containerimageExternalId{process_index}") |
|
process.container.imageId |
target.resource.attribute.labels (clave = "containerimageId{process_index}") |
|
process.container.name |
target.resource.attribute.labels (key = "process_containername{process_index}") |
|
process.currentWorkingDirectory |
target.resource.attribute.labels (clave = "currentWorkingDirectory_{process_index}") |
|
process.hash |
target.resource.attribute.labels (clave = "processhash{process_index}") |
|
process.id |
target.resource.attribute.labels (key = "processid{process_index}") |
|
process.path |
target.resource.attribute.labels (key = "processpath{process_index}") |
|
process.size |
target.process.file.size |
|
process.userId |
target.resource.attribute.labels (clave = "processuserId{process_index}") |
|
process.username |
target.resource.attribute.labels (clave = "processusername{process_index}") |
|
requestId |
metadata.product_log_id |
|
resource.cloudAccount.cloudPlatform |
additional.fields (clave = "cloudPlatform") |
Parte del objeto se combinó en el campo about repetido. |
resource.cloudAccount.externalId |
additional.fields (clave = "cloudAccountExternalId") |
Parte del objeto se combinó en el campo about repetido. |
resource.cloudAccount.id |
additional.fields (clave = "cloudAccountId") |
Parte del objeto se combinó en el campo about repetido. |
resource.cloudAccount.name |
cloudAccountName |
|
resource.cloudPlatform |
additional.fields (key = "resource_cloudPlatform") |
|
resource.cloudProviderURL |
about.url |
Parte del objeto se combinó en el campo about repetido. |
resource.cloudProviderURL |
target.url |
|
resource.externalId |
additional.fields (clave = "externalId") |
Parte del objeto se combinó en el campo about repetido. |
resource.id |
about.resource.product_object_id |
Parte del objeto se combinó en el campo about repetido. |
resource.id |
target.resource.id |
|
resource.name |
about.resource.name |
Parte del objeto se combinó en el campo about repetido. |
resource.name |
target.resource.name |
|
resource.nativeType |
about.resource.resource_subtype |
Parte del objeto se combinó en el campo about repetido. |
resource.region |
about.location.country_or_region |
Parte del objeto se combinó en el campo about repetido. |
resource.region |
target.asset.location.country_or_region |
|
resource.region |
target.location.country_or_region |
|
resource.status |
about.resource.attribute.labels (clave = "status") |
Parte del objeto se combinó en el campo about repetido. |
resource.status |
target.resource.attribute.labels (clave = "status") |
|
resource.subscriptionId |
target.cloud.project.id |
|
resource.subscriptionName |
target.cloud.project.name |
|
resource.type |
about.resource.type |
Parte del objeto se combinó en el campo about repetido. |
resource.type |
target.resource.type |
|
serviceAccount.name |
principal.application |
Solo si la acción es "Denunciar" |
sourceIP |
principal.ip, principal.asset.ip |
|
sourceRule.id |
principal.user.userid |
|
status |
security_result.summary |
|
statusChangedAt |
additional.fields (clave = "status_changed_at") |
|
tdrId |
security_result.detection_fields (clave = "tdrId") |
|
tdrSource |
security_result.detection_fields (clave = "tdrSource") |
|
The detection.severity variable |
security_result.severity |
Se normaliza (p.ej., INFO -> LOW) y, luego, se asigna. |
threat.actors.externalId |
principal.user.email_addresses |
Itera a través de threat.actors. |
threat.actors.id |
principal.resource.attribute.labels (key = "actor_id:%{index}") |
Se asigna a los elementos posteriores al primero (índice > 0). |
threat.actors.id |
principal.resource.product_object_id |
Se asigna al primer elemento (índice 0). |
threat.actors.name |
principal.user.email_addresses |
Itera a través de threat.actors. |
threat.actors.nativeType |
principal.resource.attribute.labels (key = "actor_nativeType:%{index}") |
Se asigna a los elementos posteriores al primero (índice > 0). |
threat.actors.nativeType |
principal.resource.resource_subtype |
Se asigna al primer elemento (índice 0). |
threat.actors.type |
additional.fields (key = "actor_type") |
Itera a través de threat.actors. |
threat.cloudAccounts |
target.resource.attribute.labels (clave = "threat_cloudAccounts") |
|
threat.cloudOrganizations.cloudProvider |
target.resource.attribute.labels (clave = "org_cloudProvider:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudOrganizations.externalId |
target.resource.attribute.labels (key = "org_externalId:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudOrganizations.id |
target.resource.attribute.labels (key = "org_id:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudOrganizations.name |
target.resource.attribute.labels (key = "org_name:%{index}") |
Itera a través de threat.cloudOrganizations. |
threat.cloudPlatform |
additional.fields (clave = "threat_cloudPlatform") |
|
threat.created |
metadata.event_timestamp |
|
threat.description |
security_result.description |
|
threat.detectionIds |
additional.fields (clave = "detectionId") |
Cadena separada por comas y dividida en una lista. |
threat.id |
metadata.product_log_id |
|
threat.mitreTactics |
additional.fields (key = "tactic_vallabel{index}") |
Itera a través del array. |
threat.mitreTechniques |
additional.fields (clave = "technique_vallabel{i}") |
Itera el array |
threat.notes |
additional.fields (clave = "threat_notes") |
|
threat.projects |
additional.fields (clave = "threat_projects") |
|
threat.resolutionNote |
additional.fields (clave = "threat_resolutionNote") |
|
threat.resolvedAt |
additional.fields (clave = "threat_resolvedAt") |
|
threat.resources.externalId |
target.resource.attribute.labels (key = "resource_externalId:%{index}") |
Se asigna a los elementos posteriores al primero (índice > 0). |
threat.resources.externalId |
target.resource.product_object_id |
Se asigna al primer elemento (índice 0). |
threat.resources.id |
target.resource.attribute.labels (key = "resource_id:%{index}") |
Itera a través de threat.resources. |
threat.resources.name |
target.resource.attribute.labels (key = "resource_name:%{index}") |
Se asigna a los elementos posteriores al primero (índice > 0). |
threat.resources.name |
target.resource.name |
Se asigna al primer elemento (índice 0). |
threat.resources.nativeType |
target.resource.attribute.labels (key = "resource_nativeType:%{index}") |
Se asigna a los elementos posteriores al primero (índice > 0). |
threat.resources.nativeType |
target.resource.resource_subtype |
Se asigna al primer elemento (índice 0). |
threat.resources.type |
additional.fields (key = "resource_type") |
Itera a través de threat.resources. |
threat.severity |
security_result.severity |
Se normaliza de forma indirecta (p.ej., INFO -> LOW). |
threat.status |
security_result.action_details |
|
threat.tdrNames |
additional.fields (clave = "tdrName") |
Cadena separada por comas y dividida en una lista. |
threat.threatURL |
security_result.url_back_to_product |
|
threat.title |
metadata.description |
|
threat.updatedAt |
additional.fields (clave = "threat_updatedAt") |
|
threatId |
security_result.threat_id |
|
threatURL |
security_result.detection_fields (clave = "threatURL") |
|
timeframe.end |
additional.fields (clave = "timeframe_end") |
|
timeframe.start |
metadata.collected_timestamp |
|
timestamp |
metadata.event_timestamp |
|
title |
security_result.summary |
|
trigger.changedBy |
principal.user.product_object_id |
|
trigger.ruleId |
security_result.rule_id |
|
trigger.ruleName |
additional.fields (key = "rule_name") |
|
trigger.source |
metadata.product_event_type |
|
trigger.type |
additional.fields (clave = "trigger_type") |
|
trigger.updatedFields |
additional.fields (clave = "updated_fields") |
|
triggeringEvents.actor.id |
principal.user.userid |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actor.name |
about.user.user_display_name |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.actor.type |
about.resource.type |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.actorIP |
observer.ip |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemNumber |
principal.labels (clave = "actorIP_autonomousSystemNumber") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemOrganization |
principal.labels (key = "actorIP_autonomousSystemOrganization") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.country |
principal.asset.location.country_or_region |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.isForeign |
principal.labels (key = "actorIP_isForeign") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.reputation |
principal.labels (clave = "actorIP_reputation") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.actorIPMeta.reputationSource |
principal.labels (key = "actorIP_reputationSource") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.category |
about.resource.attribute.labels (clave = "triggeringEvent_category") |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.cloudPlatform |
security_result.detection_fields (clave = "triggeringEvent_cloudPlatform") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.cloudProviderUrltarget.url |
Mapped within the triggeringEvents loop. |
|
triggeringEvents.description |
metadata.description |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.eventTime |
about.resource.attribute.labels (clave = "triggeringEvent_eventTime") |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.externalId |
principal.resource.product_object_id |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.id |
metadata.product_log_id |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.name |
security_result.summary |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.origin |
about.resource.attribute.labels (clave = "triggeringEvent_origin") |
Se asignó dentro del bucle triggeringEvents y se combinó. |
triggeringEvents.resources.externalId |
about.resource.attribute.labels (clave = "externalId") |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.id |
about.resource.product_object_id |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.name |
about.resource.name |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.nativeType |
about.resource.resource_subtype |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.region |
about.location.country_or_region |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.resources.type |
about.resource.type |
Se asigna dentro de bucles y se combina en el array about. |
triggeringEvents.source |
additional.fields (key = "triggeringEvent_source") |
Se asigna dentro del bucle triggeringEvents. |
triggeringEvents.status |
security_result.action_details |
Se asigna dentro del bucle triggeringEvents. |
triggeringEventsCount |
additional.fields (clave = "triggeringEventsCount") |
|
type |
metadata.product_event_type |
|
updatedAt |
additional.fields (clave = "updated_at") |
|
version |
security_result.detection_fields (clave = "version") |
|
detection.primaryActor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Se asignó desde el registro de cambios |
detection.actors.type |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.actors.externalId |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.actors.id |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.actors.name |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.email |
event.idm.read_only_udm.principal.user.email_addresses |
Se asignó desde el registro de cambios |
detection.primaryActor.friendlyName |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.providerUniqueId |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.actors |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
detection.tdrId |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
detection.tdrSource |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
detection.cloudAccounts.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.cloudAccounts.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.cloudAccounts.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Se asignó desde el registro de cambios |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.triggeringEvents.actor.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Se asignó desde el registro de cambios |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.triggeringEvents.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Se asignó desde el registro de cambios |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.triggeringEvents.description |
event.idm.read_only_udm.metadata.description |
Se asignó desde el registro de cambios |
detection.triggeringEvents.description |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Se asignó desde el registro de cambios |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.summary |
Se asignó desde el registro de cambios |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.action_details |
Se asignó desde el registro de cambios |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
title |
event.idm.read_only_udm.security_result.rule_name |
Se asignó desde el registro de cambios |
createdAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Se asignó desde el registro de cambios |
actors.externalId |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Se asignó desde el registro de cambios |
actors.externalId |
event.idm.read_only_udm.principal.user.userid |
Se asignó desde el registro de cambios |
actors.id |
event.idm.read_only_udm.principal.user.product_object_id |
Se asignó desde el registro de cambios |
actors.name |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Se asignó desde el registro de cambios |
actors.name |
event.idm.read_only_udm.principal.user.user_display_name |
Se asignó desde el registro de cambios |
actors.type |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Se asignó desde el registro de cambios |
primaryResource.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryResource.name |
event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname |
Se asignó desde el registro de cambios |
triggeringEvents.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvents.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvents.actorIP |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Se asignó desde el registro de cambios |
triggeringEvents.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvents.category |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvents.eventTime |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvents.origin |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Se asignó desde el registro de cambios |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvents.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
detection.triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Se asignó desde el registro de cambios |
mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Se asignó desde el registro de cambios |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Se asignó desde el registro de cambios |
resource.subscriptionId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource.subscriptionName |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
account.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
account.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Se asignó desde el registro de cambios |
primaryResource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Se asignó desde el registro de cambios |
primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Se asignó desde el registro de cambios |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.actor.type |
event.idm.read_only_udm.about.resource.resource_type |
Se asignó desde el registro de cambios |
client.geographicalContext.geolocation.lat |
event.idm.read_only_udm.principal.location.region_coordinates.latitude |
Se asignó desde el registro de cambios |
client.geographicalContext.geolocation.lon |
event.idm.read_only_udm.principal.location.region_coordinates.longitude |
Se asignó desde el registro de cambios |
triggeringEvent.resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Se asignó desde el registro de cambios |
resource.type |
event.idm.read_only_udm.target.resource.resource_type |
Se asignó desde el registro de cambios |
resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Se asignó desde el registro de cambios |
actor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.executionTime |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesNamespace.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesNamespace.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesNamespace.providerUniqueId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
primaryResource.kubernetesNamespace.name |
event.idm.read_only_udm.target.namespace |
Se asignó desde el registro de cambios |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Se asignó desde el registro de cambios |
detection.primaryResource.name |
event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.n.currentWorkingDirectory |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.command |
event.idm.read_only_udm.principal.process.command_line |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.path |
event.idm.read_only_udm.principal.process.file.full_path |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.principal.process.file.sha1 |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.size |
event.idm.read_only_udm.principal.process.file.size |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.principal.user.userid |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.command |
event.idm.read_only_udm.target.process.command_line |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.target.process.file.full_path |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.hash |
event.idm.read_only_udm.target.process.file.sha1 |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.size |
event.idm.read_only_udm.target.process.file.size |
Se asignó desde el registro de cambios |
detection.title |
event.idm.read_only_udm.security_result.rule_name |
Se asignó desde el registro de cambios |
trigger.ruleName |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection_cloudOrganizations |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection_triggeringEvent_actorIP |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.actingAs.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.actingAs.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.actingAs.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.actingAs.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
detection.primaryActor.actingAs.providerUniqueId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.status |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.cloudProviderURL |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
actor_externalId |
event.idm.read_only_udm.principal.user.email_addresses |
Se asignó desde el registro de cambios |
actor_name |
event.idm.read_only_udm.principal.user.email_addresses |
Se asignó desde el registro de cambios |
actor_id |
event.idm.read_only_udm.principal.resource.product_object_id |
Se asignó desde el registro de cambios |
actor_nativeType |
event.idm.read_only_udm.principal.resource.resource_subtype |
Se asignó desde el registro de cambios |
actor_type |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource_type |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threat_cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threat_resolutionNote |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threat_resolvedAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threat_projects |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threat_notes |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
tactic_val |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
technique_val |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threat.updatedAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
tdrName |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detectionId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource_externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Se asignó desde el registro de cambios |
resource_nativeType |
event.idm.read_only_udm.target.resource.resource_subtype |
Se asignó desde el registro de cambios |
org_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
org_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
org_cloudProvider |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
org_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource_nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
threat.threatURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Se asignó desde el registro de cambios |
threat.id |
event.idm.read_only_udm.metadata.product_log_id |
Se asignó desde el registro de cambios |
threat.title |
event.idm.read_only_udm.metadata.description |
Se asignó desde el registro de cambios |
threat.description |
event.idm.read_only_udm.security_result.description |
Se asignó desde el registro de cambios |
threat.status |
event.idm.read_only_udm.security_result.action_details |
Se asignó desde el registro de cambios |
threat.created |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
threat.severity |
event.idm.read_only_udm.security_result.severity |
Se asignó desde el registro de cambios |
resource_name |
event.idm.read_only_udm.target.resource.name |
Se asignó desde el registro de cambios |
actor_id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
actor_nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process_command |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process_container_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process_container_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process.container.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process.container.imageId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process.container.imageExternalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process_hash |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process_path |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process.username |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
process.userId |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.kubernetesnamespace.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.currentWorkingDirectory |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.principal.process.file.full_path |
Se asignó desde el registro de cambios |
triggeringEvent.runtimeDetails.processTree.2.path |
event.idm.read_only_udm.principal.process.parent_process.file.full_path |
Se asignó desde el registro de cambios |
process.size |
event.idm.read_only_udm.target.process.file.size |
Se asignó desde el registro de cambios |
detection.id |
event.idm.read_only_udm.metadata.product_log_id |
Se asignó desde el registro de cambios |
detection.threatId |
event.idm.read_only_udm.security_result.threat_id |
Se asignó desde el registro de cambios |
detection.detectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Se asignó desde el registro de cambios |
detection.threatURL |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
primaryActor.type |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvent.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvent.actor.id |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvent.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvent.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
detection.title |
event.idm.read_only_udm.security_result.summary |
Se asignó desde el registro de cambios |
detection.description |
event.idm.read_only_udm.security_result.description |
Se asignó desde el registro de cambios |
detection.severity |
event.idm.read_only_udm.severity |
Se asignó desde el registro de cambios |
detection.tdrId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.tdrSource |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.mitreTactics |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.mitreTechniques |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
account.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
account.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
account.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
account.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.createdAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.primaryResource.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.primaryResource.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.primaryResource.type |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.category |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.eventTime |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.origin |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.source |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEvent.status |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
detection.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
detection.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Se asignó desde el registro de cambios |
actor.externalId |
event.idm.read_only_udm.principal.user.userid |
Se asignó desde el registro de cambios |
actor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Se asignó desde el registro de cambios |
actor.name |
event.idm.read_only_udm.principal.user.user_display_name |
Se asignó desde el registro de cambios |
primaryActor.externalId |
event.idm.read_only_udm.target.user.userid |
Se asignó desde el registro de cambios |
primaryActor.id |
event.idm.read_only_udm.target.user.product_object_id |
Se asignó desde el registro de cambios |
primaryActor.name |
event.idm.read_only_udm.target.user.user_display_name |
Se asignó desde el registro de cambios |
metadata_data.version |
event.idm.read_only_udm.metadata.product_version |
Se asignó desde el registro de cambios |
triggeringEvent.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.type |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.externalId |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.id |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.name |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.nativeType |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
det_resource.region |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.actorIP |
event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip |
Se asignó desde el registro de cambios |
actor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Se asignó desde el registro de cambios |
primaryActor.nativeType |
event.idm.read_only_udm.target.user.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.description |
event.idm.read_only_udm.metadata.description |
Se asignó desde el registro de cambios |
actor.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
trigger.source |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
issue.projects |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
control.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
threatURL |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
tdrId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
tdrSource |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryActor.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryActor.actingAs |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryActor.email |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryActor.nativeType |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryActor.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource.cloudAccount.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
resource.cloudAccount.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
primaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
mitreTactics |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
mitreTechniques |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
trigger.type |
event.idm.read_only_udm.metadata.product_event_type |
Se asignó desde el registro de cambios |
trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Se asignó desde el registro de cambios |
trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Se asignó desde el registro de cambios |
trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Se asignó desde el registro de cambios |
issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Se asignó desde el registro de cambios |
triggeringEvent.id |
event.idm.read_only_udm.metadata.product_log_id |
Se asignó desde el registro de cambios |
issue.status |
event.idm.read_only_udm.security_result.action_details |
Se asignó desde el registro de cambios |
triggeringEvent.status |
event.idm.read_only_udm.security_result.action_details |
Se asignó desde el registro de cambios |
issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
createdAt |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
resource.id |
event.idm.read_only_udm.target.resource.id |
Se asignó desde el registro de cambios |
primaryResource.id |
event.idm.read_only_udm.target.resource.id |
Se asignó desde el registro de cambios |
resource.name |
event.idm.read_only_udm.target.resource.name |
Se asignó desde el registro de cambios |
primaryResource.name |
event.idm.read_only_udm.target.resource.name |
Se asignó desde el registro de cambios |
resource.type |
event.idm.read_only_udm.target.resource.type |
Se asignó desde el registro de cambios |
primaryResource.type |
event.idm.read_only_udm.target.resource.type |
Se asignó desde el registro de cambios |
resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Se asignó desde el registro de cambios |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Se asignó desde el registro de cambios |
resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Se asignó desde el registro de cambios |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Se asignó desde el registro de cambios |
resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Se asignó desde el registro de cambios |
primaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Se asignó desde el registro de cambios |
resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Se asignó desde el registro de cambios |
primaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Se asignó desde el registro de cambios |
control.id |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
risk |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
control.description |
event.idm.read_only_udm.metadata.description |
Se asignó desde el registro de cambios |
control.severity |
event.idm.read_only_udm.security_result.severity |
Se asignó desde el registro de cambios |
issue.severity |
event.idm.read_only_udm.security_result.severity |
Se asignó desde el registro de cambios |
severity |
event.idm.read_only_udm.security_result.severity |
Se asignó desde el registro de cambios |
control.IssueURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Se asignó desde el registro de cambios |
DetectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Se asignó desde el registro de cambios |
threatId |
event.idm.read_only_udm.security_result.threat_id |
Se asignó desde el registro de cambios |
title |
event.idm.read_only_udm.security_result.summary |
Se asignó desde el registro de cambios |
triggeringEvent.name |
event.idm.read_only_udm.security_result.summary |
Se asignó desde el registro de cambios |
description |
event.idm.read_only_udm.security_result.description |
Se asignó desde el registro de cambios |
primaryActor.externalId |
event.idm.read_only_udm.principal.ip |
Se asignó desde el registro de cambios |
primaryActor.type |
event.idm.read_only_udm.principal.resource.type |
Se asignó desde el registro de cambios |
primaryActor.name |
event.idm.read_only_udm.target.ip |
Se asignó desde el registro de cambios |
resource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
actor.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource.status |
event.idm.read_only_udm.resource_obj.resource.attribute.labels |
Se asignó desde el registro de cambios |
resource.region |
event.idm.read_only_udm.target.location.country_or_region |
Se asignó desde el registro de cambios |
resource.cloudProviderURL |
event.idm.read_only_udm.resource_obj.url |
Se asignó desde el registro de cambios |
triggeringEvent.actorIP |
event.idm.read_only_udm.observer.ip |
Se asignó desde el registro de cambios |
triggeringEvent.actor.id |
event.idm.read_only_udm.principal.user.userid |
Se asignó desde el registro de cambios |
triggeringEvent.actor.name |
event.idm.read_only_udm.about_obj.user.user_display_name |
Se asignó desde el registro de cambios |
triggeringEvent.actor.type |
event.idm.read_only_udm.about_obj.resource.type |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.principal.labels |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.principal.labels |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.principal.labels |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.principal.labels |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.principal.labels |
Se asignó desde el registro de cambios |
triggeringEvent.category |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.eventTime |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.origin |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Se asignó desde el registro de cambios |
triggeringEvent.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Se asignó desde el registro de cambios |
actor_name_ip |
event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip |
Se asignó desde el registro de cambios |
actor_externalId_ip |
event.idm.read_only_udm.intermediary.ip y event.idm.read_only_udm.intermediary.asset.ip |
Se asignó desde el registro de cambios |
record.trigger.source |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.cloudOrganizations |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.trigger.type |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.control.risks |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.control.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.DetectionURL |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.threatURL |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.tdrId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.tdrSource |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
mitreTactic |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
cloudAccounts.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
cloudAccounts.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
cloudAccounts.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
cloudAccounts.name |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.status |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.VCSRepository |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.cloudOrganization |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.kubernetesNamespace |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.PrimaryResource.kubernetesCluster |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
record.trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Se asignó desde el registro de cambios |
record.trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Se asignó desde el registro de cambios |
record.trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Se asignó desde el registro de cambios |
record.issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Se asignó desde el registro de cambios |
record.issue.status |
event.idm.read_only_udm.security_result.alert_state |
Se asignó desde el registro de cambios |
record.issue.severity |
event.idm.read_only_udm.security_result.severity |
Se asignó desde el registro de cambios |
record.severity |
event.idm.read_only_udm.security_result.severity |
Se asignó desde el registro de cambios |
record.issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
record.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Se asignó desde el registro de cambios |
record.resource.id |
event.idm.read_only_udm.target.resource.id |
Se asignó desde el registro de cambios |
record.PrimaryResource.id |
event.idm.read_only_udm.target.resource.id |
Se asignó desde el registro de cambios |
record.resource.name |
event.idm.read_only_udm.target.resource.name |
Se asignó desde el registro de cambios |
record.PrimaryResource.name |
event.idm.read_only_udm.target.resource.name |
Se asignó desde el registro de cambios |
record.resource.type |
event.idm.read_only_udm.target.resource.type |
Se asignó desde el registro de cambios |
record.PrimaryResource.type |
event.idm.read_only_udm.target.resource.type |
Se asignó desde el registro de cambios |
record.resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Se asignó desde el registro de cambios |
record.PrimaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Se asignó desde el registro de cambios |
record.resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Se asignó desde el registro de cambios |
record.PrimaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Se asignó desde el registro de cambios |
record.resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Se asignó desde el registro de cambios |
record.PrimaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Se asignó desde el registro de cambios |
record.resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Se asignó desde el registro de cambios |
record.resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Se asignó desde el registro de cambios |
record.PrimaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Se asignó desde el registro de cambios |
record.control.id |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
record.issue.projects |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
triggeringEvent.actorIPMeta.category |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
record.control.description |
event.idm.read_only_udm.metadata.description |
Se asignó desde el registro de cambios |
record.control.IssueURL |
event.idm.read_only_udm.security_result.about.url |
Se asignó desde el registro de cambios |
record.threatId |
event.idm.read_only_udm.security_result.threat_id |
Se asignó desde el registro de cambios |
record.title |
event.idm.read_only_udm.metadata.product_event_type |
Se asignó desde el registro de cambios |
record.description |
event.idm.read_only_udm.security_result.description |
Se asignó desde el registro de cambios |
record.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Se asignó desde el registro de cambios |
act.externalId |
event.idm.read_only_udm.target.ip |
Se asignó desde el registro de cambios |
pactor.externalId |
event.idm.read_only_udm.principal.ip |
Se asignó desde el registro de cambios |
triggeringEvents.actor.id |
event.idm.read_only_udm.principal.user.userid |
Se asignó desde el registro de cambios |
id |
event.idm.read_only_udm.metadata.product_log_id |
Se asignó desde el registro de cambios |
createdAt |
event.idm.read_only_udm.metadata.timestamp |
Se asignó desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.uid |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.container.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.tags.io.cri-containerd.kind |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.tags.maintainer |
event.idm.read_only_udm.target.resource.attribute.labels |
Se asignó desde el registro de cambios |
entitySnapshot.externalId |
event.idm.read_only_udm.principal.group.product_object_id |
Se asignó desde el registro de cambios |
actionParameters.clientID |
event.idm.read_only_udm.principal.group.product_object_id |
Se asignó desde el registro de cambios |
type |
event.idm.read_only_udm.metadata.product_event_type |
Se asignó desde el registro de cambios |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.principal.namespace |
Se asignó desde el registro de cambios |
entitySnapshot.id |
event.idm.read_only_udm.principal.asset_id |
Se asignó desde el registro de cambios |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.cloud.vpc.name |
Se asignó desde el registro de cambios |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.cloud.vpc.id |
Se asignó desde el registro de cambios |
entitySnapshot.type |
event.idm.read_only_udm.principal.cloud.project.id |
Se asignó desde el registro de cambios |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.cloud.project.resource_subtype |
Se asignó desde el registro de cambios |
entitySnapshot.name |
event.idm.read_only_udm.principal.cloud.project.name |
Se asignó desde el registro de cambios |
entitySnapshot.status |
event.idm.read_only_udm.security_result.action_details |
Se asignó desde el registro de cambios |
updatedAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
dueAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
statusChangedAt |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
sourceRule.id |
event.idm.read_only_udm.principal.user.userid |
Se asignó desde el registro de cambios |
control.name |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
control.description |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
control.resolutionRecommendation |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
subcategories.title |
event.idm.read_only_udm.security_result.category |
Se asignó desde el registro de cambios |
subcategories.category.name |
event.idm.read_only_udm.security_result.category_details |
Se asignó desde el registro de cambios |
subcategories.category.framework.name |
event.idm.read_only_udm.security_result.detection_fields |
Se asignó desde el registro de cambios |
actionParameters.userPoolType |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
actionParameters.userpoolID |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
actionParameters.clientID |
event.idm.read_only_udm.additional.fields |
Se asignó desde el registro de cambios |
actionParameters.selection.preferences", "actionParameters.input.patch.portalVisitHistory.dateTime", and "actionParameters.input.patch.portalVisitHistory.type |
additional.fields |
Se asignó desde el registro de cambios |
actionParameters.input.patch.portalVisitHistory.name", "actionParameters.input.patch.portalVisitHistory.resourceName", "actionParameters.input.patch.portalVisitHistory.resourceType", "actionParameters.input.patch.portalVisitHistory.ruleType", and "actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels |
Se asignó desde el registro de cambios |
user.id |
target.user.id |
Se asignó desde el registro de cambios |
user.name |
target.user.user_display_name |
Se asignó desde el registro de cambios |
actionParameters.groups" and "actionParameters.products |
security_result.detection_fields |
Se asignó desde el registro de cambios |
Tabla de asignación de eventos
| eventType del registro | Old event_type | event_type actual |
|---|---|---|
if [eventType] == "user.session.end" |
metadata.event_type |
"USER_LOGOUT" |
if [eventType] in ["user.authentication.auth_via_AD_agent" , "user.authentication.auth_via_LDAP_agent"] |
metadata.event_type |
STATUS_UPDATE |
if [eventType] in ["user.authentication.auth_via_mfa", "user.authentication.sso", "user.session.start","user.session.access_admin_app"] |
metadata.event_type |
USER_LOGIN |
if [has_principal] == "true" |
metadata.event_type |
"STATUS_UPDATE" |
if [has_resource] == "true" |
metadata.event_type |
USER_RESOURCE_ACCESS |
if [has_user] == "true" |
metadata.event_type |
USER_UNCATEGORIZED |
if [has_user] == "true" and [action] == "Login" |
metadata.event_type |
"USER_LOGIN" |
if [has_user] == "true" and [action] == "Login" |
event.idm.read_only_udm.extensions.auth.type |
"AUTHTYPE_UNSPECIFIED" |
if [has_user] == "true" and [event][idm][read_only_udm][metadata][event_type] == "GENERIC_EVENT" |
metadata.event_type |
USER_UNCATEGORIZED |
else |
metadata.event_type |
GENERIC_EVENT |
Registro de cambios
Consulta el registro de cambios de este analizador
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.