Coletar registros do Wiz
Compatível com:
Google SecOps
SIEM
Este documento explica como ingerir registros do Wiz no Google Security Operations. O analisador transforma os registros formatados em JSON do Wiz em um modelo de dados unificado (UDM). Primeiro, ele inicializa os valores padrão para os campos do UDM, depois analisa a mensagem JSON, extrai campos relevantes, como informações do usuário, localização, detalhes do dispositivo e resultados de segurança.
O Wiz é uma plataforma de segurança na nuvem que oferece visibilidade completa e sem agentes, além de priorização de riscos em ambientes do Google Cloud, da AWS, do Azure, da OCI e do Kubernetes.
Antes de começar
Verifique se você tem os pré-requisitos a seguir:
- Instância do Google SecOps
- Acesso privilegiado ao Wiz
Receber o ID de cliente do Google SecOps
- Faça login no console do Google SecOps.
- Acesse Configurações > Administração > Perfil. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Perfil.
- Copie e salve o ID de cliente na seção Detalhes da organização.
Configurar a integração no Wiz
- Clique na integração do Google SecOps (Chronicle) no locatário do Wiz.
- Se preferir, faça login na UI da Web do Wiz.
- Acesse a página Conectar ao Wiz.
- Clique em Google SecOps (Chronicle).
- Insira um nome para a integração do Google SecOps.
- Selecione o Escopo.
- Insira seu ID de cliente do Google SecOps.
- Insira o ID do projeto que contém sua instância do Google SecOps.
- Selecione o Local em que os dados do Google SecOps estão armazenados.
- Opcional: insira o Namespace do ambiente para identificar o domínio de dados (o padrão é
WIZ). - Faça upload do arquivo de chave da conta de serviço (.JSON).
- Verifique se a conta de serviço recebeu o papel
roles/chronicle.editorno projeto pai e selecione Concedi o papel de Editor da API Chronicle. - Clique em Salvar.
Adicionar uma regra automatizada para o Google Security Operations
Adicione uma regra de automação para enviar Problemas ou Detecções do Wiz ao Google SecOps quando critérios específicos forem atendidos.
Para adicionar uma regra automatizada, faça o seguinte:
- Na página Políticas > Regras de automação, clique em Adicionar regra.
- Insira um Nome curto, mas significativo.
- Opcional: insira uma Descrição mais longa.
- Selecione um Escopo.
Em Condições da regra, selecione quando a regra deve ser acionada:
- Acionador de problemas
- Gatilho de detecção
Escolha o formato de dados Nativo.
- Nativo: essa é a opção recomendada pelo Google. O formato de dados nativo é um esquema do Wiz que inclui campos como categoria, origem do gatilho e projetos.
- OCSF: gera eventos no formato Open Cybersecurity Schema Framework.
Recomendamos que você marque a caixa de seleção Incluir as evidências do problema.
Opcional: em Rótulos, clique em Adicionar.
IF: clique em Adicionar filtro e defina os critérios. Repita para cada filtro adicional.
THEN: faça o seguinte para acionar a Ação automatizada da plataforma para a regra de automação:
- Clique em Adicionar ação.
- Na lista de integrações configuradas, selecione as que se aplicam ao gatilho escolhido.
Opcional: modifique a Configuração da ação padrão. Se a integração selecionada for compatível com a Configuração de ação, você poderá:
- Use um modelo de ação atual clicando em Carregar do modelo, selecionando um modelo de ação e clicando em Usar modelo.
- Modifique os parâmetros de ação.
Para salvar as modificações, clique em Salvar como modelo, insira um Nome do modelo, selecione um Escopo do projeto e clique em Salvar.
Opcional: clique em Testar para validar a Regra automatizada usando a integração selecionada e dados simulados.
Clique em Adicionar ação.
Opcional: clique em Adicionar ação novamente para adicionar até dez ações.
Recomendamos que você vá até o final da página para conferir as correspondências anteriores dos filtros de
IFselecionados. Verifique se os resultados do filtro correspondem às suas expectativas.Clique em Add Rule.
Tabela de mapeamento de UDM
A tabela a seguir se aplica ao tipo de registro WIZ_IO. Para o tipo de registro OCSF, consulte Coletar registros do OCSF.
| Campo de registro | mapeamento de UDM | Comentário |
|---|---|---|
account.cloudPlatform |
additional.fields (chave = "cloudAccount_cloudPlatform") |
Dentro do loop "for account in cloudAccounts" |
account.externalId |
target.cloud.project.id |
Dentro do loop "for account in cloudAccounts" |
account.id |
target.resource.attribute.labels (chave = "cloudAccount_id") |
Dentro do loop "for account in cloudAccounts" |
account.name |
target.cloud.project.name |
Dentro do loop "for account in cloudAccounts" |
action |
metadata.product_event_type |
Se has_user == "true" e action == "Login": metadata.event_type é definido como USER_LOGIN, extensions.auth.type é definido como AUTHTYPE_UNSPECIFIED |
actionParameters.clientID |
additional.fields (chave = "ID do cliente") |
|
actionParameters.clientID |
principal.group.product_object_id |
|
actionParameters.groups |
security_result.detection_fields (chave = "service_account_group") |
Itera pela matriz |
actionParameters.input.patch.portalVisitHistory.dateTime |
additional.fields (key = "dateTime {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels (key = "id {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.name |
principal.resource.attribute.labels (key = "name {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.resourceName |
principal.resource.attribute.labels (key = "resourceName {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.resourceType |
principal.resource.attribute.labels (chave = "resourceType {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.ruleType |
principal.resource.attribute.labels (chave = "ruleType {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.type |
additional.fields (chave = "type {index}") |
Iterado na matriz. |
actionParameters.name |
target.user.user_display_name |
|
actionParameters.products |
security_result.detection_fields (chave = "service_account_product") |
Itera pela matriz, ignorando valores vazios ou "*" |
actionParameters.role |
target.user.attribute.roles |
|
actionParameters.scopes |
security_result.detection_fields (chave = "service_account_scope") |
Iterado, cada escopo adicionado como um par de chave-valor separado. |
actionParameters.selection.preferences |
additional.fields (chave = "Preferences") |
Iterados, os valores são adicionados como uma lista de strings. |
actionParameters.userEmail |
target.user.email_addresses |
|
actionParameters.userID |
target.user.userid |
|
actionParameters.userpoolID |
additional.fields (chave = "UserPool ID") |
|
actionParameters.userPoolType |
additional.fields (chave = "UserPool Type") |
|
actor.displayName |
target.user.user_display_name |
|
actor.id |
target.user.userid |
|
actors.externalId |
intermediary.ip, intermediary.asset.ip |
Itera pelos atores. |
actors.id |
additional.fields (key = "actor_id: %{index}") |
Itera pelos atores. |
actors.name |
target.ip, target.asset.ip |
Itera pelos atores. |
actors.type |
target.resource.attribute.labels (key = "actor_type: %{index}") |
Itera pelos atores. |
authenticationContext.authenticationProvider |
security_result.detection_fields (chave = "authenticationProvider") |
Mesclado em security_result.detection_fields. |
authenticationContext.credentialProvider |
security_result.detection_fields (chave = "credentialProvider") |
Mesclado em security_result.detection_fields. |
authenticationContext.credentialType |
extensions.auth.mechanism |
Lógica: "OTP" para SMS/EMAIL, "USERNAME_PASSWORD" para PASSWORD. |
authenticationContext.externalSessionId |
network.parent_session_id |
|
client.device |
principal.asset.type |
Mapeado condicionalmente com base em regex. |
client.geographicalContext.city |
principal.location.city |
|
client.geographicalContext.country |
principal.location.country_or_region |
|
client.geographicalContext.geolocation.lat |
principal.location.region_latitude |
|
client.geographicalContext.geolocation.lon |
principal.location.region_longitude |
|
client.geographicalContext.postalCode |
additional.fields (chave = "Código postal") |
|
client.geographicalContext.state |
principal.location.state |
|
client.ipAddress |
principal.ip, principal.asset.ip |
|
client.userAgent.browser |
target.resource.attribute.labels (chave = "Navegador") |
|
client.userAgent.os |
principal.platform |
Mapeado para LINUX, WINDOWS ou MAC. |
client.userAgent.rawUserAgent |
network.http.user_agent, network.http.parsed_user_agent |
|
control.description |
security_result.detection_fields (chave = "control_description") |
|
control.id |
security_result.detection_fields (chave = "control_id") |
|
control.IssueURL |
security_result.url_back_to_product |
|
control.name |
security_result.detection_fields (chave = "control_name") |
|
control.resolutionRecommendation |
security_result.detection_fields (chave = "control_resolution") |
|
control.risks |
security_result.detection_fields (chave = "risk {i}") |
Itera pela matriz |
control.securitySubCategories.category.framework.name |
security_result.detection_fields (chave = "framework_name") |
O loop processa a matriz de subcategorias. |
control.securitySubCategories.category.name |
security_result.category_details |
O loop processa a matriz de subcategorias. |
control.securitySubCategories.title |
security_result.summary |
O loop processa a matriz de subcategorias. |
control.severity |
security_result.severity |
Define condicionalmente HIGH, MEDIUM ou LOW. |
createdAt |
metadata.event_timestamp |
|
debugContext.debugData.behaviors |
security_result.description |
|
debugContext.debugData.deviceFingerprint |
target.asset.asset_id |
Precedido por "device_finger_print:" |
debugContext.debugData.dtHash |
security_result.detection_fields (chave = "dtHash") |
|
debugContext.debugData.factor |
security_result.detection_fields (chave = "factor") |
|
debugContext.debugData.promptingPolicyTypes |
security_result.detection_fields (chave = "promptingPolicyTypes") |
|
debugContext.debugData.requestUri |
extensions.auth.auth_details |
|
description |
security_result.description |
|
detection.actors.externalId |
principal.user.userid |
iterando sobre detection.actors |
detection.actors.externalId |
target.user.userid |
iterando sobre detection.actors |
detection.actors.id |
principal.user.product_object_id |
iterando sobre detection.actors |
detection.actors.id |
target.user.product_object_id |
iterando sobre detection.actors |
detection.actors.name |
principal.user.user_display_name |
iterando sobre detection.actors |
detection.actors.name |
target.user.user_display_name |
iterando sobre detection.actors |
detection.actors.nativeType |
principal.user.attribute.labels (key = "actor_nativeType {index}") |
iterando sobre detection.actors |
detection.actors.nativeType |
target.user.attribute.labels (key = "primaryActor_nativeType {index}") |
iterando sobre detection.actors |
detection.actors.type |
security_result.detection_fields (key = "actor_type {index}") |
iterando sobre detection.actors |
detection.actors.type |
security_result.detection_fields (chave = "primary_actor_type {index}") |
iterando sobre detection.actors |
detection.cloudAccounts.cloudPlatform |
additional.fields (chave = "detection_cloudAccount_cloudPlatform {i}") |
Itera pela matriz |
detection.cloudAccounts.externalId |
additional.fields (chave = "detection_cloudAccount_externalId {i}") |
Itera pela matriz |
detection.cloudAccounts.id |
additional.fields (chave = "detection_cloudAccount_id {i}") |
Itera pela matriz |
detection.cloudAccounts.name |
additional.fields (chave = "detection_cloudAccount_name {i}") |
Itera pela matriz |
detection.cloudOrganizations |
principal.resource.attribute.labels (key = "detectioncloudOrganization{index}") |
|
detection.createdAt |
additional.fields (chave = "detection_createdAt") |
|
detection.description |
security_result.description |
|
detection.detectionURL |
security_result.url_back_to_product |
|
detection.id |
metadata.product_log_id |
|
detection.mitreTactics |
additional.fields (chave = "mitre_tactic {i}") |
Itera pela matriz |
detection.mitreTechniques |
additional.fields (chave = "mitre_technique {i}") |
Itera pela matriz |
detection.primaryActor.actingAs.externalId |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_externalId") |
|
detection.primaryActor.actingAs.id |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_id") |
|
detection.primaryActor.actingAs.name |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_name") |
|
detection.primaryActor.actingAs.providerUniqueId |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_providerUniqueId") |
|
detection.primaryActor.actingAs.type |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_type") |
|
detection.primaryResource.externalId |
target.resource.product_object_id |
|
detection.primaryResource.id |
additional.fields (chave = "detection_primaryResource_id") |
|
detection.primaryResource.name |
target.hostname, target.asset.hostname |
|
detection.primaryResource.type |
additional.fields (chave = "detection_primaryResource_type") |
|
detection.primaryResource.type |
target.resource.resource_type |
Defina como VIRTUAL_MACHINE se o tipo corresponder aos critérios. |
detection.resources.cloudProviderURL |
target.resource.attribute.labels (chave = "detection_resource_cloudProviderURL {i}") |
Itera pela matriz detection.resources |
detection.resources.externalId |
security_result.about.resource.attribute.labels (key = "detection_resource_externalId {i}") |
Itera pela matriz detection.resources |
detection.resources.id |
security_result.about.resource.attribute.labels (chave = "detection_resource_id {i}") |
Itera pela matriz detection.resources |
detection.resources.kubernetesCluster.externalId |
target.resource.attribute.labels (chave = "kubernetesClusterexternalId{i}") |
Itera pela matriz detection.resources |
detection.resources.kubernetesCluster.id |
target.resource.attribute.labels (chave = "kubernetesClusterid{i}") |
Itera pela matriz detection.resources |
detection.resources.kubernetesnamespace.id |
additional.fields (key = "kubernetesnamespaceid{i}") |
Itera pela matriz detection.resources |
detection.resources.name |
security_result.about.resource.attribute.labels (chave = "detection_resource_name {i}") |
Itera pela matriz detection.resources |
detection.resources.nativeType |
security_result.about.resource.attribute.labels (chave = "detection_resource_nativeType {i}") |
Itera pela matriz detection.resources |
detection.resources.region |
security_result.about.resource.attribute.labels (chave = "detection_resource_region {i}") |
Itera pela matriz detection.resources |
detection.resources.status |
target.resource.attribute.labels (chave = "detection_resource_status {i}") |
Itera pela matriz detection.resources |
detection.resources.type |
security_result.about.resource.attribute.labels (chave = "detection_resource_type {i}") |
Itera pela matriz detection.resources |
detection.tdrId |
additional.fields (chave = "detection_tdr_id") |
|
detection.tdrSource |
additional.fields (chave = "detection_tdr_source") |
|
detection.threatId |
security_result.threat_id |
|
detection.threatURL |
security_result.detection_fields (chave = "threatURL") |
|
detection.timeframe.end |
metadata.collected_timestamp |
|
detection.timeframe.start |
metadata.event_timestamp |
|
detection.title |
security_result.rule_name |
|
detection.triggeringEvents.actor.externalId |
security_result.detection_fields (key = "detection_triggeringEvent_actor_externalId {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actor.id |
security_result.detection_fields (key = "detection_triggeringEvent_actor_id {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actor.name |
security_result.detection_fields (chave = "detection_triggeringEvent_actor_name {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actor.type |
security_result.detection_fields (chave = "detection_triggeringEvent_actor_type {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIP |
principal.ip e principal.asset.ip |
Itera por triggeringEvents. |
detection.triggeringEvents.actorIP |
principal.resource.attribute.labels (chave = "detection_triggeringEvent_actorIP {index}") |
Itera por triggeringEvents. |
detection.triggeringEvents.actorIPMeta.autonomousSystemNumber |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_autonomousSystemNumber {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.autonomousSystemOrganization |
additional.fields (chave = "detection_triggeringEvent_actorIPMeta_autonomousSystemOrganization {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.country |
additional.fields (chave = "detection_triggeringEvent_actorIPMeta_country {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.isForeign |
additional.fields (chave = "detection_triggeringEvent_actorIPMeta_isForeign {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputation |
security_result.about.resource.attribute.labels (key = "detection_triggeringEvent_actorIPMeta_reputation {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputationSource |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_reputationSource {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.category |
additional.fields (chave = "detection_triggeringEvent_category {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.cloudPlatform |
additional.fields (chave = "detection_triggeringEvent_cloudPlatform {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.cloudProviderUrl |
target.url |
Itera por triggeringEvents |
detection.triggeringEvents.description |
metadata.description |
Itera por triggeringEvents |
detection.triggeringEvents.eventTime |
additional.fields (chave = "detection_triggeringEvent_eventTime {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.externalId |
additional.fields (key = "detection_triggeringEvent_externalId {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.id |
additional.fields (chave = "detection_triggeringEvent_id {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.name |
additional.fields (chave = "detection_triggeringEvent_name {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.origin |
additional.fields (key = "detection_triggeringEvent_origin {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.runtimeDetails.currentWorkingDirectory |
additional.fields (chave = "detection_triggeringEvent_runtimeDetails_currentWorkingDirectory {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.runtimeDetails.processTree[0].path |
principal.process.file.full_path |
Itera por triggeringEvents. Substitui a lógica do índice 0/1. |
detection.triggeringEvents.runtimeDetails.processTree[0].username |
additional.fields (chave = "detection_triggeringEvent_runtimeDetails_username {index}") |
Itera por triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[1].hash |
additional.fields (chave = "detection_triggeringEvent_runtimeDetails_hash {index}") |
Itera por triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[2].path |
principal.process.parent_process.file.full_path |
Itera por triggeringEvents |
detection.triggeringEvents.source |
additional.fields (chave = "detection_triggeringEvent_source {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.status |
additional.fields (key = "detection_triggeringEvent_status {index}") |
Itera por triggeringEvents |
detection.triggeringEvents[0].runtimeDetails.processTree[0].command |
target.process.command_line |
Somente para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].hash |
target.process.file.sha1 |
Somente para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].path |
target.process.file.full_path |
Somente para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].size |
target.process.file.size |
Somente para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].username |
principal.user.userid |
Somente para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[1].command |
principal.process.command_line |
Somente para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].hash |
principal.process.file.sha1 |
Somente para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].path |
principal.process.file.full_path |
Somente para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].size |
principal.process.file.size |
Somente para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEventsCount |
additional.fields (chave = "triggering_events_count") |
|
DetectionURL |
security_result.url_back_to_product |
|
dueAt |
additional.fields (chave = "due_at") |
|
entitySnapshot.cloudPlatform |
principal.cloud.vpc.name |
|
entitySnapshot.externalId |
principal.group.product_object_id |
|
entitySnapshot.id |
principal.asset_id |
|
entitySnapshot.name |
principal.cloud.project.name |
|
entitySnapshot.nativeType |
principal.cloud.project.resource_subtype |
|
entitySnapshot.providerId |
principal.cloud.vpc.id |
|
entitySnapshot.status |
security_result.action_details |
|
entitySnapshot.tags.io.cri-containerd.kind |
target.resource.attribute.labels (chave = "Containerd Kind") |
|
entitySnapshot.tags.io.kubernetes.container.name |
target.resource.attribute.labels (chave = "Nome do contêiner") |
|
entitySnapshot.tags.io.kubernetes.pod.name |
target.resource.attribute.labels (chave = "Nome do pod") |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
principal.namespace |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
target.resource.attribute.labels (chave = "Namespace do pod") |
|
entitySnapshot.tags.io.kubernetes.pod.uid |
target.resource.attribute.labels (chave = "Pod Id") |
|
entitySnapshot.tags.maintainer |
target.resource.attribute.labels (chave = "Maintainer") |
|
entitySnapshot.type |
principal.cloud.project.id |
|
eventType |
metadata.product_event_type |
|
eventType (valores específicos) |
extensions.auth.mechanism |
Mesclado com auth_type para tipos de login. |
Hardcoded to "WIZ_IO" |
metadata.product_name |
|
Hardcoded to "WIZ_IO" |
metadata.vendor_name |
|
id |
metadata.product_log_id |
|
issue.created |
metadata.event_timestamp |
|
issue.id |
metadata.product_log_id |
|
issue.projects |
additional.fields (chave = "issue_projects") |
|
issue.severity |
Sets intermediate variable severity |
Define como INFORMATIONAL se a condição for atendida. |
issue.status |
security_result.action_details |
|
issue.status |
security_result.action_details |
Mapeado somente se o status for "OPEN" |
metadata_data.version |
metadata.product_version |
|
mitreTactics (elemento de matriz) |
additional.fields (chave = "mitre_tactic %{i}") |
Itera pela matriz. |
mitreTechniques (elemento de matriz) |
additional.fields (chave = "mitre_technique %{i}") |
Itera pela matriz. |
outcome.reason |
security_result.category_details |
|
outcome.result |
security_result.action |
Mapeamento indireto para ALLOW, CHALLENGE ou BLOCK. |
primaryActor.actingAs |
additional.fields (chave = "primaryActor_actingAs") |
|
primaryActor.email |
additional.fields (chave = "primaryActor_email") |
|
primaryActor.externalId |
principal.ip, principal.asset.ip |
|
primaryActor.id |
additional.fields (chave = "primaryActor_id") |
|
primaryActor.name |
target.ip, target.asset.ip |
|
primaryActor.nativeType |
additional.fields (chave = "primaryActor_nativeType") |
|
primaryActor.providerUniqueId |
additional.fields (chave = "primaryActor_providerUniqueId") |
|
primaryActor.type |
principal.resource.type |
|
primaryResource.cloudAccount.cloudPlatform |
additional.fields (chave = "primaryResourceCloudPlatform") |
|
primaryResource.cloudAccount.externalId |
target.cloud.project.id |
|
primaryResource.cloudAccount.id |
additional.fields (chave = "primaryResourceCloudAccountId") |
|
primaryResource.cloudAccount.name |
target.cloud.project.name |
|
primaryResource.cloudProviderURL |
target.url |
|
primaryResource.externalId |
additional.fields (chave = "primaryResourceExternalId") |
|
primaryResource.id |
target.resource.id |
|
primaryResource.name |
target.resource.name |
|
primaryResource.nativeType |
additional.fields (chave = "primaryResourceNativeType") |
|
primaryResource.region |
target.asset.location.country_or_region |
|
primaryResource.type |
target.resource.type |
|
process.command |
target.resource.attribute.labels (key = "processcommand{process_index}") |
|
process.container.externalId |
target.resource.attribute.labels (chave = "containerexternalId{process_index}") |
|
process.container.id |
target.resource.attribute.labels (chave = "process_containerid{process_index}") |
|
process.container.imageExternalId |
target.resource.attribute.labels (chave = "containerimageExternalId{process_index}") |
|
process.container.imageId |
target.resource.attribute.labels (chave = "containerimageId{process_index}") |
|
process.container.name |
target.resource.attribute.labels (chave = "process_containername{process_index}") |
|
process.currentWorkingDirectory |
target.resource.attribute.labels (chave = "currentWorkingDirectory_{process_index}") |
|
process.hash |
target.resource.attribute.labels (chave = "processhash{process_index}") |
|
process.id |
target.resource.attribute.labels (chave = "processid{process_index}") |
|
process.path |
target.resource.attribute.labels (chave = "processpath{process_index}") |
|
process.size |
target.process.file.size |
|
process.userId |
target.resource.attribute.labels (chave = "processuserId{process_index}") |
|
process.username |
target.resource.attribute.labels (chave = "processusername{process_index}") |
|
requestId |
metadata.product_log_id |
|
resource.cloudAccount.cloudPlatform |
additional.fields (chave = "cloudPlatform") |
Parte do objeto foi mesclada no campo repetido "about". |
resource.cloudAccount.externalId |
additional.fields (chave = "cloudAccountExternalId") |
Parte do objeto foi mesclada no campo repetido "about". |
resource.cloudAccount.id |
additional.fields (chave = "cloudAccountId") |
Parte do objeto foi mesclada no campo repetido "about". |
resource.cloudAccount.name |
cloudAccountName |
|
resource.cloudPlatform |
additional.fields (chave = "resource_cloudPlatform") |
|
resource.cloudProviderURL |
about.url |
Parte do objeto foi mesclada no campo repetido "about". |
resource.cloudProviderURL |
target.url |
|
resource.externalId |
additional.fields (chave = "externalId") |
Parte do objeto foi mesclada no campo repetido "about". |
resource.id |
about.resource.product_object_id |
Parte do objeto foi mesclada no campo repetido "about". |
resource.id |
target.resource.id |
|
resource.name |
about.resource.name |
Parte do objeto foi mesclada no campo repetido "about". |
resource.name |
target.resource.name |
|
resource.nativeType |
about.resource.resource_subtype |
Parte do objeto foi mesclada no campo repetido "about". |
resource.region |
about.location.country_or_region |
Parte do objeto foi mesclada no campo repetido "about". |
resource.region |
target.asset.location.country_or_region |
|
resource.region |
target.location.country_or_region |
|
resource.status |
about.resource.attribute.labels (chave = "status") |
Parte do objeto foi mesclada no campo repetido "about". |
resource.status |
target.resource.attribute.labels (chave = "status") |
|
resource.subscriptionId |
target.cloud.project.id |
|
resource.subscriptionName |
target.cloud.project.name |
|
resource.type |
about.resource.type |
Parte do objeto foi mesclada no campo repetido "about". |
resource.type |
target.resource.type |
|
serviceAccount.name |
principal.application |
Somente se a ação for "Denunciar" |
sourceIP |
principal.ip, principal.asset.ip |
|
sourceRule.id |
principal.user.userid |
|
status |
security_result.summary |
|
statusChangedAt |
additional.fields (chave = "status_changed_at") |
|
tdrId |
security_result.detection_fields (chave = "tdrId") |
|
tdrSource |
security_result.detection_fields (chave = "tdrSource") |
|
The detection.severity variable |
security_result.severity |
Normalizado (por exemplo, INFO -> LOW) e depois mapeado. |
threat.actors.externalId |
principal.user.email_addresses |
Itera por threat.actors. |
threat.actors.id |
principal.resource.attribute.labels (key = "actor_id:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.actors.id |
principal.resource.product_object_id |
Mapeado para o primeiro elemento (índice 0). |
threat.actors.name |
principal.user.email_addresses |
Itera por threat.actors. |
threat.actors.nativeType |
principal.resource.attribute.labels (key = "actor_nativeType:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.actors.nativeType |
principal.resource.resource_subtype |
Mapeado para o primeiro elemento (índice 0). |
threat.actors.type |
additional.fields (chave = "actor_type") |
Itera por threat.actors. |
threat.cloudAccounts |
target.resource.attribute.labels (chave = "threat_cloudAccounts") |
|
threat.cloudOrganizations.cloudProvider |
target.resource.attribute.labels (chave = "org_cloudProvider:%{index}") |
Itera por threat.cloudOrganizations. |
threat.cloudOrganizations.externalId |
target.resource.attribute.labels (chave = "org_externalId:%{index}") |
Itera por threat.cloudOrganizations. |
threat.cloudOrganizations.id |
target.resource.attribute.labels (chave = "org_id:%{index}") |
Itera por threat.cloudOrganizations. |
threat.cloudOrganizations.name |
target.resource.attribute.labels (chave = "org_name:%{index}") |
Itera por threat.cloudOrganizations. |
threat.cloudPlatform |
additional.fields (chave = "threat_cloudPlatform") |
|
threat.created |
metadata.event_timestamp |
|
threat.description |
security_result.description |
|
threat.detectionIds |
additional.fields (chave = "detectionId") |
String separada por vírgulas dividida em uma lista. |
threat.id |
metadata.product_log_id |
|
threat.mitreTactics |
additional.fields (chave = "tactic_vallabel{index}") |
Itera pela matriz. |
threat.mitreTechniques |
additional.fields (chave = "technique_vallabel{i}") |
Itera pela matriz |
threat.notes |
additional.fields (chave = "threat_notes") |
|
threat.projects |
additional.fields (chave = "threat_projects") |
|
threat.resolutionNote |
additional.fields (chave = "threat_resolutionNote") |
|
threat.resolvedAt |
additional.fields (chave = "threat_resolvedAt") |
|
threat.resources.externalId |
target.resource.attribute.labels (chave = "resource_externalId:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.resources.externalId |
target.resource.product_object_id |
Mapeado para o primeiro elemento (índice 0). |
threat.resources.id |
target.resource.attribute.labels (chave = "resource_id:%{index}") |
Itera por threat.resources. |
threat.resources.name |
target.resource.attribute.labels (chave = "resource_name:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.resources.name |
target.resource.name |
Mapeado para o primeiro elemento (índice 0). |
threat.resources.nativeType |
target.resource.attribute.labels (chave = "resource_nativeType:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.resources.nativeType |
target.resource.resource_subtype |
Mapeado para o primeiro elemento (índice 0). |
threat.resources.type |
additional.fields (chave = "resource_type") |
Itera por threat.resources. |
threat.severity |
security_result.severity |
Normalizado indiretamente (por exemplo, INFO -> LOW). |
threat.status |
security_result.action_details |
|
threat.tdrNames |
additional.fields (chave = "tdrName") |
String separada por vírgulas dividida em uma lista. |
threat.threatURL |
security_result.url_back_to_product |
|
threat.title |
metadata.description |
|
threat.updatedAt |
additional.fields (chave = "threat_updatedAt") |
|
threatId |
security_result.threat_id |
|
threatURL |
security_result.detection_fields (chave = "threatURL") |
|
timeframe.end |
additional.fields (chave = "timeframe_end") |
|
timeframe.start |
metadata.collected_timestamp |
|
timestamp |
metadata.event_timestamp |
|
title |
security_result.summary |
|
trigger.changedBy |
principal.user.product_object_id |
|
trigger.ruleId |
security_result.rule_id |
|
trigger.ruleName |
additional.fields (chave = "rule_name") |
|
trigger.source |
metadata.product_event_type |
|
trigger.type |
additional.fields (chave = "trigger_type") |
|
trigger.updatedFields |
additional.fields (chave = "updated_fields") |
|
triggeringEvents.actor.id |
principal.user.userid |
Mapeado no loop triggeringEvents. |
triggeringEvents.actor.name |
about.user.user_display_name |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.actor.type |
about.resource.type |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.actorIP |
observer.ip |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemNumber |
principal.labels (chave = "actorIP_autonomousSystemNumber") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemOrganization |
principal.labels (chave = "actorIP_autonomousSystemOrganization") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.country |
principal.asset.location.country_or_region |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.isForeign |
principal.labels (chave = "actorIP_isForeign") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.reputation |
principal.labels (chave = "actorIP_reputation") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.reputationSource |
principal.labels (chave = "actorIP_reputationSource") |
Mapeado no loop triggeringEvents. |
triggeringEvents.category |
about.resource.attribute.labels (chave = "triggeringEvent_category") |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.cloudPlatform |
security_result.detection_fields (chave = "triggeringEvent_cloudPlatform") |
Mapeado no loop triggeringEvents. |
triggeringEvents.cloudProviderUrltarget.url |
Mapped within the triggeringEvents loop. |
|
triggeringEvents.description |
metadata.description |
Mapeado no loop triggeringEvents. |
triggeringEvents.eventTime |
about.resource.attribute.labels (chave = "triggeringEvent_eventTime") |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.externalId |
principal.resource.product_object_id |
Mapeado no loop triggeringEvents. |
triggeringEvents.id |
metadata.product_log_id |
Mapeado no loop triggeringEvents. |
triggeringEvents.name |
security_result.summary |
Mapeado no loop triggeringEvents. |
triggeringEvents.origin |
about.resource.attribute.labels (chave = "triggeringEvent_origin") |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.resources.externalId |
about.resource.attribute.labels (chave = "externalId") |
Mapeado em loops; mesclado na matriz "about". |
triggeringEvents.resources.id |
about.resource.product_object_id |
Mapeado em loops; mesclado na matriz "about". |
triggeringEvents.resources.name |
about.resource.name |
Mapeado em loops; mesclado na matriz "about". |
triggeringEvents.resources.nativeType |
about.resource.resource_subtype |
Mapeado em loops; mesclado na matriz "about". |
triggeringEvents.resources.region |
about.location.country_or_region |
Mapeado em loops; mesclado na matriz "about". |
triggeringEvents.resources.type |
about.resource.type |
Mapeado em loops; mesclado na matriz "about". |
triggeringEvents.source |
additional.fields (chave = "triggeringEvent_source") |
Mapeado no loop triggeringEvents. |
triggeringEvents.status |
security_result.action_details |
Mapeado no loop triggeringEvents. |
triggeringEventsCount |
additional.fields (chave = "triggeringEventsCount") |
|
type |
metadata.product_event_type |
|
updatedAt |
additional.fields (chave = "updated_at") |
|
version |
security_result.detection_fields (chave = "version") |
|
detection.primaryActor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de alterações |
detection.actors.type |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.actors.externalId |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.actors.id |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.actors.name |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.email |
event.idm.read_only_udm.principal.user.email_addresses |
Mapeado do registro de alterações |
detection.primaryActor.friendlyName |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.providerUniqueId |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.actors |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
detection.tdrId |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
detection.tdrSource |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
detection.cloudAccounts.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
detection.cloudAccounts.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
detection.cloudAccounts.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Mapeado do registro de alterações |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
detection.triggeringEvents.actor.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Mapeado do registro de alterações |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.triggeringEvents.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Mapeado do registro de alterações |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
detection.triggeringEvents.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de alterações |
detection.triggeringEvents.description |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Mapeado do registro de alterações |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de alterações |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de alterações |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
title |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de alterações |
createdAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Mapeado do registro de alterações |
actors.externalId |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de alterações |
actors.externalId |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de alterações |
actors.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de alterações |
actors.name |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de alterações |
actors.name |
event.idm.read_only_udm.principal.user.user_display_name |
Mapeado do registro de alterações |
actors.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de alterações |
primaryResource.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryResource.name |
event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname |
Mapeado do registro de alterações |
triggeringEvents.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvents.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvents.actorIP |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de alterações |
triggeringEvents.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvents.category |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvents.eventTime |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvents.origin |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Mapeado do registro de alterações |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvents.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
detection.triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Mapeado do registro de alterações |
mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Mapeado do registro de alterações |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
resource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de alterações |
resource.subscriptionId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
resource.subscriptionName |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
account.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
account.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Mapeado do registro de alterações |
primaryResource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de alterações |
primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Mapeado do registro de alterações |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.actor.type |
event.idm.read_only_udm.about.resource.resource_type |
Mapeado do registro de alterações |
client.geographicalContext.geolocation.lat |
event.idm.read_only_udm.principal.location.region_coordinates.latitude |
Mapeado do registro de alterações |
client.geographicalContext.geolocation.lon |
event.idm.read_only_udm.principal.location.region_coordinates.longitude |
Mapeado do registro de alterações |
triggeringEvent.resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Mapeado do registro de alterações |
resource.type |
event.idm.read_only_udm.target.resource.resource_type |
Mapeado do registro de alterações |
resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Mapeado do registro de alterações |
actor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.executionTime |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesNamespace.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesNamespace.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesNamespace.providerUniqueId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
primaryResource.kubernetesNamespace.name |
event.idm.read_only_udm.target.namespace |
Mapeado do registro de alterações |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.about.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de alterações |
detection.primaryResource.name |
event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.n.currentWorkingDirectory |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.1.command |
event.idm.read_only_udm.principal.process.command_line |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.1.path |
event.idm.read_only_udm.principal.process.file.full_path |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.principal.process.file.sha1 |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.1.size |
event.idm.read_only_udm.principal.process.file.size |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.command |
event.idm.read_only_udm.target.process.command_line |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.target.process.file.full_path |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.hash |
event.idm.read_only_udm.target.process.file.sha1 |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.size |
event.idm.read_only_udm.target.process.file.size |
Mapeado do registro de alterações |
detection.title |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de alterações |
trigger.ruleName |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection_cloudOrganizations |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection_triggeringEvent_actorIP |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.actingAs.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.actingAs.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.actingAs.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.actingAs.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
detection.primaryActor.actingAs.providerUniqueId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.status |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.cloudProviderURL |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
actor_externalId |
event.idm.read_only_udm.principal.user.email_addresses |
Mapeado do registro de alterações |
actor_name |
event.idm.read_only_udm.principal.user.email_addresses |
Mapeado do registro de alterações |
actor_id |
event.idm.read_only_udm.principal.resource.product_object_id |
Mapeado do registro de alterações |
actor_nativeType |
event.idm.read_only_udm.principal.resource.resource_subtype |
Mapeado do registro de alterações |
actor_type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource_type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threat_cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threat_resolutionNote |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threat_resolvedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threat_projects |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threat_notes |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
tactic_val |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
technique_val |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threat.updatedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
tdrName |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detectionId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource_externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de alterações |
resource_nativeType |
event.idm.read_only_udm.target.resource.resource_subtype |
Mapeado do registro de alterações |
org_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
org_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
org_cloudProvider |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
org_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
resource_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
resource_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
resource_nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
resource_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
threat.threatURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de alterações |
threat.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de alterações |
threat.title |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de alterações |
threat.description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de alterações |
threat.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de alterações |
threat.created |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
threat.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de alterações |
resource_name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de alterações |
actor_id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
actor_nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process_command |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process_container_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process_container_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process.container.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process.container.imageId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process.container.imageExternalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process_hash |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process_path |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process.username |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
process.userId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.kubernetesnamespace.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.currentWorkingDirectory |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.principal.process.file.full_path |
Mapeado do registro de alterações |
triggeringEvent.runtimeDetails.processTree.2.path |
event.idm.read_only_udm.principal.process.parent_process.file.full_path |
Mapeado do registro de alterações |
process.size |
event.idm.read_only_udm.target.process.file.size |
Mapeado do registro de alterações |
detection.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de alterações |
detection.threatId |
event.idm.read_only_udm.security_result.threat_id |
Mapeado do registro de alterações |
detection.detectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de alterações |
detection.threatURL |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
primaryActor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvent.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvent.actor.id |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvent.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvent.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
detection.title |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de alterações |
detection.description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de alterações |
detection.severity |
event.idm.read_only_udm.severity |
Mapeado do registro de alterações |
detection.tdrId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.tdrSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.mitreTactics |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.mitreTechniques |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
account.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
account.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
account.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
account.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.createdAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.primaryResource.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.primaryResource.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.primaryResource.type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.category |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.eventTime |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.origin |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.source |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEvent.status |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
detection.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
detection.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Mapeado do registro de alterações |
actor.externalId |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de alterações |
actor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de alterações |
actor.name |
event.idm.read_only_udm.principal.user.user_display_name |
Mapeado do registro de alterações |
primaryActor.externalId |
event.idm.read_only_udm.target.user.userid |
Mapeado do registro de alterações |
primaryActor.id |
event.idm.read_only_udm.target.user.product_object_id |
Mapeado do registro de alterações |
primaryActor.name |
event.idm.read_only_udm.target.user.user_display_name |
Mapeado do registro de alterações |
metadata_data.version |
event.idm.read_only_udm.metadata.product_version |
Mapeado do registro de alterações |
triggeringEvent.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.type |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.externalId |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.id |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.name |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.nativeType |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
det_resource.region |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.actorIP |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de alterações |
actor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de alterações |
primaryActor.nativeType |
event.idm.read_only_udm.target.user.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de alterações |
actor.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
trigger.source |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
issue.projects |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
control.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
threatURL |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
tdrId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
tdrSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryActor.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryActor.actingAs |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryActor.email |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryActor.nativeType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryActor.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource.cloudAccount.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
resource.cloudAccount.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
primaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
mitreTactics |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
mitreTechniques |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
trigger.type |
event.idm.read_only_udm.metadata.product_event_type |
Mapeado do registro de alterações |
trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Mapeado do registro de alterações |
trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de alterações |
trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de alterações |
issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de alterações |
triggeringEvent.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de alterações |
issue.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de alterações |
triggeringEvent.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de alterações |
issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
createdAt |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
resource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de alterações |
primaryResource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de alterações |
resource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de alterações |
primaryResource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de alterações |
resource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de alterações |
primaryResource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de alterações |
resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de alterações |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de alterações |
resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de alterações |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de alterações |
resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de alterações |
primaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de alterações |
resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de alterações |
primaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de alterações |
control.id |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
risk |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
control.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de alterações |
control.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de alterações |
issue.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de alterações |
severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de alterações |
control.IssueURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de alterações |
DetectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de alterações |
threatId |
event.idm.read_only_udm.security_result.threat_id |
Mapeado do registro de alterações |
title |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de alterações |
triggeringEvent.name |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de alterações |
description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de alterações |
primaryActor.externalId |
event.idm.read_only_udm.principal.ip |
Mapeado do registro de alterações |
primaryActor.type |
event.idm.read_only_udm.principal.resource.type |
Mapeado do registro de alterações |
primaryActor.name |
event.idm.read_only_udm.target.ip |
Mapeado do registro de alterações |
resource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
actor.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
resource.status |
event.idm.read_only_udm.resource_obj.resource.attribute.labels |
Mapeado do registro de alterações |
resource.region |
event.idm.read_only_udm.target.location.country_or_region |
Mapeado do registro de alterações |
resource.cloudProviderURL |
event.idm.read_only_udm.resource_obj.url |
Mapeado do registro de alterações |
triggeringEvent.actorIP |
event.idm.read_only_udm.observer.ip |
Mapeado do registro de alterações |
triggeringEvent.actor.id |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de alterações |
triggeringEvent.actor.name |
event.idm.read_only_udm.about_obj.user.user_display_name |
Mapeado do registro de alterações |
triggeringEvent.actor.type |
event.idm.read_only_udm.about_obj.resource.type |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de alterações |
triggeringEvent.category |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.eventTime |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.origin |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Mapeado do registro de alterações |
triggeringEvent.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Mapeado do registro de alterações |
actor_name_ip |
event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip |
Mapeado do registro de alterações |
actor_externalId_ip |
event.idm.read_only_udm.intermediary.ip e event.idm.read_only_udm.intermediary.asset.ip |
Mapeado do registro de alterações |
record.trigger.source |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.cloudOrganizations |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.trigger.type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.control.risks |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.control.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.DetectionURL |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.threatURL |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.tdrId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.tdrSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
mitreTactic |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
cloudAccounts.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
cloudAccounts.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
cloudAccounts.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
cloudAccounts.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.status |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.VCSRepository |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.cloudOrganization |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.kubernetesNamespace |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.PrimaryResource.kubernetesCluster |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
record.trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Mapeado do registro de alterações |
record.trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de alterações |
record.trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de alterações |
record.issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de alterações |
record.issue.status |
event.idm.read_only_udm.security_result.alert_state |
Mapeado do registro de alterações |
record.issue.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de alterações |
record.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de alterações |
record.issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
record.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de alterações |
record.resource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de alterações |
record.PrimaryResource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de alterações |
record.resource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de alterações |
record.PrimaryResource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de alterações |
record.resource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de alterações |
record.PrimaryResource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de alterações |
record.resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de alterações |
record.PrimaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de alterações |
record.resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de alterações |
record.PrimaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de alterações |
record.resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de alterações |
record.PrimaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de alterações |
record.resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de alterações |
record.resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de alterações |
record.PrimaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de alterações |
record.control.id |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
record.issue.projects |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
triggeringEvent.actorIPMeta.category |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
record.control.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de alterações |
record.control.IssueURL |
event.idm.read_only_udm.security_result.about.url |
Mapeado do registro de alterações |
record.threatId |
event.idm.read_only_udm.security_result.threat_id |
Mapeado do registro de alterações |
record.title |
event.idm.read_only_udm.metadata.product_event_type |
Mapeado do registro de alterações |
record.description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de alterações |
record.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Mapeado do registro de alterações |
act.externalId |
event.idm.read_only_udm.target.ip |
Mapeado do registro de alterações |
pactor.externalId |
event.idm.read_only_udm.principal.ip |
Mapeado do registro de alterações |
triggeringEvents.actor.id |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de alterações |
id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de alterações |
createdAt |
event.idm.read_only_udm.metadata.timestamp |
Mapeado do registro de alterações |
entitySnapshot.tags.io.kubernetes.pod.uid |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.tags.io.kubernetes.container.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.tags.io.cri-containerd.kind |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.tags.io.kubernetes.pod.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.tags.maintainer |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de alterações |
entitySnapshot.externalId |
event.idm.read_only_udm.principal.group.product_object_id |
Mapeado do registro de alterações |
actionParameters.clientID |
event.idm.read_only_udm.principal.group.product_object_id |
Mapeado do registro de alterações |
type |
event.idm.read_only_udm.metadata.product_event_type |
Mapeado do registro de alterações |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.principal.namespace |
Mapeado do registro de alterações |
entitySnapshot.id |
event.idm.read_only_udm.principal.asset_id |
Mapeado do registro de alterações |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.cloud.vpc.name |
Mapeado do registro de alterações |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.cloud.vpc.id |
Mapeado do registro de alterações |
entitySnapshot.type |
event.idm.read_only_udm.principal.cloud.project.id |
Mapeado do registro de alterações |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.cloud.project.resource_subtype |
Mapeado do registro de alterações |
entitySnapshot.name |
event.idm.read_only_udm.principal.cloud.project.name |
Mapeado do registro de alterações |
entitySnapshot.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de alterações |
updatedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
dueAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
statusChangedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
sourceRule.id |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de alterações |
control.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
control.description |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
control.resolutionRecommendation |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
subcategories.title |
event.idm.read_only_udm.security_result.category |
Mapeado do registro de alterações |
subcategories.category.name |
event.idm.read_only_udm.security_result.category_details |
Mapeado do registro de alterações |
subcategories.category.framework.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de alterações |
actionParameters.userPoolType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
actionParameters.userpoolID |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
actionParameters.clientID |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de alterações |
actionParameters.selection.preferences", "actionParameters.input.patch.portalVisitHistory.dateTime", and "actionParameters.input.patch.portalVisitHistory.type |
additional.fields |
Mapeado do registro de alterações |
actionParameters.input.patch.portalVisitHistory.name", "actionParameters.input.patch.portalVisitHistory.resourceName", "actionParameters.input.patch.portalVisitHistory.resourceType", "actionParameters.input.patch.portalVisitHistory.ruleType", and "actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels |
Mapeado do registro de alterações |
user.id |
target.user.id |
Mapeado do registro de alterações |
user.name |
target.user.user_display_name |
Mapeado do registro de alterações |
actionParameters.groups" and "actionParameters.products |
security_result.detection_fields |
Mapeado do registro de alterações |
Tabela de mapeamento de eventos
| eventType do registro | Old event_type | event_type atual |
|---|---|---|
if [eventType] == "user.session.end" |
metadata.event_type |
"USER_LOGOUT" |
if [eventType] in ["user.authentication.auth_via_AD_agent" , "user.authentication.auth_via_LDAP_agent"] |
metadata.event_type |
STATUS_UPDATE |
if [eventType] in ["user.authentication.auth_via_mfa", "user.authentication.sso", "user.session.start","user.session.access_admin_app"] |
metadata.event_type |
USER_LOGIN |
if [has_principal] == "true" |
metadata.event_type |
"STATUS_UPDATE" |
if [has_resource] == "true" |
metadata.event_type |
USER_RESOURCE_ACCESS |
if [has_user] == "true" |
metadata.event_type |
USER_UNCATEGORIZED |
if [has_user] == "true" and [action] == "Login" |
metadata.event_type |
"USER_LOGIN" |
if [has_user] == "true" and [action] == "Login" |
event.idm.read_only_udm.extensions.auth.type |
"AUTHTYPE_UNSPECIFIED" |
if [has_user] == "true" and [event][idm][read_only_udm][metadata][event_type] == "GENERIC_EVENT" |
metadata.event_type |
USER_UNCATEGORIZED |
else |
metadata.event_type |
GENERIC_EVENT |
Registro de alterações
Confira o registro de alterações deste analisador
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.