Coletar registros da Wiz
Compatível com:
Google SecOps
SIEM
Este documento explica como ingerir registros do Wiz no Google Security Operations. O analisador transforma registros formatados em JSON da Wiz em um modelo de dados unificado (UDM). Primeiro, ele inicializa os valores padrão para campos do UDM e, em seguida, analisa a mensagem JSON, extrai campos relevantes, como informações do usuário, local, detalhes do dispositivo e resultados de segurança.
A Wiz é uma plataforma de segurança na nuvem que oferece visibilidade completa e priorização de riscos sem agente em ambientes do Google Cloud, AWS, Azure, OCI e Kubernetes.
Antes de começar
Verifique se você tem os pré-requisitos a seguir:
- Instância do Google SecOps
- Acesso privilegiado ao Wiz
Receber o ID de cliente do Google SecOps
- Faça login no console do Google SecOps.
- Acesse Configurações do SIEM > Perfil.
- Copie e salve o ID do cliente na seção Detalhes da organização.
Configurar a integração no Wiz
- Clique na integração do Google SecOps (Chronicle) no seu locatário do Wiz.
- Ou faça login na UI da Web do Wiz.
- Acesse a página Conectar ao Wiz.
- Clique em Google SecOps (Chronicle).
- Insira um nome para a integração do Google SecOps.
- Selecione o Escopo.
- Insira seu ID de cliente do Google SecOps.
- Insira o ID do projeto que contém sua instância do Google SecOps.
- Selecione o Local onde os dados do Google SecOps estão armazenados.
- Opcional: insira o namespace do ambiente para identificar o domínio de dados (o padrão é
WIZ). - Faça upload do arquivo Chave da conta de serviço (.JSON).
- Verifique se a conta de serviço recebeu o papel
roles/chronicle.editorno projeto principal e selecione Concedi o papel de editor da API Chronicle. - Clique em Salvar.
Adicionar uma regra de automação para o Google Security Operations
Adicione uma regra de automação para enviar problemas ou detecções do Wiz para o Google SecOps quando os critérios especificados forem atendidos.
Para adicionar uma regra de automação, faça o seguinte:
- Na página Políticas > Regras de automação, clique em Adicionar regra.
- Insira um Nome curto, mas significativo.
- Opcional: insira uma Descrição mais longa.
- Selecione um Escopo.
Em Condições da regra, selecione quando a regra deve ser acionada:
- Gatilho Problemas
- Gatilho de detecção
Escolha o formato de dados Nativo.
- Nativo: essa é a opção recomendada pelo Google. O formato de dados nativos é um esquema do Wiz que inclui campos como categoria, origem do gatilho e projetos.
- OCSF: gera eventos no formato do Open Cybersecurity Schema Framework.
Recomendamos que você marque a caixa de seleção Incluir evidências do problema.
Opcional: em Marcadores, clique em Adicionar.
SE: clique em Adicionar filtro e defina os critérios. Repita para cada filtro adicional.
EM SEGUIDA: faça o seguinte para acionar a Ação automatizada da plataforma para a regra de automação:
- Clique em Adicionar ação.
- Na lista de integrações configuradas, selecione as que se aplicam ao gatilho escolhido.
Opcional: modifique a Configuração de ação padrão. Se a integração selecionada for compatível com a Configuração de ação, você poderá:
- Use um modelo de ação existente. Para isso, clique em Carregar do modelo, selecione um modelo de ação e clique em Usar modelo.
- Modifique os Parâmetros de ação.
Para salvar as modificações, clique em Salvar como modelo, digite um Nome do modelo, selecione um Escopo do projeto e clique em Salvar.
Opcional: clique em Testar para validar a regra de automação usando a integração selecionada e os dados simulados.
Clique em Adicionar ação.
Opcional: clique em Adicionar ação novamente para adicionar até dez Ações.
Recomendamos que você role até a parte de baixo da página para conferir as correspondências anteriores dos filtros
IFselecionados. Verifique se os resultados do filtro correspondem às suas expectativas.Clique em Add Rule.
Tabela de mapeamento de UDM
A tabela a seguir se aplica ao tipo de registro WIZ_IO. Para o tipo de registro OCSF, consulte Coletar registros do OCSF.
| Campo de registro | Mapeamento de UDM | Comentário |
|---|---|---|
account.cloudPlatform |
additional.fields (chave = "cloudAccount_cloudPlatform") |
Dentro do loop "cloudAccounts" |
account.externalId |
target.cloud.project.id |
Dentro do loop "cloudAccounts" |
account.id |
target.resource.attribute.labels (chave = "cloudAccount_id") |
Dentro do loop "cloudAccounts" |
account.name |
target.cloud.project.name |
Dentro do loop "cloudAccounts" |
action |
metadata.product_event_type |
Se has_user == "true" e action == "Login": metadata.event_type é definido como USER_LOGIN, extensions.auth.type é definido como AUTHTYPE_UNSPECIFIED |
actionParameters.clientID |
additional.fields (chave = "ID do cliente") |
|
actionParameters.clientID |
principal.group.product_object_id |
|
actionParameters.groups |
security_result.detection_fields (key = "service_account_group") |
Itera pela matriz |
actionParameters.input.patch.portalVisitHistory.dateTime |
additional.fields (key = "dateTime {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels (chave = "id {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.name |
principal.resource.attribute.labels (key = "name {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.resourceName |
principal.resource.attribute.labels (key = "resourceName {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.resourceType |
principal.resource.attribute.labels (key = "resourceType {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.ruleType |
principal.resource.attribute.labels (key = "ruleType {index}") |
Iterado na matriz. |
actionParameters.input.patch.portalVisitHistory.type |
additional.fields (key = "type {index}") |
Iterado na matriz. |
actionParameters.name |
target.user.user_display_name |
|
actionParameters.products |
security_result.detection_fields (key = "service_account_product") |
Itera pela matriz, ignorando valores vazios ou "*". |
actionParameters.role |
target.user.attribute.roles |
|
actionParameters.scopes |
security_result.detection_fields (key = "service_account_scope") |
Iterado, cada escopo adicionado como um par de chave-valor separado. |
actionParameters.selection.preferences |
additional.fields (chave = "Preferences") |
Iterados, os valores são adicionados como uma lista de strings. |
actionParameters.userEmail |
target.user.email_addresses |
|
actionParameters.userID |
target.user.userid |
|
actionParameters.userpoolID |
additional.fields (chave = "ID do pool de usuários") |
|
actionParameters.userPoolType |
additional.fields (key = "UserPool Type") |
|
actor.displayName |
target.user.user_display_name |
|
actor.id |
target.user.userid |
|
actors.externalId |
intermediary.ip, intermediary.asset.ip |
Itera os atores. |
actors.id |
additional.fields (key = "actor_id: %{index}") |
Itera os atores. |
actors.name |
target.ip, target.asset.ip |
Itera os atores. |
actors.type |
target.resource.attribute.labels (key = "actor_type: %{index}") |
Itera os atores. |
authenticationContext.authenticationProvider |
security_result.detection_fields (chave = "authenticationProvider") |
Unido a "security_result.detection_fields". |
authenticationContext.credentialProvider |
security_result.detection_fields (chave = "credentialProvider") |
Unido a "security_result.detection_fields". |
authenticationContext.credentialType |
extensions.auth.mechanism |
Lógica: "OTP" para SMS/E-MAIL, "USERNAME_PASSWORD" para PASSWORD. |
authenticationContext.externalSessionId |
network.parent_session_id |
|
client.device |
principal.asset.type |
Mapeado condicionalmente com base em regex. |
client.geographicalContext.city |
principal.location.city |
|
client.geographicalContext.country |
principal.location.country_or_region |
|
client.geographicalContext.geolocation.lat |
principal.location.region_latitude |
|
client.geographicalContext.geolocation.lon |
principal.location.region_longitude |
|
client.geographicalContext.postalCode |
additional.fields (chave = "Código postal") |
|
client.geographicalContext.state |
principal.location.state |
|
client.ipAddress |
principal.ip, principal.asset.ip |
|
client.userAgent.browser |
target.resource.attribute.labels (chave = "Browser") |
|
client.userAgent.os |
principal.platform |
Mapeado para LINUX, WINDOWS ou MAC. |
client.userAgent.rawUserAgent |
network.http.user_agent, network.http.parsed_user_agent |
|
control.description |
security_result.detection_fields (chave = "control_description") |
|
control.id |
security_result.detection_fields (chave = "control_id") |
|
control.IssueURL |
security_result.url_back_to_product |
|
control.name |
security_result.detection_fields (key = "control_name") |
|
control.resolutionRecommendation |
security_result.detection_fields (chave = "control_resolution") |
|
control.risks |
security_result.detection_fields (key = "risk {i}") |
Itera pela matriz |
control.securitySubCategories.category.framework.name |
security_result.detection_fields (key = "framework_name") |
Faz um loop na matriz de subcategorias de processos. |
control.securitySubCategories.category.name |
security_result.category_details |
Faz um loop na matriz de subcategorias de processos. |
control.securitySubCategories.title |
security_result.summary |
Faz um loop na matriz de subcategorias de processos. |
control.severity |
security_result.severity |
Define condicionalmente ALTO, MÉDIO ou BAIXO. |
createdAt |
metadata.event_timestamp |
|
debugContext.debugData.behaviors |
security_result.description |
|
debugContext.debugData.deviceFingerprint |
target.asset.asset_id |
Precedido por "device_finger_print:" |
debugContext.debugData.dtHash |
security_result.detection_fields (chave = "dtHash") |
|
debugContext.debugData.factor |
security_result.detection_fields (key = "factor") |
|
debugContext.debugData.promptingPolicyTypes |
security_result.detection_fields (key = "promptingPolicyTypes") |
|
debugContext.debugData.requestUri |
extensions.auth.auth_details |
|
description |
security_result.description |
|
detection.actors.externalId |
principal.user.userid |
iterando sobre detection.actors |
detection.actors.externalId |
target.user.userid |
iterando sobre detection.actors |
detection.actors.id |
principal.user.product_object_id |
iterando sobre detection.actors |
detection.actors.id |
target.user.product_object_id |
iterando sobre detection.actors |
detection.actors.name |
principal.user.user_display_name |
iterando sobre detection.actors |
detection.actors.name |
target.user.user_display_name |
iterando sobre detection.actors |
detection.actors.nativeType |
principal.user.attribute.labels (key = "actor_nativeType {index}") |
iterando sobre detection.actors |
detection.actors.nativeType |
target.user.attribute.labels (key = "primaryActor_nativeType {index}") |
iterando sobre detection.actors |
detection.actors.type |
security_result.detection_fields (key = "actor_type {index}") |
iterando sobre detection.actors |
detection.actors.type |
security_result.detection_fields (key = "primary_actor_type {index}") |
iterando sobre detection.actors |
detection.cloudAccounts.cloudPlatform |
additional.fields (key = "detection_cloudAccount_cloudPlatform {i}") |
Itera pela matriz |
detection.cloudAccounts.externalId |
additional.fields (key = "detection_cloudAccount_externalId {i}") |
Itera pela matriz |
detection.cloudAccounts.id |
additional.fields (chave = "detection_cloudAccount_id {i}") |
Itera pela matriz |
detection.cloudAccounts.name |
additional.fields (key = "detection_cloudAccount_name {i}") |
Itera pela matriz |
detection.cloudOrganizations |
principal.resource.attribute.labels (key = "detectioncloudOrganization{index}") |
|
detection.createdAt |
additional.fields (chave = "detection_createdAt") |
|
detection.description |
security_result.description |
|
detection.detectionURL |
security_result.url_back_to_product |
|
detection.id |
metadata.product_log_id |
|
detection.mitreTactics |
additional.fields (key = "mitre_tactic {i}") |
Itera pela matriz |
detection.mitreTechniques |
additional.fields (key = "mitre_technique {i}") |
Itera pela matriz |
detection.primaryActor.actingAs.externalId |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_externalId") |
|
detection.primaryActor.actingAs.id |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_id") |
|
detection.primaryActor.actingAs.name |
principal.resource.attribute.labels (key = "detection_primaryActor_actingAs_name") |
|
detection.primaryActor.actingAs.providerUniqueId |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_providerUniqueId") |
|
detection.primaryActor.actingAs.type |
principal.resource.attribute.labels (chave = "detection_primaryActor_actingAs_type") |
|
detection.primaryResource.externalId |
target.resource.product_object_id |
|
detection.primaryResource.id |
additional.fields (chave = "detection_primaryResource_id") |
|
detection.primaryResource.name |
target.hostname, target.asset.hostname |
|
detection.primaryResource.type |
additional.fields (chave = "detection_primaryResource_type") |
|
detection.primaryResource.type |
target.resource.resource_type |
Definido como VIRTUAL_MACHINE se o tipo corresponder aos critérios. |
detection.resources.cloudProviderURL |
target.resource.attribute.labels (key = "detection_resource_cloudProviderURL {i}") |
Itera a matriz "detection.resources" |
detection.resources.externalId |
security_result.about.resource.attribute.labels (key = "detection_resource_externalId {i}") |
Itera a matriz "detection.resources" |
detection.resources.id |
security_result.about.resource.attribute.labels (key = "detection_resource_id {i}") |
Itera a matriz "detection.resources" |
detection.resources.kubernetesCluster.externalId |
target.resource.attribute.labels (key = "kubernetesClusterexternalId{i}") |
Itera a matriz "detection.resources" |
detection.resources.kubernetesCluster.id |
target.resource.attribute.labels (key = "kubernetesClusterid{i}") |
Itera a matriz "detection.resources" |
detection.resources.kubernetesnamespace.id |
additional.fields (key = "kubernetesnamespaceid{i}") |
Itera a matriz "detection.resources" |
detection.resources.name |
security_result.about.resource.attribute.labels (key = "detection_resource_name {i}") |
Itera a matriz "detection.resources" |
detection.resources.nativeType |
security_result.about.resource.attribute.labels (key = "detection_resource_nativeType {i}") |
Itera a matriz "detection.resources" |
detection.resources.region |
security_result.about.resource.attribute.labels (key = "detection_resource_region {i}") |
Itera a matriz "detection.resources" |
detection.resources.status |
target.resource.attribute.labels (key = "detection_resource_status {i}") |
Itera a matriz "detection.resources" |
detection.resources.type |
security_result.about.resource.attribute.labels (key = "detection_resource_type {i}") |
Itera a matriz "detection.resources" |
detection.tdrId |
additional.fields (key = "detection_tdr_id") |
|
detection.tdrSource |
additional.fields (key = "detection_tdr_source") |
|
detection.threatId |
security_result.threat_id |
|
detection.threatURL |
security_result.detection_fields (key = "threatURL") |
|
detection.timeframe.end |
metadata.collected_timestamp |
|
detection.timeframe.start |
metadata.event_timestamp |
|
detection.title |
security_result.rule_name |
|
detection.triggeringEvents.actor.externalId |
security_result.detection_fields (key = "detection_triggeringEvent_actor_externalId {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actor.id |
security_result.detection_fields (key = "detection_triggeringEvent_actor_id {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actor.name |
security_result.detection_fields (key = "detection_triggeringEvent_actor_name {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actor.type |
security_result.detection_fields (key = "detection_triggeringEvent_actor_type {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIP |
principal.ip e principal.asset.ip |
Itera triggeringEvents. |
detection.triggeringEvents.actorIP |
principal.resource.attribute.labels (key = "detection_triggeringEvent_actorIP {index}") |
Itera triggeringEvents. |
detection.triggeringEvents.actorIPMeta.autonomousSystemNumber |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_autonomousSystemNumber {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.autonomousSystemOrganization |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_autonomousSystemOrganization {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.country |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_country {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.isForeign |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_isForeign {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputation |
security_result.about.resource.attribute.labels (key = "detection_triggeringEvent_actorIPMeta_reputation {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.actorIPMeta.reputationSource |
additional.fields (key = "detection_triggeringEvent_actorIPMeta_reputationSource {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.category |
additional.fields (key = "detection_triggeringEvent_category {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.cloudPlatform |
additional.fields (key = "detection_triggeringEvent_cloudPlatform {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.cloudProviderUrl |
target.url |
Itera por triggeringEvents |
detection.triggeringEvents.description |
metadata.description |
Itera por triggeringEvents |
detection.triggeringEvents.eventTime |
additional.fields (key = "detection_triggeringEvent_eventTime {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.externalId |
additional.fields (key = "detection_triggeringEvent_externalId {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.id |
additional.fields (key = "detection_triggeringEvent_id {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.name |
additional.fields (key = "detection_triggeringEvent_name {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.origin |
additional.fields (key = "detection_triggeringEvent_origin {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.runtimeDetails.currentWorkingDirectory |
additional.fields (key = "detection_triggeringEvent_runtimeDetails_currentWorkingDirectory {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.runtimeDetails.processTree[0].path |
principal.process.file.full_path |
Itera triggeringEvents. Substitui a lógica do índice 0/1. |
detection.triggeringEvents.runtimeDetails.processTree[0].username |
additional.fields (key = "detection_triggeringEvent_runtimeDetails_username {index}") |
Itera triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[1].hash |
additional.fields (key = "detection_triggeringEvent_runtimeDetails_hash {index}") |
Itera triggeringEvents. |
detection.triggeringEvents.runtimeDetails.processTree[2].path |
principal.process.parent_process.file.full_path |
Itera por triggeringEvents |
detection.triggeringEvents.source |
additional.fields (key = "detection_triggeringEvent_source {index}") |
Itera por triggeringEvents |
detection.triggeringEvents.status |
additional.fields (key = "detection_triggeringEvent_status {index}") |
Itera por triggeringEvents |
detection.triggeringEvents[0].runtimeDetails.processTree[0].command |
target.process.command_line |
Apenas para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].hash |
target.process.file.sha1 |
Apenas para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].path |
target.process.file.full_path |
Apenas para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].size |
target.process.file.size |
Apenas para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[0].username |
principal.user.userid |
Apenas para o primeiro triggeringEvent e o primeiro elemento processTree |
detection.triggeringEvents[0].runtimeDetails.processTree[1].command |
principal.process.command_line |
Apenas para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].hash |
principal.process.file.sha1 |
Apenas para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].path |
principal.process.file.full_path |
Apenas para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEvents[0].runtimeDetails.processTree[1].size |
principal.process.file.size |
Apenas para o primeiro triggeringEvent e o segundo elemento processTree. |
detection.triggeringEventsCount |
additional.fields (chave = "triggering_events_count") |
|
DetectionURL |
security_result.url_back_to_product |
|
dueAt |
additional.fields (chave = "due_at") |
|
entitySnapshot.cloudPlatform |
principal.cloud.vpc.name |
|
entitySnapshot.externalId |
principal.group.product_object_id |
|
entitySnapshot.id |
principal.asset_id |
|
entitySnapshot.name |
principal.cloud.project.name |
|
entitySnapshot.nativeType |
principal.cloud.project.resource_subtype |
|
entitySnapshot.providerId |
principal.cloud.vpc.id |
|
entitySnapshot.status |
security_result.action_details |
|
entitySnapshot.tags.io.cri-containerd.kind |
target.resource.attribute.labels (chave = "Containerd Kind") |
|
entitySnapshot.tags.io.kubernetes.container.name |
target.resource.attribute.labels (key = "Container Name") |
|
entitySnapshot.tags.io.kubernetes.pod.name |
target.resource.attribute.labels (key = "Pod Name") |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
principal.namespace |
|
entitySnapshot.tags.io.kubernetes.pod.namespace |
target.resource.attribute.labels (key = "Pod Namespace") |
|
entitySnapshot.tags.io.kubernetes.pod.uid |
target.resource.attribute.labels (key = "Pod Id") |
|
entitySnapshot.tags.maintainer |
target.resource.attribute.labels (chave = "Maintainer") |
|
entitySnapshot.type |
principal.cloud.project.id |
|
eventType |
metadata.product_event_type |
|
eventType (valores específicos) |
extensions.auth.mechanism |
Mesclado com auth_type para tipos de login. |
Hardcoded to "WIZ_IO" |
metadata.product_name |
|
Hardcoded to "WIZ_IO" |
metadata.vendor_name |
|
id |
metadata.product_log_id |
|
issue.created |
metadata.event_timestamp |
|
issue.id |
metadata.product_log_id |
|
issue.projects |
additional.fields (chave = "issue_projects") |
|
issue.severity |
Sets intermediate variable severity |
Definido como "INFORMATIVA" se a condição for atendida. |
issue.status |
security_result.action_details |
|
issue.status |
security_result.action_details |
Mapeado somente se o status for "OPEN" |
metadata_data.version |
metadata.product_version |
|
mitreTactics (elemento de matriz) |
additional.fields (chave = "mitre_tactic %{i}") |
Itera a matriz. |
mitreTechniques (elemento de matriz) |
additional.fields (key = "mitre_technique %{i}") |
Itera a matriz. |
outcome.reason |
security_result.category_details |
|
outcome.result |
security_result.action |
Mapeamento indireto para ALLOW, CHALLENGE ou BLOCK. |
primaryActor.actingAs |
additional.fields (chave = "primaryActor_actingAs") |
|
primaryActor.email |
additional.fields (chave = "primaryActor_email") |
|
primaryActor.externalId |
principal.ip, principal.asset.ip |
|
primaryActor.id |
additional.fields (key = "primaryActor_id") |
|
primaryActor.name |
target.ip, target.asset.ip |
|
primaryActor.nativeType |
additional.fields (key = "primaryActor_nativeType") |
|
primaryActor.providerUniqueId |
additional.fields (chave = "primaryActor_providerUniqueId") |
|
primaryActor.type |
principal.resource.type |
|
primaryResource.cloudAccount.cloudPlatform |
additional.fields (key = "primaryResourceCloudPlatform") |
|
primaryResource.cloudAccount.externalId |
target.cloud.project.id |
|
primaryResource.cloudAccount.id |
additional.fields (key = "primaryResourceCloudAccountId") |
|
primaryResource.cloudAccount.name |
target.cloud.project.name |
|
primaryResource.cloudProviderURL |
target.url |
|
primaryResource.externalId |
additional.fields (chave = "primaryResourceExternalId") |
|
primaryResource.id |
target.resource.id |
|
primaryResource.name |
target.resource.name |
|
primaryResource.nativeType |
additional.fields (key = "primaryResourceNativeType") |
|
primaryResource.region |
target.asset.location.country_or_region |
|
primaryResource.type |
target.resource.type |
|
process.command |
target.resource.attribute.labels (key = "processcommand{process_index}") |
|
process.container.externalId |
target.resource.attribute.labels (key = "containerexternalId{process_index}") |
|
process.container.id |
target.resource.attribute.labels (key = "process_containerid{process_index}") |
|
process.container.imageExternalId |
target.resource.attribute.labels (key = "containerimageExternalId{process_index}") |
|
process.container.imageId |
target.resource.attribute.labels (key = "containerimageId{process_index}") |
|
process.container.name |
target.resource.attribute.labels (key = "process_containername{process_index}") |
|
process.currentWorkingDirectory |
target.resource.attribute.labels (chave = "currentWorkingDirectory_{process_index}") |
|
process.hash |
target.resource.attribute.labels (chave = "processhash{process_index}") |
|
process.id |
target.resource.attribute.labels (key = "processid{process_index}") |
|
process.path |
target.resource.attribute.labels (key = "processpath{process_index}") |
|
process.size |
target.process.file.size |
|
process.userId |
target.resource.attribute.labels (key = "processuserId{process_index}") |
|
process.username |
target.resource.attribute.labels (key = "processusername{process_index}") |
|
requestId |
metadata.product_log_id |
|
resource.cloudAccount.cloudPlatform |
additional.fields (chave = "cloudPlatform") |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.cloudAccount.externalId |
additional.fields (chave = "cloudAccountExternalId") |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.cloudAccount.id |
additional.fields (chave = "cloudAccountId") |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.cloudAccount.name |
cloudAccountName |
|
resource.cloudPlatform |
additional.fields (key = "resource_cloudPlatform") |
|
resource.cloudProviderURL |
about.url |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.cloudProviderURL |
target.url |
|
resource.externalId |
additional.fields (chave = "externalId") |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.id |
about.resource.product_object_id |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.id |
target.resource.id |
|
resource.name |
about.resource.name |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.name |
target.resource.name |
|
resource.nativeType |
about.resource.resource_subtype |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.region |
about.location.country_or_region |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.region |
target.asset.location.country_or_region |
|
resource.region |
target.location.country_or_region |
|
resource.status |
about.resource.attribute.labels (chave = "status") |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.status |
target.resource.attribute.labels (chave = "status") |
|
resource.subscriptionId |
target.cloud.project.id |
|
resource.subscriptionName |
target.cloud.project.name |
|
resource.type |
about.resource.type |
Parte do objeto mesclada no campo "sobre" repetido. |
resource.type |
target.resource.type |
|
serviceAccount.name |
principal.application |
Apenas se a ação for "Denunciar" |
sourceIP |
principal.ip, principal.asset.ip |
|
sourceRule.id |
principal.user.userid |
|
status |
security_result.summary |
|
statusChangedAt |
additional.fields (chave = "status_changed_at") |
|
tdrId |
security_result.detection_fields (chave = "tdrId") |
|
tdrSource |
security_result.detection_fields (key = "tdrSource") |
|
The detection.severity variable |
security_result.severity |
Normalizado (por exemplo, INFO -> LOW) e mapeado. |
threat.actors.externalId |
principal.user.email_addresses |
Itera por threat.actors. |
threat.actors.id |
principal.resource.attribute.labels (key = "actor_id:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.actors.id |
principal.resource.product_object_id |
Mapeado para o primeiro elemento (índice 0). |
threat.actors.name |
principal.user.email_addresses |
Itera por threat.actors. |
threat.actors.nativeType |
principal.resource.attribute.labels (key = "actor_nativeType:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.actors.nativeType |
principal.resource.resource_subtype |
Mapeado para o primeiro elemento (índice 0). |
threat.actors.type |
additional.fields (key = "actor_type") |
Itera por threat.actors. |
threat.cloudAccounts |
target.resource.attribute.labels (chave = "threat_cloudAccounts") |
|
threat.cloudOrganizations.cloudProvider |
target.resource.attribute.labels (chave = "org_cloudProvider:%{index}") |
Itera por "threat.cloudOrganizations". |
threat.cloudOrganizations.externalId |
target.resource.attribute.labels (chave = "org_externalId:%{index}") |
Itera por "threat.cloudOrganizations". |
threat.cloudOrganizations.id |
target.resource.attribute.labels (chave = "org_id:%{index}") |
Itera por "threat.cloudOrganizations". |
threat.cloudOrganizations.name |
target.resource.attribute.labels (key = "org_name:%{index}") |
Itera por "threat.cloudOrganizations". |
threat.cloudPlatform |
additional.fields (key = "threat_cloudPlatform") |
|
threat.created |
metadata.event_timestamp |
|
threat.description |
security_result.description |
|
threat.detectionIds |
additional.fields (chave = "detectionId") |
String separada por vírgulas dividida em lista. |
threat.id |
metadata.product_log_id |
|
threat.mitreTactics |
additional.fields (key = "tactic_vallabel{index}") |
Itera a matriz. |
threat.mitreTechniques |
additional.fields (chave = "technique_vallabel{i}") |
Itera pela matriz |
threat.notes |
additional.fields (key = "threat_notes") |
|
threat.projects |
additional.fields (chave = "threat_projects") |
|
threat.resolutionNote |
additional.fields (chave = "threat_resolutionNote") |
|
threat.resolvedAt |
additional.fields (key = "threat_resolvedAt") |
|
threat.resources.externalId |
target.resource.attribute.labels (key = "resource_externalId:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.resources.externalId |
target.resource.product_object_id |
Mapeado para o primeiro elemento (índice 0). |
threat.resources.id |
target.resource.attribute.labels (key = "resource_id:%{index}") |
Itera por "threat.resources". |
threat.resources.name |
target.resource.attribute.labels (key = "resource_name:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.resources.name |
target.resource.name |
Mapeado para o primeiro elemento (índice 0). |
threat.resources.nativeType |
target.resource.attribute.labels (key = "resource_nativeType:%{index}") |
Mapeado para elementos após o primeiro (índice > 0). |
threat.resources.nativeType |
target.resource.resource_subtype |
Mapeado para o primeiro elemento (índice 0). |
threat.resources.type |
additional.fields (key = "resource_type") |
Itera por "threat.resources". |
threat.severity |
security_result.severity |
Normalizado indiretamente (por exemplo, INFO -> LOW). |
threat.status |
security_result.action_details |
|
threat.tdrNames |
additional.fields (chave = "tdrName") |
String separada por vírgulas dividida em lista. |
threat.threatURL |
security_result.url_back_to_product |
|
threat.title |
metadata.description |
|
threat.updatedAt |
additional.fields (chave = "threat_updatedAt") |
|
threatId |
security_result.threat_id |
|
threatURL |
security_result.detection_fields (key = "threatURL") |
|
timeframe.end |
additional.fields (chave = "timeframe_end") |
|
timeframe.start |
metadata.collected_timestamp |
|
timestamp |
metadata.event_timestamp |
|
title |
security_result.summary |
|
trigger.changedBy |
principal.user.product_object_id |
|
trigger.ruleId |
security_result.rule_id |
|
trigger.ruleName |
additional.fields (key = "rule_name") |
|
trigger.source |
metadata.product_event_type |
|
trigger.type |
additional.fields (chave = "trigger_type") |
|
trigger.updatedFields |
additional.fields (chave = "updated_fields") |
|
triggeringEvents.actor.id |
principal.user.userid |
Mapeado no loop triggeringEvents. |
triggeringEvents.actor.name |
about.user.user_display_name |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.actor.type |
about.resource.type |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.actorIP |
observer.ip |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemNumber |
principal.labels (key = "actorIP_autonomousSystemNumber") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.autonomousSystemOrganization |
principal.labels (key = "actorIP_autonomousSystemOrganization") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.country |
principal.asset.location.country_or_region |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.isForeign |
principal.labels (key = "actorIP_isForeign") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.reputation |
principal.labels (chave = "actorIP_reputation") |
Mapeado no loop triggeringEvents. |
triggeringEvents.actorIPMeta.reputationSource |
principal.labels (key = "actorIP_reputationSource") |
Mapeado no loop triggeringEvents. |
triggeringEvents.category |
about.resource.attribute.labels (chave = "triggeringEvent_category") |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.cloudPlatform |
security_result.detection_fields (key = "triggeringEvent_cloudPlatform") |
Mapeado no loop triggeringEvents. |
triggeringEvents.cloudProviderUrltarget.url |
Mapped within the triggeringEvents loop. |
|
triggeringEvents.description |
metadata.description |
Mapeado no loop triggeringEvents. |
triggeringEvents.eventTime |
about.resource.attribute.labels (chave = "triggeringEvent_eventTime") |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.externalId |
principal.resource.product_object_id |
Mapeado no loop triggeringEvents. |
triggeringEvents.id |
metadata.product_log_id |
Mapeado no loop triggeringEvents. |
triggeringEvents.name |
security_result.summary |
Mapeado no loop triggeringEvents. |
triggeringEvents.origin |
about.resource.attribute.labels (chave = "triggeringEvent_origin") |
Mapeado no loop triggeringEvents; mesclado. |
triggeringEvents.resources.externalId |
about.resource.attribute.labels (chave = "externalId") |
Mapeado em loops e mesclado em uma matriz "about". |
triggeringEvents.resources.id |
about.resource.product_object_id |
Mapeado em loops e mesclado em uma matriz "about". |
triggeringEvents.resources.name |
about.resource.name |
Mapeado em loops e mesclado em uma matriz "about". |
triggeringEvents.resources.nativeType |
about.resource.resource_subtype |
Mapeado em loops e mesclado em uma matriz "about". |
triggeringEvents.resources.region |
about.location.country_or_region |
Mapeado em loops e mesclado em uma matriz "about". |
triggeringEvents.resources.type |
about.resource.type |
Mapeado em loops e mesclado em uma matriz "about". |
triggeringEvents.source |
additional.fields (chave = "triggeringEvent_source") |
Mapeado no loop triggeringEvents. |
triggeringEvents.status |
security_result.action_details |
Mapeado no loop triggeringEvents. |
triggeringEventsCount |
additional.fields (chave = "triggeringEventsCount") |
|
type |
metadata.product_event_type |
|
updatedAt |
additional.fields (chave = "updated_at") |
|
version |
security_result.detection_fields (chave = "version") |
|
detection.primaryActor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de mudanças |
detection.actors.type |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.actors.externalId |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.actors.id |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.actors.name |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.email |
event.idm.read_only_udm.principal.user.email_addresses |
Mapeado do registro de mudanças |
detection.primaryActor.friendlyName |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.providerUniqueId |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.actors |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
detection.tdrId |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
detection.tdrSource |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
detection.cloudAccounts.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.cloudAccounts.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.cloudAccounts.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Mapeado do registro de mudanças |
detection.primaryResource.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.triggeringEvents.actor.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Mapeado do registro de mudanças |
detection.triggeringEvents.actorIPMeta.country |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.triggeringEvents.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Mapeado do registro de mudanças |
detection.triggeringEvents.cloudProviderUrl |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.triggeringEvents.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de mudanças |
detection.triggeringEvents.description |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Mapeado do registro de mudanças |
detection.triggeringEvents.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de mudanças |
detection.triggeringEvents.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de mudanças |
detection.triggeringEvents.status |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
title |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de mudanças |
createdAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Mapeado do registro de mudanças |
actors.externalId |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de mudanças |
actors.externalId |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de mudanças |
actors.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de mudanças |
actors.name |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de mudanças |
actors.name |
event.idm.read_only_udm.principal.user.user_display_name |
Mapeado do registro de mudanças |
actors.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de mudanças |
primaryResource.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryResource.name |
event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname |
Mapeado do registro de mudanças |
triggeringEvents.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvents.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvents.actorIP |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de mudanças |
triggeringEvents.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvents.category |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvents.eventTime |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvents.origin |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Mapeado do registro de mudanças |
detection.primaryActor.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvents.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
detection.triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvents.actorIPMeta.reputationDescription |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Mapeado do registro de mudanças |
mitreTactics |
event.idm.read_only_udm.security_result.attack_details.tactics |
Mapeado do registro de mudanças |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
resource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de mudanças |
resource.subscriptionId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
resource.subscriptionName |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
account.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
account.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryActor.type |
event.idm.read_only_udm.principal.resource.resource_type |
Mapeado do registro de mudanças |
primaryResource.id |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de mudanças |
primaryResource.type |
event.idm.read_only_udm.target.resource.resource_type |
Mapeado do registro de mudanças |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.actor.type |
event.idm.read_only_udm.about.resource.resource_type |
Mapeado do registro de mudanças |
client.geographicalContext.geolocation.lat |
event.idm.read_only_udm.principal.location.region_coordinates.latitude |
Mapeado do registro de mudanças |
client.geographicalContext.geolocation.lon |
event.idm.read_only_udm.principal.location.region_coordinates.longitude |
Mapeado do registro de mudanças |
triggeringEvent.resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Mapeado do registro de mudanças |
resource.type |
event.idm.read_only_udm.target.resource.resource_type |
Mapeado do registro de mudanças |
resources.type |
event.idm.read_only_udm.about.resource.resource_type |
Mapeado do registro de mudanças |
actor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.executionTime |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryActor.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesNamespace.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesNamespace.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesNamespace.providerUniqueId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
primaryResource.kubernetesNamespace.name |
event.idm.read_only_udm.target.namespace |
Mapeado do registro de mudanças |
primaryResource.kubernetesCluster.name |
event.idm.read_only_udm.about.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryResource.externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de mudanças |
detection.primaryResource.name |
event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.n.currentWorkingDirectory |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.1.command |
event.idm.read_only_udm.principal.process.command_line |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.1.path |
event.idm.read_only_udm.principal.process.file.full_path |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.principal.process.file.sha1 |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.1.size |
event.idm.read_only_udm.principal.process.file.size |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.command |
event.idm.read_only_udm.target.process.command_line |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.target.process.file.full_path |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.hash |
event.idm.read_only_udm.target.process.file.sha1 |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.size |
event.idm.read_only_udm.target.process.file.size |
Mapeado do registro de mudanças |
detection.title |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de mudanças |
trigger.ruleName |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection_cloudOrganizations |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection_triggeringEvent_actorIP |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.actingAs.externalId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.actingAs.id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.actingAs.name |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.actingAs.type |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
detection.primaryActor.actingAs.providerUniqueId |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.status |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.cloudProviderURL |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
actor_externalId |
event.idm.read_only_udm.principal.user.email_addresses |
Mapeado do registro de mudanças |
actor_name |
event.idm.read_only_udm.principal.user.email_addresses |
Mapeado do registro de mudanças |
actor_id |
event.idm.read_only_udm.principal.resource.product_object_id |
Mapeado do registro de mudanças |
actor_nativeType |
event.idm.read_only_udm.principal.resource.resource_subtype |
Mapeado do registro de mudanças |
actor_type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource_type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threat_cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threat_resolutionNote |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threat_resolvedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threat_projects |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threat_notes |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
tactic_val |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
technique_val |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threat.updatedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
tdrName |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detectionId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource_externalId |
event.idm.read_only_udm.target.resource.product_object_id |
Mapeado do registro de mudanças |
resource_nativeType |
event.idm.read_only_udm.target.resource.resource_subtype |
Mapeado do registro de mudanças |
org_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
org_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
org_cloudProvider |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
org_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
resource_externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
resource_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
resource_nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
resource_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
threat.threatURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de mudanças |
threat.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de mudanças |
threat.title |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de mudanças |
threat.description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de mudanças |
threat.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de mudanças |
threat.created |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
threat.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de mudanças |
resource_name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de mudanças |
actor_id |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
actor_nativeType |
event.idm.read_only_udm.principal.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.kubernetesCluster.id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.kubernetesCluster.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process_command |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process_container_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process_container_name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process.container.externalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process.container.imageId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process.container.imageExternalId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process_hash |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process_id |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process_path |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process.username |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
process.userId |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.kubernetesnamespace.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.1.hash |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.username |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.currentWorkingDirectory |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.0.path |
event.idm.read_only_udm.principal.process.file.full_path |
Mapeado do registro de mudanças |
triggeringEvent.runtimeDetails.processTree.2.path |
event.idm.read_only_udm.principal.process.parent_process.file.full_path |
Mapeado do registro de mudanças |
process.size |
event.idm.read_only_udm.target.process.file.size |
Mapeado do registro de mudanças |
detection.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de mudanças |
detection.threatId |
event.idm.read_only_udm.security_result.threat_id |
Mapeado do registro de mudanças |
detection.detectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de mudanças |
detection.threatURL |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
primaryActor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvent.actor.externalId |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvent.actor.id |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvent.actor.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvent.actor.type |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
detection.title |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de mudanças |
detection.description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de mudanças |
detection.severity |
event.idm.read_only_udm.severity |
Mapeado do registro de mudanças |
detection.tdrId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.tdrSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.mitreTactics |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.mitreTechniques |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
account.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
account.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
account.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
account.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.createdAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.primaryResource.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.primaryResource.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.primaryResource.type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.category |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.eventTime |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.origin |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.source |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEvent.status |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
detection.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
detection.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Mapeado do registro de mudanças |
actor.externalId |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de mudanças |
actor.id |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de mudanças |
actor.name |
event.idm.read_only_udm.principal.user.user_display_name |
Mapeado do registro de mudanças |
primaryActor.externalId |
event.idm.read_only_udm.target.user.userid |
Mapeado do registro de mudanças |
primaryActor.id |
event.idm.read_only_udm.target.user.product_object_id |
Mapeado do registro de mudanças |
primaryActor.name |
event.idm.read_only_udm.target.user.user_display_name |
Mapeado do registro de mudanças |
metadata_data.version |
event.idm.read_only_udm.metadata.product_version |
Mapeado do registro de mudanças |
triggeringEvent.cloudProviderUrl |
event.idm.read_only_udm.target.url |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.type |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.externalId |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.id |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.name |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.nativeType |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
det_resource.region |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.actorIP |
event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip |
Mapeado do registro de mudanças |
actor.nativeType |
event.idm.read_only_udm.principal.user.attribute.labels |
Mapeado do registro de mudanças |
primaryActor.nativeType |
event.idm.read_only_udm.target.user.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de mudanças |
actor.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
trigger.source |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
issue.projects |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
control.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
threatURL |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
tdrId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
tdrSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryActor.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryActor.actingAs |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryActor.email |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryActor.nativeType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryActor.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource.cloudAccount.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
resource.cloudAccount.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
primaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
mitreTactics |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
mitreTechniques |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
trigger.type |
event.idm.read_only_udm.metadata.product_event_type |
Mapeado do registro de mudanças |
trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Mapeado do registro de mudanças |
trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de mudanças |
trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de mudanças |
issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de mudanças |
triggeringEvent.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de mudanças |
issue.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de mudanças |
triggeringEvent.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de mudanças |
issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
createdAt |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
resource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de mudanças |
primaryResource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de mudanças |
resource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de mudanças |
primaryResource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de mudanças |
resource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de mudanças |
primaryResource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de mudanças |
resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de mudanças |
primaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de mudanças |
resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de mudanças |
primaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de mudanças |
resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de mudanças |
primaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de mudanças |
resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de mudanças |
primaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de mudanças |
control.id |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
risk |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvent.cloudPlatform |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
control.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de mudanças |
control.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de mudanças |
issue.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de mudanças |
severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de mudanças |
control.IssueURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de mudanças |
DetectionURL |
event.idm.read_only_udm.security_result.url_back_to_product |
Mapeado do registro de mudanças |
threatId |
event.idm.read_only_udm.security_result.threat_id |
Mapeado do registro de mudanças |
title |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de mudanças |
triggeringEvent.name |
event.idm.read_only_udm.security_result.summary |
Mapeado do registro de mudanças |
description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de mudanças |
primaryActor.externalId |
event.idm.read_only_udm.principal.ip |
Mapeado do registro de mudanças |
primaryActor.type |
event.idm.read_only_udm.principal.resource.type |
Mapeado do registro de mudanças |
primaryActor.name |
event.idm.read_only_udm.target.ip |
Mapeado do registro de mudanças |
resource.nativeType |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
actor.type |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
resource.status |
event.idm.read_only_udm.resource_obj.resource.attribute.labels |
Mapeado do registro de mudanças |
resource.region |
event.idm.read_only_udm.target.location.country_or_region |
Mapeado do registro de mudanças |
resource.cloudProviderURL |
event.idm.read_only_udm.resource_obj.url |
Mapeado do registro de mudanças |
triggeringEvent.actorIP |
event.idm.read_only_udm.observer.ip |
Mapeado do registro de mudanças |
triggeringEvent.actor.id |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de mudanças |
triggeringEvent.actor.name |
event.idm.read_only_udm.about_obj.user.user_display_name |
Mapeado do registro de mudanças |
triggeringEvent.actor.type |
event.idm.read_only_udm.about_obj.resource.type |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.country |
event.idm.read_only_udm.principal.asset.location.country_or_region |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.reputation |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.reputationSource |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.autonomousSystemOrganization |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.autonomousSystemNumber |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.isForeign |
event.idm.read_only_udm.principal.labels |
Mapeado do registro de mudanças |
triggeringEvent.category |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.eventTime |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.origin |
event.idm.read_only_udm.about_obj.resource.attribute.labels |
Mapeado do registro de mudanças |
triggeringEvent.externalId |
event.idm.read_only_udm.principal.resource.product_object_id |
Mapeado do registro de mudanças |
actor_name_ip |
event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip |
Mapeado do registro de mudanças |
actor_externalId_ip |
event.idm.read_only_udm.intermediary.ip e event.idm.read_only_udm.intermediary.asset.ip |
Mapeado do registro de mudanças |
record.trigger.source |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.cloudOrganizations |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.trigger.type |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.triggeringEventsCount |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.trigger.updatedFields |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.control.risks |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.resource.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.control.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.DetectionURL |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.threatURL |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.tdrId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.tdrSource |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
mitreTactic |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
cloudAccounts.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
cloudAccounts.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
cloudAccounts.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
cloudAccounts.name |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.cloudAccount.cloudPlatform |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.externalId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.primaryResource.nativeType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.cloudAccount.id |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.providerUniqueId |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.status |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.VCSRepository |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.cloudOrganization |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.kubernetesNamespace |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.PrimaryResource.kubernetesCluster |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
record.trigger.ruleId |
event.idm.read_only_udm.security_result.rule_id |
Mapeado do registro de mudanças |
record.trigger.ruleName |
event.idm.read_only_udm.security_result.rule_name |
Mapeado do registro de mudanças |
record.trigger.changedBy |
event.idm.read_only_udm.principal.user.product_object_id |
Mapeado do registro de mudanças |
record.issue.id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de mudanças |
record.issue.status |
event.idm.read_only_udm.security_result.alert_state |
Mapeado do registro de mudanças |
record.issue.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de mudanças |
record.severity |
event.idm.read_only_udm.security_result.severity |
Mapeado do registro de mudanças |
record.issue.created |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
record.timeframe.start |
event.idm.read_only_udm.metadata.event_timestamp |
Mapeado do registro de mudanças |
record.resource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de mudanças |
record.PrimaryResource.id |
event.idm.read_only_udm.target.resource.id |
Mapeado do registro de mudanças |
record.resource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de mudanças |
record.PrimaryResource.name |
event.idm.read_only_udm.target.resource.name |
Mapeado do registro de mudanças |
record.resource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de mudanças |
record.PrimaryResource.type |
event.idm.read_only_udm.target.resource.type |
Mapeado do registro de mudanças |
record.resource.subscriptionId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de mudanças |
record.PrimaryResource.cloudAccount.externalId |
event.idm.read_only_udm.target.cloud.project.id |
Mapeado do registro de mudanças |
record.resource.subscriptionName |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de mudanças |
record.PrimaryResource.cloudAccount.name |
event.idm.read_only_udm.target.cloud.project.name |
Mapeado do registro de mudanças |
record.resource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de mudanças |
record.PrimaryResource.region |
event.idm.read_only_udm.target.asset.location.country_or_region |
Mapeado do registro de mudanças |
record.resource.status |
event.idm.read_only_udm.security_result.about.resource.attribute.labels |
Mapeado do registro de mudanças |
record.resource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de mudanças |
record.PrimaryResource.cloudProviderURL |
event.idm.read_only_udm.target.url |
Mapeado do registro de mudanças |
record.control.id |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
record.issue.projects |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
triggeringEvent.actorIPMeta.category |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
record.control.description |
event.idm.read_only_udm.metadata.description |
Mapeado do registro de mudanças |
record.control.IssueURL |
event.idm.read_only_udm.security_result.about.url |
Mapeado do registro de mudanças |
record.threatId |
event.idm.read_only_udm.security_result.threat_id |
Mapeado do registro de mudanças |
record.title |
event.idm.read_only_udm.metadata.product_event_type |
Mapeado do registro de mudanças |
record.description |
event.idm.read_only_udm.security_result.description |
Mapeado do registro de mudanças |
record.timeframe.end |
event.idm.read_only_udm.metadata.collected_timestamp |
Mapeado do registro de mudanças |
act.externalId |
event.idm.read_only_udm.target.ip |
Mapeado do registro de mudanças |
pactor.externalId |
event.idm.read_only_udm.principal.ip |
Mapeado do registro de mudanças |
triggeringEvents.actor.id |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de mudanças |
id |
event.idm.read_only_udm.metadata.product_log_id |
Mapeado do registro de mudanças |
createdAt |
event.idm.read_only_udm.metadata.timestamp |
Mapeado do registro de mudanças |
entitySnapshot.tags.io.kubernetes.pod.uid |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.tags.io.kubernetes.container.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.tags.io.cri-containerd.kind |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.tags.io.kubernetes.pod.name |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.tags.maintainer |
event.idm.read_only_udm.target.resource.attribute.labels |
Mapeado do registro de mudanças |
entitySnapshot.externalId |
event.idm.read_only_udm.principal.group.product_object_id |
Mapeado do registro de mudanças |
actionParameters.clientID |
event.idm.read_only_udm.principal.group.product_object_id |
Mapeado do registro de mudanças |
type |
event.idm.read_only_udm.metadata.product_event_type |
Mapeado do registro de mudanças |
entitySnapshot.tags.io.kubernetes.pod.namespace |
event.idm.read_only_udm.principal.namespace |
Mapeado do registro de mudanças |
entitySnapshot.id |
event.idm.read_only_udm.principal.asset_id |
Mapeado do registro de mudanças |
entitySnapshot.cloudPlatform |
event.idm.read_only_udm.principal.cloud.vpc.name |
Mapeado do registro de mudanças |
entitySnapshot.providerId |
event.idm.read_only_udm.principal.cloud.vpc.id |
Mapeado do registro de mudanças |
entitySnapshot.type |
event.idm.read_only_udm.principal.cloud.project.id |
Mapeado do registro de mudanças |
entitySnapshot.nativeType |
event.idm.read_only_udm.principal.cloud.project.resource_subtype |
Mapeado do registro de mudanças |
entitySnapshot.name |
event.idm.read_only_udm.principal.cloud.project.name |
Mapeado do registro de mudanças |
entitySnapshot.status |
event.idm.read_only_udm.security_result.action_details |
Mapeado do registro de mudanças |
updatedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
dueAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
statusChangedAt |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
sourceRule.id |
event.idm.read_only_udm.principal.user.userid |
Mapeado do registro de mudanças |
control.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
control.description |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
control.resolutionRecommendation |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
subcategories.title |
event.idm.read_only_udm.security_result.category |
Mapeado do registro de mudanças |
subcategories.category.name |
event.idm.read_only_udm.security_result.category_details |
Mapeado do registro de mudanças |
subcategories.category.framework.name |
event.idm.read_only_udm.security_result.detection_fields |
Mapeado do registro de mudanças |
actionParameters.userPoolType |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
actionParameters.userpoolID |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
actionParameters.clientID |
event.idm.read_only_udm.additional.fields |
Mapeado do registro de mudanças |
actionParameters.selection.preferences", "actionParameters.input.patch.portalVisitHistory.dateTime", and "actionParameters.input.patch.portalVisitHistory.type |
additional.fields |
Mapeado do registro de mudanças |
actionParameters.input.patch.portalVisitHistory.name", "actionParameters.input.patch.portalVisitHistory.resourceName", "actionParameters.input.patch.portalVisitHistory.resourceType", "actionParameters.input.patch.portalVisitHistory.ruleType", and "actionParameters.input.patch.portalVisitHistory.id |
principal.resource.attribute.labels |
Mapeado do registro de mudanças |
user.id |
target.user.id |
Mapeado do registro de mudanças |
user.name |
target.user.user_display_name |
Mapeado do registro de mudanças |
actionParameters.groups" and "actionParameters.products |
security_result.detection_fields |
Mapeado do registro de mudanças |
Tabela de mapeamento de eventos
| eventType do registro | Old event_type | event_type atual |
|---|---|---|
if [eventType] == "user.session.end" |
metadata.event_type |
"USER_LOGOUT" |
if [eventType] in ["user.authentication.auth_via_AD_agent" , "user.authentication.auth_via_LDAP_agent"] |
metadata.event_type |
STATUS_UPDATE |
if [eventType] in ["user.authentication.auth_via_mfa", "user.authentication.sso", "user.session.start","user.session.access_admin_app"] |
metadata.event_type |
USER_LOGIN |
if [has_principal] == "true" |
metadata.event_type |
"STATUS_UPDATE" |
if [has_resource] == "true" |
metadata.event_type |
USER_RESOURCE_ACCESS |
if [has_user] == "true" |
metadata.event_type |
USER_UNCATEGORIZED |
if [has_user] == "true" and [action] == "Login" |
metadata.event_type |
"USER_LOGIN" |
if [has_user] == "true" and [action] == "Login" |
event.idm.read_only_udm.extensions.auth.type |
"AUTHTYPE_UNSPECIFIED" |
if [has_user] == "true" and [event][idm][read_only_udm][metadata][event_type] == "GENERIC_EVENT" |
metadata.event_type |
USER_UNCATEGORIZED |
else |
metadata.event_type |
GENERIC_EVENT |
Registro de alterações
Ver o registro de alterações deste analisador
Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.