Raccogli gli audit log di Workday

Supportata in:

Questo documento spiega come importare gli audit log di Workday in Google Security Operations utilizzando Google Cloud Storage. Il parser identifica innanzitutto il tipo di evento specifico dai log in base all'analisi dei pattern dei dati CSV. Quindi, estrae e struttura i campi pertinenti in base al tipo identificato, mappandoli a un modello dei dati unificato (UDM) per un'analisi della sicurezza coerente.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un progetto GCP con l'API Storage di Cloud Storage abilitata
  • Autorizzazioni per creare e gestire i bucket GCS
  • Autorizzazioni per gestire le policy IAM sui bucket GCS
  • Autorizzazioni per creare funzioni Cloud Run, argomenti Pub/Sub e job Cloud Scheduler
  • Accesso privilegiato a Workday

Crea un bucket Google Cloud Storage

  1. Vai alla console Google Cloud.
  2. Seleziona il tuo progetto o creane uno nuovo.
  3. Nel menu di navigazione, vai a Cloud Storage > Bucket.
  4. Fai clic su Crea bucket.

  5. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Assegna un nome al bucket Inserisci un nome globalmente univoco (ad esempio workday-audit-logs)
    Tipo di località Scegli in base alle tue esigenze (Regione, a due regioni, multiregionale)
    Località Seleziona la località (ad esempio us-central1)
    Classe di archiviazione Standard (consigliato per i log ad accesso frequente)
    Controllo degli accessi Uniforme (consigliato)
    Strumenti di protezione (Facoltativo) Abilita il controllo delle versioni degli oggetti o la policy di conservazione

  6. Fai clic su Crea.

Crea un utente del sistema di integrazione (ISU) di Workday

  1. In Workday, cerca Create Integration System User > OK.
  2. Compila il campo Nome utente (ad esempio, audit_gcs_user).
  3. Fai clic su OK.
  4. Reimposta la password andando su Related Actions (Azioni correlate) > Security (Sicurezza) > Reset Password (Reimposta password).
  5. Seleziona Maintain Password Rules (Mantieni regole password) per impedire la scadenza della password.
  6. Cerca Create Security Group (Crea gruppo di sicurezza) > Integration System Security Group (Unconstrained) (Gruppo di sicurezza del sistema di integrazione (senza vincoli)).
  7. Specifica un nome (ad esempio, ISU_Audit_GCS) e aggiungi l'ISU a Integration System Users (Utenti del sistema di integrazione).
  8. Cerca Domain Security Policies for Functional Area (Policy di sicurezza del dominio per l'area funzionale) > System (Sistema).
  9. Per traccia di audit, seleziona Azioni > Modifica autorizzazioni.
  10. In Get Only (Solo Get), aggiungi il gruppo ISU_Audit_GCS.
  11. Fai clic su OK > Activate Pending Security Policy Changes (Attiva modifiche alle policy di sicurezza in attesa).

Configura il report personalizzato di Workday

  1. In Workday, cerca Create Custom Report (Crea report personalizzato).
  2. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome univoco (ad esempio Audit_Trail_BP_CSV).
    • Tipo: seleziona Avanzate.
    • Origine dati: seleziona Audit Trail – Business Process Definition (Traccia di audit - Definizione dei processi aziendali).
  3. Fai clic su OK.
  4. (Facoltativo) Aggiungi filtri in base a Tipo di processo aziendale o Data di validità.
  5. Vai alla scheda Output.
  6. Seleziona Enable as Web Service (Attiva come servizio web), Optimized for Performance (Ottimizzato per il rendimento) e CSV Format (Formato CSV).
  7. Fai clic su OK > Fine.
  8. Apri il report e fai clic su Condividi > aggiungi ISU_Audit_GCS con l'autorizzazione Visualizza > OK.
  9. Vai ad Related Actions (Azioni correlate) > Web Service (Servizio web) > View URLs (Visualizza URL).

  10. Copia l'URL del file CSV.

Crea un account di servizio per la funzione Cloud Run

La funzione Cloud Run richiede un account di servizio con le autorizzazioni per scrivere nel bucket GCS ed essere richiamata da Pub/Sub.

Crea service account

  1. Nella console Google Cloud, vai a IAM e amministrazione > Account di servizio.
  2. Fai clic su Crea account di servizio.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci workday-audit-collector-sa.
    • Descrizione service account: inserisci Service account for Cloud Run function to collect Workday audit logs.
  4. Fai clic su Crea e continua.
  5. Nella sezione Concedi a questo account di servizio l'accesso al progetto, aggiungi i seguenti ruoli:
    1. Fai clic su Seleziona un ruolo.
    2. Cerca e seleziona Storage Object Admin.
    3. Fai clic su + Aggiungi un altro ruolo.
    4. Cerca e seleziona Cloud Run Invoker.
    5. Fai clic su + Aggiungi un altro ruolo.
    6. Cerca e seleziona Cloud Functions Invoker.
  6. Fai clic su Continua.
  7. Fai clic su Fine.

Questi ruoli sono obbligatori per:

  • Storage Object Admin: scrive i log nel bucket GCS
  • Cloud Run Invoker: consente a Pub/Sub di richiamare la funzione
  • Cloud Functions Invoker: consente la chiamata della funzione

Concedi le autorizzazioni IAM sul bucket GCS

Concedi al account di servizio le autorizzazioni in scrittura sul bucket GCS:

  1. Vai a Cloud Storage > Bucket.
  2. Fai clic sul nome del bucket.
  3. Vai alla scheda Autorizzazioni.
  4. Fai clic su Concedi l'accesso.
  5. Fornisci i seguenti dettagli di configurazione:
    • Aggiungi entità: inserisci l'indirizzo email del account di servizio (ad esempio workday-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
    • Assegna i ruoli: seleziona Storage Object Admin.
  6. Fai clic su Salva.

Crea argomento Pub/Sub

Crea un argomento Pub/Sub in cui Cloud Scheduler pubblicherà e a cui la funzione Cloud Run si iscriverà.

  1. Nella console Google Cloud, vai a Pub/Sub > Argomenti.
  2. Fai clic su Crea argomento.
  3. Fornisci i seguenti dettagli di configurazione:
    • ID argomento: inserisci workday-audit-trigger.
    • Lascia invariate le altre impostazioni predefinite.
  4. Fai clic su Crea.

Crea una funzione Cloud Run per raccogliere i log

La funzione Cloud Run viene attivata dai messaggi Pub/Sub di Cloud Scheduler per recuperare i log dall'API Workday e li scrive in GCS.

  1. Nella console Google Cloud, vai a Cloud Run.
  2. Fai clic su Crea servizio.
  3. Seleziona Funzione (utilizza un editor di modifica in linea per creare una funzione).

  4. Nella sezione Configura, fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome servizio workday-audit-collector
    Regione Seleziona la regione corrispondente al tuo bucket GCS (ad esempio, us-central1)
    Tempo di esecuzione Seleziona Python 3.12 o versioni successive

  5. Nella sezione Trigger (facoltativo):

    1. Fai clic su + Aggiungi trigger.
    2. Seleziona Cloud Pub/Sub.
    3. In Seleziona un argomento Cloud Pub/Sub, scegli l'argomento workday-audit-trigger.
    4. Fai clic su Salva.

  6. Nella sezione Autenticazione:

    1. Seleziona Richiedi autenticazione.
    2. Controlla Identity and Access Management (IAM).

  7. Scorri verso il basso ed espandi Container, networking, sicurezza.

  8. Vai alla scheda Sicurezza:

    • Service account: seleziona il account di servizio workday-audit-collector-sa.

  9. Vai alla scheda Container:

    1. Fai clic su Variabili e secret.
    2. Fai clic su + Aggiungi variabile per ogni variabile di ambiente:
    Nome variabile Valore di esempio
    GCS_BUCKET workday-audit-logs
    WD_USER audit_gcs_user
    WD_PASS your-workday-password
    WD_URL https://wd-servicesN.workday.com/ccx/service/customreport2/<tenant>/<user>/Audit_Trail_BP_CSV?format=csv

  10. Scorri verso il basso nella scheda Variabili e secret fino a Richieste:

    • Timeout della richiesta: inserisci 600 secondi (10 minuti).

  11. Vai alla scheda Impostazioni in Container:

    • Nella sezione Risorse:
      • Memoria: seleziona 512 MiB o un valore superiore.
      • CPU: seleziona 1.
    • Fai clic su Fine.

  12. Scorri fino ad Ambiente di esecuzione:

    • Seleziona Predefinita (opzione consigliata).

  13. Nella sezione Scalabilità della revisione:

    • Numero minimo di istanze: inserisci 0.
    • Numero massimo di istanze: inserisci 100 (o regola in base al carico previsto).

  14. Fai clic su Crea.

  15. Attendi la creazione del servizio (1-2 minuti).

  16. Dopo aver creato il servizio, l'editor di codice incorporato si apre automaticamente.

Aggiungi codice per la funzione

  1. Inserisci main in Entry point della funzione

  2. Nell'editor di codice incorporato, crea due file:

    • Primo file: main.py:
    import functions_framework
from google.cloud import storage
import os
import urllib3
from datetime import datetime, timezone
import base64
import gzip
import io
import uuid

# Initialize HTTP client
http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=5.0, read=30.0),
    retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub to fetch logs from Workday API and write to GCS.

    Args:
        cloud_event: CloudEvent object containing Pub/Sub message
    """

    # Get environment variables
    bucket_name = os.environ.get('GCS_BUCKET')
    wd_user = os.environ.get('WD_USER')
    wd_pass = os.environ.get('WD_PASS')
    wd_url = os.environ.get('WD_URL')

    if not all([bucket_name, wd_user, wd_pass, wd_url]):
        print('Error: Missing required environment variables')
        return

    try:
        # Get GCS bucket
        bucket = storage_client.bucket(bucket_name)

        print(f'Fetching Workday audit report from {wd_url}')

        # Fetch report from Workday
        data = fetch_report(wd_url, wd_user, wd_pass)

        # Upload to GCS
        timestamp = datetime.now(timezone.utc)
        upload(bucket, data, timestamp)

        print(f'Successfully uploaded Workday audit report ({len(data)} bytes raw)')

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def fetch_report(url, username, password):
    """Fetch report from Workday using Basic Auth."""
    credentials = f"{username}:{password}"
    credentials_bytes = credentials.encode('utf-8')
    auth_header = b"Basic " + base64.b64encode(credentials_bytes)

    req_headers = {
        "Authorization": auth_header.decode('utf-8')
    }

    response = http.request('GET', url, headers=req_headers)

    if response.status != 200:
        raise Exception(f"Failed to fetch report: HTTP {response.status}")

    return response.data

def upload(bucket, payload, ts):
    """Upload gzipped CSV to GCS."""
    key = f"{ts:%Y/%m/%d}/workday-audit-{uuid.uuid4()}.csv.gz"

    buf = io.BytesIO()
    with gzip.GzipFile(fileobj=buf, mode='w') as gz:
        gz.write(payload)
    buf.seek(0)

    blob = bucket.blob(key)
    blob.upload_from_file(buf, content_type='application/gzip')

    print(f'Uploaded to gs://{bucket.name}/{key}')
    • Secondo file: requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. Fai clic su Esegui il deployment per salvare la funzione ed eseguirne il deployment.

  4. Attendi il completamento del deployment (2-3 minuti).

Crea job Cloud Scheduler

Cloud Scheduler pubblica messaggi nell'argomento Pub/Sub a intervalli regolari, attivando la funzione Cloud Run.

  1. Nella console Google Cloud, vai a Cloud Scheduler.
  2. Fai clic su Crea job.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome workday-audit-collector-daily
    Regione Seleziona la stessa regione della funzione Cloud Run
    Frequenza 20 2 * * * (eseguito ogni giorno alle 02:20 UTC)
    Fuso orario Seleziona il fuso orario (consigliato UTC)
    Tipo di target Pub/Sub
    Argomento Seleziona l'argomento workday-audit-trigger
    Corpo del messaggio {} (oggetto JSON vuoto)

  4. Fai clic su Crea.

Opzioni di frequenza di pianificazione

  • Scegli la frequenza in base al volume dei log e ai requisiti di latenza:

    Frequenza Espressione cron Caso d'uso
    Ogni 5 minuti */5 * * * * Volume elevato, bassa latenza
    Ogni 15 minuti */15 * * * * Volume medio
    Ogni ora 0 * * * * Standard
    Ogni 6 ore 0 */6 * * * Basso volume, elaborazione batch
    Ogni giorno 20 2 * * * Raccolta dei dati storici (consigliata)

Testa il job dello scheduler

  1. Nella console Cloud Scheduler, trova il tuo job.
  2. Fai clic su Forza esecuzione per attivare manualmente.
  3. Attendi qualche secondo e vai a Cloud Run > Servizi > workday-audit-collector > Log.
  4. Verifica che la funzione sia stata eseguita correttamente.
  5. Controlla il bucket GCS per verificare che i log siano stati scritti.

Recupera il account di servizio Google SecOps

Google SecOps utilizza un account di servizio univoco per leggere i dati dal tuo bucket GCS. Devi concedere a questo account di servizio l'accesso al tuo bucket.

Recupera l'indirizzo email del account di servizio

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Workday Audit Logs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Workday Audit come Tipo di log.

  7. Fai clic su Ottieni service account. Viene visualizzato un indirizzo email univoco del account di servizio, ad esempio:

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. Copia questo indirizzo email per utilizzarlo nel passaggio successivo.

Concedi le autorizzazioni IAM al account di servizio Google SecOps

Il account di servizio Google SecOps deve avere il ruolo Storage Object Viewer nel bucket GCS.

  1. Vai a Cloud Storage > Bucket.
  2. Fai clic sul nome del bucket.
  3. Vai alla scheda Autorizzazioni.
  4. Fai clic su Concedi l'accesso.
  5. Fornisci i seguenti dettagli di configurazione:
    • Aggiungi entità: incolla l'indirizzo email del account di servizio Google SecOps.
    • Assegna ruoli: seleziona Visualizzatore oggetti Storage.

  6. Fai clic su Salva.

Configura un feed in Google SecOps per importare gli audit log di Workday

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Workday Audit Logs).
  5. Seleziona Google Cloud Storage V2 come Tipo di origine.
  6. Seleziona Workday Audit come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URL bucket di archiviazione: inserisci l'URI del bucket GCS con il percorso del prefisso:

      gs://workday-audit-logs/
      • Sostituisci workday-audit-logs con il nome effettivo del bucket GCS.

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo i trasferimenti (opzione consigliata per i test).
      • Elimina i file trasferiti: elimina i file dopo il trasferimento riuscito.
      • Elimina i file trasferiti e le directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.

    • Età massima del file: includi i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
Account metadata.event_type Se il campo "Account" non è vuoto, il campo "metadata.event_type" è impostato su "USER_RESOURCE_UPDATE_CONTENT".
Account principal.user.primaryId L'ID utente viene estratto dal campo "Account" utilizzando un pattern grok e mappato a principal.user.primaryId.
Account principal.user.primaryName Il nome visualizzato dell'utente viene estratto dal campo "Account" utilizzando un pattern grok e mappato a "principal.user.primaryName".
ActivityCategory metadata.event_type Se il campo "ActivityCategory" è "READ", il campo "metadata.event_type" è impostato su "RESOURCE_READ". Se è "WRITE", è impostato su "RESOURCE_WRITTEN".
ActivityCategory metadata.product_event_type Mappato direttamente dal campo "ActivityCategory".
AffectedGroups target.user.group_identifiers Mappato direttamente dal campo "AffectedGroups".
Area target.resource.attribute.labels.area.value Mappato direttamente dal campo "Area".
AuthType extensions.auth.auth_details Mappato direttamente dal campo "AuthType".
AuthType extensions.auth.type Mappato dal campo "AuthType" a diversi tipi di autenticazione definiti nell'UDM in base a valori specifici.
CFIPdeConexion src.domain.name Se il campo "CFIPdeConexion" non è un indirizzo IP valido, viene mappato a "src.domain.name".
CFIPdeConexion target.ip Se il campo "CFIPdeConexion" è un indirizzo IP valido, viene mappato a "target.ip".
ChangedRelationship metadata.description Mappato direttamente dal campo "ChangedRelationship".
ClassOfInstance target.resource.attribute.labels.class_instance.value Mappato direttamente dal campo "ClassOfInstance".
column18 about.labels.utub.value Mappato direttamente dal campo "column18".
CreatedBy principal.user.userid L'ID utente viene estratto dal campo "CreatedBy" utilizzando un pattern grok e mappato a "principal.user.userid".
CreatedBy principal.user.user_display_name Il nome visualizzato dell'utente viene estratto dal campo "CreatedBy" utilizzando un pattern grok e mappato a "principal.user.user_display_name".
Dominio about.domain.name Mappato direttamente dal campo "Domain".
EffectiveDate @timestamp Analizzato in "@timestamp" dopo la conversione nel formato "yyyy-MM-dd HH:mm:ss.SSSZ".
EntryMoment @timestamp Analizzato in "@timestamp" dopo la conversione nel formato "ISO8601".
EventType security_result.description Mappato direttamente dal campo "EventType".
Modulo target.resource.name Mappato direttamente dal campo "Form".
InstancesAdded about.resource.attribute.labels.instances_added.value Mappato direttamente dal campo "InstancesAdded".
InstancesAdded target.user.attribute.roles.instances_added.name Mappato direttamente dal campo "InstancesAdded".
InstancesRemoved about.resource.attribute.labels.instances_removed.value Mappato direttamente dal campo "InstancesRemoved".
InstancesRemoved target.user.attribute.roles.instances_removed.name Mappato direttamente dal campo "InstancesRemoved".
IntegrationEvent target.resource.attribute.labels.integration_event.value Mappato direttamente dal campo "IntegrationEvent".
IntegrationStatus security_result.action_details Mappato direttamente dal campo "IntegrationStatus".
IntegrationSystem target.resource.name Mappato direttamente dal campo "IntegrationSystem".
IP src.domain.name Se il campo "IP" non è un indirizzo IP valido, viene mappato a "src.domain.name".
IP src.ip Se il campo "IP" è un indirizzo IP valido, viene mappato a "src.ip".
IsDeviceManaged additional.fields.additional1.value.string_value Se il campo "IsDeviceManaged" è "N", il valore è impostato su "Successful". In caso contrario, viene impostato su "Accesso non riuscito".
IsDeviceManaged additional.fields.additional2.value.string_value Se il campo "IsDeviceManaged" è "N", il valore è impostato su "Successful". In caso contrario, viene impostato su "Credenziali non valide".
IsDeviceManaged additional.fields.additional3.value.string_value Se il campo "IsDeviceManaged" è "N", il valore è impostato su "Successful". In caso contrario, viene impostato su "Account bloccato".
IsDeviceManaged security_result.action_details Mappato direttamente dal campo "IsDeviceManaged".
OutputFiles about.file.full_path Mappato direttamente dal campo "OutputFiles".
Persona principal.user.primaryId Se il campo "Person" inizia con "INT", l'ID utente viene estratto utilizzando un pattern grok e mappato a "principal.user.primaryId".
Persona principal.user.primaryName Se il campo "Person" inizia con "INT", il nome visualizzato dell'utente viene estratto utilizzando un pattern grok e mappato a "principal.user.primaryName".
Persona principal.user.user_display_name Se il campo "Persona" non inizia con "INT", viene mappato direttamente a "principal.user.user_display_name".
Persona metadata.event_type Se il campo "Person" non è vuoto, il campo "metadata.event_type" è impostato su "USER_RESOURCE_UPDATE_CONTENT".
ProcessedTransaction target.resource.attribute.creation_time Analizzato in "target.resource.attribute.creation_time" dopo la conversione nel formato "dd/MM/yyyy HH:mm:ss,SSS (ZZZ)", "dd/MM/yyyy, HH:mm:ss,SSS (ZZZ)" o "MM/dd/yyyy, HH:mm:ss.SSS A ZZZ".
ProgramBy principal.user.userid Mappato direttamente dal campo "ProgramBy".
RecurrenceEndDate principal.resource.attribute.last_update_time Analizzato in "principal.resource.attribute.last_update_time" dopo la conversione nel formato "aaaa-MM-gg".
RecurrenceStartDate principal.resource.attribute.creation_time Analizzato in "principal.resource.attribute.creation_time" dopo la conversione nel formato "aaaa-MM-gg".
RequestName metadata.description Mappato direttamente dal campo "RequestName".
ResponseMessage security_result.summary Mappato direttamente dal campo "ResponseMessage".
RestrictedToEnvironment security_result.about.hostname Mappato direttamente dal campo "RestrictedToEnvironment".
RevokedSecurity security_result.outcomes.outcomes.value Mappato direttamente dal campo "RevokedSecurity".
RunFrequency principal.resource.attribute.labels.run_frequency.value Mappato direttamente dal campo "RunFrequency".
ScheduledProcess principal.resource.name Mappato direttamente dal campo "ScheduledProcess".
SecuredTaskExecuted target.resource.name Mappato direttamente dal campo "SecuredTaskExecuted".
SecureTaskExecuted metadata.event_type Se il campo "SecureTaskExecuted" contiene "Create", il campo "metadata.event_type" è impostato su "USER_RESOURCE_CREATION".
SecureTaskExecuted target.resource.name Mappato direttamente dal campo "SecureTaskExecuted".
SentTime @timestamp Analizzato in "@timestamp" dopo la conversione nel formato "ISO8601".
SessionId network.session_id Mappato direttamente dal campo "SessionId".
ShareBy target.user.userid Mappato direttamente dal campo "ShareBy".
SignOffTime additional.fields.additional4.value.string_value Il valore del campo "AuthFailMessage" viene inserito nell'array "additional.fields" con la chiave "Enterprise Interface Builder".
SignOffTime metadata.description Mappato direttamente dal campo "AuthFailMessage".
SignOffTime metadata.event_type Se il campo "SignOffTime" è vuoto, il campo "metadata.event_type" viene impostato su "USER_LOGIN". In caso contrario, viene impostato su "USER_LOGOUT".
SignOffTime principal.user.attribute.last_update_time Analizzato in "principal.user.attribute.last_update_time" dopo la conversione nel formato "ISO8601".
SignOnIp src.domain.name Se il campo "SignOnIp" non è un indirizzo IP valido, viene mappato a "src.domain.name".
SignOnIp src.ip Se il campo "SignOnIp" è un indirizzo IP valido, viene mappato a "src.ip".
Stato metadata.product_event_type Mappato direttamente dal campo "Stato".
SystemAccount principal.user.email_addresses L'indirizzo email viene estratto dal campo "SystemAccount" utilizzando un pattern grok e mappato a "principal.user.email_addresses".
SystemAccount principal.user.primaryId L'ID utente viene estratto dal campo "SystemAccount" utilizzando un pattern grok e mappato a "principal.user.primaryId".
SystemAccount principal.user.primaryName Il nome visualizzato dell'utente viene estratto dal campo "SystemAccount" utilizzando un pattern grok e mappato a "principal.user.primaryName".
SystemAccount src.user.userid L'ID utente secondario viene estratto dal campo "SystemAccount" utilizzando un pattern grok e mappato a "src.user.userid".
SystemAccount src.user.user_display_name Il nome visualizzato dell'utente secondario viene estratto dal campo "SystemAccount" utilizzando un pattern grok e mappato a "src.user.user_display_name".
SystemAccount target.user.userid L'ID utente di destinazione viene estratto dal campo "SystemAccount" utilizzando un pattern grok e mappato a "target.user.userid".
Target target.user.user_display_name Mappato direttamente dal campo "Target".
Modello about.resource.name Mappato direttamente dal campo "Template".
Tenant target.asset.hostname Mappato direttamente dal campo "Tenant".
TlsVersion network.tls.version Mappato direttamente dal campo "TlsVersion".
Transazione security_result.action_details Mappato direttamente dal campo "Transazione".
TransactionType security_result.summary Mappato direttamente dal campo "TransactionType".
TypeForm target.resource.resource_subtype Mappato direttamente dal campo "TypeForm".
UserAgent network.http.parsed_user_agent Analizzato dal campo "UserAgent" utilizzando il filtro "useragent".
UserAgent network.http.user_agent Mappato direttamente dal campo "UserAgent".
WorkdayAccount target.user.user_display_name Il nome visualizzato dell'utente viene estratto dal campo "WorkdayAccount" utilizzando un pattern grok e mappato a "target.user.user_display_name".
WorkdayAccount target.user.userid L'ID utente viene estratto dal campo "WorkdayAccount" utilizzando un pattern grok e mappato a "target.user.userid".
additional.fields.additional1.key Impostato su "FailedSignOn".
additional.fields.additional2.key Impostato su "InvalidCredentials".
additional.fields.additional3.key Impostato su "AccountLocked".
additional.fields.additional4.key Imposta su "Enterprise Interface Builder".
metadata.event_type Inizialmente impostato su "GENERIC_EVENT" e poi aggiornato in base alla logica che coinvolge altri campi.
metadata.event_type Impostato su "USER_CHANGE_PERMISSIONS" per tipi di eventi specifici.
metadata.event_type Impostato su "RESOURCE_WRITTEN" per tipi di eventi specifici.
metadata.log_type Impostato come hardcoded su "WORKDAY_AUDIT".
metadata.product_name Impostato come hardcoded su "Enterprise Interface Builder".
metadata.vendor_name Impostato come hardcoded su "Workday".
principal.asset.category Impostato su "Phone" se il campo "DeviceType" è "Phone".
principal.resource.resource_type Impostato come hardcoded su "TASK" se il campo "ScheduledProcess" non è vuoto.
security_result.action Imposta su "ALLOW" o "FAIL" in base ai valori dei campi "FailedSignOn", "IsDeviceManaged", "InvalidCredentials" e "AccountLocked".
security_result.summary Impostato su "Riuscito" o su messaggi di errore specifici in base ai valori dei campi "FailedSignOn", "IsDeviceManaged", "InvalidCredentials" e "AccountLocked".
target.resource.resource_type Impostato come hardcoded su "TASK" per tipi di eventi specifici.
target.resource.resource_type Impostato come hardcoded su "DATASET" se il campo "TypeForm" non è vuoto.
messaggio principal.user.email_addresses Estrae l'indirizzo email dal campo "message" utilizzando un pattern grok e lo unisce in "principal.user.email_addresses" se viene trovato un pattern specifico.
messaggio src.user.userid Cancella il campo se il campo "event.idm.read_only_udm.principal.user.userid" corrisponde al valore "user_target" estratto dal campo "message".
messaggio src.user.user_display_name Cancella il campo se il campo "event.idm.read_only_udm.principal.user.userid" corrisponde al valore "user_target" estratto dal campo "message".
messaggio target.user.userid Estrae l'ID utente dal campo "message" utilizzando un pattern grok e lo mappa a "target.user.userid" se viene trovato un pattern specifico.
column11 SecurityGroupModified Mappato dal log delle modifiche
SecurityGroupModified security_result.about.group.group_display_name Mappato dal log delle modifiche
ChangedRelationship target.user.attribute.roles.name Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.