Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Adtran (原稱 ADVA Fiber Service Platform) 記錄

剖析器版本：1.0

支援：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Adtran (舊稱 ADVA Fiber Service Platform) 記錄擷取至 Google Security Operations。

Adtran 是一系列光纖網路和乙太網路存取裝置，用於電信業者和企業網路中的傳輸、匯總和劃分。FSP 產品系列包括 FSP 3000 開放式光纖傳輸平台、FSP 150 乙太網路存取系列，以及相關管理系統，例如 FSP Network Manager 和 Network Element Director (NED)。這些裝置會產生系統記錄訊息，用於警報、設定變更、效能事件和安全性稽核追蹤記錄。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體。
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機。
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
具備 ADVA FSP Network Element Director (NED) 或 Element Manager 的特殊權限。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
- 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」。

安裝 Linux

開啟具有 root 或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

執行下列指令，確認安裝成功：

sudo systemctl status observiq-otel-collector

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- Linux：/observiq-otel-collector/config.yaml
- Windows：C:\Program Files\observIQ OpenTelemetry Collector\config.yaml
編輯 config.yaml 檔案。以下是兩個接收器選項，請選擇與 ADVA FSP 裝置傳送記錄方式相符的選項。

選項 A：UDP 系統記錄接收器

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/adva_fsp:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: ADVA_FSP
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/adva_fsp:
      receivers:
        - udplog
      exporters:
        - chronicle/adva_fsp

選項 B：TCP syslog 接收器

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/adva_fsp:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: ADVA_FSP
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/adva_fsp:
      receivers:
        - tcplog
      exporters:
        - chronicle/adva_fsp

將 <CUSTOMER_ID> 替換為實際的客戶 ID。
將 /opt/observiq-otel-collector/ingestion-auth.json 更新為服務帳戶金鑰檔案 (選項 1) 的儲存路徑。注意：如果是 Windows，請使用 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json 等路徑。
將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。如需完整清單，請參閱「區域性端點」。
將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。

舊版擷取 API 匯出工具

如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/adva_fsp:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ADVA_FSP
    raw_log_field: body
    ingestion_labels:
      env: production

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

查看記錄檔是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 重新啟動 Bindplane 代理程式，請按照下列步驟操作：

您可以選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務是否正在執行：
```
sc query observiq-otel-collector
```

查看記錄檔是否有錯誤：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 ADVA FSP 設定系統記錄轉送

設定 ADVA FSP 裝置，將系統記錄訊息轉送至 Bindplane 代理程式。設定是透過網路元素導向器 (NED) 或元素管理員網頁介面進行。

登入 ADVA FSP Network Element Director (NED) 或 Element Manager。
依序前往「Node」>「General」>「Controls」。
在「遠端 Syslog 伺服器」部分，按一下「新增」，建立新的 Syslog 伺服器項目。
提供下列設定詳細資料：
- IP 位址：輸入 Bindplane 代理程式主機的 IP 位址 (例如 192.168.1.100)。
- Port：輸入與 Bindplane 代理程式接收器設定相符的通訊埠編號 (例如 514)。
- 傳輸：選取「UDP」或「TCP」，與 Bindplane 代理程式接收器類型相符 (UDP 為 udplog，TCP 為 tcplog)。
- 系統記錄事件：選取「啟用」，即可為這個伺服器啟用系統記錄轉送功能。
按一下「套用」儲存設定。
檢查 Bindplane 代理程式記錄，確認是否收到 syslog 訊息：
- Linux：
```
sudo journalctl -u observiq-otel-collector -f
```
- Windows：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```
注意： ADVA FSP 裝置預設使用 BSD 樣式的系統記錄 (RFC 3164) 格式。如果部署作業需要 RFC 5424，請參閱 ADVA FSP 3000R7 Element Manager 使用手冊，瞭解具體設定步驟。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`ACCESSORDER`	`additional.fields.value.string_value`	這個值取自原始記錄中的 ACCESSORDER 欄位。
`ADDRESS`	`principal.ip`	這個值取自原始記錄中的 ADDRESS 欄位，並剖析為 IP 位址。
`ADMINSTATE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 ADMINSTATE 欄位。
`AISCLIENTMDLEVEL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 AISCLIENTMDLEVEL 欄位。
`AISGENENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 AISGENENABLED 欄位。
`AISPRIORITY`	`additional.fields.value.string_value`	這個值取自原始記錄中的 AISPRIORITY 欄位。
`AISTXPERIOD`	`additional.fields.value.string_value`	這個值取自原始記錄中的 AISTXPERIOD 欄位。
`AISTRIGGERTYPES`	`additional.fields.value.string_value`	這個值取自原始記錄中的 AISTRIGGERTYPES 欄位。
`BUFFERSIZE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 BUFFERSIZE 欄位。
`CCIENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 CCIENABLED 欄位。
`CCMINTERFACESTATUSTLVCONTROL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 CCMINTERFACESTATUSTLVCONTROL 欄位。
`CCMLTMPRIORITY`	`additional.fields.value.string_value`	這個值取自原始記錄中的 CCMLTMPRIORITY 欄位。
`CFMTAGETHERTYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 CFMTAGETHERTYPE 欄位。
`CIR`	`additional.fields.value.string_value`	這個值取自原始記錄中的 CIR 欄位。
`COS`	`additional.fields.value.string_value`	這個值取自原始記錄中的 COS 欄位。
`CT`	`metadata.description`	這個值取自原始記錄中的 CT 欄位。
`DESTBMAC`	`target.mac`	這個值取自原始記錄中的 DESTBMAC 欄位，並剖析為 MAC 位址。
`DHCPCIDENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPCIDENABLED 欄位。
`DHCPENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPENABLED 欄位。
`DHCPHOSTNAME`	`network.dhcp.client_hostname`	這個值取自原始記錄中的 DHCPHOSTNAME 欄位。
`DHCPHOSTNAMEENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPHOSTNAMEENABLED 欄位。
`DHCPHOSTNAMETYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPHOSTNAMETYPE 欄位。
`DHCPLOGSERVERENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPLOGSERVERENABLED 欄位。
`DHCPNTPSERVERENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPNTPSERVERENABLED 欄位。
`DHCPV6CIDENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPV6CIDENABLED 欄位。
`DHCPV6ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPV6ENABLED 欄位。
`DHCPV6ROLE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPV6ROLE 欄位。
`DHCPVENDORINFOTYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DHCPVENDORINFOTYPE 欄位。
`DIR`	`additional.fields.value.string_value`	這個值取自原始記錄中的 DIR 欄位。
`DIRECTION`	`network.direction`	如果原始記錄中的 DIRECTION 欄位為「UP」(不區分大小寫)，值會設為「OUTBOUND」；如果為「DOWN」，則設為「INBOUND」；否則會留空。
`ENCAPSULATIONTYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 ENCAPSULATIONTYPE 欄位。
`GUARANTEEDA2NBW`	`additional.fields.value.string_value`	這個值取自原始記錄中的 GUARANTEEDA2NBW 欄位。
`HCOSMGMTENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 HCOSMGMTENABLED 欄位。
`INT`	`additional.fields.value.string_value`	這個值取自原始記錄中的 INT 欄位。
`IPMODE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 IPMODE 欄位。
`IPV6ADDR`	`principal.ip`	這個值取自原始記錄中的 IPV6ADDR 欄位，並剖析為 IP 位址。
`IPV6ADDRPREFIXLENGTH`	`additional.fields.value.string_value`	這個值取自原始記錄中的 IPV6ADDRPREFIXLENGTH 欄位。
`IPV6MTU`	`additional.fields.value.string_value`	這個值取自原始記錄中的 IPV6MTU 欄位。
`ITAG`	`additional.fields.value.string_value`	這個值取自原始記錄中的 ITAG 欄位。
`ITAGENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 ITAGENABLED 欄位。
`LBMTXDESTTYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LBMTXDESTTYPE 欄位。
`LBMTXNUMMSGS`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LBMTXNUMMSGS 欄位。
`LBMTXVLANDROPENABLE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LBMTXVLANDROPENABLE 欄位。
`LBMTXVLANPRIORITY`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LBMTXVLANPRIORITY 欄位。
`LLRESPONDERENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LLRESPONDERENABLED 欄位。
`LLVIDLIST`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LLVIDLIST 欄位。
`LMDUALENDEDCOUNTALLPRIOS`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LMDUALENDEDCOUNTALLPRIOS 欄位。
`LMINPROFILEONLY`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LMINPROFILEONLY 欄位。
`LMRXCOUNTALLPRIOS`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LMRXCOUNTALLPRIOS 欄位。
`LMTXCOUNTALLPRIOS`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LMTXCOUNTALLPRIOS 欄位。
`LOC`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOC 欄位。
`LOCN`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOCN 欄位。
`LOGINTIMEOUT`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOGINTIMEOUT 欄位。
`LOOPBACKBLOCKINGENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKBLOCKINGENABLED 欄位。
`LOOPBACKCONFIG`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKCONFIG 欄位。
`LOOPBACKDESTMAC`	`target.mac`	系統會從原始記錄的 LOOPBACKDESTMAC 欄位擷取值，並剖析為 MAC 位址。
`LOOPBACKDESTMACCONTROL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKDESTMACCONTROL 欄位。
`LOOPBACKINNERVLAN1`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKINNERVLAN1 欄位。
`LOOPBACKINNERVLAN1ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKINNERVLAN1ENABLED 欄位。
`LOOPBACKINNERVLAN2`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKINNERVLAN2 欄位。
`LOOPBACKINNERVLAN2ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKINNERVLAN2ENABLED 欄位。
`LOOPBACKINNERVLAN3`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKINNERVLAN3 欄位。
`LOOPBACKINNERVLAN3ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKINNERVLAN3ENABLED 欄位。
`LOOPBACKOUTERITAG1`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERITAG1 欄位。
`LOOPBACKOUTERITAG1ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERITAG1ENABLED 欄位。
`LOOPBACKOUTERITAG2`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERITAG2 欄位。
`LOOPBACKOUTERITAG2ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERITAG2ENABLED 欄位。
`LOOPBACKOUTERITAG3`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERITAG3 欄位。
`LOOPBACKOUTERITAG3ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERITAG3ENABLED 欄位。
`LOOPBACKOUTERVLAN1`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERVLAN1 欄位。
`LOOPBACKOUTERVLAN1ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERVLAN1ENABLED 欄位。
`LOOPBACKOUTERVLAN2`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERVLAN2 欄位。
`LOOPBACKOUTERVLAN2ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERVLAN2ENABLED 欄位。
`LOOPBACKOUTERVLAN3`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERVLAN3 欄位。
`LOOPBACKOUTERVLAN3ENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKOUTERVLAN3ENABLED 欄位。
`LOOPBACKSOURCEMAC`	`principal.mac`	這個值取自原始記錄中的 LOOPBACKSOURCEMAC 欄位，並剖析為 MAC 位址。
`LOOPBACKSWAPSADA`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKSWAPSADA 欄位。
`LOOPBACKTIMER`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOOPBACKTIMER 欄位。
`LOWESTPRIODEFECT`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LOWESTPRIODEFECT 欄位。
`LTMTXDESTTYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LTMTXDESTTYPE 欄位。
`LTMTXEGRESSID`	`metadata.product_log_id`	這個值取自原始記錄中的 LTMTXEGRESSID 欄位。
`LTMTXFLAGS`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LTMTXFLAGS 欄位。
`LTMTXTTL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 LTMTXTTL 欄位。
`MT`	`additional.fields.value.string_value`	這個值取自原始記錄中的 MT 欄位。
`MAXIMUMA2NBW`	`additional.fields.value.string_value`	這個值取自原始記錄中的 MAXIMUMA2NBW 欄位。
`MVAL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 MVAL 欄位。
`NAME`	`additional.fields.value.string_value`	該值取自原始記錄中的 NAME 欄位。
`NC`	`additional.fields.value.string_value`	這個值取自原始記錄中的 NC 欄位。
`PORTEID`	`additional.fields.value.string_value`	這個值取自原始記錄中的 PORTEID 欄位。
`PORTLLENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 PORTLLENABLED 欄位。
`PRIMARYSERVER`	`target.ip`	這個值取自原始記錄中的 PRIMARYSERVER 欄位，並剖析為 IP 位址。
`PRIMARYVID`	`additional.fields.value.string_value`	這個值取自原始記錄中的 PRIMARYVID 欄位。
`QUEUEPROFILEID`	`additional.fields.value.string_value`	這個值取自原始記錄中的 QUEUEPROFILEID 欄位。
`RXSHAPEREID`	`additional.fields.value.string_value`	這個值取自原始記錄中的 RXSHAPEREID 欄位。
`SATRESPONDENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 SATRESPONDENABLED 欄位。
`SE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 SE 欄位。
`SHAREDVIM`	`additional.fields.value.string_value`	這個值取自原始記錄中的 SHAREDVIM 欄位。
`SVLANENABLED`	`additional.fields.value.string_value`	這個值取自原始記錄中的 SVLANENABLED 欄位。
`SVLANID`	`additional.fields.value.string_value`	這個值取自原始記錄中的 SVLANID 欄位。
`SYSLOCATION`	`principal.location.country_or_region`	這個值取自原始記錄中的 SYSLOCATION 欄位。
`THVAL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 THVAL 欄位。
`TYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 TYPE 欄位。
`USERACCESSTYPE`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERACCESSTYPE 欄位。
`USERAUTHKEY`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERAUTHKEY 欄位。
`USERAUTHKEYLOCAL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERAUTHKEYLOCAL 欄位。
`USERAUTHPROTOCOL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERAUTHPROTOCOL 欄位。
`USERENGINEID`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERENGINEID 欄位。
`USERKEYSLOCAL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERKEYSLOCAL 欄位。
`USERNAME`	`principal.user.userid`	這個值取自原始記錄中的 USERNAME 欄位。
`USERPRIVKEY`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERPRIVKEY 欄位。
`USERPRIVKEYLOCAL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERPRIVKEYLOCAL 欄位。
`USERPRIVPROTOCOL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERPRIVPROTOCOL 欄位。
`USERSECURITYLEVEL`	`additional.fields.value.string_value`	這個值取自原始記錄中的 USERSECURITYLEVEL 欄位。
`USERSECURITYNAME`	`principal.user.user_display_name`	這個值取自原始記錄中的 USERSECURITYNAME 欄位。
`application`	`principal.application`	這個值取自 grok 剖析器擷取的應用程式欄位。
`description`	`security_result.description`	這個值取自 grok 剖析器擷取的說明欄位。
	`metadata.description`	如果原始記錄中的 CT 欄位為「Backup NTP Server Failed」，則值會設為「Backup NTP Server Failed」。
	`metadata.event_timestamp.seconds`	這個值取自 grok 剖析器擷取的時間戳記欄位，並轉換為 Epoch 秒數。
	`metadata.event_type`	系統會根據下列邏輯設定值：如果 network_dhcp_present 為 true，且 principal_present 或 target_present 為 true，則為 NETWORK_DHCP。如果 target_present 和 principal_present 皆為 true，則為 NETWORK_CONNECTION。如果 user_present 為 true，則為 USER_RESOURCE_ACCESS。如果 principal_present 為 true，則為 STATUS_UPDATE。GENERIC_EVENT。
	`metadata.product_log_id`	這個值取自原始記錄中的 LTMTXEGRESSID 欄位。
	`metadata.product_name`	值設為「ADVA_FSP」。
	`metadata.vendor_name`	值設為「ADVA_FSP」。
	`network.application_protocol`	如果 network_dhcp_present 為 true，且 principal_present 或 target_present 為 true，則值會設為「DHCP」。
	`principal.hostname`	這個值取自 grok 剖析器擷取的 principal_hostname 欄位，並移除底線。
	`principal.ip`	這個值取自原始記錄中的 IPADDR 欄位，並剖析為 IP 位址。
	`timestamp.seconds`	這個值取自 grok 剖析器擷取的時間戳記欄位，並轉換為 Epoch 秒數。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。