收集 Aruba EdgeConnect SD-WAN 記錄
剖析器版本：6.0
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 Bindplane 代理程式，將 Aruba EdgeConnect SD-WAN 記錄擷取至 Google Security Operations。
Aruba EdgeConnect SD-WAN 平台會產生網路流量、安全事件和系統作業的系統記錄訊息。剖析器會處理鍵/值和非結構化系統記錄格式，並將擷取的欄位對應至統合式資料模型 (UDM)。
事前準備
請確認您已完成下列事前準備事項：
- Google SecOps 執行個體
- Windows Server 2016 以上版本，或搭載
systemd的 Linux 主機 - Bindplane 代理程式與 Aruba EdgeConnect 裝置之間的網路連線
- 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
- Aruba Central 或 SD-WAN Orchestrator 的特殊存取權
取得 Google SecOps 擷取驗證檔案
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。
安裝 Bindplane 代理程式
請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以管理員身分開啟「命令提示字元」或「PowerShell」。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安裝完成。
執行下列指令，確認安裝成功：
sc query observiq-otel-collector服務應顯示為「RUNNING」。
Linux 安裝
- 開啟具有根層級或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安裝完成。
執行下列指令，確認安裝成功：
sudo systemctl status observiq-otel-collector服務應顯示為有效 (執行中)。
其他安裝資源
如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。
設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps
找出設定檔
Linux：
sudo nano /etc/bindplane-agent/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
編輯設定檔
將
config.yaml的所有內容替換為下列設定：receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/aruba_edgeconnect_sdwan: compression: gzip creds_file_path: '/etc/bindplane-agent/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: ARUBA_EDGECONNECT_SDWAN raw_log_field: body service: pipelines: logs/aruba_edgeconnect_to_chronicle: receivers: - udplog exporters: - chronicle/aruba_edgeconnect_sdwan
設定參數
替換下列預留位置：
接收器設定：
listen_address：要接聽的 IP 位址和通訊埠：0.0.0.0，監聽所有介面 (建議)- 通訊埠
514是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；非根層級權限請使用1514)
匯出工具設定：
creds_file_path：擷取驗證檔案的完整路徑：- Linux：
/etc/bindplane-agent/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：從 Google SecOps 控制台複製的客戶 IDendpoint：區域端點網址：- 美國：
malachiteingestion-pa.googleapis.com - 歐洲：
europe-malachiteingestion-pa.googleapis.com - 亞洲：
asia-southeast1-malachiteingestion-pa.googleapis.com - 如需完整清單，請參閱「區域端點」
- 美國：
儲存設定檔
- 編輯完成後，請儲存檔案：
- Linux：依序按下
Ctrl+O、Enter和Ctrl+X - Windows：依序點選「檔案」>「儲存」
- Linux：依序按下
重新啟動 Bindplane 代理程式，以套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
sudo systemctl restart observiq-otel-collector確認服務正在執行：
sudo systemctl status observiq-otel-collector檢查記錄中是否有錯誤：
sudo journalctl -u observiq-otel-collector -f
如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：
以管理員身分開啟命令提示字元或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服務控制台：
- 按下
Win+R，輸入services.msc，然後按下 Enter 鍵。 - 找出 observIQ OpenTelemetry Collector。
- 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
sc query observiq-otel-collector檢查記錄中是否有錯誤：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
- 按下
在 Aruba Central 中設定系統記錄檔
- 登入 Aruba Central 網頁使用者介面。
- 依序前往「管理」>「裝置」>「閘道」。
- 在「裝置名稱」下方選取「閘道」。系統會顯示閘道裝置的資訊主頁內容。
- 在「管理」中，按一下「裝置」。系統會顯示閘道設定頁面。
- 依序點選「System」>「Logging」。
- 按一下「Syslog Servers」部分中的「+」。
- 請提供下列設定詳細資料：
- IP 位址：輸入 Bindplane 代理程式 IP 位址。
- 類別：選取「安全性」 (稍後可以重複這個程序，新增其他類別)。
- 記錄設施：選取「Local0」。
- 記錄層級：選取「資訊」。
- 格式：選取「cef」。
- 按一下「儲存設定」。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
Action |
security_result.action_details |
直接從「Action」欄位對應。 |
Application |
network.application_protocol |
如果 Application 欄位包含「dhcp」(不區分大小寫)，則值會設為「DHCP」。 |
Application |
intermediary.application |
直接從「Application」欄位對應。 |
Direction |
network.direction |
直接從 Direction 欄位對應，並轉換為大寫。如果值不是「INBOUND」、「OUTBOUND」或「BROADCAST」，系統會將其設為「UNKNOWN_DIRECTION」。 |
DstAddr |
target.ip |
直接從「DstAddr」欄位對應。 |
DstPort |
target.port |
直接從 DstPort 欄位對應，並轉換為整數。 |
Flow-ID |
metadata.id |
直接從「Flow-ID」欄位對應。 |
FromZone |
target.resource.attribute.labels |
建立含有「FromZone」鍵的標籤，並從 FromZone 欄位取得值。 |
Host |
intermediary.hostname |
直接從「Host」欄位對應。 |
Protocol |
network.ip_protocol |
直接從 Protocol 欄位對應、轉換為大寫，然後使用 include 檔案 (parse_ip_protocol.include) 剖析，取得通訊協定名稱。 |
Reason |
security_result.category_details |
直接從「Reason」欄位對應。 |
Reason |
security_result.category |
如果 Reason 欄位包含「policy deny」，值會設為「POLICY_VIOLATION」。 |
SrcAddr |
principal.ip |
直接從「SrcAddr」欄位對應。 |
SrcPort |
principal.port |
直接從 SrcPort 欄位對應，並轉換為整數。 |
Tag |
security_result.rule_name |
直接從「Tag」欄位對應。 |
ToZone |
target.resource.attribute.labels |
建立鍵為「ToZone」的標籤，並從 ToZone 欄位取得值。 |
description |
metadata.description |
直接從 description 欄位對應，該欄位會在 kv_data 欄位空白時從記錄訊息中擷取。 |
intermediary_pid |
intermediary.process.pid |
直接從「intermediary_pid」欄位對應。 |
timestamp |
metadata.event_timestamp |
直接從記錄訊息擷取的 timestamp 欄位對應。如果 SrcAddr 和 DstAddr 都存在，請設為「NETWORK_CONNECTION」，否則請設為「GENERIC_EVENT」。硬式編碼為「ARUBA_EDGECONNECT_SDWAN」。硬式編碼為「ARUBA_EDGECONNECT_SDWAN」。 |
IPTos |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
tcpFlags |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
OutputInt |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
logType |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
InputInt |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
ingressVrfId |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
egressVrfId |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
vrfName |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
Overlay |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
proc |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
rxOctets |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
txOctets |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
flowId |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
cpu_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
thread_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
startTime |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
endTime |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
rxPkts |
event.idm.read_only_udm.network.received_packets |
從變更記錄對應 |
txPkts |
event.idm.read_only_udm.network.sent_packets |
從變更記錄對應 |
tid |
event.idm.read_only_udm.network.session_id |
從變更記錄對應 |
userDevice |
event.idm.read_only_udm.principal.asset.attribute.labels |
從變更記錄對應 |
dstRole |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
userName |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
srcRole |
event.idm.read_only_udm.principal.resource.attribute.labels |
從變更記錄對應 |
host |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
Action |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
src_host |
event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
target_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
dns_questions |
event.idm.read_only_udm.network.dns.questions |
從變更記錄對應 |
product_event_type |
event.idm.read_only_udm.metadata.product_event_type |
從變更記錄對應 |
principal_ip |
event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
principal_ip |
event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
column1_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column2_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column3_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column4_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column5_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column6_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column7_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column8_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column9_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column10_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column11_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column12_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column13_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column14_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column15_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column16_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column17_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column18_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column19_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column20_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column21_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column22_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column23_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column24_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column25_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column26_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column27_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column28_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column29_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column30_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column31_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column32_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column33_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column34_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column35_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column36_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column37_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column38_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column39_tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
column1_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column2_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column2_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column3_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column3_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column4_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column4_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column5_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column5_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column6_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column6_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column7_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column7_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column8_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column8_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column9_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column9_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column10_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column10_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column11_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column11_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column12_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column12_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column13_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column13_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column14_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column14_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column15_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column15_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column16_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column16_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column17_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column17_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column18_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column18_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column19_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column19_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column20_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column20_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column21_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column21_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column22_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column22_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column23_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column23_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column24_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column24_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column25_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column25_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column26_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column26_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column27_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column27_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column28_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column28_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column29_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column29_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column30_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column30_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column31_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column31_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column32_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column32_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column33_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column33_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column34_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column34_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column35_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column35_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column36_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column36_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column37_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column37_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column38_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column38_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column39_variable1 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column39_variable2 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
column1_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column2_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column3_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column3_dst_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column4_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column5_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column6_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column7_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column8_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column9_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column10_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column11_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column12_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column13_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column14_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column15_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column16_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column17_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column18_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column19_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column20_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column21_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column22_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column23_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column24_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column25_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column26_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column27_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column28_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column29_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column30_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column31_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column32_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column33_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column34_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column35_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column36_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column37_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column38_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column39_src_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
column1_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column2_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column4_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column5_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column6_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column7_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column8_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column9_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column10_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column11_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column12_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column13_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column14_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column15_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column16_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column17_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column18_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column19_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column20_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column21_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column22_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column23_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column24_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column25_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column26_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column27_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column28_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column29_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column30_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column31_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column32_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column33_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column34_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column35_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column36_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column37_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column38_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column39_dst_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
column1_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column2_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column3_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column4_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column5_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column6_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column7_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column8_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column9_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column10_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column11_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column12_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column13_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column14_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column15_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column16_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column17_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column18_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column19_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column20_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column21_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column22_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column23_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column24_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column25_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column26_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column27_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column28_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column29_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column30_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column31_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column32_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column33_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column34_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column35_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column36_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column37_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column38_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
column39_tunnel_interface |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
timestamp |
event.idm.read_only_udm.metadata.event_timestamp |
從變更記錄對應 |
log_type |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
syslog_ver |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
meta_sequenceId |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
sp_id |
event.idm.read_only_udm.target.user.userid |
從變更記錄對應 |
component |
event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
isInSync_ |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
p_meta_sequenceId |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
result |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
p_sp_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
p_service |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
Registered_events |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
UniqueConfigEventsToSync |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
canRecoverConfigEvents |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstConfig_changeSet |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstConfig_config |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstConfig_state |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
lastConfig_changeSet |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
lastConfig_config |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
lastConfig_state |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
isInSync |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
UniqueStateEventsToSync |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
canRecoverStateEvents |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstState_baseUrl |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstState_config |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstState_state |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
firstState_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
lastState_config |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
lastState_state |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
duration |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
config_data |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
user |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
log_level_num |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
nepk |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
firstState_url |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
lastState_changeSet |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
lastState_baseUrl |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
lastState_url |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
lastState_op |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
lastState_serial |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
lastState_name |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
name |
event.idm.read_only_udm.metadata.product_event_type |
從變更記錄對應 |
taskStatus |
event.idm.read_only_udm.security_result.action_details |
從變更記錄對應 |
logLevel |
event.idm.read_only_udm.security_result.severity |
從變更記錄對應 |
firstConfig_baseUrl |
event.idm.read_only_udm.about.resource.name |
從變更記錄對應 |
firstConfig_url |
event.idm.read_only_udm.target.resource.name |
從變更記錄對應 |
firstConfig_op |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
firstConfig_serial |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
lastConfig_baseUrl |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
lastConfig_url |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
lastConfig_op |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
lastConfig_serial |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
firstState_changeSet |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
firstState_op |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
firstState_serial |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
OnGms_1 |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
OnApp_1 |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
Diff_1 |
event.idm.read_only_udm.about.labels |
從變更記錄對應 |
summary |
security_result.summary |
從變更記錄對應 |
userid |
principal.user.userid |
從變更記錄對應 |
hostname |
target.hostname |
從變更記錄對應 |
command |
principal.process.command_line |
從變更記錄對應 |
principal_ip |
principal.asset.ip |
從變更記錄對應 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。