收集 Claroty xDome 記錄

剖析器版本：9.0

支援的服務：

本文說明如何使用 Bindplane 代理程式，將 Claroty xDome 記錄檔擷取至 Google Security Operations。

剖析器會從 Claroty xDome syslog 格式的記錄中擷取欄位。它會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。此外，也會為事件來源和類型設定預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows 2016 以上版本或 Linux 主機，並安裝 systemd
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Claroty xDome 管理控制台或設備的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。
  1. 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 請提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
  12. 依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM Settings」 > 「Collection Agents」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。
  3. 複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

  1. 存取設定檔：
    • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
    • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。
  2. 按照下列方式編輯 config.yaml 檔案：

方法 A：UDP 設定 (安全性較低)

  • 注意：使用 UDP (尤其是「從雲端傳送」選項) 時，系統會傳送未加密的安全資料，攻擊者可能會攔截資料。

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CLAROTY_XDOME'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

  • TCP 搭配 TLS 設定：

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"
    tls:
      # Path to the server's public TLS certificate file when using self-signed certificates
      cert_file: /etc/bindplane/certs/cert.pem
      key_file: /etc/bindplane/certs/key.pem

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CLAROTY_XDOME'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

  • 視基礎架構需求更換連接埠和 IP 位址。

  • 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。

  • 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。

  • 將 <customer_id> 替換為實際的客戶 ID。

  • 將 /path/to/ingestion-authentication-file.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的檔案路徑。

  • 如要進行 TLS 設定，請確認憑證檔案位於指定路徑，或視需要產生自行簽署的憑證。

舊版 Ingestion API 匯出工具

  • 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CLAROTY_XDOME'
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

  1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「Services」控制台，或輸入下列指令：

    net stop observiq-otel-collector && net start observiq-otel-collector

Syslog 詳細設定

  1. 登入 Claroty xDome 網頁版 UI。
  2. 按一下導覽列中的「設定」分頁標籤。
  3. 在下拉式選單中選取「系統設定」。
  4. 在「Integrations」部分，按一下「My Integrations」。
  5. 按一下「+ 新增整合」。
  6. 在「Category」(類別) 下拉式選單中，選取「Internal Services」(內部服務)。
  7. 從「整合」下拉式選單中選取「SIEM」和「系統記錄」。
  8. 按一下「新增」。
  9. 輸入下列設定詳細資料：
    • 目的地 IP：輸入 Bindplane 代理程式 IP 位址。
    • 「Transport Protocol」(傳輸通訊協定)：依據 Bindplane 設定，選取「UDP」、「TCP」或「TLS」。
    • 如果選取 TLS 安全性通訊協定，請按照下列步驟操作：
      • 勾選「Check Hostnames」選項，驗證伺服器的主機名稱是否與 X.509 憑證中的任何名稱相符。
      • 勾選「使用自訂憑證授權單位」選項，即可使用自訂憑證授權單位 (CA)，而非預設 CA。上傳自訂憑證檔案，或在指定位置插入憑證 (PEM 格式)。
    • Destination Port：TCP、TLS 和 UDP 的預設值為 514。(將滑鼠游標懸停在欄位上，使用可點選的箭頭選取其他目的地通訊埠)。
    • 進階選項：輸入進階選項設定：
      • Message Format：選取「CEF」 (其他選項包括 JSON 或 LEEF 格式)。
      • 系統記錄檔通訊協定標準：選取「RFC 5424」或「RFC 3164」。
    • 整合名稱：輸入有意義的整合名稱 (例如 Google SecOps syslog)。
    • 部署選項：根據 xDome 設定，選取「從收集伺服器執行」或「從雲端執行」選項。
  10. 前往「整合工作」參數。
  11. 開啟「Export Claroty xDome Communication Events Using Syslog」選項，啟用 Claroty xDome 通訊事件匯出功能。
  12. 在「選取事件類型」下拉式選單中，按一下「全選」。

  13. 選擇要匯出的裝置條件：選取「所有裝置」選項，匯出所有受影響裝置的通訊事件資料。

  14. 開啟「Export Claroty xDome Device Changes Alerts Change Log to Syslog」(將 Claroty xDome 裝置變更快訊變更記錄匯出至 Syslog) 選項，即可匯出 Claroty xDome 變更事件。

  15. 在「變更事件類型選取項目」下拉式選單中，選取要匯出的變更事件類型。

  16. 選擇要匯出的裝置條件：選取「所有裝置」，即可匯出所有受影響裝置的變更事件資料。

  17. 開啟「Export Claroty xDome Alert Information for Affected Devices Using Syslog」選項，即可匯出任何快訊類型的快訊資訊，包括自訂快訊。

  18. 在「快訊類型」中，點選「全選」。

  19. 開啟「Export Claroty xDome Vulnerability Information for Affected Devices Using Syslog」(使用系統記錄匯出受影響裝置的 Claroty xDome 漏洞資訊) 選項，即可匯出 Claroty xDome 漏洞類型。

  20. 在「Vulnerability Types Selection」(選取安全漏洞類型) 下拉式選單中，選取要匯出的安全漏洞類型。

  21. 指定 CVSS 門檻值。您可以使用這項參數設定 CVSS 門檻，透過 Syslog 傳送安全漏洞。(只有大於或等於這個門檻的安全漏洞才會匯出。門檻會預設為 CVSS V3 基礎分數，如果 CVSS V3 分數不明，則會還原為 CVSS V2 基礎分數。

  22. 選擇要匯出的裝置條件：選取「所有裝置」，即可匯出所有受影響裝置的資料。

  23. 開啟「Export Claroty xDome Server Incidents Information to Syslog」選項，匯出 Claroty xDome 伺服器事件。

  24. 從「Collection Server Selection」下拉式選單中，選取要匯出的收集伺服器類型。

  25. 在「伺服器事件選取」下拉式選單中，選取要匯出的伺服器事件。

  26. 按一下「Apply」，儲存設定。

UDM 對應表

記錄欄位 UDM 對應 邏輯
add_alert_id additional.fields 已合併
additional_data additional.fields 已合併
affected_device_data_available additional.fields 已對應：true → additional_data
alert_info_firmware_device_type_label additional.fields 已合併
alert_info_firmware_model_label additional.fields 已合併
alert_info_latest_software_version_label additional.fields 已合併
alert_type_label additional.fields 已合併
destination_printJobName_label additional.fields 已合併
destination_printedFilesBackupPath_label additional.fields 已合併
destination_printerName_label additional.fields 已合併
device_connection_type_list_label additional.fields 已合併
device_managed_device_label additional.fields 已合併
device_network_list_label additional.fields 已合併
device_type_family_label additional.fields 已合併
device_vulnerability_manufacturer_remediation_info_label additional.fields 已合併
device_vulnerability_relevance_source_label additional.fields 已合併
evnt_action_label additional.fields 已合併
firmware_device_type_label additional.fields 已合併
firmware_model_label additional.fields 已合併
firmware_original_versions additional.fields 已合併
latest_hardware_version_label additional.fields 已合併
latest_software_version_label additional.fields 已合併
map_field additional.fields 已合併
original_hardware_version_label additional.fields 已合併
original_software_version_label additional.fields 已合併
process_owner_label additional.fields 已合併
vulnerability_release_date_label additional.fields 已合併
comm_tuple_server_port intermediary.port 直接對應
server_port intermediary.port 直接對應
event_description metadata.description 直接對應
evnt_description metadata.description 直接對應
devTime metadata.event_timestamp 已剖析為 yyyy-MM-dd HH:mm:ssZZ
evnt.ingested metadata.event_timestamp 剖析為 ISO8601
evnt.inserted metadata.event_timestamp 剖析為 yyyy-MM-ddTHH:mm:ss.SSSSSSSSSZ
evnt.timestamp metadata.event_timestamp 剖析為 RFC 3339
time metadata.event_timestamp 剖析為 ISO8601
timestamp metadata.event_timestamp 剖析為 ISO8601
ts metadata.event_timestamp 已剖析為 ISO8601
vulnerability_info.release_date metadata.event_timestamp 剖析為 yyyy-MM-ddTHH:mm:ss.SSSSSSZZ
msg_category metadata.event_type 對應：vulnerability_affected_device → SCAN_VULN_HOST
msg_category metadata.product_event_type 直接對應
sub_category metadata.product_event_type 直接對應
event_id metadata.product_log_id 直接對應
evnt_id metadata.product_log_id 直接對應
version metadata.product_version 直接對應
app_protocol_output network.application_protocol 直接對應
evnt_extra_info.ip_protocol network.ip_protocol 直接對應
observer_hostname observer.hostname 直接對應
event_observer_label observer.labels 已合併
group principal.administrative_domain 直接對應
affected_device.asset_id principal.asset.asset_id 直接對應
user_deviceUid principal.asset.asset_id 直接對應
affected_device_app_version_label principal.asset.attribute.labels 已合併
affected_device_device_subcategory_label principal.asset.attribute.labels 已合併
affected_device_device_type_family_label principal.asset.attribute.labels 已合併
affected_device_device_type_label principal.asset.attribute.labels 已合併
affected_device_retired_label principal.asset.attribute.labels 已合併
affected_device_risk_score_label principal.asset.attribute.labels 已合併
alert_info_firmware_manufacturer_label principal.asset.attribute.labels 已合併
connection_type_list_label principal.asset.attribute.labels 已合併
device_retired_label principal.asset.attribute.labels 已合併
device_subcategory_label principal.asset.attribute.labels 已合併
device_type_label principal.asset.attribute.labels 已合併
firmware_manufacturer_label principal.asset.attribute.labels 已合併
network_list_label principal.asset.attribute.labels 已合併
affected_device_device_category principal.asset.category 直接對應
device_category principal.asset.category 直接對應
hardware principal.asset.hardware 已合併
device_name principal.asset.hostname 直接對應
management_ip principal.asset.ip 已合併
mac_check principal.asset.mac 已合併
device_asset_id principal.asset.network_domain 直接對應
affected_device_os principal.asset.platform_software.platform 對應：windows → WINDOWS、linux → LINUX、mac → MAC
device_os principal.asset.platform_software.platform 對應：windows → WINDOWS、linux → LINUX、mac → MAC
source_operatingSystem principal.asset.platform_software.platform 對應：windows → WINDOWS、linux → LINUX、mac → MAC
affected_device_uid principal.asset.product_object_id 直接對應
device_uid principal.asset.product_object_id 直接對應
software principal.asset.software 已合併
device_name principal.hostname 直接對應
principal_hostname principal.hostname 直接對應
management_ip principal.ip 已合併
evnt_extra_info_geo_location principal.location.city 直接對應
comm_tuple_src_mac principal.mac 已合併
mac_check principal.mac 已合併
mac_list principal.mac 已合併
srcMAC principal.mac 已合併
affected_device.site_name principal.namespace 直接對應
device_site_name principal.namespace 直接對應
comm_tuple_src_port principal.port 直接對應
srcPort principal.port 直接對應
device_note_label principal.resource.attribute.labels 已合併
password_length_label principal.resource.attribute.labels 已合併
username_label principal.user.attribute.labels 已合併
user_id principal.user.product_object_id 直接對應
user_email principal.user.userid 直接對應
file_changeType_label security_result.about.resource.attribute.labels 已合併
tactics_data security_result.attack_details.tactics 已合併
technique_data security_result.attack_details.techniques 已合併
alert_category security_result.category_details 已合併
alertcategory security_result.category_details 已合併
alert_info_signature_confidence security_result.confidence_score 直接對應
evnt_extra_info_ids_signature_info_signature_confidence security_result.confidence_score 直接對應
alert_description security_result.description 直接對應
alertdescription security_result.description 直接對應
alert_device_status_label security_result.detection_fields 已合併
alert_info_signature_severity_description security_result.detection_fields 已合併
alert_type_name_label security_result.detection_fields 已合併
alertdevice_status_label security_result.detection_fields 已合併
device_vulnerability_manufacturer_remediation_info_source_label security_result.detection_fields 已合併
device_vulnerability_overall_cvss_v3_score_label security_result.detection_fields 已合併
device_vulnerability_relevance_label security_result.detection_fields 已合併
event_vector_label security_result.detection_fields 已合併
key security_result.detection_fields 對應：`"signature_first_released", "signature_last_updated", "signature_last_updated_by_sy...
map_field security_result.detection_fields 已合併
risk_indicator_id_label security_result.detection_fields 已合併
risk_indicator_name_label security_result.detection_fields 已合併
risk_indicator_weight_label security_result.detection_fields 已合併
vulnerability_affected_products_label security_result.detection_fields 已合併
vulnerability_device_info_overall_cvss_v3_score_label security_result.detection_fields 已合併
vulnerability_device_info_relevance_label security_result.detection_fields 已合併
vulnerability_device_info_relevance_source_label security_result.detection_fields 已合併
vulnerability_info_affected_products_label security_result.detection_fields 已合併
vulnerability_info_is_known_exploited_label security_result.detection_fields 已合併
vulnerability_info_known_exploits_label security_result.detection_fields 已合併
vulnerability_info_name_label security_result.detection_fields 已合併
vulnerability_info_type_label security_result.detection_fields 已合併
vulnerability_is_known_exploited_label security_result.detection_fields 已合併
vulnerability_known_exploits_label security_result.detection_fields 已合併
vulnerability_type_label security_result.detection_fields 已合併
risk.score security_result.risk_score 直接對應
signature_id security_result.rule_id 直接對應
rule_name security_result.rule_name 直接對應
alert_info_signature_active_rev security_result.rule_version 直接對應
event_extra_info_ids_signature_info_signature_active_rev security_result.rule_version 直接對應
vulnerability_note security_result.summary 直接對應
client_id target.asset.asset_id 直接對應
evnt_extra_info_client_id target.asset.asset_id 直接對應
comm_tuple_dst_mac target.mac 已合併
dstMAC target.mac 已合併
comm_tuple_dst_port target.port 直接對應
dstPort target.port 直接對應
不適用 extensions.vulns.vulnerabilities 常數：vulnerabilities
不適用 metadata.event_type 常數：NETWORK_CONNECTION
不適用 metadata.product_name 常數：xDome
不適用 metadata.vendor_name 常數：Claroty
不適用 principal.asset.ip 常數：principal_ips
不適用 principal.asset.platform_software.platform 常數：WINDOWS
不適用 principal.ip 常數：principal_ips
不適用 security_result.severity 常數：CRITICAL
不適用 target.asset.ip 常數：target_ips
不適用 target.ip 常數：target_ips
evnt_extra_info.policy_info.policy_pair event.idm.read_only_udm.additional.fields 從變更記錄對應
signature_tag event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
management_status event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
certificate_type event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
signature_severity_description event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
policy_pair event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
communication_type event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
flow event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
body_content event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
distance event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
reference event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
sid event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
rev event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
link event.idm.read_only_udm.principal.url 從變更記錄對應
asset_id event.idm.read_only_udm.target.asset.asset_id 從變更記錄對應
uid event.idm.read_only_udm.target.asset.product_object_id 從變更記錄對應
mac event.idm.read_only_udm.target.asset.mac 從變更記錄對應
ip event.idm.read_only_udm.target.ip 從變更記錄對應
side_b_ip event.idm.read_only_udm.target.ip 從變更記錄對應
device_category_data event.idm.read_only_udm.target.asset.category 從變更記錄對應
other_device_device_subcategory event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
other_device_device_type event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
other_device_device_type_family event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
other_device_risk_score event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
site_name event.idm.read_only_udm.target.location.name 從變更記錄對應
other_device_device_name event.idm.read_only_udm.additional.fields 從變更記錄對應
other_device_connection_type_list event.idm.read_only_udm.additional.fields 從變更記錄對應
thumbprint event.idm.read_only_udm.additional.fields 從變更記錄對應
expiry_date event.idm.read_only_udm.additional.fields 從變更記錄對應
start_date event.idm.read_only_udm.additional.fields 從變更記錄對應
OU event.idm.read_only_udm.additional.fields 從變更記錄對應
O event.idm.read_only_udm.additional.fields 從變更記錄對應
C event.idm.read_only_udm.additional.fields 從變更記錄對應
ST event.idm.read_only_udm.additional.fields 從變更記錄對應
L event.idm.read_only_udm.additional.fields 從變更記錄對應
mode event.idm.read_only_udm.additional.fields 從變更記錄對應
side_b_port event.idm.read_only_udm.additional.fields 從變更記錄對應
evnt_extra_info_direction event.idm.read_only_udm.additional.fields 從變更記錄對應
side_a_port event.idm.read_only_udm.additional.fields 從變更記錄對應
manufacturer event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
network_list event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
other_device_os event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
CN event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
affected_device_management_status event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
assignees event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
affected_device_os event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
sender_id event.idm.read_only_udm.principal.user.userid 從變更記錄對應
source_username event.idm.read_only_udm.principal.user.userid 從變更記錄對應
comm_tuple_protocol event.idm.read_only_udm.network.application_protocol 從變更記錄對應
protocol event.idm.read_only_udm.network.tls.version 從變更記錄對應
side_a_ip event.idm.read_only_udm.principal.ip 從變更記錄對應
side_a_mac event.idm.read_only_udm.principal.mac 從變更記錄對應
affectedmac event.idm.read_only_udm.principal.mac 從變更記錄對應
evnt_type event.idm.read_only_udm.security_result.summary 從變更記錄對應
msg_content event.idm.read_only_udm.security_result.summary 從變更記錄對應
side_b_mac event.idm.read_only_udm.target.mac 從變更記錄對應
policy_name event.idm.read_only_udm.security_result.rule_name 從變更記錄對應
evnt_extra_info_direction event.idm.read_only_udm.network.direction 從變更記錄對應
content event.idm.read_only_udm.target.url 從變更記錄對應
reference_url event.idm.read_only_udm.security_result.url_back_to_product 從變更記錄對應
classtype event.idm.read_only_udm.security_result.category_details 從變更記錄對應
metadata_description event.idm.read_only_udm.security_result.description 從變更記錄對應
device_name event.idm.read_only_udm.principal.mac 從變更記錄對應
alert_type_name event.idm.read_only_udm.additional.fields 從變更記錄對應
firmware_device_type event.idm.read_only_udm.additional.fields 從變更記錄對應
device_name event.idm.read_only_udm.principal.asset.mac 從變更記錄對應
device_retired event.idm.read_only_udm.principal.asset.attribute.labels 從變更記錄對應
device_note event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
device_app_version event.idm.read_only_udm.principal.asset.software.version 從變更記錄對應
device_vulnerability_relevance event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
device_vulnerability_overall_cvss_v3_score event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
device_vulnerability_manufacturer_remediation_info_source event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
vulnerability_type event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
vulnerability_affected_products event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
vulnerability_is_known_exploited event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
vulnerability_known_exploits event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
vulnerability_note event.idm.read_only_udm.security_result.summary 從變更記錄對應
device_managed_device event.idm.read_only_udm.additional.fields 從變更記錄對應
device_vulnerability_relevance_source event.idm.read_only_udm.additional.fields 從變更記錄對應
device_vulnerability_manufacturer_remediation_info event.idm.read_only_udm.additional.fields 從變更記錄對應
vulnerability_name event.idm.read_only_udm.extensions.vulns.vulnerabilities.name 從變更記錄對應
device_risk_score event.idm.read_only_udm.security_result.severity 從變更記錄對應
device_name event.idm.read_only_udm.principal.hostname 從變更記錄對應
device_name event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
alert_info_signature_confidence event.idm.read_only_udm.security_result.confidence_score 從變更記錄對應
evnt_extra_info_ids_signature_info_signature_confidence event.idm.read_only_udm.security_result.confidence_score 從變更記錄對應
evnt_extra_info.ids_signature_info.signature_active_rev event.idm.read_only_udm.security_result.rule_version 從變更記錄對應
alert_info_signature_active_rev event.idm.read_only_udm.security_result.rule_version 從變更記錄對應
evnt_extra_info.ids_signature_info.signature_severity_description event.idm.read_only_udm.security_result.severity 從變更記錄對應
alert_info.signature_severity_description event.idm.read_only_udm.security_result.severity 從變更記錄對應
evnt_extra_info.geo_location event.idm.read_only_udm.principal.location.city 從變更記錄對應
evnt_extra_info.ip_protocol event.idm.read_only_udm.network.ip_protocol 從變更記錄對應
affected_device.management_status event.idm.read_only_udm.additional.fields 從變更記錄對應
affected_device.note event.idm.read_only_udm.additional.fields 從變更記錄對應
evnt_extra_info.domain event.idm.read_only_udm.additional.fields 從變更記錄對應
evnt_extra_info.src_domain event.idm.read_only_udm.additional.fields 從變更記錄對應
evnt_extra_info.src_geo_location event.idm.read_only_udm.additional.fields 從變更記錄對應
evnt_extra_info.ids_signature_info.signature_powered_by event.idm.read_only_udm.additional.fields 從變更記錄對應
evnt_extra_info.other_device event.idm.read_only_udm.additional.fields 從變更記錄對應
alert.note event.idm.read_only_udm.additional.fields 從變更記錄對應
affected_device.labels event.idm.read_only_udm.additional.fields 從變更記錄對應
alert_info.signature_severity_description event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
evnt_extra_info.ids_signature_info.signature_first_released event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
evnt_extra_info.ids_signature_info.signature_last_updated event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
evnt_extra_info.ids_signature_info.signature_last_updated_by_system event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
alert.name event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
rule_name event.idm.read_only_udm.alert_info.signature_name 從變更記錄對應
risk_severity event.idm.read_only_udm.alert_info.signature_severity 從變更記錄對應
affected_device.retired event.idm.read_only_udm.principal.asset.attribute.labels 從變更記錄對應
management_ip event.idm.read_only_udm.principal.asset.ip 和 event.idm.read_only_udm.principal.ip 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。