收集 Aruba ClearPass 日志

支持的语言：

本文档介绍了如何使用 Bindplane 代理将 Aruba ClearPass 日志注入到 Google Security Operations。

Aruba ClearPass Policy Manager 会针对 RADIUS 身份验证、TACACS+、Web 身份验证、端点姿态、访客访问权限、审核记录和系统事件生成 syslog 消息。解析器会将提取的字段映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 ClearPass Policy Manager 之间的网络连接
  • 如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
  • 对 ClearPass Policy Manager 控制台的特权访问权限

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

  • 新部署：使用 Chronicle API（选项 1）。
  • 旧版部署：继续使用提取身份验证文件（方法 2），直到提取 API 于 2027 年 7 月 20 日停用。
  1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
  2. 前往 IAM 和管理 > 服务账号。
  3. 点击创建服务账号。
  4. 提供以下配置详细信息：
    • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
    • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
  5. 点击创建并继续。
  6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
  7. 点击继续，然后点击完成。
  8. 点击您创建的服务账号，然后前往密钥标签页。
  9. 依次点击添加密钥> 创建新密钥。
  10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
  11. 将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
  12. 前往 IAM 和管理 > 设置，然后复制项目编号。您需要此信息才能配置导出器。

方法 2：下载数据注入身份验证文件（旧版）

  1. 登录 Google SecOps 控制台。
  2. 前往 SIEM 设置> 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将要安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 前往 SIEM 设置 > 个人资料。

  3. 从组织详细信息部分复制并保存客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为正在运行。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为 active (running)。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/clearpass:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

service:
  pipelines:
    logs/clearpass_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/clearpass

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：要监听的 IP 地址和端口：
      • 0.0.0.0，以监听所有接口（推荐）
      • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

  • 导出器配置：

    • creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：从 Google SecOps 控制台复制的客户 ID
    • location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。
    • project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
    • endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API

  • 如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

    exporters:
  chronicle/clearpass:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

    1. 验证服务是否正在运行：

      sudo systemctl status observiq-otel-collector

    2. 检查日志中的错误：

      sudo journalctl -u observiq-otel-collector -f

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服务控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重启。

      4. 验证服务是否正在运行：

        sc query observiq-otel-collector

      5. 检查日志中的错误：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 Aruba ClearPass syslog 服务器

  1. 登录 ClearPass Policy Manager 控制台。
  2. 依次选择 Administration（管理）> External servers（外部服务器）> Syslog targets（Syslog 目标）。
  3. 点击 Add（添加）。
  4. 在随即显示的添加 Syslog 目标窗口中，指定以下详细信息：
    • 主机地址：输入 Bindplane IP 地址。
    • 服务器端口：输入 Bindplane 端口号。
    • 协议：选择 UDP（您也可以选择 TCP，具体取决于您的 Bindplane 配置）。
  5. 点击保存。

配置 syslog 导出过滤条件

  1. 依次前往管理 > 外部服务器 > Syslog 导出过滤器。
  2. 点击 Add（添加）。
  3. 在随即显示的添加 Syslog 过滤条件窗口中，在常规标签页中指定以下内容：
    • 名称：根据导出模板项中的表格，输入 syslog 导出过滤条件名称。
    • 导出模板：根据导出模板项中的表格选择适当的导出模板。
    • 导出事件格式类型：选择标准。
    • Syslog 服务器：选择 Bindplane IP 地址。
  4. 在导出模板列表中，选择会话或数据分析导出模板后，系统会启用过滤条件和列标签页。为此，请完成以下步骤：
    • 点击过滤条件和列标签页。
    • 数据过滤条件：确保已选择默认值所有请求。
    • 列选择：根据导出模板项中的表格选择预定义的字段组。
    • 所选列：验证自动填充的字段是否与导出模板项中的表匹配。
    • 点击摘要标签页。
    • 点击保存。
  5. 在导出模板列表中，如果您选择系统事件和审核记录导出模板，则过滤条件和列标签页不会启用。前往摘要标签页，然后点击保存。
  6. 根据导出模板项表格中的详细信息，重复上述步骤，为所有会话、数据洞见、审核记录和系统事件导出模板添加 syslog 导出过滤条件。

导出模板项

下表介绍了您需要为每个导出模板配置的项目。所选列中列出的默认字段支持事件解析。确保“所选列（默认）”下的表格中提及的所有字段都存在且顺序相同。请务必完全按照表格中提供的名称（包括区分大小写的过滤条件名称）创建 syslog 导出过滤条件模板。

Syslog 导出过滤条件名称（区分大小写） 导出模板 预定义字段组 所选列（默认）
ACPPM_radauth 数据分析日志 Radius 身份验证 Auth.Username, Auth.Host-MAC-Address, Auth.Protocol, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_radfailedauth 数据分析日志 Radius 身份验证失败 Auth.Username, Auth.Host-MAC-Address, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_radacct 数据分析日志 RADIUS 结算 Radius.Username, Radius.Calling-Station-Id, Radius.Framed-IP-Address, Radius.NAS-IP-Address, Radius.Start-Time, Radius.End-Time, Radius.Duration, Radius.Input-bytes, Radius.Output-bytes
ACPPM_tacauth 数据分析日志 tacacs 身份验证 tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, tacacs.Auth-Source, tacacs.Roles, tacacs.Enforcement-Profiles, tacacs.Privilege-Level
ACPPM_tacfailedauth 数据分析日志 tacacs 身份验证失败 tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_webauth 数据分析日志 WEBAUTH Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_webfailedauth 数据分析日志 WEBAUTH 身份验证失败 Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_appauth 数据分析日志 应用身份验证 Auth.Username、Auth.Host-IP-Address、Auth.Protocol、CppmNode.CPPM-Node、Auth.Login-Status、Auth.Service、Auth.Source、Auth.Roles、Auth.Enforcement-Profiles
ACPPM_failedappauth 数据分析日志 应用身份验证失败 Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_endpoints 数据分析日志 端点 Endpoint.MAC-Address, Endpoint.MAC-Vendor, Endpoint.IP-Address, Endpoint.Username, Endpoint.Device-Category, Endpoint.Device-Family, Endpoint.Device-Name, Endpoint.Conflict, Endpoint.Status, Endpoint.Added-At, Endpoint.Updated-At
ACPPM_cpguest 数据分析日志 Clearpass Guest Guest.Username, Guest.MAC-Address, Guest.Visitor-Name, Guest.Visitor-Company, Guest.Role-Name, Guest.Enabled, Guest.Created-At, Guest.Starts-At, Guest.Expires-At
ACPPM_onbenroll 数据分析日志 车载注册 OnboardEnrollment.Username、OnboardEnrollment.Device-Name、OnboardEnrollment.MAC-Address、OnboardEnrollment.Device-Product、OnboardEnrollment.Device-Version、OnboardEnrollment.Added-At、OnboardEnrollment.Updated-At
ACPPM_onbcert 数据分析日志 车载证书 OnboardCert.Username、OnboardCert.Mac-Address、OnboardCert.Subject、OnboardCert.Issuer、OnboardCert.Valid-From、OnboardCert.Valid-To、OnboardCert.Revoked-At
ACPPM_onboscp 数据分析日志 车载 OCSP OnboardOCSP.Remote-Address、OnboardOCSP.Response-Status-Name、OnboardOCSP.Timestamp
ACPPM_cpsysevent 数据分析日志 Clearpass 系统事件 CppmNode.CPPM-Node, CppmSystemEvent.Source, CppmSystemEvent.Level, CppmSystemEvent.Category, CppmSystemEvent.Action, CppmSystemEvent.Timestamp
ACPPM_cpconfaudit 数据分析日志 Clearpass 配置审核 CppmConfigAudit.Name、CppmConfigAudit.Action、CppmConfigAudit.Category、CppmConfigAudit.Updated-By、CppmConfigAudit.Updated-At
ACPPM_possummary 数据分析日志 安全状况摘要 Endpoint.MAC-Address、Endpoint.IP-Address、Endpoint.Hostname、Endpoint.Usermame、Endpoint.System-Agent-Type、Endpoint.System-Agent-Version、Endpoint.System-Client-OS、Endpoint.System-Posture-Token、Endpoint.Posture-Healthy、Endpoint.Posture-Unhealthy
ACPPM_posfwsummary 数据分析日志 安全状况防火墙摘要 Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Firewall-APT, Endpoint.Firewall-Input, Endpoint.Firewall-Output
ACPPM_poavsummary 数据分析日志 杀毒软件状况摘要 Endpoint.MAC-Address、Endpoint.IP-Address、Endpoint.Hostname、Endpoint.Usermame、Endpoint.System-Agent-Type、Endpoint.System-Agent-Version、Endpoint.System-Client-OS、Endpoint.System-Posture-Token、Endpoint.Antivirus-APT、Endpoint.Antivirus-Input、Endpoint.Antivirus-Output
ACPPM_posassummary 数据分析日志 安全状况反间谍软件摘要 Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antispyware-APT, Endpoint.Antispyware-Input, Endpoint.Antispyware-Output
ACPPM_posdskencrpsummary 数据分析日志 安全状况磁盘加密摘要 Endpoint.MAC-Address、Endpoint.IP-Address、Endpoint.Hostname、Endpoint.Usermame、Endpoint.System-Agent-Type、Endpoint.System-Agent-Version、Endpoint.System-Client-OS、Endpoint.System-Posture-Token、Endpoint.DiskEncryption-APT、Endpoint.DiskEncryption-Input、Endpoint.DiskEncryption-Output
ACPPM_loggedusers 会话日志 已登录的用户 Common.Username、Common.Service、Common.Roles、Common.Host-MAC-Address、RADIUS.Acct-Framed-IP-Address、Common.NAS-IP-Address、Common.Request-Timestamp
ACPPM_failedauth 会话日志 身份验证失败 Common.Username、Common.Service、Common.Roles、RADIUS.Auth-Source、RADIUS.Auth-Method、Common.System-Posture-Token、Common.Enforcement-Profiles、Common.Host-MAC-Address、Common.NAS-IP-Address、Common.Error-Code、Common.Alerts、Common.Request-Timestamp
ACPPM_radacctsession 会话日志 RADIUS 记账 RADIUS.Acct-Username、RADIUS.Acct-NAS-IP-Address、RADIUS.Acct-NAS-Port、RADIUS.Acct-NAS-Port-Type、RADIUS.Acct-Calling-Station-Id、RADIUS.Acct-Framed-IP-Address、RADIUS.Acct-Session-Id、RADIUS.Acct-Session-Time、RADIUS.Acct-Output-Pkts、RADIUS.Acct-Input-Pkts、RADIUS.Acct-Output-Octets、RADIUS.Acct-Input.Octets、RADIUS.Acct-Service-Name、RADIUS.Acct-Timestamp
ACPPM_tacadmin 会话日志 TACACS+ 管理 Common.Username、Common.Service、tacacs.Remote-Address、tacacs.Privilege.Level、Common.Request-Timestamp
ACPPM_tacacct 会话日志 tacacs+ 记账 Common.Username、Common.Service、tacacs.Remote-Address、tacacs.Acct-Flags、tacacs.Privilege.Level、Common.Request-Timestamp
ACPPM_webauthsession 会话日志 Web 身份验证 Common.Username, Common.Host-MAC-Address, WEBAUTH.Host-IP-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_guestacc 会话日志 访客访问权限 Common.Username, RADIUS.Auth-Method, Common.Host-MAC-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_auditrecords 审核记录 不适用 不适用
ACPPM_systemevents 系统事件 不适用 不适用

UDM 映射表

日志字段 UDM 映射 逻辑
Action security_result.action 如果“Action”字段的值为“ALLOW”或“BLOCK”，则值会从该字段映射
Auth.Enforcement-Profiles security_result.detection_fields.value 值是从“Auth.Enforcement-Profiles”字段映射的
Auth.Host-MAC-Address principal.mac 在将值转换为以英文冒号分隔的 MAC 地址格式后，从“Auth.Host-MAC-Address”字段映射值
Auth.Login-Status security_result.detection_fields.value 值映射自“Auth.Login-Status”字段
Auth.NAS-IP-Address target.ip 值从“Auth.NAS-IP-Address”字段映射
Auth.Protocol intermediary.application 值是从“Auth.Protocol”字段映射的
Auth.Service security_result.detection_fields.value 值是从“Auth.Service”字段映射的
Auth.Source principal.hostname 该值是从“Auth.Source”字段映射而来，并移除了所有前导字母数字字符和空格
Auth.Username principal.user.user_display_name 值是从“Auth.Username”字段映射的
Category metadata.event_type 如果值为“Logged in”，则 UDM 字段会设置为“USER_LOGIN”。如果值为“Logged out”，则 UDM 字段设置为“USER_LOGOUT”
Common.Alerts security_result.description 值从“Common.Alerts”字段映射
Common.Enforcement-Profiles security_result.detection_fields.value 值从“Common.Enforcement-Profiles”字段映射而来
Common.Login-Status security_result.detection_fields.value 值是从“Common.Login-Status”字段映射的
Common.NAS-IP-Address target.ip 值从“Common.NAS-IP-Address”字段映射
Common.Roles principal.user.group_identifiers 值是从“Common.Roles”字段映射的
Common.Service security_result.detection_fields.value 值是从“Common.Service”字段映射而来
Common.Username principal.user.userid 值从“Common.Username”字段映射
Component intermediary.application 值是从“组件”字段映射的
Description metadata.description 该值通过以下方式从“说明”字段映射而来：将换行符替换为竖线符号。如果“Description”字段包含“User”“Address”和“Role”，则会将其解析为键值对，并映射到相应的 UDM 字段。如果“Description”字段包含“Unable connection with”，则系统会提取目标主机名并将其映射到“target.hostname”
EntityName principal.hostname 值是从“EntityName”字段映射的
InterIP target.ip 值是从“InterIP”字段映射的
Level security_result.severity 如果值为“ERROR”或“FATAL”，则 UDM 字段设置为“HIGH”。如果值为“WARN”，则 UDM 字段设置为“MEDIUM”。如果值为“INFO”或“DEBUG”，则 UDM 字段设置为“LOW”
LogNumber metadata.product_log_id 值从“LogNumber”字段映射而来
RADIUS.Acct-Framed-IP-Address principal.ip 值是从“RADIUS.Acct-Framed-IP-Address”字段映射而来
Timestamp metadata.event_timestamp 值从“时间戳”字段映射而来，在转换为 UTC 并解析为时间戳后获得
User principal.user.userid 值是从“用户”字段映射的
agent_ip principal.ip,，principal.asset.ip 值是从“agent_ip”字段映射的
community additional.fields.value.string_value 值映射自“community”字段
descr metadata.description 值是从“descr”字段映射而来
enterprise additional.fields.value.string_value 值是从“enterprise”字段映射的
eventDescription metadata.description 值从“eventDescription”字段映射而来，并移除了引号
generic_num additional.fields.value.string_value 值是从“generic_num”字段映射的
prin_mac principal.mac 值从“prin_mac”字段映射而来，并已转换为以英文冒号分隔的 MAC 地址格式
prin_port principal.port 值从“prin_port”字段映射并转换为整数
specificTrap_name additional.fields.value.string_value 值是从“specificTrap_name”字段映射而来
specificTrap_num additional.fields.value.string_value 值是从“specificTrap_num”字段映射的
uptime additional.fields.value.string_value 值是从“正常运行时间”字段映射的
version metadata.product_version 值是从“版本”字段映射的
extensions.auth.type 值设置为“SSO”
metadata.event_type 值是根据各种日志字段和解析器逻辑确定的。如需了解详情，请参阅解析器代码
metadata.log_type 值设置为“CLEARPASS”
metadata.product_name 值设置为“ClearPass”
metadata.vendor_name 值设置为“ArubaNetworks”
deviceProcessName event.idm.read_only_udm.intermediary.application 从更新日志映射
msg event.idm.read_only_udm.security_result.description 从更新日志映射
NAD event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从更新日志映射
user_name event.idm.read_only_udm.principal.user.userid 从更新日志映射
nas_ip event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从更新日志映射
dst event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从更新日志映射
service_name event.idm.read_only_udm.target.application 从更新日志映射
roles event.idm.read_only_udm.principal.user.attribute.roles 从更新日志映射
timestamp event.idm.read_only_udm.metadata.event_timestamp 从更新日志映射
rt event.idm.read_only_udm.metadata.event_timestamp 从更新日志映射
rt event.idm.read_only_udm.additional.fields 从更新日志映射
cs1 event.idm.read_only_udm.additional.fields 从更新日志映射
cs2 event.idm.read_only_udm.additional.fields 从更新日志映射
cs3 event.idm.read_only_udm.additional.fields 从更新日志映射
cs4 event.idm.read_only_udm.additional.fields 从更新日志映射
cs5 event.idm.read_only_udm.additional.fields 从更新日志映射
cs6 event.idm.read_only_udm.additional.fields 从更新日志映射
tags event.idm.read_only_udm.additional.fields 从更新日志映射
cribl_pipe event.idm.read_only_udm.additional.fields 从更新日志映射
organization.id event.idm.read_only_udm.additional.fields 从更新日志映射
my_timestamp event.idm.read_only_udm.additional.fields 从更新日志映射
VAR_TOPIC_ID event.idm.read_only_udm.additional.fields 从更新日志映射
syslog_pri event.idm.read_only_udm.additional.fields 从更新日志映射
cef_version event.idm.read_only_udm.additional.fields 从更新日志映射
cef_vendor event.idm.read_only_udm.additional.fields 从更新日志映射
cef_product event.idm.read_only_udm.additional.fields 从更新日志映射
cef_product_version event.idm.read_only_udm.additional.fields 从更新日志映射
cef_signature_id event.idm.read_only_udm.additional.fields 从更新日志映射
syslog_timestamp event.idm.read_only_udm.metadata.collected_timestamp 从更新日志映射
dvc event.idm.read_only_udm.intermediary.ip 从更新日志映射
syslog_host_ip event.idm.read_only_udm.intermediary.ip 从更新日志映射
cs1 event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从更新日志映射
cef_name event.idm.read_only_udm.metadata.product_event_type 从更新日志映射
src event.idm.read_only_udm.principal.asset.ip 从更新日志映射
src event.idm.read_only_udm.principal.ip 从更新日志映射
organization.name event.idm.read_only_udm.principal.group.group_display_name 从更新日志映射
cat event.idm.read_only_udm.security_result.category_details 从更新日志映射
kafkaTopic event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
evnt.created event.idm.read_only_udm.security_result.first_discovered_time 从更新日志映射
cef_severity event.idm.read_only_udm.security_result.severity 从更新日志映射
dpriv event.idm.read_only_udm.target.user.attribute.roles 从更新日志映射
duser event.idm.read_only_udm.target.user.user_display_name 从更新日志映射
ts event.idm.read_only_udm.additional.fields 从更新日志映射
id event.idm.read_only_udm.additional.fields 从更新日志映射
monitor_mode event.idm.read_only_udm.additional.fields 从更新日志映射
audit_apt event.idm.read_only_udm.additional.fields 从更新日志映射
spt event.idm.read_only_udm.additional.fields 从更新日志映射
end_host_id event.idm.read_only_udm.additional.fields 从更新日志映射
request_status event.idm.read_only_udm.additional.fields 从更新日志映射
cpu_usage event.idm.read_only_udm.additional.fields 从更新日志映射
res_mem_usage event.idm.read_only_udm.additional.fields 从更新日志映射
virt_mem_usage event.idm.read_only_udm.additional.fields 从更新日志映射
roles event.idm.read_only_udm.principal.user.group_identifiers 从更新日志映射
enf_profiles event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
auth_source event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
process_id event.idm.read_only_udm.principal.process.product_specific_process_id 从更新日志映射
service_name event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
LogNumber event.idm.read_only_udm.principal.process.pid 从更新日志映射
user_name event.idm.read_only_udm.principal.user.user_display_name 从更新日志映射
nas_port event.idm.read_only_udm.target.port 从更新日志映射
nas_port_type event.idm.read_only_udm.additional.fields 从更新日志映射
seq_num event.idm.read_only_udm.additional.fields 从更新日志映射
acct_authentic event.idm.read_only_udm.additional.fields 从更新日志映射
acct_sessionId event.idm.read_only_udm.additional.fields 从更新日志映射
acct_status_type event.idm.read_only_udm.additional.fields 从更新日志映射
called_station_id event.idm.read_only_udm.additional.fields 从更新日志映射
calling_station_id event.idm.read_only_udm.additional.fields 从更新日志映射
acct_delaytimestamp event.idm.read_only_udm.additional.fields 从更新日志映射
acct_delay_time event.idm.read_only_udm.additional.fields 从更新日志映射
Auth.Username event.idm.read_only_udm.principal.user.user_display_name 从更新日志映射
Auth.Host-MAC-Address event.idm.read_only_udm.principal.mac 从更新日志映射
Auth.Roles event.idm.read_only_udm.principal.user.group_identifiers 从更新日志映射
Auth.Protocol event.idm.read_only_udm.intermediary.application 从更新日志映射
Auth.NAS-IP-Address event.idm.read_only_udm.target.ip 从更新日志映射
Auth.NAS-IP-Address event.idm.read_only_udm.target.asset.ip 从更新日志映射
Auth.Service event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
Auth.Login-Status event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
Common.Connection-Status event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
source_ip1 event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从更新日志映射
identifier event.idm.read_only_udm.principal.asset.asset_id 从更新日志映射
log_type event.idm.read_only_udm.metadata.product_event_type 从更新日志映射
id event.idm.read_only_udm.metadata.product_log_id 从更新日志映射
val1 event.idm.read_only_udm.additional.fields 从更新日志映射
val2 event.idm.read_only_udm.additional.fields 从更新日志映射
swap_memory_avail event.idm.read_only_udm.additional.fields 从更新日志映射
system_memory_avail event.idm.read_only_udm.additional.fields 从更新日志映射
cpu_raw_user event.idm.read_only_udm.additional.fields 从更新日志映射
cpu_raw_system event.idm.read_only_udm.additional.fields 从更新日志映射
cpu_raw_idle event.idm.read_only_udm.additional.fields 从更新日志映射
cpu_raw_nice event.idm.read_only_udm.additional.fields 从更新日志映射
mgmt_inf_status event.idm.read_only_udm.additional.fields 从更新日志映射
data_inf_status event.idm.read_only_udm.additional.fields 从更新日志映射
swap_size_used event.idm.read_only_udm.additional.fields 从更新日志映射
slash_size_used event.idm.read_only_udm.additional.fields 从更新日志映射
ingest_timestamp event.idm.read_only_udm.metadata.collected_timestamp 从更新日志映射
source_ip2 event.idm.read_only_udm.observer.ip 从更新日志映射
vd event.idm.read_only_udm.observer.resource.attribute.labels 从更新日志映射
ui event.idm.read_only_udm.network.application_protocol 从更新日志映射
ui event.idm.read_only_udm.principal.ip，event.idm.read_only_udm.principal.asset.ip 从更新日志映射
ExporterName event.idm.read_only_udm.additional.fields 从更新日志映射
Category event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
Action event.idm.read_only_udm.security_result.action 从更新日志映射
Action event.idm.read_only_udm.security_result.action_details 从更新日志映射
Remote_IP_Address event.idm.read_only_udm.principal.ip 从更新日志映射
Remote_IP_Address event.idm.read_only_udm.principal.asset.ip 从更新日志映射
port event.idm.read_only_udm.principal.port 从更新日志映射
InterIP event.idm.read_only_udm.intermediary.ip 从更新日志映射
InterIP event.idm.read_only_udm.intermediary.asset.ip 从更新日志映射
sdescription event.idm.read_only_udm.security_result.description 从更新日志映射
code event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
ip event.idm.read_only_udm.principal.ip 从更新日志映射
ip event.idm.read_only_udm.principal.asset.ip 从更新日志映射
server event.idm.read_only_udm_principal.application 从更新日志映射
swVersion event.idm.read_only_udm.metadata.product_version 从更新日志映射
enterpriseId event.idm.read_only_udm.additional.fields 从更新日志映射
software event.idm.read_only_udm.additional.fields 从更新日志映射
ip event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从更新日志映射
CppmNode.CPPM-Node event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从更新日志映射
CppmNode.CPPM-Node event.idm.read_only_udm.additional.fields 从更新日志映射
messagedetail event.idm.read_only_udm.security_result.description 从更新日志映射
Thread_id event.idm.read_only_udm.additional.fields 从更新日志映射
servicename event.idm.read_only_udm.additional.fields 从更新日志映射
Req_id event.idm.read_only_udm.additional.fields 从更新日志映射
Internalserviceid event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
InternalChallengeID event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
Entityid event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
handlervalue event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
instanceid event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
threadrequestinfo event.idm.read_only_udm.metadata.description 从更新日志映射
Acct-NAS-IP-Address principal.ip 从更新日志映射
Acct-Username principal.user.userid 从更新日志映射
Acct-Calling-Station-Id principal.user.product_object_id 从更新日志映射
descr" and "eventDescription metadata.description 从更新日志映射
specificTrap_name", "uptime", "enterprise", "generic_num", "specificTrap_num", and "community additional.fields 从更新日志映射
Common.Service", "Common.Enforcement-Profiles", and "Common.Login-Status security_result.detection_fields 从更新日志映射
metadata.event_type STATUS_UPDATE 从更新日志映射

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。