收集 Datadog 記錄

剖析器版本：4.0

本文說明如何將 Datadog 記錄擷取至 Google Security Operations。Datadog 是雲端式監控和分析平台，可從應用程式、基礎架構和雲端服務收集指標、追蹤記錄和記錄檔。您可以透過 Cloud Storage 或 Webhook，將 Datadog 記錄分享至 Google SecOps。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 具備 Datadog 特殊存取權的使用者
• Google Cloud 控制台存取權 (用於建立 API 金鑰或設定 Cloud Storage)

方法 1：透過 Cloud Storage 設定共用 Datadog 記錄

設定 Datadog 與 Google Cloud的整合

在 Google Cloud中設定 Datadog 的整合功能。詳情請參閱「Datadog Google Cloud 整合設定」。

建立 Cloud Storage bucket

1. 登入 Google Cloud 控制台

2. 前往「Cloud Storage Buckets」(Cloud Storage bucket) 頁面。

   前往「Buckets」(值區) 頁面

3. 點選「建立」。

4. 在「建立 bucket」頁面中，輸入 bucket 資訊。完成下列各步驟後，請點選「繼續」前往下一步：

   1. 在「開始使用」部分，執行下列操作：

      1. 輸入符合 bucket 名稱規定的專屬名稱 (例如 datadog-data)。

      2. 如要啟用階層結構式命名空間，請按一下展開箭頭，展開「為檔案導向和資料密集型工作負載提供最理想的儲存空間」部分，然後選取「為這個值區啟用階層結構式命名空間」。

      3. 如要新增區間標籤，請按一下展開箭頭，展開「標籤」部分。

      4. 按一下「新增標籤」，然後為標籤指定鍵和值。

   2. 在「Choose where to store your data」(選擇資料的儲存位置) 部分，執行下列操作：

      1. 選取「位置類型」。
      2. 使用位置類型下拉式選單，選取要永久儲存 bucket 內物件資料的位置。

   3. 在「Choose a storage class for your data」(為資料選擇儲存空間級別) 部分，選取 bucket 的預設儲存空間級別，或選取「Autoclass」(自動分類)，讓系統自動管理 bucket 資料的儲存空間級別。

   4. 在「選取如何控制物件的存取權」部分，選取「否」來強制執行「禁止公開存取」，並為 bucket 的物件選取「存取控管模式」。

   5. 在「選擇保護物件資料的方式」部分，執行下列操作：

      1. 在「資料保護」下方，選取要為 bucket 設定的選項。
      2. 如要選擇物件資料的加密方式，請按一下標示為「資料加密」的展開箭頭，然後選取「資料加密方法」。

5. 點選「建立」。

建立 Google Cloud 服務帳戶

1. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
2. 建立新的服務帳戶。
3. 為其命名 (例如 datadog-user)。
4. 在上一步建立的 Cloud Storage bucket，將「Storage 物件管理員」角色授予服務帳戶。
5. 為服務帳戶建立金鑰，並選取「JSON」做為金鑰類型。
6. 下載服務帳戶的 JSON 金鑰檔案。請妥善保管這個檔案。

設定 Datadog，將記錄傳送至 Cloud Storage

1. 使用具備權限的帳戶登入 Datadog。
2. 依序前往「Logs」>「Log Forwarding」。
3. 按一下「+ 建立新封存檔案」。
4. 選取「Google Cloud Storage」。
5. 輸入必要參數，然後按一下「儲存」。

在 Google SecOps 中設定動態饋給，從 Cloud Storage bucket 擷取記錄

1. 依序前往 「SIEM 設定」 > 「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Datadog Logs GCS)。
5. 選取「Google Cloud Storage V2」做為「來源類型」。
6. 選取「Datadog」做為「記錄類型」。
7. 按一下「取得服務帳戶」，取得這個動態饋給的專屬服務帳戶。
8. 將「Storage 物件檢視者」角色授予這個服務帳戶，用於先前建立的 Cloud Storage bucket。
9. 點選「下一步」。
10. 指定下列輸入參數的值：
    • 儲存空間 Bucket URI：Cloud Storage bucket URI，格式為 gs://datadog-data。
    • 來源刪除選項：根據偏好設定選取刪除選項。
    • 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。
    • 資產命名空間：資產命名空間。
    • 擷取標籤：套用至這個動態饋給事件的標籤。
11. 點選「下一步」。
12. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。

方法 2：透過 Webhook 設定共用 Datadog 記錄

設定動態饋給

如要設定動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM 設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一個頁面中，按一下「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Datadog Logs)。
5. 選取「Webhook」做為「來源類型」。
6. 選取「Datadog」做為「記錄類型」。
7. 點選「下一步」。
8. 選用：指定下列輸入參數的值：
   • 分割分隔符號：用於分隔記錄行的分隔符號，例如 \n。
9. 點選「下一步」。
10. 在「Finalize」畫面中檢查動態饋給設定，然後按一下「Submit」。
11. 按一下「產生密鑰」，產生用於驗證這個動態消息的密鑰。
12. 複製並儲存密鑰。您無法再次查看這組密鑰。如有需要，您可以重新產生新的密鑰，但這項操作會使舊密鑰失效。
13. 在「詳細資料」分頁中，從「端點資訊」欄位複製動態消息端點網址。您必須在用戶端應用程式中指定這個端點網址。
14. 按一下「完成」。

為 Webhook 動態饋給建立 API 金鑰

1. 前往 Google Cloud 控制台 >「憑證」：前往「憑證」。
2. 按一下 [Create credentials] (建立憑證)，然後選取 [API key] (API 金鑰)。
3. 限制 API 金鑰對 Chronicle API 的存取權。

指定端點網址

1. 在用戶端應用程式中，指定 Webhook 動態饋給提供的 HTTPS 端點網址。

2. 如要啟用驗證，請在自訂標頭中指定 API 金鑰和密鑰，格式如下：

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   建議：將 API 金鑰指定為標頭，而非指定在網址中。

3. 如果 Webhook 用戶端不支援自訂標頭，您可以使用下列格式的查詢參數指定 API 金鑰和密鑰：

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   更改下列內容：

   • ENDPOINT_URL：動態消息端點網址。
   • API_KEY：用於向 Google Security Operations 驗證身分的 API 金鑰。
   • SECRET：您產生的密鑰，用於驗證動態饋給。

設定 Datadog 將記錄傳送至 Webhook

1. 使用具備權限的帳戶登入 Datadog。
2. 依序前往「記錄」>「記錄轉送」。
3. 選取「自訂目的地」。
4. 按一下「+ 建立新目的地」。
5. 指定下列輸入參數的值：
   • 選擇目的地類型：選取「HTTP」。
   • 命名目的地：為 Webhook 提供描述性名稱 (例如 Google SecOps Webhook)。
   • 設定目的地：貼上動態饋給 ENDPOINT_URL。選擇下列其中一個驗證選項 (請勿同時選擇兩者)：
     • 選項 A (建議)：保留不含憑證的網址，並將 API_KEY 和 SECRET 做為自訂標頭傳遞 (在下一個步驟中設定)。
     • 做法 B：將憑證附加至網址做為查詢參數，格式為 ENDPOINT_URL?key=API_KEY&secret=SECRET。只有在用戶端無法傳送自訂標頭時，才使用這項功能。
   • 設定驗證設定：Datadog 至少需要一個驗證標頭，才能儲存目的地。新增下列標題。Webhook 端點會忽略這項資訊，因此不會影響要求。
     • 標頭名稱：Authorization。
     • 標頭值：application/json。
6. 按一下 [儲存]。

參考連結

• 將記錄檔分享至 Cloud Storage
• 將記錄檔轉送至 Webhook

UDM 對應表

記錄欄位	UDM 對應	邏輯
additional_field	additional.fields	已合併
anonymous_label	additional.fields	已合併
as_domain_label	additional.fields	已合併
as_name_label	additional.fields	已合併
as_number_label	additional.fields	已合併
as_type_label	additional.fields	已合併
auth_method_label	additional.fields	已合併
category_label	additional.fields	已合併
emitted_source_label	additional.fields	已合併
event_type_label	additional.fields	已合併
geo_continent_code_label	additional.fields	已合併
geo_continent_label	additional.fields	已合併
geo_continent_name_label	additional.fields	已合併
geo_country_code_label	additional.fields	已合併
geo_latitude_label	additional.fields	已合併
geo_longitude_label	additional.fields	已合併
geo_subdivision_code_label	additional.fields	已合併
geo_subdivision_name_label	additional.fields	已合併
geo_timezone_label	additional.fields	已合併
http_level_label	additional.fields	已合併
indicator_label	additional.fields	已合併
indicators_matched_label	additional.fields	已合併
infrastructure_label	additional.fields	已合併
intention_label	additional.fields	已合併
iso_code_label	additional.fields	已合併
new_template_variable_name_label	additional.fields	已合併
new_template_variable_preset_name_label	additional.fields	已合併
new_template_variable_value_label	additional.fields	已合併
new_widget_definition_background_color_label	additional.fields	已合併
new_widget_definition_layout_type_label	additional.fields	已合併
new_widget_definition_show_title_label	additional.fields	已合併
new_widget_definition_title_label	additional.fields	已合併
new_widget_definition_type_label	additional.fields	已合併
new_widget_id_label	additional.fields	已合併
new_widget_layout_height_label	additional.fields	已合併
new_widget_layout_width_label	additional.fields	已合併
new_widget_layout_x_label	additional.fields	已合併
new_widget_layout_y_label	additional.fields	已合併
record_attributes_asset_id_label	additional.fields	已合併
record_attributes_asset_name_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_author_handle_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_author_name_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_description_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_id_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_reflow_type_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_title_label	additional.fields	已合併
record_attributes_asset_new_value_dashboard_definition_url_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_author_handle_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_author_name_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_description_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_id_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_reflow_type_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_title_label	additional.fields	已合併
record_attributes_asset_prev_value_dashboard_definition_url_label	additional.fields	已合併
record_attributes_asset_type_label	additional.fields	已合併
record_attributes_contextMap_cfRay_label	additional.fields	已合併
record_attributes_contextMap_tradingAccountId_label	additional.fields	已合併
record_attributes_evt_name_label	additional.fields	已合併
record_attributes_network_client_geoip_as_number_label	additional.fields	已合併
record_attributes_network_client_geoip_as_type_label	additional.fields	已合併
record_attributes_network_client_geoip_location_latitude_label	additional.fields	已合併
record_attributes_network_client_geoip_location_longitude_label	additional.fields	已合併
record_attributes_network_client_geoip_subdivision_iso_code_label	additional.fields	已合併
record_attributes_network_client_geoip_subdivision_name_label	additional.fields	已合併
record_attributes_network_client_geoip_timezone_label	additional.fields	已合併
record_trace_id_label	additional.fields	已合併
request_id_label	additional.fields	已合併
risk_label	additional.fields	已合併
service_label	additional.fields	已合併
source_name_label	additional.fields	已合併
source_type_label	additional.fields	已合併
source_url_label	additional.fields	已合併
span_id_label	additional.fields	已合併
symbol_label	additional.fields	已合併
tag_label	additional.fields	已合併
template_variable_name_label	additional.fields	已合併
template_variable_preset_name_label	additional.fields	已合併
template_variable_value_label	additional.fields	已合併
timezone_label	additional.fields	已合併
tunnels_operator_label	additional.fields	已合併
tunnels_type_label	additional.fields	已合併
type_label	additional.fields	已合併
type_label1	additional.fields	已合併
url_details_host_label	additional.fields	已合併
url_details_path_label	additional.fields	已合併
user_created_timestamp_label	additional.fields	已合併
widget_definition_background_color_label	additional.fields	已合併
widget_definition_layout_type_label	additional.fields	已合併
widget_definition_show_title_label	additional.fields	已合併
widget_definition_title_label	additional.fields	已合併
widget_definition_type_label	additional.fields	已合併
widget_id_label	additional.fields	已合併
widget_layout_height_label	additional.fields	已合併
widget_layout_width_label	additional.fields	已合併
widget_layout_x_label	additional.fields	已合併
widget_layout_y_label	additional.fields	已合併
eventMessage	metadata.description	直接對應
date1	metadata.event_timestamp	已剖析為 ISO8601
record.date1	metadata.event_timestamp	已剖析為 ISO8601
event_type	metadata.event_type	直接對應
has_principal	metadata.event_type	已對應：true → NETWORK_CONNECTION、true → STATUS_UPDATE
has_user	metadata.event_type	已對應：true → USER_UNCATEGORIZED
attributes._trace.origin.operation	metadata.product_event_type	直接對應
eventType	metadata.product_event_type	直接對應
record_attributes_contextMap_eventType	metadata.product_event_type	直接對應
source	metadata.product_event_type	直接對應
_id	metadata.product_log_id	直接對應
record_attributes_thread_id	metadata.product_log_id	直接對應
threadID	metadata.product_log_id	直接對應
service	metadata.product_name	直接對應
attributes.@version	metadata.product_version	直接對應
attributes.http.method	network.http.method	直接對應
agnt	network.http.parsed_user_agent	直接對應
record_attributes_contextMap_userAgent	network.http.parsed_user_agent	直接對應
attributes.http.status_code	network.http.response_code	已重新命名/對應
agnt	network.http.user_agent	直接對應
attributes.http.useragent	network.http.user_agent	直接對應
record_attributes_contextMap_userAgent	network.http.user_agent	直接對應
attributes.logger_name	principal.application	直接對應
service	principal.application	直接對應
attributes._trace.baggage.device_id	principal.asset.asset_id	直接對應
attributes.metadata.host_metadata.hostname	principal.asset.hostname	直接對應
attributes.usr.id	principal.asset.hostname	直接對應
attributes.network.client.geoip.ipAddress	principal.asset.ip	已合併
attributes.network.client.ip	principal.asset.ip	已合併
ip1	principal.asset.ip	已合併
ipAddress	principal.asset.ip	直接對應
principal_ip_address	principal.asset.ip	已合併
record_attributes_network_client_ip	principal.asset.ip	已合併
org	principal.group.group_display_name	直接對應
attributes.org.uuid	principal.group.product_object_id	直接對應
attributes.metadata.host_metadata.hostname	principal.hostname	直接對應
attributes.usr.id	principal.hostname	直接對應
host	principal.hostname	直接對應
record_host	principal.hostname	直接對應
attributes.network.client.geoip.ipAddress	principal.ip	已合併
attributes.network.client.ip	principal.ip	已合併
ip1	principal.ip	已合併
ipAddress	principal.ip	直接對應
principal_ip_address	principal.ip	已合併
record_attributes_network_client_ip	principal.ip	已合併
record_attributes_http_url_details_host_label	principal.labels	已合併
record_attributes_http_url_details_path_label	principal.labels	已合併
record_attributes_http_useragent_label	principal.labels	已合併
record_attributes_network_client_geoip_as_domain_label	principal.labels	已合併
record_attributes_network_client_geoip_as_route_label	principal.labels	已合併
record_attributes_network_client_geoip_city_name_label	principal.labels	已合併
record_attributes_network_client_geoip_continent_code_label	principal.labels	已合併
record_attributes_network_client_geoip_continent_name_label	principal.labels	已合併
record_attributes_network_client_geoip_country_iso_code_label	principal.labels	已合併
record_attributes_network_client_geoip_country_name_label	principal.labels	已合併
record_attributes_usr_id_label	principal.labels	已合併
attributes.network.client.geoip.city.name	principal.location.city	直接對應
attributes.network.client.geoip.country.name	principal.location.country_or_region	直接對應
port	principal.port	已重新命名/對應
client_as_route_label	principal.resource.attribute.labels	已合併
client_type_label	principal.resource.attribute.labels	已合併
org_name_label	principal.resource.attribute.labels	已合併
record_attributes_usr_uuid_label	principal.user.attribute.labels	已合併
roles	principal.user.attribute.roles	已合併
attributes.usr.email	principal.user.email_addresses	已合併
email_id	principal.user.email_addresses	已合併
record_attributes_usr_email	principal.user.email_addresses	已合併
attributes.evt.actor.type	principal.user.role_name	直接對應
attributes.metadata.user_uuid	principal.user.userid	直接對應
attributes.usr.uuid	principal.user.userid	直接對應
record_attributes_contextMap_user	principal.user.userid	直接對應
user	principal.user.userid	直接對應
BusArch_label	security_result.about.resource.attribute.labels	已合併
CANDBVersion_label	security_result.about.resource.attribute.labels	已合併
alert_label	security_result.about.resource.attribute.labels	已合併
caller_label	security_result.about.resource.attribute.labels	已合併
component_label	security_result.about.resource.attribute.labels	已合併
esn_label	security_result.about.resource.attribute.labels	已合併
ftcpVersion_label	security_result.about.resource.attribute.labels	已合併
ingestMessageId_label	security_result.about.resource.attribute.labels	已合併
label	security_result.about.resource.attribute.labels	已合併
level_label	security_result.about.resource.attribute.labels	已合併
msg_label	security_result.about.resource.attribute.labels	已合併
query_label	security_result.about.resource.attribute.labels	已合併
redactedVin_label	security_result.about.resource.attribute.labels	已合併
updated_query_label	security_result.about.resource.attribute.labels	已合併
vehicleId_label	security_result.about.resource.attribute.labels	已合併
category1	security_result.category_details	已合併
_id_label	security_result.detection_fields	已合併
action_label	security_result.detection_fields	已合併
org_uuid_label	security_result.detection_fields	已合併
record_attributes_http_method_label	security_result.detection_fields	已合併
record_message_label	security_result.detection_fields	已合併
record_source_label	security_result.detection_fields	已合併
record_status_label	security_result.detection_fields	已合併
status	security_result.severity	對應："INFO", "DEBUG", "debug", "info" → LOW、(?i)WARN → MEDIUM
status	security_result.severity_details	直接對應
context.AlertName	security_result.threat_name	直接對應
src_ip_address	src.ip	已合併
record_attributes_contextMap_dd_service	target.application	直接對應
target_ip_address	target.asset.ip	已對應：^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → target_ip_address
target_ip_address	target.ip	已對應：^(?:[0-9]{1,3}[.]){3}[0-9]{1,3}$ → target_ip_address
record_attributes_contextMap_dd_version	target.platform_version	直接對應
logger_fqcn_label	target.resource.attribute.labels	已合併
logger_label	target.resource.attribute.labels	已合併
modified_fields_label	target.resource.attribute.labels	已合併
asset_name	target.resource.name	直接對應
asset_id	target.resource.product_object_id	直接對應
asset_type	target.resource.type	直接對應
record_attributes_contextMap_dd_env	target.resource.type	直接對應
record_attributes_contextMap_userId	target.user.userid	直接對應
record_attributes_user	target.user.userid	直接對應
不適用	metadata.event_type	常數：NETWORK_CONNECTION
不適用	network.http.parsed_user_agent	常數：parseduseragent
不適用	security_result.severity	常數：LOW
org_name	event.idm.read_only_udm.principal.resource.attribute.labels	從變更記錄對應
modified_field	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
asset_name	event.idm.read_only_udm.target.resource.name	從變更記錄對應
asset_id	event.idm.read_only_udm.target.resource.product_object_id	從變更記錄對應
asset_type	event.idm.read_only_udm.target.resource.type	從變更記錄對應
query	event.idm.read_only_udm.security_result.about.resource.attribute.labels	從變更記錄對應
updated_query	event.idm.read_only_udm.security_result.about.resource.attribute.labels	從變更記錄對應
request_id	event.idm.read_only_udm.additional.fields	從變更記錄對應
http_level	event.idm.read_only_udm.additional.fields	從變更記錄對應
timezone	event.idm.read_only_udm.additional.fields	從變更記錄對應
iso_code	event.idm.read_only_udm.additional.fields	從變更記錄對應
user_created_timestamp	event.idm.read_only_udm.additional.fields	從變更記錄對應
client_as_route	event.idm.read_only_udm.principal.resource.attribute.labels	從變更記錄對應
client_type	event.idm.read_only_udm.principal.resource.attribute.labels	從變更記錄對應
source	event.idm.read_only_udm.metadata.product_event_type	從變更記錄對應
status	event.idm.read_only_udm.security_result.severity_details	從變更記錄對應
record.attributes.user	event.idm.read_only_udm.target.user.userid	從變更記錄對應
user	event.idm.read_only_udm.principal.user.userid	從變更記錄對應
eventType	event.idm.read_only_udm.metadata.product_event_type	從變更記錄對應
ipAddress	event.idm.read_only_udm.principal.ip	從變更記錄對應
ipAddress	event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
threadID	event.idm.read_only_udm.metadata.product_log_id	從變更記錄對應
status	event.idm.read_only_udm.security_result.severity	從變更記錄對應
service	event.idm.read_only_udm.principal.application	從變更記錄對應
eventMessage	event.idm.read_only_udm.metadata.description	從變更記錄對應
tags	event.idm.read_only_udm.additional.fields	從變更記錄對應
record.attributes.contextMap.userId	event.idm.read_only_udm.target.user.userid	從變更記錄對應
record.attributes.contextMap.user	event.idm.read_only_udm.principal.user.userid	從變更記錄對應
record.attributes.contextMap.eventType	event.idm.read_only_udm.metadata.product_event_type	從變更記錄對應
record.attributes.contextMap.userAgent	event.idm.read_only_udm.network.http.user_agent	從變更記錄對應
record.attributes.contextMap.userAgent	event.idm.read_only_udm.network.http.parsed_user_agent	從變更記錄對應
record.attributes.contextMap.tradingAccountId	event.idm.read_only_udm.additional.fields	從變更記錄對應
principal_ip_address	event.idm.read_only_udm.principal.ip	從變更記錄對應
principal_ip_address	event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
target_ip_address	event.idm.read_only_udm.target.ip	從變更記錄對應
target_ip_address	event.idm.read_only_udm.target.asset.ip	從變更記錄對應
record.attributes.contextMap.cfRay	event.idm.read_only_udm.additional.fields	從變更記錄對應
record.attributes.contextMap.symbol	event.idm.read_only_udm.additional.fields	從變更記錄對應
record.attributes.contextMap.dd.version	event.idm.read_only_udm.target.platform_version	從變更記錄對應
record.attributes.contextMap.dd.env	event.idm.read_only_udm.target.resource.type	從變更記錄對應
record.attributes.contextMap.dd.service	event.idm.read_only_udm.target.application	從變更記錄對應
record.attributes.logger	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
record.attributes.loggerFqcn	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
record.attributes.threadId	event.idm.read_only_udm.metadata.product_log_id	從變更記錄對應
record.trace_id	event.idm.read_only_udm.additional.fields	從變更記錄對應
record.span_id	event.idm.read_only_udm.additional.fields	從變更記錄對應
record.service	event.idm.read_only_udm.additional.fields	從變更記錄對應
record.attributes.level	event.idm.read_only_udm.security_result.about.resource.attribute.labels	從變更記錄對應
record.host	event.idm.read_only_udm.principal.hostname	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。