收集 F5 BIG-IP LTM 記錄

剖析器版本：24.0

本文說明如何使用 Bindplane 代理程式，將 F5 BIG-IP LTM 記錄擷取至 Google Security Operations。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 搭載 systemd 的 Windows 2016 以上版本或 Linux 主機
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
• F5 BIG-IP LTM 裝置的管理員存取權 (TMSH 或網頁 UI)

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。例如 /opt/observiq-otel-collector/ingestion-auth.json。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。
3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux 安裝

1. 開啟具有根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

1. 存取設定檔：

   • 找出 config.yaml 檔案。在 Linux 上，預設路徑為 /opt/observiq-otel-collector/config.yaml。在 Windows 上，這個檔案位於安裝目錄中。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
     # UDP syslog listener (RFC 5424 over UDP)
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       creds_file_path: "/opt/observiq-otel-collector/ingestion-auth.json"
       customer_id: "<YOUR_CUSTOMER_ID>"
       endpoint: "<YOUR_REGIONAL_ENDPOINT>"
       log_type: "F5_BIGIP_LTM"
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/f5ltm:
         receivers: [udplog]
         exporters: [chronicle/chronicle_w_labels]
   

   • 將 <YOUR_CUSTOMER_ID> 替換為步驟 2 中的實際客戶 ID。
   • 請從區域端點說明文件中，將 <CUSTOMER_REGION_ENDPOINT> 替換為適當的區域端點。
   • 將 /opt/observiq-otel-collector/ingestion-auth.json 更新為您在步驟 1 儲存驗證檔案的路徑。

   設定注意事項：

   • listen_address 設為 0.0.0.0:514，可接受任何來源的系統記錄檔。如有需要，請調整為僅限特定介面。
   • UDP 通訊埠 514 是標準系統記錄檔通訊埠。如果通訊埠 514 需要根層級權限，您可以改用大於 1024 的通訊埠 (例如 5514)，並相應調整 F5 設定。
   • 如要使用 TCP (而非 UDP)，請建立 tcplog 接收器，並將 F5 遠端高速記錄通訊協定設為 tcp。

3. 儲存檔案並結束編輯器。

重新啟動 Bindplane 代理程式，以套用變更

1. 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

   sudo systemctl restart observiq-otel-collector
   

2. 如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

設定 F5 BIG-IP LTM 系統記錄轉送

選項 A：使用 TMSH (指令列介面)

步驟 1：為系統記錄目的地建立集區

1. 使用 SSH 連線至 F5 BIG-IP LTM 裝置。

2. 執行下列指令：

   tmsh create ltm pool f5_syslog_pool members add { <BINDPLANE_IP>:514 } monitor gateway_icmp
   

   • 將 <BINDPLANE_IP> 替換為 Bindplane 代理程式主機的 IP 位址。

步驟 2：建立記錄目的地

tmsh create sys log-config destination remote-high-speed-log f5_hsl_dest protocol udp pool-name f5_syslog_pool

tmsh create sys log-config destination remote-syslog f5_remote_syslog_dest format rfc5424 remote-high-speed-log f5_hsl_dest

步驟 3：建立記錄發布者

tmsh create sys log-config publisher f5_log_publisher destinations add { f5_remote_syslog_dest }

步驟 4：建立要求記錄設定檔

tmsh create ltm profile request-log f5_ltm_request_log \
  request-log-pool f5_syslog_pool request-log-protocol mds-udp \
  request-log-template 'event_source="request_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",event_timestamp="$DATE_HTTP"' \
  request-logging enabled \
  response-log-pool f5_syslog_pool response-log-protocol mds-udp \
  response-log-template 'event_source="response_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",http_statcode="$HTTP_STATCODE",event_timestamp="$DATE_HTTP"' \
  response-logging enabled

步驟 5：將記錄設定檔套用至虛擬伺服器

tmsh modify ltm virtual <VIRTUAL_SERVER_NAME> profiles add { f5_ltm_request_log }

• 將 <VIRTUAL_SERVER_NAME> 替換成虛擬伺服器的名稱。

步驟 6：儲存設定

tmsh save sys config

選項 B：使用 F5 網頁 UI (設定公用程式)

步驟 1：為系統記錄目的地建立集區

1. 登入 F5 BIG-IP LTM 網頁介面。
2. 依序前往「Local Traffic」>「Pools」>「Pool List」。
3. 點選「建立」。
4. 請提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 f5_syslog_pool。
   • 健康狀態監控器：選取 gateway_icmp。
5. 在「資源」部分的「新成員」下方：
   • 地址：輸入 Bindplane 代理程式 IP 位址。
   • 服務連接埠：輸入 514。
6. 按一下「新增」。
7. 按一下「完成」。

步驟 2：建立遠端高速記錄目的地

1. 依序前往「系統」>「記錄」>「設定」>「記錄目的地」。
2. 點選「建立」。
3. 請提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 f5_hsl_dest。
   • 類型：選取「遠端高速記錄」。
   • 「通訊協定」：選取「UDP」。
   • 「集區名稱」：選取 f5_syslog_pool。
4. 按一下「完成」。

步驟 3：建立遠端系統記錄目的地

1. 依序前往「系統」>「記錄」>「設定」>「記錄目的地」。
2. 點選「建立」。
3. 請提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 f5_remote_syslog_dest。
   • 類型：選取「遠端系統記錄檔」。
   • Syslog 格式：選取「RFC 5424」。
   • 遠端高速記錄：選取 f5_hsl_dest。
4. 按一下「完成」。

步驟 4：建立記錄發布者

1. 依序前往「系統」>「記錄」>「設定」>「記錄發布者」。
2. 點選「建立」。
3. 請提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 f5_log_publisher。
   • 目的地：將 f5_remote_syslog_dest 從「可用」移至「已選取」。
4. 按一下「完成」。

步驟 5：建立要求記錄設定檔

1. 依序前往「Local Traffic」>「Profiles」>「Other」>「Request Logging」。
2. 點選「建立」。
3. 請提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 f5_ltm_request_log。
   • 家長個人資料：選取 request-log。

4. 在「要求設定」下方：

   • 要求記錄：選取「已啟用」。
   • 要求記錄通訊協定：選取「mds-udp」。
   • 要求記錄集區：選取 f5_syslog_pool。

   • 要求記錄範本：輸入下列內容：

     event_source="request_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",event_timestamp="$DATE_HTTP"
     

5. 在「回覆設定」下方：

   • 回應記錄：選取「已啟用」。
   • 回應記錄通訊協定：選取「mds-udp」。
   • 回應記錄集區：選取 f5_syslog_pool。

   • 回應記錄範本：輸入下列內容：

     event_source="response_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",http_statcode="$HTTP_STATCODE",event_timestamp="$DATE_HTTP"
     

6. 按一下「完成」。

步驟 6：將要求記錄設定檔套用至虛擬伺服器

1. 依序前往「Local Traffic」(本機流量) >「Virtual Servers」(虛擬伺服器) >「Virtual Server List」(虛擬伺服器清單)。
2. 按一下虛擬伺服器名稱，開啟「屬性」分頁。
3. 從「Configuration」清單中選取「Advanced」。
4. 從「Request Logging Profile」(要求記錄設定檔) 清單中選取「f5_ltm_request_log」。
5. 按一下「Update」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
blade_field	about.resource.attribute.labels	已合併
client_field	about.resource.attribute.labels	已合併
device_field	about.resource.attribute.labels	已合併
node_field	about.resource.attribute.labels	已合併
path_field	about.resource.attribute.labels	已合併
pool_member_field	about.resource.attribute.labels	已合併
query_field	about.resource.attribute.labels	已合併
snat_field	about.resource.attribute.labels	已合併
vs_field	about.resource.attribute.labels	已合併
vs_name_field	about.resource.attribute.labels	已合併
Access_Profile_field	additional.fields	已合併
Listener_field	additional.fields	已合併
captcha_result_field	additional.fields	已合併
errdefs_msgno_field	additional.fields	已合併
false_positive_field	additional.fields	已合併
http_uri_label	additional.fields	已合併
partition_name_field	additional.fields	已合併
process	additional.fields	已對應：sshd → ssh_server_version_label、sshd → ssh_client_version_label
query_string_label	additional.fields	已合併
request_status_label	additional.fields	已合併
sig_ids_field	additional.fields	已合併
sig_names_field	additional.fields	已合併
sig_set_names_field	additional.fields	已合併
ssh_client_version_label	additional.fields	已合併
ssh_server_version_label	additional.fields	已合併
staged_sig_ids_field	additional.fields	已合併
staged_sig_names_field	additional.fields	已合併
staged_sig_set_names_field	additional.fields	已合併
staged_threat_campaign_names_field	additional.fields	已合併
support_id_label	additional.fields	已合併
threat_campaign_names_field	additional.fields	已合併
action_data	extensions.auth.type	已對應：session opened → AUTHTYPE_UNSPECIFIED、session closed → AUTHTYPE_UNSPECIFIED
loglevel	extensions.auth.type	已對應：warning → VPN
process	extensions.auth.type	對應：apmd → VPN、httpd → AUTHTYPE_UNSPECIFIED、sshd → AUTHTYPE_UNSPECIFIED
i_ip	intermediary.asset.ip	已合併
dvc	intermediary.hostname	直接對應
dvc_ip	intermediary.ip	已合併
i_ip	intermediary.ip	已合併
i_port	intermediary.port	已重新命名/對應
action_data	metadata.description	直接對應
desc	metadata.description	直接對應
description	metadata.description	直接對應
process	metadata.description	直接對應
timestamp	metadata.event_timestamp	已剖析為 dd MMM yyyy HH:mm:ss
ts	metadata.event_timestamp	已剖析為 MMM dd HH:mm:ss
event_type	metadata.event_type	直接對應
product_event_type	metadata.product_event_type	直接對應
producteventtype	metadata.product_event_type	直接對應
eventId	metadata.product_log_id	直接對應
protocol	network.application_protocol	已對應：(?i)ssh → SSH、(?i)HTTPS → HTTPS
request	network.application_protocol	已對應：(?i)(http) → HTTP
http_method	network.http.method	直接對應
method	network.http.method	直接對應
method_req	network.http.method	直接對應
header.User-Agent	network.http.parsed_user_agent	已重新命名/對應
header.Referer	network.http.referral_url	直接對應
url_string	network.http.referral_url	直接對應
resp_code	network.http.response_code	已重新命名/對應
response_code	network.http.response_code	直接對應
header.User-Agent	network.http.user_agent	直接對應
user_agent	network.http.user_agent	直接對應
ip_protocol_out	network.ip_protocol	直接對應
process	network.ip_protocol	對應值 (總共五個，例如 tmm → TCP、httpd → TCP、sshd → TCP)
byte_code	network.received_bytes	直接對應
bytes_in	network.received_bytes	直接對應
process	network.received_bytes	已對應：logger → uinteger
bytes_out	network.sent_bytes	直接對應
Session_ID	network.session_id	直接對應
session_id	network.session_id	直接對應
cipher	network.tls.cipher	直接對應
cipher_name	network.tls.cipher	直接對應
ssl_cipher	network.tls.cipher	直接對應
sni_host	network.tls.client.server_name	直接對應
tls_version	network.tls.version	直接對應
ssl_version	network.tls.version_protocol	直接對應
tlsproto	network.tls.version_protocol	已對應：HTTP/1.1 → HTTP
principalHost	observer.hostname	直接對應
principalIp	observer.ip	已合併
process	observer.ip	已對應：tmm → principalIp、sshd → principalIp
label	principal.asset.attribute.labels	已合併
process	principal.asset.attribute.labels	已對應：tmm → label
device	principal.asset.hostname	直接對應
dvc	principal.asset.hostname	直接對應
host	principal.asset.hostname	直接對應
principalHost	principal.asset.hostname	直接對應
principal_ip	principal.asset.hostname	直接對應
unit_host	principal.asset.hostname	直接對應
Client_IP	principal.asset.ip	已合併
client_ip	principal.asset.ip	已合併
ip1	principal.asset.ip	已合併
ip_client	principal.asset.ip	已合併
loglevel	principal.asset.ip	已對應：warning → src_ip
manage_ip_addr	principal.asset.ip	已合併
p_ip	principal.asset.ip	已合併
principalIp	principal.asset.ip	已合併
principal_ip	principal.asset.ip	已合併
process	principal.asset.ip	對應值 (共 10 個，例如 apmd → src_ip、tmm → p_ip、tmm → src_ip)
src_ip	principal.asset.ip	已對應：ip → x_ip
x_ip	principal.asset.ip	已合併
device	principal.hostname	直接對應
dvc	principal.hostname	直接對應
host	principal.hostname	直接對應
principalHost	principal.hostname	直接對應
principal_ip	principal.hostname	直接對應
unit_host	principal.hostname	直接對應
Client_IP	principal.ip	已合併
client_ip	principal.ip	已合併
ip1	principal.ip	已合併
ip_client	principal.ip	已合併
loglevel	principal.ip	已對應：warning → src_ip
manage_ip_addr	principal.ip	已合併
p_ip	principal.ip	已合併
principalIp	principal.ip	已合併
principal_ip	principal.ip	已合併
process	principal.ip	對應值 (共 10 個，例如 apmd → src_ip、tmm → p_ip、tmm → src_ip)
src_ip	principal.ip	已對應：ip → x_ip
x_ip	principal.ip	已合併
Country	principal.location.country_or_region	直接對應
geoCountry	principal.location.country_or_region	直接對應
State	principal.location.state	直接對應
geoState	principal.location.state	直接對應
snat_ip	principal.nat_ip	已合併
snat_port	principal.nat_port	直接對應
client_port	principal.port	直接對應
p_port	principal.port	已重新命名/對應
prin_port	principal.port	已重新命名/對應
principalPort	principal.port	已重新命名/對應
source_parent_process_id	principal.process.parent_process.pid	直接對應
source_process_id	principal.process.pid	直接對應
bank_label	principal.resource.attribute.labels	已合併
dgl_count_label	principal.resource.attribute.labels	已合併
dgl_value_label	principal.resource.attribute.labels	已合併
error_reason_label	principal.resource.attribute.labels	已合併
function_id_label	principal.resource.attribute.labels	已合併
information_label	principal.resource.attribute.labels	已合併
operation_label	principal.resource.attribute.labels	已合併
process	principal.resource.attribute.labels	對應值 (共 11 個，例如 tmm → bank_label、tmm → service_label、tmm → `operat...)
reason_code_label	principal.resource.attribute.labels	已合併
request_label	principal.resource.attribute.labels	已合併
service_label	principal.resource.attribute.labels	已合併
ssl_function_label	principal.resource.attribute.labels	已合併
url	principal.url	直接對應
process	principal.user.attribute.roles	已對應：rest(pam_audit) → role
role	principal.user.attribute.roles	已合併
userRole	principal.user.attribute.roles	已對應：(?i)Administrator → role
header.X-HackerOne	principal.user.userid	直接對應
principalId	principal.user.userid	直接對應
userId	principal.user.userid	直接對應
sr_label	security_result.about.resource.attribute.labels	已合併
action	security_result.action	已合併
process	security_result.action	已對應：httpd → sec_action
sec_action	security_result.action	已合併
action_details	security_result.action_details	直接對應
security_category	security_result.category_details	已合併
description	security_result.description	直接對應
msg1	security_result.description	直接對應
reason	security_result.description	直接對應
detection_policy_name	security_result.detection_fields	已合併
event_source_label	security_result.detection_fields	已合併
module_label	security_result.detection_fields	已合併
req_status_label	security_result.detection_fields	已合併
status1_label	security_result.detection_fields	已合併
violations_field	security_result.detection_fields	已合併
policy	security_result.rule_name	直接對應
rule_name	security_result.rule_name	直接對應
loglevel	security_result.severity	直接對應
severity	security_result.severity	對應：(?i)(Info/Informational) → INFORMATIONAL、(?i)Error → ERROR、(?i)Warning →...
auth_status	security_result.summary	直接對應
loglevel	security_result.summary	已對應：warning → Authentication failure
process	security_result.summary	已對應：apmd → Authentication failure
status	security_result.summary	直接對應
summary	security_result.summary	直接對應
process	target.application	直接對應
dvc	target.asset.hostname	直接對應
host	target.asset.hostname	直接對應
http_host	target.asset.hostname	直接對應
Virtual_IP	target.asset.ip	已合併
process	target.asset.ip	已對應：tmm → t_ip
server_ip	target.asset.ip	已合併
t_ip	target.asset.ip	已合併
targetIp	target.asset.ip	直接對應
target_ip	target.asset.ip	已合併
vip	target.asset.ip	已合併
File	target.file.full_path	直接對應
targetFile	target.file.full_path	直接對應
dvc	target.hostname	直接對應
host	target.hostname	直接對應
http_host	target.hostname	直接對應
Virtual_IP	target.ip	已合併
process	target.ip	已對應：tmm → t_ip
server_ip	target.ip	已合併
t_ip	target.ip	已合併
target_ip	target.ip	已合併
vip	target.ip	已合併
server_port	target.port	直接對應
t_port	target.port	已重新命名/對應
targetPort	target.port	已重新命名/對應
action_data	target.process.command_line	直接對應
cmd_data	target.process.command_line	直接對應
command_line	target.process.command_line	直接對應
pid	target.process.pid	直接對應
virtual_name	target.resource.name	直接對應
path	target.url	直接對應
request_path	target.url	直接對應
uri	target.url	直接對應
uri_path	target.url	直接對應
uri_query	target.url	直接對應
process	target.user.attribute.roles	已對應：httpd → role
role	target.user.attribute.roles	已合併
user	target.user.userid	直接對應
user2	target.user.userid	直接對應
userId	target.user.userid	直接對應
不適用	extensions.auth.type	常數：VPN
不適用	metadata.product_name	常數：BIG-IP Local Traffic Manager (LTM)
不適用	metadata.vendor_name	常數：F5
不適用	network.application_protocol	常數：HTTP
不適用	network.ip_protocol	常數：TCP
不適用	network.tls.version_protocol	常數：HTTP
不適用	security_result.severity	常數：INFORMATIONAL
不適用	security_result.summary	常數：Authentication failure
syslog_priority	event.idm.read_only_udm.security_result.priority_details	從變更記錄對應
target_path	event.idm.read_only_udm.target.process.file.full_path	從變更記錄對應
client_ip	event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
client_port	event.idm.read_only_udm.principal.port	從變更記錄對應
response_code	event.idm.read_only_udm.network.http.response_code	從變更記錄對應
backend_ip	event.idm.read_only_udm.intermediary.ip 和 event.idm.read_only_udm.intermediary.asset.ip	從變更記錄對應
backend_port	event.idm.read_only_udm.intermediary.port	從變更記錄對應
ssl_data	event.idm.read_only_udm.additional.fields	從變更記錄對應
event_timestamp	event.idm.read_only_udm.metadata.event_timestamp	從變更記錄對應
hostname	event.idm.read_only_udm.intermediary.hostname 和 event.idm.read_only_udm.intermediary.asset.hostname	從變更記錄對應
ssh_server_version	event.idm.read_only_udm.additional.fields	從變更記錄對應
ssh_client_version	event.idm.read_only_udm.additional.fields	從變更記錄對應
prin_port	event.idm.read_only_udm.principal.port	從變更記錄對應
process	event.idm.read_only_udm.target.application	從變更記錄對應
eventId	event.idm.read_only_udm.metadata.product_log_id	從變更記錄對應
p_ip	event.idm.read_only_udm.principal.ip	從變更記錄對應
p_ip	event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
p_port	event.idm.read_only_udm.principal.port	從變更記錄對應
i_ip	event.idm.read_only_udm.intermediary.ip	從變更記錄對應
i_ip	event.idm.read_only_udm.intermediary.asset.ip	從變更記錄對應
i_port	event.idm.read_only_udm.intermediary.port	從變更記錄對應
t_ip	event.idm.read_only_udm.target.ip	從變更記錄對應
t_ip	event.idm.read_only_udm.target.asset.ip	從變更記錄對應
t_port	event.idm.read_only_udm.target.port	從變更記錄對應
src_ip	event.idm.read_only_udm.principal.ip	從變更記錄對應
src_ip	event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
desc	event.idm.read_only_udm.metadata.description	從變更記錄對應
client_ip	event.idm.read_only_udm.principal.ip	從變更記錄對應
client_ip	event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
'tls_version'	event.idm.read_only_udm.network.tls.version	從變更記錄對應
cipher	event.idm.read_only_udm.network.tls.cipher	從變更記錄對應
request_path	event.idm.read_only_udm.target.url	從變更記錄對應
user	event.idm.read_only_udm.target.user.userid	從變更記錄對應
pid	event.idm.read_only_udm.target.process.pid	從變更記錄對應
cmd_data	event.idm.read_only_udm.target.process.command_line	從變更記錄對應
module	event.idm.read_only_udm.security_result.detection_fields	從變更記錄對應
src_ip" and "src_port" from "reason	principal.ip	從變更記錄對應
bank", "service", "operation", and "information	principal.resource.attribute.labels	從變更記錄對應
vs_name", "path", "query", "node", "pool_member", "vs", "device", "blade", "client", and "snat	about.resource.attribute.labels	從變更記錄對應
support_id", "query_string", and "request_status	additional.fields	從變更記錄對應
dest_ip	target_ip	從變更記錄對應
dest_port	targetPort	從變更記錄對應
src_port	principalPort	從變更記錄對應
ip_client" and "manage_ip_addr	principal.ip	從變更記錄對應
violations", "policy_name" and "req_status	security_result.detection_fields.	從變更記錄對應
staged_threat_campaign_names","staged_sig_ids","threat_campaign_names","staged_sig_names","captcha_result","sig_set_names","staged_sig_set_names", "sig_ids", "sig_names","resp_code" and "false_positive	additional.fields	從變更記錄對應
errdefs_msgno", "partition_name", "Listener", "Access_Profile	additional.fields	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。