Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 F5 BIG-IP LTM 記錄

剖析器版本：24.0

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 F5 BIG-IP LTM 記錄擷取至 Google Security Operations。

事前準備

請確認您符合下列必要條件：

Google SecOps 執行個體
Windows 2016 以上版本或 Linux 主機，並安裝 systemd
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
F5 BIG-IP LTM 裝置的管理員權限 (TMSH 或網頁 UI)

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
- 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

安裝 Linux

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。在 Linux 上，預設路徑為 /opt/observiq-otel-collector/config.yaml。在 Windows 上，這個檔案位於安裝目錄中。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。
按照下列方式編輯 config.yaml 檔案：
```
receivers:
  # UDP syslog listener (RFC 5424 over UDP)
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: "/opt/observiq-otel-collector/ingestion-auth.json"
    customer_id: "<YOUR_CUSTOMER_ID>"
    endpoint: chronicle.googleapis.com
    log_type: "F5_BIGIP_LTM"
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/f5ltm:
      receivers: [udplog]
      exporters: [chronicle/chronicle_w_labels]
```
- 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
- 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
- 將 <YOUR_CUSTOMER_ID> 替換為步驟 2 的實際客戶 ID。
- 將 /opt/observiq-otel-collector/ingestion-auth.json 更新為步驟 1 中儲存服務帳戶金鑰檔案 (選項 1) 的路徑。
設定注意事項：
- listen_address設為 0.0.0.0:514，可接受來自任何來源的系統記錄檔。如需限制特定介面，請調整設定。
- UDP 通訊埠 514 是標準的系統記錄檔通訊埠。如果通訊埠 514 需要 root 權限，您可以使用高於 1024 的通訊埠 (例如 5514)，並據此調整 F5 設定。
- 如要使用 TCP 而非 UDP，請建立 tcplog 接收器，並將 F5 遠端高速記錄通訊協定設為 tcp。
儲存檔案並結束編輯器。

舊版 Ingestion API 匯出工具

如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: "/opt/observiq-otel-collector/ingestion-auth.json"
    customer_id: "<YOUR_CUSTOMER_ID>"
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: "F5_BIGIP_LTM"
    raw_log_field: body
    ingestion_labels:

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

設定 F5 BIG-IP LTM syslog 轉送

方法 A：使用 TMSH (指令列介面)

步驟 1：建立 syslog 目的地集區

使用 SSH 連線至 F5 BIG-IP LTM 裝置。

執行下列指令：

tmsh create ltm pool f5_syslog_pool members add { <BINDPLANE_IP>:514 } monitor gateway_icmp

將 <BINDPLANE_IP> 替換為 Bindplane 代理程式主機的 IP 位址。

步驟 2：建立記錄檔目的地

tmsh create sys log-config destination remote-high-speed-log f5_hsl_dest protocol udp pool-name f5_syslog_pool

tmsh create sys log-config destination remote-syslog f5_remote_syslog_dest format rfc5424 remote-high-speed-log f5_hsl_dest

步驟 3：建立記錄發布商

tmsh create sys log-config publisher f5_log_publisher destinations add { f5_remote_syslog_dest }

步驟 4：建立要求記錄設定檔

tmsh create ltm profile request-log f5_ltm_request_log \
  request-log-pool f5_syslog_pool request-log-protocol mds-udp \
  request-log-template 'event_source="request_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",event_timestamp="$DATE_HTTP"' \
  request-logging enabled \
  response-log-pool f5_syslog_pool response-log-protocol mds-udp \
  response-log-template 'event_source="response_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",http_statcode="$HTTP_STATCODE",event_timestamp="$DATE_HTTP"' \
  response-logging enabled

步驟 5：將記錄設定檔套用至虛擬伺服器

tmsh modify ltm virtual <VIRTUAL_SERVER_NAME> profiles add { f5_ltm_request_log }

將 <VIRTUAL_SERVER_NAME> 替換為虛擬伺服器名稱。

步驟 6：儲存設定

tmsh save sys config

選項 B：使用 F5 網頁 UI (設定公用程式)

步驟 1：建立 syslog 目的地集區

登入 F5 BIG-IP LTM 網頁介面。
依序前往 「Local Traffic」 > 「Pools」 > 「Pool List」。
點選「建立」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 f5_syslog_pool。
- Health Monitors：選取「gateway_icmp」。
在「資源」部分的「新成員」下方：
- 地址：輸入 Bindplane 代理程式 IP 位址。
- Service Port：輸入 514。
按一下「新增」。
按一下「完成」。

步驟 2：建立遠端高速記錄目的地

依序前往 「System」 > 「Logs」 > 「Configuration」 > 「Log Destinations」。
點選「建立」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 f5_hsl_dest。
- Type：選取「Remote High-Speed Log」。
- 「通訊協定」：選取「UDP」。
- 集區名稱：選取 f5_syslog_pool。
按一下「完成」。

步驟 3：建立遠端系統記錄目的地

依序前往「System」>「Logs」>「Configuration」>「Log Destinations」。
點選「建立」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 f5_remote_syslog_dest。
- Type：選取「Remote Syslog」。
- Syslog Format：選取「RFC 5424」。
- 遠端高速記錄：選取 f5_hsl_dest。
按一下「完成」。

步驟 4：建立記錄發布者

依序前往「System」 > 「Logs」 > 「Configuration」 > 「Log Publishers」。
點選「建立」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 f5_log_publisher。
- 目的地：將 f5_remote_syslog_dest 從「可用」移至「已選取」。
按一下「完成」。

步驟 5：建立要求記錄設定檔

依序前往「Local Traffic」>「Profiles」>「Other」>「Request Logging」。
點選「建立」。
提供下列設定詳細資料：
- 「Name」(名稱)：輸入 f5_ltm_request_log。
- 家長個人資料：選取 request-log。

在「Request Settings」(要求設定) 下方：

要求記錄：選取「已啟用」。
要求記錄通訊協定：選取「mds-udp」。
要求記錄集區：選取 f5_syslog_pool。

要求記錄範本：輸入下列內容：

event_source="request_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",event_timestamp="$DATE_HTTP"

在「回覆設定」下方：

回應記錄：選取「已啟用」。
回應記錄通訊協定：選取「mds-udp」。
Response Log Pool：選取 f5_syslog_pool。

回應記錄範本：輸入下列內容：

event_source="response_logging",hostname="$BIGIP_HOSTNAME",client_ip="$CLIENT_IP",server_ip="$SERVER_IP",http_method="$HTTP_METHOD",http_uri="$HTTP_URI",http_host="${host}",virtual_name="$VIRTUAL_NAME",http_statcode="$HTTP_STATCODE",event_timestamp="$DATE_HTTP"

按一下「完成」。

步驟 6：將要求記錄設定檔套用至虛擬伺服器

依序前往「Local Traffic」(本機流量) >「Virtual Servers」(虛擬伺服器) >「Virtual Server List」(虛擬伺服器清單)。
按一下虛擬伺服器名稱，開啟「Properties」分頁。
從「設定」清單中選取「進階」。
從「Request Logging Profile」(要求記錄設定檔) 清單中選取「f5_ltm_request_log」。
按一下「Update」。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`blade_field`	`about.resource.attribute.labels`	已合併
`client_field`	`about.resource.attribute.labels`	已合併
`device_field`	`about.resource.attribute.labels`	已合併
`node_field`	`about.resource.attribute.labels`	已合併
`path_field`	`about.resource.attribute.labels`	已合併
`pool_member_field`	`about.resource.attribute.labels`	已合併
`query_field`	`about.resource.attribute.labels`	已合併
`snat_field`	`about.resource.attribute.labels`	已合併
`vs_field`	`about.resource.attribute.labels`	已合併
`vs_name_field`	`about.resource.attribute.labels`	已合併
`Access_Profile_field`	`additional.fields`	已合併
`Listener_field`	`additional.fields`	已合併
`captcha_result_field`	`additional.fields`	已合併
`errdefs_msgno_field`	`additional.fields`	已合併
`false_positive_field`	`additional.fields`	已合併
`http_uri_label`	`additional.fields`	已合併
`partition_name_field`	`additional.fields`	已合併
`process`	`additional.fields`	對應：`sshd` → `ssh_server_version_label`，`sshd` → `ssh_client_version_label`
`query_string_label`	`additional.fields`	已合併
`request_status_label`	`additional.fields`	已合併
`sig_ids_field`	`additional.fields`	已合併
`sig_names_field`	`additional.fields`	已合併
`sig_set_names_field`	`additional.fields`	已合併
`ssh_client_version_label`	`additional.fields`	已合併
`ssh_server_version_label`	`additional.fields`	已合併
`staged_sig_ids_field`	`additional.fields`	已合併
`staged_sig_names_field`	`additional.fields`	已合併
`staged_sig_set_names_field`	`additional.fields`	已合併
`staged_threat_campaign_names_field`	`additional.fields`	已合併
`support_id_label`	`additional.fields`	已合併
`threat_campaign_names_field`	`additional.fields`	已合併
`action_data`	`extensions.auth.type`	已對應：`session opened` → `AUTHTYPE_UNSPECIFIED`、`session closed` → `AUTHTYPE_UNSPECIFIED`
`loglevel`	`extensions.auth.type`	已對應：`warning` → `VPN`
`process`	`extensions.auth.type`	對應：`apmd` → `VPN`、`httpd` → `AUTHTYPE_UNSPECIFIED`、`sshd` → `AUTHTYPE_UNSPECIFIED`
`i_ip`	`intermediary.asset.ip`	已合併
`dvc`	`intermediary.hostname`	直接對應
`dvc_ip`	`intermediary.ip`	已合併
`i_ip`	`intermediary.ip`	已合併
`i_port`	`intermediary.port`	已重新命名/對應
`action_data`	`metadata.description`	直接對應
`desc`	`metadata.description`	直接對應
`description`	`metadata.description`	直接對應
`process`	`metadata.description`	直接對應
`timestamp`	`metadata.event_timestamp`	已剖析為 `dd MMM yyyy HH:mm:ss`
`ts`	`metadata.event_timestamp`	已剖析為 `MMM dd HH:mm:ss`
`event_type`	`metadata.event_type`	直接對應
`product_event_type`	`metadata.product_event_type`	直接對應
`producteventtype`	`metadata.product_event_type`	直接對應
`eventId`	`metadata.product_log_id`	直接對應
`protocol`	`network.application_protocol`	對應：`(?i)ssh` → `SSH`，`(?i)HTTPS` → `HTTPS`
`request`	`network.application_protocol`	對應：`(?i)(http)` → `HTTP`
`http_method`	`network.http.method`	直接對應
`method`	`network.http.method`	直接對應
`method_req`	`network.http.method`	直接對應
`header.User-Agent`	`network.http.parsed_user_agent`	已重新命名/對應
`header.Referer`	`network.http.referral_url`	直接對應
`url_string`	`network.http.referral_url`	直接對應
`resp_code`	`network.http.response_code`	已重新命名/對應
`response_code`	`network.http.response_code`	直接對應
`header.User-Agent`	`network.http.user_agent`	直接對應
`user_agent`	`network.http.user_agent`	直接對應
`ip_protocol_out`	`network.ip_protocol`	直接對應
`process`	`network.ip_protocol`	對應值 (共五個，例如 `tmm` → `TCP`、`httpd` → `TCP`、`sshd` → `TCP`)
`byte_code`	`network.received_bytes`	直接對應
`bytes_in`	`network.received_bytes`	直接對應
`process`	`network.received_bytes`	對應：`logger` → `uinteger`
`bytes_out`	`network.sent_bytes`	直接對應
`Session_ID`	`network.session_id`	直接對應
`session_id`	`network.session_id`	直接對應
`cipher`	`network.tls.cipher`	直接對應
`cipher_name`	`network.tls.cipher`	直接對應
`ssl_cipher`	`network.tls.cipher`	直接對應
`sni_host`	`network.tls.client.server_name`	直接對應
`tls_version`	`network.tls.version`	直接對應
`ssl_version`	`network.tls.version_protocol`	直接對應
`tlsproto`	`network.tls.version_protocol`	對應：`HTTP/1.1` → `HTTP`
`principalHost`	`observer.hostname`	直接對應
`principalIp`	`observer.ip`	已合併
`process`	`observer.ip`	對應：`tmm` → `principalIp`，`sshd` → `principalIp`
`label`	`principal.asset.attribute.labels`	已合併
`process`	`principal.asset.attribute.labels`	對應：`tmm` → `label`
`device`	`principal.asset.hostname`	直接對應
`dvc`	`principal.asset.hostname`	直接對應
`host`	`principal.asset.hostname`	直接對應
`principalHost`	`principal.asset.hostname`	直接對應
`principal_ip`	`principal.asset.hostname`	直接對應
`unit_host`	`principal.asset.hostname`	直接對應
`Client_IP`	`principal.asset.ip`	已合併
`client_ip`	`principal.asset.ip`	已合併
`ip1`	`principal.asset.ip`	已合併
`ip_client`	`principal.asset.ip`	已合併
`loglevel`	`principal.asset.ip`	對應：`warning` → `src_ip`
`manage_ip_addr`	`principal.asset.ip`	已合併
`p_ip`	`principal.asset.ip`	已合併
`principalIp`	`principal.asset.ip`	已合併
`principal_ip`	`principal.asset.ip`	已合併
`process`	`principal.asset.ip`	對應值 (共 10 個，例如 `apmd` → `src_ip`、`tmm` → `p_ip`、`tmm` → `src_ip`)
`src_ip`	`principal.asset.ip`	已對應：`ip` → `x_ip`
`x_ip`	`principal.asset.ip`	已合併
`device`	`principal.hostname`	直接對應
`dvc`	`principal.hostname`	直接對應
`host`	`principal.hostname`	直接對應
`principalHost`	`principal.hostname`	直接對應
`principal_ip`	`principal.hostname`	直接對應
`unit_host`	`principal.hostname`	直接對應
`Client_IP`	`principal.ip`	已合併
`client_ip`	`principal.ip`	已合併
`ip1`	`principal.ip`	已合併
`ip_client`	`principal.ip`	已合併
`loglevel`	`principal.ip`	對應：`warning` → `src_ip`
`manage_ip_addr`	`principal.ip`	已合併
`p_ip`	`principal.ip`	已合併
`principalIp`	`principal.ip`	已合併
`principal_ip`	`principal.ip`	已合併
`process`	`principal.ip`	對應值 (共 10 個，例如 `apmd` → `src_ip`、`tmm` → `p_ip`、`tmm` → `src_ip`)
`src_ip`	`principal.ip`	已對應：`ip` → `x_ip`
`x_ip`	`principal.ip`	已合併
`Country`	`principal.location.country_or_region`	直接對應
`geoCountry`	`principal.location.country_or_region`	直接對應
`State`	`principal.location.state`	直接對應
`geoState`	`principal.location.state`	直接對應
`snat_ip`	`principal.nat_ip`	已合併
`snat_port`	`principal.nat_port`	直接對應
`client_port`	`principal.port`	直接對應
`p_port`	`principal.port`	已重新命名/對應
`prin_port`	`principal.port`	已重新命名/對應
`principalPort`	`principal.port`	已重新命名/對應
`source_parent_process_id`	`principal.process.parent_process.pid`	直接對應
`source_process_id`	`principal.process.pid`	直接對應
`bank_label`	`principal.resource.attribute.labels`	已合併
`dgl_count_label`	`principal.resource.attribute.labels`	已合併
`dgl_value_label`	`principal.resource.attribute.labels`	已合併
`error_reason_label`	`principal.resource.attribute.labels`	已合併
`function_id_label`	`principal.resource.attribute.labels`	已合併
`information_label`	`principal.resource.attribute.labels`	已合併
`operation_label`	`principal.resource.attribute.labels`	已合併
`process`	`principal.resource.attribute.labels`	對應值 (共 11 個，例如 `tmm` → `bank_label`、`tmm` → `service_label`、`tmm` → `operat...)
`reason_code_label`	`principal.resource.attribute.labels`	已合併
`request_label`	`principal.resource.attribute.labels`	已合併
`service_label`	`principal.resource.attribute.labels`	已合併
`ssl_function_label`	`principal.resource.attribute.labels`	已合併
`url`	`principal.url`	直接對應
`process`	`principal.user.attribute.roles`	對應：`rest(pam_audit)` → `role`
`role`	`principal.user.attribute.roles`	已合併
`userRole`	`principal.user.attribute.roles`	對應：`(?i)Administrator` → `role`
`header.X-HackerOne`	`principal.user.userid`	直接對應
`principalId`	`principal.user.userid`	直接對應
`userId`	`principal.user.userid`	直接對應
`sr_label`	`security_result.about.resource.attribute.labels`	已合併
`action`	`security_result.action`	已合併
`process`	`security_result.action`	對應：`httpd` → `sec_action`
`sec_action`	`security_result.action`	已合併
`action_details`	`security_result.action_details`	直接對應
`security_category`	`security_result.category_details`	已合併
`description`	`security_result.description`	直接對應
`msg1`	`security_result.description`	直接對應
`reason`	`security_result.description`	直接對應
`detection_policy_name`	`security_result.detection_fields`	已合併
`event_source_label`	`security_result.detection_fields`	已合併
`module_label`	`security_result.detection_fields`	已合併
`req_status_label`	`security_result.detection_fields`	已合併
`status1_label`	`security_result.detection_fields`	已合併
`violations_field`	`security_result.detection_fields`	已合併
`policy`	`security_result.rule_name`	直接對應
`rule_name`	`security_result.rule_name`	直接對應
`loglevel`	`security_result.severity`	直接對應
`severity`	`security_result.severity`	對應：`(?i)(Info/Informational)` → `INFORMATIONAL`、`(?i)Error` → `ERROR`、`(?i)Warning` →...
`auth_status`	`security_result.summary`	直接對應
`loglevel`	`security_result.summary`	已對應：`warning` → `Authentication failure`
`process`	`security_result.summary`	對應：`apmd` → `Authentication failure`
`status`	`security_result.summary`	直接對應
`summary`	`security_result.summary`	直接對應
`process`	`target.application`	直接對應
`dvc`	`target.asset.hostname`	直接對應
`host`	`target.asset.hostname`	直接對應
`http_host`	`target.asset.hostname`	直接對應
`Virtual_IP`	`target.asset.ip`	已合併
`process`	`target.asset.ip`	對應：`tmm` → `t_ip`
`server_ip`	`target.asset.ip`	已合併
`t_ip`	`target.asset.ip`	已合併
`targetIp`	`target.asset.ip`	直接對應
`target_ip`	`target.asset.ip`	已合併
`vip`	`target.asset.ip`	已合併
`File`	`target.file.full_path`	直接對應
`targetFile`	`target.file.full_path`	直接對應
`dvc`	`target.hostname`	直接對應
`host`	`target.hostname`	直接對應
`http_host`	`target.hostname`	直接對應
`Virtual_IP`	`target.ip`	已合併
`process`	`target.ip`	對應：`tmm` → `t_ip`
`server_ip`	`target.ip`	已合併
`t_ip`	`target.ip`	已合併
`target_ip`	`target.ip`	已合併
`vip`	`target.ip`	已合併
`server_port`	`target.port`	直接對應
`t_port`	`target.port`	已重新命名/對應
`targetPort`	`target.port`	已重新命名/對應
`action_data`	`target.process.command_line`	直接對應
`cmd_data`	`target.process.command_line`	直接對應
`command_line`	`target.process.command_line`	直接對應
`pid`	`target.process.pid`	直接對應
`virtual_name`	`target.resource.name`	直接對應
`path`	`target.url`	直接對應
`request_path`	`target.url`	直接對應
`uri`	`target.url`	直接對應
`uri_path`	`target.url`	直接對應
`uri_query`	`target.url`	直接對應
`process`	`target.user.attribute.roles`	對應：`httpd` → `role`
`role`	`target.user.attribute.roles`	已合併
`user`	`target.user.userid`	直接對應
`user2`	`target.user.userid`	直接對應
`userId`	`target.user.userid`	直接對應
不適用	`extensions.auth.type`	常數：`VPN`
不適用	`metadata.product_name`	常數：`BIG-IP Local Traffic Manager (LTM)`
不適用	`metadata.vendor_name`	常數：`F5`
不適用	`network.application_protocol`	常數：`HTTP`
不適用	`network.ip_protocol`	常數：`TCP`
不適用	`network.tls.version_protocol`	常數：`HTTP`
不適用	`security_result.severity`	常數：`INFORMATIONAL`
不適用	`security_result.summary`	常數：`Authentication failure`
`syslog_priority`	`event.idm.read_only_udm.security_result.priority_details`	從變更記錄對應
`target_path`	`event.idm.read_only_udm.target.process.file.full_path`	從變更記錄對應
`client_ip`	`event.idm.read_only_udm.principal.ip` 和 `event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`client_port`	`event.idm.read_only_udm.principal.port`	從變更記錄對應
`response_code`	`event.idm.read_only_udm.network.http.response_code`	從變更記錄對應
`backend_ip`	`event.idm.read_only_udm.intermediary.ip` 和 `event.idm.read_only_udm.intermediary.asset.ip`	從變更記錄對應
`backend_port`	`event.idm.read_only_udm.intermediary.port`	從變更記錄對應
`ssl_data`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`event_timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	從變更記錄對應
`hostname`	`event.idm.read_only_udm.intermediary.hostname` 和 `event.idm.read_only_udm.intermediary.asset.hostname`	從變更記錄對應
`ssh_server_version`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`ssh_client_version`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`prin_port`	`event.idm.read_only_udm.principal.port`	從變更記錄對應
`process`	`event.idm.read_only_udm.target.application`	從變更記錄對應
`eventId`	`event.idm.read_only_udm.metadata.product_log_id`	從變更記錄對應
`p_ip`	`event.idm.read_only_udm.principal.ip`	從變更記錄對應
`p_ip`	`event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`p_port`	`event.idm.read_only_udm.principal.port`	從變更記錄對應
`i_ip`	`event.idm.read_only_udm.intermediary.ip`	從變更記錄對應
`i_ip`	`event.idm.read_only_udm.intermediary.asset.ip`	從變更記錄對應
`i_port`	`event.idm.read_only_udm.intermediary.port`	從變更記錄對應
`t_ip`	`event.idm.read_only_udm.target.ip`	從變更記錄對應
`t_ip`	`event.idm.read_only_udm.target.asset.ip`	從變更記錄對應
`t_port`	`event.idm.read_only_udm.target.port`	從變更記錄對應
`src_ip`	`event.idm.read_only_udm.principal.ip`	從變更記錄對應
`src_ip`	`event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`desc`	`event.idm.read_only_udm.metadata.description`	從變更記錄對應
`client_ip`	`event.idm.read_only_udm.principal.ip`	從變更記錄對應
`client_ip`	`event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`'tls_version'`	`event.idm.read_only_udm.network.tls.version`	從變更記錄對應
`cipher`	`event.idm.read_only_udm.network.tls.cipher`	從變更記錄對應
`request_path`	`event.idm.read_only_udm.target.url`	從變更記錄對應
`user`	`event.idm.read_only_udm.target.user.userid`	從變更記錄對應
`pid`	`event.idm.read_only_udm.target.process.pid`	從變更記錄對應
`cmd_data`	`event.idm.read_only_udm.target.process.command_line`	從變更記錄對應
`module`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`src_ip" and "src_port" from "reason`	`principal.ip`	從變更記錄對應
`bank", "service", "operation", and "information`	`principal.resource.attribute.labels`	從變更記錄對應
`vs_name", "path", "query", "node", "pool_member", "vs", "device", "blade", "client", and "snat`	`about.resource.attribute.labels`	從變更記錄對應
`support_id", "query_string", and "request_status`	`additional.fields`	從變更記錄對應
`dest_ip`	`target_ip`	從變更記錄對應
`dest_port`	`targetPort`	從變更記錄對應
`src_port`	`principalPort`	從變更記錄對應
`ip_client" and "manage_ip_addr`	`principal.ip`	從變更記錄對應
`violations", "policy_name" and "req_status`	`security_result.detection_fields.`	從變更記錄對應
`staged_threat_campaign_names","staged_sig_ids","threat_campaign_names","staged_sig_names","captcha_result","sig_set_names","staged_sig_set_names", "sig_ids", "sig_names","resp_code" and "false_positive`	`additional.fields`	從變更記錄對應
`errdefs_msgno", "partition_name", "Listener", "Access_Profile`	`additional.fields`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。