收集 Guardicore Centra 日志

支持的平台：

本文档介绍了如何配置 Guardicore Centra（现为 Akamai Guardicore Segmentation），以使用 Akamai Unified Log Streamer (ULS) 通过 HTTP 输出将日志推送到 Google Security Operations。

Guardicore Centra 是一款微分段平台，可为数据中心、云环境和端点提供零信任网络安全防护。它可提供应用依赖关系的可视化视图，通过欺骗技术检测违规行为，并提供精细的分段控制来防止横向移动和遏制威胁。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Guardicore Centra 实例（云端或本地）
  • 用于运行 Akamai ULS 的 Linux 服务器（最低配置：1 个 vCPU、1 GB RAM、500 MB 磁盘）
  • 在 ULS 服务器上安装了 Python 3.9 或更高版本
  • Guardicore Centra 管理员凭据（用户名和密码）
  • 从 ULS 服务器到 Google SecOps 提取端点的出站 HTTPS 访问
  • 对 Google Cloud 控制台的访问权限（用于创建 API 密钥）

在 Google SecOps 中创建 Webhook Feed

创建 Feed

  1. 依次前往 SIEM 设置 > Feed。
  2. 点击添加新 Feed。
  3. 在下一页上，点击配置单个 Feed。
  4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Guardicore Centra Logs）。
  5. 选择 Webhook 作为来源类型。
  6. 选择 Guardicore Centra 作为日志类型。
  7. 点击下一步。

  8. 为以下输入参数指定值：

    • 拆分定界符：输入 \n 以拆分多行事件（ULS 会发送以换行符分隔的 JSON）
    • 资产命名空间：资产命名空间
    • 注入标签：要应用于此 Feed 中事件的标签

  9. 点击下一步。

  10. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

生成并保存密钥

创建 Feed 后，您必须生成用于身份验证的密钥：

  1. 在 Feed 详情页面上，点击生成密钥。
  2. 系统会显示一个对话框，其中包含密钥。

  3. 复制并妥善保存此密钥。

获取 Feed 端点网址

  1. 前往相应 Feed 的详细信息标签页。
  2. 在端点信息部分，复制 Feed 端点网址。

  3. 网址格式为：

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

    或

    https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. 保存此网址以供后续步骤使用。

  5. 点击完成。

创建 Google Cloud API 密钥

Google SecOps 需要使用 API 密钥进行身份验证。在 Google Cloud 控制台中创建受限 API 密钥。

创建 API 密钥

  1. 前往 Google Cloud 控制台的“凭据”页面。
  2. 选择您的项目（与您的 Google SecOps 实例关联的项目）。
  3. 依次点击创建凭据> API 密钥。
  4. 系统会创建一个 API 密钥，并在对话框中显示该密钥。
  5. 点击修改 API 密钥以限制密钥。

限制 API 密钥

  1. 在 API 密钥设置页面中：
    • 名称：输入一个描述性名称（例如 Google SecOps Guardicore Webhook API Key）
  2. 在 API 限制下：
    1. 选择限制密钥。
    2. 在选择 API 下拉菜单中，搜索并选择 Google SecOps API（或 Chronicle API）。
  3. 点击保存。
  4. 从页面顶部的 API 密钥字段复制 API 密钥值。

  5. 安全地保存 API 密钥。

配置 Guardicore Centra 凭据

创建用于 Guardicore 身份验证的 .edgerc 文件

Akamai ULS 使用配置文件来存储 Guardicore 凭据。

  1. 在 ULS 服务器上，在主目录中创建 .edgerc 文件：

    nano ~/.edgerc

  2. 添加以下配置：

    [default]
linode_hostname = your-instance.cloud.guardicore.com
linode_token = your_username:your_password

    替换以下值：

    • your-instance.cloud.guardicore.com：您的 Guardicore Centra 实例主机名（不含 https://）
    • your_username：您的 Guardicore 管理员用户名
    • your_password：您的 Guardicore 管理员密码

    美国区域示例：

    [default]
linode_hostname = cus-1234.cloud.guardicore.com
linode_token = admin@company.com:MySecurePassword123

  3. 保存并关闭文件。

  4. 设置适当的权限：

    chmod 600 ~/.edgerc

安装 Akamai Unified Log Streamer

从 GitHub 安装 ULS

  1. 在 ULS 服务器上，克隆 ULS 代码库：

    git clone https://github.com/akamai/uls.git
cd uls

  2. 安装 Python 依赖项：

    pip3 install -r requirements.txt

  3. 安装 Guardicore 日志提取器模块：

    git clone -q --depth 1 -b main https://github.com/guardicore/log-fetcher.git ext/cli-gc
pip3 install -r ext/cli-gc/requirements.txt

  4. 验证安装：

    python3 bin/uls.py --help

配置 ULS 以将日志发送到 Google SecOps

构建 Google SecOps 网络钩子网址

  • 将 Google SecOps 端点网址和 API 密钥组合在一起：

    <ENDPOINT_URL>?key=<API_KEY>

    示例：

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...

针对 Guardicore NETLOG Feed 运行 ULS

NETLOG Feed 包含来自 Guardicore 代理的网络流日志。

  1. 使用以下命令运行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed NETLOG \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替换以下值：

    • YOUR_API_KEY：之前创建的 Google Cloud API 密钥
    • YOUR_SECRET_KEY：之前生成的 Google SecOps 密钥

  2. ULS 将开始向 Google SecOps 流式传输 NETLOG 事件。

针对 Guardicore INCIDENT Feed 运行 ULS

INCIDENT Feed 包含 Guardicore 检测到的安全事件。

  1. 使用以下命令运行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed INCIDENT \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替换以下值：

    • YOUR_API_KEY：之前创建的 Google Cloud API 密钥
    • YOUR_SECRET_KEY：之前生成的 Google SecOps 密钥

  2. ULS 将开始向 Google SecOps 流式传输 INCIDENT 事件。

针对 Guardicore AGENT Feed 运行 ULS

AGENT Feed 包含代理状态和健康信息。

  1. 使用以下命令运行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed AGENT \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替换以下值：

    • YOUR_API_KEY：之前创建的 Google Cloud API 密钥
    • YOUR_SECRET_KEY：之前生成的 Google SecOps 密钥

  2. ULS 将开始向 Google SecOps 流式传输 AGENT 事件。

针对 Guardicore SYSTEM Feed 运行 ULS

SYSTEM Feed 包含系统提醒和事件。

  1. 使用以下命令运行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed SYSTEM \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替换以下值：

    • YOUR_API_KEY：之前创建的 Google Cloud API 密钥
    • YOUR_SECRET_KEY：之前生成的 Google SecOps 密钥

  2. ULS 将开始向 Google SecOps 流式传输 SYSTEM 事件。

针对 Guardicore AUDIT Feed 运行 ULS

AUDIT Feed 包含管理操作的审核日志。

  1. 使用以下命令运行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed AUDIT \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替换以下值：

    • YOUR_API_KEY：之前创建的 Google Cloud API 密钥
    • YOUR_SECRET_KEY：之前生成的 Google SecOps 密钥

  2. ULS 将开始向 Google SecOps 流式传输审核事件。

以后台服务形式运行 ULS

为确保 ULS 持续运行，请将其配置为 systemd 服务。

为 NETLOG Feed 创建 systemd 服务文件

  1. 创建服务文件：

    sudo nano /etc/systemd/system/uls-guardicore-netlog.service

  2. 添加以下内容：

    [Unit]
Description=Akamai ULS - Guardicore NETLOG
After=network.target

[Service]
Type=simple
User=root
WorkingDirectory=/root/uls
ExecStart=/usr/bin/python3 /root/uls/bin/uls.py --input gc --feed NETLOG --output http --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' --httpformat '%%s'
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

    替换以下值：

    • /root/uls：您克隆 ULS 代码库的路径
    • YOUR_API_KEY： Google Cloud API 密钥
    • YOUR_SECRET_KEY：Google SecOps Secret 密钥

  3. 保存并关闭文件。

  4. 启用并启动服务：

    sudo systemctl daemon-reload
sudo systemctl enable uls-guardicore-netlog.service
sudo systemctl start uls-guardicore-netlog.service

  5. 检查服务状态：

    sudo systemctl status uls-guardicore-netlog.service

为其他 Feed 创建其他服务

针对要收集的每个 Feed（INCIDENT、AGENT、SYSTEM、AUDIT）重复上述步骤，创建单独的服务文件：

  • /etc/systemd/system/uls-guardicore-incident.service
  • /etc/systemd/system/uls-guardicore-agent.service
  • /etc/systemd/system/uls-guardicore-system.service
  • /etc/systemd/system/uls-guardicore-audit.service

相应地更改每个文件中的 --feed 参数和服务名称。

验证日志注入

  1. 等待 5-10 分钟，让系统提取并处理日志。
  2. 在 Google SecOps 控制台中，前往搜索。

  3. 运行以下 UDM 搜索查询：

    metadata.vendor_name = "Guardicore"

  4. 如果日志成功提取，您应该会在搜索结果中看到 Guardicore 事件。

  5. 您还可以搜索特定类型的 Feed：

    metadata.vendor_name = "Guardicore" AND metadata.product_name = "Centra"

问题排查

ULS 连接错误

如果 ULS 无法连接到 Guardicore，请执行以下操作：

  1. 验证 .edgerc 文件是否包含正确的主机名和凭据。

  2. 测试与 Guardicore 实例的连接：

    curl -u "username:password" https://your-instance.cloud.guardicore.com/api/v3.0/visibility

  3. 检查是否可以从 ULS 服务器访问 Guardicore 实例。

ULS HTTP 输出错误

如果 ULS 无法将日志发送到 Google SecOps，请执行以下操作：

  1. 验证 API 密钥和 Secret 密钥是否正确。
  2. 检查 Google SecOps 端点网址是否适合您所在的区域。

  3. 验证 ULS 服务器的出站 HTTPS 连接：

    curl -I https://malachiteingestion-pa.googleapis.com

  4. 查看 ULS 日志中是否有错误消息：

    sudo journalctl -u uls-guardicore-netlog.service -f

Google SecOps 中未显示任何日志

如果日志未显示在 Google SecOps 中，请执行以下操作：

  1. 验证 Webhook Feed 在 SIEM 设置 > Feed 中是否处于有效状态。
  2. 检查 Feed 的运行状况标签页，看看是否存在提取错误。
  3. 验证 Feed 配置中的拆分分隔符是否设置为 \n。
  4. 确保将日志类型设置为 Guardicore Centra。

自签名证书错误

如果您的 Guardicore 实例使用自签名证书，ULS 可能会因 SSL 验证错误而失败。如需绕过 SSL 验证（不建议在生产环境中这样做），请执行以下操作：

  • 将 --httpinsecure 标志添加到 ULS 命令：

    python3 bin/uls.py \
    --input gc \
    --feed NETLOG \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s' \
    --httpinsecure

可用的 Guardicore Feed

Akamai ULS 支持以下 Guardicore Feed：

Feed 名称 说明 ULS Feed 参数
网络日志 来自 Guardicore 代理的网络流日志 NETLOG
突发事件 Guardicore 检测到的安全事件 INCIDENT
代理日志 代理状态和健康信息 AGENT
系统提醒 系统级提醒和事件 SYSTEM
审核日志 管理操作和配置变更 AUDIT

身份验证方法参考

Google SecOps Webhook Feed 支持多种身份验证方法。Akamai ULS 使用混合方法，即在网址中使用 API 密钥，在标头中使用密钥。

ULS 使用的方法：混合（网址 + 标头）

  • 请求格式：

    POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{"event": "data", "timestamp": "2025-01-15T10:30:00Z"}

  • ULS 命令格式：

    --httpurl "<ENDPOINT_URL>?key=<API_KEY>"
--httpauthheader '{"x-chronicle-auth": "<SECRET_KEY>"}'

身份验证标头名称

Google SecOps 接受以下用于身份验证的 HTTP 标头名称：

  • 对于 API 密钥：

    • x-goog-chronicle-auth（推荐）
    • X-Goog-Chronicle-Auth（不区分大小写）

  • 对于密钥：

    • x-chronicle-auth（推荐）
    • X-Chronicle-Auth（不区分大小写）

Webhook 限制和最佳实践

请求限制

限制 值
最大请求大小 4 MB
最大 QPS（每秒查询次数） 15000
请求超时 30 秒
重试行为 自动（使用指数退避算法）

最佳做法

  • 为每种 Feed 类型运行单独的 ULS 实例，以提高可靠性和问题排查效率。
  • 使用 systemd 监控 ULS 服务状态，并针对服务故障设置提醒。
  • 定期轮替 Guardicore 凭据并更新 .edgerc 文件。
  • 在 Guardicore 中使用具有只读 API 访问权限的专用服务账号。
  • 为 ULS 日志配置日志轮换，以防止出现磁盘空间问题。
  • 通过在多个服务器上运行 ULS 并进行负载均衡来测试故障切换场景。

UDM 映射表

下表列出了 Guardicore Centra 日志的日志字段及其对应的 UDM 字段。

日志字段 UDM 字段 说明
timestamp metadata.event_timestamp 活动时间戳
source_ip principal.ip 来源 IP 地址
destination_ip target.ip 目标 IP 地址
source_port principal.port 来源端口号
destination_port target.port 目标端口号
protocol network.ip_protocol 网络协议
action security_result.action 采取的安全措施
severity security_result.severity 事件严重程度
user principal.user.userid 用户名
hostname principal.hostname 来源主机名
process_name principal.process.file.full_path 进程名称
incident_id security_result.detection_fields.key 突发事件标识符
description security_result.description 活动说明
Time event.idm.read_only_udm.metadata.event_timestamp 从变更日志映射
Timestamp event.idm.read_only_udm.metadata.collected_timestamp 从变更日志映射
Action event.idm.read_only_udm.security_result.action 从变更日志映射
ConnectionType event.idm.read_only_udm.security_result.action_details 从变更日志映射
Protocol event.idm.read_only_udm.network.ip_protocol 从变更日志映射
Source.IP event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
Source.Port event.idm.read_only_udm.principal.port 从变更日志映射
Source.AssetName event.idm.read_only_udm.principal.hostname和event.idm.read_only_udm.principal.asset.hostname之间 从变更日志映射
Source.UserName event.idm.read_only_udm.principal.user.userid 从变更日志映射
Source.ProcessName event.idm.read_only_udm.principal.process.file.names 从变更日志映射
Source.ProcessPath event.idm.read_only_udm.principal.process.file.full_path 从变更日志映射
Destination.IP event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从变更日志映射
Destination.Port event.idm.read_only_udm.target.port 从变更日志映射
Destination.ProcessName event.idm.read_only_udm.target.process.file.names 从变更日志映射
ID event.idm.read_only_udm.metadata.product_log_id 从变更日志映射
DeviceVersion event.idm.read_only_udm.metadata.product_version 从变更日志映射
SignatureID event.idm.read_only_udm.metadata.product_event_type 从变更日志映射
Description event.idm.read_only_udm.metadata.description 从变更日志映射
DisplayHostname event.idm.read_only_udm.intermediary.hostname和event.idm.read_only_udm.intermediary.asset.hostname之间 从变更日志映射
PolicyRule event.idm.read_only_udm.security_result.rule_id 从变更日志映射
PolicyRuleSet event.idm.read_only_udm.security_result.rule_name 从变更日志映射
Source.ApplicationName event.idm.read_only_udm.principal.application 从变更日志映射
Source.UserIdentity event.idm.read_only_udm.principal.user.user_display_name 从变更日志映射
Worksite event.idm.read_only_udm.principal.location.country_or_region 从变更日志映射
Source.AssetLabels event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
Platform event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
Type event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
Source.AssetLabelGroups event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
Environment event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
Role event.idm.read_only_udm.principal.user.attribute.roles 从变更日志映射
ConnectionVerdict event.idm.read_only_udm.security_result.description 从变更日志映射
DeviceVendor event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
DeviceProduct event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
Count event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
Destination.ApplicationName event.idm.read_only_udm.target.application 从变更日志映射
Application event.idm.read_only_udm.principal.resource.resource_subtype 从变更日志映射
Destination.UserIdentity event.idm.read_only_udm.target.user.user_display_name 从变更日志映射
Destination.AssetLabels event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Destination.AssetLabelGroups event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Incidents event.idm.read_only_udm.additional.fields 从变更日志映射
syslog_priority event.idm.read_only_udm.additional.fields 从变更日志映射
Destination.ProcessPath event.idm.read_only_udm.target.process.file.full_path 从变更日志映射
Destination.UserName event.idm.read_only_udm.target.user.userid 从变更日志映射
Destination.AssetName event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
FQDN event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
event_id event.idm.read_only_udm.metadata.product_log_id 从变更日志映射
Assetname event.idm.read_only_udm.target.hostname 从变更日志映射
Assetname event.idm.read_only_udm.target.asset.hostname 从变更日志映射
Assetid event.idm.read_only_udm.target.asset.asset_id 从变更日志映射
IPAddresses event.idm.read_only_udm.principal.ip 从变更日志映射
IPAddresses event.idm.read_only_udm.principal.asset.ip 从变更日志映射
prin_port event.idm.read_only_udm.principal.port 从变更日志映射
vCenterhost event.idm.read_only_udm.principal.hostname 从变更日志映射
vCenterhost event.idm.read_only_udm.principal.asset.hostname 从变更日志映射
Location event.idm.read_only_udm.principal.location.name 从变更日志映射
Addedlabels event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Removedlabels event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Resultinglabels event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
ResultinglabelGroups event.idm.read_only_udm.target.group.attribute.labels 从变更日志映射
AddedLabelGroups event.idm.read_only_udm.target.group.attribute.labels 从变更日志映射
RemovedLabelGroups event.idm.read_only_udm.target.group.attribute.labels 从变更日志映射
Changecause event.idm.read_only_udm.security_result.description 从变更日志映射
Changedby event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
severity event.idm.read_only_udm.security_result.severity 从变更日志映射
cs1 event.idm.read_only_udm.additional.fields 从变更日志映射
cs1Label event.idm.read_only_udm.additional.fields 从变更日志映射
act event.idm.read_only_udm.security_result.action_details 从变更日志映射
src event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
dst event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从变更日志映射
dpt event.idm.read_only_udm.target.port 从变更日志映射
dhost event.idm.read_only_udm.target.host和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
proto event.idm.read_only_udm.network.ip_protocol 从变更日志映射
os_type event.idm.read_only_udm.target.asset.platform_software.platform 从变更日志映射
cs4 event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
cs4Label event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Aplicacion event.idm.read_only_udm.target.application 从变更日志映射
ConexionServ_RedRespaldoicio event.idm.read_only_udm.target.resource.name 从变更日志映射
Ambiente event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Servicio event.idm.read_only_udm.target.resource.resource_subtype 从变更日志映射
os_name event.idm.read_only_udm.target.platform_version 从变更日志映射
dproc event.idm.read_only_udm.target.process.command_line 从变更日志映射
cs15Label event.idm.read_only_udm.target.url 从变更日志映射
cs6Label event.idm.read_only_udm.additional.fields 从变更日志映射
cs6 event.idm.read_only_udm.additional.fields 从变更日志映射
cs7Label event.idm.read_only_udm.security_result.rule_id 从变更日志映射
Entorno event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
Gestion event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
cs10 event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
cs10Label event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
duser event.idm.read_only_udm.target.user.userid 从变更日志映射
cs16Label event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
cs16 event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
dvc event.idm.read_only_udm.intermediary.asset.ip 从变更日志映射
source.vm.name principal.hostname 从变更日志映射
bucket_id", "policy_verdict", "network_profile", "source_process_hash", and "display_provider security_result.detection_fields 从变更日志映射
display_type principal.platform 从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。