收集 Guardicore Centra 記錄

支援的國家/地區：

本文說明如何設定 Guardicore Centra (現為 Akamai Guardicore Segmentation)，透過 Akamai Unified Log Streamer (ULS) 和 HTTP 輸出，將記錄推送至 Google Security Operations。

Guardicore Centra 是一種微區隔平台，可為資料中心、雲端環境和端點提供零信任網路安全防護。這項服務可提供應用程式依附元件的相關資訊、透過欺騙技術偵測違規行為，以及精細的區隔控管措施，防止橫向移動並遏止威脅。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Guardicore Centra 執行個體 (雲端或地端部署)
  • 執行 Akamai ULS 的 Linux 伺服器 (最低需求：1 個 vCPU、1 GB RAM、500 MB 磁碟)
  • ULS 伺服器上安裝的 Python 3.9 以上版本
  • Guardicore Centra 管理員憑證 (使用者名稱和密碼)
  • 從 ULS 伺服器到 Google SecOps 擷取端點的輸出 HTTPS 存取權
  • 存取 Google Cloud 控制台 (用於建立 API 金鑰)

在 Google SecOps 中建立 Webhook 動態饋給

建立動態饋給

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 在下一個頁面中，按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Guardicore Centra Logs)。
  5. 選取「Webhook」做為「來源類型」。
  6. 選取「Guardicore Centra」做為「記錄類型」。
  7. 點選「下一步」。

  8. 指定下列輸入參數的值：

    • 分割分隔符號：輸入 \n 分割多行事件 (ULS 會傳送以換行符號分隔的 JSON)
    • 資產命名空間：資產命名空間
    • 擷取標籤：要套用至這個動態饋給事件的標籤

  9. 點選「下一步」。

  10. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

產生並儲存密鑰

建立動態饋給後，您必須產生驗證用的密鑰：

  1. 在動態饋給詳細資料頁面中，按一下「產生密鑰」。
  2. 對話方塊會顯示密鑰。

  3. 複製並妥善儲存密鑰。

取得動態消息端點網址

  1. 前往動態消息的「詳細資料」分頁。
  2. 在「端點資訊」部分，複製「動態消息端點網址」。

  3. 網址格式為：

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

    或

    https://<REGION>-malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate

  4. 請儲存這個網址，以供後續步驟使用。

  5. 按一下 [完成]。

建立 Google Cloud API 金鑰

Google SecOps 需要 API 金鑰才能進行驗證。在 Google Cloud 控制台中建立受限制的 API 金鑰。

建立 API 金鑰

  1. 前往 Google Cloud 控制台的「憑證」頁面。
  2. 選取專案 (與 Google SecOps 執行個體相關聯的專案)。
  3. 依序按一下「建立憑證」>「API 金鑰」。
  4. 系統會建立 API 金鑰，並顯示在對話方塊中。
  5. 按一下「編輯 API 金鑰」即可限制金鑰。

限制 API 金鑰

  1. 在「API 金鑰」設定頁面中：
    • 名稱：輸入描述性名稱 (例如 Google SecOps Guardicore Webhook API Key)
  2. 在「API 限制」下方：
    1. 選取「Restrict key」(限制金鑰)。
    2. 在「選取 API」下拉式選單中，搜尋並選取「Google SecOps API」 (或「Chronicle API」)。
  3. 按一下 [儲存]。
  4. 從頁面頂端的「API key」(API 金鑰) 欄位複製 API 金鑰值。

  5. 安全地儲存 API 金鑰。

設定 Guardicore Centra 憑證

建立 .edgerc 檔案，用於 Guardicore 驗證

Akamai ULS 會使用設定檔儲存 Guardicore 憑證。

  1. 在 ULS 伺服器上，於主目錄中建立 .edgerc 檔案：

    nano ~/.edgerc

  2. 新增下列設定：

    [default]
linode_hostname = your-instance.cloud.guardicore.com
linode_token = your_username:your_password

    替換下列值：

    • your-instance.cloud.guardicore.com：Guardicore Centra 執行個體主機名稱 (不含 https://)
    • your_username：您的 Guardicore 管理員使用者名稱
    • your_password：Guardicore 管理員密碼

    美國地區範例：

    [default]
linode_hostname = cus-1234.cloud.guardicore.com
linode_token = admin@company.com:MySecurePassword123

  3. 儲存並關閉檔案。

  4. 設定適當的權限：

    chmod 600 ~/.edgerc

安裝 Akamai Unified Log Streamer

從 GitHub 安裝 ULS

  1. 在 ULS 伺服器上，複製 ULS 存放區：

    git clone https://github.com/akamai/uls.git
cd uls

  2. 安裝 Python 依附元件：

    pip3 install -r requirements.txt

  3. 安裝 Guardicore 記錄擷取器模組：

    git clone -q --depth 1 -b main https://github.com/guardicore/log-fetcher.git ext/cli-gc
pip3 install -r ext/cli-gc/requirements.txt

  4. 驗證安裝項目：

    python3 bin/uls.py --help

設定 ULS，將記錄傳送至 Google SecOps

建構 Google SecOps Webhook 網址

  • 合併 Google SecOps 端點網址和 API 金鑰：

    <ENDPOINT_URL>?key=<API_KEY>

    範例：

    https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=AIzaSyD...

執行 Guardicore NETLOG 饋給的 ULS

NETLOG 動態饋給包含 Guardicore 代理程式的網路流量記錄。

  1. 使用下列指令執行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed NETLOG \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替換下列值：

    • YOUR_API_KEY：先前建立的 Google Cloud API 金鑰
    • YOUR_SECRET_KEY：先前產生的 Google SecOps 密鑰

  2. ULS 會開始將 NETLOG 事件串流處理至 Google SecOps。

執行 Guardicore INCIDENT 動態饋給的 ULS

「事件」動態消息包含 Guardicore 偵測到的安全事件。

  1. 使用下列指令執行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed INCIDENT \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替換下列值：

    • YOUR_API_KEY：先前建立的 Google Cloud API 金鑰
    • YOUR_SECRET_KEY：先前產生的 Google SecOps 密鑰

  2. ULS 會開始將 INCIDENT 事件串流處理至 Google SecOps。

執行 Guardicore AGENT 饋給的 ULS

AGENT 動態饋給包含代理程式狀態和健康資訊。

  1. 使用下列指令執行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed AGENT \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替換下列值：

    • YOUR_API_KEY：先前建立的 Google Cloud API 金鑰
    • YOUR_SECRET_KEY：先前產生的 Google SecOps 密鑰

  2. ULS 會開始將 AGENT 事件串流處理至 Google SecOps。

執行 Guardicore SYSTEM 動態饋給的 ULS

「系統」動態消息包含系統快訊和事件。

  1. 使用下列指令執行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed SYSTEM \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替換下列值：

    • YOUR_API_KEY：先前建立的 Google Cloud API 金鑰
    • YOUR_SECRET_KEY：先前產生的 Google SecOps 密鑰

  2. ULS 會開始將 SYSTEM 事件串流處理至 Google SecOps。

執行 Guardicore AUDIT 動態饋給的 ULS

稽核動態消息包含管理動作的稽核記錄。

  1. 使用下列指令執行 ULS：

    python3 bin/uls.py \
    --input gc \
    --feed AUDIT \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s'

    替換下列值：

    • YOUR_API_KEY：先前建立的 Google Cloud API 金鑰
    • YOUR_SECRET_KEY：先前產生的 Google SecOps 密鑰

  2. ULS 會開始將稽核事件串流處理至 Google SecOps。

以背景服務形式執行 ULS

如要確保 ULS 持續運作，請將其設定為 systemd 服務。

為 NETLOG 動態饋給建立 systemd 服務檔案

  1. 建立服務檔案：

    sudo nano /etc/systemd/system/uls-guardicore-netlog.service

  2. 新增下列內容：

    [Unit]
Description=Akamai ULS - Guardicore NETLOG
After=network.target

[Service]
Type=simple
User=root
WorkingDirectory=/root/uls
ExecStart=/usr/bin/python3 /root/uls/bin/uls.py --input gc --feed NETLOG --output http --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' --httpformat '%%s'
Restart=always
RestartSec=10

[Install]
WantedBy=multi-user.target

    替換下列值：

    • /root/uls：複製 ULS 存放區的路徑
    • YOUR_API_KEY： Google Cloud API 金鑰
    • YOUR_SECRET_KEY：Google SecOps 密鑰

  3. 儲存並關閉檔案。

  4. 啟用並啟動服務：

    sudo systemctl daemon-reload
sudo systemctl enable uls-guardicore-netlog.service
sudo systemctl start uls-guardicore-netlog.service

  5. 檢查服務狀態：

    sudo systemctl status uls-guardicore-netlog.service

為其他動態饋給建立額外服務

針對要收集的每個動態消息 (INCIDENT、AGENT、SYSTEM、AUDIT) 重複上述步驟，建立個別的服務檔案：

  • /etc/systemd/system/uls-guardicore-incident.service
  • /etc/systemd/system/uls-guardicore-agent.service
  • /etc/systemd/system/uls-guardicore-system.service
  • /etc/systemd/system/uls-guardicore-audit.service

在每個檔案中，相應變更 --feed 參數和服務名稱。

確認記錄擷取作業

  1. 等待 5 到 10 分鐘，讓系統擷取及處理記錄。
  2. 前往 Google SecOps 控制台的「Search」頁面。

  3. 執行下列 UDM 搜尋查詢：

    metadata.vendor_name = "Guardicore"

  4. 如果記錄檔順利擷取，搜尋結果中就會顯示 Guardicore 事件。

  5. 你也可以搜尋特定動態消息類型：

    metadata.vendor_name = "Guardicore" AND metadata.product_name = "Centra"

疑難排解

ULS 連線錯誤

如果 ULS 無法連線至 Guardicore，請按照下列步驟操作：

  1. 確認 .edgerc 檔案包含正確的主機名稱和憑證。

  2. 測試與 Guardicore 執行個體的連線：

    curl -u "username:password" https://your-instance.cloud.guardicore.com/api/v3.0/visibility

  3. 確認 ULS 伺服器可存取 Guardicore 執行個體。

ULS HTTP 輸出錯誤

如果 ULS 無法將記錄傳送至 Google SecOps，請按照下列步驟操作：

  1. 確認 API 金鑰和密鑰正確無誤。
  2. 確認 Google SecOps 端點網址適用於您所在的區域。

  3. 從 ULS 伺服器驗證外送 HTTPS 連線：

    curl -I https://malachiteingestion-pa.googleapis.com

  4. 查看 ULS 記錄檔中的錯誤訊息：

    sudo journalctl -u uls-guardicore-netlog.service -f

Google SecOps 中未顯示任何記錄

如果 Google SecOps 未顯示記錄：

  1. 在「SIEM 設定」> 動態消息中，確認 Webhook 動態消息的狀態為「有效」。
  2. 檢查動態饋給的「健康狀態」分頁，查看擷取錯誤。
  3. 確認動態饋給設定中的分割分隔符號設為 \n。
  4. 確認記錄類型已設為「Guardicore Centra」。

自行簽署的憑證錯誤

如果 Guardicore 執行個體使用自行簽署的憑證，ULS 可能會因 SSL 驗證錯誤而失敗。如要略過 SSL 驗證 (不建議用於實際工作環境)：

  • 在 ULS 指令中新增 --httpinsecure 旗標：

    python3 bin/uls.py \
    --input gc \
    --feed NETLOG \
    --output http \
    --httpurl "https://malachiteingestion-pa.googleapis.com/v2/unstructuredlogentries:batchCreate?key=YOUR_API_KEY" \
    --httpauthheader '{"x-chronicle-auth": "YOUR_SECRET_KEY"}' \
    --httpformat '%s' \
    --httpinsecure

可用的 Guardicore 動態饋給

Akamai ULS 支援下列 Guardicore 動態饋給：

動態饋給名稱 說明 ULS 動態饋給參數
網路記錄 Guardicore 代理程式的網路流記錄 NETLOG
事件 Guardicore 偵測到的安全事件 INCIDENT
代理程式記錄 服務專員狀態和健康資訊 AGENT
系統快訊 系統層級快訊和事件 SYSTEM
稽核記錄 管理動作和設定變更 AUDIT

驗證方法參考資料

Google SecOps 網頁掛鉤動態消息支援多種驗證方法。Akamai ULS 使用混合方法，網址中含有 API 金鑰，標頭中含有密鑰。

ULS 使用的方法：混合式 (網址 + 標頭)

  • 要求格式：

    POST <ENDPOINT_URL>?key=<API_KEY> HTTP/1.1
Content-Type: application/json
x-chronicle-auth: <SECRET_KEY>

{"event": "data", "timestamp": "2025-01-15T10:30:00Z"}

  • ULS 指令格式：

    --httpurl "<ENDPOINT_URL>?key=<API_KEY>"
--httpauthheader '{"x-chronicle-auth": "<SECRET_KEY>"}'

驗證標頭名稱

Google SecOps 接受下列驗證標頭名稱：

  • API 金鑰：

    • x-goog-chronicle-auth (建議)
    • X-Goog-Chronicle-Auth (不區分大小寫)

  • 密鑰：

    • x-chronicle-auth (建議)
    • X-Chronicle-Auth (不區分大小寫)

Webhook 限制和最佳做法

要求限制

限制 值
要求大小上限 4 MB
每秒查詢次數 (QPS) 上限 15,000
要求逾時 30 秒
重試行為 自動執行指數輪詢

最佳做法

  • 為每種動態饋給類型分別執行 ULS 執行個體，以提升可靠性並簡化疑難排解程序。
  • 使用 systemd 監控 ULS 服務狀態，並設定服務失敗快訊。
  • 定期輪替 Guardicore 憑證，並更新 .edgerc 檔案。
  • 在 Guardicore 中使用專屬服務帳戶，並具備 API 唯讀存取權。
  • 設定 ULS 記錄檔的記錄輪替，避免磁碟空間問題。
  • 在多部伺服器上執行 ULS，並使用負載平衡功能，測試容錯移轉情境。

UDM 對應表

下表列出 Guardicore Centra 記錄的記錄欄位，以及對應的 UDM 欄位。

記錄欄位 UDM 欄位 說明
timestamp metadata.event_timestamp 事件時間戳記
source_ip principal.ip 來源 IP 位址
destination_ip target.ip 目的地 IP 位址
source_port principal.port 來源通訊埠號碼
destination_port target.port 目的地通訊埠號碼
protocol network.ip_protocol 網路通訊協定
action security_result.action 採取的安全措施
severity security_result.severity 事件嚴重程度
user principal.user.userid 使用者名稱
hostname principal.hostname 來源主機名稱
process_name principal.process.file.full_path 程序名稱
incident_id security_result.detection_fields.key 事件 ID
description security_result.description 活動說明
Time event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
Timestamp event.idm.read_only_udm.metadata.collected_timestamp 從變更記錄對應
Action event.idm.read_only_udm.security_result.action 從變更記錄對應
ConnectionType event.idm.read_only_udm.security_result.action_details 從變更記錄對應
Protocol event.idm.read_only_udm.network.ip_protocol 從變更記錄對應
Source.IP event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
Source.Port event.idm.read_only_udm.principal.port 從變更記錄對應
Source.AssetName event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
Source.UserName event.idm.read_only_udm.principal.user.userid 從變更記錄對應
Source.ProcessName event.idm.read_only_udm.principal.process.file.names 從變更記錄對應
Source.ProcessPath event.idm.read_only_udm.principal.process.file.full_path 從變更記錄對應
Destination.IP event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip 從變更記錄對應
Destination.Port event.idm.read_only_udm.target.port 從變更記錄對應
Destination.ProcessName event.idm.read_only_udm.target.process.file.names 從變更記錄對應
ID event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
DeviceVersion event.idm.read_only_udm.metadata.product_version 從變更記錄對應
SignatureID event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
Description event.idm.read_only_udm.metadata.description 從變更記錄對應
DisplayHostname event.idm.read_only_udm.intermediary.hostname 和 event.idm.read_only_udm.intermediary.asset.hostname 從變更記錄對應
PolicyRule event.idm.read_only_udm.security_result.rule_id 從變更記錄對應
PolicyRuleSet event.idm.read_only_udm.security_result.rule_name 從變更記錄對應
Source.ApplicationName event.idm.read_only_udm.principal.application 從變更記錄對應
Source.UserIdentity event.idm.read_only_udm.principal.user.user_display_name 從變更記錄對應
Worksite event.idm.read_only_udm.principal.location.country_or_region 從變更記錄對應
Source.AssetLabels event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Platform event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Type event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Source.AssetLabelGroups event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Environment event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Role event.idm.read_only_udm.principal.user.attribute.roles 從變更記錄對應
ConnectionVerdict event.idm.read_only_udm.security_result.description 從變更記錄對應
DeviceVendor event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
DeviceProduct event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
Count event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
Destination.ApplicationName event.idm.read_only_udm.target.application 從變更記錄對應
Application event.idm.read_only_udm.principal.resource.resource_subtype 從變更記錄對應
Destination.UserIdentity event.idm.read_only_udm.target.user.user_display_name 從變更記錄對應
Destination.AssetLabels event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Destination.AssetLabelGroups event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Incidents event.idm.read_only_udm.additional.fields 從變更記錄對應
syslog_priority event.idm.read_only_udm.additional.fields 從變更記錄對應
Destination.ProcessPath event.idm.read_only_udm.target.process.file.full_path 從變更記錄對應
Destination.UserName event.idm.read_only_udm.target.user.userid 從變更記錄對應
Destination.AssetName event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
FQDN event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
event_id event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
Assetname event.idm.read_only_udm.target.hostname 從變更記錄對應
Assetname event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
Assetid event.idm.read_only_udm.target.asset.asset_id 從變更記錄對應
IPAddresses event.idm.read_only_udm.principal.ip 從變更記錄對應
IPAddresses event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
prin_port event.idm.read_only_udm.principal.port 從變更記錄對應
vCenterhost event.idm.read_only_udm.principal.hostname 從變更記錄對應
vCenterhost event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
Location event.idm.read_only_udm.principal.location.name 從變更記錄對應
Addedlabels event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Removedlabels event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Resultinglabels event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
ResultinglabelGroups event.idm.read_only_udm.target.group.attribute.labels 從變更記錄對應
AddedLabelGroups event.idm.read_only_udm.target.group.attribute.labels 從變更記錄對應
RemovedLabelGroups event.idm.read_only_udm.target.group.attribute.labels 從變更記錄對應
Changecause event.idm.read_only_udm.security_result.description 從變更記錄對應
Changedby event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
severity event.idm.read_only_udm.security_result.severity 從變更記錄對應
cs1 event.idm.read_only_udm.additional.fields 從變更記錄對應
cs1Label event.idm.read_only_udm.additional.fields 從變更記錄對應
act event.idm.read_only_udm.security_result.action_details 從變更記錄對應
src event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
dst event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip 從變更記錄對應
dpt event.idm.read_only_udm.target.port 從變更記錄對應
dhost event.idm.read_only_udm.target.host 和 event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
proto event.idm.read_only_udm.network.ip_protocol 從變更記錄對應
os_type event.idm.read_only_udm.target.asset.platform_software.platform 從變更記錄對應
cs4 event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
cs4Label event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Aplicacion event.idm.read_only_udm.target.application 從變更記錄對應
ConexionServ_RedRespaldoicio event.idm.read_only_udm.target.resource.name 從變更記錄對應
Ambiente event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Servicio event.idm.read_only_udm.target.resource.resource_subtype 從變更記錄對應
os_name event.idm.read_only_udm.target.platform_version 從變更記錄對應
dproc event.idm.read_only_udm.target.process.command_line 從變更記錄對應
cs15Label event.idm.read_only_udm.target.url 從變更記錄對應
cs6Label event.idm.read_only_udm.additional.fields 從變更記錄對應
cs6 event.idm.read_only_udm.additional.fields 從變更記錄對應
cs7Label event.idm.read_only_udm.security_result.rule_id 從變更記錄對應
Entorno event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Gestion event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
cs10 event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
cs10Label event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
duser event.idm.read_only_udm.target.user.userid 從變更記錄對應
cs16Label event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
cs16 event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
dvc event.idm.read_only_udm.intermediary.asset.ip 從變更記錄對應
source.vm.name principal.hostname 從變更記錄對應
bucket_id", "policy_verdict", "network_profile", "source_process_hash", and "display_provider security_result.detection_fields 從變更記錄對應
display_type principal.platform 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。