收集 Nutanix Prism Central 日志

本文档介绍了如何使用 Bindplane 将 Nutanix Prism Central 日志注入 Google Security Operations。Nutanix Prism Central 是一个集中式管理平台，用于管理 Nutanix 超融合基础架构集群。它提供了一个统一视图，用于监控、管理和自动执行多个 Nutanix 集群的操作，包括虚拟机生命周期管理、容量规划和安全监控。

准备工作

请确保满足以下前提条件：

• Google SecOps 实例。
• Windows 2016 或更高版本，或者带有 systemd 的 Linux 主机。
• 如果在代理后面运行，请确保根据 Bindplane 代理要求打开防火墙端口。
• 拥有管理员或 Prism 管理员角色，对 Nutanix Prism Central Web 控制台具有特权访问权限。

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

• 新部署：使用 Chronicle API（选项 1）。
• 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
2. 前往 IAM 和管理 > 服务账号。
3. 点击创建服务账号。
4. 提供以下配置详细信息：
   • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
   • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
5. 点击创建并继续。
6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
7. 点击继续，然后点击完成。
8. 点击您创建的服务账号，然后前往密钥标签页。
9. 依次点击添加密钥 > 创建新密钥。
10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
11. 将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
12. 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

1. 登录 Google SecOps 控制台。
2. 前往 SIEM 设置> 收集代理。
3. 下载数据注入身份验证文件。
4. 将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

1. 以管理员身份打开命令提示符或 PowerShell。

2. 运行以下命令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux 安装

1. 打开具有 root 或 sudo 权限的终端。

2. 运行以下命令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

1. 访问配置文件：

   • 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector/ 目录中或 Windows 上的安装目录中。
   • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

2. 按如下方式修改 config.yaml 文件：

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/nutanix_prism:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: chronicle.googleapis.com
           log_type: NUTANIX_PRISM
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/nutanix_prism_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/nutanix_prism
   

• 根据基础架构的需要替换端口和 IP 地址。
• 将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会为此值添加 chronicle.googleapis.com 前缀。
• 将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
• 将 <CUSTOMER_ID> 替换为实际的客户 ID。
• 将 /path/to/ingestion-authentication-file.json 更新为服务账号密钥文件（选项 1）的保存路径。

旧版提取 API 导出工具

• 如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

  exporters:
      chronicle/nutanix_prism:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: '<CUSTOMER_ID>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: NUTANIX_PRISM
          raw_log_field: body
          ingestion_labels:
  

重启 Bindplane 代理以应用更改

1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

   sudo systemctl restart observiq-otel-collector
   

2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

在 Nutanix Prism Central 上配置 syslog 转发

配置远程 Syslog 服务器

1. 登录 Nutanix Prism Central Web 控制台。
2. 点击右上角的齿轮图标（设置）。
3. 在设置面板中，向下滚动，然后在监控和日志记录部分下选择 Syslog 服务器。
4. 点击 + 配置 Syslog 服务器。
5. 在服务器名称字段中，输入一个描述性名称（例如 Bindplane-SecOps）。
6. 在 IP 地址字段中，输入 Bindplane 代理主机 IP 地址。
7. 在端口字段中，输入 514（或您配置的端口）。
8. 在传输协议下拉菜单中，选择 UDP。
9. 点击保存。

配置日志模块

1. 添加 syslog 服务器后，点击服务器条目 Bindplane-SecOps。
2. 点击 + 添加模块，以配置要转发的日志类型。
3. 根据您的要求添加以下模块：
   • AUDIT：捕获用户身份验证事件、配置更改和 API 活动。
   • API_AUDIT：捕获对 Prism Central 的所有 REST API 调用。
   • FLOW：捕获网络微细分流日志（如果已启用 Flow）。
   • MICROSEG：捕获微细分政策事件。
4. 对于每个模块：
   1. 从下拉菜单中选择模块。
   2. 将日志级别设置为 INFO 或您所需的级别（建议：INFO，以获取全面的日志记录）。
   3. 点击保存。

在各个 Prism Element 集群上配置 syslog（可选）

如果您还需要来自各个 Prism Element 集群的日志，请执行以下操作：

1. 登录特定集群的 Prism Element Web 控制台。
2. 点击齿轮图标（设置）。
3. 前往监控和日志记录部分下的 Syslog 服务器。
4. 点击 + 配置 Syslog 服务器。
5. 输入相同的 Bindplane 代理详细信息：
   • 服务器名称：输入 Bindplane-SecOps。
   • IP 地址：输入 Bindplane 代理主机 IP 地址。
   • 端口：输入 514。
   • 传输协议：选择 UDP。
6. 点击保存。
7. 根据需要添加模块（AUDIT、HARDWARE、STORAGE、HYPERVISOR）。

如需了解详情，请参阅 Nutanix Prism Central syslog 文档。

UDM 映射表

日志字段	UDM 映射	逻辑
audit_log	about	已映射：true → about
audit_log	about.labels	映射的值（共 5 个，例如 true → labels_syscall、true → labels_data、true → `la…
labels_arch	about.labels	已合并
labels_data	about.labels	已合并
labels_devmajor	about.labels	已合并
labels_devminor	about.labels	已合并
labels_syscall	about.labels	已合并
audit_log	additional.fields	映射：false → originating_id、false → sessionId_label、false → source_file_label
creation_time_usecs_label	additional.fields	已合并
curr_range_idx_label	additional.fields	已合并
deserialization_in_progress_label	additional.fields	已合并
done_callback_set_label	additional.fields	已合并
is_arena_enabled_label	additional.fields	已合并
last_rpc_time_usecs_label	additional.fields	已合并
line_number_label	additional.fields	已合并
message	additional.fields	已映射：pam_unix → pam_module_label、pam_unix → pam_submodule_label
num_rpcs_before_stateful_scans_got_enabled_label	additional.fields	已合并
nutanix_scan_keys_label	additional.fields	已合并
originating_id	additional.fields	已合并
pam_module_label	additional.fields	已合并
pam_submodule_label	additional.fields	已合并
prefetch_error_label	additional.fields	已合并
prefetch_hits_label	additional.fields	已合并
prefetch_in_progress_label	additional.fields	已合并
prefetch_stopped_label	additional.fields	已合并
processed_data_size_label	additional.fields	已合并
sessionId_label	additional.fields	已合并
source_file_label	additional.fields	已合并
thread_name_label	additional.fields	已合并
total_data_read_bytes_label	additional.fields	已合并
total_deserialization_time_usecs_label	additional.fields	已合并
total_rows_read_label	additional.fields	已合并
total_rpc_time_usecs_label	additional.fields	已合并
total_rpcs_done_label	additional.fields	已合并
total_scan_time_label	additional.fields	已合并
unprocessed_data_size_label	additional.fields	已合并
use_chakrdb_backend_label	additional.fields	已合并
vblocks_label	additional.fields	已合并
vdisk_id_label	additional.fields	已合并
audit_log	extensions.auth.type	映射：false → AUTHTYPE_UNSPECIFIED、true → MACHINE、true → AUTHTYPE_UNSPECIFIED
audit_log_type	extensions.auth.type	映射的值（总共 6 个，例如“SYSCALL”“LOGIN”“USER_LOGIN”“USER_ACCT”“USER_ROLE_CHAN…
has_principal	extensions.auth.type	已映射：true → AUTHTYPE_UNSPECIFIED
audit_log	intermediary	映射：false → intermediary、false → logstash1、true → intermediary
logstash1	intermediary	已合并
dvc	intermediary.hostname	已重命名/已映射
header_host	intermediary.hostname	直接映射
logstash.ingest.host	intermediary.hostname	直接映射
defaultMsg	metadata.description	当 audit_log == false 时进行映射
description	metadata.description	当 api_call_message != `` 时映射
msg2	metadata.description	直接映射
logstash.collect.timestamp	metadata.event_timestamp	解析为 yyyy-MM-dd HH:mm:ss.SSS
logstash.ingest.timestamp	metadata.event_timestamp	解析为 yyyy-MM-dd HH:mm:ss.SSS
logstash.process.timestamp	metadata.event_timestamp	已解析为 yyyy-MM-dd HH:mm:ss.SSS
metadata_ingested_timestamp	metadata.event_timestamp	解析为 UNIX
timestamp	metadata.event_timestamp	已解析为 MMM d HH:mm:ss
audit_log	metadata.event_type	映射的值（共 30 个，例如 false → GENERIC_EVENT、false → USER_LOGIN、false → `…
audit_log_type	metadata.event_type	直接映射
has_principal	metadata.event_type	映射：true → USER_LOGIN、true → STATUS_UPDATE、true → GENERIC_EVENT
has_principal_id	metadata.event_type	映射：false → GENERIC_EVENT、true → SETTING_MODIFICATION、true → PROCESS_LAUNCH
http_method	metadata.event_type	映射：GET → USER_RESOURCE_ACCESS、POST → RESOURCE_CREATION、"PATCH","UPDATE" → `…
audit_log_type	metadata.product_event_type	直接映射
eventType	metadata.product_event_type	直接映射
operation	metadata.product_event_type	当 api_call_message != `` 时映射
operationType	metadata.product_event_type	当 audit_log == false 时映射
pam_message	metadata.product_event_type	当 message =~ pam_unix 时映射
program	metadata.product_event_type	当 audit_log == false 时进行映射
entity_uuid	metadata.product_log_id	当 audit_log == false 时映射
uuid	metadata.product_log_id	当 audit_log == false 时映射
audit_log	metadata.product_name	已映射：true → Nutanix_Prism
api_version	metadata.product_version	当 audit_log == false 时进行映射
audit_log	metadata.vendor_name	已映射：true → Nutanix_Prism
audit_log	network.application_protocol	已映射：true → SSH
audit_log_type	network.application_protocol	已映射：CRYPTO_SESSION → SSH
audit_log	network.direction	已映射：true → OUTBOUND，true → INBOUND
audit_log_type	network.direction	已映射：CRYPTO_SESSION → OUTBOUND，CRYPTO_SESSION → INBOUND
direction	network.direction	已映射：from-client → OUTBOUND，from-server → INBOUND
http_method	network.http.method	当 audit_log == false 时进行映射
audit_log	network.ip_protocol	映射的值（共 6 个，例如 false → UDP、false → TCP、true → IP6IN4）
audit_log_type	network.ip_protocol	已映射：CRYPTO_SESSION → TCP
audit_log	network.sent_bytes	已映射：true → uinteger
audit_log_type	network.sent_bytes	已映射：CRYPTO_SESSION → uinteger
ksize	network.sent_bytes	直接映射
ses	network.session_id	直接映射
session_id	network.session_id	直接映射
cipher	network.tls.cipher	直接映射
pfs	network.tls.curve	直接映射
agent.type	observer.application	当 audit_log == false 时进行映射
agent.id	observer.asset_id	当 audit_log == false 时映射
agent.type	observer.asset_id	当 audit_log == false 时映射
audit_log	observer.ip	已映射：false → collect_ip
collect_ip	observer.ip	已合并
agent.version	observer.platform_version	当 audit_log == false 时映射
application	principal.application	当 application != `` 时映射
comm	principal.application	直接映射
terminal	principal.application	直接映射
audit_log	principal.asset.attribute.labels	已映射：true → token_new
token_new	principal.asset.attribute.labels	已合并
audit_log	principal.asset.hardware	已映射：false → hardware
hardware	principal.asset.hardware	已合并
hostname	principal.asset.hostname	当 hostname != `` 时映射
principal_hostname	principal.asset.hostname	直接映射
syslog_host	principal.asset.hostname	当 audit_log == false 时进行映射
audit_log	principal.asset.ip	映射：false → clientIp、false → src_ip、false → ip
clientIp	principal.asset.ip	已合并
ip	principal.asset.ip	已合并
replica_ip	principal.asset.ip	已合并
src_ip	principal.asset.ip	已合并
host.id	principal.asset_id	当 audit_log == false 时映射
target.group	principal.group	已重命名/映射
audit_log	principal.group.attribute.labels	已映射：true → labels_inode_gid
labels_inode_gid	principal.group.attribute.labels	已合并
hostname	principal.hostname	直接映射
principal_asset_hostname	principal.hostname	直接映射
syslog_host	principal.hostname	当 audit_log == false 时映射
addr	principal.ip	已合并
audit_log	principal.ip	映射的值（共 6 个，例如 false → clientIp、false → src_ip、false → ip）
audit_log_type	principal.ip	Mapped: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
clientIp	principal.ip	已合并
ip	principal.ip	已合并
laddr	principal.ip	已合并
replica_ip	principal.ip	已合并
src_ip	principal.ip	已合并
audit_log	principal.labels	Mapped: false → irmsite, false → irmregion, false → irmenvironment, false → `c…
clienttype	principal.labels	已合并
irmenvironment	principal.labels	已合并
irmregion	principal.labels	已合并
irmsite	principal.labels	已合并
audit_log	principal.mac	已映射：false → mac，true → formatted_mac_addr
formatted_mac_addr	principal.mac	已合并
mac	principal.mac	已合并
audit_log	principal.platform	映射的值（总共 5 个，例如 false → LINUX、false → WINDOWS、false → MAC）
host.os.kernel	principal.platform_patch_level	当 audit_log == false 时映射
host.os.version	principal.platform_version	当 audit_log == false 时映射
rport	principal.port	直接映射
src_port	principal.port	当 audit_log == false 时映射
cgroup	principal.process.file.full_path	直接映射
process_name	principal.process.file.names	已合并
target.process.parent_process.pid	principal.process.parent_process.pid	已重命名/已映射
princ_pid	principal.process.pid	当 audit_log == false 时映射
process_id	principal.process.pid	当 process_id != `` 时映射
spid	principal.process.pid	直接映射
target.process.pid	principal.process.pid	已重命名/映射
target.user	principal.user	已重命名/映射
audit_log	principal.user.attribute.labels	已映射：true → labels_inode_uid
labels_inode_uid	principal.user.attribute.labels	已合并
acct	principal.user.user_display_name	直接映射
userName	principal.user.user_display_name	当 audit_log == false 时进行映射
user_id	principal.user.user_display_name	当 audit_log == false 时映射
pam_principal_uid	principal.user.userid	当 message =~ pam_unix 时映射
suid	principal.user.userid	直接映射
uid	principal.user.userid	直接映射
user_id	principal.user.userid	当 audit_log == false 时进行映射
audit_log	security_result	已映射：false → security_result，true → security_result
audit_log	security_result.about.labels	已映射：true → labels_list
labels_list	security_result.about.labels	已合并
action	security_result.action	已合并
audit_log	security_result.action	已映射：true → security_action、true → action
audit_log_type	security_result.action	Mapped: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
res	security_result.action	已映射：success → security_action
security_action	security_result.action	已合并
res	security_result.action_details	直接映射
alertuid	security_result.detection_fields	已合并
audit_log	security_result.detection_fields	映射的值（共 7 个，例如 false → entity_type、false → entity_name、false → `en…
detection_fields_key	security_result.detection_fields	已合并
entity_name	security_result.detection_fields	已合并
entity_type	security_result.detection_fields	已合并
entity_uuid	security_result.detection_fields	已合并
labels_saddr	security_result.detection_fields	已合并
labels_sig	security_result.detection_fields	已合并
audit_log	security_result.severity	映射的值（总共 5 个，例如 false → CRITICAL、false → ERROR、false → HIGH）
log_level	security_result.severity	Mapped: "EMERGENCY","ALERT","CRITICAL" → CRITICAL, WARNING → HIGH, NOTICE → `MEDIU…
audit_log	security_result.summary	已映射：true → systemcall was successful，true → systemcall was failed
op	security_result.summary	直接映射
reason	security_result.summary	直接映射
res	security_result.summary	直接映射
success	security_result.summary	已映射：(?i)yes → systemcall was successful，(?i)no → systemcall was failed
summary	security_result.summary	直接映射
name	src.file.full_path	直接映射
src	src.ip	已重命名/映射
terminal	target.application	直接映射
audit_log	target.asset.attribute.labels	已映射：true → token_new
token_new	target.asset.attribute.labels	已合并
audit_log	target.asset.attribute.permissions	已映射：true → permissions
permissions	target.asset.attribute.permissions	已合并
target_hostname	target.asset.hostname	直接映射
audit_log	target.asset.ip	已映射：false → ip
ip	target.asset.ip	已合并
full_path	target.file.full_path	直接映射
name	target.file.full_path	直接映射
path	target.file.full_path	直接映射
filetype	target.file.mime_type	直接映射
audit_log	target.group	已映射：true → principal.group
audit_log_type	target.group	映射的值（共 8 个，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN…
audit_log	target.group.attribute.labels	映射的值（总共 12 个，例如 true → labels_new_gid、true → labels_NEW_GID、true →…
labels_EGID	target.group.attribute.labels	已合并
labels_FSGID	target.group.attribute.labels	已合并
labels_NEW_GID	target.group.attribute.labels	已合并
labels_OBJ_GID	target.group.attribute.labels	已合并
labels_OGID	target.group.attribute.labels	已合并
labels_SGID	target.group.attribute.labels	已合并
labels_egid	target.group.attribute.labels	已合并
labels_fsgid	target.group.attribute.labels	已合并
labels_new_gid	target.group.attribute.labels	已合并
labels_obj_gid	target.group.attribute.labels	已合并
labels_ogid	target.group.attribute.labels	已合并
labels_sgid	target.group.attribute.labels	已合并
group_display_name	target.group.group_display_name	直接映射
id	target.group.product_object_id	直接映射
product_object_id	target.group.product_object_id	直接映射
hostname	target.hostname	直接映射
target_asset_hostname	target.hostname	直接映射
addr	target.ip	已合并
audit_log	target.ip	已映射：false → ip，true → addr
audit_log_type	target.ip	已映射：CRYPTO_SESSION → addr
ip	target.ip	已合并
audit_log	target.labels	Mapped: true → labels_ter, true → labels_tty, true → labels_exit, true → `labe…
labels_exit	target.labels	已合并
labels_subj	target.labels	已合并
labels_ter	target.labels	已合并
labels_tty	target.labels	已合并
audit_log	target.mac	已映射：false → mac
mac	target.mac	已合并
lport	target.port	直接映射
args	target.process.command_line	直接映射
command_line	target.process.command_line	直接映射
ocomm	target.process.command_line	直接映射
exe	target.process.file.full_path	直接映射
audit_log	target.process.parent_process.pid	已映射：true → principal.process.parent_process.pid
audit_log_type	target.process.parent_process.pid	Mapped: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
ppid	target.process.parent_process.pid	直接映射
audit_log	target.process.pid	已映射：true → principal.process.pid
audit_log_type	target.process.pid	Mapped: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
opid	target.process.pid	直接映射
pid	target.process.pid	直接映射
audit_log	target.resource.attribute.labels	映射：true → labels_mem、true → labels_vcpu、true → labels_olh、true → `labe…
block_number_label	target.resource.attribute.labels	已合并
labels_mem	target.resource.attribute.labels	已合并
labels_olh	target.resource.attribute.labels	已合并
labels_oll	target.resource.attribute.labels	已合并
labels_vcpu	target.resource.attribute.labels	已合并
partition_id_label	target.resource.attribute.labels	已合并
snapshot_chain_id_label	target.resource.attribute.labels	已合并
transaction_id_label	target.resource.attribute.labels	已合并
admin_permission_1	target.resource.attribute.permissions	已合并
admin_permission_2	target.resource.attribute.permissions	已合并
admin_permission_3	target.resource.attribute.permissions	已合并
audit_log	target.resource.attribute.permissions	映射值（总共 9 个，例如 true → admin_permission_1、true → admin_permission_2、`…
group_permission_1	target.resource.attribute.permissions	已合并
group_permission_2	target.resource.attribute.permissions	已合并
group_permission_3	target.resource.attribute.permissions	已合并
others_permission_1	target.resource.attribute.permissions	已合并
others_permission_2	target.resource.attribute.permissions	已合并
others_permission_3	target.resource.attribute.permissions	已合并
exe	target.resource.name	直接映射
new-disk	target.resource.name	直接映射
obj	target.resource.name	直接映射
params.vm_name	target.resource.name	当 audit_log == false 时映射
vm	target.resource.name	直接映射
inode	target.resource.product_object_id	直接映射
audit_log	target.resource.resource_type	已映射：true → SETTING
audit_log_type	target.resource.resource_type	Mapped: `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U…
rest_endpoint	target.url	当 audit_log == false 时映射
audit_log	target.user	已映射：true → principal.user
audit_log_type	target.user	映射的值（共 8 个，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN…
audit_log	target.user.attribute.labels	映射的值（共 15 个，例如 true → labels_auid、true → labels_AUID、true → `labe…
labels_AUID	target.user.attribute.labels	已合并
labels_EUID	target.user.attribute.labels	已合并
labels_FSUID	target.user.attribute.labels	已合并
labels_OAUID	target.user.attribute.labels	已合并
labels_OUID	target.user.attribute.labels	已合并
labels_SUID	target.user.attribute.labels	已合并
labels_auid	target.user.attribute.labels	已合并
labels_euid	target.user.attribute.labels	已合并
labels_fsuid	target.user.attribute.labels	已合并
labels_id	target.user.attribute.labels	已合并
labels_oauid	target.user.attribute.labels	已合并
labels_obj_uid	target.user.attribute.labels	已合并
labels_ouid	target.user.attribute.labels	已合并
labels_sauid	target.user.attribute.labels	已合并
labels_suid	target.user.attribute.labels	已合并
audit_log	target.user.attribute.roles	已映射：true → obj_role，true → subj_role
obj_role	target.user.attribute.roles	已合并
subj_role	target.user.attribute.roles	已合并
obj_user	target.user.user_display_name	直接映射
user_display_name	target.user.user_display_name	直接映射
id	target.user.userid	直接映射
pam_target_user	target.user.userid	当 message =~ pam_unix 时映射
uid	target.user.userid	直接映射
userid	target.user.userid	直接映射
不适用	extensions.auth.type	常量：MACHINE
不适用	metadata.event_type	常量：GENERIC_EVENT
不适用	metadata.product_name	常量：Nutanix_Prism
不适用	metadata.vendor_name	常量：Nutanix_Prism
不适用	network.application_protocol	常量：SSH
不适用	network.direction	常量：OUTBOUND
不适用	network.ip_protocol	常量：IP6IN4
不适用	principal.platform	常量：LINUX
不适用	security_result.severity	常量：CRITICAL
不适用	security_result.summary	常量：systemcall was successful
不适用	target.group	常量：principal.group
不适用	target.process.parent_process.pid	常量：principal.process.parent_process.pid
不适用	target.process.pid	常量：principal.process.pid
不适用	target.resource.resource_type	常量：SETTING
不适用	target.user	常量：principal.user
header_host	event.idm.read_only_udm.intermediary.hostname	从更新日志映射
application	event.idm.read_only_udm.principal.application	从更新日志映射
thread_name	event.idm.read_only_udm.additional.fields	从更新日志映射
line_number	event.idm.read_only_udm.additional.fields	从更新日志映射
vdisk_id	event.idm.read_only_udm.additional.fields	从更新日志映射
pam_module	event.idm.read_only_udm.additional.fields	从更新日志映射
pam_submodule	event.idm.read_only_udm.additional.fields	从更新日志映射
snapshot_chain_id	event.idm.read_only_udm.target.resource.attribute.labels	从更新日志映射
partition_id	event.idm.read_only_udm.target.resource.attribute.labels	从更新日志映射
block_number	event.idm.read_only_udm.target.resource.attribute.labels	从更新日志映射
transaction_id	event.idm.read_only_udm.target.resource.attribute.labels	从更新日志映射
replica_ip	event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间	从更新日志映射
description	event.idm.read_only_udm.metadata.description	从更新日志映射
pam_target_user	event.idm.read_only_udm.target.user.userid	从更新日志映射
pam_principal_uid	event.idm.read_only_udm.principal.user.userid	从更新日志映射
pam_message	event.idm.read_only_udm.metadata.product_event_type	从更新日志映射
princ_pid	event.idm.read_only_udm.principal.process.pid	从更新日志映射
affectedEntityList" and "alertUid	security_result.detection_fields	从更新日志映射
clientIp" and "params.requested_ip_address	principal.ip	从更新日志映射
originatingClusterUuid" and "sessionId	additional.fields	从更新日志映射
params.mac_address	principal.mac	从更新日志映射
logstash.ingest.host	intermediary[0].hostname	从更新日志映射
logstash.collect.host	observer.ip	从更新日志映射

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。