收集 Nutanix Prism Central 日志

支持的平台：

本文档介绍了如何使用 Bindplane 将 Nutanix Prism Central 日志注入到 Google Security Operations。Nutanix Prism Central 是一个集中式管理平台，用于管理 Nutanix 超融合基础架构集群。它提供了一个统一视图，用于监控、管理和自动化多个 Nutanix 集群中的运营，包括虚拟机生命周期管理、容量规划和安全监控。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例。
  • 搭载 systemd 的 Windows 2016 或更高版本或 Linux 主机。
  • 如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开。
  • 以管理员或 Prism 管理员角色对 Nutanix Prism Central Web 控制台拥有特权访问权限。

获取 Google SecOps 注入身份验证文件

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。
    • 将文件安全地保存在将要安装 Bindplane 的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。
  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安装资源

如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

  1. 访问配置文件：

    • 找到 config.yaml 文件。通常，它位于 Linux 上的 /opt/observiq-otel-collector/ 目录中或 Windows 上的安装目录中。
    • 使用文本编辑器（例如 nano、vi 或记事本）打开该文件。

  2. 按如下方式修改 config.yaml 文件：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/nutanix_prism:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: NUTANIX_PRISM
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/nutanix_prism_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/nutanix_prism
  • 根据基础架构的需要替换端口和 IP 地址。
  • 将 <CUSTOMER_ID> 替换为实际的客户 ID。
  • 将 /path/to/ingestion-authentication-file.json 更新为保存身份验证文件的路径。

重启 Bindplane 代理以应用更改

  1. 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

  2. 如需在 Windows 中重启 Bindplane 代理，您可以使用服务控制台，也可以输入以下命令：

    net stop observiq-otel-collector && net start observiq-otel-collector

在 Nutanix Prism Central 上配置 syslog 转发

配置远程 syslog 服务器

  1. 登录 Nutanix Prism Central Web 控制台。
  2. 点击右上角的齿轮图标（设置）。
  3. 在设置面板中，向下滚动，然后在监控和日志记录部分下选择 Syslog 服务器。
  4. 点击 + 配置 Syslog 服务器。
  5. 在服务器名称字段中，输入一个描述性名称（例如 Bindplane-SecOps）。
  6. 在 IP 地址字段中，输入 Bindplane 代理主机 IP 地址。
  7. 在端口字段中，输入 514（或您配置的端口）。
  8. 在传输协议下拉菜单中，选择 UDP。
  9. 点击保存。

配置日志模块

  1. 添加 syslog 服务器后，点击服务器条目 Bindplane-SecOps。
  2. 点击 + 添加模块，以配置要转发的日志类型。
  3. 根据您的需求添加以下模块：
    • AUDIT：捕获用户身份验证事件、配置更改和 API 活动。
    • API_AUDIT：捕获对 Prism Central 的所有 REST API 调用。
    • FLOW：捕获网络微细分流日志（如果已启用 Flow）。
    • MICROSEG：捕获微细分政策事件。
  4. 对于每个模块：
    1. 从下拉菜单中选择模块。
    2. 将日志级别设置为 INFO 或所需的级别（建议：INFO，以便进行全面的日志记录）。
    3. 点击保存。

在单个 Prism Element 集群上配置 syslog（可选）

如果您还需要来自各个 Prism Element 集群的日志，请执行以下操作：

  1. 登录特定集群的 Prism Element Web 控制台。
  2. 点击齿轮图标（设置）。
  3. 前往监控和日志记录部分下的 Syslog 服务器。
  4. 点击 + 配置 Syslog 服务器。
  5. 输入相同的 Bindplane 代理详细信息：
    • 服务器名称：输入 Bindplane-SecOps。
    • IP 地址：输入 Bindplane 代理主机 IP 地址。
    • 端口：输入 514。
    • 传输协议：选择 UDP。
  6. 点击保存。
  7. 根据需要添加模块（AUDIT、HARDWARE、STORAGE、HYPERVISOR）。

如需了解详情，请参阅 Nutanix Prism Central syslog 文档。

UDM 映射表

日志字段 UDM 映射 逻辑
audit_log about 已映射：true → about
audit_log about.labels 映射值（总共 5 个，例如 true → labels_syscall、true → labels_data、true → `la...
labels_arch about.labels 已合并
labels_data about.labels 已合并
labels_devmajor about.labels 已合并
labels_devminor about.labels 已合并
labels_syscall about.labels 已合并
audit_log additional.fields 已映射：false → originating_id、false → sessionId_label、false → source_file_label
creation_time_usecs_label additional.fields 已合并
curr_range_idx_label additional.fields 已合并
deserialization_in_progress_label additional.fields 已合并
done_callback_set_label additional.fields 已合并
is_arena_enabled_label additional.fields 已合并
last_rpc_time_usecs_label additional.fields 已合并
line_number_label additional.fields 已合并
message additional.fields 已映射：pam_unix → pam_module_label、pam_unix → pam_submodule_label
num_rpcs_before_stateful_scans_got_enabled_label additional.fields 已合并
nutanix_scan_keys_label additional.fields 已合并
originating_id additional.fields 已合并
pam_module_label additional.fields 已合并
pam_submodule_label additional.fields 已合并
prefetch_error_label additional.fields 已合并
prefetch_hits_label additional.fields 已合并
prefetch_in_progress_label additional.fields 已合并
prefetch_stopped_label additional.fields 已合并
processed_data_size_label additional.fields 已合并
sessionId_label additional.fields 已合并
source_file_label additional.fields 已合并
thread_name_label additional.fields 已合并
total_data_read_bytes_label additional.fields 已合并
total_deserialization_time_usecs_label additional.fields 已合并
total_rows_read_label additional.fields 已合并
total_rpc_time_usecs_label additional.fields 已合并
total_rpcs_done_label additional.fields 已合并
total_scan_time_label additional.fields 已合并
unprocessed_data_size_label additional.fields 已合并
use_chakrdb_backend_label additional.fields 已合并
vblocks_label additional.fields 已合并
vdisk_id_label additional.fields 已合并
audit_log extensions.auth.type 映射：false → AUTHTYPE_UNSPECIFIED、true → MACHINE、true → AUTHTYPE_UNSPECIFIED
audit_log_type extensions.auth.type 映射的值（总共 6 个，例如“SYSCALL”“LOGIN”“USER_LOGIN”“USER_ACCT”“USER_ROLE_CHAN...
has_principal extensions.auth.type 已映射：true → AUTHTYPE_UNSPECIFIED
audit_log intermediary 已映射：false → intermediary、false → logstash1、true → intermediary
logstash1 intermediary 已合并
dvc intermediary.hostname 已重命名/已映射
header_host intermediary.hostname 直接映射
logstash.ingest.host intermediary.hostname 直接映射
defaultMsg metadata.description 当 audit_log == false 时进行映射
description metadata.description 当 api_call_message != `` 时进行映射
msg2 metadata.description 直接映射
logstash.collect.timestamp metadata.event_timestamp 解析为 yyyy-MM-dd HH:mm:ss.SSS
logstash.ingest.timestamp metadata.event_timestamp 解析为 yyyy-MM-dd HH:mm:ss.SSS
logstash.process.timestamp metadata.event_timestamp 解析为 yyyy-MM-dd HH:mm:ss.SSS
metadata_ingested_timestamp metadata.event_timestamp 解析为 UNIX
timestamp metadata.event_timestamp 解析为 MMM d HH:mm:ss
audit_log metadata.event_type 映射的值（总共 30 个，例如 false → GENERIC_EVENT、false → USER_LOGIN、false → `...
audit_log_type metadata.event_type 直接映射
has_principal metadata.event_type 已映射：true → USER_LOGIN、true → STATUS_UPDATE、true → GENERIC_EVENT
has_principal_id metadata.event_type 映射：false → GENERIC_EVENT、true → SETTING_MODIFICATION、true → PROCESS_LAUNCH
http_method metadata.event_type 映射：GET → USER_RESOURCE_ACCESS、POST → RESOURCE_CREATION、"PATCH","UPDATE" → `...
audit_log_type metadata.product_event_type 直接映射
eventType metadata.product_event_type 直接映射
operation metadata.product_event_type 当 api_call_message != `` 时进行映射
operationType metadata.product_event_type 当 audit_log == false 时进行映射
pam_message metadata.product_event_type 当 message =~ pam_unix 时映射
program metadata.product_event_type 当 audit_log == false 时进行映射
entity_uuid metadata.product_log_id 当 audit_log == false 时进行映射
uuid metadata.product_log_id 当 audit_log == false 时进行映射
audit_log metadata.product_name 已映射：true → Nutanix_Prism
api_version metadata.product_version 当 audit_log == false 时进行映射
audit_log metadata.vendor_name 已映射：true → Nutanix_Prism
audit_log network.application_protocol 已映射：true → SSH
audit_log_type network.application_protocol 已映射：CRYPTO_SESSION → SSH
audit_log network.direction 已映射：true → OUTBOUND、true → INBOUND
audit_log_type network.direction 已映射：CRYPTO_SESSION → OUTBOUND、CRYPTO_SESSION → INBOUND
direction network.direction 映射：from-client → OUTBOUND，from-server → INBOUND
http_method network.http.method 当 audit_log == false 时进行映射
audit_log network.ip_protocol 映射值（总共 6 个，例如 false → UDP、false → TCP、true → IP6IN4）
audit_log_type network.ip_protocol 已映射：CRYPTO_SESSION → TCP
audit_log network.sent_bytes 已映射：true → uinteger
audit_log_type network.sent_bytes 已映射：CRYPTO_SESSION → uinteger
ksize network.sent_bytes 直接映射
ses network.session_id 直接映射
session_id network.session_id 直接映射
cipher network.tls.cipher 直接映射
pfs network.tls.curve 直接映射
agent.type observer.application 当 audit_log == false 时进行映射
agent.id observer.asset_id 当 audit_log == false 时进行映射
agent.type observer.asset_id 当 audit_log == false 时进行映射
audit_log observer.ip 已映射：false → collect_ip
collect_ip observer.ip 已合并
agent.version observer.platform_version 当 audit_log == false 时进行映射
application principal.application 当 application != `` 时进行映射
comm principal.application 直接映射
terminal principal.application 直接映射
audit_log principal.asset.attribute.labels 已映射：true → token_new
token_new principal.asset.attribute.labels 已合并
audit_log principal.asset.hardware 已映射：false → hardware
hardware principal.asset.hardware 已合并
hostname principal.asset.hostname 当 hostname != `` 时进行映射
principal_hostname principal.asset.hostname 直接映射
syslog_host principal.asset.hostname 当 audit_log == false 时进行映射
audit_log principal.asset.ip 已映射：false → clientIp、false → src_ip、false → ip
clientIp principal.asset.ip 已合并
ip principal.asset.ip 已合并
replica_ip principal.asset.ip 已合并
src_ip principal.asset.ip 已合并
host.id principal.asset_id 当 audit_log == false 时进行映射
target.group principal.group 已重命名/已映射
audit_log principal.group.attribute.labels 已映射：true → labels_inode_gid
labels_inode_gid principal.group.attribute.labels 已合并
hostname principal.hostname 直接映射
principal_asset_hostname principal.hostname 直接映射
syslog_host principal.hostname 当 audit_log == false 时进行映射
addr principal.ip 已合并
audit_log principal.ip 映射值（总共 6 个，例如 false → clientIp、false → src_ip、false → ip）
audit_log_type principal.ip 映射：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
clientIp principal.ip 已合并
ip principal.ip 已合并
laddr principal.ip 已合并
replica_ip principal.ip 已合并
src_ip principal.ip 已合并
audit_log principal.labels 已映射：false → irmsite、false → irmregion、false → irmenvironment、false → `c...
clienttype principal.labels 已合并
irmenvironment principal.labels 已合并
irmregion principal.labels 已合并
irmsite principal.labels 已合并
audit_log principal.mac 映射：false → mac，true → formatted_mac_addr
formatted_mac_addr principal.mac 已合并
mac principal.mac 已合并
audit_log principal.platform 映射的值（总共 5 个，例如 false → LINUX、false → WINDOWS、false → MAC）
host.os.kernel principal.platform_patch_level 当 audit_log == false 时进行映射
host.os.version principal.platform_version 当 audit_log == false 时进行映射
rport principal.port 直接映射
src_port principal.port 当 audit_log == false 时进行映射
cgroup principal.process.file.full_path 直接映射
process_name principal.process.file.names 已合并
target.process.parent_process.pid principal.process.parent_process.pid 已重命名/已映射
princ_pid principal.process.pid 当 audit_log == false 时进行映射
process_id principal.process.pid 当 process_id != `` 时进行映射
spid principal.process.pid 直接映射
target.process.pid principal.process.pid 已重命名/已映射
target.user principal.user 已重命名/已映射
audit_log principal.user.attribute.labels 已映射：true → labels_inode_uid
labels_inode_uid principal.user.attribute.labels 已合并
acct principal.user.user_display_name 直接映射
userName principal.user.user_display_name 当 audit_log == false 时进行映射
user_id principal.user.user_display_name 当 audit_log == false 时进行映射
pam_principal_uid principal.user.userid 当 message =~ pam_unix 时映射
suid principal.user.userid 直接映射
uid principal.user.userid 直接映射
user_id principal.user.userid 当 audit_log == false 时进行映射
audit_log security_result 映射：false → security_result，true → security_result
audit_log security_result.about.labels 已映射：true → labels_list
labels_list security_result.about.labels 已合并
action security_result.action 已合并
audit_log security_result.action 已映射：true → security_action、true → action
audit_log_type security_result.action 映射：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
res security_result.action 已映射：success → security_action
security_action security_result.action 已合并
res security_result.action_details 直接映射
alertuid security_result.detection_fields 已合并
audit_log security_result.detection_fields 映射的值（共 7 个，例如 false → entity_type、false → entity_name、false → `en...
detection_fields_key security_result.detection_fields 已合并
entity_name security_result.detection_fields 已合并
entity_type security_result.detection_fields 已合并
entity_uuid security_result.detection_fields 已合并
labels_saddr security_result.detection_fields 已合并
labels_sig security_result.detection_fields 已合并
audit_log security_result.severity 映射的值（总共 5 个，例如 false → CRITICAL、false → ERROR、false → HIGH）
log_level security_result.severity 映射："EMERGENCY","ALERT","CRITICAL" → CRITICAL、WARNING → HIGH、NOTICE → `MEDIU...
audit_log security_result.summary 已映射：true → systemcall was successful、true → systemcall was failed
op security_result.summary 直接映射
reason security_result.summary 直接映射
res security_result.summary 直接映射
success security_result.summary 映射：(?i)yes → systemcall was successful，(?i)no → systemcall was failed
summary security_result.summary 直接映射
name src.file.full_path 直接映射
src src.ip 已重命名/已映射
terminal target.application 直接映射
audit_log target.asset.attribute.labels 已映射：true → token_new
token_new target.asset.attribute.labels 已合并
audit_log target.asset.attribute.permissions 已映射：true → permissions
permissions target.asset.attribute.permissions 已合并
target_hostname target.asset.hostname 直接映射
audit_log target.asset.ip 已映射：false → ip
ip target.asset.ip 已合并
full_path target.file.full_path 直接映射
name target.file.full_path 直接映射
path target.file.full_path 直接映射
filetype target.file.mime_type 直接映射
audit_log target.group 已映射：true → principal.group
audit_log_type target.group 映射的值（总共 8 个，例如“SYSCALL”“LOGIN”“USER_LOGIN”“USER_ACCT”“USER_ROLE_CHAN...
audit_log target.group.attribute.labels 映射值（总共 12 个，例如 true → labels_new_gid、true → labels_NEW_GID、true →...
labels_EGID target.group.attribute.labels 已合并
labels_FSGID target.group.attribute.labels 已合并
labels_NEW_GID target.group.attribute.labels 已合并
labels_OBJ_GID target.group.attribute.labels 已合并
labels_OGID target.group.attribute.labels 已合并
labels_SGID target.group.attribute.labels 已合并
labels_egid target.group.attribute.labels 已合并
labels_fsgid target.group.attribute.labels 已合并
labels_new_gid target.group.attribute.labels 已合并
labels_obj_gid target.group.attribute.labels 已合并
labels_ogid target.group.attribute.labels 已合并
labels_sgid target.group.attribute.labels 已合并
group_display_name target.group.group_display_name 直接映射
id target.group.product_object_id 直接映射
product_object_id target.group.product_object_id 直接映射
hostname target.hostname 直接映射
target_asset_hostname target.hostname 直接映射
addr target.ip 已合并
audit_log target.ip 映射：false → ip，true → addr
audit_log_type target.ip 已映射：CRYPTO_SESSION → addr
ip target.ip 已合并
audit_log target.labels 映射：true → labels_ter、true → labels_tty、true → labels_exit、true → `labe...
labels_exit target.labels 已合并
labels_subj target.labels 已合并
labels_ter target.labels 已合并
labels_tty target.labels 已合并
audit_log target.mac 已映射：false → mac
mac target.mac 已合并
lport target.port 直接映射
args target.process.command_line 直接映射
command_line target.process.command_line 直接映射
ocomm target.process.command_line 直接映射
exe target.process.file.full_path 直接映射
audit_log target.process.parent_process.pid 已映射：true → principal.process.parent_process.pid
audit_log_type target.process.parent_process.pid 映射：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
ppid target.process.parent_process.pid 直接映射
audit_log target.process.pid 已映射：true → principal.process.pid
audit_log_type target.process.pid 映射：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
opid target.process.pid 直接映射
pid target.process.pid 直接映射
audit_log target.resource.attribute.labels 映射：true → labels_mem、true → labels_vcpu、true → labels_olh、true → `labe...
block_number_label target.resource.attribute.labels 已合并
labels_mem target.resource.attribute.labels 已合并
labels_olh target.resource.attribute.labels 已合并
labels_oll target.resource.attribute.labels 已合并
labels_vcpu target.resource.attribute.labels 已合并
partition_id_label target.resource.attribute.labels 已合并
snapshot_chain_id_label target.resource.attribute.labels 已合并
transaction_id_label target.resource.attribute.labels 已合并
admin_permission_1 target.resource.attribute.permissions 已合并
admin_permission_2 target.resource.attribute.permissions 已合并
admin_permission_3 target.resource.attribute.permissions 已合并
audit_log target.resource.attribute.permissions 映射值（总共 9 个，例如 true → admin_permission_1、true → admin_permission_2、`...
group_permission_1 target.resource.attribute.permissions 已合并
group_permission_2 target.resource.attribute.permissions 已合并
group_permission_3 target.resource.attribute.permissions 已合并
others_permission_1 target.resource.attribute.permissions 已合并
others_permission_2 target.resource.attribute.permissions 已合并
others_permission_3 target.resource.attribute.permissions 已合并
exe target.resource.name 直接映射
new-disk target.resource.name 直接映射
obj target.resource.name 直接映射
params.vm_name target.resource.name 当 audit_log == false 时进行映射
vm target.resource.name 直接映射
inode target.resource.product_object_id 直接映射
audit_log target.resource.resource_type 已映射：true → SETTING
audit_log_type target.resource.resource_type 映射：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
rest_endpoint target.url 当 audit_log == false 时进行映射
audit_log target.user 已映射：true → principal.user
audit_log_type target.user 映射的值（总共 8 个，例如“SYSCALL”“LOGIN”“USER_LOGIN”“USER_ACCT”“USER_ROLE_CHAN...
audit_log target.user.attribute.labels 映射值（总共 15 个，例如 true → labels_auid、true → labels_AUID、true → `labe...
labels_AUID target.user.attribute.labels 已合并
labels_EUID target.user.attribute.labels 已合并
labels_FSUID target.user.attribute.labels 已合并
labels_OAUID target.user.attribute.labels 已合并
labels_OUID target.user.attribute.labels 已合并
labels_SUID target.user.attribute.labels 已合并
labels_auid target.user.attribute.labels 已合并
labels_euid target.user.attribute.labels 已合并
labels_fsuid target.user.attribute.labels 已合并
labels_id target.user.attribute.labels 已合并
labels_oauid target.user.attribute.labels 已合并
labels_obj_uid target.user.attribute.labels 已合并
labels_ouid target.user.attribute.labels 已合并
labels_sauid target.user.attribute.labels 已合并
labels_suid target.user.attribute.labels 已合并
audit_log target.user.attribute.roles 已映射：true → obj_role、true → subj_role
obj_role target.user.attribute.roles 已合并
subj_role target.user.attribute.roles 已合并
obj_user target.user.user_display_name 直接映射
user_display_name target.user.user_display_name 直接映射
id target.user.userid 直接映射
pam_target_user target.user.userid 当 message =~ pam_unix 时映射
uid target.user.userid 直接映射
userid target.user.userid 直接映射
不适用 extensions.auth.type 常量：MACHINE
不适用 metadata.event_type 常量：GENERIC_EVENT
不适用 metadata.product_name 常量：Nutanix_Prism
不适用 metadata.vendor_name 常量：Nutanix_Prism
不适用 network.application_protocol 常量：SSH
不适用 network.direction 常量：OUTBOUND
不适用 network.ip_protocol 常量：IP6IN4
不适用 principal.platform 常量：LINUX
不适用 security_result.severity 常量：CRITICAL
不适用 security_result.summary 常量：systemcall was successful
不适用 target.group 常量：principal.group
不适用 target.process.parent_process.pid 常量：principal.process.parent_process.pid
不适用 target.process.pid 常量：principal.process.pid
不适用 target.resource.resource_type 常量：SETTING
不适用 target.user 常量：principal.user
header_host event.idm.read_only_udm.intermediary.hostname 从变更日志映射
application event.idm.read_only_udm.principal.application 从变更日志映射
thread_name event.idm.read_only_udm.additional.fields 从变更日志映射
line_number event.idm.read_only_udm.additional.fields 从变更日志映射
vdisk_id event.idm.read_only_udm.additional.fields 从变更日志映射
pam_module event.idm.read_only_udm.additional.fields 从变更日志映射
pam_submodule event.idm.read_only_udm.additional.fields 从变更日志映射
snapshot_chain_id event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
partition_id event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
block_number event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
transaction_id event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
replica_ip event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
description event.idm.read_only_udm.metadata.description 从变更日志映射
pam_target_user event.idm.read_only_udm.target.user.userid 从变更日志映射
pam_principal_uid event.idm.read_only_udm.principal.user.userid 从变更日志映射
pam_message event.idm.read_only_udm.metadata.product_event_type 从变更日志映射
princ_pid event.idm.read_only_udm.principal.process.pid 从变更日志映射
affectedEntityList" and "alertUid security_result.detection_fields 从变更日志映射
clientIp" and "params.requested_ip_address principal.ip 从变更日志映射
originatingClusterUuid" and "sessionId additional.fields 从变更日志映射
params.mac_address principal.mac 从变更日志映射
logstash.ingest.host intermediary[0].hostname 从变更日志映射
logstash.collect.host observer.ip 从变更日志映射

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。