收集 Nutanix Prism Central 記錄

支援的國家/地區：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Nutanix Prism Central 記錄檔擷取至 Google Security Operations。Nutanix Prism Central 是 Nutanix 超融合基礎架構叢集的集中式管理平台。可提供整合式資料檢視，方便您監控、管理及自動化多個 Nutanix 叢集的作業，包括 VM 生命週期管理、容量規劃和安全監控。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體。
搭載 systemd 的 Windows 2016 以上版本或 Linux 主機。
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
具備管理員或 Prism 管理員角色的 Nutanix Prism Central 網頁控制台專屬存取權。

取得 Google SecOps 擷取驗證檔案

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「收集代理程式」。
下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟「命令提示字元」或「PowerShell」。

執行下列指令：

msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux 安裝

開啟具有根層級或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

存取設定檔：
- 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
- 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

按照下列方式編輯 config.yaml 檔案：

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/nutanix_prism:
        compression: gzip
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        customer_id: '<CUSTOMER_ID>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: NUTANIX_PRISM
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/nutanix_prism_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/nutanix_prism

視基礎架構需求，替換通訊埠和 IP 位址。
將 <CUSTOMER_ID> 替換為實際的客戶 ID。
將 /path/to/ingestion-authentication-file.json 更新為驗證檔案的儲存路徑。

重新啟動 Bindplane 代理程式，以套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
```
sudo systemctl restart observiq-otel-collector
```
如要在 Windows 中重新啟動 Bindplane 代理程式，可以使用「服務」控制台，也可以輸入下列指令：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

在 Nutanix Prism Central 上設定系統記錄轉送

設定遠端系統記錄檔伺服器

登入 Nutanix Prism Central 網頁控制台。
按一下右上角的齒輪圖示 (設定)。
在「設定」面板中向下捲動，然後選取「監控和記錄」區段下方的「系統記錄伺服器」。
按一下「+ 設定 Syslog 伺服器」。
在「伺服器名稱」欄位中，輸入描述性名稱 (例如 Bindplane-SecOps)。
在「IP Address」欄位中，輸入 Bindplane 代理程式主機的 IP 位址。
在「Port」(通訊埠) 欄位中，輸入 514 (或您設定的通訊埠)。
在「傳輸通訊協定」下拉式選單中，選取「UDP」。
按一下 [儲存]。

設定記錄模組

新增系統記錄伺服器後，按一下伺服器項目 Bindplane-SecOps。
按一下「+ 新增模組」，設定要轉送的記錄類型。
根據需求新增下列模組：
- 稽核：擷取使用者驗證事件、設定變更和 API 活動。
- API_AUDIT：擷取對 Prism Central 的所有 REST API 呼叫。
- FLOW：擷取網路微區隔流量記錄 (如果已啟用 Flow)。
- MICROSEG：擷取微細分政策事件。
針對每個模組：
1. 從下拉式選單中選取「模組」。
2. 將「記錄層級」設為「INFO」或所需層級 (建議：設為「INFO」，以便全面記錄)。
3. 按一下 [儲存]。

在個別 Prism Element 叢集上設定系統記錄 (選用)

如需個別 Prism Element 叢集的記錄，請按照下列步驟操作：

登入特定叢集的 Prism Element 網路控制台。
按一下齒輪圖示 (「設定」)。
前往「Monitoring and Logging」(監控和記錄) 區段下的「Syslog Server」(系統記錄伺服器)。
按一下「+ 設定 Syslog 伺服器」。
輸入相同的 Bindplane 代理程式詳細資料：
- 伺服器名稱：輸入 Bindplane-SecOps。
- IP 位址：輸入 Bindplane 代理程式主機的 IP 位址。
- 「Port」(通訊埠)：輸入 514。
- 「傳輸通訊協定」：選取「UDP」。
按一下 [儲存]。
視需要新增模組 (AUDIT、HARDWARE、STORAGE、HYPERVISOR)。

詳情請參閱 Nutanix Prism Central 系統記錄說明文件。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`audit_log`	`about`	已對應：`true` → `about`
`audit_log`	`about.labels`	對應值 (共 5 個，例如 `true` → `labels_syscall`、`true` → `labels_data`、`true` → `la...
`labels_arch`	`about.labels`	已合併
`labels_data`	`about.labels`	已合併
`labels_devmajor`	`about.labels`	已合併
`labels_devminor`	`about.labels`	已合併
`labels_syscall`	`about.labels`	已合併
`audit_log`	`additional.fields`	對應：`false` → `originating_id`、`false` → `sessionId_label`、`false` → `source_file_label`
`creation_time_usecs_label`	`additional.fields`	已合併
`curr_range_idx_label`	`additional.fields`	已合併
`deserialization_in_progress_label`	`additional.fields`	已合併
`done_callback_set_label`	`additional.fields`	已合併
`is_arena_enabled_label`	`additional.fields`	已合併
`last_rpc_time_usecs_label`	`additional.fields`	已合併
`line_number_label`	`additional.fields`	已合併
`message`	`additional.fields`	已對應：`pam_unix` → `pam_module_label`、`pam_unix` → `pam_submodule_label`
`num_rpcs_before_stateful_scans_got_enabled_label`	`additional.fields`	已合併
`nutanix_scan_keys_label`	`additional.fields`	已合併
`originating_id`	`additional.fields`	已合併
`pam_module_label`	`additional.fields`	已合併
`pam_submodule_label`	`additional.fields`	已合併
`prefetch_error_label`	`additional.fields`	已合併
`prefetch_hits_label`	`additional.fields`	已合併
`prefetch_in_progress_label`	`additional.fields`	已合併
`prefetch_stopped_label`	`additional.fields`	已合併
`processed_data_size_label`	`additional.fields`	已合併
`sessionId_label`	`additional.fields`	已合併
`source_file_label`	`additional.fields`	已合併
`thread_name_label`	`additional.fields`	已合併
`total_data_read_bytes_label`	`additional.fields`	已合併
`total_deserialization_time_usecs_label`	`additional.fields`	已合併
`total_rows_read_label`	`additional.fields`	已合併
`total_rpc_time_usecs_label`	`additional.fields`	已合併
`total_rpcs_done_label`	`additional.fields`	已合併
`total_scan_time_label`	`additional.fields`	已合併
`unprocessed_data_size_label`	`additional.fields`	已合併
`use_chakrdb_backend_label`	`additional.fields`	已合併
`vblocks_label`	`additional.fields`	已合併
`vdisk_id_label`	`additional.fields`	已合併
`audit_log`	`extensions.auth.type`	對應：`false` → `AUTHTYPE_UNSPECIFIED`、`true` → `MACHINE`、`true` → `AUTHTYPE_UNSPECIFIED`
`audit_log_type`	`extensions.auth.type`	對應的值 (共 6 個)，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
`has_principal`	`extensions.auth.type`	已對應：`true` → `AUTHTYPE_UNSPECIFIED`
`audit_log`	`intermediary`	對應：`false` → `intermediary`、`false` → `logstash1`、`true` → `intermediary`
`logstash1`	`intermediary`	已合併
`dvc`	`intermediary.hostname`	已重新命名/對應
`header_host`	`intermediary.hostname`	直接對應
`logstash.ingest.host`	`intermediary.hostname`	直接對應
`defaultMsg`	`metadata.description`	當 `audit_log` == `false` 時對應
`description`	`metadata.description`	當 `api_call_message` != `` 時對應
`msg2`	`metadata.description`	直接對應
`logstash.collect.timestamp`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-dd HH:mm:ss.SSS`
`logstash.ingest.timestamp`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-dd HH:mm:ss.SSS`
`logstash.process.timestamp`	`metadata.event_timestamp`	已剖析為 `yyyy-MM-dd HH:mm:ss.SSS`
`metadata_ingested_timestamp`	`metadata.event_timestamp`	已剖析為 `UNIX`
`timestamp`	`metadata.event_timestamp`	已剖析為 `MMM d HH:mm:ss`
`audit_log`	`metadata.event_type`	對應值 (共 30 個，例如 `false` → `GENERIC_EVENT`、`false` → `USER_LOGIN`、`false` → `...
`audit_log_type`	`metadata.event_type`	直接對應
`has_principal`	`metadata.event_type`	對應：`true` → `USER_LOGIN`、`true` → `STATUS_UPDATE`、`true` → `GENERIC_EVENT`
`has_principal_id`	`metadata.event_type`	對應：`false` → `GENERIC_EVENT`、`true` → `SETTING_MODIFICATION`、`true` → `PROCESS_LAUNCH`
`http_method`	`metadata.event_type`	已對應：`GET` → `USER_RESOURCE_ACCESS`、`POST` → `RESOURCE_CREATION`、`"PATCH","UPDATE"` → `...
`audit_log_type`	`metadata.product_event_type`	直接對應
`eventType`	`metadata.product_event_type`	直接對應
`operation`	`metadata.product_event_type`	當 `api_call_message` != `` 時對應
`operationType`	`metadata.product_event_type`	當 `audit_log` == `false` 時對應
`pam_message`	`metadata.product_event_type`	當 `message` =~ `pam_unix` 時對應
`program`	`metadata.product_event_type`	當 `audit_log` == `false` 時對應
`entity_uuid`	`metadata.product_log_id`	當 `audit_log` == `false` 時對應
`uuid`	`metadata.product_log_id`	當 `audit_log` == `false` 時對應
`audit_log`	`metadata.product_name`	已對應：`true` → `Nutanix_Prism`
`api_version`	`metadata.product_version`	當 `audit_log` == `false` 時對應
`audit_log`	`metadata.vendor_name`	已對應：`true` → `Nutanix_Prism`
`audit_log`	`network.application_protocol`	已對應：`true` → `SSH`
`audit_log_type`	`network.application_protocol`	已對應：`CRYPTO_SESSION` → `SSH`
`audit_log`	`network.direction`	已對應：`true` → `OUTBOUND`、`true` → `INBOUND`
`audit_log_type`	`network.direction`	已對應：`CRYPTO_SESSION` → `OUTBOUND`、`CRYPTO_SESSION` → `INBOUND`
`direction`	`network.direction`	對應：`from-client` → `OUTBOUND`、`from-server` → `INBOUND`
`http_method`	`network.http.method`	當 `audit_log` == `false` 時對應
`audit_log`	`network.ip_protocol`	對應值 (共 6 個，例如 `false` → `UDP`、`false` → `TCP`、`true` → `IP6IN4`)
`audit_log_type`	`network.ip_protocol`	已對應：`CRYPTO_SESSION` → `TCP`
`audit_log`	`network.sent_bytes`	已對應：`true` → `uinteger`
`audit_log_type`	`network.sent_bytes`	已對應：`CRYPTO_SESSION` → `uinteger`
`ksize`	`network.sent_bytes`	直接對應
`ses`	`network.session_id`	直接對應
`session_id`	`network.session_id`	直接對應
`cipher`	`network.tls.cipher`	直接對應
`pfs`	`network.tls.curve`	直接對應
`agent.type`	`observer.application`	當 `audit_log` == `false` 時對應
`agent.id`	`observer.asset_id`	當 `audit_log` == `false` 時對應
`agent.type`	`observer.asset_id`	當 `audit_log` == `false` 時對應
`audit_log`	`observer.ip`	已對應：`false` → `collect_ip`
`collect_ip`	`observer.ip`	已合併
`agent.version`	`observer.platform_version`	當 `audit_log` == `false` 時對應
`application`	`principal.application`	當 `application` != `` 時對應
`comm`	`principal.application`	直接對應
`terminal`	`principal.application`	直接對應
`audit_log`	`principal.asset.attribute.labels`	已對應：`true` → `token_new`
`token_new`	`principal.asset.attribute.labels`	已合併
`audit_log`	`principal.asset.hardware`	已對應：`false` → `hardware`
`hardware`	`principal.asset.hardware`	已合併
`hostname`	`principal.asset.hostname`	當 `hostname` != `` 時對應
`principal_hostname`	`principal.asset.hostname`	直接對應
`syslog_host`	`principal.asset.hostname`	當 `audit_log` == `false` 時對應
`audit_log`	`principal.asset.ip`	對應：`false` → `clientIp`、`false` → `src_ip`、`false` → `ip`
`clientIp`	`principal.asset.ip`	已合併
`ip`	`principal.asset.ip`	已合併
`replica_ip`	`principal.asset.ip`	已合併
`src_ip`	`principal.asset.ip`	已合併
`host.id`	`principal.asset_id`	當 `audit_log` == `false` 時對應
`target.group`	`principal.group`	已重新命名/對應
`audit_log`	`principal.group.attribute.labels`	已對應：`true` → `labels_inode_gid`
`labels_inode_gid`	`principal.group.attribute.labels`	已合併
`hostname`	`principal.hostname`	直接對應
`principal_asset_hostname`	`principal.hostname`	直接對應
`syslog_host`	`principal.hostname`	當 `audit_log` == `false` 時對應
`addr`	`principal.ip`	已合併
`audit_log`	`principal.ip`	對應值 (共 6 個，例如 `false` → `clientIp`、`false` → `src_ip`、`false` → `ip`)
`audit_log_type`	`principal.ip`	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
`clientIp`	`principal.ip`	已合併
`ip`	`principal.ip`	已合併
`laddr`	`principal.ip`	已合併
`replica_ip`	`principal.ip`	已合併
`src_ip`	`principal.ip`	已合併
`audit_log`	`principal.labels`	已對應：`false` → `irmsite`、`false` → `irmregion`、`false` → `irmenvironment`、`false` → `c...
`clienttype`	`principal.labels`	已合併
`irmenvironment`	`principal.labels`	已合併
`irmregion`	`principal.labels`	已合併
`irmsite`	`principal.labels`	已合併
`audit_log`	`principal.mac`	對應：`false` → `mac`、`true` → `formatted_mac_addr`
`formatted_mac_addr`	`principal.mac`	已合併
`mac`	`principal.mac`	已合併
`audit_log`	`principal.platform`	對應值 (共 5 個，例如 `false` → `LINUX`、`false` → `WINDOWS`、`false` → `MAC`)
`host.os.kernel`	`principal.platform_patch_level`	當 `audit_log` == `false` 時對應
`host.os.version`	`principal.platform_version`	當 `audit_log` == `false` 時對應
`rport`	`principal.port`	直接對應
`src_port`	`principal.port`	當 `audit_log` == `false` 時對應
`cgroup`	`principal.process.file.full_path`	直接對應
`process_name`	`principal.process.file.names`	已合併
`target.process.parent_process.pid`	`principal.process.parent_process.pid`	已重新命名/對應
`princ_pid`	`principal.process.pid`	當 `audit_log` == `false` 時對應
`process_id`	`principal.process.pid`	當 `process_id` != `` 時對應
`spid`	`principal.process.pid`	直接對應
`target.process.pid`	`principal.process.pid`	已重新命名/對應
`target.user`	`principal.user`	已重新命名/對應
`audit_log`	`principal.user.attribute.labels`	已對應：`true` → `labels_inode_uid`
`labels_inode_uid`	`principal.user.attribute.labels`	已合併
`acct`	`principal.user.user_display_name`	直接對應
`userName`	`principal.user.user_display_name`	當 `audit_log` == `false` 時對應
`user_id`	`principal.user.user_display_name`	當 `audit_log` == `false` 時對應
`pam_principal_uid`	`principal.user.userid`	當 `message` =~ `pam_unix` 時對應
`suid`	`principal.user.userid`	直接對應
`uid`	`principal.user.userid`	直接對應
`user_id`	`principal.user.userid`	當 `audit_log` == `false` 時對應
`audit_log`	`security_result`	已對應：`false` → `security_result`、`true` → `security_result`
`audit_log`	`security_result.about.labels`	已對應：`true` → `labels_list`
`labels_list`	`security_result.about.labels`	已合併
`action`	`security_result.action`	已合併
`audit_log`	`security_result.action`	已對應：`true` → `security_action`、`true` → `action`
`audit_log_type`	`security_result.action`	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
`res`	`security_result.action`	已對應：`success` → `security_action`
`security_action`	`security_result.action`	已合併
`res`	`security_result.action_details`	直接對應
`alertuid`	`security_result.detection_fields`	已合併
`audit_log`	`security_result.detection_fields`	對應值 (共 7 個，例如 `false` → `entity_type`、`false` → `entity_name`、`false` → `en...
`detection_fields_key`	`security_result.detection_fields`	已合併
`entity_name`	`security_result.detection_fields`	已合併
`entity_type`	`security_result.detection_fields`	已合併
`entity_uuid`	`security_result.detection_fields`	已合併
`labels_saddr`	`security_result.detection_fields`	已合併
`labels_sig`	`security_result.detection_fields`	已合併
`audit_log`	`security_result.severity`	對應值 (共 5 個，例如 `false` → `CRITICAL`、`false` → `ERROR`、`false` → `HIGH`)
`log_level`	`security_result.severity`	已對應：`"EMERGENCY","ALERT","CRITICAL"` → `CRITICAL`、`WARNING` → `HIGH`、`NOTICE` → `MEDIU...
`audit_log`	`security_result.summary`	已對應：`true` → `systemcall was successful`、`true` → `systemcall was failed`
`op`	`security_result.summary`	直接對應
`reason`	`security_result.summary`	直接對應
`res`	`security_result.summary`	直接對應
`success`	`security_result.summary`	對應：`(?i)yes` → `systemcall was successful`、`(?i)no` → `systemcall was failed`
`summary`	`security_result.summary`	直接對應
`name`	`src.file.full_path`	直接對應
`src`	`src.ip`	已重新命名/對應
`terminal`	`target.application`	直接對應
`audit_log`	`target.asset.attribute.labels`	已對應：`true` → `token_new`
`token_new`	`target.asset.attribute.labels`	已合併
`audit_log`	`target.asset.attribute.permissions`	已對應：`true` → `permissions`
`permissions`	`target.asset.attribute.permissions`	已合併
`target_hostname`	`target.asset.hostname`	直接對應
`audit_log`	`target.asset.ip`	已對應：`false` → `ip`
`ip`	`target.asset.ip`	已合併
`full_path`	`target.file.full_path`	直接對應
`name`	`target.file.full_path`	直接對應
`path`	`target.file.full_path`	直接對應
`filetype`	`target.file.mime_type`	直接對應
`audit_log`	`target.group`	已對應：`true` → `principal.group`
`audit_log_type`	`target.group`	對應的值 (共 8 個)，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
`audit_log`	`target.group.attribute.labels`	對應值 (共 12 個，例如 `true` → `labels_new_gid`、`true` → `labels_NEW_GID`、`true` →...
`labels_EGID`	`target.group.attribute.labels`	已合併
`labels_FSGID`	`target.group.attribute.labels`	已合併
`labels_NEW_GID`	`target.group.attribute.labels`	已合併
`labels_OBJ_GID`	`target.group.attribute.labels`	已合併
`labels_OGID`	`target.group.attribute.labels`	已合併
`labels_SGID`	`target.group.attribute.labels`	已合併
`labels_egid`	`target.group.attribute.labels`	已合併
`labels_fsgid`	`target.group.attribute.labels`	已合併
`labels_new_gid`	`target.group.attribute.labels`	已合併
`labels_obj_gid`	`target.group.attribute.labels`	已合併
`labels_ogid`	`target.group.attribute.labels`	已合併
`labels_sgid`	`target.group.attribute.labels`	已合併
`group_display_name`	`target.group.group_display_name`	直接對應
`id`	`target.group.product_object_id`	直接對應
`product_object_id`	`target.group.product_object_id`	直接對應
`hostname`	`target.hostname`	直接對應
`target_asset_hostname`	`target.hostname`	直接對應
`addr`	`target.ip`	已合併
`audit_log`	`target.ip`	對應：`false` → `ip`、`true` → `addr`
`audit_log_type`	`target.ip`	已對應：`CRYPTO_SESSION` → `addr`
`ip`	`target.ip`	已合併
`audit_log`	`target.labels`	已對應：`true` → `labels_ter`、`true` → `labels_tty`、`true` → `labels_exit`、`true` → `labe...
`labels_exit`	`target.labels`	已合併
`labels_subj`	`target.labels`	已合併
`labels_ter`	`target.labels`	已合併
`labels_tty`	`target.labels`	已合併
`audit_log`	`target.mac`	已對應：`false` → `mac`
`mac`	`target.mac`	已合併
`lport`	`target.port`	直接對應
`args`	`target.process.command_line`	直接對應
`command_line`	`target.process.command_line`	直接對應
`ocomm`	`target.process.command_line`	直接對應
`exe`	`target.process.file.full_path`	直接對應
`audit_log`	`target.process.parent_process.pid`	已對應：`true` → `principal.process.parent_process.pid`
`audit_log_type`	`target.process.parent_process.pid`	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
`ppid`	`target.process.parent_process.pid`	直接對應
`audit_log`	`target.process.pid`	已對應：`true` → `principal.process.pid`
`audit_log_type`	`target.process.pid`	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
`opid`	`target.process.pid`	直接對應
`pid`	`target.process.pid`	直接對應
`audit_log`	`target.resource.attribute.labels`	已對應：`true` → `labels_mem`、`true` → `labels_vcpu`、`true` → `labels_olh`、`true` → `labe...
`block_number_label`	`target.resource.attribute.labels`	已合併
`labels_mem`	`target.resource.attribute.labels`	已合併
`labels_olh`	`target.resource.attribute.labels`	已合併
`labels_oll`	`target.resource.attribute.labels`	已合併
`labels_vcpu`	`target.resource.attribute.labels`	已合併
`partition_id_label`	`target.resource.attribute.labels`	已合併
`snapshot_chain_id_label`	`target.resource.attribute.labels`	已合併
`transaction_id_label`	`target.resource.attribute.labels`	已合併
`admin_permission_1`	`target.resource.attribute.permissions`	已合併
`admin_permission_2`	`target.resource.attribute.permissions`	已合併
`admin_permission_3`	`target.resource.attribute.permissions`	已合併
`audit_log`	`target.resource.attribute.permissions`	對應值 (共 9 個，例如 `true` → `admin_permission_1`、`true` → `admin_permission_2`、`...
`group_permission_1`	`target.resource.attribute.permissions`	已合併
`group_permission_2`	`target.resource.attribute.permissions`	已合併
`group_permission_3`	`target.resource.attribute.permissions`	已合併
`others_permission_1`	`target.resource.attribute.permissions`	已合併
`others_permission_2`	`target.resource.attribute.permissions`	已合併
`others_permission_3`	`target.resource.attribute.permissions`	已合併
`exe`	`target.resource.name`	直接對應
`new-disk`	`target.resource.name`	直接對應
`obj`	`target.resource.name`	直接對應
`params.vm_name`	`target.resource.name`	當 `audit_log` == `false` 時對應
`vm`	`target.resource.name`	直接對應
`inode`	`target.resource.product_object_id`	直接對應
`audit_log`	`target.resource.resource_type`	已對應：`true` → `SETTING`
`audit_log_type`	`target.resource.resource_type`	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
`rest_endpoint`	`target.url`	當 `audit_log` == `false` 時對應
`audit_log`	`target.user`	已對應：`true` → `principal.user`
`audit_log_type`	`target.user`	對應的值 (共 8 個)，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
`audit_log`	`target.user.attribute.labels`	對應值 (共 15 個，例如 `true` → `labels_auid`、`true` → `labels_AUID`、`true` → `labe...
`labels_AUID`	`target.user.attribute.labels`	已合併
`labels_EUID`	`target.user.attribute.labels`	已合併
`labels_FSUID`	`target.user.attribute.labels`	已合併
`labels_OAUID`	`target.user.attribute.labels`	已合併
`labels_OUID`	`target.user.attribute.labels`	已合併
`labels_SUID`	`target.user.attribute.labels`	已合併
`labels_auid`	`target.user.attribute.labels`	已合併
`labels_euid`	`target.user.attribute.labels`	已合併
`labels_fsuid`	`target.user.attribute.labels`	已合併
`labels_id`	`target.user.attribute.labels`	已合併
`labels_oauid`	`target.user.attribute.labels`	已合併
`labels_obj_uid`	`target.user.attribute.labels`	已合併
`labels_ouid`	`target.user.attribute.labels`	已合併
`labels_sauid`	`target.user.attribute.labels`	已合併
`labels_suid`	`target.user.attribute.labels`	已合併
`audit_log`	`target.user.attribute.roles`	已對應：`true` → `obj_role`、`true` → `subj_role`
`obj_role`	`target.user.attribute.roles`	已合併
`subj_role`	`target.user.attribute.roles`	已合併
`obj_user`	`target.user.user_display_name`	直接對應
`user_display_name`	`target.user.user_display_name`	直接對應
`id`	`target.user.userid`	直接對應
`pam_target_user`	`target.user.userid`	當 `message` =~ `pam_unix` 時對應
`uid`	`target.user.userid`	直接對應
`userid`	`target.user.userid`	直接對應
不適用	`extensions.auth.type`	常數：`MACHINE`
不適用	`metadata.event_type`	常數：`GENERIC_EVENT`
不適用	`metadata.product_name`	常數：`Nutanix_Prism`
不適用	`metadata.vendor_name`	常數：`Nutanix_Prism`
不適用	`network.application_protocol`	常數：`SSH`
不適用	`network.direction`	常數：`OUTBOUND`
不適用	`network.ip_protocol`	常數：`IP6IN4`
不適用	`principal.platform`	常數：`LINUX`
不適用	`security_result.severity`	常數：`CRITICAL`
不適用	`security_result.summary`	常數：`systemcall was successful`
不適用	`target.group`	常數：`principal.group`
不適用	`target.process.parent_process.pid`	常數：`principal.process.parent_process.pid`
不適用	`target.process.pid`	常數：`principal.process.pid`
不適用	`target.resource.resource_type`	常數：`SETTING`
不適用	`target.user`	常數：`principal.user`
`header_host`	`event.idm.read_only_udm.intermediary.hostname`	從變更記錄對應
`application`	`event.idm.read_only_udm.principal.application`	從變更記錄對應
`thread_name`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`line_number`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`vdisk_id`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`pam_module`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`pam_submodule`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`snapshot_chain_id`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`partition_id`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`block_number`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`transaction_id`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`replica_ip`	`event.idm.read_only_udm.principal.ip` 和 `event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`description`	`event.idm.read_only_udm.metadata.description`	從變更記錄對應
`pam_target_user`	`event.idm.read_only_udm.target.user.userid`	從變更記錄對應
`pam_principal_uid`	`event.idm.read_only_udm.principal.user.userid`	從變更記錄對應
`pam_message`	`event.idm.read_only_udm.metadata.product_event_type`	從變更記錄對應
`princ_pid`	`event.idm.read_only_udm.principal.process.pid`	從變更記錄對應
`affectedEntityList" and "alertUid`	`security_result.detection_fields`	從變更記錄對應
`clientIp" and "params.requested_ip_address`	`principal.ip`	從變更記錄對應
`originatingClusterUuid" and "sessionId`	`additional.fields`	從變更記錄對應
`params.mac_address`	`principal.mac`	從變更記錄對應
`logstash.ingest.host`	`intermediary[0].hostname`	從變更記錄對應
`logstash.collect.host`	`observer.ip`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。