收集 Nutanix Prism Central 記錄

本文說明如何使用 Bindplane，將 Nutanix Prism Central 記錄檔擷取至 Google Security Operations。Nutanix Prism Central 是 Nutanix 超融合基礎架構叢集的集中式管理平台。提供整合式資料檢視，可監控、管理及自動化多個 Nutanix 叢集的作業，包括 VM 生命週期管理、容量規劃和安全監控。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體。
• Windows 2016 以上版本或 Linux 主機 (含 systemd)。
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟。
• 具備管理員或 Prism 管理員角色的 Nutanix Prism Central 網頁控制台特殊存取權。

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 請提供下列設定詳細資料：
   • 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM Settings」(SIEM 設定) >「Profile」(設定檔)。
3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

Linux 安裝

1. 開啟具有 root 或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

其他安裝資源

如需其他安裝選項，請參閱這份安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

1. 存取設定檔：

   • 找出 config.yaml 檔案。通常位於 Linux 的 /opt/observiq-otel-collector/ 目錄，或 Windows 的安裝目錄。
   • 使用文字編輯器 (例如 nano、vi 或記事本) 開啟檔案。

2. 按照下列方式編輯 config.yaml 檔案：

   receivers:
       udplog:
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/nutanix_prism:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           customer_id: '<CUSTOMER_ID>'
           endpoint: chronicle.googleapis.com
           log_type: NUTANIX_PRISM
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/nutanix_prism_to_chronicle:
               receivers:
                   - udplog
               exporters:
                   - chronicle/nutanix_prism
   

• 請根據基礎架構需求，替換通訊埠和 IP 位址。
• 將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。
• 將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
• 將 <CUSTOMER_ID> 替換為實際的客戶 ID。
• 將 /path/to/ingestion-authentication-file.json 更新為服務帳戶金鑰檔案 (選項 1) 的儲存路徑。

舊版 Ingestion API 匯出工具

• 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
      chronicle/nutanix_prism:
          compression: gzip
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          customer_id: '<CUSTOMER_ID>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: NUTANIX_PRISM
          raw_log_field: body
          ingestion_labels:
  

重新啟動 Bindplane 代理程式，套用變更

1. 如要在 Linux 重新啟動 Bindplane 代理程式，請執行下列指令：

   sudo systemctl restart observiq-otel-collector
   

2. 如要在 Windows 重新啟動 Bindplane 代理程式，可以使用「服務」控制台，或輸入下列指令：

   net stop observiq-otel-collector && net start observiq-otel-collector
   

在 Nutanix Prism Central 設定 syslog 轉送

設定遠端系統記錄檔伺服器

1. 登入 Nutanix Prism Central 網頁控制台。
2. 按一下右上角的齒輪圖示 (設定)。
3. 在「設定」面板中向下捲動，然後選取「監控和記錄」區段下方的「Syslog」。
4. 按一下「+ 設定 Syslog 伺服器」。
5. 在「伺服器名稱」欄位中，輸入描述性名稱 (例如 Bindplane-SecOps)。
6. 在「IP Address」(IP 位址) 欄位中，輸入 Bindplane 代理程式主機的 IP 位址。
7. 在「Port」(通訊埠) 欄位中，輸入 514 (或您設定的通訊埠)。
8. 在「Transport Protocol」(傳輸通訊協定) 下拉式選單中，選取「UDP」。
9. 按一下 [儲存]。

設定記錄模組

1. 新增 Syslog 後，按一下伺服器項目 Bindplane-SecOps。
2. 按一下「+ Add Module」，設定要轉送的記錄類型。
3. 根據需求新增下列模組：
   • AUDIT：擷取使用者驗證事件、設定變更和 API 活動。
   • API_AUDIT：擷取對 Prism Central 的所有 REST API 呼叫。
   • FLOW：擷取網路微區隔流量記錄 (如果已啟用 Flow)。
   • MICROSEG：擷取微區隔政策事件。
4. 針對每個模組：
   1. 從下拉式選單中選取「模組」。
   2. 將「Log Level」設為「INFO」或所需層級 (建議設為「INFO」，以便取得完整記錄)。
   3. 按一下 [儲存]。

在個別 Prism Element 叢集上設定系統記錄 (選用)

如需個別 Prism Element 叢集的記錄，請按照下列步驟操作：

1. 登入特定叢集的 Prism Element 網頁控制台。
2. 按一下齒輪圖示 (「設定」)。
3. 前往「監控和記錄」部分下方的「Syslog 伺服器」。
4. 按一下「+ 設定 Syslog 伺服器」。
5. 輸入相同的 Bindplane 代理程式詳細資料：
   • 伺服器名稱：輸入 Bindplane-SecOps。
   • IP 位址：輸入 Bindplane 代理程式主機的 IP 位址。
   • 「Port」(通訊埠)：輸入 514。
   • 「Transport Protocol」(傳輸通訊協定)：選取「UDP」。
6. 按一下 [儲存]。
7. 視需要新增模組 (AUDIT、HARDWARE、STORAGE、HYPERVISOR)。

詳情請參閱 Nutanix Prism Central 系統記錄說明文件。

UDM 對應表

記錄欄位	UDM 對應	邏輯
audit_log	about	對應：true → about
audit_log	about.labels	對應值 (共 5 個，例如 true → labels_syscall、true → labels_data、true → `la...
labels_arch	about.labels	已合併
labels_data	about.labels	已合併
labels_devmajor	about.labels	已合併
labels_devminor	about.labels	已合併
labels_syscall	about.labels	已合併
audit_log	additional.fields	對應：false → originating_id、false → sessionId_label、false → source_file_label
creation_time_usecs_label	additional.fields	已合併
curr_range_idx_label	additional.fields	已合併
deserialization_in_progress_label	additional.fields	已合併
done_callback_set_label	additional.fields	已合併
is_arena_enabled_label	additional.fields	已合併
last_rpc_time_usecs_label	additional.fields	已合併
line_number_label	additional.fields	已合併
message	additional.fields	對應：pam_unix → pam_module_label，pam_unix → pam_submodule_label
num_rpcs_before_stateful_scans_got_enabled_label	additional.fields	已合併
nutanix_scan_keys_label	additional.fields	已合併
originating_id	additional.fields	已合併
pam_module_label	additional.fields	已合併
pam_submodule_label	additional.fields	已合併
prefetch_error_label	additional.fields	已合併
prefetch_hits_label	additional.fields	已合併
prefetch_in_progress_label	additional.fields	已合併
prefetch_stopped_label	additional.fields	已合併
processed_data_size_label	additional.fields	已合併
sessionId_label	additional.fields	已合併
source_file_label	additional.fields	已合併
thread_name_label	additional.fields	已合併
total_data_read_bytes_label	additional.fields	已合併
total_deserialization_time_usecs_label	additional.fields	已合併
total_rows_read_label	additional.fields	已合併
total_rpc_time_usecs_label	additional.fields	已合併
total_rpcs_done_label	additional.fields	已合併
total_scan_time_label	additional.fields	已合併
unprocessed_data_size_label	additional.fields	已合併
use_chakrdb_backend_label	additional.fields	已合併
vblocks_label	additional.fields	已合併
vdisk_id_label	additional.fields	已合併
audit_log	extensions.auth.type	對應：false → AUTHTYPE_UNSPECIFIED、true → MACHINE、true → AUTHTYPE_UNSPECIFIED
audit_log_type	extensions.auth.type	對應值 (共 6 個，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
has_principal	extensions.auth.type	對應：true → AUTHTYPE_UNSPECIFIED
audit_log	intermediary	已對應：false → intermediary、false → logstash1、true → intermediary
logstash1	intermediary	已合併
dvc	intermediary.hostname	已重新命名/對應
header_host	intermediary.hostname	直接對應
logstash.ingest.host	intermediary.hostname	直接對應
defaultMsg	metadata.description	audit_log == false 時對應
description	metadata.description	當 api_call_message != `` 時對應
msg2	metadata.description	直接對應
logstash.collect.timestamp	metadata.event_timestamp	已剖析為 yyyy-MM-dd HH:mm:ss.SSS
logstash.ingest.timestamp	metadata.event_timestamp	已剖析為 yyyy-MM-dd HH:mm:ss.SSS
logstash.process.timestamp	metadata.event_timestamp	已剖析為 yyyy-MM-dd HH:mm:ss.SSS
metadata_ingested_timestamp	metadata.event_timestamp	已剖析為 UNIX
timestamp	metadata.event_timestamp	已剖析為 MMM d HH:mm:ss
audit_log	metadata.event_type	對應值 (共 30 個，例如 false → GENERIC_EVENT、false → USER_LOGIN、false → `...
audit_log_type	metadata.event_type	直接對應
has_principal	metadata.event_type	對應：true → USER_LOGIN、true → STATUS_UPDATE、true → GENERIC_EVENT
has_principal_id	metadata.event_type	對應：false → GENERIC_EVENT、true → SETTING_MODIFICATION、true → PROCESS_LAUNCH
http_method	metadata.event_type	已對應：GET → USER_RESOURCE_ACCESS、POST → RESOURCE_CREATION、"PATCH","UPDATE" → `...
audit_log_type	metadata.product_event_type	直接對應
eventType	metadata.product_event_type	直接對應
operation	metadata.product_event_type	當 api_call_message != `` 時對應
operationType	metadata.product_event_type	audit_log == false 時對應
pam_message	metadata.product_event_type	message =~ pam_unix 時對應
program	metadata.product_event_type	audit_log == false 時對應
entity_uuid	metadata.product_log_id	當 audit_log == false 時對應
uuid	metadata.product_log_id	當 audit_log == false 時對應
audit_log	metadata.product_name	已對應：true → Nutanix_Prism
api_version	metadata.product_version	audit_log == false 時對應
audit_log	metadata.vendor_name	已對應：true → Nutanix_Prism
audit_log	network.application_protocol	已對應：true → SSH
audit_log_type	network.application_protocol	對應：CRYPTO_SESSION → SSH
audit_log	network.direction	對應：true → OUTBOUND，true → INBOUND
audit_log_type	network.direction	已對應：CRYPTO_SESSION → OUTBOUND、CRYPTO_SESSION → INBOUND
direction	network.direction	對應：from-client → OUTBOUND、from-server → INBOUND
http_method	network.http.method	audit_log == false 時對應
audit_log	network.ip_protocol	對應值 (共 6 個，例如 false → UDP、false → TCP、true → IP6IN4)
audit_log_type	network.ip_protocol	對應：CRYPTO_SESSION → TCP
audit_log	network.sent_bytes	對應：true → uinteger
audit_log_type	network.sent_bytes	對應：CRYPTO_SESSION → uinteger
ksize	network.sent_bytes	直接對應
ses	network.session_id	直接對應
session_id	network.session_id	直接對應
cipher	network.tls.cipher	直接對應
pfs	network.tls.curve	直接對應
agent.type	observer.application	當 audit_log == false 時對應
agent.id	observer.asset_id	當 audit_log == false 時對應
agent.type	observer.asset_id	audit_log == false 時對應
audit_log	observer.ip	對應：false → collect_ip
collect_ip	observer.ip	已合併
agent.version	observer.platform_version	audit_log == false 時對應
application	principal.application	當 application != `` 時對應
comm	principal.application	直接對應
terminal	principal.application	直接對應
audit_log	principal.asset.attribute.labels	對應：true → token_new
token_new	principal.asset.attribute.labels	已合併
audit_log	principal.asset.hardware	已對應：false → hardware
hardware	principal.asset.hardware	已合併
hostname	principal.asset.hostname	當 hostname != `` 時對應
principal_hostname	principal.asset.hostname	直接對應
syslog_host	principal.asset.hostname	audit_log == false 時對應
audit_log	principal.asset.ip	對應：false → clientIp、false → src_ip、false → ip
clientIp	principal.asset.ip	已合併
ip	principal.asset.ip	已合併
replica_ip	principal.asset.ip	已合併
src_ip	principal.asset.ip	已合併
host.id	principal.asset_id	audit_log == false 時對應
target.group	principal.group	已重新命名/對應
audit_log	principal.group.attribute.labels	對應：true → labels_inode_gid
labels_inode_gid	principal.group.attribute.labels	已合併
hostname	principal.hostname	直接對應
principal_asset_hostname	principal.hostname	直接對應
syslog_host	principal.hostname	當 audit_log == false 時對應
addr	principal.ip	已合併
audit_log	principal.ip	對應值 (共 6 個，例如 false → clientIp、false → src_ip、false → ip)
audit_log_type	principal.ip	對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
clientIp	principal.ip	已合併
ip	principal.ip	已合併
laddr	principal.ip	已合併
replica_ip	principal.ip	已合併
src_ip	principal.ip	已合併
audit_log	principal.labels	對應：false → irmsite、false → irmregion、false → irmenvironment、false → `c...
clienttype	principal.labels	已合併
irmenvironment	principal.labels	已合併
irmregion	principal.labels	已合併
irmsite	principal.labels	已合併
audit_log	principal.mac	對應：false → mac，true → formatted_mac_addr
formatted_mac_addr	principal.mac	已合併
mac	principal.mac	已合併
audit_log	principal.platform	對應值 (共 5 個，例如 false → LINUX、false → WINDOWS、false → MAC)
host.os.kernel	principal.platform_patch_level	audit_log == false 時對應
host.os.version	principal.platform_version	audit_log == false 時對應
rport	principal.port	直接對應
src_port	principal.port	audit_log == false 時對應
cgroup	principal.process.file.full_path	直接對應
process_name	principal.process.file.names	已合併
target.process.parent_process.pid	principal.process.parent_process.pid	已重新命名/對應
princ_pid	principal.process.pid	當 audit_log == false 時對應
process_id	principal.process.pid	當 process_id != `` 時對應
spid	principal.process.pid	直接對應
target.process.pid	principal.process.pid	已重新命名/對應
target.user	principal.user	已重新命名/對應
audit_log	principal.user.attribute.labels	對應：true → labels_inode_uid
labels_inode_uid	principal.user.attribute.labels	已合併
acct	principal.user.user_display_name	直接對應
userName	principal.user.user_display_name	當 audit_log == false 時對應
user_id	principal.user.user_display_name	audit_log == false 時對應
pam_principal_uid	principal.user.userid	message =~ pam_unix 時對應
suid	principal.user.userid	直接對應
uid	principal.user.userid	直接對應
user_id	principal.user.userid	audit_log == false 時對應
audit_log	security_result	對應：false → security_result，true → security_result
audit_log	security_result.about.labels	已對應：true → labels_list
labels_list	security_result.about.labels	已合併
action	security_result.action	已合併
audit_log	security_result.action	已對應：true → security_action、true → action
audit_log_type	security_result.action	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
res	security_result.action	對應：success → security_action
security_action	security_result.action	已合併
res	security_result.action_details	直接對應
alertuid	security_result.detection_fields	已合併
audit_log	security_result.detection_fields	對應值 (共 7 個，例如 false → entity_type、false → entity_name、false → `en...
detection_fields_key	security_result.detection_fields	已合併
entity_name	security_result.detection_fields	已合併
entity_type	security_result.detection_fields	已合併
entity_uuid	security_result.detection_fields	已合併
labels_saddr	security_result.detection_fields	已合併
labels_sig	security_result.detection_fields	已合併
audit_log	security_result.severity	對應值 (共 5 個，例如 false → CRITICAL、false → ERROR、false → HIGH)
log_level	security_result.severity	已對應："EMERGENCY","ALERT","CRITICAL" → CRITICAL、WARNING → HIGH、NOTICE → `MEDIU...
audit_log	security_result.summary	對應：true → systemcall was successful，true → systemcall was failed
op	security_result.summary	直接對應
reason	security_result.summary	直接對應
res	security_result.summary	直接對應
success	security_result.summary	對應：(?i)yes → systemcall was successful、(?i)no → systemcall was failed
summary	security_result.summary	直接對應
name	src.file.full_path	直接對應
src	src.ip	已重新命名/對應
terminal	target.application	直接對應
audit_log	target.asset.attribute.labels	對應：true → token_new
token_new	target.asset.attribute.labels	已合併
audit_log	target.asset.attribute.permissions	對應：true → permissions
permissions	target.asset.attribute.permissions	已合併
target_hostname	target.asset.hostname	直接對應
audit_log	target.asset.ip	已對應：false → ip
ip	target.asset.ip	已合併
full_path	target.file.full_path	直接對應
name	target.file.full_path	直接對應
path	target.file.full_path	直接對應
filetype	target.file.mime_type	直接對應
audit_log	target.group	對應：true → principal.group
audit_log_type	target.group	對應值 (共 8 個，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
audit_log	target.group.attribute.labels	對應值 (共 12 個，例如 true → labels_new_gid、true → labels_NEW_GID、true →...
labels_EGID	target.group.attribute.labels	已合併
labels_FSGID	target.group.attribute.labels	已合併
labels_NEW_GID	target.group.attribute.labels	已合併
labels_OBJ_GID	target.group.attribute.labels	已合併
labels_OGID	target.group.attribute.labels	已合併
labels_SGID	target.group.attribute.labels	已合併
labels_egid	target.group.attribute.labels	已合併
labels_fsgid	target.group.attribute.labels	已合併
labels_new_gid	target.group.attribute.labels	已合併
labels_obj_gid	target.group.attribute.labels	已合併
labels_ogid	target.group.attribute.labels	已合併
labels_sgid	target.group.attribute.labels	已合併
group_display_name	target.group.group_display_name	直接對應
id	target.group.product_object_id	直接對應
product_object_id	target.group.product_object_id	直接對應
hostname	target.hostname	直接對應
target_asset_hostname	target.hostname	直接對應
addr	target.ip	已合併
audit_log	target.ip	對應：false → ip、true → addr
audit_log_type	target.ip	已對應：CRYPTO_SESSION → addr
ip	target.ip	已合併
audit_log	target.labels	已對應：true → labels_ter、true → labels_tty、true → labels_exit、true → `labe...
labels_exit	target.labels	已合併
labels_subj	target.labels	已合併
labels_ter	target.labels	已合併
labels_tty	target.labels	已合併
audit_log	target.mac	對應：false → mac
mac	target.mac	已合併
lport	target.port	直接對應
args	target.process.command_line	直接對應
command_line	target.process.command_line	直接對應
ocomm	target.process.command_line	直接對應
exe	target.process.file.full_path	直接對應
audit_log	target.process.parent_process.pid	已對應：true → principal.process.parent_process.pid
audit_log_type	target.process.parent_process.pid	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
ppid	target.process.parent_process.pid	直接對應
audit_log	target.process.pid	對應：true → principal.process.pid
audit_log_type	target.process.pid	已對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
opid	target.process.pid	直接對應
pid	target.process.pid	直接對應
audit_log	target.resource.attribute.labels	已對應：true → labels_mem、true → labels_vcpu、true → labels_olh、true → `labe...
block_number_label	target.resource.attribute.labels	已合併
labels_mem	target.resource.attribute.labels	已合併
labels_olh	target.resource.attribute.labels	已合併
labels_oll	target.resource.attribute.labels	已合併
labels_vcpu	target.resource.attribute.labels	已合併
partition_id_label	target.resource.attribute.labels	已合併
snapshot_chain_id_label	target.resource.attribute.labels	已合併
transaction_id_label	target.resource.attribute.labels	已合併
admin_permission_1	target.resource.attribute.permissions	已合併
admin_permission_2	target.resource.attribute.permissions	已合併
admin_permission_3	target.resource.attribute.permissions	已合併
audit_log	target.resource.attribute.permissions	對應值 (共 9 個，例如 true → admin_permission_1、true → admin_permission_2、`...
group_permission_1	target.resource.attribute.permissions	已合併
group_permission_2	target.resource.attribute.permissions	已合併
group_permission_3	target.resource.attribute.permissions	已合併
others_permission_1	target.resource.attribute.permissions	已合併
others_permission_2	target.resource.attribute.permissions	已合併
others_permission_3	target.resource.attribute.permissions	已合併
exe	target.resource.name	直接對應
new-disk	target.resource.name	直接對應
obj	target.resource.name	直接對應
params.vm_name	target.resource.name	audit_log == false 時對應
vm	target.resource.name	直接對應
inode	target.resource.product_object_id	直接對應
audit_log	target.resource.resource_type	對應：true → SETTING
audit_log_type	target.resource.resource_type	對應：`"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHANGE", "USER_START", "U...
rest_endpoint	target.url	當 audit_log == false 時對應
audit_log	target.user	已對應：true → principal.user
audit_log_type	target.user	對應值 (共 8 個，例如 `"SYSCALL", "LOGIN", "USER_LOGIN", "USER_ACCT", "USER_ROLE_CHAN...
audit_log	target.user.attribute.labels	對應值 (共 15 個，例如 true → labels_auid、true → labels_AUID、true → `labe...
labels_AUID	target.user.attribute.labels	已合併
labels_EUID	target.user.attribute.labels	已合併
labels_FSUID	target.user.attribute.labels	已合併
labels_OAUID	target.user.attribute.labels	已合併
labels_OUID	target.user.attribute.labels	已合併
labels_SUID	target.user.attribute.labels	已合併
labels_auid	target.user.attribute.labels	已合併
labels_euid	target.user.attribute.labels	已合併
labels_fsuid	target.user.attribute.labels	已合併
labels_id	target.user.attribute.labels	已合併
labels_oauid	target.user.attribute.labels	已合併
labels_obj_uid	target.user.attribute.labels	已合併
labels_ouid	target.user.attribute.labels	已合併
labels_sauid	target.user.attribute.labels	已合併
labels_suid	target.user.attribute.labels	已合併
audit_log	target.user.attribute.roles	對應：true → obj_role，true → subj_role
obj_role	target.user.attribute.roles	已合併
subj_role	target.user.attribute.roles	已合併
obj_user	target.user.user_display_name	直接對應
user_display_name	target.user.user_display_name	直接對應
id	target.user.userid	直接對應
pam_target_user	target.user.userid	當 message =~ pam_unix 時對應
uid	target.user.userid	直接對應
userid	target.user.userid	直接對應
不適用	extensions.auth.type	常數：MACHINE
不適用	metadata.event_type	常數：GENERIC_EVENT
不適用	metadata.product_name	常數：Nutanix_Prism
不適用	metadata.vendor_name	常數：Nutanix_Prism
不適用	network.application_protocol	常數：SSH
不適用	network.direction	常數：OUTBOUND
不適用	network.ip_protocol	常數：IP6IN4
不適用	principal.platform	常數：LINUX
不適用	security_result.severity	常數：CRITICAL
不適用	security_result.summary	常數：systemcall was successful
不適用	target.group	常數：principal.group
不適用	target.process.parent_process.pid	常數：principal.process.parent_process.pid
不適用	target.process.pid	常數：principal.process.pid
不適用	target.resource.resource_type	常數：SETTING
不適用	target.user	常數：principal.user
header_host	event.idm.read_only_udm.intermediary.hostname	從變更記錄對應
application	event.idm.read_only_udm.principal.application	從變更記錄對應
thread_name	event.idm.read_only_udm.additional.fields	從變更記錄對應
line_number	event.idm.read_only_udm.additional.fields	從變更記錄對應
vdisk_id	event.idm.read_only_udm.additional.fields	從變更記錄對應
pam_module	event.idm.read_only_udm.additional.fields	從變更記錄對應
pam_submodule	event.idm.read_only_udm.additional.fields	從變更記錄對應
snapshot_chain_id	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
partition_id	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
block_number	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
transaction_id	event.idm.read_only_udm.target.resource.attribute.labels	從變更記錄對應
replica_ip	event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
description	event.idm.read_only_udm.metadata.description	從變更記錄對應
pam_target_user	event.idm.read_only_udm.target.user.userid	從變更記錄對應
pam_principal_uid	event.idm.read_only_udm.principal.user.userid	從變更記錄對應
pam_message	event.idm.read_only_udm.metadata.product_event_type	從變更記錄對應
princ_pid	event.idm.read_only_udm.principal.process.pid	從變更記錄對應
affectedEntityList" and "alertUid	security_result.detection_fields	從變更記錄對應
clientIp" and "params.requested_ip_address	principal.ip	從變更記錄對應
originatingClusterUuid" and "sessionId	additional.fields	從變更記錄對應
params.mac_address	principal.mac	從變更記錄對應
logstash.ingest.host	intermediary[0].hostname	從變更記錄對應
logstash.collect.host	observer.ip	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。