收集 Okta Advanced Server Access 記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Okta Advanced Server Access 記錄擷取至 Google Security Operations。

Okta Advanced Server Access (原稱 ScaleFT) 是一項權限存取管理解決方案，可透過暫時性憑證和詳盡的稽核記錄，提供伺服器的 SSH 和 RDP 存取權。平台會保留稽核事件 90 天，並提供 API，方便您擷取這些事件，長期儲存於 SIEM 平台中並進行分析。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage、Cloud Run、Pub/Sub 和 Cloud Scheduler API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • Okta Advanced Server Access 團隊的管理員存取權
  • 在 Advanced Server Access 中建立服務使用者和 API 金鑰

設定 Okta Advanced Server Access API 存取權

如要讓 Google SecOps 擷取稽核事件，請建立服務使用者並產生 API 金鑰。服務使用者是專為自動化和 API 整合設計的特殊帳戶。

建立服務使用者

  1. 登入 Advanced Server Access 資訊主頁。
  2. 前往使用者。
  3. 選取「服務使用者」分頁標籤。
  4. 按一下「Create Service User」(建立服務使用者)。

  5. 在「Username」(使用者名稱) 欄位中，輸入服務使用者的描述性名稱 (例如 chronicle-integration)。

  6. 按一下「Create Service User」(建立服務使用者)。

產生 API 金鑰

  1. 在服務使用者詳細資料頁面中，按一下「建立 API 金鑰」。

  2. 請立即複製並儲存下列憑證：

    • API 金鑰 ID：用於識別 API 金鑰的 UUID (例如 6052868b-1b04-4a14-8288-e6496d7f2f4b)
    • API 金鑰密鑰：用於驗證 API 要求的 Base64 編碼密鑰字串

  3. 按一下 [完成]。

將服務使用者指派給具有適當權限的群組

服務使用者必須是具有適當團隊角色的群組成員，才能存取 Audits API。

  1. 在 Advanced Server Access 資訊主頁中，前往「Groups」(群組)。
  2. 選取現有群組或建立新群組，以取得 API 存取權。
  3. 按一下群組名稱，開啟群組詳細資料。
  4. 選取 [Users] (使用者) 分頁標籤。
  5. 點選「Add User」。
  6. 搜尋並選取服務使用者 (例如 chronicle-integration)。
  7. 按一下「新增」。
  8. 選取「角色」分頁標籤。

  9. 確認群組具備下列其中一個團隊角色：

    • reporting_user：所有端點的唯讀存取權 (建議用於記錄擷取)
    • access_admin：完整管理存取權 (授予所有 CRUD 權限)

  10. 如果未指派必要角色，請按一下「新增角色」，選取「reporting_user」或「access_admin」，然後按一下「儲存」。

驗證權限

如要確認服務使用者是否具備必要權限，請按照下列步驟操作：

  1. 在 Advanced Server Access 資訊主頁中，前往「Groups」(群組)。
  2. 按一下包含服務使用者的群組 (例如 chronicle-integration)。
  3. 選取「角色」分頁標籤。
  4. 確認列出 reporting_user 或 access_admin 角色。
  5. 如果看不到「角色」分頁，請與管理員聯絡，請對方授予適當的存取權。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    # Replace with your actual credentials
TEAM_NAME="your-team-name"
KEY_ID="your-api-key-id"
KEY_SECRET="your-api-key-secret"

# Obtain bearer token
TOKEN=$(curl -s -X POST "https://app.scaleft.com/v1/teams/${TEAM_NAME}/service_token" \
    -H "Content-Type: application/json" \
    -d "{\"key_id\": \"${KEY_ID}\", \"key_secret\": \"${KEY_SECRET}\"}" \
    | python3 -c "import sys,json; print(json.load(sys.stdin)['bearer_token'])")

# Test audit events access
curl -s -H "Authorization: Bearer ${TOKEN}" \
    "https://app.scaleft.com/v1/teams/${TEAM_NAME}/auditsV2?count=5" \
    | python3 -m json.tool

成功的回應會傳回近期稽核事件的 JSON 陣列。

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 okta-asa-audit-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

為 Cloud Run 函式建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 okta-asa-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Okta Advanced Server Access audit logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

授予 GCS 值區的 IAM 權限

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 bucket 名稱 (okta-asa-audit-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (okta-asa-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 okta-asa-audit-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Okta Advanced Server Access Audits API 擷取記錄，並寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 okta-asa-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「Select a Cloud Pub/Sub topic」(選取 Cloud Pub/Sub 主題) 中，選擇 okta-asa-audit-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取 okta-asa-collector-sa

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET okta-asa-audit-logs GCS bucket 名稱
    GCS_PREFIX okta-asa-audit 記錄檔的前置字串
    STATE_KEY okta-asa-audit/state.json 狀態檔案路徑
    ASA_TEAM_NAME your-team-name Advanced Server Access 團隊名稱
    ASA_KEY_ID your-api-key-id 服務使用者 API 金鑰 ID
    ASA_KEY_SECRET your-api-key-secret 服務使用者 API 金鑰密鑰
    MAX_RECORDS 5000 每次執行的記錄數上限
    PAGE_SIZE 1000 每個 API 頁面的記錄數 (最多 1000 筆)
    LOOKBACK_HOURS 24 初始回溯期

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。

  2. 在內嵌程式碼編輯器中，建立兩個檔案：

    • main.py:

      import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time

http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=10.0, read=60.0),
  retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'okta-asa-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'okta-asa-audit/state.json')
ASA_TEAM_NAME = os.environ.get('ASA_TEAM_NAME')
ASA_KEY_ID = os.environ.get('ASA_KEY_ID')
ASA_KEY_SECRET = os.environ.get('ASA_KEY_SECRET')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '5000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))

ASA_API_BASE = 'https://app.scaleft.com'

@functions_framework.cloud_event
def main(cloud_event):
  if not all([GCS_BUCKET, ASA_TEAM_NAME, ASA_KEY_ID, ASA_KEY_SECRET]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket)
    now = datetime.now(timezone.utc)

    if isinstance(state, dict) and state.get('last_offset'):
      last_offset = state['last_offset']
    else:
      last_offset = None

    print(f"Starting audit log collection (last_offset={last_offset})")

    token = get_bearer_token()

    records, newest_offset = fetch_audit_events(
      token=token,
      last_offset=last_offset,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
    )

    if not records:
      print("No new audit records found.")
      return

    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/okta_asa_audit_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join(
      [json.dumps(record, ensure_ascii=False) for record in records]
    ) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

    if newest_offset:
      save_state(bucket, newest_offset)

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def get_bearer_token():
  url = f"{ASA_API_BASE}/v1/teams/{ASA_TEAM_NAME}/service_token"
  body = json.dumps({
    'key_id': ASA_KEY_ID,
    'key_secret': ASA_KEY_SECRET
  }).encode('utf-8')

  response = http.request(
    'POST', url,
    body=body,
    headers={'Content-Type': 'application/json'}
  )

  if response.status != 200:
    raise Exception(
      f"Service token request failed: {response.status} - "
      f"{response.data.decode('utf-8')}"
    )

  data = json.loads(response.data.decode('utf-8'))
  token = data.get('bearer_token')
  if not token:
    raise Exception("No bearer_token in service token response")

  print("Successfully obtained ASA bearer token")
  return token

def fetch_audit_events(token, last_offset, page_size, max_records):
  endpoint = f"{ASA_API_BASE}/v1/teams/{ASA_TEAM_NAME}/auditsV2"

  headers = {
    'Authorization': f'Bearer {token}',
    'Accept': 'application/json',
  }

  records = []
  page_num = 0
  backoff = 1.0
  current_offset = last_offset

  while True:
    page_num += 1

    if len(records) >= max_records:
      print(f"Reached max_records limit ({max_records})")
      break

    params = [f"count={page_size}"]
    if current_offset:
      params.append(f"offset={current_offset}")

    url = f"{endpoint}?{'&'.join(params)}"

    try:
      response = http.request('GET', url, headers=headers)

      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      backoff = 1.0

      if response.status == 401:
        print("Token expired (401). Refreshing bearer token...")
        token = get_bearer_token()
        headers['Authorization'] = f'Bearer {token}'
        continue

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return records, current_offset

      data = json.loads(response.data.decode('utf-8'))

      page_results = data.get('list', [])

      if not page_results:
        print(f"No more results (empty page)")
        break

      print(f"Page {page_num}: Retrieved {len(page_results)} events")
      records.extend(page_results)

      # Extract next offset from Link header for pagination
      link_header = response.headers.get('Link', '')
      next_offset = extract_next_offset(link_header)

      if next_offset:
        current_offset = next_offset
      else:
        print("No more pages (no next link)")
        break

    except Exception as e:
      print(f"Error fetching audit events: {e}")
      return records, current_offset

  print(f"Retrieved {len(records)} total records from {page_num} pages")
  return records, current_offset

def extract_next_offset(link_header):
  if not link_header:
    return None

  parts = link_header.split(',')
  for part in parts:
    if 'rel="next"' in part:
      url_part = part.split(';')[0].strip().strip('<>')
      if 'offset=' in url_part:
        for param in url_part.split('?')[-1].split('&'):
          if param.startswith('offset='):
            return param.split('=', 1)[1]
  return None

def load_state(bucket):
  try:
    blob = bucket.blob(STATE_KEY)
    if blob.exists():
      return json.loads(blob.download_as_text())
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, last_offset):
  try:
    state = {
      'last_offset': last_offset,
      'last_run': datetime.now(timezone.utc).isoformat()
    }
    blob = bucket.blob(STATE_KEY)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_offset={last_offset}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

    • requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 okta-asa-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取「okta-asa-audit-trigger」
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 5 分鐘 */5 * * * * 大量低延遲
每 15 分鐘 */15 * * * * 中等
每小時 0 * * * * 標準 (建議)
每 6 小時 0 */6 * * * 少量、批次處理
每日 0 0 * * * 歷來資料集合

測試整合項目

  1. 在 Cloud Scheduler 控制台中，找出您的工作 (okta-asa-collector-hourly)。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下 okta-asa-collector。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否已順利執行。尋找：

    Starting audit log collection (last_offset=None)
Successfully obtained ASA bearer token
Page 1: Retrieved X events
Wrote X records to gs://okta-asa-audit-logs/okta-asa-audit/okta_asa_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下 okta-asa-audit-logs。

  10. 前往 okta-asa-audit/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401：確認 ASA_KEY_ID 和 ASA_KEY_SECRET 環境變數是否正確
  • HTTP 403：確認服務使用者具有 reporting_user 或 access_admin 角色
  • HTTP 429：頻率限制，函式會自動重試，並採用指數輪詢間隔
  • 缺少環境變數：確認 Cloud Run 函式設定中已設定所有必要變數

擷取 Google SecOps 服務帳戶

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Okta ASA Audit Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Okta Advanced Server Access」做為「記錄類型」。
  7. 按一下「取得服務帳戶」。

  8. 系統會顯示專屬的服務帳戶電子郵件地址。例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 複製這個電子郵件地址，以便在下一步中使用。

  10. 點選「下一步」。

  11. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://okta-asa-audit-logs/okta-asa-audit/

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

  12. 點選「下一步」。

  13. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 okta-asa-audit-logs。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」

  6. 按一下 [儲存]。

UDM 對應表

記錄欄位 UDM 對應 邏輯
details.actor.details.email principal.user.email_addresses 直接複製值
details.actor.details.first_name principal.user.first_name 直接複製值
details.actor.details.full_name principal.user.user_display_name 直接複製值
details.actor.details.last_name principal.user.last_name 直接複製值
details.actor.details.user_type principal.user.attribute.roles 直接複製值
details.actor.id principal.user.employee_id 直接複製值
details.actor.name principal.user.userid 如果詳細資料 actor.name 的值不是空白，則為該值，否則為詳細資料 unix_user_name
details.unix_user_name principal.user.userid
details.actor.status principal.user.attribute.labels 已合併為索引鍵為「actor_status」的標籤
details.actor.team_name principal.user.department 直接複製值
details.actor.user_type principal.user.attribute.labels 已合併為標籤，鍵為「actor_user_type」
details.client.description principal.application 直接複製值
details.client.encrypted principal.asset.attribute.labels 轉換為字串，並以「details_client_encrypted」鍵合併為標籤
details.client.hostname principal.hostname、principal.asset.hostname 直接複製值
details.client.id principal.user.product_object_id 直接複製值
details.client.os principal.platform 如果符合 (?i)Win|win，請設為 WINDOWS；如果符合 (?i)Lin|lin，請設為 LINUX；如果符合 (?i)Mac|ios|mac，請設為 MAC；如果符合 (?i)Android|android，請設為 ANDROID
details.client.os principal.platform_version 使用 grok 從 OS 字串中擷取 major.minor.patch
details.client.state principal.resource.attribute.labels 已合併為索引鍵為「client_state」的標籤
details.client.user_name target.user.userid 直接複製值
details.client_ip principal.ip、principal.asset.ip 使用 grok 模式擷取的 IP
details.from_address principal.ip、principal.asset.ip 使用 grok 模式擷取的 IP
details.project.create_server_users target.resource.attribute.labels 轉換為字串，並以「project_create_server_users」鍵合併為標籤
details.project.force_shared_ssh_users target.resource.attribute.labels 轉換為字串，並以「project_force_shared_ssh_users」鍵合併為標籤
details.project.forward_traffic target.resource.attribute.labels 轉換為字串，並以「project_forward_traffic」鍵合併為標籤
details.project.id target.resource.id 直接複製值
details.project.name target.resource.name 直接複製值
details.project.next_unix_gid target.resource.attribute.labels 轉換為字串，並以「next_unix_gid」鍵合併為標籤
details.project.next_unix_uid target.resource.attribute.labels 轉換為字串，並以「next_unix_uid」鍵合併為標籤
details.project.rdp_session_recording target.resource.attribute.labels 轉換為字串，並以「project_rdp_session_recording」鍵合併為標籤
details.project.require_preauth_for_creds target.resource.attribute.labels 轉換為字串，並以「project_require_preauth_for_creds」金鑰合併為標籤
details.project.ssh_certificate_type target.resource.attribute.labels 合併為標籤，索引鍵為「project_ssh_certificate_type」
details.project.ssh_session_recording target.resource.attribute.labels 轉換為字串，並以「project_ssh_session_recording」鍵合併為標籤
details.project.team target.resource.attribute.labels 已合併為索引鍵為「project_team」的標籤
details.server.alt_names target.hostname、target.asset.hostname、target.resource.attribute.labels 第一個 alt_name 會設為 target.hostname 和 target.asset.hostname，其他則會合併為標籤，並以「alt_name」做為鍵
details.server.hostname intermediary_value.hostname 直接複製值
details.server.id intermediary_value.resource.attribute.labels 已合併為金鑰為「details_server_id」的標籤
details.server.os intermediary_value.platform_version 直接複製值
details.server.os intermediary_value.resource.attribute.labels 已合併為標籤，金鑰為「details_server_os」
details.server.os_type intermediary_value.platform 如果符合 (?i)linux，請設為 LINUX；如果符合 (?i)windows，請設為 WINDOWS；如果符合 (?i)mac，請設為 MAC
details.server.services intermediary_value.resource.attribute.labels 已合併為標籤，金鑰為「server_services {index}」
details.server.source intermediary_value.resource.attribute.labels 以「server_source」鍵合併為標籤
details.server.source_details.cloud_account intermediary_value.resource.attribute.labels 已合併為標籤，金鑰為「server_source_details_cloud_account」
details.server.source_details.cloud_provider intermediary_value.resource.attribute.labels 已合併為標籤，金鑰為「server_source_details_cloud_provider」
details.server.source_details.instance_id intermediary_value.resource.attribute.labels 已合併為標籤，金鑰為「server_source_details_instance_id」
details.server.state target.asset.attribute.labels 轉換為字串，並以「server_state」鍵合併為標籤
details.server.team_name intermediary_value.user.department 直接複製值
details.server_hostnames target.hostname、target.resource.attribute.labels 第一個主機名稱設為 target.hostname，其他主機名稱則合併為標籤，並以「server_hostname {index}」做為鍵
details.server_id target.resource.attribute.labels 已合併為金鑰為「details_server_id」的標籤
details.server_os target.platform_version 直接複製值
details.server_os_type target.platform 如果符合 (?i)linux，請設為 LINUX；如果符合 (?i)windows，請設為 WINDOWS；如果符合 (?i)mac，請設為 MAC
details.server_state target.resource.attribute.labels 已合併為標籤，金鑰為「details_server_state」
details.session_type extensions.auth.auth_details 直接複製值
details.session_type security_result.detection_fields 已合併為索引鍵為「session_type」的標籤
details.servers 中介 處理並合併為中介物件
details.ssh_algorithm network.tls.cipher 直接複製值
details.ssh_key_fingerprint target.asset.attribute.labels 合併為索引鍵為「ssh_key_fingerprint」的標籤
details.ssh_public_key security_result.detection_fields 合併為索引鍵為「ssh_public_key」的標籤
details.target_server target.application 直接複製值
details.team_id principal.resource.id 直接複製值
details.team_id target.resource.id 直接複製值
details.team_name additional.fields 已合併為索引鍵為「team_name」的標籤
details.trace_id network.session_id 直接複製值
details.type metadata.product_event_type 直接複製值
details.username target.user.user_display_name 直接複製值
details.via network.session_id 直接複製值
details_server intermediary_value 處理並合併為 intermediary_value 物件
id additional.fields 已合併為索引鍵為「id」的標籤
時間戳記 metadata.event_timestamp 以 ISO8601 格式轉換
extensions.auth.type extensions.auth.type 如果 metadata.event_type 為 USER_LOGIN，請設為「SSO」
intermediary_value 中介 如果不是空白，則從 intermediary_value 合併
has_principal_user metadata.event_type 如果具有 principal_user 和 target_user，或具有 principal_user 和 target，且 details_type 符合登入條件，則設為 USER_LOGIN；如果具有 principal_user，則設為 USER_UNCATEGORIZED；如果具有 principal，則設為 STATUS_UPDATE
has_target_user metadata.event_type
metadata.product_name metadata.product_name 設為「OKTA_SCALEFT」
metadata.vendor_name metadata.vendor_name 設為「OKTA_SCALEFT」
desc event.idm.read_only_udm.metadata.description 從變更記錄對應
asset_id event.idm.read_only_udm.target.asset.asset_id 從變更記錄對應
details.hostname event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
details.actor event.idm.read_only_udm.principal.user.userid 從變更記錄對應
details.client event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
details.username event.idm.read_only_udm.target.user.user_display_name 從變更記錄對應
details.server.server_accounts.username event.idm.read_only_udm.target.user.user_display_name 從變更記錄對應
details.project event.idm.read_only_udm.target.resource.attribute.cloud.project.name 從變更記錄對應
details.server.server_accounts event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
"id" event.idm.read_only_udm.additional.fields 從變更記錄對應
"details.from_address" event.idm.read_only_udm.principal.ip 從變更記錄對應
"details.client_ip" event.idm.read_only_udm.principal.ip 從變更記錄對應
"details.from_address" event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
"details.client_ip" event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
"details.type" event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
"details.actor.status" event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
"details.actor.user_type" event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
"details.session_type" event.idm.read_only_udm.extensions.auth.auth_details 從變更記錄對應
"details.actor.name" event.idm.read_only_udm.principal.user.userid 從變更記錄對應
"details.unix_user_name" event.idm.read_only_udm.principal.user.userid 從變更記錄對應
"details.actor.details.full_name" event.idm.read_only_udm.principal.user.user_display_name 從變更記錄對應
"details.actor.details.first_name" event.idm.read_only_udm.principal.user.first_name 從變更記錄對應
"details.actor.details.last_name" event.idm.read_only_udm.principal.user.last_name 從變更記錄對應
"details.actor.id" event.idm.read_only_udm.principal.user.employee_id 從變更記錄對應
"details.actor.team_name" event.idm.read_only_udm.principal.user.department 從變更記錄對應
"details.client.hostname" event.idm.read_only_udm.principal.hostname 從變更記錄對應
"details.client.hostname" event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
"details.client.id" event.idm.read_only_udm.principal.user.product_object_id 從變更記錄對應
"details.client.description" event.idm.read_only_udm.principal.application 從變更記錄對應
"details.client.os" event.idm.read_only_udm.principal.platform 從變更記錄對應
"details_client_os" event.idm.read_only_udm.principal.platform_version 從變更記錄對應
"details.actor.details.email" event.idm.read_only_udm.principal.user.email_addresses 從變更記錄對應
"details.team_id" event.idm.read_only_udm.target.resource.id 從變更記錄對應
"details.project.id" event.idm.read_only_udm.target.resource.id 從變更記錄對應
"details.team_name" event.idm.read_only_udm.additional.fields 從變更記錄對應
"details.client.state" event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
"details.target_server" event.idm.read_only_udm.target.application 從變更記錄對應
"details.via" event.idm.read_only_udm.network.session_id 從變更記錄對應
"details.trace_id" event.idm.read_only_udm.network.session_id 從變更記錄對應
"details_session_type" event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
"details.ssh_public_key" event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
"details.actor.details.user_type" event.idm.read_only_udm.principal.user.attribute.roles 從變更記錄對應
"details.project.name" event.idm.read_only_udm.target.resource.name 從變更記錄對應
"details.server.id" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.server.state" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.team" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.create_server_users" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.force_shared_ssh_users" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.forward_traffic" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.next_unix_gid" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.next_unix_uid" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.rdp_session_recording" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.require_preauth_for_creds" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.ssh_certificate_type" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.project.ssh_session_recording" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"serverhostname" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"alt_name" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.ssh_key_fingerprint" event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
"details.server.os" event.idm.read_only_udm.target.platform_version 從變更記錄對應
"detailsserver.os" event.idm.read_only_udm.target.platform_version 從變更記錄對應
"details.server.os_type" event.idm.read_only_udm.target.platform 從變更記錄對應
"detailsserver.os_type" event.idm.read_only_udm.target.platform 從變更記錄對應
"details_team_id" event.idm.read_only_udm.principal.resource.id 從變更記錄對應
"details.client.encrypted" event.idm.read_only_udm.principal.asset.attribute.labels 從變更記錄對應
"details.client.user_name" event.idm.read_only_udm.target.user.userid 從變更記錄對應
"timestamp" event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
"serverhostname" event.idm.read_only_udm.target.hostname 從變更記錄對應
"alt_name" event.idm.read_only_udm.target.hostname 從變更記錄對應
"alt_name" event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
"intermediary" event.idm.read_only_udm.intermediary 從變更記錄對應
"intermediary_value" event.idm.read_only_udm.intermediary 從變更記錄對應
"detailsserver.sftd_version" event.idm.read_only_udm.metadata.product_version 從變更記錄對應
"details.server.sftd_version" event.idm.read_only_udm.metadata.product_version 從變更記錄對應
"detailsserver.state" event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
"detailsserver.managed" event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
"detailsserver.ssh_key_fingerprint" event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
"details.username" event.idm.read_only_udm.target.user.user_display_name 從變更記錄對應
"details.ssh_algorithm" event.idm.read_only_udm.network.tls.cipher 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。