Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Oracle DB 日志

支持的语言：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Oracle 数据库日志注入到 Google Security Operations。

解析器从 SYSLOG 消息中提取字段，并使用 grok 模式和键值对解析来处理多种格式。然后，它会将这些提取的字段映射到统一数据模型 (UDM)，使用供应商和商品名称等静态元数据丰富数据，并根据 ACTION 和 USERID 等特定字段值动态设置事件类型。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Oracle 数据库主机之间的网络连接
如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
对 Oracle 数据库实例的特权访问权限（SYSDBA 或 AUDIT_ADMIN 角色）
Oracle Database 19c 或更高版本，且已启用统一审核（或 Oracle 12c–18c 上的混合模式审核）

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：

新部署：使用 Chronicle API（选项 1）。
旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。

方法 1：为 Chronicle API 创建服务账号（推荐）

登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
前往 IAM 和管理 > 服务账号。
点击创建服务账号。
提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
- 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
点击创建并继续。
在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
点击继续，然后点击完成。
点击您创建的服务账号，然后前往密钥标签页。
依次点击添加密钥 > 创建新密钥。
选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

登录 Google SecOps 控制台。
前往 SIEM 设置> 收集代理。
下载数据注入身份验证文件。
将文件安全地保存在将要安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
从组织详细信息部分复制并保存客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为正在运行。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/oracle_db:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: ORACLE_DB
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/oracle_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/oracle_db

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 将 0.0.0.0 替换为要监听的特定 IP 地址，以在一个接口上进行监听；也可以保留为 0.0.0.0，以在所有接口上进行监听（推荐）
  - 将 514 替换为与 Oracle syslog 转发配置匹配的端口号
导出器配置：
- creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：在获取 Google SecOps 客户 ID 部分中复制的客户 ID
- location：将 <LOCATION> 替换为 Google SecOps 实例的区域（例如 us、europe 或 asia-southeast1）。导出器会使用此值作为 chronicle.googleapis.com 的前缀。如需查看完整列表，请参阅区域级端点。
- project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
- endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API

如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。
```
exporters:
  chronicle/oracle_db:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ORACLE_DB
    raw_log_field: body
    ingestion_labels:
```

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志中的错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- “服务”控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击并选择重启。
  4. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
  5. 检查日志中的错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

配置 Oracle 数据库统一审核和 syslog 转发

启用统一审核

如果尚未启用统一审核，请使用 uniaud_on 选项重新关联 Oracle 二进制文件。这需要关闭从 Oracle Home 运行的所有 Oracle 进程（数据库实例和监听器）。

以 oracle 操作系统用户身份连接到 Oracle 数据库主机。

关停 Oracle 实例和监听器：

sqlplus / as sysdba <<EOF
shutdown immediate;
exit
EOF
lsnrctl stop

在启用统一审核的情况下重新关联 Oracle 二进制文件：

cd $ORACLE_HOME/rdbms/lib
make -f ins_rdbms.mk uniaud_on ioracle

启动监听器和 Oracle 实例：

lsnrctl start
sqlplus / as sysdba <<EOF
startup;
exit
EOF

如果 Oracle Enterprise Manager Cloud Control 在同一主机上运行，请重启它：

cd /u01/app/oracle/product/middleware/oms
export OMS_HOME=/u01/app/oracle/product/middleware/oms
$OMS_HOME/bin/emctl start oms

验证是否已启用统一审核。使用 SQLplus 连接到 Oracle 数据库：
```
SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';
```

验证该命令是否返回一行，其中 VALUE 等于 TRUE。

配置统一审核 syslog 输出

设置 UNIFIED_AUDIT_SYSTEMLOG 初始化参数，以将统一审核记录写入 syslog。此参数是在 Oracle 19c 中引入的，用于替换已弃用的 AUDIT_SYSLOG_LEVEL 参数（仅适用于传统审核）。

以 SYSDBA 身份使用 SQLplus 连接到 Oracle 数据库。
设置 UNIFIED_AUDIT_SYSTEMLOG 参数：
- 在 UNIX/Linux 系统上，将参数设置为 facility.priority 值：
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
```
- 在 Windows 系统上，将参数设置为 TRUE 以写入 Windows 事件查看器：
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
可选：如需将来自 CDB 根容器的通用统一审核政策记录写入 UNIX/Linux 系统上的 syslog，请设置 UNIFIED_AUDIT_COMMON_SYSTEMLOG 参数：
```
ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
注意： UNIFIED_AUDIT_COMMON_SYSTEMLOG 只能在 CDB 的根容器中设置。没有 Windows 等效项。
重启 Oracle 数据库实例，以使参数更改生效：
```
SHUTDOWN IMMEDIATE;
STARTUP;
```

在 Oracle 主机上配置 syslog 守护程序

在 Oracle 数据库主机上，配置 syslog 守护程序以将审核日志条目转发到 Bindplane 代理。

以 root 身份登录 Oracle 数据库主机。
打开 syslog 配置文件：
- 在具有 rsyslog 的 RHEL/CentOS/Oracle Linux 上：
```
sudo vi /etc/rsyslog.conf
```
- 在具有 syslog 的旧系统上：
```
sudo vi /etc/syslog.conf
```
添加一条转发规则，使其与您在 UNIFIED_AUDIT_SYSTEMLOG 中配置的设施和优先级相匹配。例如，如果您设置了 LOCAL7.INFO：
- 通过 UDP 转发（与 Bindplane udplog 接收器匹配）：
```
local7.info @<BINDPLANE_HOST_IP>:514
```
- 如需通过 TCP 转发（如果 Bindplane 使用 tcplog 接收器），请执行以下操作：
```
local7.info @@<BINDPLANE_HOST_IP>:514
```
- 将 <BINDPLANE_HOST_IP> 替换为运行 Bindplane 代理的系统的 IP 地址或主机名。
注意：单个 @ 前缀表示 UDP 转发。双 @@ 前缀表示 TCP 转发。确保此值与 Bindplane config.yaml 中的接收器类型一致。
可选：如需同时保留审核日志的本地副本，请添加以下行：
```
```none
local7.info /var/log/oracle_audit.log
```
```
保存文件并重启 syslog 守护进程：
- 在具有 rsyslog 的 RHEL/CentOS/Oracle Linux 上：
```
sudo systemctl restart rsyslog
```
- 在搭载 syslog 的旧版系统上：
```
sudo service syslog restart
```

验证审核日志转发

在 Oracle 数据库中执行可审核的操作，以生成测试审核事件。例如，以用户身份连接并运行：
```
SELECT * FROM DBA_USERS WHERE ROWNUM = 1;
```
检查 Bindplane 代理日志中是否有传入的 syslog 消息：
```
sudo journalctl -u observiq-otel-collector -f
```
验证 syslog 消息是否包含 Oracle Unified Audit 标记以及 TYPE、DBID、SESID、DBUSER、ACTION 和 RETCODE 等键值对。

注意：只有部分统一审核记录字段会写入 syslog。完整的审核记录存储在数据库中的 UNIFIED_AUDIT_TRAIL 视图中。Syslog 条目通常限制为 1024 字节。

UDM 映射表

日志字段	UDM 映射	逻辑
`ACTION`	`security_result.action_details`	原始日志中的 `ACTION` 值直接映射到此 UDM 字段。系统会应用额外的逻辑，根据 `ACTION` 的值来确定 `security_result.action` 和 `security_result.description`（例如，`100` 会映射到 `ALLOW` 和 `Success`）。
`ACTION_NAME`	`metadata.product_event_type`	直接映射。
`ACTION_NUMBER`	`additional.fields[action_number].value.string_value`	直接与键 `Source Event` 映射。还可与其他字段结合使用，以派生 `metadata.event_type` 和 `metadata.product_event_type`。
`APPLICATION_CONTEXTS`	`additional.fields[application_contexts_label].value.string_value`	直接映射到键 `APPLICATION_CONTEXTS`。
`AUDIT_POLICY`	`additional.fields[audit_policy_label].value.string_value` 或 `additional.fields[AUDIT_POLICY_#].value.string_value`	如果 `AUDIT_POLICY` 包含英文逗号，则会拆分为多个标签，键分别为 `AUDIT_POLICY_0`、`AUDIT_POLICY_1` 等。否则，它会直接映射到键 `AUDIT_POLICY`。
`AUDIT_TYPE`	`additional.fields[audit_type_label].value.string_value`	直接映射到键 `AUDIT_TYPE`。
`AUTHENTICATION_TYPE`	`metadata.event_type`，`extensions.auth.type`	用于在 `auth_type`（从 `AUTHENTICATION_TYPE` 中提取）不为空且满足其他条件时，将 `metadata.event_type` 推导为 `USER_LOGIN`。`extensions.auth.type` 设置为 `AUTHTYPE_UNSPECIFIED`。
`CLIENT_ADDRESS`	`principal.ip`、`principal.port`、`network.ip_protocol`、`intermediary[host].user.userid`	系统会使用 grok 模式提取 IP、端口和协议。如果 `CLIENT_ADDRESS` 字段中存在用户名，则该用户名会映射到 `intermediary[host].user.userid`。
`CLIENT_ID`	`target.user.userid`	直接映射。
`CLIENT_PROGRAM_NAME`	`additional.fields[client_program_name_label].value.string_value`	直接与键 `CLIENT_PROGRAM_NAME` 映射。
`CLIENT_TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	直接映射到键 `CLIENT_TERMINAL`。
`CLIENT_USER`	`target.user.user_display_name`	直接映射。
`COMMENT$TEXT`	`additional.fields[comment_text_label].value.string_value`	将 `+` 替换为 `:` 后，直接映射到键 `comment_text`。
`CURRENT_USER`	`additional.fields[current_user_label].value.string_value`	直接映射到键 `current_user`。
`CURUSER`	`additional.fields[current_user_label].value.string_value`	直接与键 `current_user` 映射。
`DATABASE_USER`	`principal.user.user_display_name`	如果非空或非 `/`，则直接映射。
`DBID`	`metadata.product_log_id`	移除单引号后直接映射。
`DBNAME`	`target.resource.resource_type`、`target.resource.resource_subtype`、`target.resource.name`	将 `resource_type` 设置为 `DATABASE`，将 `resource_subtype` 设置为 `Oracle Database`，并将 `DBNAME` 映射到 `name`。
`DBPROXY_USERRNAME`	`intermediary[dbproxy].user.userid`	直接映射。
`DBUSERNAME`	`target.user.user_display_name`	直接映射。
`ENTRYID`	`target.resource.attribute.labels[entry_id_label].value`	直接映射到键 `Entry Id`。
`EXTERNAL_USERID`	`additional.fields[external_userid_label].value.string_value`	直接与键 `EXTERNAL_USERID` 映射。
`LENGTH`	`additional.fields[length_label].value.string_value`	直接映射到键 `length`。
`LOGOFF$DEAD`	`target.resource.attribute.labels[LOGOFFDEAD_label].value`	直接映射到键 `LOGOFFDEAD`。
`LOGOFF$LREAD`	`target.resource.attribute.labels[LOGOFFLREAD_label].value`	直接与键 `LOGOFFLREAD` 映射。
`LOGOFF$LWRITE`	`target.resource.attribute.labels[LOGOFFLWRITE_label].value`	直接与键 `LOGOFFLWRITE` 映射。
`LOGOFF$PREAD`	`target.resource.attribute.labels[LOGOFFPREAD_label].value`	直接与键 `LOGOFFPREAD` 映射。
`NTIMESTAMP#`	`metadata.event_timestamp`	解析并转换为 RFC 3339 或 ISO8601 格式。
`OBJCREATOR`	`target.resource.attribute.labels[obj_creator_label].value`	直接与键 `OBJ Creator` 映射。
`OBJNAME`	`target.resource.attribute.labels[obj_name_label].value`	直接映射到键 `OBJ Name`。
`OS_USERNAME`	`principal.user.user_display_name`	直接映射。
`OSUSERID`	`target.user.userid`	直接映射。
`PDB_GUID`	`principal.resource.product_object_id`	直接映射。
`PRIV$USED`	`additional.fields[privused_label].value.string_value`	直接映射到键 `privused`。
`PRIVILEGE`	`principal.user.attribute.permissions.name`	直接映射。
`RETURN_CODE`	`security_result.summary`	直接映射。应用逻辑来推导 `security_result.action` 和 `security_result.description`。
`RETURNCODE`	`security_result.summary`	直接映射。系统会应用逻辑来推导 `security_result.action` 和 `security_result.description`。
`RLS_INFO`	`additional.fields[rls_info_label].value.string_value`	直接映射到键 `RLS_INFO`。
`SCHEMA`	`additional.fields[schema_label].value.string_value`	直接映射到键 `schema`。
`SESSIONCPU`	`target.resource.attribute.labels[SESSIONCPU_label].value`	直接映射到键 `SESSIONCPU`。
`SESSIONID`	`network.session_id`	直接映射。
`SESID`	`network.session_id`	直接映射。
`SQL_TEXT`	`target.process.command_line`	直接映射。
`SQLTEXT`	`target.process.command_line`	直接映射。
`STATEMENT`	`target.resource.attribute.labels[statement_label].value`	直接与键 `STATEMENT` 映射。
`STATUS`	`security_result.summary`	直接映射。应用逻辑来推导 `security_result.action` 和 `security_result.description`。
`SYSTEM_PRIVILEGE_USED`	`additional.fields[system_privilege_used_label].value.string_value`	直接与键 `SYSTEM_PRIVILEGE_USED` 映射。
`TARGET_USER`	`additional.fields[target_user_label].value.string_value`	直接与键 `TARGET_USER` 映射。
`TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	直接映射到键 `CLIENT_TERMINAL`。
`TYPE`	`additional.fields[type_label].value.string_value`	直接与键 `type` 映射。
`USERHOST`	`principal.hostname`，`principal.administrative_domain`	使用 Grok 模式提取主机名和网域。
`USERID`	`principal.user.userid`	直接映射。
`device_host_name`	`target.hostname`	直接映射。
`event_name`	`metadata.product_event_type`	转换为大写后直接映射。
`file_name`	`target.file.full_path`	直接映射。
`hostname`	`principal.hostname`	直接映射。
`length`	`additional.fields[length_label].value.string_value`	直接与键 `length` 映射。
`log_source_name`	`principal.application`	直接映射。
`message`	多项	用于 Grok 解析以提取多个字段。
`returncode`	`RETURNCODE`	直接映射。
`src_ip`	`principal.ip`	直接映射。
`t_hostname`	`target.hostname`	直接映射。
（解析器逻辑）	`metadata.vendor_name`	硬编码为 `Oracle`。
（解析器逻辑）	`metadata.product_name`	硬编码为 `Oracle DB`。
（解析器逻辑）	`metadata.event_type`	根据 `ACTION`、`ACTION_NUMBER`、`source_event`、`OSUSERID`、`USERID`、`SQLTEXT`、`AUTHENTICATION_TYPE`、`DBUSERNAME`、`device_host_name`、`database_name` 的值确定。如果未满足任何特定条件，则默认为 `USER_RESOURCE_ACCESS`。
（解析器逻辑）	`metadata.product_event_type`	根据 `ACTION`、`ACTION_NUMBER`、`source_event`、`p_event_type`、`ACTION_NAME` 的值确定。
（解析器逻辑）	`metadata.log_type`	硬编码为 `ORACLE_DB`。
（解析器逻辑）	`extensions.auth.mechanism`	在特定条件下，根据 `ACTION`、`ACTION_NUMBER`、`source_event` 和 `OSUSERID` 设置为 `USERNAME_PASSWORD`。
（解析器逻辑）	`extensions.auth.type`	在特定条件下，根据 `ACTION`、`ACTION_NUMBER` 和 `AUTHENTICATION_TYPE` 设置为 `AUTHTYPE_UNSPECIFIED`。
（解析器逻辑）	`security_result.description`	派生自 `RETURNCODE` 或 `STATUS`。
（解析器逻辑）	`security_result.action`	派生自 `RETURNCODE` 或 `STATUS`。
（解析器逻辑）	`target.resource.attribute.labels`	系统会根据各种日志字段的存在情况和值添加多个标签。
（解析器逻辑）	`additional.fields`	系统会根据各种日志字段的存在情况和值，以键值对的形式添加多个字段。
（解析器逻辑）	`intermediary`	根据 `DBPROXY_USERRNAME` 和 `CLIENT_ADDRESS` 的存在情况和值创建并填充。
（解析器逻辑）	`network.ip_protocol`	派生自使用包含文件 `parse_ip_protocol.include` 从 `CLIENT_ADDRESS` 中提取的协议。
`has_target_user`	`event.idm.read_only_udm.target.user.userid`	从更新日志映射
`GRANTEE`	`event.idm.read_only_udm.target.user.userid`	从更新日志映射
`EXTENDED_TIMESTAMP`	`event.idm.read_only_udm.metadata.event_timestamp`	从更新日志映射
`USERNAME`	`event.idm.read_only_udm.principal.user.userid`	从更新日志映射
`SRC_DATABASE`	`event.idm.read_only_udm.target.application`	从更新日志映射
`DBID`	`event.idm.read_only_udm.target.resource.attribute.labels`	从更新日志映射
`OBJ_NAME`	`event.idm.read_only_udm.target.resource.attribute.labels`	从更新日志映射
`OS_USERNAME`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`OWNER`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`NEW_OWNER`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`NEW_NAME`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`OBJ_PRIVILEGE`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`ADMIN_OPTION`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`SES_ACTIONS`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGOFF_TIME`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGOFF_LREAD`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGOFF_PREAD`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGOFF_LWRITE`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`LOGOFF_DLOCK`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`ECONTEXT_ID`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`SESSION_CPU`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`PROXY_SESSIONID`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`GLOBAL_UID`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`SQL_BIND`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`SQL_TEXT`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`OBJ_EDITION_NAME`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`COMMENT_TEXT`	`event.idm.read_only_udm.security_result.description`	从更新日志映射
`comment_principal_ip`	`event.idm.read_only_udm.principal.ip`和`event.idm.read_only_udm.principal.asset.ip`之间	从更新日志映射
`comment_principal_port`	`event.idm.read_only_udm.principal.port`	从更新日志映射
`priority`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`facility`	`event.idm.read_only_udm.additional.fields`	从更新日志映射
`inter_ip`	`event.idm.read_only_udm.intermediary.ip`	从更新日志映射
`inter_port`	`event.idm.read_only_udm.intermediary.port`	从更新日志映射
`HOST_ID`	`event.idm.read_only_udm.intermediary.hostname`	从更新日志映射
`SYS_PRIVILEGE`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`PRIV_USED`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`OS_PROCESS`	`event.idm.read_only_udm.principal.process.pid`	从更新日志映射
`TRANSACTIONID`	`event.idm.read_only_udm.security_result.detection_fields`	从更新日志映射
`SCN`	`event.idm.read_only_udm.target.resource.attribute.labels`	从更新日志映射
`INSTANCE_NUMBER`	`event.idm.read_only_udm.target.resource.attribute.labels`	从更新日志映射
`ENTRY_ID`	`event.idm.read_only_udm.target.resource.attribute.labels`	从更新日志映射
`STATEMENTID`	`event.idm.read_only_udm.target.resource.attribute.labels`	从更新日志映射
`intermediary_hostname`	`event.idm.read_only_udm.intermediary_hostname`	从更新日志映射
`org_id" and "comp_id`	`additional.fields`	从更新日志映射
`host_addr`	`principal.ip`	从更新日志映射
`host_id`	`principal.hostname`	从更新日志映射
`level`	`security_result.severity_details`	从更新日志映射
`LENGTH", "LOGOFFDEAD", "LOGOFFLREAD", "LOGOFFLWRITE", "LOGOFFPREAD", "SESSIONCPU", "CLIENT_TERMINAL`	`target.resource.attribute.labels`	从更新日志映射

更新日志

查看此解析器的更新日志