Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Oracle DB 記錄

支援的服務：

Google SecOps SIEM

本文說明如何使用 Bindplane 代理程式，將 Oracle DB 記錄檔擷取至 Google Security Operations。

剖析器會從 SYSLOG 訊息中擷取欄位，並使用 grok 模式和鍵/值剖析功能處理多種格式。接著，系統會將這些擷取的欄位對應至統合式資料模型 (UDM)，並使用供應商和產品名稱等靜態中繼資料來擴充資料，以及根據 ACTION 和 USERID 等特定欄位值動態設定事件類型。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
Bindplane 代理程式與 Oracle Database 主機之間的網路連線
如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
Oracle 資料庫執行個體的特殊權限存取權 (SYSDBA 或 AUDIT_ADMIN 角色)
Oracle Database 19c 以上版本，並啟用統一稽核功能 (或 Oracle 12c 至 18c 的混合模式稽核)

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
- 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
依序前往「IAM 與管理」>「設定」，然後複製「專案編號」。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」部分的客戶 ID。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```
服務應顯示為「RUNNING」。

安裝 Linux

開啟具有 root 或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。
執行下列指令，確認安裝成功：
```
sudo systemctl status observiq-otel-collector
```
服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/oracle_db:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: ORACLE_DB
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/oracle_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/oracle_db

設定參數

替換下列預留位置：

接收器設定：
- listen_address：要接聽的 IP 位址和通訊埠：
  - 將 0.0.0.0 替換為特定 IP 位址，以便監聽單一介面，或保留 0.0.0.0 監聽所有介面 (建議做法)
  - 將 514 替換為與 Oracle 系統記錄轉送設定相符的通訊埠號碼
Exporter 設定：
- creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：在「取得 Google SecOps 客戶 ID」一節中複製的客戶 ID
- location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
- project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
- endpoint：維持設為 chronicle.googleapis.com。

舊版擷取 API 匯出工具

如果您使用方式 2 的擷取驗證檔案，請將 exporters 區塊替換成下列內容。將 creds_file_path 設為擷取驗證檔案的路徑，如果您的執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/oracle_db:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ORACLE_DB
    raw_log_field: body
    ingestion_labels:

儲存設定檔

編輯完成後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

檢查記錄是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
  4. 確認服務正在執行：
```
sc query observiq-otel-collector
```
  5. 查看記錄檔是否有錯誤：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

設定 Oracle 資料庫統合稽核和 syslog 轉送

啟用統合稽核功能

如果尚未啟用統合稽核功能，請使用 uniaud_on 選項重新連結 Oracle 二進位檔。這需要關閉從 Oracle Home 執行的所有 Oracle 程序 (資料庫執行個體和接聽程式)。

以 oracle 作業系統使用者身分連線至 Oracle 資料庫主機。

關閉 Oracle 執行個體和監聽器：

sqlplus / as sysdba <<EOF
shutdown immediate;
exit
EOF
lsnrctl stop

重新連結 Oracle 二進位檔，並啟用統合稽核功能：

cd $ORACLE_HOME/rdbms/lib
make -f ins_rdbms.mk uniaud_on ioracle

啟動接聽程式和 Oracle 執行個體：

lsnrctl start
sqlplus / as sysdba <<EOF
startup;
exit
EOF

如果 Oracle Enterprise Manager Cloud Control 執行於同一部主機，請重新啟動：

cd /u01/app/oracle/product/middleware/oms
export OMS_HOME=/u01/app/oracle/product/middleware/oms
$OMS_HOME/bin/emctl start oms

確認已啟用統合稽核功能。使用 SQLplus 連線至 Oracle 資料庫：
```
SELECT VALUE FROM V$OPTION WHERE PARAMETER = 'Unified Auditing';
```

確認指令傳回一個資料列，且 VALUE 等於 TRUE。

設定統一稽核 Syslog 輸出

將 UNIFIED_AUDIT_SYSTEMLOG 初始化參數設為將統一稽核記錄寫入系統記錄。這個參數是在 Oracle 19c 中導入，並取代已淘汰的 AUDIT_SYSLOG_LEVEL 參數 (僅適用於傳統稽核)。

以 SYSDBA 身分使用 SQLplus 連線至 Oracle 資料庫。
設定 UNIFIED_AUDIT_SYSTEMLOG 參數：
- 在 UNIX/Linux 系統上，將參數設為 facility.priority 值：
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = 'LOCAL7.INFO' SCOPE=SPFILE;
```
- 在 Windows 系統上，將參數設為 TRUE，即可寫入 Windows 事件檢視器：
```
ALTER SYSTEM SET UNIFIED_AUDIT_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
選用：如要將 CDB 根容器中的常見統一稽核政策記錄寫入 UNIX/Linux 系統上的系統記錄，請設定 UNIFIED_AUDIT_COMMON_SYSTEMLOG 參數：
```
ALTER SYSTEM SET UNIFIED_AUDIT_COMMON_SYSTEMLOG = TRUE SCOPE=SPFILE;
```
注意： UNIFIED_AUDIT_COMMON_SYSTEMLOG 只能在 CDB 的根容器中設定。沒有對應的 Windows 功能。
重新啟動 Oracle 資料庫執行個體，讓參數變更生效：
```
SHUTDOWN IMMEDIATE;
STARTUP;
```

在 Oracle 主機上設定 syslog daemon

在 Oracle Database 主機上，設定 syslog 精靈，將稽核記錄項目轉送至 Bindplane 代理程式。

以 root 身分登入 Oracle Database 主機。
開啟 syslog 設定檔：
- 在 RHEL/CentOS/Oracle Linux 上使用 rsyslog：
```
sudo vi /etc/rsyslog.conf
```
- 在搭載 syslog 的舊版系統上：
```
sudo vi /etc/syslog.conf
```
新增轉送規則，並與您在 UNIFIED_AUDIT_SYSTEMLOG 中設定的設施和優先順序相符。舉例來說，如果設定 LOCAL7.INFO：
- 如要透過 UDP 轉送 (符合 Bindplane udplog 接收器)：
```
local7.info @<BINDPLANE_HOST_IP>:514
```
- 如要透過 TCP 轉送 (如果 Bindplane 使用 tcplog 接收器)：
```
local7.info @@<BINDPLANE_HOST_IP>:514
```
- 將 <BINDPLANE_HOST_IP> 替換為執行 Bindplane 代理程式的系統 IP 位址或主機名稱。
注意： 單一 @ 前置字元表示 UDP 轉送。雙 @@ 前置字元表示 TCP 轉送。請確認這與 Bindplane config.yaml 中的接收器類型相符。
選用：如要保留稽核記錄的本機副本，請新增下列指令列：
```
```none
local7.info /var/log/oracle_audit.log
```
```
儲存檔案並重新啟動 syslog daemon：
- 在 RHEL/CentOS/Oracle Linux 上使用 rsyslog：
```
sudo systemctl restart rsyslog
```
- 在搭載 syslog 的舊系統上：
```
sudo service syslog restart
```

驗證稽核記錄轉送

在 Oracle 資料庫中執行可稽核的操作，產生測試稽核事件。舉例來說，以使用者身分連線並執行：
```
SELECT * FROM DBA_USERS WHERE ROWNUM = 1;
```
查看 Bindplane 代理記錄，確認是否有傳入的系統記錄訊息：
```
sudo journalctl -u observiq-otel-collector -f
```
確認 syslog 訊息包含 Oracle Unified Audit 標記，且含有 TYPE、DBID、SESID、DBUSER、ACTION 和 RETCODE 等鍵/值組合。

注意： 只有部分統合稽核記錄欄位會寫入系統記錄。完整的稽核記錄會儲存在資料庫的 UNIFIED_AUDIT_TRAIL 檢視畫面中。Syslog 項目通常不得超過 1024 個位元組。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`ACTION`	`security_result.action_details`	原始記錄中的 `ACTION` 值會直接對應至這個 UDM 欄位。系統會套用額外邏輯，根據 `ACTION` 的值決定 `security_result.action` 和 `security_result.description` (例如 `100` 對應至 `ALLOW` 和 `Success`)。
`ACTION_NAME`	`metadata.product_event_type`	直接對應。
`ACTION_NUMBER`	`additional.fields[action_number].value.string_value`	直接對應鍵 `Source Event`。也與其他欄位搭配使用，可衍生出 `metadata.event_type` 和 `metadata.product_event_type`。
`APPLICATION_CONTEXTS`	`additional.fields[application_contexts_label].value.string_value`	直接對應至鍵 `APPLICATION_CONTEXTS`。
`AUDIT_POLICY`	`additional.fields[audit_policy_label].value.string_value`或`additional.fields[AUDIT_POLICY_#].value.string_value`	如果 `AUDIT_POLICY` 包含半形逗號，則會分割成多個標籤，並使用 `AUDIT_POLICY_0`、`AUDIT_POLICY_1` 等鍵。否則，系統會直接使用 `AUDIT_POLICY` 鍵對應。
`AUDIT_TYPE`	`additional.fields[audit_type_label].value.string_value`	直接對應至鍵 `AUDIT_TYPE`。
`AUTHENTICATION_TYPE`	`metadata.event_type`、`extensions.auth.type`	如果 `auth_type` (從 `AUTHENTICATION_TYPE` 擷取) 不為空白且符合其他條件，則用於將 `metadata.event_type` 衍生為 `USER_LOGIN`。`extensions.auth.type` 已設為 `AUTHTYPE_UNSPECIFIED`。
`CLIENT_ADDRESS`	`principal.ip`、`principal.port`、`network.ip_protocol`、`intermediary[host].user.userid`	系統會使用 grok 模式擷取 IP、通訊埠和通訊協定。如果 `CLIENT_ADDRESS` 欄位中有使用者名稱，系統會將其對應至 `intermediary[host].user.userid`。
`CLIENT_ID`	`target.user.userid`	直接對應。
`CLIENT_PROGRAM_NAME`	`additional.fields[client_program_name_label].value.string_value`	直接對應至 `CLIENT_PROGRAM_NAME` 鍵。
`CLIENT_TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	直接對應至鍵 `CLIENT_TERMINAL`。
`CLIENT_USER`	`target.user.user_display_name`	直接對應。
`COMMENT$TEXT`	`additional.fields[comment_text_label].value.string_value`	將 `+` 替換為 `:` 後，直接對應至鍵 `comment_text`。
`CURRENT_USER`	`additional.fields[current_user_label].value.string_value`	直接對應至鍵 `current_user`。
`CURUSER`	`additional.fields[current_user_label].value.string_value`	直接對應至 `current_user` 鍵。
`DATABASE_USER`	`principal.user.user_display_name`	如果不是空白或 `/`，則直接對應。
`DBID`	`metadata.product_log_id`	移除單引號後直接對應。
`DBNAME`	`target.resource.resource_type`、`target.resource.resource_subtype`、`target.resource.name`	將 `resource_type` 設為 `DATABASE`、`resource_subtype` 設為 `Oracle Database`，並將 `DBNAME` 對應至 `name`。
`DBPROXY_USERRNAME`	`intermediary[dbproxy].user.userid`	直接對應。
`DBUSERNAME`	`target.user.user_display_name`	直接對應。
`ENTRYID`	`target.resource.attribute.labels[entry_id_label].value`	直接對應至 `Entry Id` 鍵。
`EXTERNAL_USERID`	`additional.fields[external_userid_label].value.string_value`	直接對應至 `EXTERNAL_USERID` 鍵。
`LENGTH`	`additional.fields[length_label].value.string_value`	直接對應至鍵 `length`。
`LOGOFF$DEAD`	`target.resource.attribute.labels[LOGOFFDEAD_label].value`	直接對應至 `LOGOFFDEAD` 鍵。
`LOGOFF$LREAD`	`target.resource.attribute.labels[LOGOFFLREAD_label].value`	直接對應至鍵 `LOGOFFLREAD`。
`LOGOFF$LWRITE`	`target.resource.attribute.labels[LOGOFFLWRITE_label].value`	直接對應至鍵 `LOGOFFLWRITE`。
`LOGOFF$PREAD`	`target.resource.attribute.labels[LOGOFFPREAD_label].value`	直接對應至 `LOGOFFPREAD` 鍵。
`NTIMESTAMP#`	`metadata.event_timestamp`	已剖析並轉換為 RFC 3339 或 ISO8601 格式。
`OBJCREATOR`	`target.resource.attribute.labels[obj_creator_label].value`	直接對應至鍵 `OBJ Creator`。
`OBJNAME`	`target.resource.attribute.labels[obj_name_label].value`	直接對應至 `OBJ Name` 鍵。
`OS_USERNAME`	`principal.user.user_display_name`	直接對應。
`OSUSERID`	`target.user.userid`	直接對應。
`PDB_GUID`	`principal.resource.product_object_id`	直接對應。
`PRIV$USED`	`additional.fields[privused_label].value.string_value`	直接對應至鍵 `privused`。
`PRIVILEGE`	`principal.user.attribute.permissions.name`	直接對應。
`RETURN_CODE`	`security_result.summary`	直接對應。系統會套用邏輯來推導 `security_result.action` 和 `security_result.description`。
`RETURNCODE`	`security_result.summary`	直接對應。系統會套用邏輯來推導 `security_result.action` 和 `security_result.description`。
`RLS_INFO`	`additional.fields[rls_info_label].value.string_value`	直接對應至 `RLS_INFO` 鍵。
`SCHEMA`	`additional.fields[schema_label].value.string_value`	直接對應至鍵 `schema`。
`SESSIONCPU`	`target.resource.attribute.labels[SESSIONCPU_label].value`	直接對應至鍵 `SESSIONCPU`。
`SESSIONID`	`network.session_id`	直接對應。
`SESID`	`network.session_id`	直接對應。
`SQL_TEXT`	`target.process.command_line`	直接對應。
`SQLTEXT`	`target.process.command_line`	直接對應。
`STATEMENT`	`target.resource.attribute.labels[statement_label].value`	直接對應至 `STATEMENT` 鍵。
`STATUS`	`security_result.summary`	直接對應。系統會套用邏輯來推導 `security_result.action` 和 `security_result.description`。
`SYSTEM_PRIVILEGE_USED`	`additional.fields[system_privilege_used_label].value.string_value`	直接對應至 `SYSTEM_PRIVILEGE_USED` 鍵。
`TARGET_USER`	`additional.fields[target_user_label].value.string_value`	直接對應至 `TARGET_USER` 鍵。
`TERMINAL`	`additional.fields[CLIENT_TERMINAL_label].value`	直接對應至鍵 `CLIENT_TERMINAL`。
`TYPE`	`additional.fields[type_label].value.string_value`	直接對應至鍵 `type`。
`USERHOST`	`principal.hostname`、`principal.administrative_domain`	主機名稱和網域是使用 grok 模式擷取。
`USERID`	`principal.user.userid`	直接對應。
`device_host_name`	`target.hostname`	直接對應。
`event_name`	`metadata.product_event_type`	轉換為大寫後直接對應。
`file_name`	`target.file.full_path`	直接對應。
`hostname`	`principal.hostname`	直接對應。
`length`	`additional.fields[length_label].value.string_value`	直接對應至 `length` 鍵。
`log_source_name`	`principal.application`	直接對應。
`message`	多項政策	用於 grok 剖析，以擷取多個欄位。
`returncode`	`RETURNCODE`	直接對應。
`src_ip`	`principal.ip`	直接對應。
`t_hostname`	`target.hostname`	直接對應。
(剖析器邏輯)	`metadata.vendor_name`	硬式編碼為 `Oracle`。
(剖析器邏輯)	`metadata.product_name`	硬式編碼為 `Oracle DB`。
(剖析器邏輯)	`metadata.event_type`	根據 `ACTION`、`ACTION_NUMBER`、`source_event`、`OSUSERID`、`USERID`、`SQLTEXT`、`AUTHENTICATION_TYPE`、`DBUSERNAME`、`device_host_name`、`database_name` 的值決定。如果未符合特定條件，則預設為 `USER_RESOURCE_ACCESS`。
(剖析器邏輯)	`metadata.product_event_type`	根據 `ACTION`、`ACTION_NUMBER`、`source_event`、`p_event_type`、`ACTION_NAME` 的值決定。
(剖析器邏輯)	`metadata.log_type`	硬式編碼為 `ORACLE_DB`。
(剖析器邏輯)	`extensions.auth.mechanism`	根據`ACTION`、`ACTION_NUMBER`、`source_event`和`OSUSERID`，在特定條件下設為`USERNAME_PASSWORD`。
(剖析器邏輯)	`extensions.auth.type`	在符合 `ACTION`、`ACTION_NUMBER` 和 `AUTHENTICATION_TYPE` 的特定條件時，設為 `AUTHTYPE_UNSPECIFIED`。
(剖析器邏輯)	`security_result.description`	衍生自 `RETURNCODE` 或 `STATUS`。
(剖析器邏輯)	`security_result.action`	衍生自 `RETURNCODE` 或 `STATUS`。
(剖析器邏輯)	`target.resource.attribute.labels`	系統會根據各種記錄欄位的存在與否和值，新增多個標籤。
(剖析器邏輯)	`additional.fields`	系統會根據各種記錄欄位的存在與否和值，以鍵/值組合的形式新增多個欄位。
(剖析器邏輯)	`intermediary`	系統會根據 `DBPROXY_USERRNAME` 和 `CLIENT_ADDRESS` 的存在與值建立並填入資料。
(剖析器邏輯)	`network.ip_protocol`	衍生自使用 include 檔案 `parse_ip_protocol.include` 從 `CLIENT_ADDRESS` 擷取的通訊協定。
`has_target_user`	`event.idm.read_only_udm.target.user.userid`	從變更記錄對應
`GRANTEE`	`event.idm.read_only_udm.target.user.userid`	從變更記錄對應
`EXTENDED_TIMESTAMP`	`event.idm.read_only_udm.metadata.event_timestamp`	從變更記錄對應
`USERNAME`	`event.idm.read_only_udm.principal.user.userid`	從變更記錄對應
`SRC_DATABASE`	`event.idm.read_only_udm.target.application`	從變更記錄對應
`DBID`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`OBJ_NAME`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`OS_USERNAME`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`OWNER`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`NEW_OWNER`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`NEW_NAME`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`OBJ_PRIVILEGE`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`ADMIN_OPTION`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`SES_ACTIONS`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`LOGOFF_TIME`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`LOGOFF_LREAD`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`LOGOFF_PREAD`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`LOGOFF_LWRITE`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`LOGOFF_DLOCK`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`ECONTEXT_ID`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`SESSION_CPU`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`PROXY_SESSIONID`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`GLOBAL_UID`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`SQL_BIND`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`SQL_TEXT`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`OBJ_EDITION_NAME`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`COMMENT_TEXT`	`event.idm.read_only_udm.security_result.description`	從變更記錄對應
`comment_principal_ip`	`event.idm.read_only_udm.principal.ip` 和 `event.idm.read_only_udm.principal.asset.ip`	從變更記錄對應
`comment_principal_port`	`event.idm.read_only_udm.principal.port`	從變更記錄對應
`priority`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`facility`	`event.idm.read_only_udm.additional.fields`	從變更記錄對應
`inter_ip`	`event.idm.read_only_udm.intermediary.ip`	從變更記錄對應
`inter_port`	`event.idm.read_only_udm.intermediary.port`	從變更記錄對應
`HOST_ID`	`event.idm.read_only_udm.intermediary.hostname`	從變更記錄對應
`SYS_PRIVILEGE`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`PRIV_USED`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`OS_PROCESS`	`event.idm.read_only_udm.principal.process.pid`	從變更記錄對應
`TRANSACTIONID`	`event.idm.read_only_udm.security_result.detection_fields`	從變更記錄對應
`SCN`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`INSTANCE_NUMBER`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`ENTRY_ID`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`STATEMENTID`	`event.idm.read_only_udm.target.resource.attribute.labels`	從變更記錄對應
`intermediary_hostname`	`event.idm.read_only_udm.intermediary_hostname`	從變更記錄對應
`org_id" and "comp_id`	`additional.fields`	從變更記錄對應
`host_addr`	`principal.ip`	從變更記錄對應
`host_id`	`principal.hostname`	從變更記錄對應
`level`	`security_result.severity_details`	從變更記錄對應
`LENGTH", "LOGOFFDEAD", "LOGOFFLREAD", "LOGOFFLWRITE", "LOGOFFPREAD", "SESSIONCPU", "CLIENT_TERMINAL`	`target.resource.attribute.labels`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。