收集 Palo Alto Prisma Access CASB 記錄

支援的國家/地區：

本文說明如何使用 Bindplane 代理程式，將 Palo Alto Prisma Access CASB 記錄擷取至 Google Security Operations。

Palo Alto Networks SaaS Security (又稱新一代 CASB) 是透過雲端提供的雲端存取安全性代理程式，並整合至 Prisma Access。這項服務可讓您掌握並控管經過認可和未經認可的 SaaS 應用程式、偵測資料政策違規行為、監控使用者活動，以及修正雲端服務的風險。SaaS 安全防護的資料安全功能會產生事件、違規、補救活動、活動監控、管理員稽核事件和行為威脅的記錄。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • Bindplane 代理程式與 Palo Alto Networks SaaS Security 服務之間的網路連線
  • 如果透過 Proxy 執行，請確認防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • Palo Alto Networks SaaS Security (Data Security) 授權、CASB-X 授權或 CASB-PA 授權
  • 具備 Strata Cloud Manager 的管理員存取權，且有權設定 SaaS Security 設定
  • syslog 伺服器上有效的 TLS 憑證 (資料安全功能需要透過 TLS 建立 syslog 連線)

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 按一下「下載」即可下載「擷取驗證檔案」。

  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

Linux 安裝

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

    服務應顯示為有效 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
  tcplog:
    listen_address: "0.0.0.0:6514"
    tls:
      cert_file: '/etc/bindplane-agent/server.crt'
      key_file: '/etc/bindplane-agent/server.key'

exporters:
  chronicle/pan_casb:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: PAN_CASB
    raw_log_field: body
    ingestion_labels:
      vendor: palo_alto_networks
      product: saas_security_casb

service:
  pipelines:
    logs/pan_casb_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/pan_casb

設定參數

替換下列預留位置：

  • 接收器設定：

    • listen_address：設為 0.0.0.0:6514，即可在通訊埠 6514 (標準 syslog-over-TLS 通訊埠) 上監聽所有介面。
    • cert_file：Bindplane 代理程式的 TLS 憑證檔案路徑。
    • key_file：Bindplane 代理程式的 TLS 私密金鑰檔案路徑。

  • 匯出工具設定：

    • creds_file_path：擷取驗證檔案的完整路徑：
      • Linux：/etc/bindplane-agent/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：您的 Google SecOps 客戶 ID。
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」
    • log_type：必須是 PAN_CASB
    • ingestion_labels：用於分類記錄的選用標籤

儲存設定檔

編輯完成後，請儲存檔案：

  • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

Linux

  • 如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：

    sudo systemctl restart observiq-otel-collector

    1. 確認服務正在執行：

      sudo systemctl status observiq-otel-collector

    2. 檢查記錄中是否有錯誤：

      sudo journalctl -u observiq-otel-collector -f

Windows

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台：

      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Palo Alto Networks SaaS Security 系統記錄轉送

如要將 SaaS Security 資料安全記錄轉送至 Bindplane 代理程式，請在 Strata Cloud Manager 中設定 Syslog 接收器。

在 Bindplane 代理程式主機上準備 TLS 憑證

資料安全功能需要透過 TLS 加密的系統記錄連線。設定系統記錄接收器前，請先在 Bindplane 代理程式主機上準備 TLS 憑證：

  1. 自行簽署或取得 Bindplane 代理程式主機的 TLS 憑證。
  2. 將憑證和私密金鑰檔案放在 Bindplane 代理程式主機上 (例如 /etc/bindplane-agent/server.crt 和 /etc/bindplane-agent/server.key)。
  3. 請確認 Bindplane 代理程式設定在接收器的 tls 區段中參照這些檔案。

在 Strata Cloud Manager 中設定系統記錄接收器

  1. 登入 Strata Cloud Manager。
  2. 依序前往「設定」>「SaaS 安全性」>「設定」>「目錄和外部服務」>「外部服務」。
  3. 按一下「新增 Syslog/API 用戶端」。
  4. 選取「系統記錄檔接收器」，建立系統記錄檔伺服器設定檔。
  5. 在「Name」(名稱) 欄位中，輸入設定檔的描述性名稱 (例如 Chronicle-Bindplane)。
  6. 請提供下列設定詳細資料：
    • 伺服器 IP：輸入 Bindplane 代理程式主機的 IP 位址。
    • 「Port」(通訊埠)：輸入 6514。
    • 設施：選取 Syslog 標準值 (例如 LOG_USER)，計算優先順序 (PRI) 欄位。值可以是 LOG_USER 或 LOG_LOCAL0 到 LOG_LOCAL7。
    • 訊息格式：選取「IETF」。

  7. 按一下「儲存」，儲存系統記錄接收器設定。

確認系統記錄檔轉送功能

儲存系統記錄接收器設定後，資料安全防護功能就會開始將下列記錄類型轉送至 Bindplane 代理程式：

  • 事件記錄
  • 違反政策記錄
  • 修復記錄
  • 活動監控記錄
  • 管理員稽核記錄

  • 行為威脅記錄

詳情請參閱「在資料安全中設定系統記錄監控」和「在資料安全中整合系統記錄」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
Captive_Portal_label additional.fields 已合併
ConfigVersion_label additional.fields 已合併
InboundInterface_label additional.fields 已合併
LogSetting_label additional.fields 已合併
OutboundInterface_label additional.fields 已合併
ProfileToken_label additional.fields 已合併
SessionEndReason_label additional.fields 已合併
SessionStartTime_label additional.fields 已合併
SubType_label additional.fields 已合併
Subtype_label additional.fields 已合併
Tunnel_label additional.fields 已合併
URLCategory_label additional.fields 已合併
action_label additional.fields 已合併
application_label additional.fields 已合併
application_risk_label additional.fields 已合併
application_technology additional.fields 已合併
auth_method additional.fields 已合併
bytes_label additional.fields 已合併
connection_error additional.fields 已合併
connection_error_id additional.fields 已合併
content_version additional.fields 已合併
count_of_repeats additional.fields 已合併
device_sn additional.fields 已合併
direction_of_attack additional.fields 已合併
event_id_value additional.fields 已合併
file_name additional.fields 已合併
http2_connection additional.fields 已合併
imsi additional.fields 已合併
inbound_interface additional.fields 已合併
log_setting additional.fields 已合併
log_subtype additional.fields 已合併
logtype additional.fields 已合併
message additional.fields 對應值 (共 12 個，例如 LEEF: → application_risk_label、LEEF: → bytes_label、`...
outbound_interface additional.fields 已合併
packet_id additional.fields 已合併
parent_session_id additional.fields 已合併
partial_hash additional.fields 已合併
repeat_count additional.fields 已合併
sequence_no additional.fields 已合併
session_id additional.fields 已合併
subtype additional.fields 已合併
time_generated_high_resolution additional.fields 已合併
totalPackets_label additional.fields 已合併
tunnel additional.fields 已合併
url_category additional.fields 已合併
urlcategorylist additional.fields 已合併
virtual_location additional.fields 已合併
virtual_system additional.fields 已合併
virtual_system_id additional.fields 已合併
vs_label additional.fields 已合併
column3 extensions.auth.type 已對應：USERID → PHYSICAL
column4 extensions.auth.type 已對應：login → PHYSICAL
column10 intermediary.hostname 直接對應
column16 intermediary.hostname 直接對應
event_data.EventDescription metadata.description 直接對應
hostname metadata.description 直接對應
msg.policyName metadata.description 直接對應
policyName metadata.description 直接對應
TimeReceived metadata.event_timestamp 已剖析為 ISO8601
event_data.EventTime metadata.event_timestamp 已剖析為 yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_data.TimeGenerated metadata.event_timestamp 已剖析為 yyyy-MM-ddTHH:mm:ss.SSSSSSZ
event_type metadata.event_type 直接對應
has_principal metadata.event_type 已對應：true → NETWORK_CONNECTION、true → STATUS_UPDATE
message metadata.event_type 已對應：LEEF: → GENERIC_EVENT
ActionSource metadata.product_event_type 直接對應
LogType metadata.product_event_type 直接對應
SubType metadata.product_event_type 直接對應
Subtype metadata.product_event_type 直接對應
column3 metadata.product_event_type 直接對應
event_data.EventName metadata.product_event_type 直接對應
msg.reason metadata.product_event_type 直接對應
reason metadata.product_event_type 直接對應
SequenceNo metadata.product_log_id 直接對應
alertId metadata.product_log_id 直接對應
msg.alertId metadata.product_log_id 直接對應
message metadata.product_name 已對應：LEEF: → CASB
column5 metadata.product_version 直接對應
device_version metadata.product_version 直接對應
event_data.GlobalProtectClientVersion metadata.product_version 直接對應
callbackUrl metadata.url_back_to_product 直接對應
msg.callbackUrl metadata.url_back_to_product 直接對應
VendorName metadata.vendor_name 直接對應
message metadata.vendor_name 已對應：LEEF: → Palo Alto Networks
column3 network.application_protocol 已對應：THREAT → TCP
has_principal network.application_protocol 已對應：true → TCP
proto network.application_protocol 直接對應
Protocol network.ip_protocol 直接對應
column27 network.ip_protocol 已對應：tcp → TCP
column3 network.ip_protocol 已對應：TRAFFIC → TCP、THREAT → TCP
event_data.Protocol network.ip_protocol 直接對應
proto network.ip_protocol 直接對應
message network.received_bytes 已對應：LEEF: → uinteger
srcBytes network.received_bytes 直接對應
srcPackets network.received_packets 直接對應
dstBytes network.sent_bytes 直接對應
message network.sent_bytes 已對應：LEEF: → uinteger
dstPackets network.sent_packets 直接對應
SessionDuration network.session_duration.seconds 已重新命名/對應
SessionID network.session_id 直接對應
column21 network.session_id 當 column3 == THREAT 時對應
event_data.SessionID network.session_id 直接對應
SourceUserDomain principal.administrative_domain 直接對應
DeviceSN principal.asset.asset_id 直接對應
DeviceName principal.asset.hostname 直接對應
event_data.DeviceName principal.asset.hostname 直接對應
SourceAddress principal.asset.ip 已合併
column3 principal.asset.ip 對應：USERID → ip、TRAFFIC → ip、THREAT → ip
event_data.PublicIPv4 principal.asset.ip 已合併
event_data.SourceAddress principal.asset.ip 已合併
ip principal.asset.ip 已合併
column3 principal.asset.nat_ip 已對應：TRAFFIC → ip、THREAT → ip
ip principal.asset.nat_ip 已合併
FileType principal.file.mime_type 直接對應
FileName principal.file.names 已合併
DeviceName principal.hostname 直接對應
event_data.DeviceName principal.hostname 直接對應
host principal.hostname 直接對應
SourceAddress principal.ip 已合併
column3 principal.ip 對應：USERID → ip、TRAFFIC → ip、THREAT → ip
event_data.PublicIPv4 principal.ip 已合併
event_data.SourceAddress principal.ip 已合併
ip principal.ip 已合併
message principal.ip 已對應：LEEF: → ip、LEEF: → src
src principal.ip 已合併
SourceLocation principal.location.country_or_region 直接對應
column35 principal.location.country_or_region 直接對應
event_data.SourceRegion principal.location.country_or_region 直接對應
FromZone principal.location.name 直接對應
event_data.FromZone principal.location.name 直接對應
event_data.HostID principal.mac 已合併
NATSource principal.nat_ip 已合併
column3 principal.nat_ip 已對應：TRAFFIC → ip、THREAT → ip
event_data.NATSource principal.nat_ip 已合併
ip principal.nat_ip 已合併
NATSourcePort principal.nat_port 直接對應
column25 principal.nat_port 直接對應
event_data.NATSourcePort principal.nat_port 直接對應
EndpointOSType principal.platform 直接對應
event_data.EndpointOSVersion principal.platform_version 直接對應
SourcePort principal.port 直接對應
column13 principal.port 直接對應
column23 principal.port 直接對應
event_data.SourcePort principal.port 直接對應
srcPort principal.port 直接對應
application_Subcategory principal.resource.attribute.labels 已合併
application_category principal.resource.attribute.labels 已合併
cloudhostname principal.resource.attribute.labels 已合併
cortexdatalaketenantid principal.resource.attribute.labels 已合併
flowtype principal.resource.attribute.labels 已合併
inboundinterfacedetailstype principal.resource.attribute.labels 已合併
log_source_id principal.resource.attribute.labels 已合併
log_source_name principal.resource.attribute.labels 已合併
log_type principal.resource.attribute.labels 已合併
logsource principal.resource.attribute.labels 已合併
outboundinterfacedetailstype principal.resource.attribute.labels 已合併
panorama_sn principal.resource.attribute.labels 已合併
platform_type principal.resource.attribute.labels 已合併
source_label principal.resource.attribute.labels 已合併
source_location principal.resource.attribute.labels 已合併
column4 principal.resource.type 直接對應
column2 principal.user.product_object_id 直接對應
SourceUser principal.user.userid 直接對應
SourceUserName principal.user.userid 直接對應
column12 principal.user.userid 直接對應
usrName principal.user.userid 直接對應
message security_result 已對應：LEEF: → security_result
sec_result security_result 已合併
action security_result.action 已合併
action_value security_result.action_details 直接對應
cat security_result.category_details 已合併
column3 security_result.category_details 對應：THREAT → column94、THREAT → column97、THREAT → column98
column94 security_result.category_details 已合併
column97 security_result.category_details 已合併
column98 security_result.category_details 已合併
message security_result.category_details 已對應：LEEF: → cat
msg.policyDescription security_result.description 直接對應
policyDescription security_result.description 直接對應
DGHierarchyLevel1_label security_result.detection_fields 已合併
DGHierarchyLevel2_label security_result.detection_fields 已合併
DGHierarchyLevel3_label security_result.detection_fields 已合併
DGHierarchyLevel4_label security_result.detection_fields 已合併
action_label security_result.detection_fields 已合併
alert_status security_result.detection_fields 已合併
eventstatus_label security_result.detection_fields 已合併
policy_id security_result.detection_fields 已合併
policy_recommendation security_result.detection_fields 已合併
policy_type security_result.detection_fields 已合併
portal_label security_result.detection_fields 已合併
stage_label security_result.detection_fields 已合併
threat_category security_result.detection_fields 已合併
RuleUUID security_result.rule_id 直接對應
alertRuleId security_result.rule_id 直接對應
column61 security_result.rule_id 直接對應
event_data.RuleUUID security_result.rule_id 直接對應
msg.alertRuleId security_result.rule_id 直接對應
Rule security_result.rule_name 直接對應
alertRuleName security_result.rule_name 直接對應
column11 security_result.rule_name 直接對應
event_data.Rule security_result.rule_name 直接對應
msg.alertRuleName security_result.rule_name 直接對應
Severity security_result.severity 直接對應
column3 security_result.severity 已對應：THREAT → INFORMATIONAL
column31 security_result.severity 已對應：Informational → INFORMATIONAL
msg.severity security_result.severity 直接對應
severity security_result.severity 直接對應
ThreatNameFirewall security_result.threat_name 直接對應
Application target.application 直接對應
TunneledApplication target.application 直接對應
column13 target.asset.hostname 直接對應
DestinationAddress target.asset.ip 已合併
column3 target.asset.ip 已對應：TRAFFIC → ip、THREAT → ip
dest_ip target.asset.ip 已合併
event_data.DestinationAddress target.asset.ip 已合併
ip target.asset.ip 已合併
column3 target.asset.nat_ip 已對應：TRAFFIC → ip、THREAT → ip
ip target.asset.nat_ip 已合併
accountId target.hostname 直接對應
column13 target.hostname 直接對應
msg.accountId target.hostname 直接對應
DestinationAddress target.ip 已合併
column3 target.ip 已對應：TRAFFIC → ip、THREAT → ip
dest_ip target.ip 已合併
dst target.ip 已合併
event_data.DestinationAddress target.ip 已合併
ip target.ip 已合併
message target.ip 已對應：LEEF: → dst
network_ip target.ip 已合併
DestinationLocation target.location.country_or_region 直接對應
Location target.location.country_or_region 直接對應
event_data.DestinationLocation target.location.country_or_region 直接對應
msg.resourceRegionId target.location.country_or_region 直接對應
resourceRegionId target.location.country_or_region 直接對應
ToZone target.location.name 直接對應
event_data.ToZone target.location.name 直接對應
network_mac target.mac 已合併
NATDestination target.nat_ip 已合併
column3 target.nat_ip 已對應：TRAFFIC → ip、THREAT → ip
event_data.NATDestination target.nat_ip 已合併
ip target.nat_ip 已合併
NATDestinationPort target.nat_port 直接對應
column26 target.nat_port 直接對應
event_data.NATDestinationPort target.nat_port 直接對應
DestinationPort target.port 直接對應
column24 target.port 直接對應
dstPort target.port 直接對應
event_data.DestinationPort target.port 直接對應
cloudType target.resource.attribute.cloud.environment 對應：gcp → GOOGLE_CLOUD_PLATFORM、aws → AMAZON_WEB_SERVICES、azure → `MICROSOFT...
accountName target.resource.attribute.cloud.project.id 直接對應
msg.accountName target.resource.attribute.cloud.project.id 直接對應
networkInterfaceId target.resource.attribute.labels 已合併
privateDnsName target.resource.attribute.labels 已合併
publicDnsName target.resource.attribute.labels 已合併
resource_type_label target.resource.attribute.labels 已合併
subnetId target.resource.attribute.labels 已合併
tag_label target.resource.attribute.labels 已合併
vpcId target.resource.attribute.labels 已合併
msg.resourceName target.resource.name 直接對應
resourceName target.resource.name 直接對應
msg.resourceId target.resource.product_object_id 直接對應
resourceId target.resource.product_object_id 直接對應
URL target.url 直接對應
URLDomain target.url 直接對應
column29 target.url 直接對應
resource.data.securityGroups.0.groupId target.user.group_identifiers 已合併
resource.data.securityGroups.0.groupName target.user.group_identifiers 已合併
DestinationUser target.user.user_display_name 直接對應
DestinationUser target.user.userid 直接對應
column9 target.user.userid 直接對應
不適用 metadata.event_type 常數：USER_RESOURCE_ACCESS
不適用 metadata.product_name 常數：CASB
不適用 metadata.vendor_name 常數：Palo Alto Networks
不適用 network.application_protocol 常數：TCP
不適用 security_result.severity 常數：INFORMATIONAL
不適用 target.resource.attribute.cloud.environment 常數：GOOGLE_CLOUD_PLATFORM
column6 event.idm.read_only_udm.additional.fields 從變更記錄對應
column7 event.idm.read_only_udm.additional.fields 從變更記錄對應
column9 event.idm.read_only_udm.additional.fields 從變更記錄對應
column10 event.idm.read_only_udm.additional.fields 從變更記錄對應
column13 event.idm.read_only_udm.additional.fields 從變更記錄對應
column21 event.idm.read_only_udm.additional.fields 從變更記錄對應
column24 event.idm.read_only_udm.additional.fields 從變更記錄對應
column27 event.idm.read_only_udm.additional.fields 從變更記錄對應
column31 event.idm.read_only_udm.additional.fields 從變更記錄對應
column32 event.idm.read_only_udm.additional.fields 從變更記錄對應
column33 event.idm.read_only_udm.additional.fields 從變更記錄對應
column34 event.idm.read_only_udm.additional.fields 從變更記錄對應
column35 event.idm.read_only_udm.additional.fields 從變更記錄對應
column36 event.idm.read_only_udm.additional.fields 從變更記錄對應
column37 event.idm.read_only_udm.additional.fields 從變更記錄對應
column38 event.idm.read_only_udm.additional.fields 從變更記錄對應
column39 event.idm.read_only_udm.additional.fields 從變更記錄對應
column41 event.idm.read_only_udm.additional.fields 從變更記錄對應
column42 event.idm.read_only_udm.additional.fields 從變更記錄對應
column43 event.idm.read_only_udm.additional.fields 從變更記錄對應
column44 event.idm.read_only_udm.additional.fields 從變更記錄對應
column3 event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
column8 event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
column5 event.idm.read_only_udm.metadata.product_version 從變更記錄對應
column30 event.idm.read_only_udm.network.session_duration.seconds 從變更記錄對應
column11 event.idm.read_only_udm.network.tls.next_protocol 從變更記錄對應
column46 event.idm.read_only_udm.observer.hostname 和 event.idm.read_only_udm.observer.asset.hostname 從變更記錄對應
column45 event.idm.read_only_udm.observer.resource.name 從變更記錄對應
column47 event.idm.read_only_udm.observer.resource.product_object_id 從變更記錄對應
column19 event.idm.read_only_udm.principal.asset.asset_id 從變更記錄對應
column20 event.idm.read_only_udm.principal.asset.hardware.serial_number 從變更記錄對應
column14 event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
column15 event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
column16 event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
column17 event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
column18 event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
column13 event.idm.read_only_udm.principal.location.country_or_region 從變更記錄對應
column22 event.idm.read_only_udm.principal.platform 從變更記錄對應
column23 event.idm.read_only_udm.principal.platform_version 從變更記錄對應
column4 event.idm.read_only_udm.principal.resource.name 從變更記錄對應
column2 event.idm.read_only_udm.principal.user.product_object_id 從變更記錄對應
column12 event.idm.read_only_udm.principal.user.userid 從變更記錄對應
column25 event.idm.read_only_udm.security_result.description 從變更記錄對應
column26 event.idm.read_only_udm.security_result.summary 從變更記錄對應
column40 event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
column29 event.idm.read_only_udm.target.location.country_or_region 從變更記錄對應
timestamp event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
VirtualSystemID event.idm.read_only_udm.additional.fields 從變更記錄對應
ApplicationTechnology event.idm.read_only_udm.additional.fields 從變更記錄對應
LogType event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
Subtype event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
Subtype event.idm.read_only_udm.additional.fields 從變更記錄對應
action_value event.idm.read_only_udm.security_result.action_details 從變更記錄對應
ThreatNameFirewall event.idm.read_only_udm.security_result.threat_name 從變更記錄對應
SessionID event.idm.read_only_udm.network.session_id 從變更記錄對應
DeviceName event.idm.read_only_udm.principal.hostname 從變更記錄對應
DeviceName event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
Location event.idm.read_only_udm.target.location.country_or_region 從變更記錄對應
TunneledApplication event.idm.read_only_udm.target.application 從變更記錄對應
URLDomain event.idm.read_only_udm.target.url 從變更記錄對應
SourceUserName event.idm.read_only_udm.principal.user.userid 從變更記錄對應
action event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
column35 event.idm.read_only_udm.principal.location.country_or_region 從變更記錄對應
column61 event.idm.read_only_udm.security_result.rule_id 從變更記錄對應
column94 event.idm.read_only_udm.security_result.category_details 從變更記錄對應
column97 event.idm.read_only_udm.security_result.category_details 從變更記錄對應
column98 event.idm.read_only_udm.security_result.category_details 從變更記錄對應
column21 event.idm.read_only_udm.event1.idm.read_only_udm.network.session_id 從變更記錄對應
ThreatCategory event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
SubType event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
FileName event.idm.read_only_udm.principal.file.names 從變更記錄對應
FileType event.idm.read_only_udm.principal.file.mime_type 從變更記錄對應
LogType event.idm.read_only_udm.additional.fields 從變更記錄對應
HTTP2Connection event.idm.read_only_udm.additional.fields 從變更記錄對應
LogSetting event.idm.read_only_udm.additional.fields 從變更記錄對應
InboundInterface event.idm.read_only_udm.additional.fields 從變更記錄對應
OutboundInterface event.idm.read_only_udm.additional.fields 從變更記錄對應
Application event.idm.read_only_udm.additional.fields 從變更記錄對應
VirtualLocation event.idm.read_only_udm.additional.fields 從變更記錄對應
CaptivePortal event.idm.read_only_udm.additional.fields 從變更記錄對應
URLCategoryList event.idm.read_only_udm.additional.fields 從變更記錄對應
SessionID event.idm.read_only_udm.additional.fields 從變更記錄對應
RepeatCount event.idm.read_only_udm.additional.fields 從變更記錄對應
ConfigVersion event.idm.read_only_udm.additional.fields 從變更記錄對應
URLCategory event.idm.read_only_udm.additional.fields 從變更記錄對應
DirectionOfAttack event.idm.read_only_udm.additional.fields 從變更記錄對應
SequenceNo event.idm.read_only_udm.additional.fields 從變更記錄對應
PacketID event.idm.read_only_udm.additional.fields 從變更記錄對應
DestinationAddress event.idm.read_only_udm.additional.fields 從變更記錄對應
VirtualSystemName event.idm.read_only_udm.additional.fields 從變更記錄對應
IMSI event.idm.read_only_udm.additional.fields 從變更記錄對應
ParentSessionID event.idm.read_only_udm.additional.fields 從變更記錄對應
Tunnel event.idm.read_only_udm.additional.fields 從變更記錄對應
ApplicationRisk event.idm.read_only_udm.additional.fields 從變更記錄對應
ContentVersion event.idm.read_only_udm.additional.fields 從變更記錄對應
TimeGeneratedHighResolution event.idm.read_only_udm.additional.fields 從變更記錄對應
ApplicationCategory event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
ApplicationSubcategory event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
LogType event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
SourceLocation event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
CloudHostname event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
CortexDataLakeTenantID event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
FlowType event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
InboundInterfaceDetailsType event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
LogSource event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
OutboundInterfaceDetailsType event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
PanoramaSN event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
PlatformType event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Action event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
DGHierarchyLevel1 event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
DGHierarchyLevel2 event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
DGHierarchyLevel3 event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
DGHierarchyLevel4 event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
Severity event.idm.read_only_udm.security_result.severity 從變更記錄對應
RuleUUID event.idm.read_only_udm.security_result.rule_id 從變更記錄對應
Rule event.idm.read_only_udm.security_result.rule_name 從變更記錄對應
Protocol event.idm.read_only_udm.network.ip_protocol 從變更記錄對應
ToZone event.idm.read_only_udm.target.location.name 從變更記錄對應
SourceAddress event.idm.read_only_udm.principal.ip 從變更記錄對應
SourceAddress event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
DestinationAddress event.idm.read_only_udm.target.ip 從變更記錄對應
DestinationAddress event.idm.read_only_udm.target.asset.ip 從變更記錄對應
NATSource event.idm.read_only_udm.principal.nat_ip 從變更記錄對應
NATDestination event.idm.read_only_udm.target.nat_ip 從變更記錄對應
SourceUser event.idm.read_only_udm.principal.user.userid 從變更記錄對應
DestinationUser event.idm.read_only_udm.target.user.userid 從變更記錄對應
SourcePort event.idm.read_only_udm.principal.port 從變更記錄對應
DestinationPort event.idm.read_only_udm.target.port 從變更記錄對應
NATSourcePort event.idm.read_only_udm.principal.nat_port 從變更記錄對應
NATDestinationPort event.idm.read_only_udm.target.nat_port 從變更記錄對應
URL event.idm.read_only_udm.target.url 從變更記錄對應
DeviceSN event.idm.read_only_udm.principal.asset.asset_id 從變更記錄對應
FromZone event.idm.read_only_udm.principal.location.name 從變更記錄對應
DestinationLocation event.idm.read_only_udm.target.location.country_or_region 從變更記錄對應
X-Forwarded-For event.idm.read_only_udm.principal.ip 從變更記錄對應
SourceUserDomain event.idm.read_only_udm.principal.administrative_domain 從變更記錄對應
VendorName event.idm.read_only_udm.metadata.vendor_name 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。