收集 Teleport Access Plane 記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Teleport Access Plane 記錄檔擷取至 Google Security Operations。

Teleport Access Plane (現為 Teleport Access Platform) 是零信任存取平台，可安全存取 SSH 伺服器、Kubernetes 叢集、資料庫和網頁應用程式，並內建工作階段記錄、身分式存取控管和全面稽核記錄功能。您可以透過 Teleport Events API 收集稽核事件。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • 具備管理員存取權的執行中 Teleport 叢集
  • 傳輸 Teleport 身分檔案或機器 ID 憑證，以存取 API

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 teleport-audit-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

收集 Teleport Access Plane API 憑證

產生身分檔案以存取 API

Teleport 會使用身分驗證機制存取 API。產生身分識別檔案，或使用機器 ID 自動存取。

選項 A：使用 tctl 產生身分識別檔案

  1. 登入可存取 Teleport 叢集的機器。tctl

  2. 為整合項目建立機器人使用者：

    tctl bots add secops-collector --roles=auditor --logins=root

  3. 產生身分檔案：

    tctl auth sign --user=secops-collector --out=secops-collector-identity --ttl=8760h

  4. 身分識別檔案 secops-collector-identity 包含 API 驗證所需的 TLS 憑證、金鑰和 CA 憑證。

  1. 在執行收集器的機器上安裝 tbot。

  2. 設定機器 ID：

    tctl bots add secops-collector --roles=auditor

  3. 啟動機器人，持續更新憑證：

    tbot start \
  --destination-dir=/opt/teleport/certs \
  --token=secops-collector-token \
  --auth-server=teleport.yourcompany.com:443

判斷 Teleport Proxy 位址

  1. 記下 Teleport Proxy 位址 (例如 teleport.yourcompany.com:443)。

  2. API 端點與 Proxy 位址相同。

驗證權限

如要確認機器人使用者具備必要權限，請按照下列步驟操作：

  1. 登入 Teleport 網頁版 UI。
  2. 依序前往「管理」>「使用者」。
  3. 確認機器人使用者 secops-collector 存在，且具備 auditor 角色。
  4. auditor 角色可提供稽核事件和工作階段錄影的讀取權限。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    # Replace with your actual values
TELEPORT_PROXY="teleport.yourcompany.com:443"
IDENTITY_FILE="/path/to/secops-collector-identity"

# Test API access using tsh
tsh --proxy=${TELEPORT_PROXY} -i ${IDENTITY_FILE} \
  events ls --last=1h --format=json | head -5

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限，且可由 Pub/Sub 叫用的服務帳戶。

建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 teleport-logs-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Teleport Access Plane logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

這些角色適用於：

  • Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
  • Cloud Run 叫用者：允許 Pub/Sub 叫用函式
  • Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

將 GCS bucket 的寫入權限授予服務帳戶：

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 點按 bucket 名稱 (例如 teleport-audit-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (例如 teleport-logs-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，Cloud Scheduler 會將訊息發布至該主題，而 Cloud Run 函式會訂閱該主題。

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 teleport-logs-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Teleport Events API 擷取稽核事件，並將這些事件寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 teleport-logs-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「選取 Cloud Pub/Sub 主題」中，選擇主題 teleport-logs-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取服務帳戶 teleport-logs-collector-sa。

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET teleport-audit-logs GCS bucket 名稱
    GCS_PREFIX teleport-logs 記錄檔的前置字串
    STATE_KEY teleport-logs/state.json 狀態檔案路徑
    TELEPORT_PROXY teleport.yourcompany.com:443 Teleport Proxy 位址
    TELEPORT_IDENTITY base64-encoded-identity-file 採用 Base64 編碼的身分識別檔案內容
    MAX_RECORDS 10000 每次執行的記錄數上限
    PAGE_SIZE 1000 每頁記錄數
    LOOKBACK_HOURS 24 初始回溯期

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100 (或根據預期負載調整)

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。

  2. 在內嵌程式碼編輯器中，建立兩個檔案：

    • main.py:
    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time
import base64
import tempfile
import ssl

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'teleport-logs')
STATE_KEY = os.environ.get('STATE_KEY', 'teleport-logs/state.json')
TELEPORT_PROXY = os.environ.get('TELEPORT_PROXY')
TELEPORT_IDENTITY = os.environ.get('TELEPORT_IDENTITY')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '10000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))

def parse_datetime(value: str) -> datetime:
  """Parse ISO datetime string to datetime object."""
  if value.endswith("Z"):
    value = value[:-1] + "+00:00"
  return datetime.fromisoformat(value)

def create_http_client():
  """
  Create an HTTP client with TLS client certificate
  authentication from the Teleport identity file.
  """
  identity_data = base64.b64decode(TELEPORT_IDENTITY).decode('utf-8')

  # Parse identity file into cert, key, and CA
  cert_file = tempfile.NamedTemporaryFile(mode='w', suffix='.pem', delete=False)
  key_file = tempfile.NamedTemporaryFile(mode='w', suffix='.pem', delete=False)
  ca_file = tempfile.NamedTemporaryFile(mode='w', suffix='.pem', delete=False)

  current_section = None
  cert_data = []
  key_data = []
  ca_data = []

  for line in identity_data.split('\n'):
    if 'BEGIN CERTIFICATE' in line and not cert_data:
      current_section = 'cert'
    elif 'BEGIN CERTIFICATE' in line:
      current_section = 'ca'
    elif 'BEGIN' in line and 'KEY' in line:
      current_section = 'key'
    elif 'END CERTIFICATE' in line:
      if current_section == 'cert':
        cert_data.append(line)
      elif current_section == 'ca':
        ca_data.append(line)
      current_section = None
    elif 'END' in line and 'KEY' in line:
      key_data.append(line)
      current_section = None

    if current_section == 'cert':
      cert_data.append(line)
    elif current_section == 'key':
      key_data.append(line)
    elif current_section == 'ca':
      ca_data.append(line)

  cert_file.write('\n'.join(cert_data))
  cert_file.close()
  key_file.write('\n'.join(key_data))
  key_file.close()
  ca_file.write('\n'.join(ca_data))
  ca_file.close()

  http = urllib3.PoolManager(
    cert_file=cert_file.name,
    key_file=key_file.name,
    ca_certs=ca_file.name,
    timeout=urllib3.Timeout(connect=10.0, read=60.0),
    retries=False,
  )

  return http

@functions_framework.cloud_event
def main(cloud_event):
  """
  Cloud Run function triggered by Pub/Sub to fetch Teleport
  audit events and write to GCS.

  Args:
    cloud_event: CloudEvent object containing Pub/Sub message
  """

  if not all([GCS_BUCKET, TELEPORT_PROXY, TELEPORT_IDENTITY]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)

    # Load state
    state = load_state(bucket, STATE_KEY)

    # Determine time window
    now = datetime.now(timezone.utc)
    last_time = None

    if isinstance(state, dict) and state.get("last_event_time"):
      try:
        last_time = parse_datetime(state["last_event_time"])
        # Overlap by 2 minutes to catch any delayed events
        last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")

    if last_time is None:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")

    # Create HTTP client with TLS auth
    http = create_http_client()

    # Fetch logs
    records, newest_event_time = fetch_logs(
      http=http,
      start_time=last_time,
      end_time=now,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
    )

    if not records:
      print("No new log records found.")
      save_state(bucket, STATE_KEY, now.isoformat())
      return

    # Write to GCS as NDJSON
    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in records]) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

    # Update state with newest event time
    if newest_event_time:
      save_state(bucket, STATE_KEY, newest_event_time)
    else:
      save_state(bucket, STATE_KEY, now.isoformat())

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def load_state(bucket, key):
  """Load state from GCS."""
  try:
    blob = bucket.blob(key)
    if blob.exists():
      state_data = blob.download_as_text()
      return json.loads(state_data)
  except Exception as e:
    print(f"Warning: Could not load state: {e}")

  return {}

def save_state(bucket, key, last_event_time_iso: str):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {'last_event_time': last_event_time_iso}
    blob = bucket.blob(key)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

def fetch_logs(http, start_time: datetime, end_time: datetime, page_size: int, max_records: int):
  """
  Fetch audit events from Teleport Events API with pagination
  and rate limiting.

  Args:
    http: urllib3 PoolManager with TLS client certificates
    start_time: Start time for log query
    end_time: End time for log query
    page_size: Number of records per page
    max_records: Maximum total records to fetch

  Returns:
    Tuple of (records list, newest_event_time ISO string)
  """
  proxy_host = TELEPORT_PROXY.rstrip('/')
  if not proxy_host.startswith('https://'):
    proxy_host = f"https://{proxy_host}"

  endpoint = f"{proxy_host}/v1/events"

  records = []
  newest_time = None
  page_num = 0
  backoff = 1.0
  cursor = ""

  start_str = start_time.strftime("%Y-%m-%dT%H:%M:%SZ")
  end_str = end_time.strftime("%Y-%m-%dT%H:%M:%SZ")

  while True:
    page_num += 1

    if len(records) >= max_records:
      print(f"Reached max_records limit ({max_records})")
      break

    url = (
      f"{endpoint}"
      f"?from={start_str}"
      f"&to={end_str}"
      f"&limit={min(page_size, max_records - len(records))}"
    )
    if cursor:
      url += f"&startKey={cursor}"

    try:
      response = http.request('GET', url)

      # Handle rate limiting with exponential backoff
      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return [], None

      data = json.loads(response.data.decode('utf-8'))

      page_results = data.get('items', data.get('events', []))

      if not page_results:
        print(f"No more results (empty page)")
        break

      print(f"Page {page_num}: Retrieved {len(page_results)} events")
      records.extend(page_results)

      # Track newest event time
      for event in page_results:
        try:
          event_time = event.get('time') or event.get('ei', {}).get('time')
          if event_time:
            if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
              newest_time = event_time
        except Exception as e:
          print(f"Warning: Could not parse event time: {e}")

      # Check for more results using cursor
      cursor = data.get('startKey', '')
      if not cursor:
        print("No more pages (no startKey cursor)")
        break

    except Exception as e:
      print(f"Error fetching logs: {e}")
      return [], None

  print(f"Retrieved {len(records)} total records from {page_num} pages")
  return records, newest_time
    • requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 teleport-logs-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取主題 teleport-logs-trigger
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 5 分鐘 */5 * * * * 大量低延遲
每 15 分鐘 */15 * * * * 中等
每小時 0 * * * * 標準 (建議)
每 6 小時 0 */6 * * * 少量、批次處理
每日 0 0 * * * 歷來資料集合

測試整合項目

  1. 在 Cloud Scheduler 控制台中找出您的工作。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下 teleport-logs-collector。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否已順利執行。尋找：

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Page 1: Retrieved X events
Wrote X records to gs://teleport-audit-logs/teleport-logs/logs_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下 bucket 名稱 (teleport-audit-logs)。

  10. 前往 teleport-logs/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401/403：檢查身分識別檔案是否有效且未過期，並確認機器人使用者具有 auditor 角色
  • HTTP 429：頻率限制 - 函式會自動重試，並延遲一段時間
  • 傳輸層安全標準 (TLS) 錯誤：確認身分識別檔案已正確採用 Base64 編碼，且包含憑證、金鑰和 CA
  • 缺少環境變數：檢查是否已設定所有必要變數

在 Google SecOps 中設定資訊提供，擷取 Teleport Access Plane 記錄

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Teleport Access Plane Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Teleport Access Plane」(Teleport 存取平面) 做為「記錄類型」。

  7. 按一下「取得服務帳戶」。系統會顯示專屬服務帳戶電子郵件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. 複製這個電子郵件地址。

  9. 點選「下一步」。

  10. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://teleport-audit-logs/teleport-logs/
      • 取代：
        • teleport-audit-logs：您的 GCS bucket 名稱。
        • teleport-logs：儲存記錄的選用前置字元/資料夾路徑 (如為根目錄，請留空)。

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

  11. 點選「下一步」。

  12. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 點按 bucket 名稱。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」
  6. 按一下 [儲存]。

UDM 對應表

記錄欄位 UDM 對應 邏輯
addr_local principal.ip、principal.asset.ip 連線的來源 IP 位址
addr_remote target.ip 連線的目的地 IP 位址
addr_remote1 principal.ip、principal.asset.ip 連線的來源 IP 位址
argv target.process.command_line 程序的指令列引數
bot_instance_id principal.asset.product_object_id 資產的產品專屬 ID
bot_name principal.application 涉及的應用程式名稱
呼叫端 principal.resource.attribute.labels 資源屬性的鍵/值組合
cgroup_id metadata.ingestion_labels 擷取中繼資料的標籤鍵/值組合
cluster_name、fields.cluster_name target.resource.name 目標資源名稱
程式碼 additional.fields 事件資料的其他鍵/值組合
元件 metadata.product_event_type 產品專屬事件類型
dst_ip target.ip 連線的目的地 IP 位址
dst_port target.port 連線的目標通訊埠編號
ei additional.fields 事件資料的其他鍵/值組合
事件 metadata.product_event_type 產品專屬事件類型
eventtype principal.resource.attribute.labels 資源屬性的鍵/值組合
fields.addr.local principal.ip、principal.asset.ip 連線的來源 IP 位址
fields.addr.remote principal.ip、principal.asset.ip 連線的來源 IP 位址
fields.attributes.Account principal.resource.id 資源的 ID
fields.attributes.Arn principal.resource.attribute.labels 資源屬性的鍵/值組合
fields.cluster_name target.resource.name 目標資源名稱
fields.code additional.fields 事件資料的其他鍵/值組合
fields.host_id target.resource.id 目標資源的 ID
fields.uid principal.user.userid 主體的使用者 ID
id_id metadata.product_log_id 產品專屬記錄 ID
冒用者 principal.resource.attribute.labels 資源屬性的鍵/值組合
level security_result.severity 安全結果的嚴重性等級
login principal.user.user_display_name 使用者的顯示名稱
命名空間 principal.namespace 主體的命名空間
路徑 target.file.full_path 目標檔案的完整路徑
pid target.process.pid 程序 ID
ppid target.process.parent_process.pid 上層程序 ID
private_key_policy additional.fields 事件資料的其他鍵/值組合
計畫 target.application 目標應用程式名稱
角色 principal.resource.attribute.labels 資源屬性的鍵/值組合
server_hostname principal.hostname、principal.asset.hostname 主要資產的主機名稱
server_id target.resource.product_object_id、metadata.ingestion_labels 資源的產品專屬 ID
server_labels.Environment target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.OS target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.Role target.user.attribute.roles 與使用者相關聯的角色
server_labels.Uptime additional.fields 事件資料的其他鍵/值組合
server_labels.Version target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_Name target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_application target.application 目標應用程式名稱
server_labels.aws_backup target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_cost_center target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_environment target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_role target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_terraform target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_tier target.asset.attribute.labels 資產屬性的鍵/值組合
server_labels.aws_zone target.asset.attribute.labels 資產屬性的鍵/值組合
server_version additional.fields 事件資料的其他鍵/值組合
session_id network.session_id 網路連線的工作階段 ID
嚴重性 security_result.severity 安全結果的嚴重性等級
sid network.session_id 網路連線的工作階段 ID
src_ip principal.ip 連線的來源 IP 位址
src_port principal.port 連線的來源通訊埠編號
sr_summary security_result.summary 安全性結果摘要
systemRoles principal.resource.attribute.labels 資源屬性的鍵/值組合
類型 metadata.product_event_type 產品專屬事件類型
type1 metadata.product_event_type 產品專屬事件類型
uid principal.user.userid、target.user.userid 主體或目標使用者的使用者 ID
使用者 principal.user.attribute.labels、target.user.user_display_name 使用者的顯示名稱
user_kind additional.fields 事件資料的其他鍵/值組合
working_directory metadata.ingestion_labels 擷取中繼資料的標籤鍵/值組合
additional.fields 事件資料的其他鍵/值組合
metadata.event_type 事件類型 (例如 USER_LOGIN、NETWORK_CONNECTION)
metadata.ingestion_labels 擷取中繼資料的標籤鍵/值組合
metadata.product_name 產生事件的產品名稱
metadata.vendor_name 產品供應商名稱
network.session_id 網路連線的工作階段 ID
principal.asset.attribute.labels 資產屬性的鍵/值組合
principal.resource.attribute.labels 資源屬性的鍵/值組合
principal.user.attribute.labels 使用者屬性的鍵/值組合
security_result 安全性相關結果或動作
target.asset.attribute.labels 資產屬性的鍵/值組合
target.process.parent_process.pid 上層程序 ID
target.user.attribute.roles 與使用者相關聯的角色
code event.idm.read_only_udm.additional.fields 從變更記錄對應
ei event.idm.read_only_udm.additional.fields 從變更記錄對應
orig_log_filename event.idm.read_only_udm.additional.fields 從變更記錄對應
app_name event.idm.read_only_udm.target.application 從變更記錄對應
app_public_addr event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
app_uri event.idm.read_only_udm.target.url 從變更記錄對應
method event.idm.read_only_udm.network.http.method 從變更記錄對應
status_code event.idm.read_only_udm.network.http.response_code 從變更記錄對應
path event.idm.read_only_udm.target.file.full_path 從變更記錄對應
timestamp event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
bot_name event.idm.read_only_udm.principal.application 從變更記錄對應
cluster_name event.idm.read_only_udm.target.resource.name 從變更記錄對應
server_hostname event.idm.read_only_udm.principal.hostname 從變更記錄對應
server_hostname event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
server_id event.idm.read_only_udm.target.resource.product_object_id 從變更記錄對應
event event.idm.read_only_udm.metadata.product_event_type 從變更記錄對應
login event.idm.read_only_udm.principal.user.user_display_name 從變更記錄對應
namespace event.idm.read_only_udm.principal.namespace 從變更記錄對應
sid event.idm.read_only_udm.network.session_id 從變更記錄對應
server_labels.Role event.idm.read_only_udm.target.user.attribute.roles 從變更記錄對應
server_labels.aws_application event.idm.read_only_udm.target.application 從變更記錄對應
user event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
impersonator event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
server_id event.idm.read_only_udm.metadata.ingestion_labels 從變更記錄對應
server_labels.Environment event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.OS event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.Version event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_backup event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_cost_center event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_environment event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_role event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_terraform event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_tier event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_zone event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
server_labels.aws_name event.idm.read_only_udm.target.asset.attribute.labels 從變更記錄對應
private_key_policy event.idm.read_only_udm.additional.fields 從變更記錄對應
server_labels.Uptime event.idm.read_only_udm.additional.fields 從變更記錄對應
user_kind event.idm.read_only_udm.additional.fields 從變更記錄對應
server_version event.idm.read_only_udm.additional.fields 從變更記錄對應
remote_addr target.ip 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。