Mit einem Ingestion-Label wird der Parser identifiziert, der Rohdaten in das strukturierte UDM-Format normalisiert. Die Informationen in diesem Dokument beziehen sich auf den Parser mit dem Ingestion-Label RSA_AUTH_MANAGER.
RSA Authentication Manager konfigurieren
Melden Sie sich mit Administratoranmeldedaten in der RSA Authentication Manager Security-Konsole an.
Klicke im Menü Einrichtung auf Systemeinstellungen.
Wählen Sie im Fenster Systemeinstellungen im Abschnitt Grundeinstellungen die Option Protokollierung aus.
Wählen Sie im Abschnitt Instanz auswählen den in Ihrer Umgebung konfigurierten Instanztyp Primär aus und klicken Sie dann auf Weiter.
Konfigurieren Sie im Bereich Einstellungen konfigurieren die Protokolle für die folgenden Abschnitte, die angezeigt werden:
Protokollebenen
Ziel für Protokolldaten
Maskierung von Logdaten
Konfigurieren Sie im Abschnitt Logebenen die folgenden Logs:
Setzen Sie Trace log (Trace-Protokoll) auf Fatal (Schwerwiegend).
Setzen Sie Administratives Audit-Log auf Erfolg.
Legen Sie Runtime-Audit-Log auf Erfolg fest.
Setzen Sie Systemprotokoll auf Warnung.
Wählen Sie im Abschnitt Ziel für Protokolldaten für die folgenden Protokollebenendaten die Option In interner Datenbank und Remote-Syslog für den folgenden Hostnamen oder die folgende IP-Adresse speichern aus und geben Sie dann die IP-Adresse von Google Security Operations ein:
Daten aus dem Audit-Log für Administratoren
Laufzeit-Audit-Log-Daten
Systemprotokolldaten
Syslog-Nachrichten werden über eine höhere Portnummer für UDP übertragen.
Geben Sie im Abschnitt Logdaten maskieren im Feld Token-Seriennummer maskieren: Anzahl der anzuzeigenden Ziffern der Token-Seriennummer den Maximalwert ein, der der Anzahl der Ziffern entspricht, die in verfügbaren Tokens angezeigt werden, z. B. 12.
Dieser Parser extrahiert Felder aus CSV-Protokollen von RSA Authentication Manager und berücksichtigt dabei Abweichungen im Protokollformat. Die Logzeilen werden zuerst mit „grok“ geparst. Anschließend werden einzelne Felder mithilfe der CSV-Filterung extrahiert und standardisierten Namen wie username, clientip und operation_status zugeordnet, um die UDM-Kompatibilität zu gewährleisten.
UDM-Zuordnungstabelle
Logfeld
UDM-Zuordnung
Logik
clientip
principal.asset.ip
Der Wert von „column8“ aus dem Rohlog.
clientip
principal.ip
Der Wert von „column8“ aus dem Rohlog.
column1
metadata.event_timestamp.seconds
Wird aus dem Feld time (Spalte 1) im Rohprotokoll geparst, wobei die Formate „JJJJ-MM-TT HH:mm:ss“ und „JJJJ-MM-TT HH: mm:ss“ verwendet werden.
column12
security_result.action
Zuordnung auf Grundlage des Felds operation_status (column12). Die Werte „SUCCESS“ und „ACCEPT“ werden ALLOW zugeordnet, „FAIL“, „REJECT“, „DROP“, „DENY“ und „NOT_ALLOWED“ werden BLOCK zugeordnet und andere Werte werden UNKNOWN_ACTION zugeordnet.
column18
principal.user.userid
Der Wert von „column18“ aus dem Rohlog.
column19
principal.user.first_name
Der Wert von „column19“ aus dem Rohlog.
column20
principal.user.last_name
Der Wert von „column20“ aus dem Rohlog.
column25
principal.hostname
Der Wert von „column25“ aus dem Rohlog.
column26
principal.asset.hostname
Der Wert von „column26“ aus dem Rohlog.
column27
metadata.product_name
Der Wert von „column27“ aus dem Rohlog.
column3
target.administrative_domain
Der Wert von „column3“ aus dem Rohlog.
column32
principal.user.group_identifiers
Der Wert von column32 aus dem Rohlog.
column5
security_result.severity
Zuordnung auf Grundlage des Felds severity (column5). Die Werte „INFO“ und „INFORMATIONAL“ werden INFORMATIONAL zugeordnet, „WARN“ und „WARNING“ werden WARNING zugeordnet, „ERROR“, „CRITICAL“, „FATAL“, „SEVERE“, „EMERGENCY“ und „ALERT“ werden ERROR zugeordnet, „NOTICE“, „DEBUG“ und „TRACE“ werden DEBUG zugeordnet und andere Werte werden UNKNOWN_SEVERITY zugeordnet.
column8
target.asset.ip
Der Wert von „column8“ aus dem Rohlog.
column8
target.ip
Der Wert von „column8“ aus dem Rohlog.
event_name
security_result.rule_name
Der Wert von „column10“ aus dem Rohlog.
host_name
intermediary.hostname
Aus dem <DATA>-Teil des Rohlogs mit Grok-Mustern extrahiert.
process_data
principal.process.command_line
Aus dem <DATA>-Teil des Rohlogs mit Grok-Mustern extrahiert.
summary
security_result.summary
Der Wert von „column13“ aus dem Rohlog.
time_stamp
metadata.event_timestamp.seconds
Aus dem <DATA>-Teil des Rohlogs mit Grok-Mustern extrahiert. Wenn er nicht gefunden wird, wird der Zeitstempel aus dem Feld timestamp im Rohlog extrahiert.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-09-03 (UTC)."],[[["\u003cp\u003eThis document details the process of collecting RSA Authentication Manager logs using a Google Security Operations forwarder, supporting ingestion through the \u003ccode\u003eRSA_AUTH_MANAGER\u003c/code\u003e parser label.\u003c/p\u003e\n"],["\u003cp\u003eConfiguration steps for RSA Authentication Manager include adjusting log levels, setting data destinations to a remote syslog, and masking sensitive token serial numbers.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a Google Security Operations forwarder involves creating a new forwarder, adding a collector configured for RSA logs via syslog, and specifying necessary connection parameters like protocol, address, and port.\u003c/p\u003e\n"],["\u003cp\u003eThe parser extracts fields from RSA Authentication Manager logs using grok patterns and CSV filtering, mapping them to UDM format fields like \u003ccode\u003eusername\u003c/code\u003e, \u003ccode\u003eclientip\u003c/code\u003e, and \u003ccode\u003eoperation_status\u003c/code\u003e.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping table outlines how specific log fields from RSA Authentication Manager are transformed into UDM fields within Google Security Operations, including data like timestamps, severity, and user details.\u003c/p\u003e\n"]]],[],null,["# Collect RSA Authentication Manager logs\n=======================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document describes how you can collect RSA Authentication Manager logs by using a Google Security Operations forwarder.\n\nFor more information, see [Data ingestion to Google Security Operations](/chronicle/docs/data-ingestion-flow).\n\nAn ingestion label identifies the parser which normalizes raw log data to structured\nUDM format. The information in this document applies to the parser with the `RSA_AUTH_MANAGER`\ningestion label.\n\nConfigure RSA Authentication Manager\n------------------------------------\n\n1. Sign in to the **RSA Authentication Manager Security** console using administrator credentials.\n2. In the **Setup** menu, click **System settings**.\n3. In the **System settings** window, in the **Basic settings** section, select **Logging**.\n4. In the **Select instance** section, select the **Primary** instance type configured in your environment, and then click **Next** to continue.\n5. In the **Configure settings** section, configure the logs for the following sections that are displayed:\n - **Log levels**\n - **Log data destination**\n - **Log data masking**\n6. In the **Log levels** section, configure the following logs:\n - Set **Trace log** to **Fatal**.\n - Set **Administrative audit log** to **Success**.\n - Set **Runtime audit log** to **Success**.\n - Set **System log** to **Warning**.\n7. In the **Log data destination** section, for the following log level data, select\n **Save to internal database and remote syslog for the following hostname or IP address**,\n and then enter the IP address of Google Security Operations:\n\n - **Administrative audit log data**\n - **Runtime audit log data**\n - **System log data**\n\n Syslog messages are transmitted over higher port number for UDP.\n8. In the **Log data masking** section, in the **Mask token serial number: number of digits of the token serial number to display** field, enter the maximum value, which is equal to the number of digits that\n appear in available tokens, such as 12.\n\n For more information, see [Log data masking](https://community.rsa.com/s/article/Mask-Token-Serial-Numbers-in-Logs-4b7e844c).\n9. Click **Save**.\n\nConfigure Google Security Operations forwarder and syslog to ingest RSA Authentication Manager logs\n---------------------------------------------------------------------------------------------------\n\n1. Select **SIEM Settings** \\\u003e **Forwarders**.\n2. Click **Add new forwarder**.\n3. In the **Forwarder name** field, enter a unique name for the forwarder.\n4. Click **Submit** and then click **Confirm** . The forwarder is added and the **Add collector configuration** window appears.\n5. In the **Collector name** field, type a unique name for the collector.\n6. Select **RSA** as the **Log type**.\n7. Select **Syslog** as the **Collector type**.\n8. Configure the following mandatory input parameters:\n - **Protocol**: specify the connection protocol the collector will use to listen for syslog data.\n - **Address**: specify the target IP address or hostname where the collector resides and listens for syslog data.\n - **Port**: specify the target port where the collector resides and listens for syslog data.\n9. Click **Submit**.\n\nFor more information about Google Security Operations forwarders, see [Google Security Operations forwarders documentation](/chronicle/docs/install/forwarder-management-configurations). For information about requirements for each forwarder type, see [Forwarder configuration by type](/chronicle/docs/install/forwarder-management-api). If you encounter issues when you create forwarders, contact [Google Security Operations support](/chronicle/docs/support).\n\nField mapping reference\n-----------------------\n\nThis parser extracts fields from RSA Authentication Manager CSV logs, handling variations in the log format. It uses grok to initially parse the log lines, then leverages CSV filtering to extract individual fields, mapping them to standardized names like `username`, `clientip`, and `operation_status` for UDM compatibility.\n\nUDM mapping table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
