VMware vRealize-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie VMware Aria Suite-Logs (früher VMware vRealize) mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den Syslog-Nachrichten mithilfe von Grok-Mustern, die auf dem Feld msg_type basieren. Anschließend werden diese extrahierten Felder dem UDM zugeordnet. Dabei werden verschiedene Logformate verarbeitet und die Daten werden mit zusätzlichem Kontext wie Netzwerkinformationen, Nutzerdetails und Ressourcenattributen angereichert.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn die Ausführung hinter einem Proxy erfolgt, müssen die Firewallports geöffnet sein.
  • Privilegierter Zugriff auf die VMware Aria Suite-Software

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'VMWARE_VREALIZE'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog für die VMware Aria Suite konfigurieren

  1. Melden Sie sich in der Web-UI der VMware Aria Suite an.
  2. Rufen Sie Verwaltung > Ereignisweiterleitung auf.
  3. Klicken Sie auf Neues Ziel.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen eindeutigen Namen zur Identifizierung des Servers ein.
    • Host: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Protokoll: Wählen Sie Syslog aus.
    • Transport: Wählen Sie je nach Ihrer tatsächlichen Bindplane-Agent-Konfiguration UDP oder TCP aus.
    • Port: Geben Sie die Portnummer des Bindplane-Agents ein.
  5. Klicken Sie auf Testen.
  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
actorDomain principal.hostname Der Wert von actorDomain aus dem Rohlog wird dem UDM-Feld zugeordnet.
actorId principal.resource.attribute.labels.key Dem Schlüssel wird der String „actorId“ zugewiesen.
actorId principal.resource.attribute.labels.value Der Wert von actorId aus dem Rohlog wird dem Wert zugewiesen.
actorId additional.fields.key Dem Schlüssel wird der String „actorId“ zugewiesen.
actorId additional.fields.value.string_value Der Wert von actorId aus dem Rohlog wird dem Wert zugewiesen.
actorUserName principal.user.userid Der Wert von actorUserName aus dem Rohlog wird dem UDM-Feld zugeordnet.
actorUuid principal.resource.attribute.labels.key Der String „actorUuid“ wird dem Schlüssel zugewiesen.
actorUuid principal.resource.attribute.labels.value Der Wert von actorUuid aus dem Rohlog wird dem Wert zugewiesen.
actorUuid additional.fields.key Der String „actorUuid“ wird dem Schlüssel zugewiesen.
actorUuid additional.fields.value.string_value Der Wert von actorUuid aus dem Rohlog wird dem Wert zugewiesen.
all_request_headers.sec-ch-ua-platform principal.platform Der Wert wird aus all_request_headers.sec-ch-ua-platform abgeleitet. Wenn der Wert „win“ oder „windows“ (unabhängig von der Groß-/Kleinschreibung) enthält, ist der Wert „WINDOWS“. Wenn der Wert „Mac“ (unabhängig von der Groß-/Kleinschreibung) enthält, ist der Wert „MAC“. Wenn der Wert „lin“ oder „linux“ (unabhängig von der Groß-/Kleinschreibung) enthält, ist der Wert „LINUX“.
all_request_headers.X-Requested-With network.application_protocol Wenn der Wert „http“ enthält (Groß-/Kleinschreibung wird nicht berücksichtigt), wird er auf „HTTP“ festgelegt.
automation_tag metadata.product_event_type Der Wert von automation_tag aus dem Rohlog wird dem UDM-Feld zugeordnet.
client_ip principal.ip Der Wert von client_ip aus dem Rohlog wird dem UDM-Feld zugeordnet.
client_src_port principal.port Der Wert von client_src_port aus dem Rohlog wird dem UDM-Feld zugeordnet.
comp about.resource.attribute.labels.key Dem Schlüssel wird der String „Component“ zugewiesen.
comp about.resource.attribute.labels.value Der Wert von comp aus dem Rohlog wird dem Wert zugewiesen.
compression additional.fields.key Dem Schlüssel wird der String „compression“ zugewiesen.
compression additional.fields.value.string_value Der Wert von compression aus dem Rohlog wird dem Wert zugewiesen.
data about.resource.attribute.labels.key Die Logik hängt von msg_type ab. Wenn msg_type „Vpxa“, „Hostd“ oder „VSANMGMTSVC“ ist, wird das Feld data anhand von Schlüssel/Wert-Paaren geparst und bestimmte Schlüssel (z. B. opID, sub) werden about.resource.attribute.labels zugeordnet. Wenn msg_type „SWITCHING“, „FABRIC“, „MONITORING“, „SYSTEM“, „ROUTING“, „LOAD“, „nsx“, „nestdb“, „cfgAgent“, „NSX“ oder „NSXV“ ist, wird das Feld data nach Schlüsseln wie comp, subcomp, s2comp durchsucht, die dann about.resource.attribute.labels zugeordnet werden.
data about.resource.attribute.labels.value about.resource.attribute.labels.key-Logik ansehen
data security_result.description Wenn msg_type „Vpxa“, „Hostd“ oder „VSANMGMTSVC“ ist und nach dem Parsen von data nach Schlüssel/Wert-Paaren ein Feld msg vorhanden ist, wird sein Wert security_result.description zugewiesen.
description security_result.description Wenn das Feld description im Rohlog vorhanden ist, wird sein Wert dem UDM-Feld zugeordnet.
deviceId principal.resource.attribute.labels.key Die String-Variable „deviceType“ wird dem Schlüssel zugewiesen.
deviceId principal.resource.attribute.labels.value Der Wert von values.deviceType aus dem Rohlog wird dem Wert zugewiesen.
deviceId additional.fields.key Die String-Variable „deviceType“ wird dem Schlüssel zugewiesen.
deviceId additional.fields.value.string_value Der Wert von values.deviceType aus dem Rohlog wird dem Wert zugewiesen.
direction network.direction Wenn der Wert „OUT“ ist, wird er „OUTBOUND“ zugeordnet. Wenn es „IN“ ist, wird es „INBOUND“ zugeordnet.
dst_ip target.ip Der Wert von dst_ip aus dem Rohlog wird dem UDM-Feld zugeordnet.
dst_port target.port Der Wert von dst_port aus dem Rohlog wird dem UDM-Feld zugeordnet.
event_source principal.url Der Wert von event_source aus dem Rohlog wird dem UDM-Feld zugeordnet.
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.key Dem Schlüssel wird der String „headers_received_from_server.Access-Control-Allow-Origin“ zugewiesen.
headers_received_from_server.Access-Control-Allow-Origin target.resource.attribute.labels.value Der Wert von headers_received_from_server.Access-Control-Allow-Origin aus dem Rohlog wird dem Wert zugewiesen.
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.key Die Zeichenfolge „headers_received_from_server.Content-Security-Policy“ wird dem Schlüssel zugewiesen.
headers_received_from_server.Content-Security-Policy principal.resource.attribute.labels.value Der Wert von headers_received_from_server.Content-Security-Policy aus dem Rohlog wird dem Wert zugewiesen.
headers_received_from_server.Cookie target.resource.attribute.labels.key Dem Schlüssel wird der String „headers_received_from_server.Cookie“ zugewiesen.
headers_received_from_server.Cookie target.resource.attribute.labels.value Der Wert von headers_sent_to_server.Cookie aus dem Rohlog wird dem Wert zugewiesen.
headers_received_from_server.set-cookie target.resource.attribute.labels.key Dem Schlüssel wird der String „headers_received_from_server.set-cookie“ zugewiesen.
headers_received_from_server.set-cookie target.resource.attribute.labels.value Der Wert von headers_received_from_server.set-cookie aus dem Rohlog wird dem Wert zugewiesen.
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.key Dem Schlüssel wird der String „headers_sent_to_server.sec-ch-ua“ zugewiesen.
headers_sent_to_server.sec-ch-ua principal.resource.attribute.labels.value Der Wert von headers_sent_to_server.sec-ch-ua aus dem Rohlog wird dem Wert zugewiesen.
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.key Dem Schlüssel wird der String „headers_sent_to_server.X-CSRF-TOKEN“ zugewiesen.
headers_sent_to_server.X-CSRF-TOKEN principal.resource.attribute.labels.value Der Wert von headers_sent_to_server.X-CSRF-TOKEN aus dem Rohlog wird dem Wert zugewiesen.
hostname principal.hostname Der Wert von hostname aus dem Rohlog wird dem UDM-Feld zugeordnet.
hostname intermediary.hostname Der Wert von hostname aus dem Rohlog wird dem UDM-Feld zugeordnet.
host principal.hostname Der Wert von host aus dem Rohlog wird dem UDM-Feld zugeordnet.
isLocal additional.fields.key Dem Schlüssel wird der String „isLocal“ zugewiesen.
isLocal additional.fields.value.string_value Der Wert von isLocal aus dem Rohlog wird dem Wert zugewiesen.
json_data Verschiedene Felder in principal, target, additional und security_result Das Feld json_data aus dem Rohlog wird als JSON geparst und die extrahierten Felder werden anhand ihrer Namen und der Parserlogik verschiedenen UDM-Feldern zugeordnet. Dazu gehören Felder wie uuid, tenantId, actorId, actorUserName, actorDomain, sourceIp, objectName, objectType, objectId, values.resourceType und values.success.
kv_data Verschiedene Felder Das Feld kv_data wird als Schlüssel-Wert-Paare geparst und die extrahierten Felder werden basierend auf ihren Namen und der Logik des Parsers verschiedenen UDM-Feldern zugeordnet.
level security_result.severity Wenn der Wert „info“ (Groß-/Kleinschreibung wird nicht berücksichtigt) ist, wird er „INFORMATIONAL“ zugeordnet.
log_id metadata.product_log_id Der Wert von log_id aus dem Rohlog wird dem UDM-Feld zugeordnet.
message Verschiedene Felder Das Feld message ist die Hauptdatenquelle und wird mithilfe von grok-Mustern umfassend geparst, um verschiedene Felder wie ts, hostname, msg_type und sub_msg zu extrahieren. Diese extrahierten Felder werden dann verwendet, um verschiedene UDM-Felder basierend auf der Logik des Parsers zu füllen.
method network.http.method Der Wert von method aus dem Rohlog wird dem UDM-Feld zugeordnet.
msg security_result.description Wenn msg_type „Vpxa“, „Hostd“, „VSANMGMTSVC“, „SWITCHING“, „FABRIC“, „ROUTING“, „LOAD-BALANCER“, „nsx“, „nestdb“, „cfgAgent“, „NSX“, „NSXV“ oder „Rhttpproxy“ ist und nach dem Parsen von grok das Feld msg vorhanden ist, wird sein Wert security_result.description zugewiesen. Für bestimmte Nachrichteninhalte wie „Keep-Alive-Verbindung“ gibt es Sonderfälle in dieser Logik.
msg_type metadata.product_event_type Wenn msg_type „FIREWALL_PKTLOG“ oder „FIREWALL-PKTLOG“ ist, wird der Wert dem UDM-Feld zugeordnet.
msg_type event_type Der Wert von event_type wird anhand von msg_type bestimmt. Wenn msg_type „FIREWALL_PKTLOG“ oder „FIREWALL-PKTLOG“ ist, ist event_type „NETWORK_CONNECTION“. Wenn msg_type „Vpxa“, „Hostd“, „VSANMGMTSVC“, „nsx“, „LOAD“, „ROUTING“, „SWITCHING“, „FABRIC“, „MONITORING“, „SYSTEM“, „nestdb“, „cfgAgent“, „NSX“, „NSXV“, „Rhttpproxy“, „audispd“ oder „vsantraceUrgent“ ist, ist event_type „GENERIC_EVENT“. Wenn msg_type „queries“ oder „responses“ ist, ist event_type „NETWORK_DNS“. Wenn msg_type „sudo“ ist, ist event_type „STATUS_UPDATE“. Wenn das Feld description „cmmdsTimeMachineDump“ enthält, ist event_type „GENERIC_EVENT“. Wenn das Feld description „prodjbossapp“ enthält, ist event_type „GENERIC_EVENT“. Wenn das Feld description „liagent@6876“ enthält, ist event_type „GENERIC_EVENT“. Wenn keine der oben genannten Bedingungen erfüllt ist und das Feld description nicht leer ist, ist event_type „GENERIC_EVENT“. Wenn sowohl src_ip als auch dst_ip vorhanden sind, ist event_type „NETWORK_CONNECTION“. Wenn src_ip, dst_ip oder hostname vorhanden ist, ist event_type „STATUS_UPDATE“. Wenn has_principal_ip und has_target_ip „true“ sind, ist event_type „SCAN_UNCATEGORIZED“. Wenn has_principal_ip oder has_principal_host „true“ ist, ist event_type „STATUS_UPDATE“. Wenn keine der oben genannten Bedingungen erfüllt ist, ist event_type „GENERIC_EVENT“.
objectName target.resource.attribute.labels.key Der String „objectName“ wird dem Schlüssel zugewiesen.
objectName target.resource.attribute.labels.value Der Wert von objectName aus dem Rohlog wird dem Wert zugewiesen.
objectName additional.fields.key Der String „objectName“ wird dem Schlüssel zugewiesen.
objectName additional.fields.value.string_value Der Wert von objectName aus dem Rohlog wird dem Wert zugewiesen.
objectId target.resource.attribute.labels.key Der String „objectId“ wird dem Schlüssel zugewiesen.
objectId target.resource.attribute.labels.value Der Wert von objectId aus dem Rohlog wird dem Wert zugewiesen.
objectId additional.fields.key Der String „objectId“ wird dem Schlüssel zugewiesen.
objectId additional.fields.value.string_value Der Wert von objectId aus dem Rohlog wird dem Wert zugewiesen.
objectType target.resource.attribute.labels.key Dem Schlüssel wird der String „objectType“ zugewiesen.
objectType target.resource.attribute.labels.value Der Wert von objectType aus dem Rohlog wird dem Wert zugewiesen.
objectType additional.fields.key Dem Schlüssel wird der String „objectType“ zugewiesen.
objectType additional.fields.value.string_value Der Wert von objectType aus dem Rohlog wird dem Wert zugewiesen.
objectType security_result.description Wenn objectType „LAUNCH“ ist und success nicht „true“ ist, lautet die Beschreibung „Anwendungsstartversuch war erfolgreich“. Wenn objectType „LAUNCH_ERROR“ ist und success nicht „true“ ist, lautet die Beschreibung „Nutzer hat eine Anwendung mit einer ungültigen Anfrage gestartet“.
opID about.resource.attribute.labels.key Der String „opId“ wird dem Schlüssel zugewiesen.
opID about.resource.attribute.labels.value Der Wert von opID aus dem Rohlog wird dem Wert zugewiesen.
pool additional.fields.key Dem Schlüssel ist der String „pool“ zugewiesen.
pool additional.fields.value.string_value Der Wert von pool aus dem Rohlog wird dem Wert zugewiesen.
pool_name additional.fields.key Der String „pool_name“ wird dem Schlüssel zugewiesen.
pool_name additional.fields.value.string_value Der Wert von pool_name aus dem Rohlog wird dem Wert zugewiesen.
protocol network.ip_protocol Der Wert von protocol aus dem Rohlog wird in Großbuchstaben umgewandelt und dem UDM-Feld zugeordnet. Wenn der Wert „PROTO“ ist, wird er nicht zugeordnet.
protocol additional.fields.key Wenn der Wert von protocol „PROTO“ ist, wird dem Schlüssel der String „ip_protocol“ zugewiesen.
protocol additional.fields.value.string_value Wenn der Wert von protocol „PROTO“ ist, wird der Wert von protocol aus dem Rohlog zugewiesen.
query_data network.dns.questions.name Das Feld query_data wird geparst, um question_name zu extrahieren, das dann dem UDM-Feld zugeordnet wird.
query_data network.dns.questions.type Das Feld query_data wird geparst, um query_type zu extrahieren. Dieses wird dann mithilfe einer aus „dns_record_type.include“ enthaltenen Suche dem UDM-Feld zugeordnet.
query_data network.dns.questions.class Das Feld query_data wird geparst, um dns_class zu extrahieren. Dieses wird dann mithilfe einer aus „dns_query_class_mapping.include“ enthaltenen Suche dem UDM-Feld zugeordnet.
referer principal.url Der Wert von referer aus dem Rohlog wird dem UDM-Feld zugeordnet.
request_content_type additional.fields.key Dem Schlüssel wird der String „request_content_type“ zugewiesen.
request_content_type additional.fields.value.string_value Der Wert von request_content_type aus dem Rohlog wird dem Wert zugewiesen.
request_state additional.fields.key Dem Schlüssel ist der String „request_state“ zugewiesen.
request_state additional.fields.value.string_value Der Wert von request_state aus dem Rohlog wird dem Wert zugewiesen.
response_code network.http.response_code Der Wert von response_code oder server_response_code aus dem Rohlog wird dem UDM-Feld zugeordnet.
response_content_type additional.fields.key Der String „response_content_type“ wird dem Schlüssel zugewiesen.
response_content_type additional.fields.value.string_value Der Wert von response_content_type aus dem Rohlog wird dem Wert zugewiesen.
rule_id security_result.rule_id Der Wert von rule_id aus dem Rohlog wird dem UDM-Feld zugeordnet.
s2comp about.resource.attribute.labels.key Dem Schlüssel wird der String „S2-Component“ zugewiesen.
s2comp about.resource.attribute.labels.value Der Wert von s2comp aus dem Rohlog wird dem Wert zugewiesen.
server_ip target.ip Der Wert von server_ip aus dem Rohlog wird dem UDM-Feld zugeordnet.
server_name target.hostname Der Wert von server_name aus dem Rohlog wird dem UDM-Feld zugeordnet.
server_response_code network.http.response_code response_code-Logik ansehen
server_src_port target.port Der Wert von server_src_port aus dem Rohlog wird dem UDM-Feld zugeordnet.
service_engine additional.fields.key Der String „service_engine“ wird dem Schlüssel zugewiesen.
service_engine additional.fields.value.string_value Der Wert von service_engine aus dem Rohlog wird dem Wert zugewiesen.
sourceIp principal.ip Der Wert von sourceIp aus dem Rohlog wird dem UDM-Feld zugeordnet.
ssl_cipher network.tls.cipher Der Wert von ssl_cipher aus dem Rohlog wird dem UDM-Feld zugeordnet.
ssl_session_id network.session_id Der Wert von ssl_session_id aus dem Rohlog wird dem UDM-Feld zugeordnet.
ssl_version network.tls.version_protocol Der Wert von ssl_version aus dem Rohlog wird dem UDM-Feld zugeordnet.
sub about.resource.attribute.labels.key Dem Schlüssel wird der String „Sub Component“ zugewiesen.
sub about.resource.attribute.labels.value Der Wert von sub aus dem Rohlog wird dem Wert zugewiesen.
subClusterUuid additional.fields.key Dem Schlüssel wird der String „subClusterUuid“ zugewiesen.
subClusterUuid additional.fields.value.string_value Der Wert von subClusterUuid aus dem Rohlog wird dem Wert zugewiesen.
sub_msg Verschiedene Felder in principal, target, network, security_result und about Das Feld sub_msg wird je nach msg_type unterschiedlich geparst. Sie kann als JSON mit grok-Mustern oder mit Schlüssel/Wert-Paaren geparst werden. Die extrahierten Felder werden dann anhand ihrer Namen und der Parserlogik verschiedenen UDM-Feldern zugeordnet. Dazu gehören Felder wie ip_type, action, rule_id, direction, protocol, tcp_flag, src_ip, src_port, dst_ip, dst_port, data und msg.
subcomp about.resource.attribute.labels.key Dem Schlüssel wird der String „Sub Component“ zugewiesen.
subcomp about.resource.attribute.labels.value Der Wert von subcomp aus dem Rohlog wird dem Wert zugewiesen.
tenantId principal.resource.attribute.labels.key Der String „tenantId“ wird dem Schlüssel zugewiesen.
tenantId principal.resource.attribute.labels.value Der Wert von tenantId aus dem Rohlog wird dem Wert zugewiesen.
tenantId additional.fields.key Der String „tenantId“ wird dem Schlüssel zugewiesen.
tenantId additional.fields.value.string_value Der Wert von tenantId aus dem Rohlog wird dem Wert zugewiesen.
ts metadata.event_timestamp Der Wert von ts aus dem Rohlog wird als Zeitstempel geparst und dem UDM-Feld zugeordnet.
ts timestamp Der Wert von ts aus dem Rohlog wird als Zeitstempel geparst und dem UDM-Feld zugeordnet.
updateType additional.fields.key Der String „updateType“ wird dem Schlüssel zugewiesen.
updateType additional.fields.value.string_value Der Wert von updateType aus dem Rohlog wird dem Wert zugewiesen.
uri_path network.http.referral_url Der Wert von uri_path aus dem Rohlog wird dem UDM-Feld zugeordnet.
user_agent network.http.user_agent Der Wert von user_agent aus dem Rohlog wird dem UDM-Feld zugeordnet.
user_agent network.http.parsed_user_agent Der Wert von user_agent aus dem Rohlog wird als User-Agent-String geparst und dem UDM-Feld zugeordnet.
USER principal.user.user_display_name Der Wert von USER aus dem Rohlog wird dem UDM-Feld zugeordnet.
values.actorExternalId principal.resource.attribute.labels.key Der Schlüssel wird dem String „actorExternalId“ zugewiesen.
values.actorExternalId principal.resource.attribute.labels.value Der Wert von values.actorExternalId aus dem Rohlog wird dem Wert zugewiesen.
values.actorExternalId additional.fields.key Der Schlüssel wird dem String „actorExternalId“ zugewiesen.
values.actorExternalId additional.fields.value.string_value Der Wert von values.actorExternalId aus dem Rohlog wird dem Wert zugewiesen.
values.deviceType principal.resource.attribute.labels.key Die String-Variable „deviceType“ wird dem Schlüssel zugewiesen.
values.deviceType principal.resource.attribute.labels.value Der Wert von values.deviceType aus dem Rohlog wird dem Wert zugewiesen.
values.deviceType additional.fields.key Die String-Variable „deviceType“ wird dem Schlüssel zugewiesen.
values.deviceType additional.fields.value.string_value Der Wert von values.deviceType aus dem Rohlog wird dem Wert zugewiesen.
values.resourceType principal.resource.resource_subtype Der Wert von values.resourceType aus dem Rohlog wird dem UDM-Feld zugeordnet. principal.resource.type ist auf „VIRTUAL_MACHINE“ festgelegt.
values.success security_result.action Wenn der Wert „true“ (unabhängig von der Groß-/Kleinschreibung) ist, wird er „ALLOW“ zugeordnet. Wenn der Wert „false“ (unabhängig von der Groß-/Kleinschreibung) ist, wird er „BLOCK“ zugeordnet.
virtualservice additional.fields.key Dem Schlüssel wird der String „virtualservice“ zugewiesen.
virtualservice additional.fields.value.string_value Der Wert von virtualservice aus dem Rohlog wird dem Wert zugewiesen.
vmw_vr_ops_appname about.resource.attribute.labels.key Dem Schlüssel wird der String „Ops AppName“ zugewiesen.
vmw_vr_ops_appname about.resource.attribute.labels.value Der Wert von vmw_vr_ops_appname aus dem Rohlog wird dem Wert zugewiesen.
vmw_vr_ops_clustername about.resource.attribute.labels.key Dem Schlüssel wird der String „Ops ClusterName“ zugewiesen.
vmw_vr_ops_clustername about.resource.attribute.labels.value Der Wert von vmw_vr_ops_clustername aus dem Rohlog wird dem Wert zugewiesen.
vmw_vr_ops_logtype about.resource.attribute.labels.key Dem Schlüssel ist der String „Ops Logtype“ zugewiesen.
vmw_vr_ops_logtype about.resource.attribute.labels.value Der Wert von vmw_vr_ops_logtype aus dem Rohlog wird dem Wert zugewiesen.
vmw_vr_ops_nodename about.resource.attribute.labels.key Dem Schlüssel ist der String „Ops NodeName“ zugewiesen.
vmw_vr_ops_nodename about.resource.attribute.labels.value Der Wert von vmw_vr_ops_nodename aus dem Rohlog wird dem Wert zugewiesen.
vs_name additional.fields.key Der String „vs_name“ wird dem Schlüssel zugewiesen.
vs_name additional.fields.value.string_value Der Wert von vs_name aus dem Rohlog wird dem Wert zugewiesen. Die Zeichenfolge „VMWARE“ wird zugewiesen. Die Zeichenfolge „VMWARE_VREALIZE“ ist zugewiesen. Die Zeichenfolge „VMWARE_VREALIZE“ ist zugewiesen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten