Halaman ini diterjemahkan oleh Cloud Translation API.

Mengumpulkan hasil DomainTools Iris Investigate

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap hasil DomainTools Iris Investigate ke Google Security Operations menggunakan Amazon S3. Parser mengubah data JSON mentah dari Iris API DomainTools menjadi format terstruktur yang sesuai dengan Unified Data Model (UDM) Google SecOps. Fitur ini mengekstrak informasi terkait detail domain, informasi kontak, risiko keamanan, sertifikat SSL, dan atribut relevan lainnya, lalu memetakannya ke kolom UDM yang sesuai untuk analisis dan intelijen ancaman yang konsisten.

Sebelum memulai

Instance Google SecOps
Akses istimewa ke akun perusahaan DomainTools (akses API ke Iris Investigate)
Akses istimewa ke AWS (S3, IAM, Lambda, EventBridge)

Mendapatkan Kunci API dan Endpoint DomainTools

Login ke Dasbor API DomainTools (hanya akun pemilik API yang dapat mereset kunci API).
Di bagian Akun Saya, pilih link Lihat Dasbor API yang ada di tab Ringkasan Akun.
Buka bagian Nama Pengguna API untuk mendapatkan nama pengguna Anda.
Di tab yang sama, temukan Kunci API Anda.
Salin dan simpan kunci di lokasi yang aman.
Jika Anda memerlukan kunci baru, pilih Reset Kunci API.

Catatan: Membuat kunci baru akan langsung menghapus kunci yang ada. Tindakan ini tidak dapat diurungkan.
Perhatikan endpoint Iris Investigate: https://api.domaintools.com/v1/iris-investigate/.

Mengonfigurasi bucket AWS S3 dan IAM untuk Google SecOps

Buat bucket Amazon S3 dengan mengikuti panduan pengguna ini: Membuat bucket
Simpan Name dan Region bucket untuk referensi di masa mendatang (misalnya, domaintools-iris).
Buat pengguna dengan mengikuti panduan pengguna ini: Membuat pengguna IAM.
Pilih Pengguna yang dibuat.
Pilih tab Kredensial keamanan.
Klik Create Access Key di bagian Access Keys.
Pilih Layanan pihak ketiga sebagai Kasus penggunaan.
Klik Berikutnya.
Opsional: tambahkan tag deskripsi.
Klik Create access key.
Klik Download CSV file untuk menyimpan Access Key dan Secret Access Key untuk digunakan nanti.
Klik Selesai.
Pilih tab Izin.
Klik Tambahkan izin di bagian Kebijakan izin.
Pilih Tambahkan izin.
Pilih Lampirkan kebijakan secara langsung
Telusuri dan pilih kebijakan AmazonS3FullAccess.
Klik Berikutnya.
Klik Add permissions.

Mengonfigurasi kebijakan dan peran IAM untuk upload S3

Di konsol AWS, buka IAM > Policies > Create policy > JSON tab.

Masukkan kebijakan berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutDomainToolsIrisObjects",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::domaintools-iris/*"
    }
  ]
}

Ganti domaintools-iris jika Anda memasukkan nama bucket yang berbeda.

Klik Berikutnya > Buat kebijakan.
Buka IAM > Roles > Create role > AWS service > Lambda.
Lampirkan kebijakan yang baru dibuat.
Beri nama peran WriteDomainToolsIrisToS3Role, lalu klik Buat peran.

Buat fungsi Lambda

Di Konsol AWS, buka Lambda > Functions > Create function.
Klik Buat dari awal.
Berikan detail konfigurasi berikut:

Setelan Nilai

Nama domaintools_iris_to_s3

Runtime Python 3.13

Arsitektur x86_64

Peran eksekusi WriteDomainToolsIrisToS3Role

Setelan	Nilai
Nama	`domaintools_iris_to_s3`
Runtime	Python 3.13
Arsitektur	x86_64
Peran eksekusi	`WriteDomainToolsIrisToS3Role`

Setelah fungsi dibuat, buka tab Code, hapus stub, lalu masukkan kode berikut (domaintools_iris_to_s3.py):

#!/usr/bin/env python3
# Lambda: Pull DomainTools Iris Investigate results to S3 (no transform)

import os, json, time, urllib.parse
from urllib.request import Request, urlopen
from urllib.error import HTTPError
import boto3

# --- Environment ---
S3_BUCKET    = os.environ["S3_BUCKET"].strip()
S3_PREFIX    = os.environ.get("S3_PREFIX", "domaintools/iris/").strip()
STATE_KEY    = os.environ.get("STATE_KEY", "domaintools/iris/state.json").strip()

DT_API_KEY   = os.environ["DT_API_KEY"].strip()
DT_API_SECRET= os.environ.get("DT_API_SECRET", "").strip()  # optional if your account uses key-only auth

USE_MODE     = os.environ.get("USE_MODE", "HASH").strip().upper()  # HASH | DOMAINS | QUERY
SEARCH_HASHES= [h.strip() for h in os.environ.get("SEARCH_HASHES", "").split(";") if h.strip()]
DOMAINS      = [d.strip() for d in os.environ.get("DOMAINS", "").split(";") if d.strip()]
QUERY_LIST   = [q.strip() for q in os.environ.get("QUERY_LIST", "").split(";") if q.strip()]

PAGE_SIZE    = int(os.environ.get("PAGE_SIZE", "500"))
MAX_PAGES    = int(os.environ.get("MAX_PAGES", "20"))
USE_NEXT     = os.environ.get("USE_NEXT", "true").lower() == "true"
HTTP_TIMEOUT = int(os.environ.get("HTTP_TIMEOUT", "60"))
RETRIES      = int(os.environ.get("HTTP_RETRIES", "2"))

BASE_URL = "https://api.domaintools.com/v1/iris-investigate/"
HDRS = {
    "X-Api-Key": DT_API_KEY,
    "Accept": "application/json",
}
if DT_API_SECRET:
    HDRS["X-Api-Secret"] = DT_API_SECRET

s3 = boto3.client("s3")

# --- HTTP helpers ---

def _http_get(url: str) -> dict:
    req = Request(url, method="GET")
    for k, v in HDRS.items():
        req.add_header(k, v)
    attempt = 0
    while True:
        try:
            with urlopen(req, timeout=HTTP_TIMEOUT) as r:
                return json.loads(r.read().decode("utf-8"))
        except HTTPError as e:
            if e.code in (429, 500, 502, 503, 504) and attempt < RETRIES:
                delay = int(e.headers.get("Retry-After", "2"))
                time.sleep(max(1, delay))
                attempt += 1
                continue
            raise

def _build_url(params: dict) -> str:
    return BASE_URL + ("?" + urllib.parse.urlencode(params, doseq=True) if params else "")

# --- S3 helpers ---

def _write_page(obj: dict, label: str, page: int) -> str:
    ts = time.strftime("%Y/%m/%d/%H%M%S", time.gmtime())
    key = f"{S3_PREFIX.rstrip('/')}/{ts}-{label}-p{page:05d}.json"
    s3.put_object(
        Bucket=S3_BUCKET, Key=key,
        Body=json.dumps(obj, separators=(",", ":")).encode("utf-8"),
        ContentType="application/json",
    )
    return key

# --- Iris paging ---

def _first_page_params() -> dict:
    params: dict[str, object] = {"page_size": str(PAGE_SIZE)}
    if USE_NEXT:
        params["next"] = "true"
    return params

def _paginate(label: str, params: dict) -> tuple[int, int]:
    pages = 0
    total = 0
    url = _build_url(params)
    while pages < MAX_PAGES:
        data = _http_get(url)
        _write_page(data, label, pages)

        resp = data.get("response") or {}
        results = resp.get("results") or []
        total += len(results)
        pages += 1

        # Prefer `next` absolute URL if present
        next_url = resp.get("next") if isinstance(resp, dict) else None
        if next_url:
            url = next_url
            continue

        # Fallback: position pager when `next=true` not used/supported
        if resp.get("has_more_results") and resp.get("position"):
            base = _first_page_params()
            base.pop("next", None)
            base["position"] = resp["position"]
            url = _build_url(base)
            continue

        break
    return pages, total

# --- Mode runners ---

def run_hashes(hashes: list[str]) -> dict:
    agg_pages = agg_results = 0
    for h in hashes:
        params = _first_page_params()
        params["search_hash"] = h
        p, r = _paginate(f"hash-{h}", params)
        agg_pages += p
        agg_results += r
    return {"pages": agg_pages, "results": agg_results}

def run_domains(domains: list[str]) -> dict:
    agg_pages = agg_results = 0
    for d in domains:
        params = _first_page_params()
        # DomainTools accepts `domain` as a filter in Investigate search
        params["domain"] = d
        p, r = _paginate(f"domain-{d}", params)
        agg_pages += p
        agg_results += r
    return {"pages": agg_pages, "results": agg_results}

def run_queries(queries: list[str]) -> dict:
    agg_pages = agg_results = 0
    for q in queries:
        # Merge arbitrary k=v pairs from the query string
        base = _first_page_params()
        for k, v in urllib.parse.parse_qsl(q, keep_blank_values=True):
            base.setdefault(k, v)
        p, r = _paginate(f"query-{q.replace('=','-')}", base)
        agg_pages += p
        agg_results += r
    return {"pages": agg_pages, "results": agg_results}

# --- Entry point ---

def lambda_handler(event=None, context=None):
    if USE_MODE == "HASH" and SEARCH_HASHES:
        res = run_hashes(SEARCH_HASHES)
    elif USE_MODE == "DOMAINS" and DOMAINS:
        res = run_domains(DOMAINS)
    elif USE_MODE == "QUERY" and QUERY_LIST:
        res = run_queries(QUERY_LIST)
    else:
        raise ValueError("Invalid USE_MODE or missing parameters. Set USE_MODE to HASH | DOMAINS | QUERY and provide SEARCH_HASHES | DOMAINS | QUERY_LIST accordingly.")

    return {"ok": True, "mode": USE_MODE, **res}

if __name__ == "__main__":
    print(json.dumps(lambda_handler(), indent=2))

Buka Configuration > Environment variables > Edit > Add new environment variable.

Masukkan variabel lingkungan berikut, ganti dengan nilai Anda:

Kunci	Nilai Contoh	Deskripsi
`S3_BUCKET`	`domaintools-iris`	Nama bucket S3 tempat data akan disimpan.
`S3_PREFIX`	`domaintools/iris/`	Awalan S3 opsional (subfolder) untuk objek.
`STATE_KEY`	`domaintools/iris/state.json`	Kunci file status/titik pemeriksaan opsional.
`DT_API_KEY`	`DT-XXXXXXXXXXXXXXXXXXXX`	Kunci API DomainTools.
`DT_API_SECRET`	`YYYYYYYYYYYYYYYYYYYYYYYY`	Rahasia API DomainTools (jika berlaku).
`USE_MODE`	`HASH` \| `DOMAINS` \| `QUERY`	Pilih mode yang akan digunakan (hanya satu yang aktif dalam satu waktu).
`SEARCH_HASHES`	`hash1;hash2;hash3`	Wajib jika `USE_MODE=HASH`. Daftar hash penelusuran tersimpan yang dipisahkan dengan titik koma dari UI Iris.
`DOMAINS`	`example.com;domaintools.com`	Wajib jika `USE_MODE=DOMAINS`. Daftar domain yang dipisahkan dengan titik koma.
`QUERY_LIST`	`ip=1.1.1.1;ip=8.8.8.8;domain=example.org`	Wajib jika `USE_MODE=QUERY`. Daftar string kueri yang dipisahkan titik koma (`k=v&k2=v2`).
`PAGE_SIZE`	`500`	Baris per halaman (default 500).
`MAX_PAGES`	`20`	Jumlah maksimum halaman per permintaan

Setelah fungsi dibuat, tetap buka halamannya (atau buka Lambda > Functions > your-function).
Pilih tab Configuration
Di panel Konfigurasi umum, klik Edit.
Ubah Waktu tunggu menjadi 15 menit (900 detik), lalu klik Simpan.

Catatan: Waktu tunggu adalah batas atas yang ketat, artinya jika fungsi masih berjalan saat timer mencapai 15 menit, AWS Lambda akan menghentikannya. Eksekusi yang lebih pendek akan selesai secara normal; Anda hanya ditagih untuk waktu berjalan sebenarnya.

Membuat jadwal EventBridge

Buka Amazon EventBridge > Scheduler > Create schedule.
Berikan detail konfigurasi berikut:
- Jadwal berulang: Tarif (1 hour).
- Target: fungsi Lambda Anda.
- Name: domaintools-iris-1h.
Klik Buat jadwal.

Opsional: Buat pengguna & kunci IAM hanya baca untuk Google SecOps

Di Konsol AWS, buka IAM > Users, lalu klik Add users.
Berikan detail konfigurasi berikut:
- Pengguna: Masukkan nama unik (misalnya, secops-reader)
- Jenis akses: Pilih Kunci akses - Akses terprogram
- Klik Buat pengguna.
Lampirkan kebijakan baca minimal (kustom): Pengguna > pilih secops-reader > Izin > Tambahkan izin > Lampirkan kebijakan secara langsung > Buat kebijakan

Di editor JSON, masukkan kebijakan berikut:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::<your-bucket>/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::<your-bucket>"
    }
  ]
}

Tetapkan nama ke secops-reader-policy.
Buka Buat kebijakan > telusuri/pilih > Berikutnya > Tambahkan izin.
Buka Kredensial keamanan > Kunci akses > Buat kunci akses.
Download CSV (nilai ini dimasukkan ke dalam feed).

Mengonfigurasi feed di Google SecOps untuk menyerap hasil DomainTools Iris Investigate

Buka Setelan SIEM > Feed.
Klik Tambahkan Feed Baru.
Di kolom Nama feed, masukkan nama untuk feed (misalnya, DomainTools Iris Investigate).
Pilih Amazon S3 V2 sebagai Jenis sumber.
Pilih DomainTools Threat Intelligence sebagai Jenis log.
Klik Berikutnya.
Tentukan nilai untuk parameter input berikut:
- URI S3: s3://domaintools-iris/domaintools/iris/
- Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
- Usia File Maksimum: Default 180 Hari.
- ID Kunci Akses: Kunci akses pengguna dengan akses ke bucket S3.
- Kunci Akses Rahasia: Kunci rahasia pengguna dengan akses ke bucket S3.
- Namespace aset: domaintools.threat_intel
- Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.
Klik Berikutnya.
Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
aktif	principal.domain.status	Dipetakan langsung dari kolom `active` dalam log mentah.
additional_whois_email.[].value	about.labels.additional_whois_email	Diekstrak dari array `additional_whois_email` dan ditambahkan sebagai label dalam objek `about`.
adsense.value	about.labels.adsense	Diekstrak dari `adsense.value` dan ditambahkan sebagai label dalam objek `about`.
admin_contact.city.value	principal.domain.admin.office_address.city	Dipetakan langsung dari kolom `admin_contact.city.value` dalam log mentah.
admin_contact.country.value	principal.domain.admin.office_address.country_or_region	Dipetakan langsung dari kolom `admin_contact.country.value` dalam log mentah.
admin_contact.email.[].value	principal.domain.admin.email_addresses	Diekstrak dari array `admin_contact.email` dan ditambahkan ke kolom `email_addresses`.
admin_contact.fax.value	principal.domain.admin.attribute.labels.fax	Diekstrak dari `admin_contact.fax.value` dan ditambahkan sebagai label dengan kunci "fax" dalam atribut `admin`.
admin_contact.name.value	principal.domain.admin.user_display_name	Dipetakan langsung dari kolom `admin_contact.name.value` dalam log mentah.
admin_contact.org.value	principal.domain.admin.company_name	Dipetakan langsung dari kolom `admin_contact.org.value` dalam log mentah.
admin_contact.phone.value	principal.domain.admin.phone_numbers	Dipetakan langsung dari kolom `admin_contact.phone.value` dalam log mentah.
admin_contact.postal.value	principal.domain.admin.attribute.labels.postal	Diekstrak dari `admin_contact.postal.value` dan ditambahkan sebagai label dengan kunci "postal" dalam atribut `admin`.
admin_contact.state.value	principal.domain.admin.office_address.state	Dipetakan langsung dari kolom `admin_contact.state.value` dalam log mentah.
admin_contact.street.value	principal.domain.admin.office_address.name	Dipetakan langsung dari kolom `admin_contact.street.value` dalam log mentah.
alexa	about.labels.alexa	Dipetakan langsung dari kolom `alexa` di log mentah dan ditambahkan sebagai label di objek `about`.
baidu_codes.[].value	about.labels.baidu_codes	Diekstrak dari array `baidu_codes` dan ditambahkan sebagai label dalam objek `about`.
billing_contact.city.value	principal.domain.billing.office_address.city	Dipetakan langsung dari kolom `billing_contact.city.value` dalam log mentah.
billing_contact.country.value	principal.domain.billing.office_address.country_or_region	Dipetakan langsung dari kolom `billing_contact.country.value` dalam log mentah.
billing_contact.email.[].value	principal.domain.billing.email_addresses	Diekstrak dari array `billing_contact.email` dan ditambahkan ke kolom `email_addresses`.
billing_contact.fax.value	principal.domain.billing.attribute.labels.fax	Diekstrak dari `billing_contact.fax.value` dan ditambahkan sebagai label dengan kunci "fax" dalam atribut `billing`.
billing_contact.name.value	principal.domain.billing.user_display_name	Dipetakan langsung dari kolom `billing_contact.name.value` dalam log mentah.
billing_contact.org.value	principal.domain.billing.company_name	Dipetakan langsung dari kolom `billing_contact.org.value` dalam log mentah.
billing_contact.phone.value	principal.domain.billing.phone_numbers	Dipetakan langsung dari kolom `billing_contact.phone.value` dalam log mentah.
billing_contact.postal.value	principal.domain.billing.attribute.labels.postal	Diekstrak dari `billing_contact.postal.value` dan ditambahkan sebagai label dengan kunci "postal" dalam atribut `billing`.
billing_contact.state.value	principal.domain.billing.office_address.state	Dipetakan langsung dari kolom `billing_contact.state.value` dalam log mentah.
billing_contact.street.value	principal.domain.billing.office_address.name	Dipetakan langsung dari kolom `billing_contact.street.value` dalam log mentah.
create_date.value	principal.domain.creation_time	Dikonversi ke format stempel waktu dari kolom `create_date.value` dalam log mentah.
data_updated_timestamp	principal.domain.audit_update_time	Dikonversi ke format stempel waktu dari kolom `data_updated_timestamp` dalam log mentah.
domain	principal.hostname	Dipetakan langsung dari kolom `domain` dalam log mentah.
domain_risk.components.[].evidence	security_result.detection_fields.evidence	Diekstrak dari array `domain_risk.components.[].evidence` dan ditambahkan sebagai kolom deteksi dengan kunci "bukti" dalam objek `security_result`.
domain_risk.components.[].name	security_result.category_details	Dipetakan langsung dari kolom `domain_risk.components.[].name` dalam log mentah.
domain_risk.components.[].risk_score	security_result.risk_score	Dipetakan langsung dari kolom `domain_risk.components.[].risk_score` dalam log mentah.
domain_risk.components.[].threats	security_result.threat_name	Elemen pertama array `domain_risk.components.[].threats` dipetakan ke `security_result.threat_name`.
domain_risk.components.[].threats	security_result.detection_fields.threats	Elemen yang tersisa dari array `domain_risk.components.[].threats` ditambahkan sebagai kolom deteksi dengan kunci "ancaman" dalam objek `security_result`.
domain_risk.risk_score	security_result.risk_score	Dipetakan langsung dari kolom `domain_risk.risk_score` dalam log mentah.
email_domain.[].value	about.labels.email_domain	Diekstrak dari array `email_domain` dan ditambahkan sebagai label dalam objek `about`.
expiration_date.value	principal.domain.expiration_time	Dikonversi ke format stempel waktu dari kolom `expiration_date.value` dalam log mentah.
fb_codes.[].value	about.labels.fb_codes	Diekstrak dari array `fb_codes` dan ditambahkan sebagai label dalam objek `about`.
first_seen.value	principal.domain.first_seen_time	Dikonversi ke format stempel waktu dari kolom `first_seen.value` dalam log mentah.
ga4.[].value	about.labels.ga4	Diekstrak dari array `ga4` dan ditambahkan sebagai label dalam objek `about`.
google_analytics.value	about.labels.google_analytics	Diekstrak dari `google_analytics.value` dan ditambahkan sebagai label dalam objek `about`.
gtm_codes.[].value	about.labels.gtm_codes	Diekstrak dari array `gtm_codes` dan ditambahkan sebagai label dalam objek `about`.
hotjar_codes.[].value	about.labels.hotjar_codes	Diekstrak dari array `hotjar_codes` dan ditambahkan sebagai label dalam objek `about`.
ip.[].address.value	principal.ip	Elemen pertama array `ip` dipetakan ke `principal.ip`.
ip.[].address.value	about.labels.ip_address	Elemen `ip` yang tersisa ditambahkan sebagai label dengan kunci "ip_address" dalam objek `about`.
ip.[].asn.[].value	network.asn	Elemen pertama dari array `ip.asn` pertama dipetakan ke `network.asn`.
ip.[].asn.[].value	about.labels.asn	Elemen yang tersisa dari array `ip.asn` ditambahkan sebagai label dengan kunci "asn" dalam objek `about`.
ip.[].country_code.value	principal.location.country_or_region	`country_code.value` elemen pertama dalam array `ip` dipetakan ke `principal.location.country_or_region`.
ip.[].country_code.value	about.location.country_or_region	`country_code.value` elemen yang tersisa dalam array `ip` dipetakan ke `about.location.country_or_region`.
ip.[].isp.value	principal.labels.isp	`isp.value` elemen pertama dalam array `ip` dipetakan ke `principal.labels.isp`.
ip.[].isp.value	about.labels.isp	`isp.value` elemen yang tersisa dalam array `ip` dipetakan ke `about.labels.isp`.
matomo_codes.[].value	about.labels.matomo_codes	Diekstrak dari array `matomo_codes` dan ditambahkan sebagai label dalam objek `about`.
monitor_domain	about.labels.monitor_domain	Dipetakan langsung dari kolom `monitor_domain` di log mentah dan ditambahkan sebagai label di objek `about`.
monitoring_domain_list_name	about.labels.monitoring_domain_list_name	Dipetakan langsung dari kolom `monitoring_domain_list_name` di log mentah dan ditambahkan sebagai label di objek `about`.
mx.[].domain.value	about.domain.name	Dipetakan langsung dari kolom `mx.[].domain.value` dalam log mentah.
mx.[].host.value	about.hostname	Dipetakan langsung dari kolom `mx.[].host.value` dalam log mentah.
mx.[].ip.[].value	about.ip	Diekstrak dari array `mx.[].ip` dan ditambahkan ke kolom `ip`.
mx.[].priority	about.security_result.priority_details	Dipetakan langsung dari kolom `mx.[].priority` dalam log mentah.
name_server.[].domain.value	about.labels.name_server_domain	Diekstrak dari `name_server.[].domain.value` dan ditambahkan sebagai label dengan kunci "name_server_domain" dalam objek `about`.
name_server.[].host.value	principal.domain.name_server	Diekstrak dari `name_server.[].host.value` dan ditambahkan ke kolom `name_server`.
name_server.[].host.value	about.domain.name_server	Diekstrak dari `name_server.[].host.value` dan ditambahkan ke kolom `name_server`.
name_server.[].ip.[].value	about.labels.ip	Diekstrak dari array `name_server.[].ip` dan ditambahkan sebagai label dengan kunci "ip" dalam objek `about`.
popularity_rank	about.labels.popularity_rank	Dipetakan langsung dari kolom `popularity_rank` di log mentah dan ditambahkan sebagai label di objek `about`.
redirect.value	about.labels.redirect	Diekstrak dari `redirect.value` dan ditambahkan sebagai label dalam objek `about`.
redirect_domain.value	about.labels.redirect_domain	Diekstrak dari `redirect_domain.value` dan ditambahkan sebagai label dalam objek `about`.
registrant_contact.city.value	principal.domain.registrant.office_address.city	Dipetakan langsung dari kolom `registrant_contact.city.value` dalam log mentah.
registrant_contact.country.value	principal.domain.registrant.office_address.country_or_region	Dipetakan langsung dari kolom `registrant_contact.country.value` dalam log mentah.
registrant_contact.email.[].value	principal.domain.registrant.email_addresses	Diekstrak dari array `registrant_contact.email` dan ditambahkan ke kolom `email_addresses`.
registrant_contact.fax.value	principal.domain.registrant.attribute.labels.fax	Diekstrak dari `registrant_contact.fax.value` dan ditambahkan sebagai label dengan kunci "fax" dalam atribut `registrant`.
registrant_contact.name.value	principal.domain.registrant.user_display_name	Dipetakan langsung dari kolom `registrant_contact.name.value` dalam log mentah.
registrant_contact.org.value	principal.domain.registrant.company_name	Dipetakan langsung dari kolom `registrant_contact.org.value` dalam log mentah.
registrant_contact.phone.value	principal.domain.registrant.phone_numbers	Dipetakan langsung dari kolom `registrant_contact.phone.value` dalam log mentah.
registrant_contact.postal.value	principal.domain.registrant.attribute.labels.postal	Diekstrak dari `registrant_contact.postal.value` dan ditambahkan sebagai label dengan kunci "postal" dalam atribut `registrant`.
registrant_contact.state.value	principal.domain.registrant.office_address.state	Dipetakan langsung dari kolom `registrant_contact.state.value` dalam log mentah.
registrant_contact.street.value	principal.domain.registrant.office_address.name	Dipetakan langsung dari kolom `registrant_contact.street.value` dalam log mentah.
registrant_name.value	about.labels.registrant_name	Diekstrak dari `registrant_name.value` dan ditambahkan sebagai label dalam objek `about`.
registrant_org.value	about.labels.registrant_org	Diekstrak dari `registrant_org.value` dan ditambahkan sebagai label dalam objek `about`.
registrar.value	principal.domain.registrar	Dipetakan langsung dari kolom `registrar.value` dalam log mentah.
registrar_status	about.labels.registrar_status	Diekstrak dari array `registrar_status` dan ditambahkan sebagai label dalam objek `about`.
server_type	network.tls.client.server_name	Dipetakan langsung dari kolom `server_type` dalam log mentah.
soa_email.[].value	principal.user.email_addresses	Diekstrak dari array `soa_email` dan ditambahkan ke kolom `email_addresses`.
spf_info	about.labels.spf_info	Dipetakan langsung dari kolom `spf_info` di log mentah dan ditambahkan sebagai label di objek `about`.
ssl_email.[].value	about.labels.ssl_email	Diekstrak dari array `ssl_email` dan ditambahkan sebagai label dalam objek `about`.
ssl_info.[].alt_names.[].value	about.labels.alt_names	Diekstrak dari array `ssl_info.[].alt_names` dan ditambahkan sebagai label dalam objek `about`.
ssl_info.[].common_name.value	about.labels.common_name	Diekstrak dari `ssl_info.[].common_name.value` dan ditambahkan sebagai label dalam objek `about`.
ssl_info.[].duration.value	about.labels.duration	Diekstrak dari `ssl_info.[].duration.value` dan ditambahkan sebagai label dalam objek `about`.
ssl_info.[].email.[].value	about.labels.ssl_info_email	Diekstrak dari array `ssl_info.[].email` dan ditambahkan sebagai label dengan kunci "ssl_info_email" dalam objek `about`.
ssl_info.[].hash.value	network.tls.server.certificate.sha1	`hash.value` elemen pertama dalam array `ssl_info` dipetakan ke `network.tls.server.certificate.sha1`.
ssl_info.[].hash.value	about.labels.hash	`hash.value` elemen yang tersisa dalam array `ssl_info` dipetakan ke `about.labels.hash`.
ssl_info.[].issuer_common_name.value	network.tls.server.certificate.issuer	`issuer_common_name.value` elemen pertama dalam array `ssl_info` dipetakan ke `network.tls.server.certificate.issuer`.
ssl_info.[].issuer_common_name.value	about.labels.issuer_common_name	`issuer_common_name.value` elemen yang tersisa dalam array `ssl_info` dipetakan ke `about.labels.issuer_common_name`.
ssl_info.[].not_after.value	network.tls.server.certificate.not_after	`not_after.value` elemen pertama dalam array `ssl_info` dikonversi ke format stempel waktu dan dipetakan ke `network.tls.server.certificate.not_after`.
ssl_info.[].not_after.value	about.labels.not_after	`not_after.value` elemen yang tersisa dalam array `ssl_info` dipetakan ke `about.labels.not_after`.
ssl_info.[].not_before.value	network.tls.server.certificate.not_before	`not_before.value` elemen pertama dalam array `ssl_info` dikonversi ke format stempel waktu dan dipetakan ke `network.tls.server.certificate.not_before`.
ssl_info.[].not_before.value	about.labels.not_before	`not_before.value` elemen yang tersisa dalam array `ssl_info` dipetakan ke `about.labels.not_before`.
ssl_info.[].organization.value	network.organization_name	`organization.value` elemen pertama dalam array `ssl_info` dipetakan ke `network.organization_name`.
ssl_info.[].organization.value	about.labels.organization	`organization.value` elemen yang tersisa dalam array `ssl_info` dipetakan ke `about.labels.organization`.
ssl_info.[].subject.value	about.labels.subject	Diekstrak dari `ssl_info.[].subject.value` dan ditambahkan sebagai label dalam objek `about`.
statcounter_project_codes.[].value	about.labels.statcounter_project_codes	Diekstrak dari array `statcounter_project_codes` dan ditambahkan sebagai label dalam objek `about`.
statcounter_security_codes.[].value	about.labels.statcounter_security_codes	Diekstrak dari array `statcounter_security_codes` dan ditambahkan sebagai label dalam objek `about`.
tags.[].label	about.file.tags	Diekstrak dari `tags.[].label` dan ditambahkan ke kolom `tags`.
tags.[].scope	security_result.detection_fields.scope	Diekstrak dari `tags.[].scope` dan ditambahkan sebagai kolom deteksi dengan kunci "scope" dalam objek `security_result`.
tags.[].tagged_at	security_result.detection_fields.tagged_at	Diekstrak dari `tags.[].tagged_at` dan ditambahkan sebagai kolom deteksi dengan kunci "tagged_at" dalam objek `security_result`.
technical_contact.city.value	principal.domain.tech.office_address.city	Dipetakan langsung dari kolom `technical_contact.city.value` dalam log mentah.
technical_contact.country.value	principal.domain.tech.office_address.country_or_region	Dipetakan langsung dari kolom `technical_contact.country.value` dalam log mentah.
technical_contact.email.[].value	principal.domain.tech.email_addresses	Diekstrak dari array `technical_contact.email` dan ditambahkan ke kolom `email_addresses`.
technical_contact.fax.value	principal.domain.tech.attribute.labels.fax	Diekstrak dari `technical_contact.fax.value` dan ditambahkan sebagai label dengan kunci "fax" dalam atribut `tech`.
technical_contact.name.value	principal.domain.tech.user_display_name	Dipetakan langsung dari kolom `technical_contact.name.value` dalam log mentah.
technical_contact.org.value	principal.domain.tech.company_name	Dipetakan langsung dari kolom `technical_contact.org.value` dalam log mentah.
technical_contact.phone.value	principal.domain.tech.phone_numbers	Dipetakan langsung dari kolom `technical_contact.phone.value` dalam log mentah.
technical_contact.postal.value	principal.domain.tech.attribute.labels.postal	Diekstrak dari `technical_contact.postal.value` dan ditambahkan sebagai label dengan kunci "postal" dalam atribut `tech`.
technical_contact.state.value	principal.domain.tech.office_address.state	Dipetakan langsung dari kolom `technical_contact.state.value` dalam log mentah.
technical_contact.street.value	principal.domain.tech.office_address.name	Dipetakan langsung dari kolom `technical_contact.street.value` dalam log mentah.
tld	about.labels.tld	Dipetakan langsung dari kolom `tld` di log mentah dan ditambahkan sebagai label di objek `about`.
timestamp	about.labels.timestamp	Dipetakan langsung dari kolom `timestamp` di log mentah dan ditambahkan sebagai label di objek `about`.
website_response	principal.network.http.response_code	Dipetakan langsung dari kolom `website_response` dalam log mentah.
website_title	about.labels.website_title	Dipetakan langsung dari kolom `website_title` di log mentah dan ditambahkan sebagai label di objek `about`.
whois_url	principal.domain.whois_server	Dipetakan langsung dari kolom `whois_url` dalam log mentah.
yandex_codes.[].value	about.labels.yandex_codes	Diekstrak dari array `yandex_codes` dan ditambahkan sebagai label dalam objek `about`.
	edr.client.hostname	Ditetapkan ke nilai kolom `domain`.
	edr.client.ip_addresses	Ditetapkan ke nilai elemen pertama dalam array `ip`, khususnya `ip.[0].address.value`.
	edr.raw_event_name	Tetapkan ke "STATUS_UPDATE" jika `principal.hostname` ada, atau tetapkan ke "GENERIC_EVENT".
	metadata.event_timestamp	Disalin dari kolom `create_time` tingkat teratas dalam log mentah.
	metadata.event_type	Tetapkan ke "STATUS_UPDATE" jika `principal.hostname` ada, atau tetapkan ke "GENERIC_EVENT".
	metadata.log_type	Tetapkan ke "DOMAINTOOLS_THREATINTEL".
	metadata.product_name	Tetapkan ke "DOMAINTOOLS".
	metadata.vendor_name	Tetapkan ke "DOMAINTOOLS".

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.