Un'etichetta di importazione identifica il parser che normalizza i dati di log non elaborati in formato UDM strutturato. Le informazioni contenute in questo documento si applicano al parser con l'etichetta di importazione RSA_AUTH_MANAGER.
Configura RSA Authentication Manager
Accedi alla console RSA Authentication Manager Security utilizzando le credenziali di amministratore.
Nel menu Configurazione, fai clic su Impostazioni di sistema.
Nella finestra Impostazioni di sistema, seleziona Registrazione nella sezione Impostazioni di base.
Nella sezione Seleziona istanza, seleziona il tipo di istanza Principale configurato nel tuo ambiente, quindi fai clic su Avanti per continuare.
Nella sezione Configura impostazioni, configura i log per le seguenti sezioni visualizzate:
Livelli di log
Destinazione dei dati di log
Mascheramento dei dati di log
Nella sezione Livelli di log, configura i seguenti log:
Imposta Trace log su Fatal.
Imposta Log di controllo amministrativo su Riuscito.
Imposta Log di controllo runtime su Riuscito.
Imposta Log di sistema su Avviso.
Nella sezione Destinazione dei dati di log, per i seguenti dati del livello di log, seleziona
Salva nel database interno e in syslog remoto per il seguente nome host o indirizzo IP,
quindi inserisci l'indirizzo IP di Google Security Operations:
Dati dei log di controllo amministrativo
Dati del log di controllo di runtime
Dati dei log di sistema
I messaggi Syslog vengono trasmessi tramite un numero di porta più alto per UDP.
Nella sezione Mascheramento dei dati di log, nel campo Maschera numero di serie token: numero di cifre del numero di serie token da visualizzare, inserisci il valore massimo, pari al numero di cifre
che compaiono nei token disponibili, ad esempio 12.
Questo parser estrae i campi dai log CSV di RSA Authentication Manager, gestendo le variazioni nel formato del log. Utilizza grok per analizzare inizialmente le righe di log, quindi sfrutta il filtro CSV per estrarre i singoli campi, mappandoli a nomi standardizzati come username, clientip e operation_status per la compatibilità con UDM.
Tabella di mappatura UDM
Campo log
Mappatura UDM
Logic
clientip
principal.asset.ip
Il valore di column8 del log grezzo.
clientip
principal.ip
Il valore di column8 del log grezzo.
column1
metadata.event_timestamp.seconds
Analizzato dal campo time (colonna 1) nel log non elaborato, utilizzando i formati "aaaa-MM-gg HH:mm:ss" e "aaaa-MM-gg HH: mm:ss".
column12
security_result.action
Mappatura eseguita in base al campo operation_status (colonna 12). I valori "SUCCESS" e "ACCEPT" vengono mappati a ALLOW, "FAIL", "REJECT", "DROP", "DENY", "NOT_ALLOWED" vengono mappati a BLOCK e gli altri valori vengono mappati a UNKNOWN_ACTION.
column18
principal.user.userid
Il valore della colonna 18 del log grezzo.
column19
principal.user.first_name
Il valore della colonna 19 del log grezzo.
column20
principal.user.last_name
Il valore della colonna 20 del log non elaborato.
column25
principal.hostname
Il valore della colonna 25 del log grezzo.
column26
principal.asset.hostname
Il valore della colonna 26 del log non elaborato.
column27
metadata.product_name
Il valore della colonna 27 del log non elaborato.
column3
target.administrative_domain
Il valore di column3 dal log non elaborato.
column32
principal.user.group_identifiers
Il valore di column32 dal log non elaborato.
column5
security_result.severity
Mappatura eseguita in base al campo severity (colonna 5). I valori "INFO" e "INFORMATIONAL" vengono mappati su INFORMATIONAL, "WARN" e "WARNING" su WARNING, "ERROR", "CRITICAL", "FATAL", "SEVERE", "EMERGENCY" e "ALERT" su ERROR, "NOTICE", "DEBUG" e "TRACE" su DEBUG, mentre gli altri valori vengono mappati su UNKNOWN_SEVERITY.
column8
target.asset.ip
Il valore di column8 del log grezzo.
column8
target.ip
Il valore di column8 del log grezzo.
event_name
security_result.rule_name
Il valore di column10 dal log non elaborato.
host_name
intermediary.hostname
Estratto dalla parte <DATA> del log non elaborato utilizzando i pattern grok.
process_data
principal.process.command_line
Estratto dalla parte <DATA> del log non elaborato utilizzando i pattern grok.
summary
security_result.summary
Il valore della colonna 13 del log non elaborato.
time_stamp
metadata.event_timestamp.seconds
Estratto dalla parte <DATA> del log non elaborato utilizzando i pattern grok. Se non viene trovato, il timestamp viene estratto dal campo timestamp nel log non elaborato.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-04 UTC."],[[["\u003cp\u003eThis document details the process of collecting RSA Authentication Manager logs using a Google Security Operations forwarder, supporting ingestion through the \u003ccode\u003eRSA_AUTH_MANAGER\u003c/code\u003e parser label.\u003c/p\u003e\n"],["\u003cp\u003eConfiguration steps for RSA Authentication Manager include adjusting log levels, setting data destinations to a remote syslog, and masking sensitive token serial numbers.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a Google Security Operations forwarder involves creating a new forwarder, adding a collector configured for RSA logs via syslog, and specifying necessary connection parameters like protocol, address, and port.\u003c/p\u003e\n"],["\u003cp\u003eThe parser extracts fields from RSA Authentication Manager logs using grok patterns and CSV filtering, mapping them to UDM format fields like \u003ccode\u003eusername\u003c/code\u003e, \u003ccode\u003eclientip\u003c/code\u003e, and \u003ccode\u003eoperation_status\u003c/code\u003e.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping table outlines how specific log fields from RSA Authentication Manager are transformed into UDM fields within Google Security Operations, including data like timestamps, severity, and user details.\u003c/p\u003e\n"]]],[],null,["# Collect RSA Authentication Manager logs\n=======================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document describes how you can collect RSA Authentication Manager logs by using a Google Security Operations forwarder.\n\nFor more information, see [Data ingestion to Google Security Operations](/chronicle/docs/data-ingestion-flow).\n\nAn ingestion label identifies the parser which normalizes raw log data to structured\nUDM format. The information in this document applies to the parser with the `RSA_AUTH_MANAGER`\ningestion label.\n\nConfigure RSA Authentication Manager\n------------------------------------\n\n1. Sign in to the **RSA Authentication Manager Security** console using administrator credentials.\n2. In the **Setup** menu, click **System settings**.\n3. In the **System settings** window, in the **Basic settings** section, select **Logging**.\n4. In the **Select instance** section, select the **Primary** instance type configured in your environment, and then click **Next** to continue.\n5. In the **Configure settings** section, configure the logs for the following sections that are displayed:\n - **Log levels**\n - **Log data destination**\n - **Log data masking**\n6. In the **Log levels** section, configure the following logs:\n - Set **Trace log** to **Fatal**.\n - Set **Administrative audit log** to **Success**.\n - Set **Runtime audit log** to **Success**.\n - Set **System log** to **Warning**.\n7. In the **Log data destination** section, for the following log level data, select\n **Save to internal database and remote syslog for the following hostname or IP address**,\n and then enter the IP address of Google Security Operations:\n\n - **Administrative audit log data**\n - **Runtime audit log data**\n - **System log data**\n\n Syslog messages are transmitted over higher port number for UDP.\n8. In the **Log data masking** section, in the **Mask token serial number: number of digits of the token serial number to display** field, enter the maximum value, which is equal to the number of digits that\n appear in available tokens, such as 12.\n\n For more information, see [Log data masking](https://community.rsa.com/s/article/Mask-Token-Serial-Numbers-in-Logs-4b7e844c).\n9. Click **Save**.\n\nConfigure Google Security Operations forwarder and syslog to ingest RSA Authentication Manager logs\n---------------------------------------------------------------------------------------------------\n\n1. Select **SIEM Settings** \\\u003e **Forwarders**.\n2. Click **Add new forwarder**.\n3. In the **Forwarder name** field, enter a unique name for the forwarder.\n4. Click **Submit** and then click **Confirm** . The forwarder is added and the **Add collector configuration** window appears.\n5. In the **Collector name** field, type a unique name for the collector.\n6. Select **RSA** as the **Log type**.\n7. Select **Syslog** as the **Collector type**.\n8. Configure the following mandatory input parameters:\n - **Protocol**: specify the connection protocol the collector will use to listen for syslog data.\n - **Address**: specify the target IP address or hostname where the collector resides and listens for syslog data.\n - **Port**: specify the target port where the collector resides and listens for syslog data.\n9. Click **Submit**.\n\nFor more information about Google Security Operations forwarders, see [Google Security Operations forwarders documentation](/chronicle/docs/install/forwarder-management-configurations). For information about requirements for each forwarder type, see [Forwarder configuration by type](/chronicle/docs/install/forwarder-management-api). If you encounter issues when you create forwarders, contact [Google Security Operations support](/chronicle/docs/support).\n\nField mapping reference\n-----------------------\n\nThis parser extracts fields from RSA Authentication Manager CSV logs, handling variations in the log format. It uses grok to initially parse the log lines, then leverages CSV filtering to extract individual fields, mapping them to standardized names like `username`, `clientip`, and `operation_status` for UDM compatibility.\n\nUDM mapping table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
