Uma etiqueta de carregamento identifica o analisador que normaliza os dados de registo não processados para o formato UDM estruturado. As informações neste documento aplicam-se ao analisador com a etiqueta de carregamento RSA_AUTH_MANAGER.
Configure o RSA Authentication Manager
Inicie sessão na consola RSA Authentication Manager Security com as credenciais de administrador.
No menu Configuração, clique em Definições do sistema.
Na janela Definições do sistema, na secção Definições básicas, selecione Registo.
Na secção Selecionar instância, selecione o tipo de instância Principal configurado no seu ambiente e, de seguida, clique em Seguinte para continuar.
Na secção Configurar definições, configure os registos para as seguintes secções apresentadas:
Níveis de registo
Destino dos dados de registo
Ocultação de dados de registo
Na secção Níveis de registo, configure os seguintes registos:
Defina Registo de rastreio como Fatal.
Defina o Registo de auditoria administrativa como Êxito.
Defina o Registo de auditoria de tempo de execução como Êxito.
Defina o Registo do sistema como Aviso.
Na secção Destino dos dados de registo, para os seguintes dados de nível de registo, selecione
Guardar na base de dados interna e no syslog remoto para o seguinte nome de anfitrião ou endereço IP
e, em seguida, introduza o endereço IP do Google Security Operations:
Dados do registo de auditoria administrativo
Dados do registo de auditoria de tempo de execução
Dados do registo do sistema
As mensagens Syslog são transmitidas através de um número de porta superior para UDP.
Na secção Máscara de dados de registo, no campo Máscara do número de série do token: número de dígitos do número de série do token a apresentar, introduza o valor máximo, que é igual ao número de dígitos que
aparecem nos tokens disponíveis, como 12.
Este analisador extrai campos dos registos CSV do RSA Authentication Manager, processando variações no formato do registo. Usa o grok para analisar inicialmente as linhas de registo e, em seguida, tira partido da filtragem CSV para extrair campos individuais, mapeando-os para nomes padronizados, como username, clientip e operation_status, para compatibilidade com o UDM.
Tabela de mapeamento do UDM
Campo de registo
Mapeamento de UDM
Lógica
clientip
principal.asset.ip
O valor da coluna 8 do registo não processado.
clientip
principal.ip
O valor da coluna 8 do registo não processado.
column1
metadata.event_timestamp.seconds
Analisado a partir do campo time (coluna 1) no registo não processado, usando os formatos "aaaa-MM-dd HH:mm:ss" e "aaaa-MM-dd HH: mm:ss".
column12
security_result.action
Mapeada com base no campo operation_status (coluna 12). Os valores "SUCCESS" e "ACCEPT" são mapeados para ALLOW, "FAIL", "REJECT", "DROP", "DENY", "NOT_ALLOWED" são mapeados para BLOCK e outros valores são mapeados para UNKNOWN_ACTION.
column18
principal.user.userid
O valor da coluna 18 do registo não processado.
column19
principal.user.first_name
O valor da coluna 19 do registo não processado.
column20
principal.user.last_name
O valor da coluna 20 do registo não processado.
column25
principal.hostname
O valor da coluna25 do registo não processado.
column26
principal.asset.hostname
O valor da coluna 26 do registo não processado.
column27
metadata.product_name
O valor da coluna 27 do registo não processado.
column3
target.administrative_domain
O valor da coluna3 do registo não processado.
column32
principal.user.group_identifiers
O valor de column32 do registo não processado.
column5
security_result.severity
Mapeada com base no campo severity (coluna 5). Os valores "INFO" e "INFORMATIONAL" são mapeados para INFORMATIONAL, "WARN" e "WARNING" são mapeados para WARNING, "ERROR", "CRITICAL", "FATAL", "SEVERE", "EMERGENCY" e "ALERT" são mapeados para ERROR, "NOTICE", "DEBUG" e "TRACE" são mapeados para DEBUG, e outros valores são mapeados para UNKNOWN_SEVERITY.
column8
target.asset.ip
O valor da coluna 8 do registo não processado.
column8
target.ip
O valor da coluna 8 do registo não processado.
event_name
security_result.rule_name
O valor da coluna10 do registo não processado.
host_name
intermediary.hostname
Extraído da parte <DATA> do registo não processado através de padrões grok.
process_data
principal.process.command_line
Extraído da parte <DATA> do registo não processado através de padrões grok.
summary
security_result.summary
O valor da coluna 13 do registo não processado.
time_stamp
metadata.event_timestamp.seconds
Extraído da parte <DATA> do registo não processado através de padrões grok. Se não for encontrado, a data/hora é extraída do campo timestamp no registo não processado.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-08-20 UTC."],[[["\u003cp\u003eThis document details the process of collecting RSA Authentication Manager logs using a Google Security Operations forwarder, supporting ingestion through the \u003ccode\u003eRSA_AUTH_MANAGER\u003c/code\u003e parser label.\u003c/p\u003e\n"],["\u003cp\u003eConfiguration steps for RSA Authentication Manager include adjusting log levels, setting data destinations to a remote syslog, and masking sensitive token serial numbers.\u003c/p\u003e\n"],["\u003cp\u003eSetting up a Google Security Operations forwarder involves creating a new forwarder, adding a collector configured for RSA logs via syslog, and specifying necessary connection parameters like protocol, address, and port.\u003c/p\u003e\n"],["\u003cp\u003eThe parser extracts fields from RSA Authentication Manager logs using grok patterns and CSV filtering, mapping them to UDM format fields like \u003ccode\u003eusername\u003c/code\u003e, \u003ccode\u003eclientip\u003c/code\u003e, and \u003ccode\u003eoperation_status\u003c/code\u003e.\u003c/p\u003e\n"],["\u003cp\u003eThe UDM mapping table outlines how specific log fields from RSA Authentication Manager are transformed into UDM fields within Google Security Operations, including data like timestamps, severity, and user details.\u003c/p\u003e\n"]]],[],null,["# Collect RSA Authentication Manager logs\n=======================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n| **Note:** This feature is covered by [Pre-GA Offerings Terms](https://chronicle.security/legal/service-terms/) of the Google Security Operations Service Specific Terms. Pre-GA features might have limited support, and changes to pre-GA features might not be compatible with other pre-GA versions. For more information, see the [Google SecOps Technical Support Service guidelines](https://chronicle.security/legal/technical-support-services-guidelines/) and the [Google SecOps Service Specific Terms](https://chronicle.security/legal/service-terms/).\n\nThis document describes how you can collect RSA Authentication Manager logs by using a Google Security Operations forwarder.\n\nFor more information, see [Data ingestion to Google Security Operations](/chronicle/docs/data-ingestion-flow).\n\nAn ingestion label identifies the parser which normalizes raw log data to structured\nUDM format. The information in this document applies to the parser with the `RSA_AUTH_MANAGER`\ningestion label.\n\nConfigure RSA Authentication Manager\n------------------------------------\n\n1. Sign in to the **RSA Authentication Manager Security** console using administrator credentials.\n2. In the **Setup** menu, click **System settings**.\n3. In the **System settings** window, in the **Basic settings** section, select **Logging**.\n4. In the **Select instance** section, select the **Primary** instance type configured in your environment, and then click **Next** to continue.\n5. In the **Configure settings** section, configure the logs for the following sections that are displayed:\n - **Log levels**\n - **Log data destination**\n - **Log data masking**\n6. In the **Log levels** section, configure the following logs:\n - Set **Trace log** to **Fatal**.\n - Set **Administrative audit log** to **Success**.\n - Set **Runtime audit log** to **Success**.\n - Set **System log** to **Warning**.\n7. In the **Log data destination** section, for the following log level data, select\n **Save to internal database and remote syslog for the following hostname or IP address**,\n and then enter the IP address of Google Security Operations:\n\n - **Administrative audit log data**\n - **Runtime audit log data**\n - **System log data**\n\n Syslog messages are transmitted over higher port number for UDP.\n8. In the **Log data masking** section, in the **Mask token serial number: number of digits of the token serial number to display** field, enter the maximum value, which is equal to the number of digits that\n appear in available tokens, such as 12.\n\n For more information, see [Log data masking](https://community.rsa.com/s/article/Mask-Token-Serial-Numbers-in-Logs-4b7e844c).\n9. Click **Save**.\n\nConfigure Google Security Operations forwarder and syslog to ingest RSA Authentication Manager logs\n---------------------------------------------------------------------------------------------------\n\n1. Select **SIEM Settings** \\\u003e **Forwarders**.\n2. Click **Add new forwarder**.\n3. In the **Forwarder name** field, enter a unique name for the forwarder.\n4. Click **Submit** and then click **Confirm** . The forwarder is added and the **Add collector configuration** window appears.\n5. In the **Collector name** field, type a unique name for the collector.\n6. Select **RSA** as the **Log type**.\n7. Select **Syslog** as the **Collector type**.\n8. Configure the following mandatory input parameters:\n - **Protocol**: specify the connection protocol the collector will use to listen for syslog data.\n - **Address**: specify the target IP address or hostname where the collector resides and listens for syslog data.\n - **Port**: specify the target port where the collector resides and listens for syslog data.\n9. Click **Submit**.\n\nFor more information about Google Security Operations forwarders, see [Google Security Operations forwarders documentation](/chronicle/docs/install/forwarder-management-configurations). For information about requirements for each forwarder type, see [Forwarder configuration by type](/chronicle/docs/install/forwarder-management-api). If you encounter issues when you create forwarders, contact [Google Security Operations support](/chronicle/docs/support).\n\nField mapping reference\n-----------------------\n\nThis parser extracts fields from RSA Authentication Manager CSV logs, handling variations in the log format. It uses grok to initially parse the log lines, then leverages CSV filtering to extract individual fields, mapping them to standardized names like `username`, `clientip`, and `operation_status` for UDM compatibility.\n\nUDM mapping table\n-----------------\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
