VMware 네트워킹 및 보안 가상화(NSX) 관리자 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 VMware Networking and Security Virtualization (NSX) Manager 로그를 수집하는 방법을 설명합니다. 파서는 메시지 형식을 기반으로 다양한 grok 패턴을 사용하여 필드를 추출합니다. 그런 다음 키-값 파싱, JSON 파싱, 조건부 로직을 실행하여 추출된 필드를 UDM에 매핑하고, 다양한 로그 형식을 처리하고, 추가 컨텍스트로 데이터를 보강합니다.
시작하기 전에
- Google Security Operations 인스턴스가 있어야 합니다.
- Windows 2016 이상 또는
systemd를 사용하는 Linux 호스트를 사용하고 있는지 확인합니다. - 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
- VMWare NSX에 대한 관리 액세스 권한이 있는지 확인합니다.
Google SecOps 처리 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 처리 인증 파일을 다운로드합니다. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
- 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
Windows 설치
- 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
추가 설치 리소스
- 추가 설치 옵션은 이 설치 가이드를 참고하세요.
Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일에 액세스합니다.
config.yaml파일을 찾습니다. 일반적으로 Linux의/etc/bindplane-agent/디렉터리 또는 Windows의 설치 디렉터리에 있습니다.- 텍스트 편집기 (예:
nano,vi, 메모장)를 사용하여 파일을 엽니다.
다음과 같이
config.yaml파일을 수정합니다.receivers: udplog: # Replace the below port <54525> and IP <0.0.0.0> with your specific values listen_address: "0.0.0.0:54525" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the creds location below according the placement of the credentials file you downloaded creds: '{ json file for creds }' # Replace <customer_id> below with your actual ID that you copied customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # You can apply ingestion labels below as preferred ingestion_labels: log_type: SYSLOG namespace: vmware_nsx raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.
<customer_id>를 실제 고객 ID로 바꿉니다./path/to/ingestion-authentication-file.json를 Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 업데이트합니다.
Bindplane 에이전트를 다시 시작하여 변경사항 적용
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.
sudo systemctl restart bindplane-agentWindows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.
net stop BindPlaneAgent && net start BindPlaneAgent
NSX Edge의 syslog 구성
- vSphere Web Client에 로그인합니다.
- 네트워킹 및 보안 > NSX Edges로 이동합니다.
- 구성하려는 특정 NSX Edge 인스턴스를 선택합니다.
- Syslog 설정으로 이동합니다.
- NSX 6.4.4 이상:
- 관리 > 설정 > 어플라이언스 설정으로 이동합니다.
- 설정 > Syslog 구성 변경을 클릭합니다.
- NSX 6.4.3 이하의 경우:
- 관리 > 설정 > 구성으로 이동합니다.
- 세부정보 대화상자에서 변경을 클릭합니다.
- NSX 6.4.4 이상:
- Syslog 서버 세부정보를 구성합니다.
- 서버: Syslog 서버 (Bindplane)의 IP 주소 또는 호스트 이름을 입력합니다.
- 프로토콜: Bindplane 구성에 따라 UDP 또는 TCP를 선택합니다.
- 포트: Bindplane 구성에 따라 포트 번호를 입력합니다.
- 확인을 클릭하여 설정을 저장합니다.
NSX Manager의 syslog 구성
- 다음과 같이 관리자 사용자 인증 정보로 NSX Manager 웹 인터페이스에 로그인합니다.
https://<NSX-Manager-IP>또는https://<NSX-Manager-Hostname>.
- 어플라이언스 설정 관리 > 일반으로 이동합니다.
- 수정을 클릭하여 Syslog 서버 설정을 구성합니다.
- 다음과 같이 시스템로그 서버 세부정보를 입력합니다.
- 서버: Syslog 서버 (Bindplane)의 IP 주소 또는 호스트 이름을 입력합니다.
- 프로토콜: Bindplane 구성에 따라 UDP 또는 TCP를 선택합니다.
- 포트: Bindplane 구성에 따라 포트 번호를 입력합니다.
- 확인을 클릭하여 설정을 저장합니다.
NSX 컨트롤러의 syslog 구성
- vSphere Web Client에 로그인합니다.
- 네트워킹 및 보안 > 설치 및 업그레이드 > 관리 > NSX 컨트롤러 노드로 이동합니다.
- 컨트롤러 노드를 관리하는 NSX Manager를 선택합니다.
- 공통 컨트롤러 속성 수정을 클릭합니다.
- Syslog Servers 대화상자에서 Add를 클릭합니다.
- Syslog 서버 이름 또는 IP 주소를 입력합니다.
- Bindplane 구성에 따라 UDP 프로토콜을 선택합니다.
- 로그 수준을 설정합니다 (예:
INFO).
- 확인을 클릭하여 설정을 저장합니다.
UDM 매핑 표
| 로그 필드 | UDM 매핑 | 논리 |
|---|---|---|
DST |
event.idm.read_only_udm.target.ip |
대상 IP 주소는 원시 로그의 DST 필드에서 추출됩니다. |
ID |
event.idm.read_only_udm.metadata.product_log_id |
제품 로그 ID는 원시 로그의 ID 필드에서 추출됩니다. |
MAC |
event.idm.read_only_udm.principal.mac |
MAC 주소는 원시 로그의 MAC 필드에서 추출됩니다. |
ModuleName |
event.idm.read_only_udm.metadata.product_event_type |
제품 이벤트 유형은 원시 로그의 ModuleName 필드에서 추출됩니다. |
Operation |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
작업은 원시 로그의 Operation 필드에서 추출되고 'Operation' 키가 있는 라벨로 추가됩니다. |
PROTO |
event.idm.read_only_udm.network.ip_protocol |
IP 프로토콜은 원시 로그의 PROTO 필드에서 추출됩니다. |
RES |
event.idm.read_only_udm.target.resource.name |
대상 리소스 이름은 원시 로그의 RES 필드에서 추출됩니다. |
SRC |
event.idm.read_only_udm.principal.ip |
소스 IP 주소는 원시 로그의 SRC 필드에서 추출됩니다. |
SPT |
event.idm.read_only_udm.principal.port |
소스 포트는 원시 로그의 SPT 필드에서 추출됩니다. |
UserName |
event.idm.read_only_udm.principal.user.userid |
사용자 ID는 원시 로그의 UserName 필드에서 추출됩니다. |
app_type |
event.idm.read_only_udm.principal.application |
기본 애플리케이션은 원시 로그의 app_type 필드에서 추출됩니다. |
application |
event.idm.read_only_udm.target.application |
대상 애플리케이션은 원시 로그의 application 필드에서 추출됩니다. |
audit |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
감사 값은 원시 로그의 audit 필드에서 추출되고 'audit' 키가 있는 라벨로 추가됩니다. |
cancelTimeUTC |
event.idm.read_only_udm.principal.resource.attribute.last_update_time |
마지막 업데이트 시간은 원시 로그의 cancelTimeUTC 필드에서 가져옵니다. |
client |
event.idm.read_only_udm.principal.ip 또는 event.idm.read_only_udm.principal.administrative_domain |
client 필드가 IP 주소인 경우 기본 IP에 매핑됩니다. 그렇지 않으면 기본 관리 도메인에 매핑됩니다. |
comp |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
구성요소 값은 원시 로그의 comp 필드에서 추출되고 'Comp' 키가 있는 라벨로 추가됩니다. |
datetime |
event.idm.read_only_udm.metadata.event_timestamp |
이벤트 타임스탬프는 원시 로그의 datetime 필드에서 추출됩니다. |
description |
event.idm.read_only_udm.metadata.description |
설명은 원시 로그의 description 필드에서 추출됩니다. |
details |
event.idm.read_only_udm.principal.resource.attribute.labels |
세부정보는 원시 로그의 details 필드에서 추출되어 라벨로 추가됩니다. |
direction |
event.idm.read_only_udm.network.direction |
direction 필드가 'OUT'인 경우 'OUTBOUND'에 매핑됩니다. |
dst_ip |
event.idm.read_only_udm.target.ip |
대상 IP 주소는 원시 로그의 dst_ip 필드에서 추출됩니다. |
DPT |
event.idm.read_only_udm.target.port |
대상 포트는 원시 로그의 DPT 필드에서 추출됩니다. |
errorCode |
event.idm.read_only_udm.security_result.detection_fields |
오류 코드는 원시 로그의 errorCode 필드에서 추출되어 감지 필드로 추가됩니다. |
eventType |
event.idm.read_only_udm.metadata.product_event_type |
제품 이벤트 유형은 원시 로그의 eventType 필드에서 추출됩니다. |
filepath |
event.idm.read_only_udm.principal.process.file.full_path |
파일 경로는 원시 로그의 filepath 필드에서 추출됩니다. |
hostname |
event.idm.read_only_udm.principal.ip |
호스트 이름은 원시 로그의 hostname 필드에서 추출되며 IP 주소인 경우 기본 IP에 매핑됩니다. |
kv_data |
다양한 UDM 필드 | kv_data의 키-값 쌍은 키를 기반으로 다양한 UDM 필드에 매핑됩니다. |
kv_data1 |
다양한 UDM 필드 | kv_data1의 키-값 쌍은 키를 기반으로 다양한 UDM 필드에 매핑됩니다. |
kv_data2 |
다양한 UDM 필드 | kv_data2의 키-값 쌍은 키를 기반으로 다양한 UDM 필드에 매핑됩니다. |
kv_data3 |
다양한 UDM 필드 | kv_data3의 키-값 쌍은 키를 기반으로 다양한 UDM 필드에 매핑됩니다. |
kv_data4 |
다양한 UDM 필드 | kv_data4의 키-값 쌍은 키를 기반으로 다양한 UDM 필드에 매핑됩니다. |
level |
event.idm.read_only_udm.security_result.severity |
level 필드가 'INFO'인 경우 'INFORMATIONAL'에 매핑됩니다. 'ERROR'인 경우 'ERROR'에 매핑됩니다. |
managedExternally |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
managedExternally 값은 원시 로그의 managedExternally 필드에서 추출되고 'managedExternally' 키가 있는 라벨로 추가됩니다. |
message |
다양한 UDM 필드 | 메시지 필드는 파싱되어 다양한 UDM 필드를 추출합니다. |
message_data |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
메시지 데이터는 원시 로그의 message_data 필드에서 추출되어 'message' 키가 있는 라벨로 추가됩니다. |
network_status |
event.idm.read_only_udm.additional.fields |
네트워크 상태는 원시 로그의 network_status 필드에서 추출되고 'Network_Connection_Status' 키가 있는 추가 필드로 추가됩니다. |
new_value |
다양한 event.idm.read_only_udm.target 필드 |
새 값은 원시 로그의 new_value 필드에서 추출되며 다양한 타겟 필드를 채우는 데 사용됩니다. |
node |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
노드 값은 원시 로그의 node 필드에서 추출되고 'node' 키가 있는 라벨로 추가됩니다. |
old_value |
다양한 UDM 필드 | 이전 값은 원시 로그의 old_value 필드에서 추출되며 다양한 UDM 필드를 채우는 데 사용됩니다. |
payload |
다양한 UDM 필드 | 페이로드는 원시 로그의 payload 필드에서 추출되며 다양한 UDM 필드를 채우는 데 사용됩니다. |
pid |
event.idm.read_only_udm.target.process.pid |
프로세스 ID는 원시 로그의 pid 필드에서 추출됩니다. |
reqId |
event.idm.read_only_udm.metadata.product_log_id |
제품 로그 ID는 원시 로그의 reqId 필드에서 추출됩니다. |
resourceId |
event.idm.read_only_udm.principal.resource.product_object_id |
제품 객체 ID는 원시 로그의 resourceId 필드에서 추출됩니다. |
s2comp |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
s2comp 값은 원시 로그의 s2comp 필드에서 추출되어 's2comp' 키가 있는 라벨로 추가됩니다. |
ses |
event.idm.read_only_udm.network.session_id |
세션 ID는 원시 로그의 ses 필드에서 추출됩니다. |
src_host |
event.idm.read_only_udm.principal.hostname |
기본 호스트 이름은 원시 로그의 src_host 필드에서 추출됩니다. |
src_ip |
event.idm.read_only_udm.principal.ip |
소스 IP 주소는 원시 로그의 src_ip 필드에서 추출됩니다. |
src_ip1 |
event.idm.read_only_udm.principal.ip |
소스 IP 주소는 원시 로그의 src_ip1 필드에서 추출됩니다. |
src_port |
event.idm.read_only_udm.principal.port |
소스 포트는 원시 로그의 src_port 필드에서 추출됩니다. |
startTimeUTC |
event.idm.read_only_udm.principal.resource.attribute.creation_time |
생성 시간은 원시 로그의 startTimeUTC 필드에서 파생됩니다. |
subcomp |
event.idm.read_only_udm.network.application_protocol 또는 event.idm.read_only_udm.principal.resource.attribute.labels.value |
subcomp 필드가 'http'인 경우 'HTTP'에 매핑됩니다. 그렇지 않으면 'Sub Comp' 키가 있는 라벨로 추가됩니다. |
tname |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
tname 값은 원시 로그의 tname 필드에서 추출되고 'tname' 키가 있는 라벨로 추가됩니다. |
type |
event.idm.read_only_udm.metadata.product_event_type |
제품 이벤트 유형은 원시 로그의 type 필드에서 추출됩니다. |
uid |
event.idm.read_only_udm.principal.user.userid |
사용자 ID는 원시 로그의 uid 필드에서 추출됩니다. |
update |
event.idm.read_only_udm.principal.resource.attribute.labels.value |
업데이트 값은 원시 로그의 update 필드에서 추출되고 'update' 키가 있는 라벨로 추가됩니다. |
user |
event.idm.read_only_udm.principal.user.user_display_name |
사용자 표시 이름은 원시 로그의 user 필드에서 추출됩니다. |
vmw_cluster |
event.idm.read_only_udm.target.resource.name |
대상 리소스 이름은 원시 로그의 vmw_cluster 필드에서 추출됩니다. |
vmw_datacenter |
event.idm.read_only_udm.target.resource.attribute.labels.value |
vmw_datacenter 값은 원시 로그의 vmw_datacenter 필드에서 추출되고 'vmw_datacenter' 키가 있는 라벨로 추가됩니다. |
vmw_host |
event.idm.read_only_udm.target.hostname 또는 event.idm.read_only_udm.target.ip |
vmw_host 필드가 호스트 이름인 경우 타겟 호스트 이름에 매핑됩니다. 그렇지 않고 IP 주소인 경우 대상 IP에 매핑됩니다. |
vmw_object_id |
event.idm.read_only_udm.target.resource.product_object_id |
제품 객체 ID는 원시 로그의 vmw_object_id 필드에서 추출됩니다. |
vmw_product |
event.idm.read_only_udm.target.application |
대상 애플리케이션은 원시 로그의 vmw_product 필드에서 추출됩니다. |
vmw_vcenter |
event.idm.read_only_udm.target.cloud.availability_zone |
가용성 영역은 원시 로그의 vmw_vcenter 필드에서 추출됩니다. |
vmw_vcenter_id |
event.idm.read_only_udm.target.resource.attribute.labels.value |
vmw_vcenter_id 값은 원시 로그의 vmw_vcenter_id 필드에서 추출되고 'vmw_vcenter_id' 키가 있는 라벨로 추가됩니다. |
vmw_vr_ops_appname |
event.idm.read_only_udm.intermediary.application |
중간 애플리케이션은 원시 로그의 vmw_vr_ops_appname 필드에서 추출됩니다. |
vmw_vr_ops_clustername |
event.idm.read_only_udm.intermediary.resource.name |
중간 리소스 이름은 원시 로그의 vmw_vr_ops_clustername 필드에서 추출됩니다. |
vmw_vr_ops_clusterrole |
event.idm.read_only_udm.intermediary.resource.attribute.roles.name |
중간 리소스 역할 이름은 원시 로그의 vmw_vr_ops_clusterrole 필드에서 추출됩니다. |
vmw_vr_ops_hostname |
event.idm.read_only_udm.intermediary.hostname |
중간 호스트 이름은 원시 로그의 vmw_vr_ops_hostname 필드에서 추출됩니다. |
vmw_vr_ops_id |
event.idm.read_only_udm.intermediary.resource.product_object_id |
중간 제품 객체 ID는 원시 로그의 vmw_vr_ops_id 필드에서 추출됩니다. |
vmw_vr_ops_logtype |
event.idm.read_only_udm.intermediary.resource.attribute.labels.value |
vmw_vr_ops_logtype 값은 원시 로그의 vmw_vr_ops_logtype 필드에서 추출되고 'vmw_vr_ops_logtype' 키가 있는 라벨로 추가됩니다. |
vmw_vr_ops_nodename |
event.idm.read_only_udm.intermediary.resource.attribute.labels.value |
vmw_vr_ops_nodename 값은 원시 로그의 vmw_vr_ops_nodename 필드에서 추출되고 'vmw_vr_ops_nodename' 키가 있는 라벨로 추가됩니다. 다른 필드의 값을 기반으로 일련의 조건문으로 결정됩니다. 가능한 값은 USER_LOGIN, NETWORK_CONNECTION, STATUS_UPDATE, GENERIC_EVENT입니다. 'VMWARE_NSX'로 하드코딩됩니다. 'VMWARE_NSX'로 하드코딩됩니다. 'VMWARE_NSX'로 하드코딩됩니다. Operation이 'LOGIN'이고 target_details가 비어 있지 않거나 message에 'authentication failure'이 포함되어 있고 application가 비어 있지 않으면 'AUTHTYPE_UNSPECIFIED'로 설정합니다. PROTO이 'ssh2'이면 'SSH'로 설정하고 subcomp이 'http'이면 'HTTP'로 설정합니다. 다른 필드의 값을 기반으로 일련의 조건문으로 결정됩니다. 가능한 값은 허용 및 차단입니다. vmw_cluster가 비어 있지 않으면 'VIRTUAL_MACHINE'으로 설정합니다. |
변경사항
2023-11-15
- 개선사항: '이전 값' 필드에서 다음과 같이 변경되었습니다.
- 'unique_id'가 'principal.resource.product_object_id'에 매핑되었습니다.
- 'resource_type'이 'principal.resource.sub_type'에 매핑되었습니다.
- '_create_user','_last_modified_user'가 'principal.user.email_addresses'에 매핑되었습니다.
- 'action'이 'security_result.action'에 매핑되었습니다.
- 'rule_id'가 'security_result.rule_id'에 매핑되었습니다.
- 'display_name'이 'principal.resource.name'에 매핑되었습니다.
- '_last_modified_time'이 'principal.resource.attribute.last_update_time'에 매핑되었습니다.
- '_create_time'이 'principal.resource.attribute.creation_time'에 매핑되었습니다.
- 'parent_path'가 'principal.resource.parent'에 매핑되었습니다.
- 'path'가 'principal.process.file.full_path'에 매핑되었습니다.
- 'id'가 'principal.resource.id'에 매핑되었습니다.
- 새 값 필드:
- 'resource_type'이 'target.resource.sub_type'에 매핑되었습니다.
- 'unique_id'가 'target.resource.product_object_id'에 매핑되었습니다.
- 'path'가 'target.process.file.full_path'에 매핑되었습니다.
- 'display_name'이 'target.resource.name'에 매핑되었습니다.
- 'id'가 'target.resource.id'에 매핑되었습니다.
- vmw_host의 값을 기반으로 'vmw_host'를 'target_details.hostname 또는 target_details.ip'에 매핑했습니다.
- 'vmw_product'가 'target.application'에 매핑되었습니다.
- 'vmw_vcenter'가 'target.cloud.availability_zone'에 매핑되었습니다.
- 'vmw_cluster'가 'target.resource.name'에 매핑되었습니다.
- 'vmw_object_id'가 'target.resource.product_object_id'에 매핑되었습니다.
- 'vmw_datacenter'가 'target.resource.attribute.labels'에 매핑되었습니다.
- 'vmw_vcenter_id'가 'target.resource.attribute.labels'에 매핑되었습니다.
- 'vmw_vr_ops_logtype'이 'intermediary.resource.attribute.labels'에 매핑되었습니다.
- 'vmw_vr_ops_appname'이 'intermediary.application'에 매핑되었습니다.
- 'vmw_vr_ops_hostname'이 'intermediary.hostname'에 매핑되었습니다.
- 'vmw_vr_ops_nodename'이 'intermediary.resource.attribute.labels'에 매핑되었습니다.
- 'vmw_vr_ops_clustername'이 'intermediary.resource.name'에 매핑되었습니다.
- 'vmw_vr_ops_clusterrole'이 'intermediary.resource.attribute.labels.roles.name'에 매핑되었습니다.
- 'vmw_vr_ops_id'가 'intermediary.resource.product_object_id'에 매핑되었습니다.
2023-10-13
- 개선사항: 포트와 함께 'sourceIp'를 파싱하도록 Grok 패턴을 수정했습니다.
- 'vmw_host','vmw_product','vmw_vcenter','vmw_cluster','vmw_vr_ops_id','vmw_object_id','vmw_datacenter','vmw_vcenter_id','vmw_vr_ops_logtype','vmw_vr_ops_appname','vmw_vr_ops_hostname','vmw_vr_ops_nodename','vmw_vr_ops_clustername','vmw_vr_ops_clusterrole','managedExternally','update','filepath','eventType','resourceId'가 'principal.resource.attribute.labels'에 매핑되었습니다.
- 'payload'의 필드를 'principal.resource.attribute.labels'에 매핑했습니다.
- 'client'가 'principal.ip'에 매핑되었습니다.
- 'new_value'의 필드를 'target.resource.attribute.labels'에 매핑했습니다.
2023-10-03
- 개선사항: 'sourceIp'를 UDM 필드에 매핑하기 전에 유효한 IP 주소인지 확인하는 Grok 패턴을 추가했습니다.
2023-09-12
- 개선사항: '새 값' 및 '이전 값' 필드가 있는 syslog 로그에 대한 지원이 추가되었습니다.
2023-06-26
- 'PASS', 'DROP', 'REJECT', 'NAT', 'NONAT', 'RDR', 'NORDR', 'PUNT', 'REDIRECT', 'COPY'의 값이 'additional.fields' 키에 'Network_Status'로 매핑되었습니다.
2023-03-07
- 'errorCode'가 'security_result.detection_fields'에 매핑되었습니다.
- 'app_type'이 'principal.application'에 매핑되었습니다.
- 'tname', 's2comp', 'node'가 'principal.resource.attribute.labels'에 매핑되었습니다.
- 'exe'가 'target.process.file.full_path'에 매핑되었습니다.
- 'dst_ip'가 'target.ip'에 매핑되었습니다.
- 'ses'가 'network.session_id'에 매핑되었습니다.
- 'hostname'이 'principal.ip'에 매핑되었습니다.
- 'direction'이 'network.direction'에 매핑되었습니다.
- 'reqId'가 'metadata.product_log_id'에 매핑되었습니다.
2022-06-10
- 새로 생성된 파서
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받으세요.