איסוף יומני שרת של Microsoft SQL Server

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני שרת של Microsoft SQL ב-Google Security Operations באמצעות Bindplane. המנתח מטפל גם ביומני שרת מובְנים (JSON, צמדי מפתח/ערך) וגם ביומני שרת מובְנים למחצה (syslog) של Microsoft SQL Server. הוא מחלץ שדות, מנרמל חותמות זמן, מטפל בפורמטים שונים של יומנים על סמך התוכן של SourceModuleType ו-Message (כולל אירועי ביקורת, התחברות ומסד נתונים) וממפה אותם ל-UDM. הוא גם מבצע לוגיקת ניתוח ספציפית לרשומות ביקורת, לניסיונות התחברות ולפעולות במסד הנתונים, ומעשיר את הנתונים בהקשר נוסף ובמידע על חומרת האירוע.הוא אוסף יומני ביקורת ושגיאות של SQL Server מיומן האירועים של Windows באמצעות מעביר syslog ‏(NXLog) ושולח אותם לסוכן BindPlane כדי להעביר אותם ל-Google SecOps.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • מארח של Windows Server 2016 ואילך שמריץ את Microsoft SQL Server
  • הרשאת אדמין להתקנה ולהגדרה של BindPlane Agent ו-NXLog
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מקורות מידע נוספים בנושא התקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרת סוכן Bindplane להטמעת Syslog ושליחה אל Google SecOps

  1. ניגשים לקובץ התצורה:
    • מאתרים את הקובץ config.yaml. בדרך כלל, ב-Windows הוא נמצא בספרייה `C:\Program Files\observIQ\bindplane-agent`.
    • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

  2. עורכים את הקובץ config.yaml:

      receivers:
    udplog:
      # Replace the port and IP address as required
      listen_address: "0.0.0.0:1514"

  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <YOUR_CUSTOMER_ID>
      endpoint: chronicle.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MICROSOFT_SQL'
      raw_log_field: body
      ingestion_labels:

  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - udplog
        exporters:
          - chronicle/chronicle_w_labels
    • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
    • מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com.
    • מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • מחליפים את <customer_id> במספר הלקוח בפועל.
    • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <YOUR_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MICROSOFT_SQL'
    raw_log_field: body
    ingestion_labels:

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

    net stop BindPlaneAgent && net start BindPlaneAgent

הפעלת SQL Server Audit ביומן האירועים של Windows

כדי להפעיל את SQL Server Audit, אפשר להשתמש בממשק המשתמש הגרפי של SQL Server Management Studio ‏(SSMS) או בפקודות T-SQL. בוחרים את האפשרות שהכי מתאימה לסביבה שלכם.

אפשרות 1: הפעלת SQL Server Audit באמצעות ממשק המשתמש הגרפי של SSMS

יצירת Server Audit בממשק המשתמש של SQL Server Management Studio

  1. פותחים את SQL Server Management Studio (SSMS)‎ ומתחברים למכונה של SQL Server.
  2. ב-Object Explorer, מרחיבים את המכונה של השרת.
  3. מרחיבים את התיקייה אבטחה.
  4. לוחצים לחיצה ימנית על Audits (ביקורות) ובוחרים באפשרות New Audit (ביקורת חדשה).
  5. בתיבת הדו-שיח Create Audit, מזינים את פרטי ההגדרה הבאים:
    • שם הביקורת: מזינים ChronicleAudit.
    • השהיית התור (באלפיות השנייה): מזינים 1000.
    • On audit log failure: בוחרים באפשרות Continue.
    • Audit destination: בוחרים באפשרות Application Log.
  6. לוחצים על אישור כדי ליצור את הביקורת.
  7. ב-Object Explorer, לוחצים לחיצה ימנית על ChronicleAudit החדש שנוצר ובוחרים באפשרות Enable Audit.

יצירת מפרט ביקורת לשרת באמצעות ממשק המשתמש הגרפי של SSMS

  1. ב-Object Explorer, מרחיבים את Security.
  2. לוחצים לחיצה ימנית על Server Audit Specifications ובוחרים באפשרות New Server Audit Specification.
  3. בתיבת הדו-שיח Create Server Audit Specification, מזינים את פרטי ההגדרה הבאים:
    • שם: מזינים ChronicleAuditSpec.
    • ביקורת: בוחרים באפשרות ChronicleAudit בתפריט.
  4. בקטע Audit Action Type, לוחצים על Add ובוחרים את קבוצות פעולות הביקורת הבאות (מוסיפים כל אחת בנפרד על ידי לחיצה על Add אחרי שבוחרים כל אחת):
    • FAILED_LOGIN_GROUP
    • SUCCESSFUL_LOGIN_GROUP
    • LOGOUT_GROUP
    • SERVER_ROLE_MEMBER_CHANGE_GROUP
    • DATABASE_OBJECT_CHANGE_GROUP
    • DATABASE_PRINCIPAL_CHANGE_GROUP
    • SCHEMA_OBJECT_CHANGE_GROUP
    • DATABASE_PERMISSION_CHANGE_GROUP
  5. לוחצים על OK כדי ליצור את מפרט הביקורת.
  6. ב-Object Explorer, לוחצים לחיצה ימנית על ChronicleAuditSpec החדש שנוצר ובוחרים באפשרות Enable Server Audit Specification.

אימות הגדרות הביקורת

  1. ב-Object Explorer, מרחיבים את Security > Audits.
  2. לוחצים לחיצה ימנית על ChronicleAudit ובוחרים באפשרות Properties (מאפיינים).
  3. מוודאים שהסטטוס הוא Started או Enabled.
  4. מרחיבים את Security > Server Audit Specifications.
  5. לוחצים לחיצה ימנית על ChronicleAuditSpec ובוחרים באפשרות Properties.
  6. מוודאים שכל שמונה קבוצות פעולות הביקורת מופיעות ברשימה ושהמפרט מופעל.

אפשרות 2: הפעלת SQL Server Audit באמצעות T-SQL

  1. פותחים את SQL Server Management Studio (SSMS)‎ ומתחברים למכונה של SQL Server.

  2. מריצים את פקודות ה-T-SQL הבאות כדי ליצור ביקורת שרת שכותבת ביומן האפליקציות של Windows:

    USE master;
GO

CREATE SERVER AUDIT ChronicleAudit
TO APPLICATION_LOG
WITH (QUEUE_DELAY = 1000, ON_FAILURE = CONTINUE);
GO

ALTER SERVER AUDIT ChronicleAudit WITH (STATE = ON);
GO

  3. יוצרים מפרט ביקורת כדי לתעד אירועי אבטחה רלוונטיים:

    CREATE SERVER AUDIT SPECIFICATION ChronicleAuditSpec
FOR SERVER AUDIT ChronicleAudit
ADD (FAILED_LOGIN_GROUP),
ADD (SUCCESSFUL_LOGIN_GROUP),
ADD (LOGOUT_GROUP),
ADD (SERVER_ROLE_MEMBER_CHANGE_GROUP),
ADD (DATABASE_OBJECT_CHANGE_GROUP),
ADD (DATABASE_PRINCIPAL_CHANGE_GROUP),
ADD (SCHEMA_OBJECT_CHANGE_GROUP),
ADD (DATABASE_PERMISSION_CHANGE_GROUP);
GO

ALTER SERVER AUDIT SPECIFICATION ChronicleAuditSpec WITH (STATE = ON);
GO

ההגדרה הזו מבטיחה שאירועי אימות, שינויים בהרשאות ושינויים באובייקטים יתועדו ביומן האירועים של Windows.

התקנה והגדרה של NXLog להעברת אירועים ל-Bindplane

  1. מורידים את NXLog Community Edition מהכתובת nxlog.co/downloads.
  2. מפעילים את תוכנת ההתקנה ומשלימים את אשף ההתקנה.

  3. פותחים את קובץ התצורה של NXLog שנמצא במיקום:

    C:\Program Files\nxlog\conf\nxlog.conf

  4. מחליפים את התוכן בהגדרות הבאות:

    define ROOT C:\Program Files\nxlog
Moduledir %ROOT%\modules
CacheDir %ROOT%\data
Pidfile %ROOT%\data\nxlog.pid
SpoolDir %ROOT%\data
LogFile %ROOT%\data\nxlog.log

<Extension _json>
   Module      xm_json
</Extension>

<Input in_eventlog>
   Module      im_msvistalog
   Query       <QueryList>\
                  <Query Id="0">\
                        <Select Path="Application">*[System[Provider[@Name='MSSQLSERVER']]]</Select>\
                  </Query>\
               </QueryList>
</Input>

<Output out_syslog>
   Module      om_udp
   Host        127.0.0.1
   Port        1514
   Exec        to_json();
</Output>

<Route r1>
   Path        in_eventlog => out_syslog
</Route>
    • מחליפים את הערך הנוכחי 127.0.0.1 של Host בכתובת ה-IP של סוכן Bindplane.
    • מוודאים שהערך של Port תואם ליציאת המקלט של Bindplane udplog שהוגדרה קודם.

  5. שומרים את הקובץ ומפעילים מחדש את שירות NXLog:

    net stop nxlog && net start nxlog

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
AccountName principal.user.userid משמש ל-principal.user.userid אם הוא קיים ביומנים כמו "הפעלת מסד נתונים" או "היומן גובה".
AgentDevice additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "AgentDevice".
AgentLogFile additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח AgentLogFile.
agent.hostname observer.asset.hostname ממפה לשם המארח של הצופה.
agent.id observer.asset_id משורשר עם agent.type כדי ליצור את observer.asset_id.
agent.type observer.asset_id משורשר עם agent.id כדי ליצור את observer.asset_id.
agent.version observer.platform_version מיפוי לגרסת הפלטפורמה של הצופה.
ApplicationName principal.application ממפה לאפליקציה הראשית.
application_name target.application מיפוי לאפליקציית היעד.
client_address principal.ip משמשת לכתובת ה-IP הראשית אם היא שונה מהמארח ולא מקומית או צינור בעל שם.
client_ip principal.ip מיפוי לכתובת ה-IP הראשית.
computer_name about.hostname ממפה לשם המארח about.
correlationId security_result.detection_fields נוסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח correlationId.
Date metadata.event_timestamp בשילוב עם Time, נוצרת חותמת הזמן של האירוע.
database_name target.resource_ancestors.name משמש לשם של ישות אב של משאב המטרה, אם הוא קיים ביומני הביקורת.
durationMs network.session_duration.seconds ההמרה מאלפיות השנייה לשניות והמיפוי.
ecs.version metadata.product_version ממופה לגרסת המוצר.
error security_result.detection_fields נוסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח "error".
err_msg security_result.description ממפה לתיאור של תוצאת האבטחה.
EventID metadata.product_event_type משמש ליצירת סוג אירוע של מוצר אם שדות אחרים לא זמינים, עם הקידומת "EventID: ".
event.action Source משמש כמקור אם הוא קיים.
event.code metadata.product_event_type התמזג עם event.provider כדי ליצור את metadata.product_event_type.
event.provider metadata.product_event_type התמזג עם event.code כדי ליצור את metadata.product_event_type.
EventReceivedTime metadata.ingested_timestamp מנותח ומשמש כחותמת זמן של הטמעה.
event_time metadata.event_timestamp מנותח ומשמש כחותמת הזמן של האירוע.
file_name principal.process.file.full_path ממפה לנתיב המלא של קובץ התהליך הראשי.
file_path target.file.full_path הנתיב המלא של קובץ היעד, אם הוא נמצא ביומני הגיבוי.
first_lsn target.resource.attribute.labels נוסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "First LSN".
host principal.hostname, observer.hostname משמש לשם המארח הראשי או לשם המארח של הצופה, אם לא מדובר בכתובת IP. משמש גם לשם המארח או לכתובת ה-IP של היעד, בהתאם לסוג הכתובת.
host.ip principal.ip מוזגה לכתובת ה-IP הראשית.
host.name host משמש כמארח אם הוא קיים.
Hostname principal.hostname, target.hostname משמש לשם המארח הראשי או לשם המארח של היעד, אם הוא קיים.
hostinfo.architecture principal.asset.hardware.cpu_platform ממפה לפלטפורמת המעבד (CPU) של החומרה של הנכס הראשי.
hostinfo.os.build additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "os_build".
hostinfo.os.kernel principal.platform_patch_level מיפוי לרמת התיקון של הפלטפורמה הראשית.
hostinfo.os.name additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "os_name".
hostinfo.os.platform principal.platform אותיות רישיות וממופה לפלטפורמה הראשית.
hostinfo.os.version principal.platform_version ממפה לגרסת הפלטפורמה הראשית.
last_lsn target.resource.attribute.labels נוסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Last LSN".
level security_result.severity אם הערך הוא "Informational", המערכת מגדירה את security_result.severity כ-"INFORMATIONAL".
log.level security_result.severity_details ממפה לפרטי החומרה של תוצאת האבטחה.
LoginName principal.user.userid משמש למזהה המשתמש הראשי אם הוא קיים ביומני KV.
login_result security_result.action קובע את הפעולה של תוצאת האבטחה (ALLOW או BLOCK).
logon_user principal.user.userid משמש למזהה המשתמש הראשי אם הוא קיים ביומני הכניסה.
logstash.process.host intermediary.hostname ממפה לשם מארח מתווך.
Message metadata.description, security_result.description משמש לתיאור האירוע או לתיאור תוצאת האבטחה, בהתאם לסוג היומן.
msg metadata.description משמש לתיאור האירוע, אם הוא קיים.
ObjectName target.resource.name ממופה לשם של משאב המטרה.
object_name target.resource.name משמש לשם של משאב המטרה אם הוא קיים ביומני ביקורת.
ObjectType target.resource.type ממפה למשאב המטרה.
operationId security_result.detection_fields נוסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח "operationId".
operationName metadata.product_event_type ממופה לסוג האירוע של המוצר.
operationVersion additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "operationVersion".
ProcessInfo additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח ProcessInfo.
properties.apiVersion metadata.product_version ממופה לגרסת המוצר.
properties.appId target.resource.product_object_id ממופה למזהה האובייקט של המוצר במשאב המטרה.
properties.clientAuthMethod extensions.auth.auth_details משמש לקביעת פרטי האימות.
properties.clientRequestId additional.fields נוסף כצמד מפתח/ערך ל-additional.fields עם המפתח clientRequestId.
properties.durationMs network.session_duration.seconds הומר לשניות ומופה.
properties.identityProvider security_result.detection_fields נוסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח "identityProvider".
properties.ipAddress principal.ip, principal.asset.ip מנותח לפי כתובת IP וממוזג לכתובת ה-IP של המשתמש הראשי ולכתובת ה-IP של הנכס הראשי.
properties.location principal.location.name ממפה לשם המיקום הראשי.
properties.operationId security_result.detection_fields נוסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח "operationId".
properties.requestId metadata.product_log_id ממופה למזהה יומן המוצר.
properties.requestMethod network.http.method ממפה לשיטת HTTP של הרשת.
properties.requestUri target.url מיפוי לכתובת URL לטירגוט.
properties.responseSizeBytes network.received_bytes הערך הומר למספר שלם ללא סימן ומופה.
properties.responseStatusCode network.http.response_code הומר למספר שלם ומופה.
properties.roles additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "roles".
properties.servicePrincipalId principal.user.userid משמש כמזהה המשתמש הראשי אם properties.userId לא קיים.
properties.signInActivityId network.session_id ממופה למזהה הסשן ברשת.
properties.tenantId metadata.product_deployment_id ממופה למזהה הפריסה של המוצר.
properties.tokenIssuedAt additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "tokenIssuedAt".
properties.userAgent network.http.user_agent ממפה לסוכן משתמש HTTP ברשת.
properties.userId principal.user.userid משמש למזהה המשתמש הראשי, אם הוא קיים.
properties.wids security_result.detection_fields נוסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח "wids".
reason security_result.summary משמש לסיכום תוצאות האבטחה באירועי התחברות.
resourceId target.resource.attribute.labels נוסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "מזהה משאב".
schema_name target.resource_ancestors.resource_subtype משמש לסוג המשנה של ישות האב של משאב המטרה, אם הוא קיים ביומני הביקורת.
security_result.description metadata.description משמש לתיאור האירוע אם הוא לא אירוע ביקורת.
security_result.severity security_result.severity מיפוי ישיר אם קיים. מוגדרת כ-LOW ליומני KV, כ-INFORMATIONAL להודעות שגיאה מסוימות, ונגזרת מהשדות level או Severity.
security_result.severity_details security_result.severity_details מיפוי ישיר אם קיים.
security_result.summary security_result.summary מיפוי ישיר אם קיים. צריך להגדיר את הערך "Connection made using Windows authentication" או סיבות ספציפיות מאירועי התחברות, או "SQL Server Audit Record" לאירועי ביקורת.
security_result_action security_result.action מוזג עם security_result.action. הערך מוגדר כ-ALLOW ברוב האירועים, ונגזר מ-login_result באירועי התחברות.
server_instance_name target.hostname משמש לשם המארח של היעד אם הוא קיים ביומני הביקורת.
server_principal_name principal.user.userid משמש למזהה המשתמש הראשי, אם הוא קיים ביומני הביקורת.
server_principal_sid principal.asset_id משמש ליצירת מזהה הנכס הראשי, עם הקידומת "server SID:".
session_id network.session_id משמש למזהה סשן ברשת אם הוא קיים ביומני הביקורת.
sev security_result.severity משמש לקביעת החומרה של תוצאת האבטחה.
Severity security_result.severity משמש לקביעת החומרה של תוצאת האבטחה.
Source additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "מקור".
source principal.resource.attribute.labels נוסף כצמד מפתח/ערך אל principal.resource.attribute.labels עם המפתח "source".
SourceModuleType observer.application ממופה לאפליקציית צפייה.
SourceModuleName additional.fields נוסף כצמד מפתח/ערך אל additional.fields עם המפתח "SourceModuleName".
source_module_name observer.labels נוסף כצמד מפתח/ערך אל observer.labels עם המפתח "SourceModuleName".
source_module_type observer.application ממופה לאפליקציית צפייה.
SPID network.session_id ממופה למזהה הסשן ברשת.
statement target.process.command_line משמש לשורת הפקודה של תהליך היעד, אם הוא קיים ביומני הביקורת.
TextData security_result.description, metadata.description משמש לתיאור של תוצאת האבטחה אם לא מדובר באירוע התחברות, או לתיאור האירוע אם כן מדובר באירוע התחברות.
time metadata.event_timestamp מנותח ומשמש כחותמת הזמן של האירוע.
Time metadata.event_timestamp בשילוב עם Date, נוצרת חותמת הזמן של האירוע.
transaction_id target.resource.attribute.labels נוסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "transaction_id".
UserID principal.user.windows_sid משמש ל-Windows SID של המשתמש הראשי, אם הוא קיים ובפורמט הנכון.
user_id principal.user.userid משמש למזהה המשתמש הראשי, אם הוא קיים.
metadata.log_type metadata.log_type מקודד באופן קשיח ל-"MICROSOFT_SQL".
metadata.vendor_name metadata.vendor_name מקודד באופן קשיח ל-"Microsoft".
metadata.product_name metadata.product_name מקודד באופן קשיח ל-"SQL Server".
metadata.event_type metadata.event_type מוגדר לערכים שונים בהתאם לתוכן היומן, כולל "USER_LOGIN",‏ "USER_LOGOUT",‏ "STATUS_STARTUP",‏ "STATUS_SHUTDOWN",‏ "NETWORK_HTTP",‏ "GENERIC_EVENT" ו-"STATUS_UNCATEGORIZED" כברירת מחדל.
extensions.auth.type extensions.auth.type מוגדר כ-MACHINE לאירועי התחברות והתנתקות.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.