我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Versa Networks 安全访问服务边缘 (SASE) 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Versa Networks 安全访问服务边缘 (SASE) 日志注入到 Google Security Operations。

Versa Networks SASE 是一个统一的安全和网络平台，可针对防火墙事件、威胁日志、应用分类、网址过滤、IDS/IPS 检测和警报事件生成 syslog 消息。解析器从 syslog 消息中提取键值对，并将其映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Versa Analytics 节点之间的网络连接
如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
对 Versa SASE 的特权访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

注意：此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为 正在运行。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/versa_firewall:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VERSA_FIREWALL
        raw_log_field: body

service:
    pipelines:
        logs/versa_firewall_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/versa_firewall

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 0.0.0.0 侦听所有接口（推荐）
  - 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
  - Versa 使用 TCP 传输，因此需要 tcplog 接收器
导出器配置：
- creds_file_path：提取身份验证文件的完整路径：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：从 Google SecOps 控制台复制的客户 ID
- endpoint：区域端点网址：
  - 美国：malachiteingestion-pa.googleapis.com
  - 欧洲：europe-malachiteingestion-pa.googleapis.com
  - 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需查看完整列表，请参阅区域级端点

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志是否存在错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击并选择重新启动。
  4. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
  5. 检查日志是否存在错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

配置 Versa Networks SASE

管理员必须在每个 Versa Analytics 节点上配置远程收集器，以将日志转发到第三方系统。

启用日志转发

登录 Versa 分析服务器。
运行 cli 命令，前往 CLI。
运行 configure 命令切换到配置模式，然后输入 load merge terminal。

复制并粘贴以下命令以设置日志转发（将 <collector_ip> 和 <collector_port> 替换为 syslog 收集器的 IP 地址和端口）：

set system analytics log-collector-exporter destination-address <collector_ip>
set system analytics log-collector-exporter destination-port <collector_port>
set system analytics log-collector-exporter transport tcp
set system analytics log-collector-exporter log-types firewall-log
set system analytics log-collector-exporter log-types threat-log
commit

保存配置：
```
save
```
注意：如果未指定任何日志类型，系统会流式传输所有日志类型事件。

启用会话 ID 日志记录

如需记录与 IP 相关的信息，请启用会话 ID 日志记录：

登录 Versa Director。
切换到导演视图。
依次前往配置 > 设备 > 租户 > 设备，以访问设备视图。
依次选择配置 > 其他 > 系统 > 配置 > 配置。
在参数窗格中，点击修改。
在修改参数窗口中，选择 LEF。
在防火墙部分中，选中包含会话 ID 日志记录复选框。
点击确定。

注意：在版本 21.1.1 及更高版本中，系统会自动启用会话标识。

UDM 映射表

日志字段	UDM 映射	逻辑
`accCkt`	`additional.fields[].key`: "accCkt" `additional.fields[].value.string_value`: `accCkt`	直接从 `accCkt` 字段中获取的值。
`accCktId`	`additional.fields[].key`: "accCktId" `additional.fields[].value.string_value`: `accCktId`	直接从 `accCktId` 字段中获取的值。
`accCktName`	`additional.fields[].key`: "accCktName" `additional.fields[].value.string_value`: `accCktName`	直接从 `accCktName` 字段中获取的值。
`accessType`	`additional.fields[].key`: "accessType" `additional.fields[].value.string_value`: `accessType`	直接从 `accessType` 字段中获取的值。
`action`	`security_result.action`：`action`	如果 `action`、`type`、`idpAction`、`avAction` 或 `urlAction` 为“允许”，则为 `ALLOW`。如果 `action`、`type`、`idpAction`、`avAction` 或 `urlAction` 为“reject”“drop”“block”“deny”，则为 `BLOCK`。如果 `idpAction` 是其他任何值，则为 `UNKNOWN_ACTION`。
`alarmCause`	`security_result.detection_fields[].key`: "alarmCause" `security_result.detection_fields[].value`: `alarmCause`	直接从 `alarmCause` 字段中获取的值。
`alarmClass`	`security_result.detection_fields[].key`: "alarmClass" `security_result.detection_fields[].value`: `alarmClass`	直接从 `alarmClass` 字段中获取的值。
`alarmClearable`	`security_result.detection_fields[].key`: "alarmClearable" `security_result.detection_fields[].value`: `alarmClearable`	直接从 `alarmClearable` 字段中获取的值。
`alarmEventType`	`metadata.product_event_type`：`alarmEventType`	直接从 `alarmEventType` 字段中获取的值。
`alarmKey`	`security_result.detection_fields[].key`: "alarmKey" `security_result.detection_fields[].value`: `alarmKey`	直接从 `alarmKey` 字段中获取的值。
`alarmKind`	`security_result.detection_fields[].key`: "alarmKind" `security_result.detection_fields[].value`: `alarmKind`	直接从 `alarmKind` 字段中获取的值。
`alarmOwner`	`security_result.detection_fields[].key`: "alarmOwner" `security_result.detection_fields[].value`: `alarmOwner`	直接从 `alarmOwner` 字段中获取的值。
`alarmSeqNo`	`security_result.detection_fields[].key`: "alarmSeqNo" `security_result.detection_fields[].value`: `alarmSeqNo`	直接从 `alarmSeqNo` 字段中获取的值。
`alarmSeverity`	`security_result.severity_details`：`alarmSeverity`	直接从 `alarmSeverity` 字段中获取的值。
`alarmText`	`security_result.summary`：`alarmText`	直接从 `alarmText` 字段中获取的值，并移除了双引号。
`alarmType`	`security_result.description`：`alarmType`	直接从 `alarmType` 字段中获取的值。
`appFamily`	`metadata.product_event_type`: `appFamily` `security_result.detection_fields[].key`: "appFamily" `security_result.detection_fields[].value`: `appFamily`	直接从 `appFamily` 字段中获取的值。
`appId`	`security_result.detection_fields[].key`: "应用 ID" `security_result.detection_fields[].value`: `appId`	直接从 `appId` 字段中获取的值。
`appIdStr`	`security_result.detection_fields[].key`: "appIdStr" `security_result.detection_fields[].value`: `appIdStr`	直接从 `appIdStr` 字段中获取的值。
`applianceName`	`principal.hostname`：`applianceName`	直接从 `applianceName`、`siteName` 或 `site` 字段中获取的值。
`appProductivity`	`security_result.detection_fields[].key`: "appProductivity" `security_result.detection_fields[].value`: `appProductivity`	直接从 `appProductivity` 字段中获取的值。
`appRisk`	`security_result.severity_details`：`appRisk`	直接从 `appRisk` 字段中获取的值。
`appSubFamily`	`security_result.detection_fields[].key`: "appSubFamily" `security_result.detection_fields[].value`: `appSubFamily`	直接从 `appSubFamily` 字段中获取的值。
`avAccuracy`	`additional.fields[].key`: "avAccuracy" `additional.fields[].value.string_value`: `avAccuracy`	直接从 `avAccuracy` 字段中获取的值。
`avAction`	`security_result.action`：`avAction`	如需了解相关逻辑，请参阅 `action`。
`avMalwareName`	`security_result.threat_name`：`avMalwareName`	直接从 `avMalwareName` 字段中获取的值。
`avMalwareType`	`security_result.category_details`：`avMalwareType`	直接从 `avMalwareType` 字段中获取的值。
`classMsg`	`security_result.description`：`classMsg`	直接从 `classMsg` 字段中获取的值，并移除了双引号。
`clientIPv4Address`	`target.ip`：`clientIPv4Address`	直接从 `clientIPv4Address` 字段中获取的值。
`destIp`	`target.ip`：`destIp` `destinationIPv4Address`：`destIp`	直接从 `destIp` 字段中获取的值。
`destinationIPv4Address`	`target.ip`：`destinationIPv4Address`	直接从 `destinationIPv4Address` 获取的值或从 `networkPrefix` 字段派生的值。
`destinationIPv6Address`	`target.ip`：`destinationIPv6Address`	直接从 `destinationIPv6Address` 字段中获取的值。
`destinationPort`	`target.port`：`destinationPort`	直接从 `destinationPort` 字段获取值并转换为整数。
`destinationTransportPort`	`target.port`：`destinationTransportPort`	直接从 `destinationTransportPort` 字段获取值并转换为整数。
`deviceKey`	`about.resource.attribute.labels[].key`: "deviceKey" `about.resource.attribute.labels[].value`: `deviceKey`	如果不是“未知”，则直接从 `deviceKey` 字段中获取值。
`deviceName`	`about.resource.attribute.labels[].key`: "deviceName" `about.resource.attribute.labels[].value`: `deviceName`	如果不是“未知”，则直接从 `deviceName` 字段中获取值。
`duration`	`network.session_duration.seconds`：`duration`	直接从 `duration` 字段获取值并转换为整数。
`egressInterfaceName`	`additional.fields[].key`: "egressInterfaceName" `additional.fields[].value.string_value`: `egressInterfaceName`	直接从 `egressInterfaceName` 字段中获取的值。
`event.type`	`metadata.event_type`：`event.type`	如果同时存在 `applianceName`（或 `sourceIPv4Address` 或 `user` 或 `sourceIPv6Address`）和 `destinationIPv4Address`（或 `remoteSite` 或 `destinationIPv6Address` 或 `clientIPv4Address` 或 `hostname`），则为 `NETWORK_CONNECTION`。否则，`STATUS_UPDATE`。如果 `applianceName` 为空，则为 `GENERIC_EVENT`。
`eventType`	`principal.resource.attribute.labels[].key`: "eventType" `principal.resource.attribute.labels[].value`: `eventType`	直接从 `eventType` 字段中获取的值。
`family`	`security_result.detection_fields[].key`: "family" `security_result.detection_fields[].value`: `family`	直接从 `family` 字段中获取的值。
`fc`	`security_result.detection_fields[].key`: "ForwardingClass" `security_result.detection_fields[].value`: `fc`	直接从 `fc` 字段中获取的值。
`fileTransDir`	`additional.fields[].key`: "fileTransDir" `additional.fields[].value.string_value`: `fileTransDir`	直接从 `fileTransDir` 字段中获取的值。
`filename`	`target.file.names`：`filename`	直接从 `filename` 字段中获取的值。
`flowCookie`	`metadata.collected_timestamp`：`flowCookie`	直接从 `flowCookie` 字段获取的值，并使用 UNIX 格式转换为时间戳。
`flowId`	`principal.resource.product_object_id`：`flowId`	直接从 `flowId` 字段中获取的值。
`forwardForwardingClass`	`security_result.detection_fields[].key`: "forwardForwardingClass" `security_result.detection_fields[].value`: `forwardForwardingClass`	直接从 `forwardForwardingClass` 字段中获取的值。
`fromCountry`	`principal.location.country_or_region`：`fromCountry` `target.location.country_or_region`：`fromCountry`	直接从 `fromCountry` 字段中获取的值。
`fromUser`	`principal.user.userid`：`fromUser`	如果 `fromUser` 字段不为空、不为“unknown”或“Unknown”，则直接从该字段中获取值。
`fromZone`	`additional.fields[].key`: "fromZone" `additional.fields[].value.string_value`: `fromZone`	直接从 `fromZone` 字段中获取的值。
`generateTime`	`metadata.collected_timestamp`：`generateTime`	直接从 `generateTime` 字段获取的值，并使用 UNIX 格式转换为时间戳。
`hostname`	`target.hostname`：`hostname`	直接从 `hostname` 字段中获取的值。
`httpUrl`	`target.url`：`httpUrl`	直接从 `httpUrl` 字段中获取的值。
`icmpTypeIPv4`	`additional.fields[].key`: "icmpTypeIPv4" `additional.fields[].value.string_value`: `icmpTypeIPv4`	直接从 `icmpTypeIPv4` 字段中获取的值。
`idpAction`	`security_result.action`：`idpAction`	如需了解相关逻辑，请参阅 `action`。
`ingressInterfaceName`	`additional.fields[].key`: "ingressInterfaceName" `additional.fields[].value.string_value`: `ingressInterfaceName`	直接从 `ingressInterfaceName` 字段中获取的值。
`ipsApplication`	`additional.fields[].key`: "ipsApplication" `additional.fields[].value.string_value`: `ipsApplication`	直接从 `ipsApplication` 字段中获取的值。
`ipsDirection`	`security_result.detection_fields[].key`: "ipsDirection" `security_result.detection_fields[].value`: `ipsDirection`	直接从 `ipsDirection` 字段中获取的值。
`ipsProfile`	`security_result.detection_fields[].key`: "ipsProfile" `security_result.detection_fields[].value`: `ipsProfile`	直接从 `ipsProfile` 字段中获取的值。
`ipsProfileRule`	`security_result.rule_name`：`ipsProfileRule`	直接从 `ipsProfileRule` 字段中获取的值。
`ipsProtocol`	`network.ip_protocol`：`ipsProtocol`	直接从 `ipsProtocol` 字段中获取的值。
`log_type`	`metadata.description`：`log_type` `metadata.log_type`：`log_type`	直接从 `log_type` 字段中获取的值。
`mstatsTimeBlock`	`metadata.collected_timestamp`：`mstatsTimeBlock`	直接从 `mstatsTimeBlock` 字段获取的值，并使用 UNIX 格式转换为时间戳。
`mstatsTotRecvdOctets`	`network.received_bytes`：`mstatsTotRecvdOctets`	直接从 `mstatsTotRecvdOctets` 字段获取值并转换为无符号整数。
`mstatsTotSentOctets`	`network.sent_bytes`：`mstatsTotSentOctets`	直接从 `mstatsTotSentOctets` 字段获取值并转换为无符号整数。
`mstatsTotSessCount`	`additional.fields[].key`: "mstatsTotSessCount" `additional.fields[].value.string_value`: `mstatsTotSessCount`	直接从 `mstatsTotSessCount` 字段中获取的值。
`mstatsTotSessDuration`	`network.session_duration.seconds`：`mstatsTotSessDuration`	直接从 `mstatsTotSessDuration` 字段获取值并转换为整数。
`mstatsType`	`security_result.category_details`：`mstatsType`	直接从 `mstatsType` 字段中获取的值。
`networkPrefix`	`target.ip`：`networkPrefix` `target.port`：`networkPrefix`	从 `networkPrefix` 字段提取的 IP 地址。从 `networkPrefix` 字段中提取的端口并转换为整数。
`protocolIdentifier`	`network.ip_protocol`：`protocolIdentifier`	直接从 `protocolIdentifier` 字段获取的值，转换为整数，并使用查找功能映射到 IP 协议名称。
`recvdOctets`	`network.received_bytes`：`recvdOctets`	直接从 `recvdOctets` 字段获取值并转换为无符号整数。
`recvdPackets`	`network.received_packets`：`recvdPackets`	直接从 `recvdPackets` 字段获取值并转换为整数。
`remoteSite`	`target.hostname`：`remoteSite`	直接从 `remoteSite` 字段中获取的值。
`reverseForwardingClass`	`security_result.detection_fields[].key`: "reverseForwardingClass" `security_result.detection_fields[].value`: `reverseForwardingClass`	直接从 `reverseForwardingClass` 字段中获取的值。
`risk`	`security_result.risk_score`：`risk`	直接从 `risk` 字段获取值并转换为浮点数。
`rule`	`security_result.rule_name`：`rule`	直接从 `rule` 字段中获取的值。
`sentOctets`	`network.sent_bytes`：`sentOctets`	直接从 `sentOctets` 字段获取值并转换为无符号整数。
`sentPackets`	`network.sent_packets`：`sentPackets`	直接从 `sentPackets` 字段获取值并转换为整数。
`serialNum`	`security_result.detection_fields[].key`: "serialNum" `security_result.detection_fields[].value`: `serialNum`	直接从 `serialNum` 字段中获取的值。
`signatureId`	`security_result.detection_fields[].key`: "signatureID" `security_result.detection_fields[].value`: `signatureId`	直接从 `signatureId` 字段中获取的值。
`signatureMsg`	`security_result.detection_fields[].key`: "signatureMsg" `security_result.detection_fields[].value`: `signatureMsg`	直接从 `signatureMsg` 字段中获取的值。
`signaturePriority`	`security_result.severity`：`signaturePriority`	如果 `signaturePriority` 为“low”（不区分大小写），则为 `LOW`。如果 `signaturePriority` 为“medium”（不区分大小写），则为 `MEDIUM`。如果 `signaturePriority` 为“high”（不区分大小写），则为 `HIGH`。
`site`	`principal.hostname`：`site` `applianceName`：`site`	直接从 `site` 字段中获取的值。
`siteId`	`additional.fields[].key`: "siteId" `additional.fields[].value.string_value`: `siteId`	直接从 `siteId` 字段中获取的值。
`siteName`	`principal.hostname`：`siteName` `applianceName`：`siteName`	直接从 `siteName` 字段中获取的值。
`sourceIPv4Address`	`principal.ip`：`sourceIPv4Address`	直接从 `sourceIPv4Address` 字段中获取的值。
`sourceIPv6Address`	`principal.ip`：`sourceIPv6Address`	直接从 `sourceIPv6Address` 字段中获取的值。
`sourcePort`	`principal.port`：`sourcePort`	直接从 `sourcePort` 字段获取值并转换为整数。
`sourceTransportPort`	`principal.port`：`sourceTransportPort`	直接从 `sourceTransportPort` 字段获取值并转换为整数。
`subFamily`	`security_result.detection_fields[].key`: "subFamily" `security_result.detection_fields[].value`: `subFamily`	直接从 `subFamily` 字段中获取的值。
`tcpConnAborted`	`additional.fields[].key`: "tcpConnAborted" `additional.fields[].value.string_value`: `tcpConnAborted`	如果 `tcpConnAborted` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpConnRefused`	`additional.fields[].key`: "tcpConnRefused" `additional.fields[].value.string_value`: `tcpConnRefused`	如果 `tcpConnRefused` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpPktsFwd`	`network.sent_packets`：`tcpPktsFwd`	直接从 `tcpPktsFwd` 字段获取值并转换为整数。
`tcpPktsRev`	`network.received_packets`：`tcpPktsRev`	直接从 `tcpPktsRev` 字段获取值并转换为整数。
`tcpReXmitFwd`	`additional.fields[].key`: "tcpReXmitFwd" `additional.fields[].value.string_value`: `tcpReXmitFwd`	如果 `tcpReXmitFwd` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpReXmitRev`	`additional.fields[].key`："tcpReXmitRev" `additional.fields[].value.string_value`：`tcpReXmitRev`	如果 `tcpReXmitRev` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpSAA`	`additional.fields[].key`: "tcpSAA" `additional.fields[].value.string_value`: `tcpSAA`	如果 `tcpSAA` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpSSA`	`additional.fields[].key`: "tcpSSA" `additional.fields[].value.string_value`: `tcpSSA`	如果 `tcpSSA` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpSessCnt`	`additional.fields[].key`: "tcpSessCnt" `additional.fields[].value.string_value`: `tcpSessCnt`	直接从 `tcpSessCnt` 字段中获取的值。
`tcpSessDur`	`network.session_duration.seconds`：`tcpSessDur`	直接从 `tcpSessDur` 字段获取值并转换为整数。
`tcpSynAckReXmit`	`additional.fields[].key`: "tcpSynAckReXmit" `additional.fields[].value.string_value`: `tcpSynAckReXmit`	如果 `tcpSynAckReXmit` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpSynReXmit`	`additional.fields[].key`: "tcpSynReXmit" `additional.fields[].value.string_value`: `tcpSynReXmit`	如果 `tcpSynReXmit` 字段不为空或不为“0”，则直接从该字段获取值。
`tcpTWHS`	`additional.fields[].key`: "tcpTWHS" `additional.fields[].value.string_value`: `tcpTWHS`	如果 `tcpTWHS` 字段不为空或不为“0”，则直接从该字段获取值。
`tenantId`	`principal.resource.attribute.labels[].key`: "tenantId" `principal.resource.attribute.labels[].value`: `tenantId`	直接从 `tenantId` 字段中获取的值。
`tenantName`	`observer.hostname`：`tenantName`	直接从 `tenantName` 字段中获取的值。
`threatType`	`security_result.detection_fields[].key`: "threatType" `security_result.detection_fields[].value`: `threatType`	直接从 `threatType` 字段中获取的值。
`toCountry`	`target.location.country_or_region`：`toCountry`	直接从 `toCountry` 字段中获取的值。
`toZone`	`additional.fields[].key`: "toZone" `additional.fields[].value.string_value`: `toZone`	直接从 `toZone` 字段中获取的值。
`traffType`	`additional.fields[].key`: "traffType" `additional.fields[].value.string_value`: `traffType`	直接从 `traffType` 字段中获取的值。
`ts`	`metadata.event_timestamp`：`ts`	直接从 `ts` 字段获取值并转换为时间戳。
`type`	`security_result.action`：`type`	如需了解相关逻辑，请参阅 `action`。
`urlAction`	`security_result.action`：`urlAction`	如需了解相关逻辑，请参阅 `action`。
`urlActionMessage`	`security_result.summary`：`urlActionMessage`	直接从 `urlActionMessage` 字段中获取的值。
`urlCategory`	`principal.resource.attribute.labels[].key`: "urlCategory" `principal.resource.attribute.labels[].value`: `urlCategory`	直接从 `urlCategory` 字段中获取的值。
`urlProfile`	`additional.fields[].key`: "urlProfile" `additional.fields[].value.string_value`: `urlProfile`	直接从 `urlProfile` 字段中获取的值。
`urlReputation`	`security_result.severity_details`：`urlReputation`	直接从 `urlReputation` 字段中获取的值。
`user`	`principal.ip`：`user`	直接从 `user` 字段中获取的值。
`vsnId`	`principal.resource.attribute.labels[].key`: "vsnId" `principal.resource.attribute.labels[].value`: `vsnId`	直接从 `vsnId` 字段中获取的值。硬编码的值。硬编码的值。
`applianceName`	`event.idm.read_only_udm.intermediary.hostname`	从变更日志映射
`postNATSourceIPv4Address`	`event.idm.read_only_udm.principal.nat_ip`	从变更日志映射
`postNATDestinationIPv4Address`	`event.idm.read_only_udm.target.nat_ip`	从变更日志映射
`postNAPTsourceTransportPort`	`event.idm.read_only_udm.principal.nat_port`	从变更日志映射
`postNAPTdestinationTransportPort`	`event.idm.read_only_udm.target.nat_port`	从变更日志映射
`natRuleName`	`event.idm.read_only_udm.security_result.rule_name`	从变更日志映射
`natEvent`	`event.idm.read_only_udm.metadata.product_event_type`	从变更日志映射
`log_type`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`flowCookie`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`flowId`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`sourceNatPoolName`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`destNatPoolName`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`deviceKey`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`deviceName`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`observationTimeMilliseconds`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`threatSeverity`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`dnsfBadCname`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`dnsfEvType`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`dnsfDomain`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`dnsfMsgType`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`dnsfProfileName`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`dnsfIpReputation`	`event.idm.read_only_udm.security_result.category_details`	从变更日志映射
`dnsfAction`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`HitCount`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`groupId`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`signatureRev`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`packetTime`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`moduleId`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`dnsfBadResolvedV4Addr`	`event.idm.read_only_udm.target.ip`和`event.idm.read_only_udm.target.asset.ip`之间	从变更日志映射
`dnsfIpGeoLocation`	`event.idm.read_only_udm.target.location.country_or_region`	从变更日志映射
`sourceIPv4Address`	`event.idm.read_only_udm.metadata.description`	从变更日志映射
`destinationIPv4Address`	`event.idm.read_only_udm.metadata.description`	从变更日志映射
`host`	`event.idm.read_only_udm.target.hostname`	从变更日志映射
`eipProfileName`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`traffScope`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`srcSGT`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`destSGT`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`ucsBand`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`ucsReason`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`urlLookupSrc`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`protocolInfo`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`ecsBand`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`ecsReason`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`appAuth`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`ucsScore`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`policyActionName`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`policyActionModule`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`ecsScore`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`applianceId`	`event.idm.read_only_udm.intermediary.asset.product_object_id`	从变更日志映射
`inter_hostname`	`event.idm.ready_only_udm.intermediary.hostname`	从变更日志映射

更新日志

查看相应解析器的更改日志