Panduan penggunaan UDM

Dokumen ini menyediakan hal-hal berikut:

• Deskripsi mendetail tentang kolom skema Model Data Terpadu (UDM)
• Kolom wajib dan opsional untuk jenis entity
• Kolom wajib dan opsional untuk setiap jenis peristiwa

Untuk mengetahui detail tentang kolom UDM tertentu (misalnya, nomor enum), lihat Daftar kolom Model Data Terpadu.

Format nama kolom UDM:

• Untuk evaluasi mesin aturan, awalan dimulai dengan udm.
• Untuk Configuration-Based Normalizer (CBN), awalan dimulai dengan event.idm.read_only_udm.

Pengisian Metadata peristiwa

Bagian metadata peristiwa untuk peristiwa UDM menyimpan informasi umum tentang setiap peristiwa.

Metadata.event_type

• Tujuan: Menentukan jenis peristiwa. Jika suatu acara memiliki beberapa kemungkinan jenis, nilai ini harus menentukan jenis yang paling spesifik.
• Wajib: Ya.
• Encoding: Harus berupa salah satu jenis enumerasi event_type UDM yang telah ditetapkan.
• Nilai yang mungkin: Bagian berikut mencantumkan semua nilai yang mungkin untuk metadata.event_type dalam UDM. Untuk kolom wajib dan opsional untuk setiap kategori, lihat Kolom wajib dan opsional untuk setiap jenis acara.

Acara analis

• ANALYST_ADD_COMMENT
• ANALYST_UPDATE_PRIORITY
• ANALYST_UPDATE_REASON
• ANALYST_UPDATE_REPUTATION
• ANALYST_UPDATE_RISK_SCORE
• ANALYST_UPDATE_ROOT_CAUSE
• ANALYST_UPDATE_SEVERITY_SCORE
• ANALYST_UPDATE_STATUS
• ANALYST_UPDATE_VERDICT

Peristiwa perangkat

Peristiwa yang terkait dengan update firmware, konfigurasi, atau program pada perangkat (seperti sistem kontrol industri atau aset teknologi operasional):

• DEVICE_CONFIG_UPDATE
• DEVICE_FIRMWARE_UPDATE
• DEVICE_PROGRAM_DOWNLOAD
• DEVICE_PROGRAM_UPLOAD

Peristiwa email

Peristiwa yang terkait dengan transaksi email dan pemeriksaan keamanan email:

• EMAIL_UNCATEGORIZED
• EMAIL_TRANSACTION
• EMAIL_URL_CLICK (tidak digunakan lagi)

Peristiwa yang tidak ditentukan

Nilai placeholder untuk jenis peristiwa yang tidak diinisialisasi (peristiwa yang ditetapkan ke EVENTTYPE_UNSPECIFIED gagal dalam validasi UDM):

• EVENTTYPE_UNSPECIFIED

Peristiwa file yang dilakukan di endpoint

• FILE_UNCATEGORIZED
• FILE_COPY (misalnya, menyalin file ke thumb drive)
• FILE_CREATION
• FILE_DELETION
• FILE_MODIFICATION
• FILE_MOVE
• FILE_OPEN (misalnya, membuka file mungkin mengindikasikan pelanggaran keamanan)
• FILE_READ (misalnya, membaca file sandi)
• FILE_SYNC

Acara yang tidak termasuk dalam kategori lain

Peristiwa yang tidak termasuk dalam kategori lain, termasuk peristiwa sistem operasi yang tidak dikategorikan:

• GENERIC_EVENT

Peristiwa aktivitas grup

Peristiwa yang terkait dengan pembuatan, pengubahan, atau penghapusan grup pengguna atau sistem:

• GROUP_UNCATEGORIZED
• GROUP_CREATION
• GROUP_DELETION
• GROUP_MODIFICATION

Peristiwa mutex

Peristiwa yang terkait dengan pembuatan atau pengelolaan objek pengecualian bersama (mutex) di endpoint:

• MUTEX_UNCATEGORIZED
• MUTEX_CREATION

Peristiwa telemetri jaringan

Peristiwa telemetri jaringan, yang mencakup payload protokol mentah, seperti DHCP dan DNS, serta ringkasan protokol untuk protokol seperti HTTP, SMTP, dan FTP, serta peristiwa alur dan koneksi dari NetFlow dan firewall:

• NETWORK_UNCATEGORIZED
• NETWORK_CONNECTION (misalnya, detail koneksi jaringan dari firewall)
• NETWORK_DHCP
• NETWORK_DNS
• NETWORK_FLOW (misalnya, statistik alur gabungan dari Netflow)
• NETWORK_FTP
• NETWORK_HTTP
• NETWORK_SMTP

Memproses peristiwa

Setiap peristiwa yang berkaitan dengan proses seperti peluncuran proses, proses yang membuat sesuatu yang berbahaya, proses yang menginjeksikan ke proses lain, perubahan kunci registry, atau pembuatan file berbahaya di disk:

• PROCESS_UNCATEGORIZED
• PROCESS_INJECTION
• PROCESS_LAUNCH
• PROCESS_MODULE_LOAD
• PROCESS_OPEN
• PROCESS_PRIVILEGE_ESCALATION
• PROCESS_TERMINATION

Peristiwa registry

Gunakan peristiwa REGISTRY berikut, bukan peristiwa SETTING, saat menangani peristiwa registry khusus Microsoft Windows:

• REGISTRY_UNCATEGORIZED
• REGISTRY_CREATION
• REGISTRY_MODIFICATION
• REGISTRY_DELETION

Peristiwa resource

Peristiwa yang terkait dengan pembuatan, pembacaan, penulisan, penghapusan, atau perubahan izin pada resource:

• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN

Peristiwa berorientasi pemindaian

Peristiwa berorientasi pemindaian mencakup pemindaian on-demand dan deteksi perilaku yang dilakukan oleh produk keamanan endpoint atau keamanan jaringan (seperti EDR, antivirus, pemindai kerentanan, atau DLP):

• SCAN_UNCATEGORIZED
• SCAN_FILE
• SCAN_HOST
• SCAN_NETWORK
• SCAN_PROCESS
• SCAN_PROCESS_BEHAVIORS (tidak digunakan lagi)
• SCAN_VULN_HOST
• SCAN_VULN_NETWORK

Peristiwa tugas terjadwal (Windows Task Scheduler, cron, dll.)

• SCHEDULED_TASK_UNCATEGORIZED
• SCHEDULED_TASK_CREATION
• SCHEDULED_TASK_DELETION
• SCHEDULED_TASK_DISABLE
• SCHEDULED_TASK_ENABLE
• SCHEDULED_TASK_MODIFICATION

Peristiwa layanan

Peristiwa yang terkait dengan pembuatan, penghapusan, modifikasi, memulai, atau menghentikan sistem operasi atau layanan aplikasi:

• SERVICE_UNSPECIFIED
• SERVICE_CREATION
• SERVICE_DELETION
• SERVICE_MODIFICATION
• SERVICE_START
• SERVICE_STOP

Menyiapkan peristiwa

Untuk persyaratan peristiwa setelan, lihat SETTING_UNCATEGORIZED, SETTING_CREATION, SETTING_MODIFICATION, SETTING_DELETION.

Peristiwa setelan, termasuk saat setelan sistem diubah di endpoint:

• SETTING_UNCATEGORIZED
• SETTING_CREATION
• SETTING_DELETION
• SETTING_MODIFICATION

Pesan status dari produk keamanan

Pesan status dari produk keamanan untuk menunjukkan bahwa agen aktif dan untuk mengirim versi, sidik jari, atau jenis data lainnya:

• STATUS_UNCATEGORIZED
• STATUS_HEARTBEAT (menunjukkan produk aktif)
• STATUS_STARTUP
• STATUS_SHUTDOWN
• STATUS_UPDATE (update software atau sidik jari)

Peristiwa log audit sistem

• SYSTEM_AUDIT_LOG_UNCATEGORIZED
• SYSTEM_AUDIT_LOG_WIPE

Peristiwa aktivitas autentikasi pengguna

• USER_UNCATEGORIZED
• USER_BADGE_IN (misalnya, saat pengguna secara fisik menempelkan badge di situs)
• USER_CHANGE_PASSWORD
• USER_CHANGE_PERMISSIONS
• USER_COMMUNICATION
• USER_CREATION
• USER_DELETION
• USER_LOGIN
• USER_LOGOUT
• USER_RESOURCE_ACCESS
• USER_RESOURCE_CREATION
• USER_RESOURCE_DELETION
• USER_RESOURCE_UPDATE_CONTENT
• USER_RESOURCE_UPDATE_PERMISSIONS
• USER_STATS (tidak digunakan lagi)

Metadata.collected_timestamp

• Tujuan: Mengenkode stempel waktu GMT saat peristiwa dikumpulkan oleh infrastruktur pengumpulan lokal vendor.
• Encoding: RFC 3339, sesuai untuk format stempel waktu JSON atau Proto3.
• Contoh:
  • RFC 3339: '2019-09-10T20:32:31-08:00'
  • Format Proto3: '2012-04-23T18:25:43.511Z'

Metadata.event_timestamp

• Tujuan: Mengenkode stempel waktu GMT saat peristiwa dibuat.
• Wajib: Ya
• Encoding: RFC 3339, sesuai untuk format stempel waktu JSON atau Proto3.
• Contoh:
  • RFC 3339: 2019-09-10T20:32:31-08:00
  • Format Proto3: 2012-04-23T18:25:43.511Z

Metadata.description

• Tujuan: Deskripsi peristiwa yang dapat dibaca manusia.
• Encoding: String alfanumerik, tanda baca diizinkan, maksimum 1.024 byte
• Contoh: File c:\bar\foo.exe diblokir agar tidak mengakses dokumen sensitif c:\documents\earnings.docx.

Metadata.product_event_type

• Tujuan: Nama peristiwa atau jenis peristiwa yang singkat, deskriptif, dapat dibaca manusia, dan spesifik per produk.
• Encoding: String alfanumerik, tanda baca diizinkan, maksimum 64 byte.
• Contoh:
  • Peristiwa Pembuatan Registry
  • ProcessRollUp
  • Eskalasi Akses Terdeteksi
  • Malware diblokir

Metadata.product_log_id

• Tujuan: Mengenkode ID peristiwa khusus vendor untuk mengidentifikasi peristiwa secara unik (GUID). Pengguna dapat menggunakan ID ini untuk menelusuri peristiwa yang dimaksud di konsol eksklusif vendor.
• Encoding: Peka huruf besar/kecil, string alfanumerik, tanda baca diizinkan, maksimum 256 byte.
• Contoh: ABcd1234-98766

Metadata.product_name

• Tujuan: Menentukan nama produk.
• Encoding: Peka huruf besar/kecil, string alfanumerik, tanda baca diizinkan, maksimum 256 byte.
• Contoh:
  • Falcon
  • Symantec Endpoint Protection

Metadata.product_version

• Tujuan: Menentukan versi produk.
• Encoding: String alfanumerik, titik dan tanda hubung diizinkan, maksimum 32 byte
• Contoh:
  • 1.2.3b
  • 10.3:rev1

Metadata.url_back_to_product

• Tujuan: URL yang tertaut ke situs yang relevan tempat Anda dapat melihat informasi selengkapnya tentang acara tertentu ini (atau kategori acara umum).
• Encoding: URL RFC 3986 yang valid dengan parameter opsional seperti informasi port, dll. Harus memiliki awalan protokol sebelum URL (misalnya, https:// atau http://).
• Contoh: https://newco.altostrat.com:8080/event_info?event_id=12345

Metadata.vendor_name

• Tujuan: Menentukan nama vendor produk.
• Encoding: Peka huruf besar/kecil, string alfanumerik, tanda baca diizinkan, maksimum 256 byte
• Contoh:
  • CrowdStrike
  • Symantec

Pengisian metadata Kata Benda

Di bagian ini, kata Noun adalah istilah menyeluruh yang digunakan untuk mewakili entity berikut: principal, src, target, intermediary, observer, dan about. Entity ini memiliki atribut yang sama, tetapi mewakili objek yang berbeda dalam suatu peristiwa. Untuk mengetahui informasi selengkapnya tentang entity dan representasi masing-masing dalam peristiwa, lihat Memformat peristiwa UDM.

Noun.asset_id

• Tujuan: ID perangkat unik khusus vendor (misalnya, GUID yang dibuat saat menginstal software keamanan endpoint di perangkat baru yang digunakan untuk melacak perangkat unik tersebut dari waktu ke waktu).
• Encoding: (VendorName atau VendorAbbreviation):ID dengan VendorName atau VendorAbbreviation adalah nama vendor yang tidak peka huruf besar/kecil seperti Carbon Black atau CB dan ID adalah ID pelanggan khusus vendor yang unik secara global dalam lingkungan pelanggan mereka (misalnya, GUID atau nilai unik yang mengidentifikasi perangkat unik). VendorName bersifat alfanumerik dan panjangnya tidak lebih dari 32 karakter. ID dapat memiliki panjang maksimum 128 karakter dan dapat menyertakan karakter alfanumerik, tanda hubung, dan titik.
• Contoh: CrowdStrike:0bce4259-4ada-48f3-a904-9a526b01311f
• Contoh: CS:0bce4259-4ada-48f3-a904-9a526b01311f

Noun.email

• Tujuan: Alamat email
• Encoding: Format alamat email standar.
• Contoh: [e-mail]

Noun.file

• Tujuan: Metadata file mendetail.
• Jenis: Objek
• Lihat Pengisian Metadata file.

Noun.hostname

• Tujuan: Kolom nama host atau nama domain klien. Jangan sertakan jika URL ada.
• Encoding: Nama host RFC 1123 yang valid.
• Batasan validasi: String nama host tidak boleh melebihi panjang 255 byte agar sesuai dengan batas pengindeksan penelusuran.
• Contoh:
  • userwin10
  • www.altostrat.com

Noun.platform

• Tujuan: Sistem operasi platform.
• Encoding: Enum
• Nilai yang mungkin:
  • LINUX
  • MAC
  • WINDOWS
  • UNKNOWN_PLATFORM

Noun.platform_patch_level

• Tujuan: Tingkat patch sistem operasi platform.
• Encoding: String alfanumerik dengan tanda baca, maksimum 64 karakter.
• Contoh: Build 17134.48

Noun.platform_version

• Tujuan: Versi sistem operasi platform.
• Encoding: String alfanumerik dengan tanda baca, maksimum 64 karakter.
• Contoh: Microsoft Windows 10 versi 1803

Noun.process

• Tujuan: Metadata proses yang mendetail.
• Jenis: Objek
• Lihat Pengisian metadata Proses.

Noun.ip

• Tujuan:
  • Satu alamat IP yang terkait dengan koneksi jaringan.
  • Satu atau beberapa alamat IP yang terkait dengan perangkat peserta pada saat peristiwa (misalnya, jika produk EDR mengetahui semua alamat IP yang terkait dengan perangkat, produk tersebut dapat mengenkode semua alamat IP ini dalam kolom IP).
• Encoding: String alamat IPv4 (4 byte) atau IPv6 (16 byte) yang valid (RFC 5942) yang dienkode dalam ASCII.
• Dapat diulang:
  • Jika suatu peristiwa mendeskripsikan koneksi jaringan tertentu (misalnya, srcip:srcport > dstip:dstport), Anda hanya boleh memberikan satu alamat IP.
  • Jika suatu peristiwa menjelaskan aktivitas umum yang terjadi di perangkat peserta, tetapi bukan koneksi jaringan tertentu, Anda dapat memberikan semua alamat IP terkait untuk perangkat tersebut pada saat peristiwa terjadi.
• Contoh:
  • 192.168.1.2
  • 2001:db8:1:3::1

Noun.port

• Tujuan: Nomor port jaringan sumber atau tujuan saat koneksi jaringan tertentu dijelaskan dalam peristiwa.
• Encoding: Nomor port TCP/IP yang valid dari 1 hingga 65.535.

• Contoh:

  • 80
  • 443
  Catatan: Jika nomor port ditentukan, harus ada satu dan hanya satu alamat IP yang ditentukan dalam Kata Benda yang sama.

Noun.mac

• Tujuan: Satu atau beberapa alamat MAC yang terkait dengan perangkat.
• Encoding: Alamat MAC 6 byte yang valid dan sesuai dengan format Extended Unique Identifier (EUI-48) 48 bit yang dienkode dalam ASCII.
• Dapat diulang: Anda dapat memberikan semua alamat MAC terkait untuk perangkat pada saat peristiwa terjadi.
• Contoh:
  • 00:24:98:7B:19:02
  • 00:00:5e:00:53:2a

Noun.administrative_domain

• Tujuan: Domain tempat perangkat berada (misalnya, domain Windows).
• Encoding: String nama domain yang valid (maksimum 128 karakter).
• Contoh: corp.altostrat.com

Noun.registry

• Tujuan: Metadata registry yang mendetail.
• Jenis: Objek
• Lihat Pengisian metadata Registry

Noun.url

• Tujuan: URL Standar
• Encoding: URL (RFC 3986). Harus memiliki awalan protokol yang valid (misalnya, https:// atau ftp://). Harus menyertakan domain dan jalur lengkap. Dapat menyertakan parameter URL.
• Contoh: https://foo.altostrat.com/bletch?a=b;c=d

Noun.user

• Tujuan: Metadata pengguna yang mendetail.
• Jenis: Objek
• Lihat Pengisian Metadata pengguna.

Pengisian Metadata autentikasi

Authentication.AuthType

• Tujuan: Jenis sistem yang terkait dengan peristiwa autentikasi (UDM Google Security Operations).
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • AUTHTYPE_UNSPECIFIED
  • MACHINE—Autentikasi mesin
  • PHYSICAL—Autentikasi fisik (misalnya, pembaca badge)
  • SSO
  • TACACS—Protokol kelompok TACACS untuk autentikasi sistem jaringan (misalnya, TACACS atau TACACS+)
  • VPN

Authentication.Authentication_Status

• Tujuan: Menjelaskan status autentikasi pengguna atau kredensial tertentu.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • UNKNOWN_AUTHENTICATION_STATUS—Status autentikasi default
  • ACTIVE—Metode autentikasi dalam status aktif
  • SUSPENDED—Metode autentikasi dalam status ditangguhkan atau dinonaktifkan
  • DIHAPUS—Metode autentikasi telah dihapus
  • NO_ACTIVE_CREDENTIALS—Metode autentikasi tidak memiliki kredensial aktif.

Authentication.auth_details

• Tujuan: Detail autentikasi yang ditentukan vendor.
• Encoding: String.

Authentication.Mechanism

• Tujuan: Mekanisme yang digunakan untuk autentikasi.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • MECHANISM_UNSPECIFIED—Mekanisme autentikasi default.
  • BADGE_READER
  • BATCH—Autentikasi batch.
  • CACHED_INTERACTIVE—Autentikasi interaktif menggunakan kredensial yang di-cache.
  • HARDWARE_KEY
  • LOKAL
  • MECHANISM_OTHER—Beberapa mekanisme lain yang tidak ditentukan di sini.
  • NETWORK—Autentikasi jaringan.
  • NETWORK_CLEAR_TEXT—Autentikasi teks polos jaringan.
  • NEW_CREDENTIALS—Autentikasi dengan kredensial baru.
  • OTP
  • REMOTE—Autentikasi jarak jauh
  • REMOTE_INTERACTIVE—RDP, layanan terminal, Virtual Network Computing (VNC), dll.
  • SERVICE—Autentikasi layanan.
  • UNLOCK—Autentikasi buka kunci interaktif manusia langsung.
  • USERNAME_PASSWORD

Pengisian metadata DHCP

Kolom metadata Dynamic Host Control Protocol (DHCP) merekam informasi log protokol pengelolaan jaringan DHCP.

Dhcp.client_hostname

• Tujuan: Nama host untuk klien. Lihat RFC 2132, DHCP Options and BOOTP Vendor Extensions, untuk mengetahui informasi selengkapnya.
• Encoding: String.
• Batasan validasi: String opsi nama host tidak boleh melebihi panjang 255 byte agar sesuai dengan batas indeks Penelusuran.

Dhcp.client_identifier

• Tujuan: ID klien. Lihat RFC 2132, DHCP Options and BOOTP Vendor Extensions, untuk mengetahui informasi selengkapnya.
• Encoding: Byte.

Dhcp.file

• Tujuan: Nama file untuk boot image.
• Encoding: String.

Dhcp.flags

• Tujuan: Nilai untuk kolom flag DHCP.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.hlen

• Tujuan: Panjang alamat hardware.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.hops

• Tujuan: Jumlah hop DHCP.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.htype

• Tujuan: Jenis alamat hardware.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.lease_time_seconds

• Tujuan: Waktu sewa yang diminta klien untuk alamat IP dalam detik. Lihat RFC 2132, DHCP Options and BOOTP Vendor Extensions, untuk mengetahui informasi selengkapnya.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.opcode

• Tujuan: Kode operasi BOOTP (lihat bagian 3 RFC 951).
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • UNKNOWN_OPCODE
  • BOOTREQUEST
  • BOOTREPLY

Dhcp.requested_address

• Tujuan: ID klien. Lihat RFC 2132, DHCP Options and BOOTP Vendor Extensions, untuk mengetahui informasi selengkapnya.
• Encoding: Alamat IPv4 atau IPv6 yang valid (RFC 5942) yang dienkode dalam ASCII.

Dhcp.seconds

• Tujuan: Detik yang berlalu sejak klien memulai proses akuisisi atau perpanjangan alamat.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.sname

• Tujuan: Nama server yang diminta klien untuk melakukan booting.
• Encoding: String.

Dhcp.transaction_id

• Tujuan: ID transaksi klien.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Dhcp.type

• Tujuan: Jenis pesan DHCP. Lihat RFC 1533 untuk mengetahui informasi selengkapnya.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • UNKNOWN_MESSAGE_TYPE
  • DISCOVER
  • PENAWARAN
  • PERMINTAAN
  • TOLAK
  • ACK
  • NAK
  • RELEASE
  • INFORM
  • WIN_DELECTED
  • WIN_EXPIRED

Dhcp.chaddr

• Tujuan: Alamat hardware untuk klien.
• Encoding: Alamat MAC.

Dhcp.ciaddr

• Purpose: Alamat IP untuk klien.
• Encoding: Alamat IPv4 atau IPv6 yang valid (RFC 5942) yang dienkode dalam ASCII.

Dhcp.giaddr

• Tujuan: Alamat IP untuk agen relai.
• Encoding: Alamat IPv4 atau IPv6 yang valid (RFC 5942) yang dienkode dalam ASCII.

Dhcp.siaddr

• Tujuan: Alamat IP untuk server bootstrap berikutnya.
• Encoding: Alamat IPv4 atau IPv6 yang valid (RFC 5942) yang dienkode dalam ASCII.

Dhcp.yiaddr

• Tujuan: Alamat IP Anda.
• Encoding: Alamat IPv4 atau IPv6 yang valid (RFC 5942) yang dienkode dalam ASCII.

Catatan: Jika Dhcp.type menentukan ACK, OFFER, atau DECLINE, Anda harus memberikan alamat IPv4 4 byte yang valid di Dhcp.yiaddr atau Dhcp.requested_address DAN alamat MAC yang sesuai. Untuk opcode pesan REQUEST, RELEASE, WIN_DELETED, atau WIN_EXPIRED, Anda harus memberikan alamat IPv4 4 byte yang valid di Dhcp.ciaddr atau Dhcp.yiaddr.

Pengisian metadata Opsi DHCP

Kolom metadata opsi DHCP menangkap informasi log opsi DHCP.

Option.code

• Tujuan: Menyimpan kode opsi DHCP. Lihat RFC 1533, DHCP Options and BOOTP Vendor Extensions, untuk mengetahui informasi selengkapnya.
• Encoding: Bilangan bulat 32-bit tanpa tanda.

Option.data

• Tujuan: Menyimpan data opsi DHCP. Lihat RFC 1533, DHCP Options and BOOTP Vendor Extensions, untuk mengetahui informasi selengkapnya.
• Encoding: Byte.

Pengisian metadata DNS

Kolom metadata DNS mencatat informasi yang terkait dengan paket permintaan dan respons DNS. Objek ini memiliki korespondensi satu per satu dengan data yang ditemukan dalam datagram permintaan dan respons DNS.

Dns.authoritative

• Tujuan: Ditetapkan ke true untuk server DNS otoritatif.
• Encoding: Boolean.

Dns.id

• Tujuan: Menyimpan ID kueri DNS.
• Encoding: Bilangan bulat 32-bit.

Dns.response

• Tujuan: Tetapkan ke true jika peristiwa adalah respons DNS.
• Encoding: Boolean.

Dns.opcode

• Tujuan: Menyimpan OpCode DNS yang digunakan untuk menentukan jenis kueri DNS (standar, invers, status server, dll.).
• Encoding: Bilangan bulat 32-bit.

Dns.recursion_available

• Tujuan: Tetapkan ke true jika pencarian DNS rekursif tersedia.
• Encoding: Boolean.

Dns.recursion_desired

• Tujuan: Ditetapkan ke true jika pencarian DNS rekursif diminta.
• Encoding: Boolean.

Dns.response_code

• Tujuan: Menyimpan kode respons DNS seperti yang ditentukan oleh RFC 1035, Nama Domain - Implementation and Specification.
• Encoding: Bilangan bulat 32-bit.

Dns.truncated

• Tujuan: Tetapkan ke true jika ini adalah respons DNS yang dipotong.
• Encoding: Boolean.

Dns.questions

• Tujuan: Menyimpan pertanyaan pesan protokol domain. Lihat Pengisian metadata Pertanyaan DNS.

Dns.answers

• Tujuan: Menyimpan jawaban atas kueri nama domain. Lihat Pengisian metadata Data Resource DNS.

Dns.authority

• Tujuan: Menyimpan server nama domain yang memverifikasi jawaban atas kueri nama domain. Lihat Pengisian metadata Data Resource DNS.

Dns.additional

• Tujuan: Menyimpan server nama domain tambahan yang dapat digunakan untuk memverifikasi jawaban untuk domain. Lihat Pengisian metadata Data Resource DNS.

Pengisian metadata Pertanyaan DNS

Kolom metadata pertanyaan DNS menangkap informasi yang terdapat dalam bagian pertanyaan dari pesan protokol domain.

Question.name

• Tujuan: Menyimpan nama domain.
• Encoding: String.
• Batasan validasi: String kueri domain tidak boleh kosong dan harus berukuran 255 oktet (byte) atau kurang sesuai dengan peraturan RFC 1035 dan batas pengindeksan penelusuran.

Question.class

• Tujuan: Menyimpan kode yang menentukan class kueri.
• Encoding: Bilangan bulat 32-bit.

Question.type

• Tujuan: Menyimpan kode yang menentukan jenis kueri.
• Encoding: Bilangan bulat 32-bit.

Pengisian metadata Data Resource DNS

Kolom metadata data resource DNS mencatat informasi yang terdapat dalam data resource pesan protokol domain.

ResourceRecord.binary_data

• Tujuan: Menyimpan byte mentah dari string non-UTF8 yang mungkin disertakan sebagai bagian dari respons DNS. Kolom ini hanya boleh digunakan jika data respons yang ditampilkan oleh server DNS berisi data non-UTF8. Jika tidak, tempatkan respons DNS di kolom 'data'. Jenis informasi ini harus disimpan di sini, bukan di ResourceRecord.data.

• Encoding: Byte.

  Catatan: Kolom ini tidak ditentukan dalam RFC 1035 (tidak seperti kolom data resource DNS lainnya), tetapi telah ditentukan oleh Google SecOps untuk UDM.

ResourceRecord.class

• Tujuan: Menyimpan kode yang menentukan class data resource.
• Encoding: Bilangan bulat 32-bit.

ResourceRecord.data

• Tujuan: Menyimpan payload atau respons terhadap pertanyaan DNS untuk semua respons yang dienkode dalam format UTF-8. Misalnya, kolom data dapat menampilkan alamat IP mesin yang dirujuk oleh nama domain. Jika data resource ditujukan untuk jenis atau class yang berbeda, data tersebut mungkin berisi nama domain lain (jika satu nama domain dialihkan ke nama domain lain). Data harus disimpan persis seperti dalam respons DNS.
• Encoding: String.

ResourceRecord.name

• Tujuan: Menyimpan nama pemilik data resource.
• Encoding: String.

ResourceRecord.ttl

• Tujuan: Menyimpan interval waktu saat data resource dapat di-cache sebelum sumber informasi harus dikueri lagi.
• Encoding: Bilangan bulat 32-bit.

ResourceRecord.type

• Tujuan: Menyimpan kode yang menentukan jenis data resource.
• Encoding: Bilangan bulat 32-bit.

Pengisian Metadata Email

Sebagian besar kolom Metadata Email mencatat alamat email yang disertakan dalam header pesan dan harus sesuai dengan format alamat email standar (local-mailbox@domain) seperti yang ditentukan dalam RFC 5322. Misalnya, [e-mail].

Email.from

• Tujuan: Menyimpan alamat email dari.
• Encoding: String.

Email.reply_to

• Tujuan: Menyimpan alamat email reply_to.
• Encoding: String.

Email.to

• Tujuan: Menyimpan alamat email to.
• Encoding: String.

Email.cc

• Tujuan: Menyimpan alamat email cc.
• Encoding: String.

Email.bcc

• Tujuan: Menyimpan alamat email bcc.
• Encoding: String.

Email.mail_id

• Tujuan: Menyimpan ID email (atau pesan).
• Encoding: String.
• Contoh: [e-mail]

Email.subject

• Tujuan: Menyimpan baris subjek email.
• Encoding: String.
• Contoh: "Harap baca pesan ini."

Pengisian metadata Ekstensi

Jenis peristiwa dengan metadata bawaan yang belum dikategorikan oleh UDM Google SecOps.

Extensions.auth

• Tujuan: Ekstensi untuk metadata autentikasi.
• Encoding: String.
• Contoh:
  • Metadata sandbox (semua perilaku yang ditunjukkan oleh file, misalnya, FireEye).
  • Data Kontrol Akses Jaringan (NAC).
  • Detail LDAP tentang pengguna (misalnya, peran, organisasi, dll.).

Extensions.auth.auth_details

• Tujuan: Menentukan detail khusus vendor untuk jenis atau mekanisme autentikasi. Penyedia autentikasi sering kali menentukan jenis seperti via_mfa atau via_ad yang memberikan informasi berguna tentang jenis autentikasi. Jenis ini masih dapat digeneralisasi di auth.type atau auth.mechanism untuk kegunaan dan kompatibilitas aturan lintas set data.
• Encoding: String.
• Contoh: via_mfa, via_ad.

Extensions.vulns

• Tujuan: Ekstensi untuk metadata kerentanan.
• Encoding: String.
• Contoh: Data pemindaian kerentanan host.

Pengisian Metadata file

File.file_metadata

• Tujuan: Metadata yang terkait dengan file.
• Encoding: String.
• Contoh:
  • Penulis
  • Nomor revisi
  • Nomor versi
  • Tanggal terakhir disimpan

File.full_path

• Tujuan: Jalur lengkap yang mengidentifikasi lokasi file di sistem.
• Encoding: String.
• Contoh: \Program Files\Custom Utilities\Test.exe

File.md5

• Tujuan: Nilai hash MD5 untuk file.
• Encoding: String, heksadesimal huruf kecil.
• Contoh: 35bf623e7db9bf0d68d0dda764fd9e8c

File.mime_type

• Tujuan: Jenis Multipurpose Internet Mail Extensions (MIME) untuk file.
• Encoding: String.
• Contoh:
  • PE
  • PDF
  • skrip powershell

File.sha1

• Tujuan: Nilai hash SHA-1 untuk file.
• Encoding: String, heksadesimal huruf kecil.
• Contoh: eb3520d53b45815912f2391b713011453ed8abcf

File.sha256

• Tujuan: Nilai hash SHA-256 untuk file.
• Encoding: String, heksadesimal huruf kecil.
• Contoh: d7173c568b8985e61b4050f81b3fd8e75bc922d2a0843d7079c81ca4b6e36417

File.size

• Tujuan: Ukuran file.
• Encoding: Bilangan bulat 64-bit tanpa tanda.
• Contoh: 342135

Pengisian metadata FTP

Ftp.command

• Tujuan: Menyimpan perintah FTP.
• Encoding: String.
• Contoh:
  • binary
  • delete
  • get
  • put

Pengisian metadata Grup

Informasi tentang grup organisasi. Untuk merepresentasikan identitas grup organisasi yang valid selama normalisasi, Anda harus memparameterkan setidaknya satu atribut kelompok inti dengan menentukan alamat email di Group.email_addresses atau ID Keamanan Windows di Group.windows_sid.

Group.creation_time

• Tujuan: Waktu pembuatan grup.
• Encoding: RFC 3339, sesuai untuk format stempel waktu JSON atau Proto3.

Group.email_addresses

• Tujuan: Informasi kontak grup.
• Encoding: Email.

Group.group_display_name

• Tujuan: Nama tampilan grup.
• Encoding: String.
• Contoh:
  • Keuangan
  • HR
  • Pemasaran

Group.product_object_id

• Tujuan: ID objek pengguna unik secara global untuk produk, seperti ID objek LDAP.
• Encoding: String.

Group.windows_sid

• Tujuan: Kolom atribut kelompok ID Keamanan (SID) Microsoft Windows.
• Encoding: String.

Pengisian metadata HTTP

Http.method

• Tujuan: Menyimpan metode permintaan HTTP. Saat traffic terjadi melalui protokol transportasi HTTP atau HTTPS, Anda harus menentukan metode permintaan aktif; Anda tidak dapat membiarkan metode ditetapkan ke METHOD_UNSPECIFIED.
• Encoding: String.
• Contoh:
  • DAPATKAN
  • HEAD
  • POST

Http.referral_url

• Tujuan: Menyimpan URL untuk perujuk HTTP.
• Encoding: URL RFC 3986 yang valid.
• Contoh: https://www.altostrat.com

Http.response_code

• Tujuan: Menyimpan kode status respons HTTP, yang menunjukkan apakah permintaan HTTP tertentu telah berhasil diselesaikan.
• Encoding: Bilangan bulat 32-bit.
• Contoh:
  • 400
  • 404

Http.user_agent

• Tujuan: Menyimpan header permintaan Agen Pengguna yang mencakup jenis aplikasi, sistem operasi, vendor software, atau versi software dari agen pengguna software yang meminta. String header Agen Pengguna harus seluruhnya terdiri dari array karakter berenkode UTF-8 yang valid.
• Encoding: String.
• Contoh:
  • Mozilla/5.0 (X11; Linux x86_64)
  • AppleWebKit/534.26 (KHTML, like Gecko)
  • Chrome/41.0.2217.0
  • Safari/527.33

Pengisian Metadata Lokasi

Location.city

• Tujuan: Menyimpan nama kota.
• Encoding: String.
• Contoh:
  • Sunnyvale
  • Chicago
  • Málaga

Location.country_or_region

• Tujuan: Menyimpan nama negara atau wilayah di dunia.
• Encoding: String.
• Contoh:
  • Amerika Serikat
  • Inggris Raya
  • Spanyol

Location.name

• Tujuan: Menyimpan nama khusus untuk perusahaan, seperti gedung atau kampus.
• Encoding: String.
• Contoh:
  • Campus 7B
  • Gedung A2

Location.state

• Tujuan: Menyimpan nama negara bagian, provinsi, atau wilayah.
• Encoding: String.
• Contoh:
  • California
  • Illinois
  • Ontario

Pengisian Metadata jaringan

Network.application_protocol

• Purpose: Menunjukkan protokol aplikasi jaringan.
• Encoding: Jenis enumerasi.

• Nilai yang mungkin:

  • UNKNOWN_APPLICATION_PROTOCOL
  • AFP
  • APPC
  • AMQP
  • ATOM
  • BEEP
  • BITCOIN
  • BIT_TORRENT
  • CFDP
  • CIP
  • COAP
  • COTP
  • DCERPC
  • DDS
  • DEVICE_NET
  • DHCP
  • DICOM
  • DNP3
  • DNS
  • E_DONKEY
  • ENRP
  • FAST_TRACK
  • FINGER
  • FREENET
  • FTAM
  • GOOSE
  • GOPHER
  • GRPC
  • HL7
  • H323
  • HTTP
  • HTTPS
  • IEC104
  • IRCP
  • KADEMLIA
  • KRB5
  • LDAP
  • LPD
  • MIME
  • MMS
  • MODBUS
  • MQTT
  • NETCONF
  • NFS
  • NIS
  • NNTP
  • NTCIP
  • NTP
  • OSCAR
  • PNRP
  • PTP
  • QUIC
  • RDP
  • RELP
  • RIP
  • RLOGIN
  • RPC
  • RTMP
  • RTP
  • RTPS
  • RTSP
  • SAP
  • SDP
  • SIP
  • SLP
  • SMB
  • SMTP
  • SNMP
  • SNTP
  • SSH
  • SSMS
  • STYX
  • SV
  • TCAP
  • TDS
  • TOR
  • TSP
  • VTP
  • WHOIS
  • WEB_DAV
  • X400
  • X500
  • XMPP

Network.direction

• Purpose: Menunjukkan arah traffic jaringan.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • UNKNOWN_DIRECTION
  • INBOUND
  • OUTBOUND
  • SIARAN

Network.email

• Tujuan: Menentukan alamat email pengirim/penerima.
• Encoding: String.
• Contoh: [e-mail]

Network.ip_protocol

• Purpose: Menunjukkan protokol IP.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • UNKNOWN_IP_PROTOCOL
  • EIGRP—Enhanced Interior Gateway Routing Protocol
  • ESP—Encapsulating Security Payload
  • ETHERIP—Enkapsulasi Ethernet-within-IP
  • GRE—Generic Routing Encapsulation
  • ICMP—Internet Control Message Protocol
  • IGMP—Internet Group Management Protocol
  • IP6IN4—Enkapsulasi IPv6
  • PIM—Protocol Independent Multicast
  • TCP—Transmission Control Protocol
  • UDP—User Datagram Protocol
  • VRRP—Virtual Router Redundancy Protocol

Network.received_bytes

• Tujuan: Menentukan jumlah byte yang diterima.
• Encoding: Bilangan bulat 64-bit tanpa tanda.
• Contoh: 12,453,654,768

Network.sent_bytes

• Tujuan: Menentukan jumlah byte yang dikirim.
• Encoding: Bilangan bulat 64-bit tanpa tanda.
• Contoh: 7.654.876

Network.session_duration

• Tujuan: Menyimpan durasi sesi jaringan, yang biasanya ditampilkan dalam peristiwa penghentian untuk sesi tersebut. Untuk menetapkan durasi, Anda dapat menetapkan network.session_duration.seconds = 1, (jenis int64) atau network.session_duration.nanos = 1 (jenis int32).
• Encoding:
  • Bilangan bulat 32-bit—Untuk detik (network.session_duration.seconds).
  • Bilangan bulat 64-bit—Untuk nanodetik (network.session_duration.nanos).

Network.session_id

• Tujuan: Menyimpan ID sesi jaringan.
• Encoding: String.
• Contoh: SID:ANON:www.w3.org:j6oAOxCWZh/CD723LGeXlf-01:34

Pengisian metadata Process

Process.command_line

• Tujuan: Menyimpan string command line untuk proses.
• Encoding: String.
• Contoh: grup c:\windows\system32\net.exe.

Process.product_specific_process_id

• Tujuan: Menyimpan ID proses khusus produk.
• Encoding: String.
• Contoh: MySQL:78778 atau CS:90512

Process.parent_process.product_specific_process_id

• Tujuan: Menyimpan ID proses khusus produk untuk proses induk.
• Encoding: String.
• Contoh: MySQL:78778 atau CS:90512

Process.file

• Tujuan: Menyimpan nama file yang digunakan oleh proses.
• Encoding: String.
• Contoh: report.xls

Process.parent_process

• Tujuan: Menyimpan detail proses induk.
• Encoding: Kata Benda (Proses)

Process.pid

• Tujuan: Menyimpan ID proses.
• Encoding: String.
• Contoh:
  • 308
  • 2002

Pengisian metadata Registry

Registry.registry_key

• Tujuan: Menyimpan kunci registry yang terkait dengan aplikasi atau komponen sistem.
• Encoding: String.
• Contoh: HKEY_LOCAL_MACHINE/SYSTEM/DriverDatabase

Registry.registry_value_name

• Tujuan: Menyimpan nama nilai registry yang terkait dengan aplikasi atau komponen sistem.
• Encoding: String.
• Contoh: TEMP

Registry.registry_value_data

• Tujuan: Menyimpan data yang terkait dengan nilai registry.
• Encoding: String.
• Contoh: %USERPROFILE%\Local Settings\Temp

Pengisian metadata Hasil Keamanan

Metadata Hasil Keamanan mencakup detail tentang risiko dan ancaman keamanan yang ditemukan oleh sistem keamanan serta tindakan yang diambil untuk memitigasi risiko dan ancaman tersebut.

SecurityResult.about

• Tujuan: Memberikan deskripsi hasil keamanan.
• Encoding: Kata benda.

SecurityResult.action

• Tujuan: Menentukan tindakan keamanan.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin: UDM Google SecOps menentukan tindakan keamanan berikut:
  • IZINKAN
  • ALLOW_WITH_MODIFICATION—File atau email telah didisinfeksi atau ditulis ulang dan tetap diteruskan.
  • BLOKIR
  • QUARANTINE—Simpan untuk analisis nanti (bukan berarti diblokir).
  • UNKNOWN_ACTION

SecurityResult.action_details

• Tujuan: Detail tindakan yang diambil oleh vendor sebagai akibat dari insiden keamanan. Tindakan keamanan sering kali paling baik diterjemahkan ke dalam kolom UDM Security_Result.action yang lebih umum. Namun, Anda mungkin perlu menulis aturan untuk deskripsi tindakan yang diberikan vendor secara tepat.
• Encoding: String.
• Contoh: drop, block, decrypt, encrypt.

SecurityResult.category

• Tujuan: Menentukan kategori keamanan.
• Encoding: Enum.
• Nilai yang mungkin: UDM Google SecOps menentukan kategori keamanan berikut:
  • ACL_VIOLATION—Upaya akses yang tidak sah, termasuk upaya akses ke file, layanan web, proses, objek web, dll.
  • AUTH_VIOLATION—Autentikasi gagal, seperti sandi yang salah atau autentikasi 2 langkah yang salah.
  • DATA_AT_REST—DLP: data sensor ditemukan dalam penyimpanan dalam pemindaian.
  • DATA_DESTRUCTION—Upaya untuk menghancurkan atau menghapus data.
  • DATA_EXFILTRATION—DLP: transmisi data sensor, salin ke thumb drive.
  • EXPLOIT—Upaya overflow, encoding protokol yang buruk, ROP, injeksi SQL, dll., baik berbasis jaringan maupun host.
  • MAIL_PHISHING—Email phishing, pesan chat, dll.
  • MAIL_SPAM—Email, pesan, dll. spam.
  • MAIL_SPOOFING—Alamat email sumber yang di-spoofing, dll.
  • NETWORK_CATEGORIZED_CONTENT
  • NETWORK_COMMAND_AND_CONTROL—Jika saluran perintah dan kontrol diketahui.
  • NETWORK_DENIAL_OF_SERVICE
  • NETWORK_MALICIOUS—Perintah dan kontrol, eksploitasi jaringan, aktivitas mencurigakan, potensi tunnel terbalik, dll.
  • NETWORK_SUSPICIOUS—Tidak terkait keamanan, misalnya, URL ditautkan ke perjudian, dll.
  • NETWORK_RECON—Pemindaian port yang terdeteksi oleh IDS, pemeriksaan oleh aplikasi web.
  • POLICY_VIOLATION—Pelanggaran kebijakan keamanan, termasuk pelanggaran aturan firewall, proxy, dan HIPS atau tindakan pemblokiran NAC.
  • SOFTWARE_MALICIOUS—Malware, spyware, rootkit, dll.
  • SOFTWARE_PUA—Aplikasi yang berpotensi tidak diinginkan, seperti adware, dll.
  • SOFTWARE_SUSPICIOUS
  • UNKNOWN_CATEGORY

SecurityResult.confidence

• Tujuan: Menentukan keyakinan terkait peristiwa keamanan seperti yang diperkirakan oleh produk.
• Encoding: Enum.
• Nilai yang mungkin: UDM Google SecOps menentukan kategori keyakinan produk berikut:
  • UNKNOWN_CONFIDENCE
  • LOW_CONFIDENCE
  • MEDIUM_CONFIDENCE
  • HIGH_CONFIDENCE

SecurityResult.confidence_details

• Tujuan: Detail tambahan terkait keyakinan peristiwa keamanan seperti yang diperkirakan oleh vendor produk.
• Encoding: String.

SecurityResult.priority

• Tujuan: Menentukan prioritas terkait peristiwa keamanan seperti yang diperkirakan oleh vendor produk.
• Encoding: Enum.
• Nilai yang mungkin: UDM Google SecOps menentukan kategori prioritas produk berikut:
  • UNKNOWN_PRIORITY
  • LOW_PRIORITY
  • MEDIUM_PRIORITY
  • HIGH_PRIORITY

SecurityResult.priority_details

• Tujuan: Informasi khusus vendor tentang prioritas hasil keamanan.
• Encoding: String.

SecurityResult.rule_id

• Tujuan: ID untuk aturan keamanan.
• Encoding: String.
• Contoh:
  • 08123
  • 5d2b44d0-5ef6-40f5-a704-47d61d3babbe

SecurityResult.rule_name

• Tujuan: Nama aturan keamanan.
• Encoding: String.
• Contoh: BlockInboundToOracle.

SecurityResult.severity

• Tujuan: Tingkat keparahan peristiwa keamanan seperti yang diperkirakan oleh vendor produk menggunakan nilai yang ditentukan oleh UDM Google SecOps.
• Encoding: Enum.
• Nilai yang mungkin: UDM Google SecOps menentukan tingkat keparahan produk berikut:
  • UNKNOWN_SEVERITY—Tidak berbahaya
  • INFORMASIONAL—Tidak berbahaya
  • ERROR—Tidak berbahaya
  • RENDAH—Berbahaya
  • SEDANG—Berbahaya
  • TINGGI—Berbahaya

SecurityResult.severity_details

• Tujuan: Tingkat keparahan untuk peristiwa keamanan seperti yang diperkirakan oleh vendor produk.
• Encoding: String.

SecurityResult.threat_name

• Tujuan: Nama ancaman keamanan.
• Encoding: String.
• Contoh:
  • W32/File-A
  • Slammer

SecurityResult.url_back_to_product

• Tujuan: URL untuk mengarahkan Anda ke konsol produk sumber untuk peristiwa keamanan ini.
• Encoding: String.

Populasi Metadata pengguna

Catatan: Semua parameter akun pengguna inti—khususnya User.userid, User.windows_sid, User.employee_id, dan setiap alamat email individual di dalam User.email_addresses—memiliki batas panjang struktural wajib sebesar 256 karakter. Jika string identitas akun yang diberikan lebih dari 256 karakter, verifikasi pengindeksan akan menolak payload. Selain itu, untuk menghapus pemeriksaan identitas pengguna inti selama normalisasi, Anda harus mengisi setidaknya satu dari empat properti inti ini.

User.email_addresses

• Tujuan: Menyimpan alamat email pengguna.
• Encoding: String Berulang.
• Contoh: [e-mail]

User.employee_id

• Tujuan: Menyimpan ID karyawan sumber daya manusia untuk pengguna.
• Encoding: String.
• Contoh: 11223344.

User.first_name

• Tujuan: Menyimpan nama depan pengguna.
• Encoding: String.
• Contoh: John.

User.middle_name

• Tujuan: Menyimpan nama tengah pengguna.
• Encoding: String.
• Contoh: Anthony.

User.last_name

• Tujuan: Menyimpan nama belakang pengguna.
• Encoding: String.
• Contoh: Locke.

User.group_identifiers

• Tujuan: Menyimpan ID grup (GUID, OID LDAP, atau yang serupa) yang terkait dengan pengguna.
• Encoding: String Berulang.
• Contoh: admin-users.

User.phone_numbers

• Tujuan: Menyimpan nomor telepon pengguna.
• Encoding: String Berulang.
• Contoh: 18005550101

User.title

• Tujuan: Menyimpan jabatan pengguna.
• Encoding: String.
• Contoh: Pengelola Hubungan Pelanggan.

User.user_display_name

• Tujuan: Menyimpan nama tampilan untuk pengguna.
• Encoding: String.
• Contoh: John Locke.

User.userid

• Tujuan: Menyimpan ID pengguna.
• Encoding: String.
• Contoh: jlocke.

User.windows_sid

• Tujuan: Menyimpan ID keamanan (SID) Microsoft Windows yang terkait dengan pengguna.
• Encoding: String.
• Contoh: S-1-5-21-1180649209-123456789-3582944384-1064

Pengisian Metadata Kerentanan

Vulnerability.about

• Tujuan: Jika kerentanan terkait dengan kata benda tertentu (misalnya, file yang dapat dieksekusi), tambahkan di sini.
• Encoding: Kata benda. Lihat Pengisian metadata Kata Benda
• Contoh: dapat dieksekusi.

Vulnerability.cvss_base_score

• Tujuan: Skor dasar untuk Common Vulnerability Scoring System (CVSS).
• Encoding: Floating-point.
• Rentang: 0,0 hingga 10,0
• Contoh: 8,5

Vulnerability.cvss_vector

• Tujuan: Vektor untuk properti CVSS kerentanan. Skor CVSS terdiri dari metrik berikut:

  • Vektor Serangan (AV)
  • Kompleksitas Akses (AC)
  • Autentikasi (Au)
  • Dampak Kerahasiaan (C)
  • Dampak Integritas (I)
  • Dampak Ketersediaan (A)

  Untuk mengetahui informasi selengkapnya, lihat https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator.

• Encoding: String.

• Contoh: AV:L/AC:H/Au:N/C:N/I:P/A:C

Vulnerability.cvss_version

• Tujuan: Versi CVSS untuk skor atau vektor kerentanan.
• Encoding: String.
• Contoh: 3.1

Vulnerability.description

• Tujuan: Deskripsi kerentanan.
• Encoding: String.

Vulnerability.first_found

• Tujuan: Produk yang menyimpan histori pemindaian kerentanan harus mengisi first_found dengan waktu saat kerentanan untuk aset ini pertama kali terdeteksi.
• Encoding: String.

Vulnerability.last_found

• Tujuan: Produk yang menyimpan histori pemindaian kerentanan harus mengisi last_found dengan waktu saat kerentanan untuk aset ini terakhir kali terdeteksi.
• Encoding: String.

Vulnerability.name

• Tujuan: Nama kerentanan.
• Encoding: String.
• Contoh: Versi OS yang tidak didukung terdeteksi.

Vulnerability.scan_end_time

• Tujuan: Jika kerentanan ditemukan selama pemindaian aset, isi kolom ini dengan waktu berakhirnya pemindaian. Kosongkan kolom ini jika waktu berakhir tidak tersedia atau tidak berlaku.
• Encoding: String.

Vulnerability.scan_start_time

• Tujuan: Jika kerentanan ditemukan selama pemindaian aset, isi kolom ini dengan waktu pemindaian dimulai. Kosongkan kolom ini jika waktu mulai tidak tersedia atau tidak berlaku.
• Encoding: String.

Vulnerability.severity

• Tujuan: Tingkat keparahan kerentanan.
• Encoding: Jenis enumerasi.
• Nilai yang mungkin:
  • UNKNOWN_SEVERITY
  • RENDAH
  • SEDANG
  • TINGGI

Vulnerability.severity_details

• Tujuan: Detail tingkat keparahan khusus vendor.
• Encoding: String.

Pengisian metadata pemberitahuan

Perhatian: Kolom ini tidak digunakan lagi. Gunakan pemberitahuan aturan deteksi YARA-L untuk metadata pemberitahuan. Untuk mengetahui informasi selengkapnya, lihat Penghentian penggunaan fitur.

idm.is_significant

• Tujuan: Menentukan apakah akan menampilkan pemberitahuan di Enterprise Insights.
• Encoding: Boolean.

idm.is_alert

• Tujuan: Mengidentifikasi apakah peristiwa tersebut merupakan pemberitahuan.
• Encoding: Boolean.

Kolom wajib dan opsional untuk jenis entity

Jenis entitas	Persyaratan khusus entitas
IP_ADDRESS	entity.ip harus berisi minimal satu alamat IPv4 atau IPv6 yang valid.
FILE	entity.file harus ada dan berisi setidaknya satu kolom.
DOMAIN_NAME	entity.hostname harus ada dan mewakili nama host yang valid dengan panjang hingga 255 byte. Optional: Jika entity.domain.whois_server diisi, pesan entity.domain tidak boleh berisi lebih dari 50 kolom yang disimpulkan.
URL	entity.url harus ada dan tidak boleh kosong.
MUTEX	entity.resource harus ada. entity.resource.resource_type harus ditetapkan ke MUTEX. entity.resource.name harus ada dan tidak boleh kosong.
USER	entity.user harus ada. Untuk entity konteks, entity.user harus menentukan setidaknya satu kolom identitas inti: user.userid, user.windows_sid, user.employee_id, atau alamat email di user.email_addresses. Setiap ID inti tidak boleh melebihi 256 karakter. Selain itu, Anda harus memberikan product_object_id di entity.user atau product_entity_id di metadata. Untuk entitas Indikator Penyusupan (IOC), entity.user harus memiliki setidaknya satu alamat email yang ditentukan di user.email_addresses.
RESOURCE	entity.resource harus ada. Untuk entity konteks, entity.resource.resource_type harus ditentukan dan tidak boleh kosong, dan Anda harus memberikan product_object_id di entity.resource atau product_entity_id di metadata. Untuk entity Indikator Penyusupan (IOC), entity.resource.resource_type harus ditetapkan ke MUTEX atau STORAGE_OBJECT. Jika resource_type adalah MUTEX: Ikuti persyaratan MUTEX. Jika resource_type adalah STORAGE_OBJECT: entity.resource.resource_subtype harus ada dan tidak boleh kosong. Setidaknya salah satu kolom berikut di entity.registry harus ada dan tidak kosong: entity.registry.registry_key entity.registry.registry_value_data entity.registry.registry_value_name
CIDR_BLOCK	entity.network.ip_subnet_range harus ada dan menyertakan notasi Classless Inter-Domain Routing (CIDR) yang valid dalam format berikut: ip_address/prefix_length.
ASSET	entity.asset harus ada. entity.asset harus berisi setidaknya satu kolom identitas inti: asset.hostname, asset.asset_id, alamat IP di asset.ip, atau alamat MAC di asset.mac. Setiap alamat IP yang diberikan harus dalam format IPv4 atau IPv6 yang valid. Anda harus memberikan product_object_id di entity.asset atau product_entity_id di metadata.
GROUP	entity.group harus ada. entity.group harus menentukan setidaknya satu kolom identitas inti: alamat email di group.email_addresses atau ID Keamanan Windows di group.windows_sid. Anda harus memberikan product_object_id di entity.group atau product_entity_id di metadata.
AI	entity.ai harus ada.

Kolom wajib dan opsional untuk setiap jenis peristiwa

Bagian ini menjelaskan kolom wajib dan opsional yang harus diisi untuk setiap jenis peristiwa UDM.

Untuk mengetahui detail tentang kolom UDM tertentu (misalnya, nomor enum), lihat Daftar kolom Model Data Terpadu.

DEVICE_CONFIG_UPDATE, DEVICE_FIRMWARE_UPDATE, DEVICE_PROGRAM_DOWNLOAD, DEVICE_PROGRAM_UPLOAD

Kolom wajib diisi:

• metadata: Sertakan kolom yang diperlukan (event_timestamp dan event_type).
• principal: Sertakan setidaknya satu ID mesin (principal.hostname, principal.ip, principal.mac, atau principal.asset_id).

Kolom opsional:

• principal.user: Isi jika informasi pengguna tersedia untuk akun yang memulai update perangkat.
• target: Isi dengan detail tentang perangkat target, firmware, resource konfigurasi, atau file program jika berbeda dengan principal.
• security_result: Menjelaskan aktivitas berbahaya atau anomali yang terdeteksi.

Contoh UDM untuk DEVICE_FIRMWARE_UPDATE

Contoh berikut menunjukkan cara memformat peristiwa DEVICE_FIRMWARE_UPDATE untuk UDM Google SecOps:

{
  "metadata": {
    "event_timestamp": "2025-03-10T14:22:05.000000Z",
    "event_type": "DEVICE_FIRMWARE_UPDATE"
  },
  "principal": {
    "hostname": "plc-controller-01",
    "ip": [
      "10.20.30.40"
    ]
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat tempat update firmware terjadi.

EMAIL_TRANSACTION, EMAIL_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal: Isi dengan informasi tentang komputer asal pesan email (misalnya, alamat IP pengirim).

Kolom opsional:

• tentang: URL, IP, domain, dan lampiran file apa pun yang disematkan dalam isi email. Perhatikan bahwa about.file.hash bukan kolom Terindeks untuk hash file. Tampilan hash tidak akan diisi dari hash lampiran yang dinormalisasi ke kolom ini.
• securityResult.about: URL, IP, dan file berbahaya yang disematkan dalam isi email.
• network.email: Informasi pengirim atau penerima email. Perhatikan bahwa network.email bukan kolom alias. Jika memerlukan alias dan pengayaan untuk Penelusuran atau Deteksi, Anda harus mengindeks ke akun utama atau target menggunakan ekstensi parser.
• principal: Jika ada data mesin klien tentang siapa yang mengirim email, isi detail server di principal (misalnya, proses klien, nomor port, nama pengguna, dll.).
• target: Jika ada data server email tujuan, isi detail server di target (misalnya, alamat IP).
• intermediary: Jika ada data server email atau data proxy email, isi detail server di intermediary.

Catatan:

• Jangan pernah mengisi principal.email atau target.email.
• Hanya isi kolom email di security_result.about atau network.email.
• Hasil keamanan tingkat atas umumnya memiliki kumpulan kata benda (opsional untuk spam).
• EMAIL_URL_CLICK ditandai sebagai tidak digunakan lagi.

Contoh UDM untuk EMAIL_TRANSACTION

Contoh berikut menggambarkan cara peristiwa jenis EMAIL_TRANSACTION akan diformat untuk UDM Google SecOps:

metadata {
  event_timestamp: "2023-07-06T06:26:10.448584Z"
  event_type: EMAIL_TRANSACTION
}
principal {
  ip: "1.2.3.4"
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat yang mengirim email.

FILE_CREATION, FILE_DELETION, FILE_MODIFICATION, FILE_READ, FILE_OPEN, dan FILE_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal:
  • Setidaknya satu ID mesin.
  • (Opsional) Isi principal.process dengan informasi tentang proses yang mengakses file.
• target:
  • Jika file bersifat jarak jauh (misalnya, berbagi SMB), target harus menyertakan setidaknya satu ID mesin untuk mesin target, jika tidak, semua ID mesin harus kosong.
  • Isi target.file dengan informasi tentang file.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.
• principal.user: Isi jika informasi pengguna tersedia tentang proses tersebut.

Contoh UDM untuk FILE_MODIFICATION

Contoh berikut menggambarkan cara peristiwa jenis FILE_MODIFICATION akan diformat untuk UDM Google SecOps:

metadata {
  event_timestamp: "2023-07-03T12:14:38.164507Z"
  event_type: FILE_MODIFICATION
}
principal {
  hostname: "pinguino-01"
}
target {
  file {
    full_path: "foo.bar"
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat tempat modifikasi file terjadi.
• target: Informasi tentang file yang diubah.

FILE_COPY

Kolom wajib diisi:

• metadata: Sertakan kolom wajib diisi seperti yang dijelaskan.
• principal:
  • Setidaknya satu ID mesin.
  • (Opsional) Isi principal.process dengan informasi tentang proses yang melakukan operasi penyalinan file.
• src:
  • Isi src.file dengan informasi tentang file sumber.
  • Jika file bersifat jarak jauh (misalnya, berbagi SMB), src harus menyertakan setidaknya satu ID mesin untuk mesin sumber yang menyimpan file sumber.
• target:
  • Isi target.file dengan informasi tentang file target.
  • Jika file bersifat jarak jauh (misalnya, berbagi SMB), kolom target harus menyertakan setidaknya satu ID mesin untuk mesin target yang menyimpan file target.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.
• principal.user: Isi jika informasi pengguna tersedia tentang proses tersebut.

FILE_MOVE, FILE_SYNC

Kolom wajib diisi:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Setidaknya satu ID mesin (misalnya, principal.hostname).
• src: Isi src.file (misalnya, src.file.full_path) untuk merepresentasikan file asli. Kolom ini wajib diisi untuk FILE_MOVE dan FILE_COPY. Untuk FILE_SYNC, Anda harus mengisi setidaknya salah satu dari src.file atau target.file (dan target tidak boleh kosong).
• target: Isi target.file (misalnya, target.file.full_path) untuk merepresentasikan file tujuan. Kolom ini wajib diisi untuk FILE_MOVE dan FILE_COPY. Untuk FILE_SYNC, Anda harus mengisi setidaknya salah satu dari src.file atau target.file.

Contoh UDM untuk FILE_MOVE

Contoh berikut menggambarkan cara peristiwa jenis FILE_MOVE akan diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-03T12:45:02.557878Z",
        "event_type": "FILE_MOVE"
    },
    "src": {
        "file": {
            "full_path": "foo.bar"
        }
    },
    "principal": {
        "hostname": "pinguino-01"
    },
    "target": {
        "file": {
            "full_path": "foo.bar"
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat tempat pemindahan file terjadi.
• src: Informasi tentang file sumber.
• target: Informasi tentang file tujuan.

GENERIC_EVENT

Gunakan GENERIC_EVENT hanya jika peristiwa tidak sesuai dengan kategori jenis peristiwa UDM lainnya.

Kolom wajib diisi:

• metadata: Sertakan kolom yang diperlukan (event_timestamp dan event_type).

Kolom opsional:

• metadata.product_event_type dan metadata.description: Sertakan nama peristiwa khusus vendor dan deskripsi yang dapat dibaca manusia.
• principal, target, src, intermediary, observer, dan about: Isi semua entitas yang terlibat dalam peristiwa. GENERIC_EVENT tidak menerapkan persyaratan kolom khusus entity di luar validasi jenis skalar standar (seperti alamat IP dan nama host yang valid hingga 255 byte).
• security_result: Menjelaskan aktivitas berbahaya atau anomali yang terdeteksi.

Contoh UDM untuk GENERIC_EVENT

Contoh berikut menunjukkan cara memformat peristiwa GENERIC_EVENT untuk UDM Google SecOps:

{
  "metadata": {
    "event_timestamp": "2025-03-10T15:00:00.000000Z",
    "event_type": "GENERIC_EVENT",
    "product_event_type": "CustomAuditEvent",
    "description": "Custom audit event recorded on host"
  },
  "principal": {
    "hostname": "workstation-01"
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang dan deskripsi khusus vendor tentang peristiwa.
• principal: Informasi tentang perangkat yang terkait dengan peristiwa.

GROUP_CREATION, GROUP_DELETION, GROUP_MODIFICATION, GROUP_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan kolom yang diperlukan (event_timestamp dan event_type).
• principal: Sertakan setidaknya satu ID pengguna di principal.user (userid, windows_sid, email_addresses, atau employee_id).
• target: Isi target.group dengan detail tentang grup yang dibuat, dihapus, atau diubah (dan target.user jika pengguna ditambahkan ke atau dihapus dari grup). Kolom target tidak boleh kosong.

Kolom opsional:

• principal: Menyertakan ID mesin untuk perangkat tempat operasi grup berasal.
• target.group: Sertakan ID grup seperti group_display_name, product_object_id, windows_sid, atau email_addresses.
• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.

Contoh UDM untuk GROUP_MODIFICATION

Contoh berikut menunjukkan cara memformat peristiwa GROUP_MODIFICATION untuk UDM Google SecOps:

{
  "metadata": {
    "event_timestamp": "2025-03-10T16:10:00.000000Z",
    "event_type": "GROUP_MODIFICATION"
  },
  "principal": {
    "user": {
      "userid": "admin_user"
    }
  },
  "target": {
    "group": {
      "group_display_name": "Domain Admins",
      "windows_sid": "S-1-5-21-3623811015-3361044348-30300820-512"
    },
    "user": {
      "userid": "jdoe"
    }
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang pengguna yang mengubah grup.
• target: Informasi tentang grup yang diubah dan pengguna yang terpengaruh.

MUTEX_CREATION, MUTEX_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal:
  • Setidaknya satu ID mesin.
  • Isi principal.process dengan informasi tentang proses yang membuat mutex. Validasi UDM memerlukan objek proses di akun utama. Anda tidak dapat lulus validasi UDM dengan proses hanya di target.
• target:
  • Isi target.resource.
  • Isi target.resource.type dengan MUTEX.
  • Isi target.resource.name dengan nama mutex yang dibuat.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.
• principal.user: Isi jika informasi pengguna tersedia tentang proses tersebut.

Contoh UDM untuk MUTEX_CREATION

Contoh berikut menggambarkan cara peristiwa jenis MUTEX_CREATION akan diformat untuk UDM Google SecOps:

metadata {
  event_timestamp: "2020-01-01T13:27:41+00:00"
  event_type: MUTEX_CREATION
  vendor_name: "Microsoft"
  product_name: "Windows"
}
principal {
  hostname: "test.altostrat.com"
  process {
    pid: "0xc45"
    file {
      full_path: "C:\\Windows\\regedit.exe"
    }
  }
}
target {
  resource {
    type: "MUTEX"
    name: "test-mutex"
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail perangkat dan proses.
• target: Informasi tentang mutex.

NETWORK_CONNECTION, NETWORK_FLOW, NETWORK_FTP, NETWORK_SMTP

Kolom wajib diisi:

• metadata: event_timestamp
• principal: Sertakan detail tentang mesin yang memulai koneksi jaringan (misalnya, sumber).
• target: Sertakan detail tentang mesin target jika berbeda dengan mesin utama.
• network: Mengambil detail tentang koneksi jaringan (port, protokol, dll.).

Kolom opsional:

• principal.process dan target.process: Menyertakan informasi proses yang terkait dengan principal dan target koneksi jaringan (jika tersedia).
• principal.user dan target.user: Menyertakan informasi pengguna yang terkait dengan principal dan target koneksi jaringan (jika tersedia).
• network: Mengambil detail tentang koneksi jaringan, termasuk port dan protokol.

Catatan: Untuk semua peristiwa jaringan, jika akun utama atau target memiliki port yang ditentukan, kolom ip dan mac masing-masing hanya boleh menyertakan satu nilai (jika tersedia), yaitu alamat IP dan MAC yang terkait dengan port. Atau, jika tidak ada port yang ditentukan, Anda dapat menentukan sejumlah alamat IP dan alamat MAC yang terkait dengan perangkat pada saat peristiwa terjadi (tidak diperlukan urutan tertentu).

NETWORK_DHCP

Kolom wajib diisi:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Minimal satu ID mesin (misalnya, principal.ip).
• network: Harus menentukan network.application_protocol sebagai DHCP. Juga memerlukan network.dhcp.opcode untuk diisi (misalnya, BOOTREQUEST atau BOOTREPLY).

Catatan: Google SecOps hanya mengevaluasi BOOTREQUEST atau BOOTREPLY untuk Aliasing aset.

Contoh UDM untuk NETWORK_DHCP

Contoh berikut mengilustrasikan cara peristiwa jenis NETWORK_DHCP akan diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-04T18:52:22.142364Z",
        "event_type": "NETWORK_DHCP"
    },
    "principal": {
        "ip": [
            "1.2.3.4"
        ]
    },
    "network": {
        "application_protocol": "DHCP",
        "dhcp": {
            "opcode": "BOOTREPLY"
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat yang meminta atau menerima sewa DHCP.
• network: Detail tentang koneksi jaringan DHCP dan kode operasi.

NETWORK_DNS

Kolom wajib diisi:

• principal: Minimal satu ID mesin (misalnya, principal.ip).
• network: Harus menentukan network.application_protocol sebagai DNS. Juga memerlukan network.dns.questions.name.
• metadata: Informasi latar belakang tentang peristiwa.

Contoh UDM untuk NETWORK_DNS

Contoh berikut mengilustrasikan cara peristiwa jenis NETWORK_DNS akan diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-04T18:54:15.943301Z",
        "event_type": "NETWORK_DNS"
    },
    "principal": {
        "ip": [
            "1.2.3.4"
        ]
    },
    "network": {
        "application_protocol": "DNS",
        "dns": {
            "questions": {
                "name": "www.acme.com"
            }
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat yang membuat permintaan DNS.
• network: Detail tentang koneksi jaringan DNS dan nama domain yang dikueri.

NETWORK_HTTP

Jenis peristiwa NETWORK_HTTP mewakili koneksi jaringan HTTP dari akun utama ke server web target.

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• target: Mewakili server web. Sertakan informasi perangkat dan nomor port opsional.
  • Jika nomor port target tersedia, tentukan hanya satu alamat IP selain nomor port yang terkait dengan koneksi jaringan tersebut (meskipun beberapa ID mesin lain dapat diberikan untuk target).
  • Untuk target.url, isi dengan URL yang diakses.

Kolom opsional:

• principal: Mewakili klien yang memulai permintaan web. Sertakan setidaknya satu ID mesin (misalnya, nama host, IP, MAC, ID aset eksklusif) atau ID pengguna (misalnya, nama pengguna).
  • Jika koneksi jaringan tertentu dijelaskan dan nomor port klien tersedia, tentukan hanya satu alamat IP beserta nomor port yang terkait dengan koneksi jaringan tersebut (meskipun ID mesin lain dapat diberikan untuk menjelaskan perangkat peserta dengan lebih baik).
  • Jika tidak ada port sumber yang tersedia, Anda dapat menentukan semua alamat IP dan MAC, ID aset, dan nilai nama host yang menjelaskan perangkat utama.
• network dan network.http: Mencakup detail tentang koneksi jaringan HTTP. Anda harus mengisi kolom berikut:
  • network.ip_protocol
  • network.application_protocol
  • network.http.method
• about: Mewakili entitas lain yang ditemukan dalam transaksi HTTP (misalnya, file yang diupload atau didownload).
• intermediary: Mewakili server proxy (jika berbeda dari principal atau target).
• metadata: Isi kolom metadata lainnya.
• network: Isi kolom jaringan lainnya.
• network.email: Jika koneksi jaringan HTTP berasal dari URL yang muncul dalam pesan email, isi network.email dengan detailnya.
• observer: Mewakili sniffer pasif (jika ada).
• security_result: Tambahkan satu atau beberapa item ke kolom security_result untuk mewakili aktivitas berbahaya yang terdeteksi.

Contoh UDM untuk NETWORK_HTTP

Contoh berikut mengilustrasikan cara peristiwa antivirus Sophos dengan jenis NETWORK_HTTP akan dikonversi ke format UDM Google SecOps.

Berikut adalah peristiwa antivirus Sophos asli:

date=2013-08-07 time=13:27:41 timezone="GMT" device_name="CC500ia" device_id= C070123456-ABCDE log_id=030906208001 log_type="Anti-Virus" log_component="HTTP" log_subtype="Virus" status="" priority=Critical fw_rule_id=0 user_name="john.smith" iap=7 av_policy_name="" virus="TR/ElderadoB.A.78" url="altostrat.fr/img/logo.gif" domainname="altostrat.fr" src_ip=10.10.2.10 src_port=60671 src_country_code= dst_ip=203.0.113.31 dst_port=80 dst_country_code=FRA

Berikut cara memformat informasi yang sama di Proto3 menggunakan sintaksis UDM Google SecOps:

metadata {
  event_timestamp: "2013-08-07T13:27:41+00:00"
  event_type: NETWORK_HTTP
  product_name: "Sophos Antivirus"
  product_log_id: "030906208001"
}

principal {
  hostname: "CC500ia"
  asset_id: "Sophos.AV:C070123456-ABCDE"
  ip: "10.10.2.10"
  port: 60671
  user {  userid: "john.smith" }
}

target {
  hostname: "altostrat.fr"
  ip: "203.0.113.31"
  port: 80
  url: "altostrat.fr/img/logo.gif"
}

network {
  ip_protocol: TCP
 }

security_result {
  about {
    url: "altostrat.fr/img/logo.gif"
    category: SOFTWARE_MALICIOUS
    category_details: "Virus"
    threat_name: "TR/ElderadoB.A.78"
    severity: HIGH                   # Google Security Operations-normalized severity
    severity_details: "Critical"    # Vendor-specific severity string
  }
}

additional { "dst_country_code" : "FRA", "iap" : "7" "fw_rule_id" : "0" }

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Perangkat keamanan yang mendeteksi peristiwa.
• target: Perangkat yang menerima software berbahaya.
• network: Informasi jaringan tentang host berbahaya.
• security_result: Detail keamanan tentang software berbahaya.
• additional: Informasi vendor di luar cakupan UDM.

PROCESS_INJECTION, PROCESS_LAUNCH, PROCESS_OPEN, PROCESS_TERMINATION, PROCESS_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal:
  • Setidaknya satu ID mesin.
  • Untuk peristiwa injeksi proses dan penghentian proses, jika tersedia, principal.process harus menyertakan informasi tentang proses yang memulai tindakan (misalnya, untuk peristiwa peluncuran proses, principal.process harus menyertakan detail tentang proses induk jika tersedia).
• target:
  • target.process: Berisi informasi tentang proses yang sedang diinjeksikan, dibuka, diluncurkan, atau dihentikan.
  • Jika proses target bersifat jarak jauh, target harus menyertakan setidaknya satu ID mesin untuk mesin target (misalnya, alamat IP, MAC, nama host, atau ID aset pihak ketiga).

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.
• principal.user dan target.user: Isi proses awal (principal) dan proses target jika informasi pengguna tersedia.

Contoh UDM untuk PROCESS_LAUNCH

Contoh berikut menggambarkan cara memformat peristiwa PROCESS_LAUNCH menggunakan sintaksis UDM Google SecOps:

metadata {
  event_timestamp: "2020-01-01T13:27:41+00:00"
  event_type: PROCESS_LAUNCH
  vendor_name: "Microsoft"
  product_name: "Windows"
}
principal {
  hostname: "altostrat.com"
}
target {
  process {
    pid: "0xc45"
    file {
      full_path: "C:\\Windows\\regedit.exe"
    }
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail perangkat.
• target: Detail proses.

PROCESS_MODULE_LOAD

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal:
  • Sertakan setidaknya satu ID mesin (di principal atau target).
  • principal.process: Isi dengan informasi tentang proses yang memuat modul.
• target:
  • target.process: Isi dengan informasi tentang proses modul yang dimuat, termasuk setidaknya salah satu dari target.process.file (misalnya, DLL atau objek bersama) atau target.process.product_specific_process_id.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.
• principal.user: Isi jika informasi pengguna tersedia tentang proses tersebut.

Contoh UDM untuk PROCESS_MODULE_LOAD

Contoh berikut mengilustrasikan cara memformat peristiwa PROCESS_MODULE_LOAD menggunakan sintaksis UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-03T20:40:29.854097Z",
        "event_type": "PROCESS_MODULE_LOAD"
    },
    "principal": {
        "hostname": "pinguino-01",
        "process": {
            "file": {
                "full_path": "foo.bar"
            }
        }
    },
    "target": {
        "process": {
            "file": {
                "full_path": "foo.bar"
            }
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi ke dalam kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail tentang perangkat dan proses yang memuat modul.
• target: Detail proses dan modul.

PROCESS_PRIVILEGE_ESCALATION

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal:
  • Sertakan setidaknya satu ID mesin (di principal atau target).
  • principal.process: Isi dengan informasi tentang proses yang memulai eskalasi hak istimewa.
  • principal.user: Isi dengan informasi tentang pengguna yang memulai eskalasi hak istimewa, termasuk setidaknya satu ID pengguna.
• target: Isi dengan informasi tentang target eskalasi akses (misalnya, target.process untuk proses dengan akses yang ditingkatkan). Kolom target tidak boleh kosong.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.

Contoh UDM untuk PROCESS_PRIVILEGE_ESCALATION

Contoh berikut menggambarkan cara peristiwa jenis PROCESS_PRIVILEGE_ESCALATION akan diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-04T19:04:12.573338Z",
        "event_type": "PROCESS_PRIVILEGE_ESCALATION"
    },
    "principal": {
        "user": {
            "userid": "pinguino"
        },
        "hostname": "pinguino-01",
        "process": {
            "file": {
                "full_path": "foo.bar"
            }
        }
    },
    "target": {
        "process": {
            "file": {
                "full_path": "foo.bar"
            }
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi ke dalam kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail tentang perangkat, pengguna, dan proses yang memulai eskalasi.
• target: Detail tentang proses yang dieskalasi.

REGISTRY_CREATION, REGISTRY_MODIFICATION, REGISTRY_DELETION, REGISTRY_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal:
  • Setidaknya satu ID mesin.
  • Jika proses mode pengguna melakukan modifikasi registry, principal.process harus menyertakan informasi tentang proses yang mengubah registry.
  • Jika proses kernel melakukan modifikasi registry, principal tidak boleh menyertakan informasi proses.
• target:
  • target.registry: Jika registry target bersifat jarak jauh, target harus menyertakan setidaknya satu ID untuk mesin target (misalnya, alamat IP, MAC, nama host, atau ID aset pihak ketiga).
  • target.registry.registry_key: Semua peristiwa registry harus menyertakan kunci registry yang terpengaruh.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi. Misalnya, kunci registry yang buruk.
• principal.user: Isi jika informasi pengguna tersedia tentang proses tersebut.

Contoh UDM untuk REGISTRY_MODIFICATION

Contoh berikut mengilustrasikan cara memformat peristiwa REGISTRY_MODIFICATION di Proto3 menggunakan sintaksis UDM Google SecOps:

metadata {
  event_timestamp: "2020-01-01T13:27:41+00:00"
  event_type: REGISTRY_MODIFICATION
  vendor_name: "Microsoft"
  product_name: "Windows"
}
principal {
  hostname: "test-win"
  user {
    userid: "test"
    windows_sid: "ABCDEFGH-123456789-1111111-1000"
  }
  process {
    pid: "0xc45"
    file {
      full_path: "C:\\Windows\\regedit.exe"
    }
  }
}
target {
  registry {
    registry_key: "\\REGISTRY\\USER\\TEST_USER\\Control Panel\\PowerCfg\\PowerPolicy"
    registry_value_name: "Description"
    registry_value_data: "For extending battery life."
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail perangkat, pengguna, dan proses.
• target: Entri registry yang terpengaruh oleh modifikasi.

RESOURCE

Jenis Peristiwa:

• RESOURCE_CREATION
• RESOURCE_DELETION
• RESOURCE_PERMISSIONS_CHANGE
• RESOURCE_READ
• RESOURCE_WRITTEN

Peristiwa UDM Minimal:

{
   "metadata": {
       "event_timestamp": "2023-07-04T20:19:53.394745Z",
       "event_type": "RESOURCE_CREATION"
   },
   "principal": {
       "user": {
           "userid": "pinguino"
       }
   },
   "target": {
       "resource": {
           "name": "foo.bar"
       }
   }
}

SCAN_FILE, SCAN_HOST, SCAN_PROCESS, SCAN_VULN_HOST, SCAN_VULN_NETWORK

Untuk SCAN_FILE:

{
  "metadata": {
    "event_timestamp": "2023-07-06T06:57:08.443142Z",
    "event_type": "SCAN_FILE"
  },
  "principal": {
    "hostname": "pinguino-01"
  },
  "target": {
    "file": {
      "full_path": "foo.bar"
    }
  }
}

Untuk SCAN_PROCESS:

{
  "metadata": {
    "event_timestamp": "2023-07-06T06:59:17.690425Z",
    "event_type": "SCAN_PROCESS"
  },
  "principal": {
    "hostname": "pinguino-01"
  },
  "target": {
    "process": {
      "file": {
        "full_path": "foo.bar"
      }
    }
  }
}

Kolom wajib diisi:

• metadata: event_timestamp dan informasi latar belakang tentang peristiwa.
• observer: Mengambil informasi tentang pemindai itu sendiri. Jika pemindai berada di lokasi jarak jauh, detail mesin harus dicatat oleh kolom observer. Untuk pemindai lokal, biarkan kosong.
• target: Mengambil informasi tentang mesin yang menyimpan objek yang sedang dipindai. Jika file sedang dipindai, target.file harus mengambil informasi tentang file yang dipindai. Jika suatu proses sedang dipindai, target.process harus menangkap informasi tentang proses yang dipindai.
• extensions: Untuk SCAN_VULN_HOST dan SCAN_VULN_NETWORK, tentukan kerentanan menggunakan kolom extensions.vuln.

Kolom opsional:

• principal: Mewakili perangkat yang memulai koneksi dan menyertakan setidaknya satu ID mesin (misalnya, nama host, alamat IP, alamat MAC, ID aset eksklusif) atau ID pengguna.
• target: Detail pengguna tentang objek target (misalnya, pembuat file atau pemilik proses) harus dicatat dalam target.user.
• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.

Contoh UDM untuk SCAN_HOST

Contoh berikut mengilustrasikan cara peristiwa jenis SCAN_HOST akan diformat untuk UDM Google SecOps:

metadata: {
  event_timestamp: {
    seconds: 1571386978
  }
  event_type: SCAN_HOST
  vendor_name: "vendor"
  product_name: "product"
  product_version: "1.0"
}
target: {
  hostname: "testHost"
  asset_id: "asset"
  ip: "192.168.200.200"
}
observer: {
  hostname: "testObserver"
  ip: "192.168.100.100"
}
security_result: {
  severity: LOW
  confidence: HIGH_CONFIDENCE
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• target: Perangkat yang menerima software berbahaya.
• observer: Perangkat yang mengamati dan melaporkan peristiwa yang dimaksud.
• security_result: Detail keamanan tentang software berbahaya.

Contoh UDM untuk SCAN_VULN_HOST

Contoh berikut mengilustrasikan cara peristiwa jenis SCAN_VULN_HOST akan diformat untuk UDM Google SecOps:

metadata: {
  event_timestamp: "2025-05-09T12:59:52.45298Z",
  event_type: 18005,
  product_name: "TestProduct",
  vendor_name: "TestVendor"
  },
principal {
  asset_id: "TEST:Mwl8ABcd",
  ip: "127.0.0.3",
  hostname: "TEST-Localhost",
  mac: ["02:00:00:00:00:01"]
  },
extensions: {
  vulns: {
    vulnerabilities: [
      {
      cve_id: "CVE-6l9VxQmz",
      vendor_vulnerability_id: "TEST:7gmCmFWX",
      name: "CVE pA7DzwPU",
      severity: 2,
      vendor: "TestVendor",
      last_found: "2025-05-09T14:59:52.45300Z",
      first_found: "2025-05-09T13:59:52.45300Z"
       }
      ]
    }
  }

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Perangkat yang menerima software berbahaya.
• extensions: Detail kerentanan.

SCHEDULED_TASK_CREATION, SCHEDULED_TASK_DELETION, SCHEDULED_TASK_DISABLE, SCHEDULED_TASK_ENABLE, SCHEDULED_TASK_MODIFICATION, SCHEDULED_TASK_UNCATEGORIZED

Kolom wajib diisi:

• principal: Untuk semua peristiwa SCHEDULED_TASK, akun utama harus menyertakan ID mesin dan ID pengguna.
• target: Sertakan target.resource yang valid dengan target.resource.resource_type yang ditetapkan ke TASK.

Kolom opsional:

• security_result: Menjelaskan aktivitas berbahaya yang terdeteksi.

Contoh UDM untuk SCHEDULED_TASK_CREATION

Contoh berikut mengilustrasikan cara memformat peristiwa jenis SCHEDULED_TASK_CREATION untuk UDM Google SecOps:

metadata: {
  event_timestamp: {
    seconds: 1577577998
  }
  event_type: SCHEDULED_TASK_CREATION
  vendor_name: "Microsoft"
  product_name: "Windows"
}
principal: {
  hostname: "fake-host.altostrat.com"
  user: {
    userid: "TestUser"
    windows_sid: "AB123CDE"
  }
  process {
    pid: "1234"
  }
}
target: {
  resource: {
    resource_type: TASK
    name: "\\Adobe Acrobat Update Task"
  }
}
intermediary: {
  hostname: "fake-intermediary.altostrat.com"
}
security_result: {
  rule_name: "EventID: 6789"
  summary: "A scheduled task was created."
  severity: INFORMATIONAL
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Perangkat yang menjadwalkan tugas mencurigakan.
• target: Software yang ditargetkan oleh tugas mencurigakan.
• intermediary: Perantara yang terlibat dalam tugas yang mencurigakan.
• security_result: Detail keamanan tentang tugas yang mencurigakan.

SETTING_UNCATEGORIZED, SETTING_CREATION, SETTING_MODIFICATION, SETTING_DELETION

Kolom wajib diisi:

• principal: Harus ada, tidak kosong, dan menyertakan ID mesin.

  Catatan: Setelan resource.type tidak digunakan lagi. Gunakan resource.resource_type.

• target: Harus ada, tidak kosong, dan menyertakan resource dengan target.resource.resource_type yang ditentukan sebagai SETTING.

Contoh UDM untuk jenis peristiwa SETTING_MODIFICATION

Contoh berikut mengilustrasikan cara peristiwa jenis SETTING_MODIFICATION diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-05T14:15:27.070909Z",
        "event_type": "SETTING_MODIFICATION"
    },
    "principal": {
        "hostname": "foo.bar"
    },
    "target": {
        "resource": {
            "resource_type": "SETTING",
            "name": "foo.bar"
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi ke dalam kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Informasi tentang perangkat tempat modifikasi setelan terjadi.
• target: Detail tentang resource setelan.

SERVICE_UNSPECIFIED, SERVICE_CREATION, SERVICE_DELETION, SERVICE_MODIFICATION, SERVICE_START, SERVICE_STOP

Kolom wajib diisi:

• metadata: Sertakan kolom yang diperlukan (event_timestamp dan event_type).
• principal: Sertakan setidaknya satu ID mesin (principal.hostname, principal.ip, principal.mac, atau principal.asset_id).
• target: Tentukan setidaknya salah satu dari target.process atau target.application.

Kolom opsional:

• target.user: Isi jika informasi pengguna tersedia untuk akun layanan atau pengguna target.
• target.resource: Isi dengan detail resource layanan (misalnya, resource_type: SERVICE).

Contoh UDM untuk SERVICE_UNSPECIFIED

Contoh berikut menggambarkan cara peristiwa jenis SERVICE_UNSPECIFIED akan diformat untuk UDM Google SecOps:

metadata: {
 event_timestamp: {
   seconds: 1595656745
   nanos: 832000000
    }
 event_type: SERVICE_UNSPECIFIED
   vendor_name: "Preempt"
   product_name: "PREEMPT_AUTH"
   product_event_type: "SERVICE_ACCESS"
   description: "Remote Procedures (RPC)"
   }
 principal: {
   hostname: "XXX-YYY-ZZZ"
   ip: "10.10.10.10"
   }
 target: {
   hostname: "TestHost"
   user: {
      userid: "ORG\\User"
      user_display_name: "user name"
   }
 application: "application.name"
   resource: {
      resource_type: SERVICE
      name: "RPC"
   }
 }

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail perangkat dan lokasi.
• target: Nama host dan ID pengguna.
• application: Nama aplikasi dan jenis resource.

STATUS_HEARTBEAT, STATUS_STARTUP, STATUS_SHUTDOWN, STATUS_UNCATEGORIZED, STATUS_UPDATE

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal: Setidaknya satu ID mesin (ALAMAT IP atau alamat MAC, nama host, atau ID aset).

Contoh UDM untuk STATUS_HEARTBEAT

Contoh berikut menggambarkan cara peristiwa jenis STATUS_HEARTBEAT akan diformat untuk UDM Google SecOps:

metadata: {
  event_timestamp: {
    seconds: 1588180305
  }
  event_type: STATUS_HEARTBEAT
  vendor_name: "DMP"
  product_name: "ENTRE"
}
principal: {
  hostname: "testHost"
  location: {
    name: "Building 1"
  }
}
intermediary: {
  ip: "8.8.8.8"
}
security_result: {
  summary: "Event - Locked"
  description: "description"
  severity: LOW
  severity_details: "INFO"
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail perangkat dan lokasi.
• perantara: Alamat IP perangkat.
• security_result: Detail hasil keamanan.

SYSTEM_AUDIT_LOG_UNCATEGORIZED, SYSTEM_AUDIT_LOG_WIPE

Kolom wajib diisi:

• principal: Sertakan ID pengguna untuk pengguna yang melakukan operasi pada log dan ID mesin untuk mesin tempat log disimpan atau pernah disimpan (dalam kasus penghapusan).

Contoh UDM untuk SYSTEM_AUDIT_LOG_WIPE

Contoh berikut mengilustrasikan cara peristiwa jenis SYSTEM_AUDIT_LOG_WIPE diformat untuk UDM Google SecOps:

metadata {
  event_timestamp: "2020-01-01T13:27:41+00:00"
  event_type: SYSTEM_AUDIT_LOG_WIPE
  vendor_name: "Microsoft"
  product_name: "Windows"
}
principal {
  hostname: "altostrat.com"
  user {
    userid: "test"
    windows_sid: "ABCDEFGH-123456789-1111111-1000"
  }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa telah dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• principal: Detail perangkat dan pengguna.

USER_BADGE_IN

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• target: Harus menyertakan setidaknya satu ID mesin (misalnya, target.hostname).
• extensions: Mekanisme autentikasi harus disediakan di extensions.auth.type.

Contoh UDM untuk USER_BADGE_IN

Contoh berikut mengilustrasikan cara peristiwa jenis USER_BADGE_IN akan diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-05T20:31:18.303584Z",
        "event_type": "USER_BADGE_IN"
    },
    "target": {
        "hostname": "jamon-01"
    },
    "extensions": {
        "auth": {
            "type": "MACHINE"
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• target: Informasi tentang perangkat atau lokasi tempat penempelan badge terjadi.
• extensions: Detail terkait mekanisme autentikasi yang digunakan.

USER_CHANGE_PASSWORD, USER_CHANGE_PERMISSIONS

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• target: Tidak boleh kosong. Isi target dengan informasi tentang akun pengguna yang diubah (target.user) atau mesin, aplikasi, atau resource target tempat perubahan terjadi.
• target.user atau principal.user: Isi setidaknya salah satu dari target.user (akun pengguna yang diubah) atau principal.user (pengguna yang memulai perubahan) dengan ID pengguna (userid, windows_sid, email_addresses, atau employee_id).

Kolom opsional:

• principal: Jika Anda memberikan ID pengguna di target.user, principal.user bersifat opsional. Jika akun pengguna diubah dari lokasi jarak jauh, isi principal dengan informasi tentang komputer tempat perubahan berasal.
• intermediary: Untuk login SSO, intermediary harus menyertakan setidaknya satu ID mesin untuk server SSO jika tersedia.

USER_COMMUNICATION

Kolom wajib diisi:

• principal: Isi kolom principal.user dengan detail yang terkait dengan komunikasi yang dimulai pengguna (pengirim), seperti pesan chat di Google Chat atau Slack, konferensi video atau suara di Zoom atau Google Meet, atau koneksi VoIP.

Kolom opsional:

• target: (Direkomendasikan) Isi kolom target.user dengan informasi tentang pengguna target (penerima) resource komunikasi cloud. Isi kolom target.application dengan informasi tentang aplikasi komunikasi cloud target.

USER_CREATION, USER_DELETION

Kolom wajib diisi:

• metadata: Sertakan event_timestamp dan event_type.
• principal: Sertakan setidaknya satu ID pengguna yang valid di principal.user (userid, windows_sid, email_addresses, atau employee_id, hingga 256 karakter) untuk akun yang memulai pembuatan atau penghapusan. Jika target.application tidak ditetapkan, principal juga harus menyertakan setidaknya satu ID mesin (hostname, ip, mac, atau asset_id).
• target: Sertakan setidaknya satu ID pengguna yang valid di target.user (maksimal 256 karakter) untuk akun pengguna yang sedang dibuat atau dihapus. Jika principal tidak menyertakan ID mesin, isi target.application.

Kolom opsional:

• principal.process: Detail proses untuk mesin tempat permintaan pembuatan atau penghapusan pengguna dimulai.
• target: Informasi tentang mesin target (jika berbeda dengan mesin utama).

USER_LOGIN, USER_LOGOUT

Kolom wajib diisi:

• metadata: Sertakan kolom yang wajib diisi.
• principal: Untuk aktivitas pengguna jarak jauh (misalnya, login jarak jauh), isi principal dengan informasi tentang mesin yang memulai aktivitas pengguna. Untuk aktivitas pengguna lokal (misalnya, login lokal), jangan tetapkan principal.
• target: Isi target.user dengan informasi tentang pengguna yang telah login atau logout. Jika akun utama tidak ditetapkan (misalnya, login lokal), target juga harus menyertakan setidaknya satu ID mesin yang mengidentifikasi mesin target. Untuk aktivitas pengguna mesin ke mesin (misalnya, login jarak jauh, SSO, Layanan Cloud, VPN), target harus menyertakan informasi tentang aplikasi target, mesin target, atau server VPN target.
• intermediary: Untuk login SSO, perantara harus menyertakan minimal satu ID mesin untuk server SSO jika tersedia.
• network dan network.http: Jika login terjadi melalui HTTP, Anda harus menempatkan semua detail yang tersedia di network.ip_protocol, network.application_protocol, dan network.http.
• Ekstensi authentication: Harus mengidentifikasi jenis sistem autentikasi yang terkait dengan peristiwa (misalnya, mesin, SSO, atau VPN) dan mekanisme yang digunakan (nama pengguna dan sandi, OTP, dll.).
• security_result: Tambahkan kolom security_result untuk menampilkan status login jika gagal. Tentukan security_result.category dengan nilai AUTH_VIOLATION jika autentikasi gagal.

Contoh UDM untuk USER_LOGIN

Contoh berikut menggambarkan cara peristiwa jenis USER_LOGIN akan diformat untuk UDM Google SecOps:

{
    "metadata": {
        "event_timestamp": "2023-07-05T20:48:50.657334Z",
        "event_type": "USER_LOGIN"
    },
    "target": {
        "user": {
            "userid": "jamon"
        }
    },
    "extensions": {
        "auth": {
            "type": "MACHINE"
        }
    }
}

Seperti yang ditunjukkan dalam contoh ini, peristiwa dibagi menjadi kategori UDM berikut:

• metadata: Informasi latar belakang tentang peristiwa.
• target: Informasi tentang pengguna yang login.
• extensions: Detail terkait mekanisme autentikasi yang digunakan.

USER_RESOURCE_ACCESS

Kolom wajib diisi:

• principal: Isi kolom principal.user dengan detail tentang upaya mengakses resource cloud (misalnya, kasus Salesforce, kalender Office365, Google Dokumen, atau tiket ServiceNow).
• target: Isi kolom target.resource dengan informasi tentang resource cloud target.

Kolom opsional:

• target.application: (Direkomendasikan) Isi kolom target.application dengan informasi tentang aplikasi cloud target.

USER_RESOURCE_CREATION, USER_RESOURCE_DELETION

Kolom wajib diisi:

• principal: Isi kolom principal.user dengan detail yang terkait dengan pengguna yang dibuat dalam resource cloud (misalnya, kasus Salesforce, kalender Office 365, Google Dokumen, atau tiket ServiceNow).
• target: Isi kolom target.resource dengan informasi tentang resource cloud target.

Kolom opsional:

• target.application: (Direkomendasikan) Isi kolom target.application dengan informasi tentang aplikasi cloud target.

USER_RESOURCE_UPDATE_CONTENT

Kolom wajib diisi:

• principal: Isi kolom principal.user dengan detail yang terkait dengan pengguna yang kontennya diperbarui dalam resource cloud (misalnya, kasus Salesforce, kalender Office365, Google Dokumen, atau tiket ServiceNow).
• target: Isi kolom target.resource dengan informasi tentang resource cloud target.

Kolom opsional:

• target.application: (Direkomendasikan) Isi kolom target.application dengan informasi tentang aplikasi cloud target.

USER_RESOURCE_UPDATE_PERMISSIONS

Kolom wajib diisi:

• principal: Isi kolom principal.user dengan detail yang terkait dengan pengguna yang izinnya diperbarui dalam resource cloud (misalnya, kasus Salesforce, kalender Office 365, Google Dokumen, atau tiket ServiceNow).
• target: Isi kolom target.resource dengan informasi tentang resource cloud target.

Kolom opsional:

• target.application: (Direkomendasikan) Isi kolom target.application dengan informasi tentang aplikasi cloud target.

USER_UNCATEGORIZED

Kolom wajib diisi:

• metadata: Sertakan event_timestamp dan event_type.
• principal atau target:
  • Jika target tidak diisi, principal harus menyertakan setidaknya satu ID pengguna yang valid di principal.user (userid, windows_sid, email_addresses, atau employee_id, hingga 256 karakter) atau setidaknya satu ID mesin (hostname, ip, mac, atau asset_id).
  • Jika target diisi, Anda harus mengisi setidaknya salah satu dari hal berikut: ID pengguna di target.user, ID mesin di target, atau ID pengguna yang valid di principal.user.

Kolom opsional:

• principal.process: Detail proses yang terkait dengan aktivitas pengguna.
• security_result: Menjelaskan aktivitas berbahaya atau anomali yang terdeteksi.

Catatan: USER_STATS tidak digunakan lagi.