Partager via


GCPAuditLogs

Les journaux d’audit Google Cloud Platform (GCP), ingérés à partir du connecteur de Sentinel, vous permettent de capturer trois types de journaux d’audit : les journaux d’activité d’administrateur, les journaux d’accès aux données et les journaux de transparence d’accès. Les journaux d’audit google cloud enregistrent une piste que les praticiens peuvent utiliser pour surveiller l’accès et détecter les menaces potentielles dans les ressources Google Cloud Platform (GCP).

Attributs de table

Attribut Valeur
Types de ressources -
Catégories Sécurité
Solutions SecurityInsights
Journal de base Non
Transformation au moment de l’ingestion Oui
Exemples de requêtes Oui

Colonnes

Colonne Type Description
AuthenticationInfo dynamic Informations d'authentification.
AuthorizationInfo dynamic Informations d’autorisation. S’il existe plusieurs ressources ou autorisations impliquées, il existe un élément AuthorizationInfo pour chaque tuple {ressource, permission}.
_BilledSize real Taille de l’enregistrement en octets
GCPResourceName string Ressource ou collection qui est la cible de l’opération. Le nom est un URI sans schéma, sans inclure le nom du service d’API.
GCPResourceType string Identificateur du type associé à cette ressource, tel que « pubsub_subscription ».
InsertId string facultatif. Fournir un identificateur unique pour l’entrée de journal permet à la journalisation de supprimer les entrées en double avec le même horodatage et insertId dans un résultat de requête unique.
_IsBillable string Spécifie si l’ingestion des données est facturable. Quand _IsBillable est false, l’ingestion n’est pas facturée sur votre compte Azure.
LogName string Informations incluant un suffixe identifiant le sous-type de journal (par exemple, activité d’administrateur, accès système, accès aux données) et où dans la hiérarchie la demande a été effectuée.
Métadonnées dynamic Autres données spécifiques au service concernant la demande, la réponse et d’autres informations associées à l’événement audité actuel.
MethodName string Nom de la méthode ou de l’opération de service. Pour les appels d’API, il doit s’agir du nom de la méthode d’API.
NumResponseItems string Nombre d’éléments retournés à partir d’une liste ou d’une méthode d’API de requête, le cas échéant.
PrincipalEmail string Adresse e-mail de l’utilisateur authentifié (ou compte de service au nom du principal tiers) qui effectue la demande. Pour les appelants d’identité tiers, le champ principalSubject est renseigné au lieu de ce champ. Pour des raisons de confidentialité, l’adresse e-mail principale est parfois régérée.
ProjectId string Identificateur du projet Google Cloud Platform (GCP) associé à cette ressource, tel que « my-project ».
Requête dynamic Demande d’opération. Cela peut ne pas inclure tous les paramètres de requête, tels que ceux qui sont trop volumineux, respectant la confidentialité ou dupliqués ailleurs dans l’enregistrement du journal. Il ne doit jamais inclure de données générées par l’utilisateur, telles que le contenu du fichier. Lorsque l’objet JSON représenté ici a un équivalent proto, le nom du proto est indiqué dans la @type propriété.
RequestMetadata dynamic Métadonnées relatives à l’opération.
ResourceLocation dynamic Informations sur l’emplacement des ressources.
ResourceOriginalState dynamic État d’origine de la ressource avant mutation. Présente uniquement pour les opérations qui ont correctement modifié la ou les ressources ciblées. En général, ce champ doit contenir tous les champs modifiés, sauf ceux qui ont déjà été inclus dans les champs demande, réponse, métadonnées ou serviceData. Lorsque l’objet JSON représenté ici a un équivalent proto, le nom du proto est indiqué dans la @type propriété.
Response dynamic Réponse de l’opération. Cela peut ne pas inclure tous les éléments de réponse, tels que ceux qui sont trop volumineux, respectant la confidentialité ou dupliqués ailleurs dans l’enregistrement du journal. Il ne doit jamais inclure de données générées par l’utilisateur, telles que le contenu du fichier. Lorsque l’objet JSON représenté ici a un équivalent proto, le nom du proto est indiqué dans la @type propriété.
ServiceData dynamic Objet contenant des champs d’un type arbitraire. Un champ supplémentaire « @type » contient un URI identifiant le type. Exemple : { « id » : 1234, « @type » : « types.example.com/standard/id » }.
NomService string Nom du service d’API effectuant l’opération. Par exemple, « compute.googleapis.com ».
Niveau de gravité string facultatif. Gravité de l’entrée de journal. Par exemple, l’expression de filtre suivante correspond aux entrées de journal avec les gravités INFO, NOTICE et WARNING.
SourceSystem string Type d’agent ayant collecté l’événement. Par exemple, OpsManager pour l’agent Windows (connexion directe ou Operations Manager), Linux pour tous les agents Linux, ou Azure pour Diagnostics Azure.
État dynamic État de l’opération globale.
StatusMessage string État du message de l’opération globale.
Abonnement string Ressource nommée représentant le flux de messages d’une rubrique spécifique unique à remettre à l’application d’abonnement.
TenantId string ID de l’espace de travail Log Analytics
TimeGenerated DATETIME Heure à laquelle l’entrée du journal a été reçue par la journalisation.
Timestamp DATETIME Heure à laquelle l’événement décrit par l’entrée de journal s’est produit.
Type string Le nom de la table