从 Sentinel 连接器引入的 Google Cloud Platform (GCP) 审核日志可用于捕获三种类型的审核日志：管理活动日志、数据访问日志和访问透明度日志。 Google Cloud 审核日志会记录跟踪，从业者可以使用该跟踪来监视访问并检测 Google Cloud Platform (GCP) 资源中的潜在威胁。
数据表属性
| Attribute |
Value |
|
资源类型 |
- |
|
Categories |
安全性 |
|
Solutions |
SecurityInsights |
|
基本日志 |
Yes |
|
引入时转换 |
Yes |
|
示例查询 |
Yes |
Columns
| Column |
类型 |
Description |
| AuthenticationInfo |
dynamic |
身份验证信息。 |
| AuthorizationInfo |
dynamic |
授权信息。 如果涉及多个资源或权限，则每个 {resource, permission} 元组都有一个 AuthorizationInfo 元素。 |
| _BilledSize |
real |
记录大小（字节） |
| GCPResourceName |
字符串 |
作为操作目标的资源或集合。 名称是无方案 URI，不包括 API 服务名称。 |
| GCPResourceType |
字符串 |
与此资源关联的类型的标识符，例如“pubsub_subscription”。 |
| InsertId |
字符串 |
Optional. 为日志条目提供唯一标识符后，日志记录可移除单个查询结果中具有相同时间戳和 insertId 的重复条目。 |
| _IsBillable |
字符串 |
指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| LogName |
字符串 |
包括标识日志子类型（例如，管理活动、系统访问、数据访问）的后缀以及请求在层次结构中的位置的信息。 |
| Metadata |
dynamic |
与当前审核事件关联的请求、响应和其他信息的其他服务特定数据。 |
| MethodName |
字符串 |
服务方法或操作的名称。 对于 API 调用，这应该是 API 方法的名称。 |
| NumResponseItems |
字符串 |
从列表或查询 API 方法返回的项数（如果适用）。 |
| PrincipalEmail |
字符串 |
发出请求的经过身份验证的用户（或代表第三方主体的服务帐户）的电子邮件地址。 对于第三方标识调用方，将填充 principalSubject 字段，而不是此字段。 出于隐私原因，主体电子邮件地址有时会经过修订。 |
| ProjectId |
字符串 |
与此资源关联的 Google Cloud Platform (GCP) 项目的标识符，例如“my-project”。 |
| Request |
dynamic |
操作请求。 这可能不包括所有请求参数，例如日志记录中的其他位置过大、隐私敏感或重复的请求参数。 它绝不应包含用户生成的数据，例如文件内容。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| RequestMetadata |
dynamic |
有关操作的元数据。 |
| ResourceLocation |
dynamic |
资源位置信息。 |
| ResourceOriginalState |
dynamic |
突变前的资源原始状态。 仅针对已成功修改目标资源的操作呈现。 通常，此字段应包含所有已更改的字段，但请求、响应、元数据或 serviceData 字段中已包含的字段除外。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| Response |
dynamic |
操作响应。 这可能不包括所有响应元素，例如日志记录中的其他位置过大、隐私敏感或重复的响应元素。 它绝不应包含用户生成的数据，例如文件内容。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| ServiceData |
dynamic |
包含任意类型的字段的对象。 其他字段“@type”包含识别类型的 URI。 示例：{ "id": 1234, "@type": "types.example.com/standard/id" }。 |
| ServiceName |
字符串 |
执行操作的 API 服务的名称。 例如，“compute.googleapis.com”。 |
| Severity |
字符串 |
Optional. 日志条目的严重性。 例如，以下筛选器表达式将匹配严重性为 INFO、NOTICE 和 WARNING 的日志条目。 |
| SourceSystem |
字符串 |
收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
| Status |
dynamic |
总体操作的状态。 |
| StatusMessage |
字符串 |
总体操作的消息状态。 |
| Subscription |
字符串 |
一个命名资源，表示要传送到订阅应用程序的单个特定主题的消息流。 |
| TenantId |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期/时间 |
日志记录收到日志条目的时间。 |
| Timestamp |
日期/时间 |
发生日志条目描述的事件的时间。 |
| 类型 |
字符串 |
表的名称 |