GCPAuditLogs
从 Sentinel 连接器引入的 Google Cloud Platform (GCP) 审核日志可用于捕获三种类型的审核日志：管理活动日志、数据访问日志和访问透明度日志。 Google Cloud 审核日志会记录跟踪，从业者可以使用该跟踪来监视访问并检测 Google Cloud Platform (GCP) 资源中的潜在威胁。
表特性
| Attribute |
值 |
| 资源类型 |
- |
| 类别 |
安全性 |
| 解决方案 |
SecurityInsights |
| 基本日志 |
否 |
| 引入时转换 |
是 |
| 示例查询 |
是 |
列
| 列 |
类型 |
描述 |
| AuthenticationInfo |
动态 |
身份验证信息。 |
| AuthorizationInfo |
动态 |
授权信息。 如果涉及多个资源或权限，则每个 {resource, permission} 元组都有一个 AuthorizationInfo 元素。 |
| _BilledSize |
real |
记录大小（字节） |
| GCPResourceName |
string |
作为操作目标的资源或集合。 名称是无方案 URI，不包括 API 服务名称。 |
| GCPResourceType |
string |
与此资源关联的类型的标识符，例如“pubsub_subscription”。 |
| InsertId |
string |
可选。 为日志条目提供唯一标识符后，日志记录可移除单个查询结果中具有相同时间戳和 insertId 的重复条目。 |
| _IsBillable |
string |
指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| LogName |
string |
包括标识日志子类型（例如，管理活动、系统访问、数据访问）的后缀以及请求在层次结构中的位置的信息。 |
| 元数据 |
动态 |
与当前审核事件关联的请求、响应和其他信息的其他服务特定数据。 |
| MethodName |
string |
服务方法或操作的名称。 对于 API 调用，这应该是 API 方法的名称。 |
| NumResponseItems |
string |
从列表或查询 API 方法返回的项数（如果适用）。 |
| PrincipalEmail |
string |
发出请求的经过身份验证的用户（或代表第三方主体的服务帐户）的电子邮件地址。 对于第三方标识调用方，将填充 principalSubject 字段，而不是此字段。 出于隐私原因，主体电子邮件地址有时会经过修订。 |
| ProjectId |
string |
与此资源关联的 Google Cloud Platform (GCP) 项目的标识符，例如“my-project”。 |
| 请求 |
动态 |
操作请求。 这可能不包括所有请求参数，例如日志记录中的其他位置过大、隐私敏感或重复的请求参数。 它绝不应包含用户生成的数据，例如文件内容。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| RequestMetadata |
动态 |
有关操作的元数据。 |
| ResourceLocation |
动态 |
资源位置信息。 |
| ResourceOriginalState |
动态 |
突变前的资源原始状态。 仅针对已成功修改目标资源的操作呈现。 通常，此字段应包含所有已更改的字段，但请求、响应、元数据或 serviceData 字段中已包含的字段除外。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| 响应 |
动态 |
操作响应。 这可能不包括所有响应元素，例如日志记录中的其他位置过大、隐私敏感或重复的响应元素。 它绝不应包含用户生成的数据，例如文件内容。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| ServiceData |
动态 |
包含任意类型的字段的对象。 其他字段“@type”包含识别类型的 URI。 示例：{ "id": 1234, "@type": "types.example.com/standard/id" }。 |
| ServiceName |
string |
执行操作的 API 服务的名称。 例如，“compute.googleapis.com”。 |
| Severity |
string |
可选。 日志条目的严重性。 例如，以下筛选器表达式将匹配严重性为 INFO、NOTICE 和 WARNING 的日志条目。 |
| SourceSystem |
string |
收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
| Status |
动态 |
总体操作的状态。 |
| StatusMessage |
string |
总体操作的消息状态。 |
| 订阅 |
string |
一个命名资源，表示要传送到订阅应用程序的单个特定主题的消息流。 |
| TenantId |
string |
Log Analytics 工作区 ID |
| TimeGenerated |
datetime |
日志记录收到日志条目的时间。 |
| 时间戳 |
datetime |
发生日志条目描述的事件的时间。 |
| 类型 |
字符串 |
表的名称 |