‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Bitdefender

‫Parser Version: 29.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Bitdefender ב-Google Security Operations באמצעות סוכן Bindplane.

הכלי הזה מנתח את היומנים של Bitdefender GravityZone בפורמט CEF או CSV, מבצע נרמול של השדות ל-UDM ומבצע פעולות ספציפיות על סמך סוגי האירועים. הוא מטפל בפעולות על קבצים, בחיבורים לרשת, ביצירת תהליכים ובשינויים ברישום, וממפה מידע רלוונטי לשדות UDM מתאימים.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין מכשיר Bitdefender GravityZone
אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
גישה מורחבת ל-Bitdefender GravityZone

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על יצירת חשבון שירות.
מספקים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sc query observiq-otel-collector
```
השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
מאמתים את ההתקנה על ידי הרצת:
```
sudo systemctl status observiq-otel-collector
```
השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

‫Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ תצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bitdefender:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BITDEFENDER
    raw_log_field: body

service:
  pipelines:
    logs/bitdefender_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/bitdefender

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה:
  - 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  - יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)
הגדרת הייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
  - ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
- ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
- ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
- ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/bitdefender:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BITDEFENDER
    raw_log_field: body
```

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
```bash
  sudo systemctl status observiq-otel-collector
```
```
2. בודקים אם יש שגיאות ביומנים:
```
```bash
  sudo journalctl -u observiq-otel-collector -f
```
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת סטרימינג של syslog ב-Bitdefender GravityZone

נכנסים ל-GravityZone Control Center.
עוברים אל Configuration > Integrations > Syslog (הגדרה > שילובים > Syslog).
לוחצים על הוספת שרת Syslog.
ממלאים את הפרטים הנדרשים:
- שם: מציינים שם ייחודי לשרת syslog (לדוגמה, CentralSyslog).
- כתובת IP או שם מארח: מזינים את כתובת ה-IP או את שם המארח של שרת Bindplane.
- פרוטוקול: בוחרים את הפרוטוקול שבו רוצים להשתמש: TCP או UDP.
- ‫Port: מציינים את מספר היציאה של שרת Bindplane.
- בוחרים את סוגי היומנים שרוצים להזרים (לדוגמה, אירועים של תוכנה נגד תוכנות זדוניות, אירועים של הגנה מפני מתקפות ברשת (NAD), אירועים של בקרת אינטרנט, אירועים של חומת אש או שינויים במדיניות).
- אופציונלי: מגדירים מסננים כדי לכלול או להחריג סוגי אירועים ספציפיים.
לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`BitdefenderGZAttackEntry`	`security_result.detection_fields.value`	הערך של `BitdefenderGZAttackEntry` מהיומן הגולמי מוקצה כערך לאובייקט `security_result.detection_fields`, כאשר המפתח הוא attack_entry.
`BitdefenderGZAttackTypes`	`security_result.category_details`	הערך של `BitdefenderGZAttackTypes` מהיומן הגולמי מוקצה ל-`security_result.category_details`. לאחר מכן, הערך מפוצל למחרוזות נפרדות וכל מחרוזת מתווספת כערך למערך `security_result.category_details`.
`BitdefenderGZAttCkId`	`security_result.detection_fields.value`	הערך של `BitdefenderGZAttCkId` מהיומן הגולמי מוקצה כערך לאובייקט `security_result.detection_fields` שבו המפתח הוא "BitdefenderGZAttCkId".
`BitdefenderGZCompanyId`	`target.user.company_name`	הערך של `BitdefenderGZCompanyId` מיומן הרישום הגולמי מוקצה ל-`target.user.company_name`.
`BitdefenderGZComputerFQDN`	`principal.asset.network_domain`	הערך של `BitdefenderGZComputerFQDN` מיומן הרישום הגולמי מוקצה ל-`principal.asset.network_domain`.
`BitdefenderGZDetectionName`	`security_result.threat_name`	הערך של `BitdefenderGZDetectionName` מהיומן הגולמי מוקצה ל-`security_result.threat_name`.
`BitdefenderGZEndpointId`	`security_result.detection_fields.value`	הערך של `BitdefenderGZEndpointId` מהיומן הגולמי מוקצה כערך לאובייקט `security_result.detection_fields` שבו המפתח הוא "BitdefenderGZEndpointId".
`BitdefenderGZIncidentId`	`metadata.product_log_id`	הערך של `BitdefenderGZIncidentId` מהיומן הגולמי מוקצה ל-`metadata.product_log_id`.
`BitdefenderGZMainAction`	`security_result.action_details`	הערך של `BitdefenderGZMainAction` מיומן הרישום הגולמי מוקצה ל-`security_result.action_details`. על סמך הערך הזה, השדה `security_result.action` מוגדר (למשל, 'חסום' ממופה ל-'BLOCK'). השדה `security_result.description` מאוכלס גם בערך main_action:‎ ואחריו הערך של `BitdefenderGZMainAction`.
`BitdefenderGZMalwareHash`	`principal.process.file.sha256`	הערך של `BitdefenderGZMalwareHash` מיומן הרישום הגולמי מוקצה ל-`principal.process.file.sha256`.
`BitdefenderGZMalwareName`	`security_result.threat_name`	הערך של `BitdefenderGZMalwareName` מיומן הרישום הגולמי מוקצה ל-`security_result.threat_name`.
`BitdefenderGZMalwareType`	`security_result.detection_fields.value`	הערך של `BitdefenderGZMalwareType` מיומן הגולמי מוקצה כערך לאובייקט `security_result.detection_fields`, כאשר המפתח הוא malware_type.
`BitdefenderGZModule`	`metadata.product_event_type`	הערך של `BitdefenderGZModule` מיומן הרישום הגולמי מוקצה ל-`metadata.product_event_type`.
`BitdefenderGZSeverityScore`	`security_result.severity_details`	הערך של `BitdefenderGZSeverityScore` מהיומן הגולמי מוקצה ל-`security_result.severity_details`.
`BitdefenderGZHwId`	`target.resource.id`	הערך של `BitdefenderGZHwId` מיומן הרישום הגולמי מוקצה ל-`target.resource.id`.
`act`	`security_result.action_details`	הערך של `act` מהיומן הגולמי מוקצה ל-`security_result.action_details`.
`actionTaken`	`security_result.action_details`	הערך של `actionTaken` מיומן הרישום הגולמי מוקצה ל-`security_result.action_details`. השדה `security_result.action` מוגדר על סמך הערך הזה (לדוגמה, "block" ממופה ל-"BLOCK"). השדה `security_result.description` מאוכלס גם ב-"actionTaken:‎" ואחריו הערך של `actionTaken`.
`additional.fields`	`additional.fields`	הלוגיקה של המנתח יוצרת צמד מפתח/ערך עבור product_installed ומוסיפה אותו לאובייקט `additional.fields`.
`categories`	`principal.asset.category`	הערך של `categories` מהיומן הגולמי מוקצה ל-`principal.asset.category`.
`cmd_line`	`target.process.command_line`	הערך של `cmd_line` מהיומן הגולמי מוקצה ל-`target.process.command_line`.
`companyId`	`target.user.company_name`	הערך של `companyId` מיומן הרישום הגולמי מוקצה ל-`target.user.company_name`.
`computer_fqdn`	`principal.asset.network_domain`	הערך של `computer_fqdn` מהיומן הגולמי מוקצה ל-`principal.asset.network_domain`.
`computer_id`	`principal.asset.asset_id`	הערך של `computer_id` מהיומן הגולמי מוקצה ל-`principal.asset.asset_id` אחרי הוספת "ComputerId:‎" בתחילת המחרוזת.
`computer_ip`	`principal.asset.ip`	הערך של `computer_ip` מנותח מהיומן הגולמי, מפוצל באמצעות פסיקים, וכל כתובת IP שמתקבלת מתווספת למערך `principal.asset.ip`.
`computer_name`	`principal.resource.attribute.labels.value`	הערך של `computer_name` מהיומן הגולמי מוקצה כערך לאובייקט `principal.resource.attribute.labels` שבו המפתח הוא computer_name. הוא גם מתווסף כערך לאובייקט `security_result.detection_fields` שבו המפתח הוא computer_name.
`column1`	`metadata.product_log_id`	הערך של `column1` מהיומן הגולמי מוקצה ל-`metadata.product_log_id`.
`column3`	`observer.ip`	הערך של `column3` מיומן הרישום הגולמי מוקצה ל-`observer.ip`.
`command_line`	`target.process.command_line`	הערך של `command_line` מהיומן הגולמי מוקצה ל-`target.process.command_line`.
`data`	`target.registry.registry_value_data`	הערך של `data` מיומן הרישום הגולמי מוקצה ל-`target.registry.registry_value_data`.
`detection_attackTechnique`	`security_result.detection_fields.value`	הערך של `detection_attackTechnique` מהיומן הגולמי מוקצה כערך לאובייקט `security_result.detection_fields` שבו המפתח הוא "detection attackTechnique".
`detection_name`	`security_result.threat_name`	הערך של `detection_name` מהיומן הגולמי מוקצה ל-`security_result.threat_name`.
`destination_ip`	`target.ip`	הערך של `destination_ip` מהיומן הגולמי מוקצה ל-`target.ip`.
`destination_port`	`target.port`	הערך של `destination_port` מיומן הרישום הגולמי מוקצה ל-`target.port`.
`direction`	`network.direction`	הערך של `direction` מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-`network.direction`.
`dvc`	`principal.ip`	הערך של `dvc` מהיומן הגולמי מנותח, מפוצל באמצעות פסיקים, וכל כתובת IP שמתקבלת מתווספת למערך `principal.ip`.
`dvchost`	`about.hostname`	הערך של `dvchost` מהיומן הגולמי מוקצה ל-`about.hostname`.
`event_description`	`metadata.description`	הערך של `event_description` מיומן הרישום הגולמי מוקצה ל-`metadata.description`.
`event_name`	`metadata.product_event_type`	הערך של `event_name` מיומן הרישום הגולמי מוקצה ל-`metadata.product_event_type`. אם הערך הוא Antiphishing, המדיניות `security_result.category` מוגדרת כ-PHISHING. אם הערך הוא AntiMalware,‏ `security_result.category` מוגדר כ-SOFTWARE_MALICIOUS. השדה `metadata.event_type` נגזר מהשדה `event_name` באמצעות סדרה של משפטי תנאי בתוך מנתח התוכן.
`ev`	`metadata.product_event_type`	הערך של `ev` מהיומן הגולמי מוקצה ל-`metadata.product_event_type`.
`extra_info.command_line`	`target.process.command_line`	הערך של `extra_info.command_line` מיומן הרישום הגולמי מוקצה ל-`target.process.command_line`.
`extra_info.parent_pid`	`principal.process.pid`	הערך של `extra_info.parent_pid` מהיומן הגולמי מוקצה ל-`principal.process.pid`.
`extra_info.parent_process_cmdline`	`principal.process.command_line`	הערך של `extra_info.parent_process_cmdline` מהיומן הגולמי מוקצה ל-`principal.process.command_line`.
`extra_info.parent_process_path`	`principal.process.file.full_path`	הערך של `extra_info.parent_process_path` מהיומן הגולמי מוקצה ל-`principal.process.file.full_path`.
`extra_info.pid`	`target.process.pid`	הערך של `extra_info.pid` מיומן הרישום הגולמי מוקצה ל-`target.process.pid`.
`extra_info.process_path`	`target.process.file.full_path`	הערך של `extra_info.process_path` מהיומן הגולמי מוקצה ל-`target.process.file.full_path`.
`extra_info.user`	`target.user.userid`	הערך של `extra_info.user` מהיומן הגולמי מוקצה ל-`target.user.userid`.
`filePath`	`principal.process.file.full_path`	הערך של `filePath` מהיומן הגולמי מוקצה ל-`principal.process.file.full_path`.
`file_path`	`principal.process.file.full_path`	הערך של `file_path` מהיומן הגולמי מוקצה ל-`principal.process.file.full_path`.
`final_status`	`security_result.action_details`	הערך של `final_status` מהיומן הגולמי מוקצה ל-`security_result.action_details`. על סמך הערך הזה, השדה `security_result.action` מוגדר (למשל, 'נמחק' ממופה ל'חסימה', 'התעלמות' ממופה ל'אישור'). השדה `security_result.description` מאוכלס גם ב-"final_status: " ואחריו הערך של `final_status`. אם הערך הוא "deleted" או "blocked", המדיניות `metadata.event_type` מוגדרת כ-"SCAN_NETWORK".
`hash`	`principal.process.file.sha256`	הערך של `hash` מהיומן הגולמי מוקצה ל-`principal.process.file.sha256`.
`host`	`principal.hostname`	הערך של `host` מהיומן הגולמי מוקצה ל-`principal.hostname`.
`hostname`	`principal.hostname`	הערך של `hostname` מהיומן הגולמי מוקצה ל-`principal.hostname` אם `event_name` הוא לא "log_on" או "log_out". אחרת, הוא מוקצה ל-`target.hostname`.
`host_name`	`principal.hostname`	הערך של `host_name` מהיומן הגולמי מוקצה ל-`principal.hostname`.
`hwid`	`principal.resource.id`	הערך של `hwid` מיומן הגולמי מוקצה ל-`principal.resource.id` אם הוא לא ריק. אם הוא ריק והאירוע הוא לא log_on או log_out, הערך של `source_hwid` מוקצה ל-`principal.resource.id`. אם האירוע הוא log_on או log_out, הוא משויך ל-`target.resource.id`.
`incident_id`	`metadata.product_log_id`	הערך של `incident_id` מיומן הרישום הגולמי מוקצה ל-`metadata.product_log_id`.
`ip_dest`	`target.ip`	הערך של `ip_dest` מהיומן הגולמי מוקצה ל-`target.ip`.
`ip_source`	`principal.ip`	הערך של `ip_source` מיומן הרישום הגולמי מוקצה ל-`principal.ip`.
`key_path`	`target.registry.registry_key`	הערך של `key_path` מיומן הרישום הגולמי מוקצה ל-`target.registry.registry_key`.
`local_port`	`principal.port`	הערך של `local_port` מהיומן הגולמי מומר למספר שלם ומוקצה ל-`principal.port`.
`logon_type`	`extensions.auth.mechanism`	הערך של `logon_type` מהיומן הגולמי משמש לקביעת הערך של `extensions.auth.mechanism`. ערכים מספריים שונים של `logon_type` ממופים למנגנוני אימות שונים (לדוגמה, 2 ממופה ל-LOCAL,‏ 3 ממופה ל-NETWORK). אם לא נמצאה התאמה ל-`logon_type`, המנגנון מוגדר כ-"MECHANISM_UNSPECIFIED".
`lurker_id`	`intermediary.resource.id`	הערך של `lurker_id` מהיומן הגולמי מוקצה ל-`intermediary.resource.id`.
`main_action`	`security_result.action_details`	הערך של `main_action` מהיומן הגולמי מוקצה ל-`security_result.action_details`. על סמך הערך הזה, השדה `security_result.action` מוגדר (לדוגמה, "blocked" ממופה ל-"BLOCK", ו-"no action" ל-"ALLOW"). השדה `security_result.description` מאוכלס גם ב-"main_action: " ואחריו הערך של `main_action`.
`malware_name`	`security_result.threat_name`	הערך של `malware_name` מהיומן הגולמי מוקצה ל-`security_result.threat_name`.
`malware_type`	`security_result.detection_fields.value`	הערך של `malware_type` מהיומן הגולמי מוקצה כערך לאובייקט `security_result.detection_fields` שבו המפתח הוא "malware_type".
`metadata.description`	`metadata.description`	המנתח מגדיר את השדה `metadata.description` על סמך השדה `event_name`.
`metadata.event_type`	`metadata.event_type`	המנתח מגדיר את השדה `metadata.event_type` על סמך השדה `event_name`.
`metadata.product_event_type`	`metadata.product_event_type`	המנתח מגדיר את השדה `metadata.product_event_type` על סמך השדות `event_name` או `module`.
`metadata.product_log_id`	`metadata.product_log_id`	הכלי לניתוח מחרוזות מגדיר את השדה `metadata.product_log_id` על סמך השדות `msg_id` או `incident_id`.
`metadata.product_name`	`metadata.product_name`	הכלי לניתוח מחרוזות מגדיר את `metadata.product_name` ל-BitDefender EDR.
`metadata.product_version`	`metadata.product_version`	המנתח משנה את השם של השדה `product_version` ל-`metadata.product_version`.
`metadata.vendor_name`	`metadata.vendor_name`	המנתח מגדיר את `metadata.vendor_name` לערך "BitDefender".
`module`	`metadata.product_event_type`	הערך של `module` מהיומן הגולמי מוקצה ל-`metadata.product_event_type`. אם הערך הוא "new-incident" והשדה `target_process_file_full_path` לא ריק, הערך של `metadata.event_type` מוגדר כ-"PROCESS_UNCATEGORIZED". אם הערך הוא task-status, הערך של `metadata.event_type` מוגדר כ-STATUS_UPDATE. אם הערך הוא network-monitor או fw,‏ `metadata.event_type` מוגדר כ-SCAN_NETWORK.
`msg_id`	`metadata.product_log_id`	הערך של `msg_id` מיומן הרישום הגולמי מוקצה ל-`metadata.product_log_id`.
`network.application_protocol`	`network.application_protocol`	הערך של `uc_type` מהיומן הגולמי מומר לאותיות רישיות ומוקצה ל-`network.application_protocol`.
`network.direction`	`network.direction`	הכלי לניתוח מחרוזות מגדיר את השדה `network.direction` על סמך השדה `direction`.
`network.ip_protocol`	`network.ip_protocol`	אם הערך של `protocol_id` הוא "6", המנתח מגדיר את `network.ip_protocol` כ-"TCP".
`new_path`	`target.file.full_path`	הערך של `new_path` מהיומן הגולמי מוקצה ל-`target.file.full_path`.
`old_path`	`src.file.full_path`	הערך של `old_path` מהיומן הגולמי מוקצה ל-`src.file.full_path`.
`origin_ip`	`intermediary.ip`	הערך של `origin_ip` מהיומן הגולמי מוקצה ל-`intermediary.ip`.
`os`	`principal.platform_version`	הערך של `os` מיומן הרישום הגולמי מוקצה ל-`principal.platform_version`. השדה `principal.platform` נגזר מ-`os` (לדוגמה, 'Win' ממופה ל-'WINDOWS'). אם האירוע הוא log_on או log_out, השדות `principal.platform` ו-`principal.platform_version` משתנים ל-`target.platform` ו-`target.platform_version`, בהתאמה.
`os_type`	`principal.platform`	הערך של `os_type` מהיומן הגולמי משמש לקביעת הערך של `principal.platform` (לדוגמה, "Win" ממופה ל-"WINDOWS").
`parent_pid`	`principal.process.pid`	הערך של `parent_pid` מהיומן הגולמי מוקצה ל-`principal.process.pid`.
`parent_process_path`	`principal.process.file.full_path`	הערך של `parent_process_path` מהיומן הגולמי מוקצה ל-`principal.process.file.full_path`.
`parent_process_pid`	`principal.process.pid`	הערך של `parent_process_pid` מיומן הרישום הגולמי מוקצה ל-`principal.process.pid`.
`path`	`target.file.full_path`	הערך של `path` מהיומן הגולמי מוקצה ל-`target.file.full_path`.
`pid`	`principal.process.pid` או `target.process.pid`	הערך של `pid` מהיומן הגולמי מוקצה ל-`principal.process.pid` אם `event_name` מתחיל ב-"file" או ב-"reg", או אם הוא אחד מהערכים הבאים: "process_signal",‏ "network_connection" או "connection_connect". אחרת, הוא מוקצה ל-`target.process.pid`.
`pid_path`	`principal.process.file.full_path`	הערך של `pid_path` מיומן הרישום הגולמי מוקצה ל-`principal.process.file.full_path`.
`port_dest`	`target.port`	הערך של `port_dest` מיומן הגולמי מומר למספר שלם ומוקצה ל-`target.port`.
`port_source`	`principal.port`	הערך של `port_source` מיומן הגולמי מומר למספר שלם ומוקצה ל-`principal.port`.
`ppid`	`principal.process.pid`	הערך של `ppid` מהיומן הגולמי מוקצה ל-`principal.process.pid`.
`principal.ip`	`principal.ip`	המנתח מגדיר את השדה `principal.ip` על סמך השדות `ip_source` או `dvc`.
`principal.platform`	`principal.platform`	המנתח מגדיר את השדה `principal.platform` על סמך השדות `os` או `os_type`.
`principal.platform_version`	`principal.platform_version`	המנתח מגדיר את השדה `principal.platform_version` על סמך השדות `os` או `osi_version`.
`principal.process.command_line`	`principal.process.command_line`	המנתח מגדיר את השדה `principal.process.command_line` על סמך השדה `parent_process_cmdline`.
`principal.process.file.full_path`	`principal.process.file.full_path`	המנתח מגדיר את השדה `principal.process.file.full_path` על סמך השדות `pid_path`,‏ `file_path`,‏ `parent_process_path` או `process_path`.
`principal.process.file.md5`	`principal.process.file.md5`	המנתח משנה את השם של השדה `file_hash_md5` ל-`principal.process.file.md5`.
`principal.process.file.sha256`	`principal.process.file.sha256`	המנתח מגדיר את השדה `principal.process.file.sha256` על סמך השדות `hash`,‏ `BitdefenderGZMalwareHash` או `file_hash_sha256`.
`principal.process.parent_process.pid`	`principal.process.parent_process.pid`	הכלי לניתוח מחליף את השם של השדה `ppid` ל-`principal.process.parent_process.pid`.
`principal.process.pid`	`principal.process.pid`	המנתח מגדיר את השדה `principal.process.pid` על סמך השדות `pid`,‏ `parent_pid`,‏ `ppid` או `parent_process_pid`.
`principal.resource.id`	`principal.resource.id`	המנתח מגדיר את השדה `principal.resource.id` על סמך השדות `hwid` או `source_hwid`.
`principal.url`	`principal.url`	המנתח מגדיר את השדה `principal.url` על סמך השדה `url`.
`process_command_line`	`target.process.command_line`	הערך של `process_command_line` מיומן הרישום הגולמי מוקצה ל-`target.process.command_line`.
`process_path`	`principal.process.file.full_path` או `target.process.file.full_path`	הערך של `process_path` מהיומן הגולמי מוקצה ל-`principal.process.file.full_path` אם `event_name` הוא "network_connection" או "connection_connect". אחרת, הוא מוקצה ל-`target.process.file.full_path`.
`product_installed`	`additional.fields.value.string_value`	הערך של `product_installed` מהיומן הגולמי מוקצה כערך לאובייקט `additional.fields` שבו המפתח הוא product_installed.
`product_version`	`metadata.product_version`	הערך של `product_version` מהיומן הגולמי מוקצה ל-`metadata.product_version`.
`protocol_id`	`network.ip_protocol`	אם הערך של `protocol_id` הוא "6", המנתח מגדיר את `network.ip_protocol` כ-"TCP".
`request`	`target.url`	הערך של `request` מיומן הרישום הגולמי מוקצה ל-`target.url`.
`security_result.action`	`security_result.action`	המנתח מגדיר את השדה `security_result.action` על סמך השדות `main_action`,‏ `actionTaken`,‏ `status` או `final_status`. אם אף אחד מהשדות האלה לא מספק פעולה חוקית, ברירת המחדל היא UNKNOWN_ACTION.
`security_result.action_details`	`security_result.action_details`	הכלי לניתוח מחרוזות מגדיר את השדה `security_result.action_details` על סמך השדות `main_action`, `actionTaken`, `status` או `final_status`.
`security_result.category`	`security_result.category`	המנתח מגדיר את השדה `security_result.category` כ-"PHISHING" אם `event_name` הוא "Antiphishing", כ-"SOFTWARE_MALICIOUS" אם `event_name` הוא "AntiMalware", או ממזג את הערך מהשדה `sec_category`.
`security_result.category_details`	`security_result.category_details`	המנתח מגדיר את השדה `security_result.category_details` על סמך השדות `block_type` או `attack_types`.
`security_result.detection_fields`	`security_result.detection_fields`	המנתח יוצר אובייקטים מסוג `security_result.detection_fields` לשדות שונים, כולל "malware_type",‏ "attack_entry",‏ "BitdefenderGZAttCkId",‏ "BitdefenderGZEndpointId",‏ "final_status",‏ "detection attackTechnique" ו-"computer_name".
`security_result.description`	`security_result.description`	הכלי לניתוח מחרוזות מגדיר את השדה `security_result.description` על סמך השדות `main_action`, `actionTaken` או `final_status`.
`security_result.severity`	`security_result.severity`	אם השדה `severity` לא ריק והערך של `module` הוא new-incident, מנתח התוכן מגדיר את השדה `security_result.severity` על סמך הערך באותיות רישיות של השדה.
`security_result.severity_details`	`security_result.severity_details`	המנתח מגדיר את השדה `security_result.severity_details` על סמך השדה `severity_score`.
`security_result.threat_name`	`security_result.threat_name`	הכלי לניתוח מחרוזות מגדיר את השדה `security_result.threat_name` על סמך השדות `malware_name` או `detection_name`.
`severity`	`security_result.severity`	הערך של `severity` מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-`security_result.severity` אם הוא לא ריק והערך של `module` הוא new-incident.
`severity_score`	`security_result.severity_details`	הערך של `severity_score` מהיומן הגולמי מומר למחרוזת ומוקצה ל-`security_result.severity_details`.
`source_host`	`observer.ip`	הערך של `source_host` מהיומן הגולמי מוקצה ל-`observer.ip`.
`source_hwid`	`principal.resource.id`	הערך של `source_hwid` מהיומן הגולמי מוקצה ל-`principal.resource.id`.
`source_ip`	`src.ip`	הערך של `source_ip` מהיומן הגולמי מוקצה ל-`src.ip`.
`source_port`	`principal.port`	הערך של `source_port` מהיומן הגולמי מומר למספר שלם ומוקצה ל-`principal.port`.
`spt`	`principal.port`	הערך של `spt` מהיומן הגולמי מוקצה ל-`principal.port`.
`sproc`	`principal.process.command_line`	הערך של `sproc` מהיומן הגולמי מוקצה ל-`principal.process.command_line`.
`src`	`principal.ip`	הערך של `src` מהיומן הגולמי מוקצה ל-`principal.ip`.
`src.ip`	`src.ip`	המנתח מגדיר את השדה `src.ip` על סמך השדה `source_ip`.
`src.file.full_path`	`src.file.full_path`	המנתח מגדיר את השדה `src.file.full_path` על סמך השדה `old_path`.
`status`	`security_result.action_details`	הערך של `status` מהיומן הגולמי מוקצה ל-`security_result.action_details`. על סמך הערך הזה, השדה `security_result.action` מוגדר (למשל, portscan_blocked ו-uc_site_blocked ממופים ל-BLOCK). השדה `security_result.description` מאוכלס גם ב-"status:‎" ואחריו הערך של `status`.
`suid`	`principal.user.userid`	הערך של `suid` מיומן הרישום הגולמי מוקצה ל-`principal.user.userid`.
`suser`	`principal.user.user_display_name`	הערך של `suser` מיומן הרישום הגולמי מוקצה ל-`principal.user.user_display_name`.
`target.file.full_path`	`target.file.full_path`	הכלי לניתוח מחרוזות מגדיר את השדה `target.file.full_path` על סמך השדות `path` או `new_path`.
`target.hostname`	`target.hostname`	הכלי לניתוח מחרוזות מגדיר את השדה `target.hostname` על סמך השדה `hostname`.
`target.ip`	`target.ip`	הכלי לניתוח מחרוזות מגדיר את השדה `target.ip` על סמך השדות `ip_dest` או `destination_ip`.
`target.platform`	`target.platform`	המנתח מגדיר את השדה `target.platform` על סמך השדה `principal.platform`.
`target.platform_version`	`target.platform_version`	הכלי לניתוח מחרוזות מגדיר את השדה `target.platform_version` על סמך השדה `principal.platform_version`.
`target.port`	`target.port`	המנתח מגדיר את השדה `target.port` על סמך השדות `port_dest` או `destination_port`.
`target.process.command_line`	`target.process.command_line`	הכלי לניתוח מחרוזות מגדיר את השדה `target.process.command_line` על סמך השדות `command_line`, `process_command_line` או `cmd_line`.
`target.process.file.full_path`	`target.process.file.full_path`	הכלי לניתוח מחרוזות מגדיר את השדה `target.process.file.full_path` על סמך השדה `process_path`.
`target.process.pid`	`target.process.pid`	הכלי לניתוח מחרוזות מגדיר את השדה `target.process.pid` על סמך השדה `pid`.
`target.registry.registry_key`	`target.registry.registry_key`	הכלי לניתוח מחרוזות מגדיר את השדה `target.registry.registry_key` על סמך השדה `key_path`.
`target.registry.registry_value_data`	`target.registry.registry_value_data`	המנתח מגדיר את השדה `target.registry.registry_value_data` על סמך השדה `data`.
`target.registry.registry_value_name`	`target.registry.registry_value_name`	המנתח מגדיר את השדה `target.registry.registry_value_name` על סמך השדה `value`.
`target.resource.id`	`target.resource.id`	הכלי לניתוח מחרוזות מגדיר את השדה `target.resource.id` על סמך השדות `hwid` או `BitdefenderGZHwId`.
`target.url`	`target.url`	הכלי לניתוח מחרוזות מגדיר את השדה `target.url` על סמך השדה `request`.
`target.user.company_name`	`target.user.company_name`	המנתח מגדיר את השדה `target.user.company_name` על סמך השדה `companyId`.
`target.user.user_display_name`	`target.user.user_display_name`	המנתח מגדיר את השדה `target.user.user_display_name` על סמך השדות `user.name` או `user.userName`.
`target.user.userid`	`target.user.userid`	המנתח מגדיר את השדה `target.user.userid` על סמך השדות `user_name`,‏ `user`,‏ `user.id` או `extra_info.user`.
`target_pid`	`target.process.pid`	הערך של `target_pid` מהיומן הגולמי מוקצה ל-`target.process.pid`.
`timestamp`	`metadata.event_timestamp`	הערך של `timestamp` מהיומן הגולמי מנותח ומוקצה ל-`metadata.event_timestamp`.
`uc_type`	`network.application_protocol`	הערך של `uc_type` מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-`network.application_protocol`. אם השדה `target_user_userid` לא ריק, הערך של `metadata.event_type` מוגדר כ-"USER_UNCATEGORIZED". אחרת, הוא מוגדר כ-"STATUS_UPDATE".
`url`	`principal.url`	הערך של `url` מהיומן הגולמי מוקצה ל-`principal.url` אם הוא לא ריק או "0.0.0.0".
`user`	`target.user.userid`	הערך של `user` מיומן הרישום הגולמי מוקצה ל-`target.user.userid`.
`user.id`	`target.user.userid`	הערך של `user.id` מיומן הרישום הגולמי מוקצה ל-`target.user.userid`.
`user.name`	`target.user.user_display_name`	הערך של `user.name` מיומן הרישום הגולמי מוקצה ל-`target.user.user_display_name`.
`user.userName`	`target.user.user_display_name`	הערך של `user.userName` מהיומן הגולמי מוקצה ל-`target.user.user_display_name`.
`user.userSid`	`principal.user.windows_sid`	הערך של `user.userSid` מיומן הרישום הגולמי מוקצה ל-`principal.user.windows_sid`.
`user_name`	`target.user.userid`	הערך של `user_name` מיומן הרישום הגולמי מוקצה ל-`target.user.userid`.
`value`	`target.registry.registry_value_data` או `target.registry.registry_value_name`	הערך של `value` מהיומן הגולמי מוקצה ל-`target.registry.registry_value_data` אם `event_name` הוא "reg_delete_value". אחרת, הוא מוקצה ל-`target.registry.registry_value_name`.
`machine_name`	`event.idm.read_only_udm.target.hostname` וגם `event.idm.read_only_udm.target.asset.hostname`	מופה מיומן השינויים
`os_family`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`os_version`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`os_platform`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`container_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`user_sid`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`integrity`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`integrity_sz`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`elevation`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`elevation_sz`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`parent_integrity`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`parent_integrity_sz`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`parent_elevation`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`parent_elevation_sz`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ring`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`event_version`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`company_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ctc_version`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`hardware_id`	`event.idm.read_only_udm.principal.asset.product_object_id`	מופה מיומן השינויים
`parent_pid`	`event.idm.read_only_udm.principal.process.pid`	מופה מיומן השינויים
`parent_cmdline`	`event.idm.read_only_udm.principal.process.command_line`	מופה מיומן השינויים
`parent_user_name`	`event.idm.read_only_udm.principal.user.userid`	מופה מיומן השינויים
`cmdline`	`event.idm.read_only_udm.target.process.command_line`	מופה מיומן השינויים
`user_name`	`event.idm.read_only_udm.target.user.userid`	מופה מיומן השינויים
`process_sha`	`event.idm.read_only_udm.target.process.file.sha256`	מופה מיומן השינויים
`process_md5`	`event.idm.read_only_udm.target.process.file.md5`	מופה מיומן השינויים
`mitre_ids`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`dvc`	`event.idm.read_only_udm.target.ip` וגם `event.idm.read_only_udm.target.asset.ip`	מופה מיומן השינויים
`fileHash`	`event.idm.read_only_udm.target.file.md5`	מופה מיומן השינויים
`BitdefenderGZFileHashSha256`	`event.idm.read_only_udm.target.file.sha256`	מופה מיומן השינויים
`fname`	`event.idm.read_only_udm.target.file.names`	מופה מיומן השינויים
`BitdefenderGZAttackTypes`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZOldHwid`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZNewHwid`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZIncidentId`	`event.idm.read_only_udm.security_result.rule_id`	מופה מיומן השינויים
`start`	`event.idm.read_only_udm.security_result.first_discovered_time`	מופה מיומן השינויים
`BitdefenderGZAttackType`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZDetectionLevel`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZFilelessAttack`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`severity`	`event.idm.read_only_udm.security_result.severity_details`	מופה מיומן השינויים
`BitdefenderGZEventSourceIP`	`event.idm.read_only_udm.principal.ip` וגם `event.idm.read_only_udm.principal.asset.ip`	מופה מיומן השינויים
`BitdefenderGZFwProtocolId`	`event.idm.read_only_udm.network.ip_protocol`	מופה מיומן השינויים
`cnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZMalwareHash`	`event.idm.read_only_udm.target.file.sha256`	מופה מיומן השינויים
`BitdefenderGZMalwareType`	`event.idm.read_only_udm.security_result.threat_name`	מופה מיומן השינויים
`BitdefenderGZMalwareName`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZParentPid`	`event.idm.read_only_udm.target.process.parent_process.pid`	מופה מיומן השינויים
`BitdefenderGZParentPath`	`event.idm.read_only_udm.target.process.parent_process.file.full_path`	מופה מיומן השינויים
`suser`	`event.idm.read_only_udm.principal.user.userid`	מופה מיומן השינויים
`suid`	`event.idm.read_only_udm.principal.user.windows_sid`	מופה מיומן השינויים
`BitdefenderGZDetectionName`	`event.idm.read_only_udm.security_result.threat_name`	מופה מיומן השינויים
`BitdefenderGZProcessCommandLine`	`event.idm.read_only_udm.target.process.command_line`	מופה מיומן השינויים
`BitdefenderGZDetectionAttackTechnique`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZDetectionAttackerIp`	`event.idm.read_only_udm.principal.ip` וגם `event.idm.read_only_udm.principal.asset.ip`	מופה מיומן השינויים
`BitdefenderGZDetectionVictimIp`	`event.idm.read_only_udm.target.ip` וגם `event.idm.read_only_udm.target.asset.ip`	מופה מיומן השינויים
`BitdefenderGZDetectionLocalPort`	`event.idm.read_only_udm.target.port`	מופה מיומן השינויים
`BitdefenderGZEmailSender`	`event.idm.read_only_udm.principal.user.email_addresses`	מופה מיומן השינויים
`duser`	`event.idm.read_only_udm.target.user.userid`	מופה מיומן השינויים
`BitdefenderGZEmailSubject`	`event.idm.read_only_udm.network.email.subject`	מופה מיומן השינויים
`BitdefenderGZEventType`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZDetectionTechnique`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZDriverPath`	`event.idm.read_only_udm.target.file.full_path`	מופה מיומן השינויים
`BitdefenderGZParentProcess`	`event.idm.read_only_udm.target.process.parent_process.pid`	מופה מיומן השינויים
`BitdefenderGZParentProcessPath`	`event.idm.read_only_udm.target.process.parent_process.file.full_path`	מופה מיומן השינויים
`BitdefenderGZDetectionCommandLine`	`event.idm.read_only_udm.target.process.command_line`	מופה מיומן השינויים
`BitdefenderGZDetectionTime`	`event.idm.read_only_udm.security_result.first_seen_timestamp`	מופה מיומן השינויים
`BitdefenderGZSignaturesNumber`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZTaskScanType`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZScanEngineType`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZCleanedMalwareCnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZBlockedMalwareCnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZDeletedMalwareCnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZQuarantinedMalwareCnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZIgnoredMalwareCnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZPresentMalwareCnt`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZModule`	`event.idm.read_only_udm.metadata.product_event_type`	מופה מיומן השינויים
`BitdefenderGZCompanyId`	`event.idm.read_only_udm.target.user.company_name`	מופה מיומן השינויים
`dvchost`	`event.idm.read_only_udm.about.hostname`	מופה מיומן השינויים
`BitdefenderGZMalwareName`	`event.idm.read_only_udm.security_result.threat_name`	מופה מיומן השינויים
`BitdefenderGZComputerFQDN`	`event.idm.read_only_udm.principal.asset.network_domain`	מופה מיומן השינויים
`BitdefenderGZMalwareHash`	`event.idm.read_only_udm.principal.process.file.sha256`	מופה מיומן השינויים
`BitdefenderGZHwId`	`event.idm.read_only_udm.target.resource.id`	מופה מיומן השינויים
`event_name`	`event.idm.read_only_udm.security_result.category`	מופה מיומן השינויים
`reason`	`event.idm.read_only_udm.security_result.summary`	מופה מיומן השינויים
`dvc`	`event.idm.read_only_udm.principal.ip` וגם `event.idm.read_only_udm.principal.asset.ip`	מופה מיומן השינויים
`dvc`	`event.idm.read_only_udm.about.ip`	מופה מיומן השינויים
`src`	`event.idm.read_only_udm.principal.ip` וגם `event.idm.read_only_udm.principal.asset.ip`	מופה מיומן השינויים
`deviceExternalId`	`event.idm.read_only_udm.about.asset.asset_id`	מופה מיומן השינויים
`request`	`event.idm.read_only_udm.target.url`	מופה מיומן השינויים
`BitdefenderGZSeverityScore`	`event.idm.read_only_udm.security_result.severity_details`	מופה מיומן השינויים
`BitdefenderGZMalwareType`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZAttCkId`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`BitdefenderGZEndpointId`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`sproc`	`event.idm.read_only_udm.principal.process.command_line`	מופה מיומן השינויים
`suid`	`event.idm.read_only_udm.principal.user.userid`	מופה מיומן השינויים
`severity`	`event.idm.read_only_udm.security_result.severity`	מופה מיומן השינויים
`BitdefenderGZMainAction`	`event.idm.read_only_udm.security_result.action`	מופה מיומן השינויים
`BitdefenderGZMainAction`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`BitdefenderGZMainAction`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`actionTaken`	`event.idm.read_only_udm.security_result.action`	מופה מיומן השינויים
`actionTaken`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`actionTaken`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`final_status`	`event.idm.read_only_udm.security_result.action`	מופה מיומן השינויים
`final_status`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`final_status`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`status`	`event.idm.read_only_udm.security_result.action`	מופה מיומן השינויים
`status`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`status`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`dhost`	`event.idm.read_only_udm.target.hostname` וגם `event.idm.read_only_udm.target.asset.hostname`	מופה מיומן השינויים
`suser`	`event.idm.read_only_udm.principal.user.user_display_name`	מופה מיומן השינויים
`act`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`msg`	`event.idm.read_only_udm.metadata.description`	מופה מיומן השינויים
`start`	`event.idm.read_only_udm.metadata.event_timestamp`	מופה מיומן השינויים
`filePath`	`event.idm.read_only_udm.about.file.full_path`	מופה מיומן השינויים
`device_version`	`event.idm.read_only_udm.metadata.product_version`	מופה מיומן השינויים
`security_result.action`	`QUARANTINE`	מופה מיומן השינויים
`security_result.action`	`ALLOW_WITH_MODIFICATION`	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.