Broadcom Carbon Black EDR-Protokolle erfassen

Parserversion:17.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Broadcom Carbon Black EDR-Logs mit dem Bindplane-Agent oder Amazon S3 in Google Security Operations aufnehmen.

Broadcom Carbon Black EDR (früher VMware Carbon Black EDR) ist eine Lösung zur Erkennung und Reaktion auf Endpunkte, die kontinuierliche Transparenz in Bezug auf Endpunktaktivitäten bietet. Es zeichnet umfassende Endpunktdaten auf und speichert sie, um die Bedrohungssuche, Incident Response und die Echtzeiterkennung von erweiterten Bedrohungen in Ihrem Unternehmen zu ermöglichen. Die Komponente „cb-event-forwarder“ abonniert den EDR-Ereignisbus und exportiert Ereignisse im JSON- oder LEEF-Format an externe Ziele, einschließlich Syslog-Servern und Amazon S3-Buckets.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff (Root oder Sudo) auf den Carbon Black EDR-Server
• Die Komponente „cb-event-forwarder“, die auf Ihrem Carbon Black EDR-Server installiert ist (eine Installationsanleitung finden Sie unter cb-event-forwarder auf GitHub)
• Ein gültiges Zugriffstoken aus dem Broadcom Support Portal zum Herunterladen des cb-event-forwarder-Pakets
• RabbitMQ-Anmeldedaten vom EDR-Server (/etc/cb/cb.conf), wenn cb-event-forwarder auf einem separaten Host installiert ist

Option 1: Syslog-Aufnahme mit Bindplane-Agent

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Hinweis :Der JSON-Schlüssel ist eine Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cb_edr:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<your-customer-id>'
      endpoint: chronicle.googleapis.com
      log_type: CB_EDR
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/cb_edr_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/cb_edr
  

Konfigurationsparameter

• Ersetzen Sie die folgenden Platzhalter:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Die Kundennummer, die Sie aus der Google SecOps-Konsole kopiert haben
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cb_edr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<your-customer-id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CB_EDR
      raw_log_field: body
      ingestion_labels:
        env: production
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Carbon Black EDR cb-event-forwarder für Syslog-Ausgabe konfigurieren

1. Melden Sie sich über SSH beim Carbon Black EDR-Server an.

2. Öffnen Sie die cb-event-forwarder-Konfigurationsdatei:

   sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf
   

3. Konfigurieren Sie im Abschnitt [bridge] die folgenden Einstellungen:

   [bridge]
   server_name=cbserver
   

   Hinweis :Der Wert server_name ist ein Label, das in der gesamten JSON-Ausgabe als cb_server angezeigt wird. Verwenden Sie einen aussagekräftigen Namen für Ihre EDR-Bereitstellung, z. B. cbserver-prod.

4. Wenn cb-event-forwarder auf einem anderen Host als dem EDR-Server installiert ist, geben Sie die RabbitMQ-Anmeldedaten und den Hostnamen an. Diese Werte finden Sie auf dem EDR-Server unter /etc/cb/cb.conf:

   rabbit_mq_username=cb
   rabbit_mq_password=<RABBITMQ_PASSWORD>
   cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>
   

   Hinweis: Wenn cb-event-forwarder auf demselben Host wie der EDR-Server installiert ist, lassen Sie diese Felder leer, damit automatisch lokale Anmeldedaten verwendet werden.

5. Optional können Sie cb_server_url festlegen, um Deeplinks in weitergeleiteten Ereignissen zu aktivieren, die auf die EDR-Konsole verweisen:

   cb_server_url=https://<YOUR_EDR_SERVER_FQDN>
   

   Hinweis: Wenn dies nicht festgelegt ist, wird cb-event-forwarder standardmäßig auf den FQDN des Hosts gesetzt, auf dem es installiert ist. Deeplinks ermöglichen die Navigation mit nur einem Klick zu Prozess-, Binär- und Sensordetails in der EDR-Konsole.

6. Konfigurieren Sie den Ausgabetyp und das Format für die Syslog-Zustellung:

   output_type=tcp
   output_format=json
   tcpout=<BINDPLANE_AGENT_IP>:514
   

   Hinweis: Gültige output_type-Werte für die Syslog-Zustellung sind tcp, udp oder syslog. Verwenden Sie tcp für eine zuverlässige Übermittlung. Der Ausgabetyp syslog unterstützt die TLS-Verschlüsselung im Format tcp+tls:<hostname>:<port>. Setzen Sie output_format auf json für die Google SecOps-Aufnahme.

7. Konfigurieren Sie, welche Ereignisse weitergeleitet werden sollen. Die folgenden Einstellungen steuern Ereignisabos:

   events_raw_sensor=0
   events_watchlist=ALL
   events_feed=ALL
   events_alert=ALL
   

   Hinweis: Wenn Sie events_raw_sensor auf ALL setzen, wird eine große Anzahl von Ereignissen generiert, was sich auf die Leistung des EDR-Servers auswirken kann. Leiten Sie nur die benötigten Ereignistypen weiter. Wenn Sie Rohsensordaten aktivieren möchten, müssen Sie auch DatastoreBroadcastEventTypes=True in /etc/cb/cb.conf auf dem EDR-Server festlegen.

8. Speichern und schließen Sie die Konfigurationsdatei.

9. Starten Sie den cb-event-forwarder-Dienst neu:

   sudo systemctl restart cb-event-forwarder
   

10. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status cb-event-forwarder
    

11. Prüfen Sie die Bindplane-Agent-Logs, um festzustellen, ob Logs gesendet werden.

Weitere Informationen finden Sie im cb-event-forwarder-Repository auf GitHub.

Option 2: Amazon S3-Aufnahme

Carbon Black EDR cb-event-forwarder für S3-Ausgabe konfigurieren

1. Melden Sie sich über SSH beim Carbon Black EDR-Server an.

2. Öffnen Sie die cb-event-forwarder-Konfigurationsdatei:

   sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf
   

3. Konfigurieren Sie im Abschnitt [bridge] die folgenden Einstellungen:

   [bridge]
   server_name=cbserver
   

4. Wenn cb-event-forwarder auf einem anderen Host als dem EDR-Server installiert ist, geben Sie die RabbitMQ-Anmeldedaten und den Hostnamen an:

   rabbit_mq_username=cb
   rabbit_mq_password=<RABBITMQ_PASSWORD>
   cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>
   

5. Optional können Sie cb_server_url festlegen, um Deeplinks in weitergeleiteten Ereignissen zu aktivieren:

   cb_server_url=https://<YOUR_EDR_SERVER_FQDN>
   

6. Konfigurieren Sie den Ausgabetyp und das Format für die S3-Zustellung:

   output_type=s3
   output_format=json
   s3out=<TEMP_DIR>:<AWS_REGION>:<S3_BUCKET_NAME>
   

   Hinweis: Der Wert s3out verwendet das Format <temp-file-directory>:<region>:<bucket-name>. Das Standardverzeichnis für temporäre Dateien ist /var/cb/data/event-forwarder. Beispiel: s3out=/var/cb/data/event-forwarder:us-east-1:cb-edr-logs.

7. Optional können Sie im Abschnitt [s3] zusätzliche S3-Einstellungen konfigurieren:

   [s3]
   bundle_send_timeout=300
   upload_empty_files=false
   bundle_size_max=10485760
   

   Hinweis: Standardmäßig werden Ereignisse von cb-event-forwarder alle 300 Sekunden oder wenn die temporäre Datei 10 MB erreicht, an S3 übertragen. Legen Sie upload_empty_files=false fest, um das Senden leerer Bundles zu vermeiden. Der cb-event-forwarder verwendet AWS-Anmeldedatenprofile aus $HOME/.aws/credentials. Sie können ein benutzerdefiniertes Profil mit credential_profile=<profile_name> oder credential_profile=<filepath>:<profile_name> angeben.

8. Konfigurieren Sie, welche Ereignisse weitergeleitet werden sollen:

   events_raw_sensor=0
   events_watchlist=ALL
   events_feed=ALL
   events_alert=ALL
   

9. Speichern und schließen Sie die Konfigurationsdatei.

10. Starten Sie den cb-event-forwarder-Dienst neu:

    sudo systemctl restart cb-event-forwarder
    

11. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status cb-event-forwarder
    

Weitere Informationen finden Sie im cb-event-forwarder-Repository auf GitHub.

AWS S3-Bucket und IAM für Google SecOps konfigurieren

1. Erstellen Sie einen Amazon S3-Bucket gemäß diesem Nutzerhandbuch: Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung.
3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
4. Wählen Sie den erstellten Nutzer aus.
5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
6. Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
7. Wählen Sie als Anwendungsfall Drittanbieterdienst aus.
8. Klicken Sie auf Weiter.
9. Optional: Fügen Sie ein Beschreibungs-Tag hinzu.
10. Klicken Sie auf Zugriffsschlüssel erstellen.
11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.
12. Klicken Sie auf Fertig.
13. Wählen Sie den Tab Berechtigungen aus.
14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
15. Wählen Sie Berechtigungen hinzufügen aus.
16. Wählen Sie Richtlinien direkt anhängen aus.
17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
18. Wählen Sie die Richtlinie aus.
19. Klicken Sie auf Weiter.
20. Klicken Sie auf Berechtigungen hinzufügen.

Feed in Google SecOps konfigurieren, um Carbon Black EDR-Protokolle aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Nachrichten-Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie einen eindeutigen Feednamen ein.
5. Wählen Sie als Quelltyp Amazon S3 V2 aus.
6. Wählen Sie Carbon Black EDR als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter und dann auf Senden.

8. Geben Sie Werte für die folgenden Felder an:

   • S3-URI: s3://<S3_BUCKET_NAME>/
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
   • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket
   • Geheimer Zugriffsschlüssel: Geheimer Schlüssel des Nutzers mit Zugriff auf den S3-Bucket
   • Asset-Namespace: Der Asset-Namespace
   • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll
   Hinweis: Wenn Sie die Option Delete transferred files oder Delete transferred files and empty directories auswählen, müssen Sie dem Dienstkonto die entsprechenden Berechtigungen gewähren.

9. Klicken Sie auf Weiter und dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
ioc_about	about	Zusammengeführt
ioc_attrs_highlights_about	about	Zusammengeführt
ioc_qs_about	about	Zusammengeführt
local_about	about	Zusammengeführt
remote_about	about	Zusammengeführt
additional_blocked_threat_category	additional.fields	Zusammengeführt
additional_cmdline	additional.fields	Zusammengeführt
additional_created_by_event_id	additional.fields	Zusammengeführt
additional_crossproc_api	additional.fields	Zusammengeführt
additional_crossproc_guid	additional.fields	Zusammengeführt
additional_crossproc_md5	additional.fields	Zusammengeführt
additional_crossproc_rep	additional.fields	Zusammengeführt
additional_crossproc_sha256	additional.fields	Zusammengeführt
additional_crossproc_target	additional.fields	Zusammengeführt
additional_data	additional.fields	Zusammengeführt
additional_device_location	additional.fields	Zusammengeführt
additional_dns_name	additional.fields	Zusammengeführt
additional_event_id	additional.fields	Zusammengeführt
additional_fileless_scriptload_cmdline_length	additional.fields	Zusammengeführt
additional_fileless_scriptload_hash	additional.fields	Zusammengeführt
additional_first_event_time	additional.fields	Zusammengeführt
additional_ioc_confidence	additional.fields	Zusammengeführt
additional_ioc_query_index	additional.fields	Zusammengeführt
additional_ioc_query_string	additional.fields	Zusammengeführt
additional_ioc_type	additional.fields	Zusammengeführt
additional_ja3	additional.fields	Zusammengeführt
additional_ja3s	additional.fields	Zusammengeführt
additional_last_event_time	additional.fields	Zusammengeführt
additional_last_update_time	additional.fields	Zusammengeführt
additional_not_blocked_threat_category	additional.fields	Zusammengeführt
additional_parent_name	additional.fields	Zusammengeführt
additional_path	additional.fields	Zusammengeführt
additional_policy_applied	additional.fields	Zusammengeführt
additional_policy_id	additional.fields	Zusammengeführt
additional_process_name	additional.fields	Zusammengeführt
additional_process_name_field	additional.fields	Zusammengeführt
additional_process_sha256	additional.fields	Zusammengeführt
additional_reason_code	additional.fields	Zusammengeführt
additional_regmod_count	additional.fields	Zusammengeführt
additional_report_id	additional.fields	Zusammengeführt
additional_run_state	additional.fields	Zusammengeführt
additional_scriptload_count	additional.fields	Zusammengeführt
additional_scriptload_rep	additional.fields	Zusammengeführt
additional_start	additional.fields	Zusammengeführt
additional_status	additional.fields	Zusammengeführt
additional_threat_cause_actor_process_pid	additional.fields	Zusammengeführt
additional_threat_cause_actor_sha256	additional.fields	Zusammengeführt
additional_threat_cause_cause_event_id	additional.fields	Zusammengeführt
additional_threat_cause_reputation	additional.fields	Zusammengeführt
additional_threat_cause_threat_category	additional.fields	Zusammengeführt
additional_threat_cause_vector	additional.fields	Zusammengeführt
additional_username	additional.fields	Zusammengeführt
additional_watchlist_id	additional.fields	Zusammengeführt
additional_watchlist_name	additional.fields	Zusammengeführt
additional_workflow_changed_by	additional.fields	Zusammengeführt
additional_workflow_comment	additional.fields	Zusammengeführt
additional_workflow_remediation	additional.fields	Zusammengeführt
additional_workflow_state	additional.fields	Zusammengeführt
alert_origin_label	additional.fields	Zusammengeführt
change_timestamp_label	additional.fields	Zusammengeführt
changed_by_label	additional.fields	Zusammengeführt
changed_by_type_label	additional.fields	Zusammengeführt
closure_reason_label	additional.fields	Zusammengeführt
comms_ip_label	additional.fields	Zusammengeführt
detection_timestamp_label	additional.fields	Zusammengeführt
index_type_label	additional.fields	Zusammengeführt
last_event_timestamp_label	additional.fields	Zusammengeführt
last_update_label	additional.fields	Zusammengeführt
parent_effective_reputation_label	additional.fields	Zusammengeführt
parent_reputation_label	additional.fields	Zusammengeführt
primary_event_id_label	additional.fields	Zusammengeführt
process_effective_reputation_label	additional.fields	Zusammengeführt
process_issuer_label	additional.fields	Zusammengeführt
process_publisher_label	additional.fields	Zusammengeführt
product_name_label	additional.fields	Zusammengeführt
search_query_label	additional.fields	Zusammengeführt
segment_id_label	additional.fields	Zusammengeführt
start_time_label	additional.fields	Zusammengeführt
status_label	additional.fields	Zusammengeführt
vendor_name_label	additional.fields	Zusammengeführt
_intermediary	intermediary	Zusammengeführt
intermediary	intermediary	Zusammengeführt
device_name	intermediary.asset.hostname	Direkt zugeordnet
device_internal_ip	intermediary.asset.ip	Zusammengeführt
device_name	intermediary.hostname	Direkt zugeordnet
comms_ip	intermediary.ip	Zusammengeführt
device_internal_ip	intermediary.ip	Zusammengeführt
intermediary_ip	intermediary.ip	Zusammengeführt
description	metadata.description	Direkt zugeordnet
event_description	metadata.description	Umbenannt/zugeordnet
reason	metadata.description	Direkt zugeordnet
action	metadata.product_event_type	Direkt zugeordnet
type	metadata.product_event_type	Direkt zugeordnet
id	metadata.product_log_id	Direkt zugeordnet
cb_version	metadata.product_version	Direkt zugeordnet
alert_url	metadata.url_back_to_product	Direkt zugeordnet
direction	network.direction	Direkt zugeordnet
ioc_attr.direction	network.direction	Direkt zugeordnet
ioc_attr.protocol	network.ip_protocol	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Umbenannt/zugeordnet
session_id	network.session_id	Direkt zugeordnet
proxy_domain	observer.hostname	Direkt zugeordnet
proxy_ip	observer.ip	Zusammengeführt
proxy_port	observer.port	Umbenannt/zugeordnet
device_username	principal.administrative_domain	Direkt zugeordnet
domain	principal.administrative_domain	Direkt zugeordnet
orgName	principal.administrative_domain	Direkt zugeordnet
deviceInfo.deviceId	principal.asset.asset_id	Direkt zugeordnet
device_id	principal.asset.asset_id	Direkt zugeordnet
asset_group_label	principal.asset.attribute.labels	Zusammengeführt
device_target_value_label	principal.asset.attribute.labels	Zusammengeführt
device_uem_id_label	principal.asset.attribute.labels	Zusammengeführt
computer_name	principal.asset.hostname	Direkt zugeordnet
dev_hostname	principal.asset.hostname	Direkt zugeordnet
device_name	principal.asset.hostname	Direkt zugeordnet
host	principal.asset.hostname	Direkt zugeordnet
clientIp	principal.asset.ip	Zusammengeführt
deviceInfo.internalIpAddress	principal.asset.ip	Zusammengeführt
device_external_ip	principal.asset.ip	Zusammengeführt
device_internal_ip	principal.asset.ip	Zusammengeführt
docs.0.interface_ip	principal.asset.ip	Zusammengeführt
interface_ip	principal.asset.ip	Zusammengeführt
local_ip	principal.asset.ip	Zusammengeführt
remote_ip	principal.asset.ip	Zusammengeführt
device_location	principal.asset.location.name	Direkt zugeordnet
deviceInfo.deviceVersion	principal.asset.platform_software.platform_version	Direkt zugeordnet
sensor_id	principal.asset_id	Direkt zugeordnet
deviceInfo.groupName	principal.group.group_display_name	Direkt zugeordnet
device_group	principal.group.group_display_name	Direkt zugeordnet
group	principal.group.group_display_name	Direkt zugeordnet
computer_name	principal.hostname	Direkt zugeordnet
dev_hostname	principal.hostname	Direkt zugeordnet
device_name	principal.hostname	Direkt zugeordnet
host	principal.hostname	Direkt zugeordnet
clientIp	principal.ip	Zusammengeführt
deviceInfo.internalIpAddress	principal.ip	Zusammengeführt
device_external_ip	principal.ip	Zusammengeführt
device_internal_ip	principal.ip	Zusammengeführt
docs.0.interface_ip	principal.ip	Zusammengeführt
interface_ip	principal.ip	Zusammengeführt
local_ip	principal.ip	Zusammengeführt
remote_ip	principal.ip	Zusammengeführt
device_external_ip	principal.nat_ip	Zusammengeführt
normalized_device_os	principal.platform	Direkt zugeordnet
device_os_version	principal.platform_version	Direkt zugeordnet
local_port	principal.port	Umbenannt/zugeordnet
remote_port	principal.port	Umbenannt/zugeordnet
process_cmdline	principal.process.command_line	Direkt zugeordnet
parent_path	principal.process.file.full_path	Direkt zugeordnet
process_name	principal.process.file.full_path	Direkt zugeordnet
process_path	principal.process.file.full_path	Direkt zugeordnet
doc.process_md5	principal.process.file.md5	Direkt zugeordnet
md5	principal.process.file.md5	Direkt zugeordnet
parent_md5	principal.process.file.md5	Direkt zugeordnet
process_hash.0	principal.process.file.md5	Direkt zugeordnet
process_md5	principal.process.file.md5	Direkt zugeordnet
doc.process_sha256	principal.process.file.sha256	Direkt zugeordnet
process_hash.1	principal.process.file.sha256	Direkt zugeordnet
process_sha256	principal.process.file.sha256	Direkt zugeordnet
sha256	principal.process.file.sha256	Direkt zugeordnet
parent_cmdline	principal.process.parent_process.command_line	Direkt zugeordnet
parent_name	principal.process.parent_process.file.full_path	Direkt zugeordnet
parent_path	principal.process.parent_process.file.full_path	Direkt zugeordnet
val.parent_name	principal.process.parent_process.file.full_path	Direkt zugeordnet
parent_hash.0	principal.process.parent_process.file.md5	Direkt zugeordnet
parent_md5	principal.process.parent_process.file.md5	Direkt zugeordnet
parent_hash.1	principal.process.parent_process.file.sha256	Direkt zugeordnet
parent_sha256	principal.process.parent_process.file.sha256	Direkt zugeordnet
doc.parent_pid	principal.process.parent_process.pid	Direkt zugeordnet
parent_pid	principal.process.parent_process.pid	Direkt zugeordnet
doc.parent_guid	principal.process.parent_process.product_specific_process_id	Direkt zugeordnet
parent_guid	principal.process.parent_process.product_specific_process_id	Direkt zugeordnet
parent_username	principal.process.parent_process.user.userid	Umbenannt/zugeordnet
doc.process_pid	principal.process.pid	Direkt zugeordnet
parent_pid	principal.process.pid	Direkt zugeordnet
pid	principal.process.pid	Direkt zugeordnet
process_id	principal.process.pid	Direkt zugeordnet
process_pid	principal.process.pid	Direkt zugeordnet
parent_process_guid	principal.process.product_specific_process_id	Direkt zugeordnet
process_guid	principal.process.product_specific_process_id	Direkt zugeordnet
org_key_label	principal.resource.attribute.labels	Zusammengeführt
feed_id	principal.resource.id	Direkt zugeordnet
feed_name	principal.resource.name	Direkt zugeordnet
link_process	principal.url	Umbenannt/zugeordnet
process_username	principal.user.user_display_name	Direkt zugeordnet
dev_username	principal.user.userid	Umbenannt/zugeordnet
process_username	principal.user.userid	Direkt zugeordnet
username	principal.user.userid	Direkt zugeordnet
_security_result	security_result	Zusammengeführt
_security_result0	security_result	Zusammengeführt
sec_result	security_result	Zusammengeführt
security_result	security_result	Zusammengeführt
security_result_attack	security_result	Zusammengeführt
sec_action	security_result.action	Zusammengeführt
policy_applied	security_result.action_details	Direkt zugeordnet
tactic	security_result.attack_details.tactics	Zusammengeführt
category	security_result.category_details	Zusammengeführt
report_description	security_result.description	Direkt zugeordnet
alert_notes_present_label	security_result.detection_fields	Zusammengeführt
childproc_effective_reputation_label	security_result.detection_fields	Zusammengeführt
childproc_publisher_name_label	security_result.detection_fields	Zusammengeführt
childproc_publisher_state_label	security_result.detection_fields	Zusammengeführt
childproc_rep_label	security_result.detection_fields	Zusammengeführt
detection_action	security_result.detection_fields	Zusammengeführt
detection_blocked_threat_category	security_result.detection_fields	Zusammengeführt
detection_crossproc_publisher_name	security_result.detection_fields	Zusammengeführt
detection_crossproc_publisher_state	security_result.detection_fields	Zusammengeführt
detection_event_origin	security_result.detection_fields	Zusammengeführt
detection_event_origin_proc_publisher_name	security_result.detection_fields	Zusammengeführt
detection_event_origin_proc_publisher_state	security_result.detection_fields	Zusammengeführt
detection_fileless_scriptload_cmdline	security_result.detection_fields	Zusammengeführt
detection_ioc_hit	security_result.detection_fields	Zusammengeführt
detection_ioc_id	security_result.detection_fields	Zusammengeführt
detection_not_blocked_threat_category	security_result.detection_fields	Zusammengeführt
detection_policy_name	security_result.detection_fields	Zusammengeführt
detection_report_link	security_result.detection_fields	Zusammengeführt
detection_report_name	security_result.detection_fields	Zusammengeführt
detection_run_state	security_result.detection_fields	Zusammengeführt
detection_scriptload_eff_rep	security_result.detection_fields	Zusammengeführt
detection_scriptload_publisher	security_result.detection_fields	Zusammengeführt
detection_sensor_action	security_result.detection_fields	Zusammengeführt
detection_threat_cause_actor_name	security_result.detection_fields	Zusammengeführt
detection_threat_cause_actor_sha256	security_result.detection_fields	Zusammengeführt
detection_threat_cause_threat_category	security_result.detection_fields	Zusammengeführt
determination_change_timestamp_label	security_result.detection_fields	Zusammengeführt
determination_changed_by_label	security_result.detection_fields	Zusammengeführt
determination_changed_by_type_label	security_result.detection_fields	Zusammengeführt
determination_value_label	security_result.detection_fields	Zusammengeführt
device_policy_id_label	security_result.detection_fields	Zusammengeführt
id_label	security_result.detection_fields	Zusammengeführt
is_updated_label	security_result.detection_fields	Zusammengeführt
label_alert_severity	security_result.detection_fields	Zusammengeführt
label_device_priority_field	security_result.detection_fields	Zusammengeführt
label_eff_rep	security_result.detection_fields	Zusammengeführt
label_modload_count	security_result.detection_fields	Zusammengeführt
label_modload_md5	security_result.detection_fields	Zusammengeführt
label_modload_publisher_name	security_result.detection_fields	Zusammengeführt
label_modload_publisher_state	security_result.detection_fields	Zusammengeführt
label_modload_sha256	security_result.detection_fields	Zusammengeführt
mdr_alert_label	security_result.detection_fields	Zusammengeführt
mdr_alert_notes_present_label	security_result.detection_fields	Zusammengeführt
mdr_threat_notes_present_label	security_result.detection_fields	Zusammengeführt
modload_label	security_result.detection_fields	Zusammengeführt
name_label	security_result.detection_fields	Zusammengeführt
parent_username_label	security_result.detection_fields	Zusammengeführt
process_reputation_label	security_result.detection_fields	Zusammengeführt
process_username_label	security_result.detection_fields	Zusammengeführt
reason_code_label	security_result.detection_fields	Zusammengeführt
run_state_label	security_result.detection_fields	Zusammengeführt
tags_label	security_result.detection_fields	Zusammengeführt
threat_notes_present_label	security_result.detection_fields	Zusammengeführt
workflow_status_label	security_result.detection_fields	Zusammengeführt
device_policy	security_result.rule_name	Direkt zugeordnet
severity	security_result.severity	Direkt zugeordnet
threat_id	security_result.threat_id	Direkt zugeordnet
threat_cause_actor_name	security_result.threat_name	Direkt zugeordnet
device_external_ip	target.asset.ip	Zusammengeführt
ioc_value	target.asset.ip	Zusammengeführt
local_ip	target.asset.ip	Zusammengeführt
netconn_ip	target.asset.ip	Zusammengeführt
remote_ip	target.asset.ip	Zusammengeführt
filemod_name	target.file.full_path	Direkt zugeordnet
path	target.file.full_path	Direkt zugeordnet
process_path	target.file.full_path	Direkt zugeordnet
utf8_on_disk_filename	target.file.full_path	Direkt zugeordnet
file_md5	target.file.md5	Direkt zugeordnet
filemod_hash.0	target.file.md5	Umbenannt/zugeordnet
md5	target.file.md5	Direkt zugeordnet
file_sha256	target.file.sha256	Direkt zugeordnet
filemod_hash.1	target.file.sha256	Umbenannt/zugeordnet
sha256	target.file.sha256	Direkt zugeordnet
size	target.file.size	Umbenannt/zugeordnet
group	target.group.group_display_name	Direkt zugeordnet
domain	target.hostname	Direkt zugeordnet
netconn_domain	target.hostname	Direkt zugeordnet
deviceInfo.externalIpAddress	target.ip	Zusammengeführt
device_external_ip	target.ip	Zusammengeführt
ioc_value	target.ip	Zusammengeführt
local_ip	target.ip	Zusammengeführt
netconn_ip	target.ip	Zusammengeführt
remote_ip	target.ip	Zusammengeführt
normalized_device_os	target.platform	Direkt zugeordnet
local_port	target.port	Umbenannt/zugeordnet
remote_port	target.port	Umbenannt/zugeordnet
requested_access	target.process.access_mask	Umbenannt/zugeordnet
child_command_line	target.process.command_line	Direkt zugeordnet
childproc_cmdline	target.process.command_line	Direkt zugeordnet
cmdline	target.process.command_line	Direkt zugeordnet
command_line	target.process.command_line	Direkt zugeordnet
docs.0.cmdline	target.process.command_line	Direkt zugeordnet
process_cmdline	target.process.command_line	Direkt zugeordnet
target_cmdline	target.process.command_line	Direkt zugeordnet
childproc_name	target.process.file.full_path	Direkt zugeordnet
crossproc_name	target.process.file.full_path	Direkt zugeordnet
docs.0.path	target.process.file.full_path	Direkt zugeordnet
modload_name	target.process.file.full_path	Direkt zugeordnet
path	target.process.file.full_path	Direkt zugeordnet
process_path	target.process.file.full_path	Direkt zugeordnet
target_path	target.process.file.full_path	Direkt zugeordnet
childproc_hash.0	target.process.file.md5	Umbenannt/zugeordnet
md5	target.process.file.md5	Direkt zugeordnet
target_md5	target.process.file.md5	Direkt zugeordnet
childproc_hash.1	target.process.file.sha256	Umbenannt/zugeordnet
childproc_sha256	target.process.file.sha256	Direkt zugeordnet
sha256	target.process.file.sha256	Direkt zugeordnet
target_sha256	target.process.file.sha256	Direkt zugeordnet
parent_path	target.process.parent_process.file.full_path	Direkt zugeordnet
docs.0.parent_pid	target.process.parent_process.pid	Direkt zugeordnet
parent_pid	target.process.parent_process.pid	Direkt zugeordnet
docs.0.parent_guid	target.process.parent_process.product_specific_process_id	Direkt zugeordnet
child_pid	target.process.pid	Direkt zugeordnet
childproc_pid	target.process.pid	Umbenannt/zugeordnet
docs.0.process_pid	target.process.pid	Direkt zugeordnet
pid	target.process.pid	Direkt zugeordnet
process_pid	target.process.pid	Direkt zugeordnet
target_pid	target.process.pid	Direkt zugeordnet
child_process_guid	target.process.product_specific_process_id	Direkt zugeordnet
childproc_guid	target.process.product_specific_process_id	Direkt zugeordnet
docs.0.process_guid	target.process.product_specific_process_id	Direkt zugeordnet
process_guid	target.process.product_specific_process_id	Direkt zugeordnet
target_process_guid	target.process.product_specific_process_id	Direkt zugeordnet
path	target.registry.registry_key	Direkt zugeordnet
path1	target.registry.registry_key	Direkt zugeordnet
regmod_key	target.registry.registry_key	Direkt zugeordnet
regmod_name	target.registry.registry_key	Direkt zugeordnet
regmod_value	target.registry.registry_value_name	Direkt zugeordnet
value_name	target.registry.registry_value_name	Direkt zugeordnet
product_id_label	target.resource.attribute.labels	Zusammengeführt
serial_number_label	target.resource.attribute.labels	Zusammengeführt
vendor_id_label	target.resource.attribute.labels	Zusammengeführt
report_id	target.resource.id	Direkt zugeordnet
watchlist_id	target.resource.id	Direkt zugeordnet
external_device_friendly_name	target.resource.name	Direkt zugeordnet
watchlist_name	target.resource.name	Direkt zugeordnet
docs.0.link_process	target.url	Direkt zugeordnet
loginName	target.user.email_addresses	Zusammengeführt
child_username	target.user.userid	Direkt zugeordnet
childproc_username	target.user.userid	Direkt zugeordnet
docs.0.username	target.user.userid	Umbenannt/zugeordnet
loginName	target.user.userid	Direkt zugeordnet
–	about	Konstante: local_about
–	additional.fields	Konstante: additional_data
–	extensions.auth.type	Konstante: AUTHTYPE_UNSPECIFIED
–	intermediary	Konstante: _intermediary
–	intermediary.asset.ip	Konstante: device_internal_ip
–	intermediary.ip	Konstante: device_internal_ip
–	metadata.event_type	Konstante: GENERIC_EVENT
–	metadata.product_name	Konstante: EDR
–	metadata.vendor_name	Konstante: Carbon Black
–	network.direction	Konstante: INBOUND
–	network.ip_protocol	Konstante: TCP
–	observer.ip	Konstante: proxy_ip
–	principal.asset.attribute.labels	Konstante: device_uem_id_label
–	principal.asset.ip	Konstante: local_ip
–	principal.asset.platform_software.platform	Konstante: WINDOWS
–	principal.ip	Konstante: local_ip
–	principal.nat_ip	Konstante: device_external_ip
–	principal.platform	Konstante: WINDOWS
–	principal.resource.attribute.labels	Konstante: org_key_label
–	principal.resource.resource_subtype	Konstante: Feed
–	security_result	Konstante: security_result
–	security_result.action	Konstante: sec_action
–	security_result.alert_state	Konstante: ALERTING
–	security_result.attack_details.tactics	Konstante: tactic
–	security_result.category_details	Konstante: category
–	security_result.detection_fields	Konstante: process_reputation_label
–	security_result.severity	Konstante: LOW
–	target.asset.ip	Konstante: device_external_ip
–	target.ip	Konstante: device_external_ip
–	target.resource.attribute.labels	Konstante: vendor_id_label
–	target.resource.name	Konstante: report_id
–	target.resource.type	Konstante: watchlist
–	target.user.email_addresses	Konstante: loginName
org_key	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
workflow.changed_by	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
primary_event_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
workflow.closure_reason	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
workflow.changed_by_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
alert_origin	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
device_username	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
vendor_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
product_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
tags	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
run_state	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
workflow.status	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
alert_notes_present	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
threat_notes_present	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
is_updated	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
device_policy_id	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
mdr_alert	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
mdr_alert_notes_present	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
mdr_threat_notes_present	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
determination.changed_by	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
determination.changed_by_type	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
determination.value	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
reason_code	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
device_uem_id	event.idm.read_only_udm.principal.asset.attribute.labels	Aus Änderungsprotokoll zugeordnet
device_target_value	event.idm.read_only_udm.principal.asset.attribute.labels	Aus Änderungsprotokoll zugeordnet
asset_group	event.idm.read_only_udm.principal.asset.attribute.labels	Aus Änderungsprotokoll zugeordnet
device_policy	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
device_location	event.idm.read_only_udm.principal.asset.location.name	Aus Änderungsprotokoll zugeordnet
device_os_version	event.idm.read_only_udm.principal.platform_version	Aus Änderungsprotokoll zugeordnet
vendor_id	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
product_id	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
serial_number	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
external_device_friendly_name	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
first_event_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
policy_applied	event.idm.read_only_udm.security_result.action_details	Aus Änderungsprotokoll zugeordnet
device_internal_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
threat_id	event.idm.read_only_udm.security_result.threat_id	Aus Änderungsprotokoll zugeordnet
severity	event.idm.read_only_udm.security_result.severity	Aus Änderungsprotokoll zugeordnet
id	event.idm.read_only_udm.metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
feed_id	event.idm.read_only_udm.principal.resource.id	Aus Änderungsprotokoll zugeordnet
intermediary_ip	event.idm.read_only_udm.intermediary.ip	Aus Änderungsprotokoll zugeordnet
session_id	event.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
interface_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
host	event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet
reason	event.idm.read_only_udm.metadata.description	Aus Änderungsprotokoll zugeordnet
segment_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
index_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
search_query	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
start_time	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
last_update	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
watchlist_id	event.idm.read_only_udm.target.resource.id	Aus Änderungsprotokoll zugeordnet
watchlist_name	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
group	event.idm.read_only_udm.target.group.group_display_name	Aus Änderungsprotokoll zugeordnet
report_id	event.idm.read_only_udm.target.resource.id	Aus Änderungsprotokoll zugeordnet
report_id	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
process_sha256	event.idm.read_only_udm.principal.process.file.sha256	Aus Änderungsprotokoll zugeordnet
alliance_data_attackframework	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
alliance_updated_attackframework	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
alliance_score_attackframework	event.idm.read_only_udm.security_result.confidence_score	Aus Änderungsprotokoll zugeordnet
alliance_link_attackframework	event.idm.read_only_udm.security_result.url_back_to_product	Aus Änderungsprotokoll zugeordnet
comms_ip	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten