‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של CrowdStrike Falcon בפורמט CEF

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומנים של CrowdStrike Falcon בפורמט CEF באמצעות Bindplane. הכלי לניתוח מחלץ זוגות של מפתח וערך וממפה אותם למודל הנתונים המאוחד (UDM). הוא מטפל בתווים שונים להפרדה בין ערכים ומעשיר את הנתונים בהקשר נוסף, כמו חומרת הבעיה וסוגי האירועים. בנוסף, הוא מבצע טרנספורמציות ספציפיות לסוגים מסוימים של אירועים ולשדות מסוימים, כמו התחברות של משתמשים ותוצאות אבטחה.

לפני שמתחילים

מוודאים שיש לכם מופע של Google Security Operations.
ודאו שאתם משתמשים ב-Windows 2016 ואילך, או במארח Linux עם systemd.
אם מריצים מאחורי שרת proxy, מוודאים שהיציאות בחומת האש פתוחות.
מוודאים שיש לכם גישת הרשאה למסוף CrowdStrike Falcon.
מקבלים פרטי כניסה ל-API של Falcon Stream (מזהה לקוח וסוד לקוח).

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents.
מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

התקנה ב-Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

ניגשים לקובץ התצורה:
1. מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /etc/bindplane-agent/ ב-Linux או בספריית ההתקנה ב-Windows.
2. פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

עורכים את הקובץ config.yaml באופן הבא:

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:54525"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: cs_falcon
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
מחליפים את <customer_id> במזהה הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו קובץ האימות נשמר בקטע קבלת קובץ אימות להעברה ל-Google SecOps.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart bindplane-agent
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

הגדרה וקבלת מפתח API של CrowdStrike

נכנסים ל-CrowdStrike Falcon באמצעות חשבון עם הרשאות.
נכנסים אל תפריט > תמיכה.
לוחצים על API Clients > KeysSelect (לקוחות API > בחירת מפתחות).
לוחצים על הוספת לקוח API חדש.
בקטע API Scopes (היקפי הרשאות של API), בוחרים באפשרויות Event streams (זרמי אירועים) ו-Alerts (התראות) > מפעילים את האפשרות Read (קריאה).
לוחצים על הוספה.
מעתיקים ושומרים את מזהה הלקוח, הסוד וכתובת ה-URL הבסיסית.

התקנת Falcon SIEM Connector

מורידים את חבילת ההתקנה של RPM למערכת ההפעלה.
התקנת חבילה:
- מערכת ההפעלה CentOS:
```
sudo rpm -Uvh <installer package>
```
- מערכת הפעלה Ubuntu:
```
sudo dpkg -i <installer package>
```
ספריות ההתקנה שמוגדרות כברירת מחדל:
- ‫Falcon SIEM Connector – ‏/opt/crowdstrike/.
- שירות – /etc/init.d/cs.falconhoseclientd/.

הגדרת המחבר של SIEM להעברת יומני CEF אל Bindplane

נכנסים למחשב עם SIEM Connector בתור משתמש sudo.
עוברים לספרייה /opt/crowdstrike/etc/.
שינוי השם של cs.falconhoseclient.cef.cfg לcs.falconhoseclient.cfg.
- כברירת מחדל, SIEM Connector משתמש בהגדרות cs.falconhoseclient.cfg.
עורכים את קובץ cs.falconhoseclient.cfg ומשנים או מגדירים את הפרמטרים הבאים:
- ‫api_url: – כתובת ה-URL הבסיסית של CrowdStrike Falcon שהעתקתם בשלב הקודם.
- ‫app_id: – מחרוזת כלשהי כמזהה לחיבור ל-Falcon Streaming API (לדוגמה, הגדרה ל-app_id: SECOPS-CEF).
- ‫client_id: – הערך client_id שהועתק מהשלב הקודם.
- ‫client_secret: – הערך client_secret שהועתק מהשלב הקודם.
- ‫send_to_syslog_server: true – הפעלת דחיפה לשרת Syslog.
- ‫host: – כתובת ה-IP או שם המארח של סוכן Bindplane.
- ‫port: – היציאה של סוכן Bindplane.
שומרים את קובץ ה-cs.falconhoseclient.cfg.
מפעילים את שירות המחבר של SIEM:
- מערכת ההפעלה CentOS
```
sudo service cs.falconhoseclientd start
```
- מערכת ההפעלה Ubuntu 16.04 ואילך
```
sudo systemctl start cs.falconhoseclientd.service
```
אופציונלי: מפסיקים את שירות SIEM Connector:
- מערכת ההפעלה CentOS
```
sudo service cs.falconhoseclientd stop
```
- מערכת ההפעלה Ubuntu 16.04 ואילך
```
sudo systemctl stop cs.falconhoseclientd.service
```
אופציונלי: מפעילים מחדש את שירות SIEM Connector:
- מערכת ההפעלה CentOS
```
sudo service cs.falconhoseclientd restart
```
- מערכת ההפעלה Ubuntu 16.04 ואילך
```
sudo systemctl restart cs.falconhoseclientd.service
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`AccountCreationTimeStamp`	`event.idm.read_only_udm.metadata.event_timestamp`	השם של שדה היומן הגולמי `AccountCreationTimeStamp` השתנה ל-`event.idm.read_only_udm.metadata.event_timestamp`.
`AccountDomain`	`event.idm.read_only_udm.principal.administrative_domain`	השם של שדה היומן הגולמי `AccountDomain` השתנה ל-`event.idm.read_only_udm.principal.administrative_domain`.
`AccountObjectGuid`	`event.idm.read_only_udm.metadata.product_log_id`	השם של שדה היומן הגולמי `AccountObjectGuid` השתנה ל-`event.idm.read_only_udm.metadata.product_log_id`.
`AccountObjectSid`	`event.idm.read_only_udm.principal.user.windows_sid`	השם של שדה היומן הגולמי `AccountObjectSid` השתנה ל-`event.idm.read_only_udm.principal.user.windows_sid`.
`AccessType`	-	לא ממופה לאובייקט IDM.
`action_taken`	`event.idm.read_only_udm.additional.fields[0].value.string_value`	חלק ממערך `AuditKeyValues`.
`ActiveCpuCount`	-	לא ממופה לאובייקט IDM.
`ActiveDirectoryAuthenticationMethod`	-	לא ממופה לאובייקט IDM.
`ActiveDirectoryDataProtocol`	-	לא ממופה לאובייקט IDM.
`AddressFamily`	-	לא ממופה לאובייקט IDM.
`AdminStatus`	-	לא ממופה לאובייקט IDM.
`AllocateVirtualMemoryCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`agent-windows`	`event.idm.read_only_udm.target.file.full_path`	חלק מ-TargetFileName.
`AgentIdString`	`event.idm.read_only_udm.principal.asset_id`	עם הקידומת `CS:`.
`AgentLoadFlags`	-	לא ממופה לאובייקט IDM.
`AgentLocalTime`	-	לא ממופה לאובייקט IDM.
`AgentOnline` `AgentTimeOffset`	-	לא ממופה לאובייקט IDM.
`AgentVersion` `AggregationActivityCount` `AggregationEarliestTimestamp`	-	לא ממופה לאובייקט IDM.
`aid`	`event.idm.read_only_udm.principal.asset_id`	עם הקידומת `CS:`.
`aip`	`event.idm.read_only_udm.principal.nat_ip`	אם הערך של `_aid_is_target` הוא false, והערך של `aip` הוא לא null, יוצרים ישות ip עם הערך של `aip` ומוסיפים אותה ל-`event.idm.read_only_udm.principal.nat_ip`.
`aipCount` `AllocVmEtw` `AllocationType`	-	לא ממופה לאובייקט IDM.
`AllowHardTerminate`	-	לא ממופה לאובייקט IDM.
`AllowStartOnDemand`	-	לא ממופה לאובייקט IDM.
`ApcArgument1`	-	לא ממופה לאובייקט IDM.
`ApcArgument2`	-	לא ממופה לאובייקט IDM.
`ApcContextAddress`	-	לא ממופה לאובייקט IDM.
`ApcContextFileName`	-	לא ממופה לאובייקט IDM.
`ApcContext`	-	לא ממופה לאובייקט IDM.
`ApplicationName` `ApplicationUniqueIdentifier`	-	לא ממופה לאובייקט IDM.
`ApplicationVersion`	-	לא ממופה לאובייקט IDM.
`AppIs64Bit`	-	לא ממופה לאובייקט IDM.
`AppName` `AppPath` `AppPathFlag`	-	לא ממופה לאובייקט IDM.
`AppProductId`	-	לא ממופה לאובייקט IDM.
`AppType`	-	לא ממופה לאובייקט IDM.
`AppUpdateIds`	-	לא ממופה לאובייקט IDM.
`AppVendor`	-	לא ממופה לאובייקט IDM.
`AppVersion` `ArchiveFileWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`AsepClass`	-	לא ממופה לאובייקט IDM.
`AsepFileChange` `AsepFlags`	-	לא ממופה לאובייקט IDM.
`AsepIndex`	-	לא ממופה לאובייקט IDM.
`AsepKeyUpdate` `AsepValueUpdate` `AsepValueType`	-	לא ממופה לאובייקט IDM.
`AsepWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`AssociateIndicator` `AssociateTreeIdWithRoot` `AssemblyFlags`	-	לא ממופה לאובייקט IDM.
`AssemblyId`	-	לא ממופה לאובייקט IDM.
`AssemblyName` `AuthenticationId`	`event.idm.read_only_udm.principal.user.product_object_id`	עם הקידומת `CS:`.
`AuthenticationPackage` `AuthenticationUuid`	-	לא ממופה לאובייקט IDM.
`AuthenticationUuidAsString`	-	לא ממופה לאובייקט IDM.
`AuthenticodeHashData` `AuthenticodeMatch` `automated_remediation`	`assessments.automated_remediation`	חלק מהאירוע `ZeroTrustHostAssessment`.
`BaseReachableTime`	-	לא ממופה לאובייקט IDM.
`BaseTime`	-	לא ממופה לאובייקט IDM.
`BatchDataNumber`	-	לא ממופה לאובייקט IDM.
`BatchDataTotal`	-	לא ממופה לאובייקט IDM.
`BatchTimestamp` `BatteryLevel`	-	לא ממופה לאובייקט IDM.
`BatteryStatus`	-	לא ממופה לאובייקט IDM.
`BehaviorWhitelisted` `benchmarks` `BenignCount`	-	לא ממופה לאובייקט IDM.
`beta_build_disabled`	`assessments.beta_build_disabled`	חלק מהאירוע `ZeroTrustHostAssessment`.
`BinaryExecutableWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`BillingInfo` `BillingType`	-	לא ממופה לאובייקט IDM.
`BiosManufacturer` `BiosReleaseDate`	-	לא ממופה לאובייקט IDM.
`BiosVersion` `BITSJobCreated` `BootArgs`	-	לא ממופה לאובייקט IDM.
`BootId`	-	לא ממופה לאובייקט IDM.
`BootStatusDataAabEnabled`	-	לא ממופה לאובייקט IDM.
`BootStatusDataBootAttemptCount`	-	לא ממופה לאובייקט IDM.
`BootStatusDataBootGood`	-	לא ממופה לאובייקט IDM.
`BootStatusDataBootShutdown`	-	לא ממופה לאובייקט IDM.
`BootTimeFunctionalityLevel`	-	לא ממופה לאובייקט IDM.
`BrowserInjectedThread` `BundleID`	-	לא ממופה לאובייקט IDM.
`CallStackModuleNames` `CallStackModuleNamesVersion` `ChannelId`	-	לא ממופה לאובייקט IDM.
`ChannelVersion`	-	לא ממופה לאובייקט IDM.
`ChannelVersionRequired` `ChasisManufacturer`	-	לא ממופה לאובייקט IDM.
`ChassisType` `cid` `City` `CLICreationCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`ClassifiedModuleLoad` `CloudAssociateTreeIdWithRoot` `CloudErrorCode`	-	לא ממופה לאובייקט IDM.
`CNAMERecords` `CodeIntegrity`	-	לא ממופה לאובייקט IDM.
`CommandLine` `CommandSequence`	-	לא ממופה לאובייקט IDM.
`CompletionEventId`	-	לא ממופה לאובייקט IDM.
`ComputerName`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	אם `ComputerName` הוא לא null, מחרוזת ריקה או מקף, יוצרים ישות של שם מארח עם הערך של `ComputerName` ומוסיפים אותה ל-`event.idm.read_only_udm.principal.hostname` ול-`event.idm.read_only_udm.principal.asset.hostname`.
`ConfigBuild` `ConfigIDBase`	-	לא ממופה לאובייקט IDM.
`ConfigIDBuild`	-	לא ממופה לאובייקט IDM.
`ConfigIDPlatform`	-	לא ממופה לאובייקט IDM.
`ConfigurationVersion`	-	לא ממופה לאובייקט IDM.
`ConfigStateData`	-	לא ממופה לאובייקט IDM.
`ConfigStateHash` `ConfigStateUpdate` `ConnectTime`	-	לא ממופה לאובייקט IDM.
`ConnectType`	-	לא ממופה לאובייקט IDM.
`Connected`	-	לא ממופה לאובייקט IDM.
`ConnectionCipher`	-	לא ממופה לאובייקט IDM.
`ConnectionCipherStrength`	-	לא ממופה לאובייקט IDM.
`ConnectionDirection`	-	לא ממופה לאובייקט IDM.
`ConnectionExchange`	-	לא ממופה לאובייקט IDM.
`ConnectionExchangeStrength`	-	לא ממופה לאובייקט IDM.
`ConnectionFlags`	-	לא ממופה לאובייקט IDM.
`ConnectionHash`	-	לא ממופה לאובייקט IDM.
`ConnectionHashStrength`	-	לא ממופה לאובייקט IDM.
`ConnectionProtocol`	-	לא ממופה לאובייקט IDM.
`ConnectionType`	-	לא ממופה לאובייקט IDM.
`Continent` `ContentSHA256HashData` `ContextData`	-	לא ממופה לאובייקט IDM.
`ContextProcessId`	`event.idm.read_only_udm.principal.process.product_specific_process_id`, `event.idm.read_only_udm.target.process.product_specific_process_id`	עם הקידומת `CS:%{cid}:%{aid}:`.
`ContextThreadId`	-	לא ממופה לאובייקט IDM.
`ContextTimeStamp` `ContextTimeStamp_decimal` `Country` `CrashDumpFilePath`	-	לא ממופה לאובייקט IDM.
`CrashNotification` `CreateProcessArgs` `CreateProcessCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`CreateService` `CreateThreadNoStartImage` `CreationTimeStamp`	-	לא ממופה לאובייקט IDM.
`CriticalFileAccessed` `CriticalFileModified` `CsaProcessDataCollectionInstanceId`	-	לא ממופה לאובייקט IDM.
`CurrentFunctionalityLevel`	-	לא ממופה לאובייקט IDM.
`CurrentLocalIP`	-	לא ממופה לאובייקט IDM.
`CurrentSystemTags` `CustomerIdString` `CycleTime`	-	לא ממופה לאובייקט IDM.
`DadState`	-	לא ממופה לאובייקט IDM.
`DadTransmits`	-	לא ממופה לאובייקט IDM.
`DcName`	`event.idm.read_only_udm.principal.user.userid`	השם של שדה היומן הגולמי `DcName` השתנה ל-`event.idm.read_only_udm.principal.user.userid`.
`DcNumAttachments`	-	לא ממופה לאובייקט IDM.
`DcNumBlockingPolicies`	-	לא ממופה לאובייקט IDM.
`DcOnline` `DcPropertyIdInterfaceType`	-	לא ממופה לאובייקט IDM.
`DcPropertyIdInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`DcSensorInterfaceType`	-	לא ממופה לאובייקט IDM.
`DcSensorInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`DcStatus` `DcUsbConfigurationDescriptor` `DcUsbDeviceConnected` `DcUsbDeviceDisconnected` `DcUsbEndpointDescriptor` `DcUsbHIDDescriptor` `DcUsbInterfaceDescriptor` `DCSyncAttempted` `Debug`	-	לא ממופה לאובייקט IDM.
`DefaultGatewayIP4`	-	לא ממופה לאובייקט IDM.
`DefaultGatewayIP6`	-	לא ממופה לאובייקט IDM.
`DefaultGatewayPhysicalAddress`	-	לא ממופה לאובייקט IDM.
`DeepHashBlacklistClassification` `DeepHashBlacklistVersion`	-	לא ממופה לאובייקט IDM.
`DeliverLocalFXToCloud` `DesiredAccess` `detectionId` `detectionName` `DetectDescription` `DetectId`	-	לא ממופה לאובייקט IDM.
`DetectName` `DeviceActiveConfigurationNumber`	-	לא ממופה לאובייקט IDM.
`DeviceConnectionStatus`	-	לא ממופה לאובייקט IDM.
`DeviceDescriptorNumber`	-	לא ממופה לאובייקט IDM.
`DeviceDescriptorSetHash`	-	לא ממופה לאובייקט IDM.
`DeviceDescriptorUniqueIdentifier`	-	לא ממופה לאובייקט IDM.
`DeviceId`	-	לא ממופה לאובייקט IDM.
`DeviceInstanceId`	`event.idm.read_only_udm.target.asset_id`	עם הקידומת `Device Instance Id:`.
`DeviceManufacturer` `DeviceProduct` `DeviceProductId`	-	לא ממופה לאובייקט IDM.
`DevicePropertyClassName`	-	לא ממופה לאובייקט IDM.
`DevicePropertyClassGuid`	-	לא ממופה לאובייקט IDM.
`DevicePropertyDeviceDescription` `DevicePropertyFriendlyName`	-	לא ממופה לאובייקט IDM.
`DevicePropertyLocationInformation` `DevicePropertyManufacturer`	-	לא ממופה לאובייקט IDM.
`DeviceProtocol`	-	לא ממופה לאובייקט IDM.
`DeviceSerialNumber` `DeviceTimeStamp` `DeviceType`	-	לא ממופה לאובייקט IDM.
`DeviceUsbClass`	-	לא ממופה לאובייקט IDM.
`DeviceUsbSubclass`	-	לא ממופה לאובייקט IDM.
`DeviceUsbVersion`	-	לא ממופה לאובייקט IDM.
`DeviceVendorId`	-	לא ממופה לאובייקט IDM.
`DeviceVersion`	-	לא ממופה לאובייקט IDM.
`DirectoryCreate` `DirectoryCreatedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DirectoryEnumeratedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DisableRealtimeMonitoring` `DisallowStartIfOnBatteries`	-	לא ממופה לאובייקט IDM.
`DisallowStartOnRemoteAppSession`	-	לא ממופה לאובייקט IDM.
`DiskParentDeviceInstanceId` `DllCharacteristics`	-	לא ממופה לאובייקט IDM.
`DllInjection` `DlpPolicy`	-	לא ממופה לאובייקט IDM.
`DlpVerdict`	-	לא ממופה לאובייקט IDM.
`DmpFileWritten` `DnsRequest` `DnsRequestCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DnsResponseType`	-	לא ממופה לאובייקט IDM.
`DnsResponseTtl`	-	לא ממופה לאובייקט IDM.
`DocumentFileWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DomainName`	`event.idm.read_only_udm.target.hostname`, `event.idm.read_only_udm.target.asset.hostname`, `event.idm.read_only_udm.network.dns.questions[0].name`	אם `DomainName` הוא לא null, יוצרים ישות של שם מארח עם הערך של `DomainName` ומוסיפים אותה ל-`event.idm.read_only_udm.target.hostname`, ל-`event.idm.read_only_udm.target.asset.hostname` ול-`event.idm.read_only_udm.network.dns.questions[0].name`.
`DotnetModuleFlags`	-	לא ממופה לאובייקט IDM.
`DotnetModuleId`	-	לא ממופה לאובייקט IDM.
`DotnetModuleLoadDetectInfo` `DownloadPath`	-	לא ממופה לאובייקט IDM.
`DownloadPort`	-	לא ממופה לאובייקט IDM.
`DownloadServer` `DriverLoad` `DualRequest`	-	לא ממופה לאובייקט IDM.
`EffectiveTransmissionClass` `Effective`	-	לא ממופה לאובייקט IDM.
`EfiSupported`	-	לא ממופה לאובייקט IDM.
`EfiVariableCustomMode`	-	לא ממופה לאובייקט IDM.
`EfiVariableCustomModeAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableDbAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableDbxAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableDbxSha256Hash`	-	לא ממופה לאובייקט IDM.
`EfiVariableKekAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableKekSha256Hash`	-	לא ממופה לאובייקט IDM.
`EfiVariablePkAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariablePkSha256Hash`	-	לא ממופה לאובייקט IDM.
`EfiVariableSecureBoot`	-	לא ממופה לאובייקט IDM.
`EfiVariableSecureBootAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableSetupMode`	-	לא ממופה לאובייקט IDM.
`EfiVariableSetupModeAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableSignatureSupport`	-	לא ממופה לאובייקט IDM.
`EfiVariableSignatureSupportAttributes`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorAddress`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorAttributes`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorInterval`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorMaxPacketSize`	-	לא ממופה לאובייקט IDM.
`EndOfProcess` `Entitlements` `ErrorEvent` `ErrorCode`	-	לא ממופה לאובייקט IDM.
`ErrorLocation`	-	לא ממופה לאובייקט IDM.
`ErrorReason`	-	לא ממופה לאובייקט IDM.
`ErrorSource`	-	לא ממופה לאובייקט IDM.
`ErrorStatus`	-	לא ממופה לאובייקט IDM.
`ErrorText`	-	לא ממופה לאובייקט IDM.
`EventLogCleared` `EventMax`	-	לא ממופה לאובייקט IDM.
`EventMin`	-	לא ממופה לאובייקט IDM.
`EventOrigin`	-	לא ממופה לאובייקט IDM.
`EventType`	`event.idm.read_only_udm.metadata.product_event_type`	אם `event_simpleName` הוא null ו-`EventType` הוא לא null, צריך ליצור ישות מסוג product_event_type עם הערך של `EventType` ולהוסיף אותה ל-`event.idm.read_only_udm.metadata.product_event_type`.
`EtwErrorEvent` `EtwRawProcessId`	-	לא ממופה לאובייקט IDM.
`EtwRawThreadId`	-	לא ממופה לאובייקט IDM.
`ExecutableDeleted` `ExecutableDeletedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`ExeAndServiceCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`ExitCode`	-	לא ממופה לאובייקט IDM.
`Exploit` `ExternalApiType`	`event.idm.read_only_udm.metadata.product_event_type`, `event.idm.read_only_udm.extensions.auth.auth_details`	אם `message` מכיל את `event1`, השם של `ExternalApiType` משתנה ל-`event.idm.read_only_udm.metadata.product_event_type`. אחרת, השם ישתנה ל-`event.idm.read_only_udm.extensions.auth.auth_details`.
`Facility`	-	לא ממופה לאובייקט IDM.
`FailedConnectCount`	-	לא ממופה לאובייקט IDM.
`FalconHostLink` `FalconServiceComponent`	-	לא ממופה לאובייקט IDM.
`FalconServiceServletErrors`	-	לא ממופה לאובייקט IDM.
`FalconServiceServletStarts`	-	לא ממופה לאובייקט IDM.
`FalconServiceState`	-	לא ממופה לאובייקט IDM.
`FalconServiceStatus` `FeatureExtractionVersion`	-	לא ממופה לאובייקט IDM.
`FeatureVector`	-	לא ממופה לאובייקט IDM.
`File`	-	לא ממופה לאובייקט IDM.
`FileAttributes`	-	לא ממופה לאובייקט IDM.
`FileCreateInfo` `FileDeletedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`FileDeleteInfo` `FileEcpBitmask`	-	לא ממופה לאובייקט IDM.
`FileEventType`	-	לא ממופה לאובייקט IDM.
`FileIdentifier` `FileObject`	-	לא ממופה לאובייקט IDM.
`FileName` `FileOpenInfo` `FileRenameInfo` `FileSigningTime`	-	לא ממופה לאובייקט IDM.
`FirewallAction`	-	לא ממופה לאובייקט IDM.
`FirewallChangeOption` `FirewallDeleteRule` `FirewallDeleteRuleIP4` `FirewallDeleteRuleIP6` `FirewallEnabled` `FirewallOption` `FirewallOptionNumericValue`	-	לא ממופה לאובייקט IDM.
`FirewallProfile`	-	לא ממופה לאובייקט IDM.
`FirewallRule` `FirewallRuleId` `FirewallSetRule` `FirewallSetRuleIP4` `FirewallSetRuleIP6` `FirmwareAnalysisErrorEvent` `FirmwareAnalysisErrorLocation`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisErrorReason`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisErrorSource`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisHardwareData` `FirmwareAnalysisStatus` `FirmwareAnalysisCpuSupported`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisEclControlInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisEclConsumerInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`FirmwareImageAnalyzed` `FirmwareRegionMeasured` `FirmwareSize`	-	לא ממופה לאובייקט IDM.
`FirmwareType`	-	לא ממופה לאובייקט IDM.
`FirstDiscoveredDate`	-	לא ממופה לאובייקט IDM.
`FirstIP4Record` `Flags`	-	לא ממופה לאובייקט IDM.
`FltCallbackData`	-	לא ממופה לאובייקט IDM.
`FltCompletionContext`	-	לא ממופה לאובייקט IDM.
`FltRelatedObjects`	-	לא ממופה לאובייקט IDM.
`FontBuffer`	-	לא ממופה לאובייקט IDM.
`FontBufferLength`	-	לא ממופה לאובייקט IDM.
`FontFileCount`	-	לא ממופה לאובייקט IDM.
`FontFileName` `FontLoadOperation`	-	לא ממופה לאובייקט IDM.
`FsOperationBlocked`	`event1.PatternDispositionFlags.FsOperationBlocked`	חלק מ`Event_DetectionSummaryEvent`
`FsPostOpenSnapshotFile` `FsVolumeMounted` `FsVolumeUnmounted` `FullContext`	-	לא ממופה לאובייקט IDM.
`FullExceptionRecord`	-	לא ממופה לאובייקט IDM.
`GcpCreationTimestamp` `GenericFileWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`GID`	-	לא ממופה לאובייקט IDM.
`GrandparentCommandLine` `GrandparentImageFileName` `GrandParentBaseFileName` `GroupIdentity` `GroupRid` `GzipFileWritten` `HandleCreated`	-	לא ממופה לאובייקט IDM.
`HIDDescriptorCountryCode`	-	לא ממופה לאובייקט IDM.
`HIDDescriptorNumDescriptors`	-	לא ממופה לאובייקט IDM.
`HIDDescriptorVersion`	-	לא ממופה לאובייקט IDM.
`HIPHandlers.dll`	`event.idm.read_only_udm.target.file.full_path`	חלק מ-TargetFileName.
`HostGroups`	-	לא ממופה לאובייקט IDM.
`HostHiddenStatus` `HostInfo` `HostnameChanged` `hostname` `HostProcessType`	-	לא ממופה לאובייקט IDM.
`HostUrl` `HttpRequestDetect` `HttpRequestHeader` `HttpUrl` `IcmpCode`	-	לא ממופה לאובייקט IDM.
`IcmpType`	-	לא ממופה לאובייקט IDM.
`id` `IdleSettings`	-	לא ממופה לאובייקט IDM.
`ImageFileName` `ImageSubsystem`	-	לא ממופה לאובייקט IDM.
`Image`	-	לא ממופה לאובייקט IDM.
`ImpersonatedUserName` `InBroadcastOctets`	-	לא ממופה לאובייקט IDM.
`InContext`	-	לא ממופה לאובייקט IDM.
`InDiscards`	-	לא ממופה לאובייקט IDM.
`Indicator`	`event1.PatternDispositionFlags.Indicator`	חלק מ`Event_DetectionSummaryEvent`
`InddetMask`	`event1.PatternDispositionFlags.InddetMask`	חלק מ`Event_DetectionSummaryEvent`
`InErrors`	-	לא ממופה לאובייקט IDM.
`Information`	-	לא ממופה לאובייקט IDM.
`InjectedDll` `InjectedThread` `InjectedThreadCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`InjectedThreadFlag`	-	לא ממופה לאובייקט IDM.
`InMulticastOctets`	-	לא ממופה לאובייקט IDM.
`InNUcastPkts`	-	לא ממופה לאובייקט IDM.
`InOctets`	-	לא ממופה לאובייקט IDM.
`InstallDate`	-	לא ממופה לאובייקט IDM.
`InstalledApplication` `InstalledUpdateExtendedStatus`	-	לא ממופה לאובייקט IDM.
`InstalledUpdateIds`	-	לא ממופה לאובייקט IDM.
`InstalledUpdates` `InstanceMetadata` `InstanceMetadataProvider`	-	לא ממופה לאובייקט IDM.
`InstanceMetadataRequest`	-	לא ממופה לאובייקט IDM.
`InstanceMetadataSignature`	-	לא ממופה לאובייקט IDM.
`InUcastOctets`	-	לא ממופה לאובייקט IDM.
`InUcastPkts`	-	לא ממופה לאובייקט IDM.
`InUnknownProtos`	-	לא ממופה לאובייקט IDM.
`IntegrityLevel`	-	לא ממופה לאובייקט IDM.
`InterfaceAlias`	-	לא ממופה לאובייקט IDM.
`InterfaceDescription`	-	לא ממופה לאובייקט IDM.
`InterfaceFlags`	-	לא ממופה לאובייקט IDM.
`InterfaceGuid`	-	לא ממופה לאובייקט IDM.
`InterfaceIdentifier`	-	לא ממופה לאובייקט IDM.
`InterfaceIndex`	-	לא ממופה לאובייקט IDM.
`InterfaceMtu`	-	לא ממופה לאובייקט IDM.
`InterfaceType`	-	לא ממופה לאובייקט IDM.
`InterfaceVersion`	-	לא ממופה לאובייקט IDM.
`InjectedDllCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`InjectedThreadFlag`	-	לא ממופה לאובייקט IDM.
`InkDiv.dll`	`event.idm.read_only_udm.target.file.full_path`	חלק מ`ExecutablesWritten`
`InkObj.dll`	`event.idm.read_only_udm.target.file.full_path`	חלק מ`ExecutablesWritten`
`InMulticastPkts`	-	לא ממופה לאובייקט IDM.
`InOctets`	-	לא ממופה לאובייקט IDM.
`InUcastPkts`	-	לא ממופה לאובייקט IDM.
`IOARuleGroupName` `IOARuleInstanceID`	-	לא ממופה לאובייקט IDM.
`IOARuleInstanceVersion`	-	לא ממופה לאובייקט IDM.
`IOARuleName` `IOServiceClass`	-	לא ממופה לאובייקט IDM.
`IOServiceName`	-	לא ממופה לאובייקט IDM.
`IOServicePath`	-	לא ממופה לאובייקט IDM.
`IOServiceProperties`	-	לא ממופה לאובייקט IDM.
`IOServiceRegister` `IoSessionConnected` `IoSessionLoggedOn` `IpEntryFlags`	-	לא ממופה לאובייקט IDM.
`IrpFlags`	-	לא ממופה לאובייקט IDM.
`IsCpuDataCommonOnAllCores`	-	לא ממופה לאובייקט IDM.
`IsNorthBridgeSupported`	-	לא ממופה לאובייקט IDM.
`IsOnClearCaseMvfs`	-	לא ממופה לאובייקט IDM.
`IsOnNetwork` `IsOnRemovableDisk` `IsOn`	-	לא ממופה לאובייקט IDM.
`IsRemote`	-	לא ממופה לאובייקט IDM.
`IsSouthBridgeSupported`	-	לא ממופה לאובייקט IDM.
`IsTransactedFile`	-	לא ממופה לאובייקט IDM.
`IsUnique`	-	לא ממופה לאובייקט IDM.
`JavaInjectedThread` `JarFileWritten` `KernelModeLoadImage` `KernelTime`	-	לא ממופה לאובייקט IDM.
`KextUnload` `K8SCreationTimestamp` `K8SDetectionEvent` `LanguageId`	-	לא ממופה לאובייקט IDM.
`LastAdded`	-	לא ממופה לאובייקט IDM.
`LastDiscoveredBy`	-	לא ממופה לאובייקט IDM.
`LastDisplayed`	-	לא ממופה לאובייקט IDM.
`LastLoggedOnHost`	-	לא ממופה לאובייקט IDM.
`LastUpdateInstalledTime`	-	לא ממופה לאובייקט IDM.
`LateralMovement`	-	לא ממופה לאובייקט IDM.
`LdapSearchAttributes`	-	לא ממופה לאובייקט IDM.
`LdapSearchBaseObjectSample`	-	לא ממופה לאובייקט IDM.
`LdapSearchFilterSample`	-	לא ממופה לאובייקט IDM.
`LdapSearchFilterShape`	-	לא ממופה לאובייקט IDM.
`LdapSearchQueryClassification`	-	לא ממופה לאובייקט IDM.
`LdapSearchQueryToken`	-	לא ממופה לאובייקט IDM.
`LdapSearchScope`	-	לא ממופה לאובייקט IDM.
`LdapSearchSizeLimit`	-	לא ממופה לאובייקט IDM.
`LdapSecurityType`	-	לא ממופה לאובייקט IDM.
`LightningLatencyInfo` `LightningLatencyState`	-	לא ממופה לאובייקט IDM.
`Line`	-	לא ממופה לאובייקט IDM.
`LinkLocalAddressBehavior`	-	לא ממופה לאובייקט IDM.
`LinkLocalAddressTimeout`	-	לא ממופה לאובייקט IDM.
`LinkName` `LocalAccount`	-	לא ממופה לאובייקט IDM.
`LocalAddressIP4` `LocalAddressIP6` `LocalAddressMaskIP4`	-	לא ממופה לאובייקט IDM.
`LocalAddressMaskIP6`	-	לא ממופה לאובייקט IDM.
`LocalAdminAccess`	-	לא ממופה לאובייקט IDM.
`LocalIpAddressIP4` `LocalIpAddressIP6` `LocalIpAddressRemovedIP4` `LocalIpAddressRemovedIP6` `LocalPort` `LocalSession`	-	לא ממופה לאובייקט IDM.
`localipCount` `LockScreenEnabled`	-	לא ממופה לאובייקט IDM.
`LockScreenStatus` `LogoffTime` `LogonDomain` `LogonId`	-	לא ממופה לאובייקט IDM.
`LogonInfo`	`security_result.summary`	מגדירים את `event_type` לערך `USER_LOGIN`.
`LogonServer` `LogonTime` `LogonType`	`event.idm.read_only_udm.extensions.auth.mechanism`	ממופה לערך enum של UDM על סמך הערך של `LogonType`.
`LogoffTime` `LsassHandleFromUnsignedModule` `MAC`	`event.idm.read_only_udm.principal.mac`	הומר לאותיות קטנות והנקודתיים הוחלפו במקפים.
`MACAddress`	`event.idm.read_only_udm.principal.mac`	מקפים מוחלפים בנקודתיים.
`MACPrefix`	-	לא ממופה לאובייקט IDM.
`MachOFileWritten` `MachOSubType`	-	לא ממופה לאובייקט IDM.
`MachineDn` `MachineDomain` `MajorFunction`	-	לא ממופה לאובייקט IDM.
`MajorVersion`	-	לא ממופה לאובייקט IDM.
`Malicious`	-	לא ממופה לאובייקט IDM.
`ManagedPdbBuildPath` `MappedFromUserMode`	-	לא ממופה לאובייקט IDM.
`MaxReassemblySize`	-	לא ממופה לאובייקט IDM.
`MaxRouterAdvertisementInterval`	-	לא ממופה לאובייקט IDM.
`MaxThreadCount`	-	לא ממופה לאובייקט IDM.
`MD5HashData`	`event.idm.read_only_udm.target.file.md5`, `event.idm.read_only_udm.target.process.file.md5`	אם `MD5HashData` הוא גיבוב MD5 תקין ולא מורכב מאפסים בלבד, יוצרים ישות של גיבוב MD5 עם הערך `MD5HashData` ומוסיפים אותה ל-`event.idm.read_only_udm.target.file.md5` ול-`event.idm.read_only_udm.target.process.file.md5`.
`MD5String` `MediaConnectState`	-	לא ממופה לאובייקט IDM.
`MediaType`	-	לא ממופה לאובייקט IDM.
`MemoryAvailable`	-	לא ממופה לאובייקט IDM.
`MemoryRegionProtection`	-	לא ממופה לאובייקט IDM.
`MemoryRegionStart`	-	לא ממופה לאובייקט IDM.
`MemoryTotal`	-	לא ממופה לאובייקט IDM.
`MmioDataSmiEn`	-	לא ממופה לאובייקט IDM.
`MmioDataTco1Cnt`	-	לא ממופה לאובייקט IDM.
`MLModelVersion`	-	לא ממופה לאובייקט IDM.
`MobileDetection` `MobileDetectionId`	-	לא ממופה לאובייקט IDM.
`MobileOsIntegrityIntact`	-	לא ממופה לאובייקט IDM.
`MobileOsIntegrityStatus` `MobilePowerStats` `MoboManufacturer`	-	לא ממופה לאובייקט IDM.
`MoboProductName`	-	לא ממופה לאובייקט IDM.
`ModelPrediction`	-	לא ממופה לאובייקט IDM.
`ModuleBaseAddress`	-	לא ממופה לאובייקט IDM.
`ModuleCharacteristics`	-	לא ממופה לאובייקט IDM.
`ModuleDetectInfo` `ModuleLoadCount`	-	לא ממופה לאובייקט IDM.
`ModuleLoadMechanism`	-	לא ממופה לאובייקט IDM.
`ModuleLoadTelemetryClassification`	-	לא ממופה לאובייקט IDM.
`ModuleNativePath`	-	לא ממופה לאובייקט IDM.
`ModuleSize`	-	לא ממופה לאובייקט IDM.
`ModifyServiceBinary` `MostRecentActivityTimeStamp`	-	לא ממופה לאובייקט IDM.
`MotwWritten` `mskssrv.sys`	`event.idm.read_only_udm.principal.process.file.full_path`	חלק מהשם המקורי של הקובץ.
`MultipleInstancesPolicy`	-	לא ממופה לאובייקט IDM.
`name` `namespace` `NativePdbBuildPath`	-	לא ממופה לאובייקט IDM.
`NegateInterface`	-	לא ממופה לאובייקט IDM.
`NegateLocalAddress`	-	לא ממופה לאובייקט IDM.
`NegateRemoteAddress`	-	לא ממופה לאובייקט IDM.
`NeighborList`	-	לא ממופה לאובייקט IDM.
`NeighborListIP4` `NeighborListIP6` `NeighborName` `NetLuidIndex`	-	לא ממופה לאובייקט IDM.
`NetShareAdd` `NetShareDelete` `NetShareSecurityModify` `NetworkBindCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkCapableAsepWriteCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkCloseCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkCloseIP4` `NetworkCloseIP6` `NetworkConnectCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkConnectCountUdp`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkConnectIP4` `NetworkConnectIP6` `NetworkContainmentState` `NetworkInterfaceGuid`	-	לא ממופה לאובייקט IDM.
`NetworkListenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkListenIP4` `NetworkListenIP6` `NetworkModuleLoadCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkRecvAcceptCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkReceiveAcceptIP4` `NetworkReceiveAcceptIP6` `NewExecutableRenamed` `NewExecutableWritten` `NewExecutableWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NewFileIdentifier`	-	לא ממופה לאובייקט IDM.
`NewScriptWritten` `NlMtu`	-	לא ממופה לאובייקט IDM.
`NorthBridgeDeviceId`	-	לא ממופה לאובייקט IDM.
`NorthBridgeVendorId`	-	לא ממופה לאובייקט IDM.
`NumberOfMeasurements`	-	לא ממופה לאובייקט IDM.
`OciContainerId`	-	לא ממופה לאובייקט IDM.
`OciContainerTelemetry` `OciContainersStartedCount`	-	לא ממופה לאובייקט IDM.
`OciContainersStoppedCount`	-	לא ממופה לאובייקט IDM.
`OleFileWritten` `OnLinkPrefixLength`	-	לא ממופה לאובייקט IDM.
`OoxmlFileWritten` `OperStatus`	-	לא ממופה לאובייקט IDM.
`OperationFlags`	-	לא ממופה לאובייקט IDM.
`OperationName` `OriginalContentLength`	-	לא ממופה לאובייקט IDM.
`OriginalEventTimeStamp`	-	לא ממופה לאובייקט IDM.
`OriginalFilename` `OriginalParentAuthenticationId`	-	לא ממופה לאובייקט IDM.
`OriginalUserName` `OriginalUserSid` `OsfmDownloadComplete` `OsVersionInfo` `OU` `OutBroadcastOctets`	-	לא ממופה לאובייקט IDM.
`OutDiscards`	-	לא ממופה לאובייקט IDM.
`OutErrors`	-	לא ממופה לאובייקט IDM.
`OutMulticastOctets`	-	לא ממופה לאובייקט IDM.
`OutNUcastPkts`	-	לא ממופה לאובייקט IDM.
`OutOctets`	-	לא ממופה לאובייקט IDM.
`OutUcastOctets`	-	לא ממופה לאובייקט IDM.
`OutUcastPkts`	-	לא ממופה לאובייקט IDM.
`PackedExecutableWritten` `Parameter64_1`	-	לא ממופה לאובייקט IDM.
`Parameter64_2`	-	לא ממופה לאובייקט IDM.
`Parameter64_3`	-	לא ממופה לאובייקט IDM.
`ParameterSizedBuffer_1`	-	לא ממופה לאובייקט IDM.
`Parameter1`	-	לא ממופה לאובייקט IDM.
`Parameter2`	-	לא ממופה לאובייקט IDM.
`Parameter3`	-	לא ממופה לאובייקט IDM.
`ParentAuthenticationId`	-	לא ממופה לאובייקט IDM.
`ParentBaseFileName` `ParentCommandLine`	`event1.ParentCommandLine`	חלק מ`Event_DetectionSummaryEvent`
`ParentHubInstanceId`	-	לא ממופה לאובייקט IDM.
`ParentHubPort`	-	לא ממופה לאובייקט IDM.
`ParentImageFileName`	`event.idm.read_only_udm.principal.process.file.full_path`, `event1.ParentImageFileName`	חלק מ`Event_DetectionSummaryEvent`
`ParentProcessId`	`event.idm.read_only_udm.principal.process.product_specific_process_id`, `event1.ParentProcessId`	עם הקידומת `CS:%{cid}:%{aid}:`. חלק מ`Event_DetectionSummaryEvent`
`PasswordLastSet`	-	לא ממופה לאובייקט IDM.
`PathMtuDiscoveryTimeout`	-	לא ממופה לאובייקט IDM.
`PatternDispositionFlags`	-	לא ממופה לאובייקט IDM.
`PatternDispositionValue` `PatternDisposition

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.