‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומני CrowdStrike Falcon ב-CEF

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומני CrowdStrike Falcon בפורמט CEF באמצעות Bindplane. המנתח מחלץ צמדים של מפתח/ערך וממפה אותם למודל הנתונים המאוחד (UDM), מטפל במפרידים שונים ומעשיר את הנתונים בהקשר נוסף כמו חומרה וסוגי אירועים. הוא גם מבצע טרנספורמציות ספציפיות לסוגי אירועים ולשדות מסוימים, כמו התחברויות של משתמשים ותוצאות אבטחה.

לפני שמתחילים

מוודאים שיש לכם מכונה של Google Security Operations.
ודאו שאתם משתמשים ב-Windows 2016 ואילך, או במארח Linux עם systemd.
אם מריצים מאחורי שרת proxy, מוודאים שהיציאות בחומת האש פתוחות.
מוודאים שיש לכם גישה עם הרשאות למסוף CrowdStrike Falcon.
משיגים פרטי כניסה ל-API של Falcon Stream (מזהה לקוח וסוד לקוח).

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על יצירת חשבון שירות.
מספקים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות SIEM > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרה של סוכן Bindplane להטמעה של Syslog ושליחה אל Google SecOps

ניגשים לקובץ התצורה:
1. מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
2. פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או Notepad).

עורכים את הקובץ config.yaml באופן הבא:

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:54525"

exporters:
    chronicle/chronicle_w_labels:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: chronicle.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: cs_falcon
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com.
מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
מחליפים את <customer_id> במזהה הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane.

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: cs_falcon
            raw_log_field: body

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart bindplane-agent
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

הגדרה וקבלת מפתח API של CrowdStrike

נכנסים ל-CrowdStrike Falcon באמצעות חשבון עם הרשאות.
נכנסים לתפריט > תמיכה.
לוחצים על לקוחות API > בחירת מפתחות.
לוחצים על הוספת לקוח API חדש.
בקטע API Scopes, בוחרים באפשרות Event streams ובאפשרות Alerts > מפעילים את האפשרות Read.
לוחצים על הוספה.
מעתיקים ושומרים את מזהה הלקוח, הסוד וכתובת ה-URL הבסיסית.

התקנת Falcon SIEM Connector

מורידים את חבילת ההתקנה של RPM למערכת ההפעלה.
התקנת חבילה:
- מערכת ההפעלה CentOS:
```
sudo rpm -Uvh <installer package>
```
- מערכת הפעלה Ubuntu:
```
sudo dpkg -i <installer package>
```
ספריות ההתקנה שמוגדרות כברירת מחדל:
- ‫Falcon SIEM Connector – ‏/opt/crowdstrike/.
- שירות – /etc/init.d/cs.falconhoseclientd/.

הגדרת מחבר ה-SIEM להעברת יומני CEF ל-Bindplane

נכנסים למחשב עם SIEM Connector בתור משתמש sudo.
עוברים לספרייה /opt/crowdstrike/etc/.
משנים את השם של cs.falconhoseclient.cef.cfg לשם cs.falconhoseclient.cfg.
- כברירת מחדל, SIEM Connector משתמש בהגדרות cs.falconhoseclient.cfg.
עורכים את קובץ cs.falconhoseclient.cfg ומשנים או מגדירים את הפרמטרים הבאים:
- ‫api_url: – כתובת ה-URL הבסיסית של CrowdStrike Falcon שהעתקתם בשלב הקודם.
- app_id: – כל מחרוזת כמזהה לחיבור ל-Falcon Streaming API (לדוגמה, הגדרה ל-app_id: SECOPS-CEF).
- ‫client_id: – הערך client_id שהועתק מהשלב הקודם.
- ‫client_secret: – הערך client_secret שהועתק מהשלב הקודם.
- ‫send_to_syslog_server: true – הפעלת שליחה לשרת Syslog.
- ‫host: – כתובת ה-IP או שם המארח של סוכן Bindplane.
- ‫port: – היציאה של סוכן Bindplane.
שומרים את קובץ ה-cs.falconhoseclient.cfg.
מפעילים את שירות SIEM Connector:
- מערכת ההפעלה CentOS
```
sudo service cs.falconhoseclientd start
```
- מערכת ההפעלה Ubuntu 16.04 ואילך
```
sudo systemctl start cs.falconhoseclientd.service
```
אופציונלי: מפסיקים את שירות SIEM Connector:
- מערכת ההפעלה CentOS
```
sudo service cs.falconhoseclientd stop
```
- מערכת ההפעלה Ubuntu 16.04 ואילך
```
sudo systemctl stop cs.falconhoseclientd.service
```
אופציונלי: מפעילים מחדש את שירות SIEM Connector:
- מערכת ההפעלה CentOS
```
sudo service cs.falconhoseclientd restart
```
- מערכת ההפעלה Ubuntu 16.04 ואילך
```
sudo systemctl restart cs.falconhoseclientd.service
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`AccountCreationTimeStamp`	`event.idm.read_only_udm.metadata.event_timestamp`	השם של שדה היומן הגולמי `AccountCreationTimeStamp` השתנה ל-`event.idm.read_only_udm.metadata.event_timestamp`.
`AccountDomain`	`event.idm.read_only_udm.principal.administrative_domain`	השם של שדה היומן הגולמי `AccountDomain` השתנה ל-`event.idm.read_only_udm.principal.administrative_domain`.
`AccountObjectGuid`	`event.idm.read_only_udm.metadata.product_log_id`	השם של שדה היומן הגולמי `AccountObjectGuid` השתנה ל-`event.idm.read_only_udm.metadata.product_log_id`.
`AccountObjectSid`	`event.idm.read_only_udm.principal.user.windows_sid`	השם של שדה היומן הגולמי `AccountObjectSid` השתנה ל-`event.idm.read_only_udm.principal.user.windows_sid`.
`AccessType`	-	לא ממופה לאובייקט IDM.
`action_taken`	`event.idm.read_only_udm.additional.fields[0].value.string_value`	חלק ממערך `AuditKeyValues`.
`ActiveCpuCount`	-	לא ממופה לאובייקט IDM.
`ActiveDirectoryAuthenticationMethod`	-	לא ממופה לאובייקט IDM.
`ActiveDirectoryDataProtocol`	-	לא ממופה לאובייקט IDM.
`AddressFamily`	-	לא ממופה לאובייקט IDM.
`AdminStatus`	-	לא ממופה לאובייקט IDM.
`AllocateVirtualMemoryCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`agent-windows`	`event.idm.read_only_udm.target.file.full_path`	חלק מ-TargetFileName.
`AgentIdString`	`event.idm.read_only_udm.principal.asset_id`	עם הקידומת `CS:`.
`AgentLoadFlags`	-	לא ממופה לאובייקט IDM.
`AgentLocalTime`	-	לא ממופה לאובייקט IDM.
`AgentOnline` `AgentTimeOffset`	-	לא ממופה לאובייקט IDM.
`AgentVersion` `AggregationActivityCount` `AggregationEarliestTimestamp`	-	לא ממופה לאובייקט IDM.
`aid`	`event.idm.read_only_udm.principal.asset_id`	עם הקידומת `CS:`.
`aip`	`event.idm.read_only_udm.principal.nat_ip`	אם הערך של `_aid_is_target` הוא false, והערך של `aip` הוא לא null, יוצרים ישות ip עם הערך של `aip` ומוסיפים אותה ל-`event.idm.read_only_udm.principal.nat_ip`.
`aipCount` `AllocVmEtw` `AllocationType`	-	לא ממופה לאובייקט IDM.
`AllowHardTerminate`	-	לא ממופה לאובייקט IDM.
`AllowStartOnDemand`	-	לא ממופה לאובייקט IDM.
`ApcArgument1`	-	לא ממופה לאובייקט IDM.
`ApcArgument2`	-	לא ממופה לאובייקט IDM.
`ApcContextAddress`	-	לא ממופה לאובייקט IDM.
`ApcContextFileName`	-	לא ממופה לאובייקט IDM.
`ApcContext`	-	לא ממופה לאובייקט IDM.
`ApplicationName` `ApplicationUniqueIdentifier`	-	לא ממופה לאובייקט IDM.
`ApplicationVersion`	-	לא ממופה לאובייקט IDM.
`AppIs64Bit`	-	לא ממופה לאובייקט IDM.
`AppName` `AppPath` `AppPathFlag`	-	לא ממופה לאובייקט IDM.
`AppProductId`	-	לא ממופה לאובייקט IDM.
`AppType`	-	לא ממופה לאובייקט IDM.
`AppUpdateIds`	-	לא ממופה לאובייקט IDM.
`AppVendor`	-	לא ממופה לאובייקט IDM.
`AppVersion` `ArchiveFileWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`AsepClass`	-	לא ממופה לאובייקט IDM.
`AsepFileChange` `AsepFlags`	-	לא ממופה לאובייקט IDM.
`AsepIndex`	-	לא ממופה לאובייקט IDM.
`AsepKeyUpdate` `AsepValueUpdate` `AsepValueType`	-	לא ממופה לאובייקט IDM.
`AsepWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`AssociateIndicator` `AssociateTreeIdWithRoot` `AssemblyFlags`	-	לא ממופה לאובייקט IDM.
`AssemblyId`	-	לא ממופה לאובייקט IDM.
`AssemblyName` `AuthenticationId`	`event.idm.read_only_udm.principal.user.product_object_id`	עם הקידומת `CS:`.
`AuthenticationPackage` `AuthenticationUuid`	-	לא ממופה לאובייקט IDM.
`AuthenticationUuidAsString`	-	לא ממופה לאובייקט IDM.
`AuthenticodeHashData` `AuthenticodeMatch` `automated_remediation`	`assessments.automated_remediation`	חלק מהאירוע `ZeroTrustHostAssessment`.
`BaseReachableTime`	-	לא ממופה לאובייקט IDM.
`BaseTime`	-	לא ממופה לאובייקט IDM.
`BatchDataNumber`	-	לא ממופה לאובייקט IDM.
`BatchDataTotal`	-	לא ממופה לאובייקט IDM.
`BatchTimestamp` `BatteryLevel`	-	לא ממופה לאובייקט IDM.
`BatteryStatus`	-	לא ממופה לאובייקט IDM.
`BehaviorWhitelisted` `benchmarks` `BenignCount`	-	לא ממופה לאובייקט IDM.
`beta_build_disabled`	`assessments.beta_build_disabled`	חלק מהאירוע `ZeroTrustHostAssessment`.
`BinaryExecutableWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`BillingInfo` `BillingType`	-	לא ממופה לאובייקט IDM.
`BiosManufacturer` `BiosReleaseDate`	-	לא ממופה לאובייקט IDM.
`BiosVersion` `BITSJobCreated` `BootArgs`	-	לא ממופה לאובייקט IDM.
`BootId`	-	לא ממופה לאובייקט IDM.
`BootStatusDataAabEnabled`	-	לא ממופה לאובייקט IDM.
`BootStatusDataBootAttemptCount`	-	לא ממופה לאובייקט IDM.
`BootStatusDataBootGood`	-	לא ממופה לאובייקט IDM.
`BootStatusDataBootShutdown`	-	לא ממופה לאובייקט IDM.
`BootTimeFunctionalityLevel`	-	לא ממופה לאובייקט IDM.
`BrowserInjectedThread` `BundleID`	-	לא ממופה לאובייקט IDM.
`CallStackModuleNames` `CallStackModuleNamesVersion` `ChannelId`	-	לא ממופה לאובייקט IDM.
`ChannelVersion`	-	לא ממופה לאובייקט IDM.
`ChannelVersionRequired` `ChasisManufacturer`	-	לא ממופה לאובייקט IDM.
`ChassisType` `cid` `City` `CLICreationCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`ClassifiedModuleLoad` `CloudAssociateTreeIdWithRoot` `CloudErrorCode`	-	לא ממופה לאובייקט IDM.
`CNAMERecords` `CodeIntegrity`	-	לא ממופה לאובייקט IDM.
`CommandLine` `CommandSequence`	-	לא ממופה לאובייקט IDM.
`CompletionEventId`	-	לא ממופה לאובייקט IDM.
`ComputerName`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	אם `ComputerName` הוא לא null, מחרוזת ריקה או מקף, יוצרים ישות של שם מארח עם הערך של `ComputerName` ומוסיפים אותה ל-`event.idm.read_only_udm.principal.hostname` ול-`event.idm.read_only_udm.principal.asset.hostname`.
`ConfigBuild` `ConfigIDBase`	-	לא ממופה לאובייקט IDM.
`ConfigIDBuild`	-	לא ממופה לאובייקט IDM.
`ConfigIDPlatform`	-	לא ממופה לאובייקט IDM.
`ConfigurationVersion`	-	לא ממופה לאובייקט IDM.
`ConfigStateData`	-	לא ממופה לאובייקט IDM.
`ConfigStateHash` `ConfigStateUpdate` `ConnectTime`	-	לא ממופה לאובייקט IDM.
`ConnectType`	-	לא ממופה לאובייקט IDM.
`Connected`	-	לא ממופה לאובייקט IDM.
`ConnectionCipher`	-	לא ממופה לאובייקט IDM.
`ConnectionCipherStrength`	-	לא ממופה לאובייקט IDM.
`ConnectionDirection`	-	לא ממופה לאובייקט IDM.
`ConnectionExchange`	-	לא ממופה לאובייקט IDM.
`ConnectionExchangeStrength`	-	לא ממופה לאובייקט IDM.
`ConnectionFlags`	-	לא ממופה לאובייקט IDM.
`ConnectionHash`	-	לא ממופה לאובייקט IDM.
`ConnectionHashStrength`	-	לא ממופה לאובייקט IDM.
`ConnectionProtocol`	-	לא ממופה לאובייקט IDM.
`ConnectionType`	-	לא ממופה לאובייקט IDM.
`Continent` `ContentSHA256HashData` `ContextData`	-	לא ממופה לאובייקט IDM.
`ContextProcessId`	`event.idm.read_only_udm.principal.process.product_specific_process_id`, `event.idm.read_only_udm.target.process.product_specific_process_id`	עם הקידומת `CS:%{cid}:%{aid}:`.
`ContextThreadId`	-	לא ממופה לאובייקט IDM.
`ContextTimeStamp` `ContextTimeStamp_decimal` `Country` `CrashDumpFilePath`	-	לא ממופה לאובייקט IDM.
`CrashNotification` `CreateProcessArgs` `CreateProcessCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`CreateService` `CreateThreadNoStartImage` `CreationTimeStamp`	-	לא ממופה לאובייקט IDM.
`CriticalFileAccessed` `CriticalFileModified` `CsaProcessDataCollectionInstanceId`	-	לא ממופה לאובייקט IDM.
`CurrentFunctionalityLevel`	-	לא ממופה לאובייקט IDM.
`CurrentLocalIP`	-	לא ממופה לאובייקט IDM.
`CurrentSystemTags` `CustomerIdString` `CycleTime`	-	לא ממופה לאובייקט IDM.
`DadState`	-	לא ממופה לאובייקט IDM.
`DadTransmits`	-	לא ממופה לאובייקט IDM.
`DcName`	`event.idm.read_only_udm.principal.user.userid`	השם של שדה היומן הגולמי `DcName` השתנה ל-`event.idm.read_only_udm.principal.user.userid`.
`DcNumAttachments`	-	לא ממופה לאובייקט IDM.
`DcNumBlockingPolicies`	-	לא ממופה לאובייקט IDM.
`DcOnline` `DcPropertyIdInterfaceType`	-	לא ממופה לאובייקט IDM.
`DcPropertyIdInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`DcSensorInterfaceType`	-	לא ממופה לאובייקט IDM.
`DcSensorInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`DcStatus` `DcUsbConfigurationDescriptor` `DcUsbDeviceConnected` `DcUsbDeviceDisconnected` `DcUsbEndpointDescriptor` `DcUsbHIDDescriptor` `DcUsbInterfaceDescriptor` `DCSyncAttempted` `Debug`	-	לא ממופה לאובייקט IDM.
`DefaultGatewayIP4`	-	לא ממופה לאובייקט IDM.
`DefaultGatewayIP6`	-	לא ממופה לאובייקט IDM.
`DefaultGatewayPhysicalAddress`	-	לא ממופה לאובייקט IDM.
`DeepHashBlacklistClassification` `DeepHashBlacklistVersion`	-	לא ממופה לאובייקט IDM.
`DeliverLocalFXToCloud` `DesiredAccess` `detectionId` `detectionName` `DetectDescription` `DetectId`	-	לא ממופה לאובייקט IDM.
`DetectName` `DeviceActiveConfigurationNumber`	-	לא ממופה לאובייקט IDM.
`DeviceConnectionStatus`	-	לא ממופה לאובייקט IDM.
`DeviceDescriptorNumber`	-	לא ממופה לאובייקט IDM.
`DeviceDescriptorSetHash`	-	לא ממופה לאובייקט IDM.
`DeviceDescriptorUniqueIdentifier`	-	לא ממופה לאובייקט IDM.
`DeviceId`	-	לא ממופה לאובייקט IDM.
`DeviceInstanceId`	`event.idm.read_only_udm.target.asset_id`	עם הקידומת `Device Instance Id:`.
`DeviceManufacturer` `DeviceProduct` `DeviceProductId`	-	לא ממופה לאובייקט IDM.
`DevicePropertyClassName`	-	לא ממופה לאובייקט IDM.
`DevicePropertyClassGuid`	-	לא ממופה לאובייקט IDM.
`DevicePropertyDeviceDescription` `DevicePropertyFriendlyName`	-	לא ממופה לאובייקט IDM.
`DevicePropertyLocationInformation` `DevicePropertyManufacturer`	-	לא ממופה לאובייקט IDM.
`DeviceProtocol`	-	לא ממופה לאובייקט IDM.
`DeviceSerialNumber` `DeviceTimeStamp` `DeviceType`	-	לא ממופה לאובייקט IDM.
`DeviceUsbClass`	-	לא ממופה לאובייקט IDM.
`DeviceUsbSubclass`	-	לא ממופה לאובייקט IDM.
`DeviceUsbVersion`	-	לא ממופה לאובייקט IDM.
`DeviceVendorId`	-	לא ממופה לאובייקט IDM.
`DeviceVersion`	-	לא ממופה לאובייקט IDM.
`DirectoryCreate` `DirectoryCreatedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DirectoryEnumeratedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DisableRealtimeMonitoring` `DisallowStartIfOnBatteries`	-	לא ממופה לאובייקט IDM.
`DisallowStartOnRemoteAppSession`	-	לא ממופה לאובייקט IDM.
`DiskParentDeviceInstanceId` `DllCharacteristics`	-	לא ממופה לאובייקט IDM.
`DllInjection` `DlpPolicy`	-	לא ממופה לאובייקט IDM.
`DlpVerdict`	-	לא ממופה לאובייקט IDM.
`DmpFileWritten` `DnsRequest` `DnsRequestCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DnsResponseType`	-	לא ממופה לאובייקט IDM.
`DnsResponseTtl`	-	לא ממופה לאובייקט IDM.
`DocumentFileWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`DomainName`	`event.idm.read_only_udm.target.hostname`, `event.idm.read_only_udm.target.asset.hostname`, `event.idm.read_only_udm.network.dns.questions[0].name`	אם `DomainName` הוא לא null, יוצרים ישות של שם מארח עם הערך של `DomainName` ומוסיפים אותה ל-`event.idm.read_only_udm.target.hostname`, ל-`event.idm.read_only_udm.target.asset.hostname` ול-`event.idm.read_only_udm.network.dns.questions[0].name`.
`DotnetModuleFlags`	-	לא ממופה לאובייקט IDM.
`DotnetModuleId`	-	לא ממופה לאובייקט IDM.
`DotnetModuleLoadDetectInfo` `DownloadPath`	-	לא ממופה לאובייקט IDM.
`DownloadPort`	-	לא ממופה לאובייקט IDM.
`DownloadServer` `DriverLoad` `DualRequest`	-	לא ממופה לאובייקט IDM.
`EffectiveTransmissionClass` `Effective`	-	לא ממופה לאובייקט IDM.
`EfiSupported`	-	לא ממופה לאובייקט IDM.
`EfiVariableCustomMode`	-	לא ממופה לאובייקט IDM.
`EfiVariableCustomModeAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableDbAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableDbxAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableDbxSha256Hash`	-	לא ממופה לאובייקט IDM.
`EfiVariableKekAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableKekSha256Hash`	-	לא ממופה לאובייקט IDM.
`EfiVariablePkAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariablePkSha256Hash`	-	לא ממופה לאובייקט IDM.
`EfiVariableSecureBoot`	-	לא ממופה לאובייקט IDM.
`EfiVariableSecureBootAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableSetupMode`	-	לא ממופה לאובייקט IDM.
`EfiVariableSetupModeAttributes`	-	לא ממופה לאובייקט IDM.
`EfiVariableSignatureSupport`	-	לא ממופה לאובייקט IDM.
`EfiVariableSignatureSupportAttributes`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorAddress`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorAttributes`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorInterval`	-	לא ממופה לאובייקט IDM.
`EndpointDescriptorMaxPacketSize`	-	לא ממופה לאובייקט IDM.
`EndOfProcess` `Entitlements` `ErrorEvent` `ErrorCode`	-	לא ממופה לאובייקט IDM.
`ErrorLocation`	-	לא ממופה לאובייקט IDM.
`ErrorReason`	-	לא ממופה לאובייקט IDM.
`ErrorSource`	-	לא ממופה לאובייקט IDM.
`ErrorStatus`	-	לא ממופה לאובייקט IDM.
`ErrorText`	-	לא ממופה לאובייקט IDM.
`EventLogCleared` `EventMax`	-	לא ממופה לאובייקט IDM.
`EventMin`	-	לא ממופה לאובייקט IDM.
`EventOrigin`	-	לא ממופה לאובייקט IDM.
`EventType`	`event.idm.read_only_udm.metadata.product_event_type`	אם הערך של `event_simpleName` הוא null והערך של `EventType` הוא לא null, יוצרים ישות product_event_type עם הערך של `EventType` ומוסיפים אותה אל `event.idm.read_only_udm.metadata.product_event_type`.
`EtwErrorEvent` `EtwRawProcessId`	-	לא ממופה לאובייקט IDM.
`EtwRawThreadId`	-	לא ממופה לאובייקט IDM.
`ExecutableDeleted` `ExecutableDeletedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`ExeAndServiceCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`ExitCode`	-	לא ממופה לאובייקט IDM.
`Exploit` `ExternalApiType`	`event.idm.read_only_udm.metadata.product_event_type`, `event.idm.read_only_udm.extensions.auth.auth_details`	אם `message` מכיל את `event1`, השם של `ExternalApiType` משתנה ל-`event.idm.read_only_udm.metadata.product_event_type`. אחרת, השם ישתנה ל-`event.idm.read_only_udm.extensions.auth.auth_details`.
`Facility`	-	לא ממופה לאובייקט IDM.
`FailedConnectCount`	-	לא ממופה לאובייקט IDM.
`FalconHostLink` `FalconServiceComponent`	-	לא ממופה לאובייקט IDM.
`FalconServiceServletErrors`	-	לא ממופה לאובייקט IDM.
`FalconServiceServletStarts`	-	לא ממופה לאובייקט IDM.
`FalconServiceState`	-	לא ממופה לאובייקט IDM.
`FalconServiceStatus` `FeatureExtractionVersion`	-	לא ממופה לאובייקט IDM.
`FeatureVector`	-	לא ממופה לאובייקט IDM.
`File`	-	לא ממופה לאובייקט IDM.
`FileAttributes`	-	לא ממופה לאובייקט IDM.
`FileCreateInfo` `FileDeletedCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`FileDeleteInfo` `FileEcpBitmask`	-	לא ממופה לאובייקט IDM.
`FileEventType`	-	לא ממופה לאובייקט IDM.
`FileIdentifier` `FileObject`	-	לא ממופה לאובייקט IDM.
`FileName` `FileOpenInfo` `FileRenameInfo` `FileSigningTime`	-	לא ממופה לאובייקט IDM.
`FirewallAction`	-	לא ממופה לאובייקט IDM.
`FirewallChangeOption` `FirewallDeleteRule` `FirewallDeleteRuleIP4` `FirewallDeleteRuleIP6` `FirewallEnabled` `FirewallOption` `FirewallOptionNumericValue`	-	לא ממופה לאובייקט IDM.
`FirewallProfile`	-	לא ממופה לאובייקט IDM.
`FirewallRule` `FirewallRuleId` `FirewallSetRule` `FirewallSetRuleIP4` `FirewallSetRuleIP6` `FirmwareAnalysisErrorEvent` `FirmwareAnalysisErrorLocation`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisErrorReason`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisErrorSource`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisHardwareData` `FirmwareAnalysisStatus` `FirmwareAnalysisCpuSupported`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisEclControlInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`FirmwareAnalysisEclConsumerInterfaceVersion`	-	לא ממופה לאובייקט IDM.
`FirmwareImageAnalyzed` `FirmwareRegionMeasured` `FirmwareSize`	-	לא ממופה לאובייקט IDM.
`FirmwareType`	-	לא ממופה לאובייקט IDM.
`FirstDiscoveredDate`	-	לא ממופה לאובייקט IDM.
`FirstIP4Record` `Flags`	-	לא ממופה לאובייקט IDM.
`FltCallbackData`	-	לא ממופה לאובייקט IDM.
`FltCompletionContext`	-	לא ממופה לאובייקט IDM.
`FltRelatedObjects`	-	לא ממופה לאובייקט IDM.
`FontBuffer`	-	לא ממופה לאובייקט IDM.
`FontBufferLength`	-	לא ממופה לאובייקט IDM.
`FontFileCount`	-	לא ממופה לאובייקט IDM.
`FontFileName` `FontLoadOperation`	-	לא ממופה לאובייקט IDM.
`FsOperationBlocked`	`event1.PatternDispositionFlags.FsOperationBlocked`	חלק מ-`Event_DetectionSummaryEvent`.
`FsPostOpenSnapshotFile` `FsVolumeMounted` `FsVolumeUnmounted` `FullContext`	-	לא ממופה לאובייקט IDM.
`FullExceptionRecord`	-	לא ממופה לאובייקט IDM.
`GcpCreationTimestamp` `GenericFileWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`GID`	-	לא ממופה לאובייקט IDM.
`GrandparentCommandLine` `GrandparentImageFileName` `GrandParentBaseFileName` `GroupIdentity` `GroupRid` `GzipFileWritten` `HandleCreated`	-	לא ממופה לאובייקט IDM.
`HIDDescriptorCountryCode`	-	לא ממופה לאובייקט IDM.
`HIDDescriptorNumDescriptors`	-	לא ממופה לאובייקט IDM.
`HIDDescriptorVersion`	-	לא ממופה לאובייקט IDM.
`HIPHandlers.dll`	`event.idm.read_only_udm.target.file.full_path`	חלק מ-TargetFileName.
`HostGroups`	-	לא ממופה לאובייקט IDM.
`HostHiddenStatus` `HostInfo` `HostnameChanged` `hostname` `HostProcessType`	-	לא ממופה לאובייקט IDM.
`HostUrl` `HttpRequestDetect` `HttpRequestHeader` `HttpUrl` `IcmpCode`	-	לא ממופה לאובייקט IDM.
`IcmpType`	-	לא ממופה לאובייקט IDM.
`id` `IdleSettings`	-	לא ממופה לאובייקט IDM.
`ImageFileName` `ImageSubsystem`	-	לא ממופה לאובייקט IDM.
`Image`	-	לא ממופה לאובייקט IDM.
`ImpersonatedUserName` `InBroadcastOctets`	-	לא ממופה לאובייקט IDM.
`InContext`	-	לא ממופה לאובייקט IDM.
`InDiscards`	-	לא ממופה לאובייקט IDM.
`Indicator`	`event1.PatternDispositionFlags.Indicator`	חלק מ`Event_DetectionSummaryEvent`
`InddetMask`	`event1.PatternDispositionFlags.InddetMask`	חלק מ`Event_DetectionSummaryEvent`
`InErrors`	-	לא ממופה לאובייקט IDM.
`Information`	-	לא ממופה לאובייקט IDM.
`InjectedDll` `InjectedThread` `InjectedThreadCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`InjectedThreadFlag`	-	לא ממופה לאובייקט IDM.
`InMulticastOctets`	-	לא ממופה לאובייקט IDM.
`InNUcastPkts`	-	לא ממופה לאובייקט IDM.
`InOctets`	-	לא ממופה לאובייקט IDM.
`InstallDate`	-	לא ממופה לאובייקט IDM.
`InstalledApplication` `InstalledUpdateExtendedStatus`	-	לא ממופה לאובייקט IDM.
`InstalledUpdateIds`	-	לא ממופה לאובייקט IDM.
`InstalledUpdates` `InstanceMetadata` `InstanceMetadataProvider`	-	לא ממופה לאובייקט IDM.
`InstanceMetadataRequest`	-	לא ממופה לאובייקט IDM.
`InstanceMetadataSignature`	-	לא ממופה לאובייקט IDM.
`InUcastOctets`	-	לא ממופה לאובייקט IDM.
`InUcastPkts`	-	לא ממופה לאובייקט IDM.
`InUnknownProtos`	-	לא ממופה לאובייקט IDM.
`IntegrityLevel`	-	לא ממופה לאובייקט IDM.
`InterfaceAlias`	-	לא ממופה לאובייקט IDM.
`InterfaceDescription`	-	לא ממופה לאובייקט IDM.
`InterfaceFlags`	-	לא ממופה לאובייקט IDM.
`InterfaceGuid`	-	לא ממופה לאובייקט IDM.
`InterfaceIdentifier`	-	לא ממופה לאובייקט IDM.
`InterfaceIndex`	-	לא ממופה לאובייקט IDM.
`InterfaceMtu`	-	לא ממופה לאובייקט IDM.
`InterfaceType`	-	לא ממופה לאובייקט IDM.
`InterfaceVersion`	-	לא ממופה לאובייקט IDM.
`InjectedDllCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`InjectedThreadFlag`	-	לא ממופה לאובייקט IDM.
`InkDiv.dll`	`event.idm.read_only_udm.target.file.full_path`	חלק מ`ExecutablesWritten`
`InkObj.dll`	`event.idm.read_only_udm.target.file.full_path`	חלק מ-`ExecutablesWritten`.
`InMulticastPkts`	-	לא ממופה לאובייקט IDM.
`InOctets`	-	לא ממופה לאובייקט IDM.
`InUcastPkts`	-	לא ממופה לאובייקט IDM.
`IOARuleGroupName` `IOARuleInstanceID`	-	לא ממופה לאובייקט IDM.
`IOARuleInstanceVersion`	-	לא ממופה לאובייקט IDM.
`IOARuleName` `IOServiceClass`	-	לא ממופה לאובייקט IDM.
`IOServiceName`	-	לא ממופה לאובייקט IDM.
`IOServicePath`	-	לא ממופה לאובייקט IDM.
`IOServiceProperties`	-	לא ממופה לאובייקט IDM.
`IOServiceRegister` `IoSessionConnected` `IoSessionLoggedOn` `IpEntryFlags`	-	לא ממופה לאובייקט IDM.
`IrpFlags`	-	לא ממופה לאובייקט IDM.
`IsCpuDataCommonOnAllCores`	-	לא ממופה לאובייקט IDM.
`IsNorthBridgeSupported`	-	לא ממופה לאובייקט IDM.
`IsOnClearCaseMvfs`	-	לא ממופה לאובייקט IDM.
`IsOnNetwork` `IsOnRemovableDisk` `IsOn`	-	לא ממופה לאובייקט IDM.
`IsRemote`	-	לא ממופה לאובייקט IDM.
`IsSouthBridgeSupported`	-	לא ממופה לאובייקט IDM.
`IsTransactedFile`	-	לא ממופה לאובייקט IDM.
`IsUnique`	-	לא ממופה לאובייקט IDM.
`JavaInjectedThread` `JarFileWritten` `KernelModeLoadImage` `KernelTime`	-	לא ממופה לאובייקט IDM.
`KextUnload` `K8SCreationTimestamp` `K8SDetectionEvent` `LanguageId`	-	לא ממופה לאובייקט IDM.
`LastAdded`	-	לא ממופה לאובייקט IDM.
`LastDiscoveredBy`	-	לא ממופה לאובייקט IDM.
`LastDisplayed`	-	לא ממופה לאובייקט IDM.
`LastLoggedOnHost`	-	לא ממופה לאובייקט IDM.
`LastUpdateInstalledTime`	-	לא ממופה לאובייקט IDM.
`LateralMovement`	-	לא ממופה לאובייקט IDM.
`LdapSearchAttributes`	-	לא ממופה לאובייקט IDM.
`LdapSearchBaseObjectSample`	-	לא ממופה לאובייקט IDM.
`LdapSearchFilterSample`	-	לא ממופה לאובייקט IDM.
`LdapSearchFilterShape`	-	לא ממופה לאובייקט IDM.
`LdapSearchQueryClassification`	-	לא ממופה לאובייקט IDM.
`LdapSearchQueryToken`	-	לא ממופה לאובייקט IDM.
`LdapSearchScope`	-	לא ממופה לאובייקט IDM.
`LdapSearchSizeLimit`	-	לא ממופה לאובייקט IDM.
`LdapSecurityType`	-	לא ממופה לאובייקט IDM.
`LightningLatencyInfo` `LightningLatencyState`	-	לא ממופה לאובייקט IDM.
`Line`	-	לא ממופה לאובייקט IDM.
`LinkLocalAddressBehavior`	-	לא ממופה לאובייקט IDM.
`LinkLocalAddressTimeout`	-	לא ממופה לאובייקט IDM.
`LinkName` `LocalAccount`	-	לא ממופה לאובייקט IDM.
`LocalAddressIP4` `LocalAddressIP6` `LocalAddressMaskIP4`	-	לא ממופה לאובייקט IDM.
`LocalAddressMaskIP6`	-	לא ממופה לאובייקט IDM.
`LocalAdminAccess`	-	לא ממופה לאובייקט IDM.
`LocalIpAddressIP4` `LocalIpAddressIP6` `LocalIpAddressRemovedIP4` `LocalIpAddressRemovedIP6` `LocalPort` `LocalSession`	-	לא ממופה לאובייקט IDM.
`localipCount` `LockScreenEnabled`	-	לא ממופה לאובייקט IDM.
`LockScreenStatus` `LogoffTime` `LogonDomain` `LogonId`	-	לא ממופה לאובייקט IDM.
`LogonInfo`	`security_result.summary`	הגדרת `event_type` לערך `USER_LOGIN`.
`LogonServer` `LogonTime` `LogonType`	`event.idm.read_only_udm.extensions.auth.mechanism`	ממופה לערך enum של UDM על סמך הערך של `LogonType`.
`LogoffTime` `LsassHandleFromUnsignedModule` `MAC`	`event.idm.read_only_udm.principal.mac`	הומר לאותיות קטנות, והנקודתיים הוחלפו במקפים.
`MACAddress`	`event.idm.read_only_udm.principal.mac`	מקפים מוחלפים בנקודתיים.
`MACPrefix`	-	לא ממופה לאובייקט IDM.
`MachOFileWritten` `MachOSubType`	-	לא ממופה לאובייקט IDM.
`MachineDn` `MachineDomain` `MajorFunction`	-	לא ממופה לאובייקט IDM.
`MajorVersion`	-	לא ממופה לאובייקט IDM.
`Malicious`	-	לא ממופה לאובייקט IDM.
`ManagedPdbBuildPath` `MappedFromUserMode`	-	לא ממופה לאובייקט IDM.
`MaxReassemblySize`	-	לא ממופה לאובייקט IDM.
`MaxRouterAdvertisementInterval`	-	לא ממופה לאובייקט IDM.
`MaxThreadCount`	-	לא ממופה לאובייקט IDM.
`MD5HashData`	`event.idm.read_only_udm.target.file.md5`, `event.idm.read_only_udm.target.process.file.md5`	אם `MD5HashData` הוא גיבוב MD5 תקין ולא כולו אפסים, יוצרים ישות של גיבוב MD5 עם הערך של `MD5HashData` ומוסיפים אותה אל `event.idm.read_only_udm.target.file.md5` ואל `event.idm.read_only_udm.target.process.file.md5`.
`MD5String` `MediaConnectState`	-	לא ממופה לאובייקט IDM.
`MediaType`	-	לא ממופה לאובייקט IDM.
`MemoryAvailable`	-	לא ממופה לאובייקט IDM.
`MemoryRegionProtection`	-	לא ממופה לאובייקט IDM.
`MemoryRegionStart`	-	לא ממופה לאובייקט IDM.
`MemoryTotal`	-	לא ממופה לאובייקט IDM.
`MmioDataSmiEn`	-	לא ממופה לאובייקט IDM.
`MmioDataTco1Cnt`	-	לא ממופה לאובייקט IDM.
`MLModelVersion`	-	לא ממופה לאובייקט IDM.
`MobileDetection` `MobileDetectionId`	-	לא ממופה לאובייקט IDM.
`MobileOsIntegrityIntact`	-	לא ממופה לאובייקט IDM.
`MobileOsIntegrityStatus` `MobilePowerStats` `MoboManufacturer`	-	לא ממופה לאובייקט IDM.
`MoboProductName`	-	לא ממופה לאובייקט IDM.
`ModelPrediction`	-	לא ממופה לאובייקט IDM.
`ModuleBaseAddress`	-	לא ממופה לאובייקט IDM.
`ModuleCharacteristics`	-	לא ממופה לאובייקט IDM.
`ModuleDetectInfo` `ModuleLoadCount`	-	לא ממופה לאובייקט IDM.
`ModuleLoadMechanism`	-	לא ממופה לאובייקט IDM.
`ModuleLoadTelemetryClassification`	-	לא ממופה לאובייקט IDM.
`ModuleNativePath`	-	לא ממופה לאובייקט IDM.
`ModuleSize`	-	לא ממופה לאובייקט IDM.
`ModifyServiceBinary` `MostRecentActivityTimeStamp`	-	לא ממופה לאובייקט IDM.
`MotwWritten` `mskssrv.sys`	`event.idm.read_only_udm.principal.process.file.full_path`	חלק מ-OriginalFilename.
`MultipleInstancesPolicy`	-	לא ממופה לאובייקט IDM.
`name` `namespace` `NativePdbBuildPath`	-	לא ממופה לאובייקט IDM.
`NegateInterface`	-	לא ממופה לאובייקט IDM.
`NegateLocalAddress`	-	לא ממופה לאובייקט IDM.
`NegateRemoteAddress`	-	לא ממופה לאובייקט IDM.
`NeighborList`	-	לא ממופה לאובייקט IDM.
`NeighborListIP4` `NeighborListIP6` `NeighborName` `NetLuidIndex`	-	לא ממופה לאובייקט IDM.
`NetShareAdd` `NetShareDelete` `NetShareSecurityModify` `NetworkBindCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkCapableAsepWriteCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkCloseCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkCloseIP4` `NetworkCloseIP6` `NetworkConnectCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkConnectCountUdp`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkConnectIP4` `NetworkConnectIP6` `NetworkContainmentState` `NetworkInterfaceGuid`	-	לא ממופה לאובייקט IDM.
`NetworkListenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkListenIP4` `NetworkListenIP6` `NetworkModuleLoadCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkRecvAcceptCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NetworkReceiveAcceptIP4` `NetworkReceiveAcceptIP6` `NewExecutableRenamed` `NewExecutableWritten` `NewExecutableWrittenCount`	`security_result.detection_fields[0].value`	חלק מהאירוע `EndOfProcess`.
`NewFileIdentifier`	-	לא ממופה לאובייקט IDM.
`NewScriptWritten` `NlMtu`	-	לא ממופה לאובייקט IDM.
`NorthBridgeDeviceId`	-	לא ממופה לאובייקט IDM.
`NorthBridgeVendorId`	-	לא ממופה לאובייקט IDM.
`NumberOfMeasurements`	-	לא ממופה לאובייקט IDM.
`OciContainerId`	-	לא ממופה לאובייקט IDM.
`OciContainerTelemetry` `OciContainersStartedCount`	-	לא ממופה לאובייקט IDM.
`OciContainersStoppedCount`	-	לא ממופה לאובייקט IDM.
`OleFileWritten` `OnLinkPrefixLength`	-	לא ממופה לאובייקט IDM.
`OoxmlFileWritten` `OperStatus`	-	לא ממופה לאובייקט IDM.
`OperationFlags`	-	לא ממופה לאובייקט IDM.
`OperationName` `OriginalContentLength`	-	לא ממופה לאובייקט IDM.
`OriginalEventTimeStamp`	-	לא ממופה לאובייקט IDM.
`OriginalFilename` `OriginalParentAuthenticationId`	-	לא ממופה לאובייקט IDM.
`OriginalUserName` `OriginalUserSid` `OsfmDownloadComplete` `OsVersionInfo` `OU` `OutBroadcastOctets`	-	לא ממופה לאובייקט IDM.
`OutDiscards`	-	לא ממופה לאובייקט IDM.
`OutErrors`	-	לא ממופה לאובייקט IDM.
`OutMulticastOctets`	-	לא ממופה לאובייקט IDM.
`OutNUcastPkts`	-	לא ממופה לאובייקט IDM.
`OutOctets`	-	לא ממופה לאובייקט IDM.
`OutUcastOctets`	-	לא ממופה לאובייקט IDM.
`OutUcastPkts`	-	לא ממופה לאובייקט IDM.
`PackedExecutableWritten` `Parameter64_1`	-	לא ממופה לאובייקט IDM.
`Parameter64_2`	-	לא ממופה לאובייקט IDM.
`Parameter64_3`	-	לא ממופה לאובייקט IDM.
`ParameterSizedBuffer_1`	-	לא ממופה לאובייקט IDM.
`Parameter1`	-	לא ממופה לאובייקט IDM.
`Parameter2`	-	לא ממופה לאובייקט IDM.
`Parameter3`	-	לא ממופה לאובייקט IDM.
`ParentAuthenticationId`	-	לא ממופה לאובייקט IDM.
`ParentBaseFileName` `ParentCommandLine`	`event1.ParentCommandLine`	חלק מ-`Event_DetectionSummaryEvent`.
`ParentHubInstanceId`	-	לא ממופה לאובייקט IDM.
`ParentHubPort`	-	לא ממופה לאובייקט IDM.
`ParentImageFileName`	`event.idm.read_only_udm.principal.process.file.full_path`, `event1.ParentImageFileName`	חלק מ-`Event_DetectionSummaryEvent`.
`ParentProcessId`	`event.idm.read_only_udm.principal.process.product_specific_process_id`, `event1.ParentProcessId`	עם הקידומת `CS:%{cid}:%{aid}:`. חלק מ`Event_DetectionSummaryEvent`
`PasswordLastSet`	-	לא ממופה לאובייקט IDM.
`PathMtuDiscoveryTimeout`	-	לא ממופה לאובייקט IDM.
`PatternDispositionFlags`	-	לא ממופה לאובייקט IDM.
`PatternDispositionValue` `PatternDisposition

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.