CrowdStrike Falcon-Logs erfassen

Parserversion: 33.0

In diesem Dokument wird beschrieben, wie Sie CrowdStrike Falcon-Logs in Google Security Operations aufnehmen. Sie können verschiedene Arten von CrowdStrike Falcon-Logs aufnehmen. In diesem Dokument wird die jeweilige Konfiguration beschrieben.

Eine allgemeine Übersicht über die Datenaufnahme in Google Security Operations finden Sie unter Datenaufnahme in Google Security Operations.

Unterstützte CrowdStrike Falcon-Protokolltypen

Google Security Operations unterstützt die folgenden CrowdStrike Falcon-Logtypen über die Parser mit den folgenden Aufnahme-Labels:

• Endpoint Detection and Response (EDR): CS_EDR. Dieser Parser parst Telemetriedaten nahezu in Echtzeit aus CrowdStrike Falcon Data Replicator (FDR), z. B. Dateizugriffe und Änderungen an der Registry. Daten werden in der Regel aus einem S3- oder Cloud Storage-Bucket aufgenommen.

• Erkennungen: CS_DETECTS. Dieser Parser parst Detection Summary-Ereignisse von CrowdStrike mithilfe der Detect API. CS_DETECTS bezieht sich zwar auf Endpunktaktivitäten, bietet aber im Vergleich zu den mit CS_EDR geparsten Rohtelemetriedaten übergeordnete Erkennungszusammenfassungen.

  Hinweis: CrowdStrike hat den Endpunkt „Detects“ eingestellt. Wir empfehlen, stattdessen CS_ALERTS zum Aufnehmen von Erkennungslogs zu verwenden.

• Meldungen: CS_ALERTS. Dieser Parser parst Warnungen von CrowdStrike mithilfe der Alerts API. Der Parser für CrowdStrike-Benachrichtigungen unterstützt die folgenden Produkttypen:

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• Kompromittierungsindikatoren (IoC): CS_IOC. Dieser Parser parst IoCs und Angriffsindikatoren (IOAs) aus CrowdStrike Threat Intelligence mithilfe der CrowdStrike Chronicle Intel Bridge. Der CrowdStrike-Parser für Kompromittierungsindikatoren (IoC) unterstützt die folgenden Indikatortypen:

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps empfiehlt die Verwendung von Feeds für CS_EDR, CS_DETECTS und CS_IOC, um eine umfassende Datenaufnahme von CrowdStrike zu ermöglichen.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

• Administratorrechte für die CrowdStrike-Instanz, um den CrowdStrike Falcon Host-Sensor zu installieren
• Alle Systeme in der Bereitstellungsarchitektur sind in der UTC-Zeitzone konfiguriert.
• Das Zielgerät läuft mit einem unterstützten Betriebssystem.
  • Muss ein 64-Bit-Server sein
  • Microsoft Windows Server 2008 R2 SP1 wird für CrowdStrike Falcon Host-Sensorversion 6.51 oder höher unterstützt.
  • Ältere Betriebssystemversionen müssen die SHA-2-Codesignatur unterstützen.
• Google SecOps-Dienstkontodatei und Ihre Kundennummer vom Google SecOps-Supportteam

Feeds einrichten

Es gibt zwei verschiedene Einstiegspunkte, um Feeds in der Google SecOps-Plattform einzurichten:

• SIEM-Einstellungen > Feeds > Neuen Feed hinzufügen
• Content Hub > Content-Pakete > Jetzt starten

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

CrowdStrike Falcon-Logs aufnehmen

In diesem Abschnitt wird beschrieben, wie Sie die Aufnahme für die verschiedenen Arten von CrowdStrike Falcon-Logs konfigurieren.

EDR-Logs aufnehmen (CS_EDR)

Sie können CrowdStrike Falcon EDR-Logs mit einer der folgenden Methoden aufnehmen, je nachdem, wohin Sie die Logs von CrowdStrike senden möchten:

• Amazon SQS: Mit einem Falcon Data Replicator-Feed.
• Amazon S3: Mit einem Google Security Operations-Feed, der für einen S3-Bucket konfiguriert ist.
• Google Cloud Storage: CrowdStrike überträgt Logs in einen Cloud Storage-Bucket.

Wählen Sie eines der folgenden Verfahren aus.

Option 1: EDR-Logs aus Amazon SQS aufnehmen

Bei dieser Methode wird der CrowdStrike Falcon Data Replicator verwendet, um EDR-Logs an eine Amazon SQS-Warteschlange zu senden, die dann von Google Security Operations abgefragt wird.

1. Klicken Sie auf das CrowdStrike-Paket.

2. Geben Sie im Logtyp CrowdStrike Falcon Werte für die folgenden Felder an:

   • Quelle: Amazon SQS
   • Region: Die S3-Region, die mit dem URI verknüpft ist.
   • Warteschlangenname: Name der SQS-Warteschlange, aus der Protokolldaten gelesen werden sollen.
   • S3-URI: Der Quell-URI des S3-Buckets.
   • Kontonummer: Die SQS-Kontonummer.
   • Zugriffsschlüssel-ID für Warteschlange: 20-stellige Zugriffsschlüssel-ID für das Konto. Beispiel: AKIAOSFOODNN7EXAMPLE.
   • Secret Access Key für die Warteschlange: 40-stelliger Secret Access Key. Beispiel: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   • Option zum Löschen der Quelle: Option zum Löschen von Dateien und Verzeichnissen nach der Übertragung der Daten.

   Erweiterte Optionen

   • Feedname: Ein vorausgefüllter Wert, der den Feed identifiziert.
   • Asset-Namespace: Mit dem Feed verknüpfter Namespace.
   • Labels für Datenaufnahme: Labels, die auf alle Ereignisse aus diesem Feed angewendet werden.

3. Klicken Sie auf Feed erstellen.

Hinweis: Der Content Hub ist auf der eigenständigen SIEM-Plattform nicht verfügbar. Wenden Sie sich für ein Upgrade an Ihren Google SecOps-Ansprechpartner.

Weitere Informationen zum Konfigurieren mehrerer Feeds für verschiedene Logtypen innerhalb dieser Produktfamilie finden Sie unter Feeds nach Produkt konfigurieren.

Option 2: EDR-Logs aus einem Amazon S3-Bucket aufnehmen

Bei dieser Methode wird ein Google Security Operations-Feed eingerichtet, um EDR-Logs direkt aus einem Amazon S3-Bucket abzurufen.

So richten Sie einen Aufnahme-Feed mit einem S3-Bucket ein:

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Crowdstrike Falcon-Logs.
5. Wählen Sie unter Quelltyp die Option Amazon S3 aus.
6. Wählen Sie unter Logtyp die Option CrowdStrike Falcon aus.
7. Geben Sie basierend auf dem Dienstkonto und der Amazon S3-Bucket-Konfiguration, die Sie erstellt haben, Werte für die folgenden Felder an:

   Feld	Beschreibung
   region	S3-Regions-URI.
   S3 uri	Quell-URI des S3-Buckets.
   uri is a	Typ des Objekts, auf das der URI verweist (z. B. Datei oder Ordner).
   source deletion option	Option zum Löschen von Dateien und Verzeichnissen nach der Übertragung der Daten.
   access key id	Zugriffsschlüssel (alphanumerischer String mit 20 Zeichen). Beispiel: AKIAOSFOODNN7EXAMPLE.
   secret access key	Geheimer Zugriffsschlüssel (alphanumerischer String mit 40 Zeichen). Beispiel: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   oauth client id	Öffentliche OAuth-Client-ID.
   oauth client secret	OAuth 2.0-Clientschlüssel.
   oauth secret refresh uri	URI zur Aktualisierung des OAuth 2.0-Clientschlüssels.
   asset namespace	Mit dem Feed verknüpfter Namespace.

8. Klicken Sie auf Weiter und dann auf Senden.

Option 3: EDR-Logs aus Cloud Storage aufnehmen

Sie können CrowdStrike so konfigurieren, dass EDR-Logs an einen Cloud Storage-Bucket gesendet werden. Diese Logs können dann über einen Feed in Google Security Operations aufgenommen werden. Dieser Vorgang erfordert eine Abstimmung mit dem CrowdStrike-Support.

1. CrowdStrike-Support kontaktieren: Erstellen Sie ein Support-Ticket bei CrowdStrike, um das Senden von EDR-Logs an Ihren Cloud Storage-Bucket zu aktivieren und zu konfigurieren. Sie erhalten dann eine Anleitung zu den erforderlichen Konfigurationen.

2. Cloud Storage-Bucket erstellen und Berechtigungen festlegen:

   1. Erstellen Sie in der Google Cloud Console einen neuen Cloud Storage-Bucket. Notieren Sie sich den Bucket-Namen (z. B. gs://my-crowdstrike-edr-logs/).
   2. Gewähren Sie dem von CrowdStrike bereitgestellten Dienstkonto Schreibberechtigungen. Folgen Sie der Anleitung des CrowdStrike-Supports.

3. Google SecOps-Feed konfigurieren:

   1. Gehen Sie in Ihrer Google SecOps-Instanz zu Einstellungen > Feeds und klicken Sie auf Neu hinzufügen.
   2. Geben Sie einen aussagekräftigen Feednamen ein, z. B. CS-EDR-GCS.

   3. Wählen Sie als Quelltyp die Option Google Cloud Storage V2 aus.

      Hinweis: Sie können Google Cloud Storage Event Driven V2 als Quelltyp verwenden, um die Latenz zu minimieren.
      Hinweis: Richten Sie für ereignisgesteuerte Cloud Storage-Feedtypen ein Pub/Sub-Abo für Cloud Storage ein, wie unter Pub/Sub konfigurieren beschrieben.

   4. Wählen Sie als Logtyp die Option CrowdStrike Falcon aus.

   5. Klicken Sie im Abschnitt „Dienstkonto“ auf Dienstkonto abrufen. Kopieren Sie die angezeigte eindeutige E-Mail-Adresse des Dienstkontos.

   6. Rufen Sie in der Google Cloud Console Ihren Cloud Storage-Bucket auf und weisen Sie der kopierten E-Mail-Adresse des Dienstkontos die IAM-Rolle Storage Object Viewer zu. Dadurch kann der Feed die Logdateien lesen.

   7. Kehren Sie zur Google SecOps-Feedkonfigurationsseite zurück.

   8. Geben Sie die Storage Bucket URL (z. B. gs://my-crowdstrike-edr-logs/) ein. Diese URL muss mit einem Schrägstrich (/) enden.

   9. Geben Sie für ereignisgesteuerte Feedtypen den Pub/Sub-Abonamen an (z. B. projects/myproject/subscriptions/crowdstrike-edr-sub).

   10. Wählen Sie eine Option zum Löschen der Quelle aus. Dateien nie löschen wird empfohlen.

   11. Klicken Sie auf Weiter, prüfen Sie die Einstellungen und klicken Sie dann auf Senden.

4. Logaufnahme prüfen:Nachdem CrowdStrike bestätigt hat, dass Logs übertragen werden, prüfen Sie, ob in Google SecOps eingehende Logs mit dem Logtyp CS_EDR vorhanden sind.

Logs für Benachrichtigungen aufnehmen (CS_ALERTS)

Wenn Sie CrowdStrike Falcon-Benachrichtigungen aufnehmen möchten, konfigurieren Sie einen Feed, der die CrowdStrike API verwendet.

1. In der CrowdStrike Falcon-Konsole:

   1. Melden Sie sich in der CrowdStrike Falcon Console an.
   2. Gehen Sie zu Support und Ressourcen > Ressourcen und Tools > API-Clients und ‑Schlüssel und klicken Sie auf API-Client erstellen.
   3. Geben Sie einen Clientnamen und eine Beschreibung ein.
   4. Wählen Sie unter API-Bereiche das Kästchen Lesen für Benachrichtigungen aus.
   5. Klicken Sie auf Erstellen. Notieren Sie sich die generierte Client-ID, den Clientschlüssel und die Basis-URL.

2. In Google Security Operations:

   1. Rufen Sie Einstellungen > Feeds auf und klicken Sie auf Neu hinzufügen.
   2. Wählen Sie als Quelltyp die Option Drittanbieter-API aus.
   3. Wählen Sie als Logtyp die Option CrowdStrike Alerts API aus.

   4. Klicken Sie auf Weiter und füllen Sie die folgenden Felder mit den Werten aus dem CrowdStrike API-Client aus:

      • OAuth-Token-Endpunkt: z. B. https://api.us-2.crowdstrike.com/oauth2/token.
      • OAuth-Client-ID
      • OAuth-Clientschlüssel
      • Basis-URL: z. B. api.us-2.crowdstrike.com.
      • Aufnahmetyp: Wählen Sie eine der folgenden Optionen aus:
        • Alle Benachrichtigungen abrufen: Es werden sowohl neue als auch vorhandene Benachrichtigungen aufgenommen, die aktualisiert wurden.
        • Nur neue Benachrichtigungen abrufen: Es werden nur neue Benachrichtigungen aufgenommen.
      Hinweis: Ihr Token-Endpunkt enthält möglicherweise nicht „us-2“ in der URL. Dies hängt von Ihrer CrowdStrike-Region ab. Verwenden Sie die richtige Basis-URL aus der CrowdStrike-Konsole.

   5. Klicken Sie auf Weiter und dann auf Senden.

Erkennungslogs aufnehmen (CS_DETECTS)

Hinweis: CrowdStrike hat den Endpunkt „Detects“ eingestellt. Wir empfehlen, stattdessen CS_ALERTS zum Aufnehmen von Erkennungslogs zu verwenden.

Zum Aufnehmen von CrowdStrike Falcon-Erkennungslogs verwenden Sie ebenfalls die CrowdStrike API.

1. In der CrowdStrike Falcon-Konsole:

   1. Melden Sie sich in der CrowdStrike Falcon Console an.
   2. Gehen Sie zu Support-Apps > API-Clients und -Schlüssel.
   3. Erstellen Sie ein neues API-Clientschlüsselpaar. Dieses Schlüsselpaar muss die Berechtigungen READ für Detections haben.

2. In Google Security Operations:

   1. Rufen Sie Einstellungen > Feeds auf und klicken Sie auf Neu hinzufügen.
   2. Wählen Sie als Quelltyp die Option Drittanbieter-API aus.
   3. Wählen Sie als Logtyp die Option CrowdStrike Detection Monitoring aus.
   4. Klicken Sie auf Weiter und dann auf Senden. Sie werden aufgefordert, die von Ihnen erstellten API-Anmeldedaten einzugeben.

IoC-Logs aufnehmen (CS_IOC)

Wenn Sie Logs mit Kompromittierungsindikatoren (IoC) von CrowdStrike aufnehmen möchten, verwenden Sie die Google SecOps Intel Bridge.

1. Erstellen Sie in der CrowdStrike Falcon Console ein neues API-Clientschlüsselpaar. Dieses Schlüsselpaar muss die Berechtigung READ für Indicators (Falcon Intelligence) haben.
2. Richten Sie die Google SecOps Intel Bridge ein. Folgen Sie dazu der Anleitung unter CrowdStrike to Google SecOps Intel Bridge.

3. Führen Sie die folgenden Docker-Befehle aus, um die Logs von CrowdStrike an Google SecOps zu senden. sa.json ist Ihre Google SecOps-Dienstkontodatei.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. Sobald der Container ausgeführt wird, werden IoC-Logs in Google SecOps gestreamt.

Wenn Sie Probleme mit einer dieser Konfigurationen haben, wenden Sie sich an das Google SecOps-Supportteam.

Unterstützte CrowdStrike-Logformate

Der CrowdStrike-Parser unterstützt Logs im JSON-Format.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

CS_ALERTS UDM-Zuordnungsdelta

Hinweis: In diesem Delta bezieht sich „Alte UDM-Zuordnung“ auf Parser-Releases für CrowdStrike-Benachrichtigungen (CS_ALERTS) vor dem 27. Oktober 2026. Versionen, die nach dem 27. Oktober 2026 veröffentlicht werden, enthalten die folgende „Neue UDM-Zuordnung“.

Hinweis: Der metadata.event_type-Wert für ein Ereignis kann sich ebenfalls ändern. Für jeden UDM-Ereignistyp müssen bestimmte UDM-Felder ausgefüllt werden. Wenn die neue UDM-Zuordnung ein Pflichtfeld des zuvor zugewiesenen Ereignistyps nicht mehr füllt, weist der Parser einen weniger spezifischen Ereignistyp zu, z. B. den entsprechenden *_UNCATEGORIZED-Ereignistyp oder GENERIC_EVENT. Wenn die neue UDM-Zuordnung dagegen alle erforderlichen Felder eines spezifischeren Ereignistyps füllt, weist der Parser diesen spezifischeren Ereignistyp zu. Prüfen Sie alle Regeln, Suchvorgänge und Dashboards, die nach metadata.event_type filtern.

In der folgenden Tabelle sind die Unterschiede zwischen der alten und der neuen UDM-Zuordnung des Parsers für CrowdStrike-Benachrichtigungen (CS_ALERTS) aufgeführt.

Logfeld	Alter UDM-Feldname	Neuer UDM-Feldname
source_account_domain, device.machine_domain, logon_domain	principal.domain.name Wenn der Wert des Logfelds source_account_domain nicht leer ist, wird das Logfeld source_account_domain dem UDM-Feld principal.domain.name zugeordnet. Wenn der Wert des Logfelds logon_domain nicht leer ist, wird das Logfeld logon_domain dem UDM-Feld principal.domain.name zugeordnet. Wenn der Wert des Logfelds device.machine_domain nicht leer ist, wird das Logfeld device.machine_domain dem UDM-Feld principal.domain.name zugeordnet.	principal.domain.name Wenn der Wert des Logfelds source_account_domain nicht leer ist, wird das Logfeld source_account_domain dem UDM-Feld principal.domain.name zugeordnet. Wenn der Wert des Logfelds device.machine_domain nicht leer ist, wird das Logfeld device.machine_domain dem UDM-Feld principal.user.attribute.labels.device_machine_domain zugeordnet. Wenn der Wert des Logfelds logon_domain nicht leer ist, wird das Logfeld logon_domain dem UDM-Feld principal.user.attribute.labels.logon_domain zugeordnet. Wenn der Wert des Logfelds device.machine_domain nicht leer ist, wird das Logfeld device.machine_domain dem UDM-Feld principal.domain.name zugeordnet. Wenn der Wert des Logfelds logon_domain nicht leer ist, wird das Logfeld logon_domain dem UDM-Feld principal.user.attribute.labels.logon_domain zugeordnet. Wenn der Wert des Logfelds logon_domain nicht leer ist, wird das Logfeld logon_domain dem UDM-Feld principal.domain.name zugeordnet.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds computer_name nicht leer ist, wird das Logfeld computer_name dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds host_name nicht leer ist, wird das Logfeld host_name dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device.hostname dem UDM-Feld principal.hostname zugeordnet.	principal.hostname Wenn der Wert des Logfelds hostname nicht leer ist, wird das Logfeld hostname dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds computer_name nicht leer ist, wird das Logfeld computer_name dem UDM-Feld principal.asset.attribute.labels.computer_name zugeordnet. Wenn der Wert des Logfelds host_name nicht leer ist, wird das Logfeld host_name dem UDM-Feld principal.asset.attribute.labels.host_name zugeordnet. Wenn der Wert des Logfelds host nicht leer ist, wird das Logfeld host dem UDM-Feld principal.asset.attribute.labels.host zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device_hostname dem UDM-Feld principal.asset.attribute.labels.device_hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.attribute.labels.source_endpoint_host_name zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld security_result.detection_fields.threatgraph_indicator_hostname zugeordnet. Wenn der Wert des Logfelds host_name nicht leer ist, wird das Logfeld host_name dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds computer_name nicht leer ist, wird das Logfeld computer_name dem UDM-Feld principal.asset.attribute.labels.computer_name zugeordnet. Wenn der Wert des Logfelds host nicht leer ist, wird das Logfeld host dem UDM-Feld principal.asset.attribute.labels.host zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device_hostname dem UDM-Feld principal.asset.attribute.labels.device_hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.attribute.labels.source_endpoint_host_name zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld security_result.detection_fields[threatgraph_indicator_hostname] zugeordnet. Wenn der Wert des Logfelds computer_name nicht leer ist, wird das Logfeld computer_name dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds host nicht leer ist, wird das Logfeld host dem UDM-Feld principal.asset.attribute.labels.host zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device.hostname dem UDM-Feld principal.asset.attribute.labels.device_hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.attribute.labels.source_endpoint_host_name zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld security_result.detection_fields.threatgraph_indicator_hostname zugeordnet. Wenn der Wert des Logfelds host nicht leer ist, wird das Logfeld host dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device.hostname dem UDM-Feld principal.asset.attribute.labels.device_hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.attribute.labels.source_endpoint_host_name zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld security_result.detection_fields.threatgraph_indicator_hostname zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device.hostname dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.attribute.labels.source_endpoint_host_name zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld security_result.detection_fields.threatgraph_indicator_hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.hostname zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld security_result.detection_fields.threatgraph_indicator_hostname zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld principal.hostname zugeordnet.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds computer_name nicht leer ist, wird das Logfeld computer_name dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds host_name nicht leer ist, wird das Logfeld host_name dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device.hostname dem UDM-Feld principal.asset.hostname zugeordnet.	principal.asset.hostname Wenn der Wert des Logfelds hostname nicht leer ist, wird das Logfeld hostname dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds host_name nicht leer ist, wird das Logfeld host_name dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds computer_name nicht leer ist, wird das Logfeld computer_name dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds host nicht leer ist, wird das Logfeld host dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds device.hostname nicht leer ist, wird das Logfeld device.hostname dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds source_endpoint_host_name nicht leer ist, wird das Logfeld source_endpoint_host_name dem UDM-Feld principal.asset.hostname zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.hostname nicht leer ist, wird das Logfeld threatgraph_indicators.0.hostname dem UDM-Feld principal.asset.hostname zugeordnet.
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region Das Logfeld location_country_code wird dem UDM-Feld principal.location.country_or_region zugeordnet.	principal.location.country_or_region Wenn der Wert des Logfelds device_geo_location.country_name nicht leer ist, wird das Logfeld device_geo_location.country_name dem UDM-Feld principal.location.country_or_region zugeordnet. Wenn der Wert des Logfelds location_country_code nicht leer ist, wird das Logfeld location_country_code dem UDM-Feld security_result.detection_fields.location_country_code zugeordnet. Wenn der Wert des Logfelds location_country_code nicht leer ist, wird das Logfeld location_country_code dem UDM-Feld principal.location.country_or_region zugeordnet.
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name Wenn der Wert des Logfelds user_name nicht leer ist, wird das Logfeld user_name dem UDM-Feld principal.user.user_display_name zugeordnet. Wenn der Wert des Logfelds source_account_name nicht leer ist, wird das Logfeld source_account_name dem UDM-Feld principal.user.user_display_name zugeordnet.	principal.user.user_display_name Wenn der Wert des Logfelds user_name nicht leer ist, wird das Logfeld user_name dem UDM-Feld principal.user.user_display_name zugeordnet. Wenn der Wert des Logfelds source_account_name nicht leer ist, wird das Logfeld source_account_name dem UDM-Feld principal.user.attribute.labels.source_account_name zugeordnet. Wenn der Wert des Logfelds encrypted_by_username nicht leer ist, wird das Logfeld encrypted_by_username dem UDM-Feld principal.user.attribute.labels.encrypted_by_username zugeordnet. Wenn der Wert des Logfelds user_display_name nicht leer ist, wird das Logfeld user_display_name dem UDM-Feld principal.user.attribute.labels.user_display_name zugeordnet. Wenn der Wert des Logfelds source_account_name nicht leer ist, wird das Logfeld source_account_name dem UDM-Feld principal.user.user_display_name zugeordnet. Wenn der Wert des Logfelds encrypted_by_username nicht leer ist, wird das Logfeld encrypted_by_username dem UDM-Feld principal.user.attribute.labels.encrypted_by_username zugeordnet. Wenn der Wert des Logfelds user_display_name nicht leer ist, wird das Logfeld user_display_name dem UDM-Feld principal.user.attribute.labels.user_display_name zugeordnet. Wenn der Wert des Logfelds encrypted_by_username nicht leer ist, wird das Logfeld encrypted_by_username dem UDM-Feld principal.user.user_display_name zugeordnet. Wenn der Wert des Logfelds user_display_name nicht leer ist, wird das Logfeld user_display_name dem UDM-Feld principal.user.attribute.labels.user_display_name zugeordnet. Wenn der Wert des Logfelds user_display_name nicht leer ist, wird das Logfeld user_display_name dem UDM-Feld principal.user.user_display_name zugeordnet.
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid Wenn der Wert des Logfelds sid nicht leer ist, wird das Logfeld sid dem UDM-Feld principal.user.windows_sid zugeordnet. Wenn der Wert des Logfelds source_account_object_sid nicht leer ist, wird das Logfeld source_account_object_sid dem UDM-Feld principal.user.attribute.labels[source_account_object_sid] zugeordnet. Wenn der Wert des Logfelds source_account_object_sid nicht leer ist, wird das Logfeld source_account_object_sid dem UDM-Feld principal.user.windows_sid zugeordnet.
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{threatgraph_indicators.0.host_id} generiert wird, wobei %{threatgraph_indicators.0.host_id} durch den Wert des Logfelds threatgraph_indicators.0.host_id ersetzt wird. Wenn der Wert des Logfelds host_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{host_id} generiert wird, wobei %{host_id} durch den Wert des Logfelds host_id ersetzt wird. Wenn der Wert des Logfelds agent_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{agent_id} generiert wird, wobei %{agent_id} durch den Wert des Logfelds agent_id ersetzt wird. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{mdm_device_id} generiert wird, wobei %{mdm_device_id} durch den Wert des Logfelds mdm_device_id ersetzt wird. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{device.device_id} generiert wird, wobei %{device.device_id} durch den Wert des Logfelds device.device_id ersetzt wird.	principal.asset_id, about.asset_id Wenn der Wert des Logfelds agent_id nicht leer ist, wird agent_ider mithilfe des Trennzeichens | in mehrere Werte aufgeteilt. Iterieren Sie durch die aufgeteilten agent_id-Werte: Wenn der index-Wert gleich "0" ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{agent_id} generiert wird, wobei %{agent_id} durch den aufgeteilten agent_id-Wert ersetzt wird. Andernfalls wird das UDM-Feld about.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{agent_id} generiert wird, wobei %{agent_id} durch den aufgeteilten Wert agent_id ersetzt wird. Wenn der Wert des Logfelds source_asset.id nicht leer ist, wird das Logfeld source_asset.id dem UDM-Feld principal.asset.attribute.labels.source_asset_id zugeordnet. Wenn der Wert des Logfelds host_id nicht leer ist, wird das Logfeld host_id dem UDM-Feld principal.asset.attribute.labels.host_id zugeordnet. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das Logfeld device.device_id dem UDM-Feld principal.asset.attribute.labels.device_id zugeordnet. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das Logfeld mdm_device_id dem UDM-Feld principal.asset.attribute.labels.mdm_device_id zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das Logfeld threatgraph_indicators.0.host_id dem UDM-Feld security_result.detection_fields.threatgraph_indicator_host_id zugeordnet. Wenn der Wert des Logfelds source_asset.id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{source_asset.id} generiert wird, wobei %{source_asset.id} durch den Wert des Logfelds source_asset.id ersetzt wird. Wenn der Wert des Logfelds host_id nicht leer ist, wird das Logfeld host_id dem UDM-Feld principal.asset.attribute.labels.host_id zugeordnet. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das Logfeld device.device_id dem UDM-Feld principal.asset.attribute.labels.device_id zugeordnet. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das Logfeld mdm_device_id dem UDM-Feld principal.asset.attribute.labels.mdm_device_id zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das Logfeld threatgraph_indicators.0.host_id dem UDM-Feld security_result.detection_fields.threatgraph_indicator_host_id zugeordnet. Wenn der Wert des Logfelds host_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{host_id} generiert wird, wobei %{host_id} durch den Wert des Logfelds host_id ersetzt wird. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das Logfeld device.device_id dem UDM-Feld principal.asset.attribute.labels.device_id zugeordnet. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das Logfeld mdm_device_id dem UDM-Feld principal.asset.attribute.labels.mdm_device_id zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das Logfeld threatgraph_indicators.0.host_id dem UDM-Feld security_result.detection_fields.threatgraph_indicator_host_id zugeordnet. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{device.device_id} generiert wird, wobei %{device.device_id} durch den Wert des Logfelds device.device_id ersetzt wird. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das Logfeld mdm_device_id dem UDM-Feld principal.asset.attribute.labels.mdm_device_id zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das Logfeld threatgraph_indicators.0.host_id dem UDM-Feld security_result.detection_fields.threatgraph_indicator_host_id zugeordnet. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{mdm_device_id} generiert wird, wobei %{mdm_device_id} durch den Wert des Logfelds mdm_device_id ersetzt wird. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das Logfeld threatgraph_indicators.0.host_id dem UDM-Feld security_result.detection_fields.threatgraph_indicator_host_id zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das UDM-Feld principal.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{threatgraph_indicators.0.host_id} generiert wird, wobei %{threatgraph_indicators.0.host_id} durch den Wert des Logfelds threatgraph_indicators.0.host_id ersetzt wird.
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{threatgraph_indicators.0.host_id} generiert wird, wobei %{threatgraph_indicators.0.host_id} durch den Wert des Logfelds threatgraph_indicators.0.host_id ersetzt wird. Wenn der Wert des Logfelds host_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{host_id} generiert wird, wobei %{host_id} durch den Wert des Logfelds host_id ersetzt wird. Wenn der Wert des Logfelds agent_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{agent_id} generiert wird, wobei %{agent_id} durch den Wert des Logfelds agent_id ersetzt wird. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{mdm_device_id} generiert wird, wobei %{mdm_device_id} durch den Wert des Logfelds mdm_device_id ersetzt wird. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{device.device_id} generiert wird, wobei %{device.device_id} durch den Wert des Logfelds device.device_id ersetzt wird.	principal.asset.asset_id, about.asset.asset_id Wenn der Wert des Logfelds agent_id nicht leer ist, wird agent_ider mithilfe des Trennzeichens | in mehrere Werte aufgeteilt. Iterieren Sie durch die aufgeteilten agent_id-Werte: Wenn der index-Wert gleich "0" ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{agent_id} generiert wird, wobei %{agent_id} durch den aufgeteilten agent_id-Wert ersetzt wird. Andernfalls wird das UDM-Feld about.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{agent_id} generiert wird, wobei %{agent_id} durch den aufgeteilten Wert agent_id ersetzt wird. Wenn der Wert des Logfelds source_asset.id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{source_asset.id} generiert wird, wobei %{source_asset.id} durch den Wert des Logfelds source_asset.id ersetzt wird. Wenn der Wert des Logfelds host_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{host_id} generiert wird, wobei %{host_id} durch den Wert des Logfelds host_id ersetzt wird. Wenn der Wert des Logfelds device.device_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{device.device_id} generiert wird, wobei %{device.device_id} durch den Wert des Logfelds device.device_id ersetzt wird. Wenn der Wert des Logfelds mdm_device_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{mdm_device_id} generiert wird, wobei %{mdm_device_id} durch den Wert des Logfelds mdm_device_id ersetzt wird. Wenn der Wert des Logfelds threatgraph_indicators.0.host_id nicht leer ist, wird das UDM-Feld principal.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{threatgraph_indicators.0.host_id} generiert wird, wobei %{threatgraph_indicators.0.host_id} durch den Wert des Logfelds threatgraph_indicators.0.host_id ersetzt wird.
cid, agent_id, process_id	target.process.product_specific_process_id Wenn der Wert des Logfelds cid nicht leer ist, der Wert des Logfelds agent_id nicht leer ist und der Wert des Logfelds process_id nicht leer ist, wird das UDM-Feld target.process.product_specific_process_id auf einen Wert gesetzt, der aus der Vorlage PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} generiert wird, wobei %{cid}, %{agent_id} und %{process_id} durch die Werte der Logfelder cid, agent_id bzw. process_id ersetzt werden.	target.process.product_specific_process_id, about.process.product_specific_process_id Wenn der Wert des Logfelds agent_id nicht leer ist, wird agent_id er mit dem Trennzeichen | in mehrere Werte aufgeteilt. Iterieren Sie durch die aufgeteilten agent_id-Werte: Wenn der index-Wert gleich "0" ist, dann, wenn der cid-Logfeldwert nicht leer ist und der aufgeteilte agent_id-Wert nicht leer ist und der process_id-Logfeldwert nicht leer ist, dann wird das target.process.product_specific_process_id-UDM-Feld auf einen Wert gesetzt, der aus der Vorlage PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} generiert wird, wobei %{agent_id} durch den aufgeteilten agent_id-Wert ersetzt wird und %{cid} und %{process_id} durch die Werte der Logfelder cid bzw. process_id ersetzt werden. Andernfalls, wenn der Wert des Logfelds cid nicht leer ist, der Wert des Splits agent_id nicht leer ist und der Wert des Logfelds process_id nicht leer ist, wird das UDM-Feld about.process.product_specific_process_id auf einen Wert gesetzt, der aus der Vorlage PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} generiert wird. Dabei wird %{agent_id} durch den Wert des Splits agent_id ersetzt und %{cid} und %{process_id} werden durch die Werte der Logfelder cid bzw. process_id ersetzt.
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details Wenn der Wert des Logfelds product gleich "epp" ist, dann gilt: Wenn der Wert des Logfelds severity nicht leer ist, dann wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet. Andernfalls, wenn der Wert des Logfelds incident.score nicht leer ist, wird das Logfeld incident.score dem UDM-Feld security_result.severity_details zugeordnet. Wenn der Wert des Logfelds product gleich "mobile" ist, wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet, wenn der Wert des Logfelds severity nicht leer ist. Wenn der Wert des Logfelds incident.score nicht leer ist, wird das Logfeld incident.score dem UDM-Feld security_result.severity_details zugeordnet. Wenn der Wert des Logfelds product gleich "xdr" ist, wird das Logfeld incident.score dem UDM-Feld security_result.severity_details zugeordnet, wenn der Wert des Logfelds incident.score nicht leer ist. Wenn der Wert des Logfelds severity nicht leer ist, wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet. Wenn der Wert des Logfelds severity nicht leer ist, wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet.	security_result.severity_details Wenn der Wert des Logfelds product gleich "epp" ist, dann: Wenn der Wert des Logfelds severity nicht leer ist, dann: Das Logfeld severity wird dem UDM-Feld security_result.severity_details zugeordnet. Andernfalls, wenn der Wert des Logfelds incident.score nicht leer ist, wird das Logfeld incident.score dem UDM-Feld security_result.severity_details zugeordnet. Wenn der Wert des Logfelds product gleich "mobile" ist, wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet, wenn der Wert des Logfelds severity nicht leer ist. Wenn der Wert des Logfelds incident.score nicht leer ist, wird das Logfeld incident.score dem UDM-Feld security_result.severity_details zugeordnet. Andernfalls, wenn der Wert des Logfelds product einen der folgenden Werte enthält: xdr automated-lead-context , dann: Wenn der Wert des Logfelds incident.score nicht leer ist, dann: Das Logfeld incident.score wird dem UDM-Feld security_result.severity_details zugeordnet. Wenn der Wert des Logfelds severity nicht leer ist, wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet. Wenn der Wert des Logfelds severity nicht leer ist, wird das Logfeld severity dem UDM-Feld security_result.severity_details zugeordnet.
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name Iterieren Sie durch das Logfeld entities.domain , wenn der Wert index gleich 0 ist. Dann wird das Logfeld entities.domain dem UDM-Feld target.domain.name zugeordnet. Andernfalls wird das Logfeld entities.domain dem UDM-Feld security_result.detection_fields.entities_domain zugeordnet.	target.domain.name Wenn der Wert des Logfelds saas_domain nicht leer ist, wird das Logfeld saas_domain dem UDM-Feld target.domain.name zugeordnet. Wenn der Wert des Logfelds target_account_domain nicht leer ist, wird das Logfeld target_account_domain dem UDM-Feld target.user.attribute.labels.target_account_domain zugeordnet. Wenn der Wert des Logfelds entities.domain.0 nicht leer ist, wird das Logfeld entities.domain.0 dem UDM-Feld target.user.attribute.labels.entities_domain zugeordnet. Wenn der Wert des Logfelds domain_name nicht leer ist, wird das Logfeld domain_name dem UDM-Feld target.user.attribute.labels.domain_name zugeordnet. Wenn der Wert des Logfelds target_account_domain nicht leer ist, wird das Logfeld target_account_domain dem UDM-Feld target.domain.name zugeordnet. Wenn der Wert des Logfelds entities.domain.0 nicht leer ist, wird das Logfeld entities.domain.0 dem UDM-Feld target.user.attribute.labels.entities_domain zugeordnet. Wenn der Wert des Logfelds domain_name nicht leer ist, wird das Logfeld domain_name dem UDM-Feld target.user.attribute.labels.domain_name zugeordnet. Wenn der Wert des Logfelds entities.domain.0 nicht leer ist, wird das Logfeld entities.domain.0 dem UDM-Feld target.domain.name zugeordnet. Wenn der Wert des Logfelds domain_name nicht leer ist, wird das Logfeld domain_name dem UDM-Feld target.user.attribute.labels.domain_name zugeordnet. Wenn der Wert des Logfelds domain_name nicht leer ist, wird das Logfeld domain_name dem UDM-Feld target.domain.name zugeordnet.
entities.domain	security_result.detection_fields[entities_domain] Iterieren Sie durch das Logfeld entities.domain . Wenn der Wert index nicht gleich "0" ist, wird das Logfeld entities.domain dem UDM-Feld security_result.detection_fields.entities_domain zugeordnet.	target.user.attribute.labels[entities_domain] Iterieren Sie durch das Logfeld entities.domain . Wenn der Wert index nicht gleich "0" ist, wird das Logfeld entities.domain dem UDM-Feld target.user.attribute.labels.entities_domain zugeordnet.
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses Wenn der Wert des Logfelds target_account_upn nicht leer ist, dann wenn der Wert des Logfelds target_account_upn mit dem regulären Ausdrucksmuster (^.+@.+$) übereinstimmt, dann wird das Logfeld target_account_upn dem UDM-Feld target.user.email_addresses zugeordnet. Andernfalls wird das Logfeld target_account_upn dem UDM-Feld target.user.attribute.labels.target_account_upn zugeordnet.
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip Iterieren Sie durch das Logfeld network_accesses , wenn der Wert des Logfelds network_accesses.local_address nicht leer ist. Wenn der Wert des Logfelds network_accesses und der Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)inbound übereinstimmen, wird das Logfeld network_accesses.local_address dem UDM-Feld target.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_accesses.local_address dem UDM-Feld principal.ip zugeordnet. Andernfalls wird das Logfeld network_accesses.local_address dem UDM-Feld security_result.detection_fields.network_accesses_local_address zugeordnet.
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip Iterieren Sie durch das Logfeld network_accesses , wenn der Wert des Logfelds network_accesses.local_address nicht leer ist. Wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_accesses.local_address dem UDM-Feld target.asset.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_accesses mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_accesses.local_address dem UDM-Feld principal.asset.ip zugeordnet.connection_direction Andernfalls wird das Logfeld network_accesses.local_address dem UDM-Feld security_result.detection_fields.network_accesses_local_address zugeordnet.
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port Iterieren Sie durch das Logfeld network_accesses , wenn der Wert index gleich "0" ist. Wenn der Wert des Logfelds network_accesses.local_port nicht leer ist, dann wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction dem Muster des regulären Ausdrucks (?i)inbound entspricht, dann wird das Logfeld network_accesses.local_port dem UDM-Feld target.port zugeordnet. Andernfalls, wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_accesses.local_port dem UDM-Feld principal.port zugeordnet. Andernfalls wird das Logfeld network_accesses.local_port dem UDM-Feld security_result.detection_fields.network_accesses_local_port zugeordnet. Wenn der Wert des Logfelds network_accesses.local_port nicht leer ist, dann wenn der Wert des Logfelds network_accesses der Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)inbound übereinstimmt, dann wird das Logfeld network_accesses.local_port dem UDM-Feld target.asset.attribute.labels.network_accesses_local_port zugeordnet. Andernfalls, wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_accesses.local_port dem UDM-Feld principal.asset.attribute.labels.network_accesses_local_port zugeordnet. Andernfalls wird das Logfeld network_accesses.local_port dem UDM-Feld security_result.detection_fields.network_accesses_local_port zugeordnet.
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol Iterieren Sie durch das Logfeld network_accesses.protocol , wenn der Wert index gleich "0" ist. Dann wird das Logfeld network_accesses.protocol dem UDM-Feld network.ip_protocol zugeordnet. Andernfalls wird das Logfeld network_accesses.protocol dem UDM-Feld security_result.detection_fields.network_accesses_protocol zugeordnet.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip Iterieren Sie durch das Logfeld network_accesses , wenn der Wert des Logfelds network_accesses.remote_address nicht leer ist. Wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_accesses.remote_address dem UDM-Feld principal.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_accessesconnection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_accesses.remote_address dem UDM-Feld target.ip zugeordnet. Andernfalls wird das Logfeld network_accesses.remote_address dem UDM-Feld security_result.detection_fields.network_accesses_remote_address zugeordnet.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip Iterieren Sie durch das Logfeld network_accesses , wenn der Wert des Logfelds network_accesses.remote_address nicht leer ist. Wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_accesses.remote_address dem UDM-Feld principal.asset.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_accesses mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_accesses.remote_address dem UDM-Feld target.asset.ip zugeordnet. Andernfalls wird das Logfeld network_accesses.remote_address dem UDM-Feld security_result.detection_fields.network_accesses_remote_address zugeordnet.
resource_name, bucket_name	target.resource.name	target.resource.name Wenn der Wert des Logfelds resource_name nicht leer ist, wird das Logfeld resource_name dem UDM-Feld target.resource.name zugeordnet. Wenn der Wert des Logfelds bucket_name nicht leer ist, wird das Logfeld bucket_name dem UDM-Feld target.resource.attribute.labels[bucket_name] zugeordnet. Wenn der Wert des Logfelds bucket_name nicht leer ist, wird das Logfeld bucket_name dem UDM-Feld target.resource.name zugeordnet.
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id Iterieren Sie durch das Logfeld incident.host_ids , wenn der Wert index gleich "0" ist. Dann wird das UDM-Feld target.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{incident.host_ids} generiert wird, wobei %{incident.host_ids} durch den Wert des Logfelds incident.host_ids ersetzt wird. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "incident_host_id" gesetzt und das Logfeld incident.host_ids dem UDM-Feld security_result.detection_fields.value zugeordnet.	target.asset_id Wenn der Wert des Logfelds destination_asset.id nicht leer ist, wird das UDM-Feld target.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{destination_asset.id} generiert wird, wobei %{destination_asset.id} durch den Wert des Logfelds destination_asset.id ersetzt wird. Wenn der Wert des Logfelds incident.host_ids.0 nicht leer ist, wird das Logfeld incident.host_ids.0 dem UDM-Feld security_result.detection_fields.incident_host_id zugeordnet. Wenn der Wert des Logfelds destination.usb_combined_id nicht leer ist, wird das Logfeld destination.usb_combined_id dem UDM-Feld target.asset.attribute.labels.destination_usb_combined_id zugeordnet. Wenn der Wert des Logfelds incident.host_ids.0 nicht leer ist, wird das UDM-Feld target.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{incident.host_ids.0} generiert wird, wobei %{incident.host_ids.0} durch den Wert des Logfelds incident.host_ids.0 ersetzt wird. Wenn der Wert des Logfelds destination.usb_combined_id nicht leer ist, wird das Logfeld destination.usb_combined_id dem UDM-Feld target.asset.attribute.labels.destination_usb_combined_id zugeordnet. Wenn der Wert des Logfelds destination.usb_combined_id nicht leer ist, wird das UDM-Feld target.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{destination.usb_combined_id} generiert wird, wobei %{destination.usb_combined_id} durch den Wert des Logfelds destination.usb_combined_id ersetzt wird. Iterieren Sie durch das Logfeld incident.host_ids Wenn der Wert index nicht gleich "0" ist, wird das UDM-Feld security_result.detection_fields.key auf "incident_host_ids" gesetzt und das Logfeld incident.host_ids wird dem UDM-Feld security_result.detection_fields.value zugeordnet.
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id Iterieren Sie durch das Logfeld incident.host_ids , wenn der Wert index gleich "0" ist. Dann wird das UDM-Feld target.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{incident.host_ids} generiert wird, wobei %{incident.host_ids} durch den Wert des Logfelds incident.host_ids ersetzt wird.	target.asset.asset_id Wenn der Wert des Logfelds destination_asset.id nicht leer ist, wird das UDM-Feld target.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{destination_asset.id} generiert wird, wobei %{destination_asset.id} durch den Wert des Logfelds destination_asset.id ersetzt wird. Wenn der Wert des Logfelds incident.host_ids.0 nicht leer ist, wird das UDM-Feld target.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{incident.host_ids.0} generiert wird, wobei %{incident.host_ids.0} durch den Wert des Logfelds incident.host_ids.0 ersetzt wird. Wenn der Wert des Logfelds destination.usb_combined_id nicht leer ist, wird das UDM-Feld target.asset.asset_id auf einen Wert gesetzt, der aus der Vorlage CS:%{destination.usb_combined_id} generiert wird, wobei %{destination.usb_combined_id} durch den Wert des Logfelds destination.usb_combined_id ersetzt wird.
entities.file_name	target.process.file.names Logfeld entities.file_name durchlaufen Das Logfeld entities.file_name wird dem UDM-Feld target.process.file.names zugeordnet.	security_result.detection_fields[entities_file_name] Iterieren Sie durch das Logfeld entities.file_name . Wenn der Wert des Logfelds entities.file_name nicht leer ist, wird das Logfeld entities.file_name dem UDM-Feld security_result.detection_fields.entities_file_name zugeordnet.
entities.image_file_name	target.process.file.full_path Iterieren Sie durch das Logfeld entities.image_file_name . Wenn der Wert index gleich 0 ist, wird das Logfeld entities.image_file_name dem UDM-Feld target.process.file.full_path zugeordnet. Andernfalls wird das Logfeld entities.image_file_name dem UDM-Feld security_result.detection_fields.entities_image_file_name zugeordnet.	security_result.detection_fields[entities_image_file_name] Iterieren Sie durch das Logfeld entities.image_file_name . Wenn der Wert des Logfelds entities.image_file_name nicht leer ist, wird das Logfeld entities.image_file_name dem UDM-Feld security_result.detection_fields.entities_image_file_name zugeordnet.
entities.process	target.process.pid Iterieren Sie durch das Logfeld entities.process , wenn der Wert index gleich 0 ist. Dann wird das Logfeld entities.process dem UDM-Feld target.process.pid zugeordnet. Andernfalls wird das Logfeld entities.process dem UDM-Feld security_result.detection_fields.entities_process zugeordnet.	security_result.detection_fields[entities_process] Iterieren Sie durch das Logfeld entities.process . Wenn der Wert des Logfelds entities.process nicht leer ist, wird das Logfeld entities.process dem UDM-Feld security_result.detection_fields.entities_process zugeordnet.
entities.sha256	target.process.file.sha256 Iterieren Sie durch das Logfeld entities.sha256 , wenn der Wert index gleich 0 ist. Dann wird das Logfeld entities.sha256 dem UDM-Feld target.process.file.sha256 zugeordnet. Andernfalls wird das Logfeld entities.sha256 dem UDM-Feld security_result.detection_fields.entities_sha256 zugeordnet.	security_result.detection_fields[entities_sha256] Iterieren Sie durch das Logfeld entities.sha256 . Wenn der Wert des Logfelds entities.sha256 nicht leer ist, wird das Logfeld entities.sha256 dem UDM-Feld security_result.detection_fields.entities_sha256 zugeordnet.
entities.username	target.user.user_display_name Iterieren Sie durch das Logfeld entities.username . Wenn der Wert index gleich 0 ist, wird das Logfeld entities.username dem UDM-Feld target.user.user_display_name zugeordnet. Andernfalls wird das Logfeld entities.username dem UDM-Feld security_result.detection_fields.entities_username zugeordnet.	security_result.detection_fields[entities_username] Iterieren Sie durch das Logfeld entities.username . Wenn der Wert des Logfelds entities.username nicht leer ist, wird das Logfeld entities.username dem UDM-Feld security_result.detection_fields.entities_username zugeordnet.
application_name, destination.name	target.application	target.application Wenn der Wert des Logfelds destination.name nicht leer ist, wird das Logfeld destination.name dem UDM-Feld target.application zugeordnet. Wenn der Wert des Logfelds application_name nicht leer ist, wird das Logfeld application_name dem UDM-Feld security_result.detection_fields[application_name] zugeordnet. Wenn der Wert des Logfelds application_name nicht leer ist, wird das Logfeld application_name dem UDM-Feld target.application zugeordnet.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip Iterieren Sie durch das Logfeld network_info , wenn der Wert des Logfelds network_info.local_address nicht leer ist. Wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_info.local_address dem UDM-Feld target.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_info.local_address dem UDM-Feld principal.ip zugeordnet. Andernfalls wird das Logfeld network_info.local_address dem UDM-Feld security_result.detection_fields.network_info_local_address zugeordnet.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip Iterieren Sie durch das Logfeld network_info , wenn der Wert des Logfelds network_info.local_address nicht leer ist. Wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_info.local_address dem UDM-Feld target.asset.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_info.local_address dem UDM-Feld principal.asset.ip zugeordnet. Andernfalls wird das Logfeld network_info.local_address dem UDM-Feld security_result.detection_fields.network_info_local_address zugeordnet.
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol Iterieren Sie durch das Logfeld network_info.protocol , wenn der Wert index gleich "0" ist. Dann wird das Logfeld network_info.protocol dem UDM-Feld network.ip_protocol zugeordnet. Andernfalls wird das Logfeld network_info.protocol dem UDM-Feld security_result.detection_fields.network_info_protocol zugeordnet.
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path Wenn der Wert des Logfelds unexpected_dynamic_library_loaded.0.target_file_name nicht leer ist, wird das Logfeld unexpected_dynamic_library_loaded.0.target_file_name dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds harmful_app_image_filename nicht leer ist, wird das Logfeld harmful_app_image_filename dem UDM-Feld security_result.detection_fields.harmful_app_image_filename zugeordnet. Wenn der Wert des Logfelds sideloaded_app_image_filename nicht leer ist, wird das Logfeld sideloaded_app_image_filename dem UDM-Feld security_result.detection_fields.sideloaded_app_image_filename zugeordnet. Wenn der Wert des Logfelds duplicated_app_image_filename nicht leer ist, wird das Logfeld duplicated_app_image_filename dem UDM-Feld security_result.detection_fields.duplicated_app_image_filename zugeordnet. Wenn der Wert des Logfelds debuggable_app_image_filename nicht leer ist, wird das Logfeld debuggable_app_image_filename dem UDM-Feld security_result.detection_fields.debuggable_app_image_filename zugeordnet. Wenn der Wert des Logfelds unexpected_files.0 nicht leer ist, wird das Logfeld unexpected_files.0 dem UDM-Feld security_result.detection_fields.unexpected_files zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld security_result.detection_fields.app_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds harmful_app_image_filename nicht leer ist, wird das Logfeld harmful_app_image_filename dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds sideloaded_app_image_filename nicht leer ist, wird das Logfeld sideloaded_app_image_filename dem UDM-Feld security_result.detection_fields.sideloaded_app_image_filename zugeordnet. Wenn der Wert des Logfelds duplicated_app_image_filename nicht leer ist, wird das Logfeld duplicated_app_image_filename dem UDM-Feld security_result.detection_fields.duplicated_app_image_filename zugeordnet. Wenn der Wert des Logfelds debuggable_app_image_filename nicht leer ist, wird das Logfeld debuggable_app_image_filename dem UDM-Feld security_result.detection_fields.debuggable_app_image_filename zugeordnet. Wenn der Wert des Logfelds unexpected_files.0 nicht leer ist, wird das Logfeld unexpected_files.0 dem UDM-Feld security_result.detection_fields.unexpected_files zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld security_result.detection_fields.app_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds sideloaded_app_image_filename nicht leer ist, wird das Logfeld sideloaded_app_image_filename dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds duplicated_app_image_filename nicht leer ist, wird das Logfeld duplicated_app_image_filename dem UDM-Feld security_result.detection_fields.duplicated_app_image_filename zugeordnet. Wenn der Wert des Logfelds debuggable_app_image_filename nicht leer ist, wird das Logfeld debuggable_app_image_filename dem UDM-Feld security_result.detection_fields.debuggable_app_image_filename zugeordnet. Wenn der Wert des Logfelds unexpected_files.0 nicht leer ist, wird das Logfeld unexpected_files.0 dem UDM-Feld security_result.detection_fields.unexpected_files zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld security_result.detection_fields.app_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds duplicated_app_image_filename nicht leer ist, wird das Logfeld duplicated_app_image_filename dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds debuggable_app_image_filename nicht leer ist, wird das Logfeld debuggable_app_image_filename dem UDM-Feld security_result.detection_fields.debuggable_app_image_filename zugeordnet. Wenn der Wert des Logfelds unexpected_files.0 nicht leer ist, wird das Logfeld unexpected_files.0 dem UDM-Feld security_result.detection_fields.unexpected_files zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld security_result.detection_fields.app_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds debuggable_app_image_filename nicht leer ist, wird das Logfeld debuggable_app_image_filename dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds unexpected_files.0 nicht leer ist, wird das Logfeld unexpected_files.0 dem UDM-Feld security_result.detection_fields.unexpected_files zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld security_result.detection_fields.app_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds unexpected_files.0 nicht leer ist, wird das Logfeld unexpected_files.0 dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld security_result.detection_fields.app_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds app_image_filename nicht leer ist, wird das Logfeld app_image_filename dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_apps.0.image_filename dem UDM-Feld target.file.full_path zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld security_result.detection_fields.suspicious_activities_apps_image_filename zugeordnet. Wenn der Wert des Logfelds suspicious_activities_apps.0.image_filename nicht leer ist, wird das Logfeld suspicious_activities_apps.0.image_filename dem UDM-Feld target.file.full_path zugeordnet.
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application Iterieren Sie durch das Logfeld intrusive_package , wenn der Wert index gleich "0" ist. Dann wird das Logfeld intrusive_package.target_package_name dem UDM-Feld target.application zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "intrusive_package_target_package_name" gesetzt und das Logfeld intrusive_package.target_package_name wird dem UDM-Feld security_result.detection_fields.value zugeordnet.	security_result.detection_fields[intrusive_package_target_package_name] Iterieren Sie durch das Logfeld intrusive_package , wenn der Wert des Logfelds intrusive_package.target_package_name nicht leer ist. Das Logfeld intrusive_package.target_package_name wird dem UDM-Feld security_result.detection_fields.intrusive_package_target_package_name zugeordnet.
intrusive_process.target_process_name	target.process.file.names Iterieren Sie durch das Logfeld intrusive_process . Wenn der Wert index gleich "0" ist, wird das Logfeld intrusive_process.target_process_name dem UDM-Feld target.process.file.names zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "intrusive_process_target_process_name" gesetzt und das Logfeld intrusive_process.target_process_name dem UDM-Feld security_result.detection_fields.value zugeordnet.	security_result.detection_fields[intrusive_process_target_process_name] Iterieren Sie durch das Logfeld intrusive_process , wenn der Wert des Logfelds intrusive_process.target_process_name nicht leer ist. Das Logfeld intrusive_process.target_process_name wird dann dem UDM-Feld security_result.detection_fields.intrusive_process_target_process_name zugeordnet.
intrusive_process.target_process_path	target.process.file.full_path Iterieren Sie durch das Logfeld intrusive_process . Wenn der Wert index gleich "0" ist, wird das Logfeld intrusive_process.target_process_path dem UDM-Feld target.process.file.full_path zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "intrusive_process_target_process_path" gesetzt und das Logfeld intrusive_process.target_process_path dem UDM-Feld security_result.detection_fields.value zugeordnet.	security_result.detection_fields[intrusive_process_target_process_path] Iterieren Sie durch das Logfeld intrusive_process , wenn der Wert des Logfelds intrusive_process.target_process_path nicht leer ist. Das Logfeld intrusive_process.target_process_path wird dem UDM-Feld security_result.detection_fields.intrusive_process_target_process_path zugeordnet.
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port Iterieren Sie durch das Logfeld network_info , wenn der Wert index gleich "0" ist. Wenn der Wert des Logfelds network_info.local_port nicht leer ist, dann, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_info.local_port dem UDM-Feld target.port zugeordnet. Andernfalls, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_info.local_port dem UDM-Feld principal.port zugeordnet. Andernfalls wird das Logfeld network_info.local_port dem UDM-Feld security_result.detection_fields.network_info_local_port zugeordnet. Wenn der Wert des Logfelds network_info.local_port nicht leer ist, dann wenn der Wert des Logfelds network_info der Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)inbound übereinstimmt, dann wird das Logfeld network_info.local_port dem UDM-Feld target.asset.attribute.labels.network_info_local_port zugeordnet. Andernfalls, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction mit dem regulären Ausdrucksmuster (?i)outbound übereinstimmt, wird das Logfeld network_info.local_port dem UDM-Feld principal.asset.attribute.labels.network_info_local_port zugeordnet. Andernfalls wird das Logfeld network_info.local_port dem UDM-Feld security_result.detection_fields.network_info_local_port zugeordnet.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip Iterieren Sie durch das Logfeld network_info , wenn der Wert des Logfelds network_info.remote_address nicht leer ist. Wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_info.remote_address dem UDM-Feld principal.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_info.remote_address dem UDM-Feld target.ip zugeordnet. Andernfalls wird das Logfeld network_info.remote_address dem UDM-Feld security_result.detection_fields.network_info_remote_address zugeordnet.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip Iterieren Sie durch das Logfeld network_info , wenn der Wert des Logfelds network_info.remote_address nicht leer ist. Wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction übereinstimmt, entspricht das Muster des regulären Ausdrucks: (?i)inbound, dann wird das Logfeld network_info.remote_address dem UDM-Feld principal.asset.ip zugeordnet. Andernfalls, wenn der Wert des Logfelds network_info mit dem Wert des Logfelds connection_direction mit dem Muster des regulären Ausdrucks (?i)outbound übereinstimmt, wird das Logfeld network_info.remote_address dem UDM-Feld target.asset.ip zugeordnet. Andernfalls wird das Logfeld network_info.remote_address dem UDM-Feld security_result.detection_fields.network_info_remote_address zugeordnet.
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application Iterieren Sie durch das Logfeld suspicious_activities_apps . Wenn der Wert index gleich "0" ist, wird das Logfeld suspicious_activities_apps.app_label dem UDM-Feld target.application zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "suspicious_activities_apps_app_label" gesetzt und das Logfeld suspicious_activities_apps.app_label wird dem UDM-Feld security_result.detection_fields.value zugeordnet.	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application Iterieren Sie durch das Logfeld suspicious_apps . Wenn der Wert index gleich "0" ist, wird das Logfeld suspicious_apps.app_label dem UDM-Feld target.application zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "suspicious_apps_app_label" gesetzt und das Logfeld suspicious_apps.app_label dem UDM-Feld security_result.detection_fields.value zugeordnet.	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 Iterieren Sie durch das Logfeld suspicious_apps . Wenn der Wert index gleich "0" ist, wird das Logfeld suspicious_apps.certificate_thumbprints_sha1 dem UDM-Feld target.file.sha1 zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "suspicious_apps_certificate_thumbprints_sha1" gesetzt und das Logfeld suspicious_apps.certificate_thumbprints_sha1 dem UDM-Feld security_result.detection_fields.value zugeordnet.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 Iterieren Sie durch das Logfeld suspicious_apps , wenn der Wert index gleich "0" ist. Dann wird das Logfeld suspicious_apps.certificate_thumbprints_sha256 dem UDM-Feld target.file.sha256 zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "suspicious_apps_certificate_thumbprints_sha256" gesetzt und das Logfeld suspicious_apps.certificate_thumbprints_sha256 dem UDM-Feld security_result.detection_fields.value zugeordnet.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name Iterieren Sie durch das Logfeld system_partition_altered . Wenn der Wert index gleich "0" ist, wird das Logfeld system_partition_altered.volume_mount_point dem UDM-Feld target.resource.name zugeordnet. Andernfalls wird das Logfeld system_partition_altered.volume_mount_point dem UDM-Feld target.resource_ancestors.name zugeordnet.	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type Iterieren Sie durch das Logfeld system_partition_altered , wenn der Wert des Logfelds system_partition_altered.volume_mount_point nicht leer ist. Wenn der Wert index gleich "0" ist, wird das UDM-Feld target.resource.resource_type auf "VOLUME" gesetzt. Andernfalls wird das UDM-Feld target.resource_ancestors.resource_type auf "VOLUME" gesetzt.
system_partition_altered.volume_type	target.resource.resource_subtype Iterieren Sie durch das Logfeld system_partition_altered . Wenn der Wert index gleich "0" ist, wird das Logfeld system_partition_altered.volume_type dem UDM-Feld target.resource.resource_subtype zugeordnet. Andernfalls wird das Logfeld system_partition_altered.volume_type dem UDM-Feld target.resource_ancestors.resource_subtype zugeordnet.	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name Logfeld durchlaufen system_updates_blocked_by_dns Das Logfeld system_updates_blocked_by_dns.domain_name wird dem UDM-Feld network.dns.questions.name zugeordnet.	about.domain.name Logfeld system_updates_blocked_by_dns durchlaufen Das Logfeld system_updates_blocked_by_dns.domain_name wird dem UDM-Feld about.domain.name zugeordnet.
system_updates_blocked_by_filesystem.file_name	target.file.names Logfeld system_updates_blocked_by_filesystem durchlaufen Das Logfeld system_updates_blocked_by_filesystem.file_name wird dem UDM-Feld target.file.names zugeordnet.	about.file.full_path Logfeld durchlaufen system_updates_blocked_by_filesystem Das Logfeld system_updates_blocked_by_filesystem.file_name wird dem UDM-Feld about.file.full_path zugeordnet.
system_updates_blocked_by_http.url	target.url Wenn der Wert des Logfelds url leer ist, dann Iterieren Sie durch das Logfeld system_updates_blocked_by_http Wenn der Wert index gleich "0" ist, dann wird das Logfeld system_updates_blocked_by_http.url dem UDM-Feld target.url zugeordnet. Andernfalls wird das UDM-Feld security_result.detection_fields.key auf "system_updates_blocked_by_http_url" gesetzt und das Logfeld system_updates_blocked_by_http.url dem UDM-Feld security_result.detection_fields.value zugeordnet.	about.url Logfeld system_updates_blocked_by_http durchlaufen Das Logfeld system_updates_blocked_by_http.url wird dem UDM-Feld about.url zugeordnet.
threatgraph_indicators.process_id	target.process.pid Iterieren Sie durch das Logfeld threatgraph_indicators , wenn der Wert index gleich "0" ist. Dann wird das Logfeld threatgraph_indicators.process_id dem UDM-Feld target.process.pid zugeordnet. Wenn der Wert des Logfelds threatgraph_indicators.process_id nicht leer ist, wird das Logfeld threatgraph_indicators.process_id dem UDM-Feld security_result.detection_fields.threatgraph_indicators_process_id zugeordnet.	security_result.detection_fields[threatgraph_indicators_process_id] Iterieren Sie durch das Logfeld threatgraph_indicators . Wenn der Wert des Logfelds threatgraph_indicators.process_id nicht leer ist, wird das Logfeld threatgraph_indicators.process_id dem UDM-Feld security_result.detection_fields.threatgraph_indicators_process_id zugeordnet.
agent_id	principal.asset.attribute.labels[agent_id] Wenn der Wert des Logfelds device.device_id nicht leer ist oder der Wert des Logfelds mdm_device_id nicht leer ist oder der Wert des Logfelds host_id nicht leer ist, dann: Wenn der Wert des Logfelds agent_id nicht leer ist, dann: Das Logfeld agent_id wird dem UDM-Feld principal.asset.attribute.labels.agent_id zugeordnet.
event_timestamp, timestamp	metadata.event_timestamp Wenn der Wert des Logfelds timestamp nicht leer ist, wird das Logfeld timestamp dem UDM-Feld metadata.event_timestamp zugeordnet.	metadata.event_timestamp Wenn der Wert des Logfelds event_timestamp nicht leer ist, wird das Logfeld event_timestamp dem UDM-Feld metadata.event_timestamp zugeordnet. Wenn der Wert des Logfelds timestamp nicht leer ist, wird das Logfeld timestamp dem UDM-Feld metadata.event_timestamp zugeordnet.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten