Collecter les journaux CrowdStrike Falcon

Version de l'analyseur : 33.0

Ce document explique comment ingérer des journaux CrowdStrike Falcon dans Google Security Operations. Vous pouvez ingérer plusieurs types de journaux CrowdStrike Falcon. Ce document décrit la configuration spécifique de chacun d'eux.

Pour obtenir une présentation générale de l'ingestion de données dans Google Security Operations, consultez Ingestion de données dans Google Security Operations.

Types de journaux CrowdStrike Falcon compatibles

Google Security Operations est compatible avec les types de journaux CrowdStrike Falcon suivants via les analyseurs avec les étiquettes d'ingestion suivantes :

• Endpoint Detection and Response (EDR) : CS_EDR. Cet analyseur analyse les données de télémétrie en temps quasi réel de CrowdStrike Falcon Data Replicator (FDR), telles que l'accès aux fichiers et les modifications du registre. Les données sont généralement ingérées à partir d'un bucket S3 ou Cloud Storage.

• Détections : CS_DETECTS. Cet analyseur analyse les événements de résumé de détection de CrowdStrike à l'aide de l'API Detect. Bien qu'il soit lié à l'activité des points de terminaison, CS_DETECTS fournit des résumés de détection de plus haut niveau que la télémétrie brute analysée à l'aide de CS_EDR.

  Remarque : CrowdStrike a abandonné le point de terminaison "Detects". Nous vous recommandons d'utiliser CS_ALERTS pour ingérer les journaux de détection.

• Alertes : CS_ALERTS. Cet analyseur analyse les alertes de CrowdStrike à l'aide de l'API Alerts. L'analyseur d'alertes CrowdStrike est compatible avec les types de produits suivants :

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• Indicateurs de compromission (IoC) : CS_IOC. Cet analyseur analyse les IoC et les indicateurs d'attaque (IOA) de CrowdStrike Threat Intelligence à l'aide de CrowdStrike Chronicle Intel Bridge. L'analyseur d'indicateurs de compromission (IoC) CrowdStrike est compatible avec les types d'indicateurs suivants :

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps recommande d'utiliser des flux pour CS_EDR, CS_DETECTS et CS_IOC pour une ingestion complète des données depuis CrowdStrike.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

• Droits d'administrateur sur l'instance CrowdStrike pour installer le capteur d'hôte CrowdStrike Falcon
• Tous les systèmes de l'architecture de déploiement sont configurés dans le fuseau horaire UTC.
• L'appareil cible exécute un système d'exploitation compatible.
  • Il doit s'agir d'un serveur 64 bits.
  • Microsoft Windows Server 2008 R2 SP1 est compatible avec le capteur CrowdStrike Falcon Host version 6.51 ou ultérieure.
  • Les anciennes versions de l'OS doivent être compatibles avec la signature de code SHA-2.
• Fichier de compte de service Google SecOps et votre ID client de l'équipe d'assistance Google SecOps

Configurer des flux

Il existe deux points d'entrée différents pour configurer des flux dans la plate-forme Google SecOps :

• Paramètres SIEM > Flux > Ajouter un flux
• Content Hub > Packs de contenu > Premiers pas

Remarque : Le Content Hub n'est pas disponible sur la plate-forme SIEM autonome. Pour passer à un forfait supérieur, contactez votre représentant Google SecOps.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Ingérer les journaux CrowdStrike Falcon

Cette section explique comment configurer l'ingestion pour les différents types de journaux CrowdStrike Falcon.

Ingérer des journaux EDR (CS_EDR)

Vous pouvez ingérer les journaux CrowdStrike Falcon EDR à l'aide de l'une des méthodes suivantes, selon l'emplacement d'envoi des journaux depuis CrowdStrike :

• Amazon SQS : à l'aide d'un flux Falcon Data Replicator.
• Amazon S3 : à l'aide d'un flux Google Security Operations configuré pour un bucket S3.
• Google Cloud Storage : en demandant à CrowdStrike de transférer les journaux vers un bucket Cloud Storage.

Choisissez l'une des procédures suivantes.

Option 1 : Ingérer les journaux EDR depuis Amazon SQS

Cette méthode utilise CrowdStrike Falcon Data Replicator pour envoyer les journaux EDR à une file d'attente Amazon SQS, que Google Security Operations interroge ensuite.

1. Cliquez sur le pack CrowdStrike.

2. Dans le type de journal CrowdStrike Falcon, spécifiez les valeurs des champs suivants :

   • Source : Amazon SQS
   • Région : région S3 associée à l'URI.
   • Nom de la file d'attente : nom de la file d'attente SQS à partir de laquelle lire les données de journal.
   • URI S3 : URI source du bucket S3.
   • Numéro de compte : numéro de compte SQS.
   • ID de clé d'accès à la file d'attente : ID de clé d'accès au compte de 20 caractères. Exemple :AKIAOSFOODNN7EXAMPLE
   • Clé d'accès secrète de la file d'attente : clé d'accès secrète de 40 caractères. Exemple :wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   • Option de suppression de la source : option permettant de supprimer des fichiers et des répertoires après le transfert des données.

   Options avancées

   • Nom du flux : valeur préremplie qui identifie le flux.
   • Espace de noms de l'élément : espace de noms associé au flux.
   • Étiquettes d'ingestion : étiquettes appliquées à tous les événements de ce flux.

3. Cliquez sur Créer un flux.

Remarque : Le Content Hub n'est pas disponible sur la plate-forme SIEM autonome. Pour passer à un forfait supérieur, contactez votre représentant Google SecOps.

Pour en savoir plus sur la configuration de plusieurs flux pour différents types de journaux dans cette famille de produits, consultez Configurer des flux par produit.

Option 2 : Ingérer les journaux EDR à partir d'un bucket Amazon S3

Cette méthode consiste à configurer un flux Google Security Operations pour extraire les journaux EDR directement d'un bucket Amazon S3.

Pour configurer un flux d'ingestion à l'aide d'un bucket S3, procédez comme suit :

1. Accédez à Paramètres SIEM> Flux.
2. Cliquez sur Ajouter un flux d'actualités.
3. Sur la page suivante, cliquez sur Configurer un seul flux.
4. Dans le champ Nom du flux, saisissez un nom pour le flux, par exemple Crowdstrike Falcon Logs.
5. Dans Type de source, sélectionnez Amazon S3.
6. Dans Type de journal, sélectionnez CrowdStrike Falcon.
7. En fonction du compte de service et de la configuration du bucket Amazon S3 que vous avez créés, spécifiez des valeurs pour les champs suivants :

   Champ	Description
   region	URI de la région S3.
   S3 uri	URI source du bucket S3.
   uri is a	Type d'objet vers lequel l'URI pointe (par exemple, un fichier ou un dossier).
   source deletion option	Option permettant de supprimer des fichiers et des répertoires après le transfert des données.
   access key id	Clé d'accès (chaîne alphanumérique de 20 caractères). Par exemple, AKIAOSFOODNN7EXAMPLE.
   secret access key	Clé d'accès secrète (chaîne alphanumérique de 40 caractères). Par exemple, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   oauth client id	ID client OAuth public.
   oauth client secret	Code secret du client OAuth 2.0.
   oauth secret refresh uri	URI d'actualisation du code secret du client OAuth 2.0.
   asset namespace	Espace de noms associé au flux.

8. Cliquez sur Suivant, puis sur Envoyer.

Option 3 : Ingérer les journaux EDR depuis Cloud Storage

Vous pouvez configurer CrowdStrike pour qu'il envoie les journaux EDR à un bucket Cloud Storage, puis ingérer ces journaux dans Google Security Operations à l'aide d'un flux. Ce processus nécessite une coordination avec l'assistance CrowdStrike.

1. Contacter l'assistance CrowdStrike : ouvrez une demande d'assistance auprès de CrowdStrike pour activer et configurer l'envoi des journaux EDR vers votre bucket Cloud Storage. Il vous fournira des conseils sur les configurations requises.

2. Créez le bucket Cloud Storage et accordez-lui les autorisations nécessaires :

   1. Dans la console Google Cloud , créez un bucket Cloud Storage. Notez le nom du bucket (par exemple, gs://my-crowdstrike-edr-logs/).
   2. Accordez des autorisations d'écriture au compte de service fourni par CrowdStrike. Suivez les instructions de l'assistance CrowdStrike.

3. Configurez le flux Google SecOps :

   1. Dans votre instance Google SecOps, accédez à Paramètres > Flux, puis cliquez sur Ajouter.
   2. Saisissez un nom de flux descriptif (par exemple, CS-EDR-GCS).

   3. Pour Type de source, sélectionnez Google Cloud Storage V2.

      Remarque : Vous pouvez utiliser Google Cloud Storage Event Driven V2 comme type de source pour réduire la latence.
      Remarque : Pour les types de flux Cloud Storage basés sur des événements, configurez un abonnement Pub/Sub pour Cloud Storage, comme décrit dans Configurer Pub/Sub.

   4. Pour Type de journal, sélectionnez CrowdStrike Falcon.

   5. Dans la section "Compte de service", cliquez sur Obtenir un compte de service. Copiez l'adresse e-mail unique du compte de service qui s'affiche.

   6. Dans la console Google Cloud , accédez à votre bucket Cloud Storage et attribuez le rôle IAM Storage Object Viewer à l'adresse e-mail du compte de service que vous avez copiée. Cela permet au flux de lire les fichiers journaux.

   7. Revenez à la page de configuration du flux Google SecOps.

   8. Saisissez l'URL du bucket de stockage (par exemple, gs://my-crowdstrike-edr-logs/). Cette URL doit se terminer par une barre oblique (/).

   9. Pour les types de flux En fonction des événements, indiquez le nom de l'abonnement Pub/Sub (par exemple, projects/myproject/subscriptions/crowdstrike-edr-sub).

   10. Sélectionnez une option de suppression de la source. Nous vous recommandons de sélectionner Ne jamais supprimer les fichiers.

   11. Cliquez sur Suivant, vérifiez les paramètres, puis cliquez sur Envoyer.

4. Vérifier l'ingestion des journaux : une fois que CrowdStrike a confirmé que les journaux sont envoyés, vérifiez les journaux entrants dans Google SecOps avec le type de journal CS_EDR.

Ingérer les journaux d'alertes (CS_ALERTS)

Pour ingérer des alertes CrowdStrike Falcon, vous devez configurer un flux qui utilise l'API CrowdStrike.

1. Dans la console CrowdStrike Falcon :

   1. Connectez-vous à la console CrowdStrike Falcon.
   2. Accédez à Support and resources > Resources and tools > API Clients and Keys (Assistance et ressources > Ressources et outils > Clients et clés API), puis cliquez sur Create API client (Créer un client API).
   3. Saisissez un nom de client et une description.
   4. Pour Niveaux d'accès à l'API, cochez la case Lecture pour Alertes.
   5. Cliquez sur Créer. Notez l'ID client, le code secret du client et l'URL de base générés.

2. Dans Google Security Operations :

   1. Accédez à Paramètres > Flux, puis cliquez sur Ajouter.
   2. Sélectionnez API tierce pour Type de source.
   3. Sélectionnez API CrowdStrike Alerts comme Type de journal.

   4. Cliquez sur Suivant et renseignez les champs suivants à l'aide des valeurs du client API CrowdStrike :

      • Point de terminaison du jeton OAuth : par exemple, https://api.us-2.crowdstrike.com/oauth2/token.
      • ID client OAuth
      • Code secret du client OAuth
      • URL de base : par exemple, api.us-2.crowdstrike.com.
      • Type d'ingestion : sélectionnez l'une des options suivantes :
        • Importer toutes les alertes : ingère les alertes nouvelles et existantes qui ont été mises à jour.
        • Importer uniquement les nouvelles alertes : ingère uniquement les nouvelles alertes.
      Remarque : Il est possible que votre point de terminaison de jeton n'inclue pas "us-2" dans votre URL. Cela dépend de votre région CrowdStrike. Utilisez l'URL de base correcte de la console CrowdStrike.

   5. Cliquez sur Suivant, puis sur Envoyer.

Ingérer les journaux de détection (CS_DETECTS)

Remarque : CrowdStrike a abandonné le point de terminaison "Detects". Nous vous recommandons d'utiliser CS_ALERTS pour ingérer les journaux de détection.

Pour ingérer les journaux de détection CrowdStrike Falcon, vous devez également utiliser l'API CrowdStrike.

1. Dans la console CrowdStrike Falcon :

   1. Connectez-vous à la console CrowdStrike Falcon.
   2. Accédez à Applications d'assistance > Clients et clés API.
   3. Créez une paire de clés de client API. Cette paire de clés doit disposer des autorisations READ pour Detections.

2. Dans Google Security Operations :

   1. Accédez à Paramètres > Flux, puis cliquez sur Ajouter.
   2. Sélectionnez API tierce pour Type de source.
   3. Sélectionnez CrowdStrike Detection Monitoring comme Type de journal.
   4. Cliquez sur Suivant, puis sur Envoyer. Vous serez invité à saisir les identifiants d'API que vous avez créés.

Ingérer les journaux d'IoC (CS_IOC)

Pour ingérer les journaux d'indicateurs de compromission (IoC) de CrowdStrike, vous utilisez Google SecOps Intel Bridge.

1. Dans la console CrowdStrike Falcon, créez une paire de clés client API. Cette paire de clés doit disposer de l'autorisation READ pour Indicators (Falcon Intelligence).
2. Configurez Google SecOps Intel Bridge en suivant les instructions de la page CrowdStrike vers Google SecOps Intel Bridge.

3. Exécutez les commandes Docker suivantes pour envoyer les journaux de CrowdStrike à Google SecOps. sa.json est votre fichier de compte de service Google SecOps.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. Une fois le conteneur en cours d'exécution, les journaux IoC commenceront à être diffusés dans Google SecOps.

Si vous rencontrez des problèmes avec l'une de ces configurations, contactez l'équipe d'assistance Google SecOps.

Formats de journaux CrowdStrike compatibles

L'analyseur CrowdStrike est compatible avec les journaux au format JSON.

Journal des modifications

Afficher le journal des modifications de cet analyseur

Delta de mappage UDM CS_ALERTS

Remarque : Dans ce delta, "Ancien mappage UDM" fait référence aux versions de l'analyseur CrowdStrike Alerts (CS_ALERTS) antérieures au 27 octobre 2026. Les versions publiées après le 27 octobre 2026 incluent le "nouveau mappage UDM" suivant.

Remarque : La valeur metadata.event_type d'un événement peut également changer. Chaque type d'événement UDM nécessite que des champs UDM spécifiques soient renseignés. Si le nouveau mappage UDM ne renseigne plus un champ obligatoire du type d'événement précédemment attribué, l'analyseur attribue un type d'événement moins spécifique, tel que le type d'événement *_UNCATEGORIZED ou GENERIC_EVENT correspondant. À l'inverse, si le nouveau mappage UDM renseigne tous les champs obligatoires d'un type d'événement plus spécifique, l'analyseur attribue ce type d'événement plus spécifique. Examinez les règles, les recherches et les tableaux de bord qui filtrent sur metadata.event_type.

Le tableau suivant présente la différence entre l'ancien mappage UDM et le nouveau mappage UDM de l'analyseur CrowdStrike Alerts (CS_ALERTS).

Champ du journal	Ancien nom de champ UDM	Nom du nouveau champ UDM
source_account_domain, device.machine_domain, logon_domain	principal.domain.name Si la valeur du champ de journal source_account_domain n'est pas vide, le champ de journal source_account_domain est mappé au champ UDM principal.domain.name. Sinon, si la valeur du champ de journal logon_domain n'est pas vide, le champ de journal logon_domain est mappé au champ UDM principal.domain.name. Sinon, si la valeur du champ de journal device.machine_domain n'est pas vide, le champ de journal device.machine_domain est mappé au champ UDM principal.domain.name.	principal.domain.name Si la valeur du champ de journal source_account_domain n'est pas vide, le champ de journal source_account_domain est mappé au champ UDM principal.domain.name. Si la valeur du champ de journal device.machine_domain n'est pas vide, le champ de journal device.machine_domain est mappé au champ UDM principal.user.attribute.labels.device_machine_domain. Si la valeur du champ de journal logon_domain n'est pas vide, le champ de journal logon_domain est mappé au champ UDM principal.user.attribute.labels.logon_domain. Sinon, si la valeur du champ de journal device.machine_domain n'est pas vide, le champ de journal device.machine_domain est mappé au champ UDM principal.domain.name. Si la valeur du champ de journal logon_domain n'est pas vide, le champ de journal logon_domain est mappé au champ UDM principal.user.attribute.labels.logon_domain. Sinon, si la valeur du champ de journal logon_domain n'est pas vide, le champ de journal logon_domain est mappé au champ UDM principal.domain.name.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM principal.hostname. Sinon, si la valeur du champ de journal computer_name n'est pas vide, le champ de journal computer_name est mappé au champ UDM principal.hostname. Sinon, si la valeur du champ de journal host_name n'est pas vide, le champ de journal host_name est mappé au champ UDM principal.hostname. Sinon, si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.hostname. Sinon, si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device.hostname est mappé au champ UDM principal.hostname.	principal.hostname Si la valeur du champ de journal hostname n'est pas vide, le champ de journal hostname est mappé au champ UDM principal.hostname. Si la valeur du champ de journal computer_name n'est pas vide, le champ de journal computer_name est mappé au champ UDM principal.asset.attribute.labels.computer_name. Si la valeur du champ de journal host_name n'est pas vide, le champ de journal host_name est mappé au champ UDM principal.asset.attribute.labels.host_name. Si la valeur du champ de journal host n'est pas vide, le champ de journal host est mappé au champ UDM principal.asset.attribute.labels.host. Si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device_hostname est mappé au champ UDM principal.asset.attribute.labels.device_hostname. Si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.attribute.labels.source_endpoint_host_name. Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_hostname. Sinon, si la valeur du champ de journal host_name n'est pas vide, le champ de journal host_name est mappé au champ UDM principal.hostname. Si la valeur du champ de journal computer_name n'est pas vide, le champ de journal computer_name est mappé au champ UDM principal.asset.attribute.labels.computer_name. Si la valeur du champ de journal host n'est pas vide, le champ de journal host est mappé au champ UDM principal.asset.attribute.labels.host. Si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device_hostname est mappé au champ UDM principal.asset.attribute.labels.device_hostname. Si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.attribute.labels.source_endpoint_host_name. Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM security_result.detection_fields[threatgraph_indicator_hostname]. Sinon, si la valeur du champ de journal computer_name n'est pas vide, le champ de journal computer_name est mappé au champ UDM principal.hostname. Si la valeur du champ de journal host n'est pas vide, le champ de journal host est mappé au champ UDM principal.asset.attribute.labels.host. Si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device.hostname est mappé au champ UDM principal.asset.attribute.labels.device_hostname. Si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.attribute.labels.source_endpoint_host_name. Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_hostname. Sinon, si la valeur du champ de journal host n'est pas vide, le champ de journal host est mappé au champ UDM principal.hostname. Si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device.hostname est mappé au champ UDM principal.asset.attribute.labels.device_hostname. Si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.attribute.labels.source_endpoint_host_name. Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_hostname. Sinon, si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device.hostname est mappé au champ UDM principal.hostname. Si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.attribute.labels.source_endpoint_host_name. Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_hostname. Sinon, si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.hostname. Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_hostname. Sinon, si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM principal.hostname.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname Si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal computer_name n'est pas vide, le champ de journal computer_name est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal host_name n'est pas vide, le champ de journal host_name est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device.hostname est mappé au champ UDM principal.asset.hostname.	principal.asset.hostname Si la valeur du champ de journal hostname n'est pas vide, le champ de journal hostname est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal host_name n'est pas vide, le champ de journal host_name est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal computer_name n'est pas vide, le champ de journal computer_name est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal host n'est pas vide, le champ de journal host est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal device.hostname n'est pas vide, le champ de journal device.hostname est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal source_endpoint_host_name n'est pas vide, le champ de journal source_endpoint_host_name est mappé au champ UDM principal.asset.hostname. Sinon, si la valeur du champ de journal threatgraph_indicators.0.hostname n'est pas vide, le champ de journal threatgraph_indicators.0.hostname est mappé au champ UDM principal.asset.hostname.
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region Le champ de journal location_country_code est mappé au champ UDM principal.location.country_or_region.	principal.location.country_or_region Si la valeur du champ de journal device_geo_location.country_name n'est pas vide, le champ de journal device_geo_location.country_name est mappé au champ UDM principal.location.country_or_region. Si la valeur du champ de journal location_country_code n'est pas vide, le champ de journal location_country_code est mappé au champ UDM security_result.detection_fields.location_country_code. Sinon, si la valeur du champ de journal location_country_code n'est pas vide, le champ de journal location_country_code est mappé au champ UDM principal.location.country_or_region.
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name Si la valeur du champ de journal user_name n'est pas vide, le champ de journal user_name est mappé au champ UDM principal.user.user_display_name. Sinon, si la valeur du champ de journal source_account_name n'est pas vide, le champ de journal source_account_name est mappé au champ UDM principal.user.user_display_name.	principal.user.user_display_name Si la valeur du champ de journal user_name n'est pas vide, le champ de journal user_name est mappé au champ UDM principal.user.user_display_name. Si la valeur du champ de journal source_account_name n'est pas vide, le champ de journal source_account_name est mappé au champ UDM principal.user.attribute.labels.source_account_name. Si la valeur du champ de journal encrypted_by_username n'est pas vide, le champ de journal encrypted_by_username est mappé au champ UDM principal.user.attribute.labels.encrypted_by_username. Si la valeur du champ de journal user_display_name n'est pas vide, le champ de journal user_display_name est mappé au champ UDM principal.user.attribute.labels.user_display_name. Sinon, si la valeur du champ de journal source_account_name n'est pas vide, le champ de journal source_account_name est mappé au champ UDM principal.user.user_display_name. Si la valeur du champ de journal encrypted_by_username n'est pas vide, le champ de journal encrypted_by_username est mappé au champ UDM principal.user.attribute.labels.encrypted_by_username. Si la valeur du champ de journal user_display_name n'est pas vide, le champ de journal user_display_name est mappé au champ UDM principal.user.attribute.labels.user_display_name. Sinon, si la valeur du champ de journal encrypted_by_username n'est pas vide, le champ de journal encrypted_by_username est mappé au champ UDM principal.user.user_display_name. Si la valeur du champ de journal user_display_name n'est pas vide, le champ de journal user_display_name est mappé au champ UDM principal.user.attribute.labels.user_display_name. Sinon, si la valeur du champ de journal user_display_name n'est pas vide, le champ de journal user_display_name est mappé au champ UDM principal.user.user_display_name.
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid Si la valeur du champ de journal sid n'est pas vide, le champ de journal sid est mappé au champ UDM principal.user.windows_sid. Si la valeur du champ de journal source_account_object_sid n'est pas vide, le champ de journal source_account_object_sid est mappé au champ UDM principal.user.attribute.labels[source_account_object_sid]. Sinon, si la valeur du champ de journal source_account_object_sid n'est pas vide, le champ de journal source_account_object_sid est mappé au champ UDM principal.user.windows_sid.
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{threatgraph_indicators.0.host_id}, où %{threatgraph_indicators.0.host_id} est remplacé par la valeur du champ de journal threatgraph_indicators.0.host_id. Sinon, si la valeur du champ de journal host_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{host_id}, où %{host_id} est remplacé par la valeur du champ de journal host_id. Sinon, si la valeur du champ de journal agent_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{agent_id}, où %{agent_id} est remplacé par la valeur du champ de journal agent_id. Sinon, si la valeur du champ de journal mdm_device_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{mdm_device_id}, où %{mdm_device_id} est remplacé par la valeur du champ de journal mdm_device_id. Sinon, si la valeur du champ de journal device.device_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{device.device_id}, où %{device.device_id} est remplacé par la valeur du champ de journal device.device_id.	principal.asset_id, about.asset_id Si la valeur du champ de journal agent_id n'est pas vide, agent_idelle est divisée en plusieurs valeurs à l'aide du séparateur |. Parcourez les valeurs agent_id divisées : si la valeur index est égale à "0", le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{agent_id}, où %{agent_id} est remplacé par la valeur agent_id divisée. Sinon, le champ UDM about.asset_id est défini sur une valeur générée à partir du modèle CS:%{agent_id}, où %{agent_id} est remplacé par la valeur agent_id divisée. Si la valeur du champ de journal source_asset.id n'est pas vide, le champ de journal source_asset.id est mappé au champ UDM principal.asset.attribute.labels.source_asset_id. Si la valeur du champ de journal host_id n'est pas vide, le champ de journal host_id est mappé au champ UDM principal.asset.attribute.labels.host_id. Si la valeur du champ de journal device.device_id n'est pas vide, le champ de journal device.device_id est mappé au champ UDM principal.asset.attribute.labels.device_id. Si la valeur du champ de journal mdm_device_id n'est pas vide, le champ de journal mdm_device_id est mappé au champ UDM principal.asset.attribute.labels.mdm_device_id. Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ de journal threatgraph_indicators.0.host_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_host_id. Sinon, si la valeur du champ de journal source_asset.id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{source_asset.id}, où %{source_asset.id} est remplacé par la valeur du champ de journal source_asset.id. Si la valeur du champ de journal host_id n'est pas vide, le champ de journal host_id est mappé au champ UDM principal.asset.attribute.labels.host_id. Si la valeur du champ de journal device.device_id n'est pas vide, le champ de journal device.device_id est mappé au champ UDM principal.asset.attribute.labels.device_id. Si la valeur du champ de journal mdm_device_id n'est pas vide, le champ de journal mdm_device_id est mappé au champ UDM principal.asset.attribute.labels.mdm_device_id. Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ de journal threatgraph_indicators.0.host_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_host_id. Sinon, si la valeur du champ de journal host_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{host_id}, où %{host_id} est remplacé par la valeur du champ de journal host_id. Si la valeur du champ de journal device.device_id n'est pas vide, le champ de journal device.device_id est mappé au champ UDM principal.asset.attribute.labels.device_id. Si la valeur du champ de journal mdm_device_id n'est pas vide, le champ de journal mdm_device_id est mappé au champ UDM principal.asset.attribute.labels.mdm_device_id. Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ de journal threatgraph_indicators.0.host_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_host_id. Sinon, si la valeur du champ de journal device.device_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{device.device_id}, où %{device.device_id} est remplacé par la valeur du champ de journal device.device_id. Si la valeur du champ de journal mdm_device_id n'est pas vide, le champ de journal mdm_device_id est mappé au champ UDM principal.asset.attribute.labels.mdm_device_id. Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ de journal threatgraph_indicators.0.host_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_host_id. Sinon, si la valeur du champ de journal mdm_device_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{mdm_device_id}, où %{mdm_device_id} est remplacé par la valeur du champ de journal mdm_device_id. Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ de journal threatgraph_indicators.0.host_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicator_host_id. Sinon, si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ UDM principal.asset_id est défini sur une valeur générée à partir du modèle CS:%{threatgraph_indicators.0.host_id}, où %{threatgraph_indicators.0.host_id} est remplacé par la valeur du champ de journal threatgraph_indicators.0.host_id.
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id Si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{threatgraph_indicators.0.host_id}, où %{threatgraph_indicators.0.host_id} est remplacé par la valeur du champ de journal threatgraph_indicators.0.host_id. Sinon, si la valeur du champ de journal host_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{host_id}, où %{host_id} est remplacé par la valeur du champ de journal host_id. Sinon, si la valeur du champ de journal agent_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{agent_id}, où %{agent_id} est remplacé par la valeur du champ de journal agent_id. Sinon, si la valeur du champ de journal mdm_device_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{mdm_device_id}, où %{mdm_device_id} est remplacé par la valeur du champ de journal mdm_device_id. Sinon, si la valeur du champ de journal device.device_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{device.device_id}, où %{device.device_id} est remplacé par la valeur du champ de journal device.device_id.	principal.asset.asset_id, about.asset.asset_id Si la valeur du champ de journal agent_id n'est pas vide, elle est divisée en plusieurs valeurs à l'aide du séparateur |.agent_id Parcourez les valeurs agent_id divisées : si la valeur index est égale à "0", le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{agent_id}, où %{agent_id} est remplacé par la valeur agent_id divisée. Sinon, le champ UDM about.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{agent_id}, où %{agent_id} est remplacé par la valeur agent_id divisée. Sinon, si la valeur du champ de journal source_asset.id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{source_asset.id}, où %{source_asset.id} est remplacé par la valeur du champ de journal source_asset.id. Sinon, si la valeur du champ de journal host_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{host_id}, où %{host_id} est remplacé par la valeur du champ de journal host_id. Sinon, si la valeur du champ de journal device.device_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{device.device_id}, où %{device.device_id} est remplacé par la valeur du champ de journal device.device_id. Sinon, si la valeur du champ de journal mdm_device_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{mdm_device_id}, où %{mdm_device_id} est remplacé par la valeur du champ de journal mdm_device_id. Sinon, si la valeur du champ de journal threatgraph_indicators.0.host_id n'est pas vide, le champ UDM principal.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{threatgraph_indicators.0.host_id}, où %{threatgraph_indicators.0.host_id} est remplacé par la valeur du champ de journal threatgraph_indicators.0.host_id.
cid, agent_id, process_id	target.process.product_specific_process_id Si la valeur du champ de journal cid n'est pas vide, que la valeur du champ de journal agent_id n'est pas vide et que la valeur du champ de journal process_id n'est pas vide, le champ UDM target.process.product_specific_process_id est défini sur une valeur générée à partir du modèle PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, où %{cid}, %{agent_id} et %{process_id} sont remplacés par les valeurs des champs de journal cid, agent_id et process_id, respectivement.	target.process.product_specific_process_id, about.process.product_specific_process_id Si la valeur du champ de journal agent_id n'est pas vide, elle est divisée en plusieurs valeurs à l'aide du séparateur |.agent_id Parcourez les valeurs agent_id divisées : si la valeur index est égale à "0", si la valeur du champ de journal cid n'est pas vide, si la valeur agent_id divisée n'est pas vide et si la valeur du champ de journal process_id n'est pas vide, le champ UDM target.process.product_specific_process_id est défini sur une valeur générée à partir du modèle PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, où %{agent_id} est remplacé par la valeur agent_id divisée, et %{cid} et %{process_id} sont remplacés par les valeurs des champs de journal cid et process_id, respectivement. Sinon, si la valeur du champ de journal cid n'est pas vide, que la valeur agent_id divisée n'est pas vide et que la valeur du champ de journal process_id n'est pas vide, le champ UDM about.process.product_specific_process_id est défini sur une valeur générée à partir du modèle PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, où %{agent_id} est remplacé par la valeur agent_id divisée, et %{cid} et %{process_id} sont remplacés par les valeurs des champs de journal cid et process_id, respectivement.
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details Si la valeur du champ de journal product est égale à "epp", et si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal incident.score n'est pas vide, le champ de journal incident.score est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal product est égale à "mobile", et si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal incident.score n'est pas vide, le champ de journal incident.score est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal product est égale à "xdr", et si la valeur du champ de journal incident.score n'est pas vide, le champ de journal incident.score est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details.	security_result.severity_details Si la valeur du champ de journal product est égale à "epp", et si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal incident.score n'est pas vide, le champ de journal incident.score est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal product est égale à "mobile", si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal incident.score n'est pas vide, le champ de journal incident.score est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal product contient l'une des valeurs suivantes : xdr automated-lead-context , si la valeur du champ de journal incident.score n'est pas vide, le champ de journal incident.score est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details. Sinon, si la valeur du champ de journal severity n'est pas vide, le champ de journal severity est mappé au champ UDM security_result.severity_details.
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name Parcourez le champ de journal entities.domain si la valeur index est égale à 0, puis le champ de journal entities.domain est mappé au champ UDM target.domain.name. Sinon, le champ de journal entities.domain est mappé sur le champ UDM security_result.detection_fields.entities_domain.	target.domain.name Si la valeur du champ de journal saas_domain n'est pas vide, le champ de journal saas_domain est mappé au champ UDM target.domain.name. Si la valeur du champ de journal target_account_domain n'est pas vide, le champ de journal target_account_domain est mappé au champ UDM target.user.attribute.labels.target_account_domain. Si la valeur du champ de journal entities.domain.0 n'est pas vide, le champ de journal entities.domain.0 est mappé au champ UDM target.user.attribute.labels.entities_domain. Si la valeur du champ de journal domain_name n'est pas vide, le champ de journal domain_name est mappé au champ UDM target.user.attribute.labels.domain_name. Sinon, si la valeur du champ de journal target_account_domain n'est pas vide, le champ de journal target_account_domain est mappé au champ UDM target.domain.name. Si la valeur du champ de journal entities.domain.0 n'est pas vide, le champ de journal entities.domain.0 est mappé au champ UDM target.user.attribute.labels.entities_domain. Si la valeur du champ de journal domain_name n'est pas vide, le champ de journal domain_name est mappé au champ UDM target.user.attribute.labels.domain_name. Sinon, si la valeur du champ de journal entities.domain.0 n'est pas vide, le champ de journal entities.domain.0 est mappé au champ UDM target.domain.name. Si la valeur du champ de journal domain_name n'est pas vide, le champ de journal domain_name est mappé au champ UDM target.user.attribute.labels.domain_name. Sinon, si la valeur du champ de journal domain_name n'est pas vide, le champ de journal domain_name est mappé au champ UDM target.domain.name.
entities.domain	security_result.detection_fields[entities_domain] Parcourez le champ de journal entities.domain si la valeur index n'est pas égale à "0", puis le champ de journal entities.domain est mappé au champ UDM security_result.detection_fields.entities_domain.	target.user.attribute.labels[entities_domain] Parcourez le champ de journal entities.domain si la valeur index n'est pas égale à "0", puis le champ de journal entities.domain est mappé au champ UDM target.user.attribute.labels.entities_domain.
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses Si la valeur du champ de journal target_account_upn n'est pas vide, et si la valeur du champ de journal target_account_upn correspond au modèle d'expression régulière (^.+@.+$), alors le champ de journal target_account_upn est mappé au champ UDM target.user.email_addresses. Sinon, le champ de journal target_account_upn est mappé au champ UDM target.user.attribute.labels.target_account_upn.
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip Parcourez le champ de journal network_accesses si la valeur du champ de journal network_accesses.local_address n'est pas vide. Si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_accesses.local_address est mappé au champ UDM target.ip. Sinon, si la valeur du champ de journal network_accessesconnection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_accesses.local_address est mappé au champ UDM principal.ip. Sinon, le champ de journal network_accesses.local_address est mappé au champ UDM security_result.detection_fields.network_accesses_local_address.
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip Parcourez le champ de journal network_accesses si la valeur du champ de journal network_accesses.local_address n'est pas vide. Si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_accesses.local_address est mappé au champ UDM target.asset.ip. Sinon, si la valeur du champ de journal network_accessesconnection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_accesses.local_address est mappé au champ UDM principal.asset.ip. Sinon, le champ de journal network_accesses.local_address est mappé au champ UDM security_result.detection_fields.network_accesses_local_address.
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port Parcourez le champ de journal network_accesses si la valeur index est égale à "0", puis si la valeur du champ de journal network_accesses.local_port n'est pas vide, puis si la valeur du champ de journal network_accessesconnection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_accesses.local_port est mappé au champ UDM target.port. Sinon, si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_accesses.local_port est mappé au champ UDM principal.port. Sinon, le champ de journal network_accesses.local_port est mappé au champ UDM security_result.detection_fields.network_accesses_local_port. Sinon, si la valeur du champ de journal network_accesses.local_port n'est pas vide, si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_accesses.local_port est mappé au champ UDM target.asset.attribute.labels.network_accesses_local_port. Sinon, si la valeur du champ de journal network_accessesla valeur du champ de journal connection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_accesses.local_port est mappé au champ UDM principal.asset.attribute.labels.network_accesses_local_port. Sinon, le champ de journal network_accesses.local_port est mappé au champ UDM security_result.detection_fields.network_accesses_local_port.
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol Parcourez le champ de journal network_accesses.protocol si la valeur index est égale à "0", puis le champ de journal network_accesses.protocol est mappé au champ UDM network.ip_protocol. Sinon, le champ de journal network_accesses.protocol est mappé au champ UDM security_result.detection_fields.network_accesses_protocol.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip Parcourez le champ de journal network_accesses si la valeur du champ de journal network_accesses.remote_address n'est pas vide. Si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_accesses.remote_address est mappé au champ UDM principal.ip. Sinon, si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_accesses.remote_address est mappé au champ UDM target.ip. Sinon, le champ de journal network_accesses.remote_address est mappé au champ UDM security_result.detection_fields.network_accesses_remote_address.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip Parcourez le champ de journal network_accesses si la valeur du champ de journal network_accesses.remote_address n'est pas vide. Si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_accesses.remote_address est mappé au champ UDM principal.asset.ip. Sinon, si la valeur du champ de journal network_accesses connection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_accesses.remote_address est mappé au champ UDM target.asset.ip. Sinon, le champ de journal network_accesses.remote_address est mappé au champ UDM security_result.detection_fields.network_accesses_remote_address.
resource_name, bucket_name	target.resource.name	target.resource.name Si la valeur du champ de journal resource_name n'est pas vide, le champ de journal resource_name est mappé au champ UDM target.resource.name. Si la valeur du champ de journal bucket_name n'est pas vide, le champ de journal bucket_name est mappé au champ UDM target.resource.attribute.labels[bucket_name]. Sinon, si la valeur du champ de journal bucket_name n'est pas vide, le champ de journal bucket_name est mappé au champ UDM target.resource.name.
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id Parcourez le champ de journal incident.host_ids si la valeur index est égale à "0", puis le champ UDM target.asset_id est défini sur une valeur générée à partir du modèle CS:%{incident.host_ids}, où %{incident.host_ids} est remplacé par la valeur du champ de journal incident.host_ids. Sinon, le champ UDM security_result.detection_fields.key est défini sur "incident_host_id" et le champ de journal incident.host_ids est mappé sur le champ UDM security_result.detection_fields.value.	target.asset_id Si la valeur du champ de journal destination_asset.id n'est pas vide, le champ UDM target.asset_id est défini sur une valeur générée à partir du modèle CS:%{destination_asset.id}, où %{destination_asset.id} est remplacé par la valeur du champ de journal destination_asset.id. Si la valeur du champ de journal incident.host_ids.0 n'est pas vide, le champ de journal incident.host_ids.0 est mappé au champ UDM security_result.detection_fields.incident_host_id. Si la valeur du champ de journal destination.usb_combined_id n'est pas vide, le champ de journal destination.usb_combined_id est mappé au champ UDM target.asset.attribute.labels.destination_usb_combined_id. Sinon, si la valeur du champ de journal incident.host_ids.0 n'est pas vide, le champ UDM target.asset_id est défini sur une valeur générée à partir du modèle CS:%{incident.host_ids.0}, où %{incident.host_ids.0} est remplacé par la valeur du champ de journal incident.host_ids.0. Si la valeur du champ de journal destination.usb_combined_id n'est pas vide, le champ de journal destination.usb_combined_id est mappé au champ UDM target.asset.attribute.labels.destination_usb_combined_id. Sinon, si la valeur du champ de journal destination.usb_combined_id n'est pas vide, le champ UDM target.asset_id est défini sur une valeur générée à partir du modèle CS:%{destination.usb_combined_id}, où %{destination.usb_combined_id} est remplacé par la valeur du champ de journal destination.usb_combined_id. Parcourez le champ de journal incident.host_ids si la valeur index n'est pas égale à "0", le champ UDM security_result.detection_fields.key est défini sur "incident_host_ids" et le champ de journal incident.host_ids est mappé au champ UDM security_result.detection_fields.value.
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id Parcourez le champ de journal incident.host_ids si la valeur index est égale à "0", puis le champ UDM target.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{incident.host_ids}, où %{incident.host_ids} est remplacé par la valeur du champ de journal incident.host_ids.	target.asset.asset_id Si la valeur du champ de journal destination_asset.id n'est pas vide, le champ UDM target.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{destination_asset.id}, où %{destination_asset.id} est remplacé par la valeur du champ de journal destination_asset.id. Sinon, si la valeur du champ de journal incident.host_ids.0 n'est pas vide, le champ UDM target.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{incident.host_ids.0}, où %{incident.host_ids.0} est remplacé par la valeur du champ de journal incident.host_ids.0. Sinon, si la valeur du champ de journal destination.usb_combined_id n'est pas vide, le champ UDM target.asset.asset_id est défini sur une valeur générée à partir du modèle CS:%{destination.usb_combined_id}, où %{destination.usb_combined_id} est remplacé par la valeur du champ de journal destination.usb_combined_id.
entities.file_name	target.process.file.names Parcourir le champ de journal entities.file_name Le champ de journal entities.file_name est mappé au champ UDM target.process.file.names.	security_result.detection_fields[entities_file_name] Parcourez le champ de journal entities.file_name si la valeur du champ de journal entities.file_name n'est pas vide, puis le champ de journal entities.file_name est mappé au champ UDM security_result.detection_fields.entities_file_name.
entities.image_file_name	target.process.file.full_path Parcourez le champ de journal entities.image_file_name si la valeur index est égale à 0, puis le champ de journal entities.image_file_name est mappé au champ UDM target.process.file.full_path. Sinon, le champ de journal entities.image_file_name est mappé au champ UDM security_result.detection_fields.entities_image_file_name.	security_result.detection_fields[entities_image_file_name] Parcourez le champ de journal entities.image_file_name si la valeur du champ de journal entities.image_file_name n'est pas vide, puis le champ de journal entities.image_file_name est mappé au champ UDM security_result.detection_fields.entities_image_file_name.
entities.process	target.process.pid Parcourez le champ de journal entities.process si la valeur index est égale à 0, puis le champ de journal entities.process est mappé au champ UDM target.process.pid. Sinon, le champ de journal entities.process est mappé sur le champ UDM security_result.detection_fields.entities_process.	security_result.detection_fields[entities_process] Parcourez le champ de journal entities.process si la valeur du champ de journal entities.process n'est pas vide, puis le champ de journal entities.process est mappé au champ UDM security_result.detection_fields.entities_process.
entities.sha256	target.process.file.sha256 Parcourez le champ de journal entities.sha256 si la valeur index est égale à 0, puis le champ de journal entities.sha256 est mappé au champ UDM target.process.file.sha256. Sinon, le champ de journal entities.sha256 est mappé au champ UDM security_result.detection_fields.entities_sha256.	security_result.detection_fields[entities_sha256] Parcourez le champ de journal entities.sha256 si la valeur du champ de journal entities.sha256 n'est pas vide, puis le champ de journal entities.sha256 est mappé au champ UDM security_result.detection_fields.entities_sha256.
entities.username	target.user.user_display_name Parcourez le champ de journal entities.username si la valeur index est égale à 0, puis le champ de journal entities.username est mappé au champ UDM target.user.user_display_name. Sinon, le champ de journal entities.username est mappé au champ UDM security_result.detection_fields.entities_username.	security_result.detection_fields[entities_username] Parcourez le champ de journal entities.username si la valeur du champ de journal entities.username n'est pas vide, puis le champ de journal entities.username est mappé au champ UDM security_result.detection_fields.entities_username.
application_name, destination.name	target.application	target.application Si la valeur du champ de journal destination.name n'est pas vide, le champ de journal destination.name est mappé au champ UDM target.application. Si la valeur du champ de journal application_name n'est pas vide, le champ de journal application_name est mappé au champ UDM security_result.detection_fields[application_name]. Sinon, si la valeur du champ de journal application_name n'est pas vide, le champ de journal application_name est mappé au champ UDM target.application.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip Itérer dans le champ de journal network_info si la valeur du champ de journal network_info.local_address n'est pas vide, puis si la valeur du champ de journal network_infoconnection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_info.local_address est mappé au champ UDM target.ip. Sinon, si la valeur du champ de journal network_info correspond au modèle d'expression régulière connection_direction, le champ de journal (?i)outbound est mappé au champ UDM network_info.local_address.principal.ip Sinon, le champ de journal network_info.local_address est mappé sur le champ UDM security_result.detection_fields.network_info_local_address.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip Parcourez le champ de journal network_info si la valeur du champ de journal network_info.local_address n'est pas vide. Si la valeur du champ de journal network_info correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_info.local_address est mappé au champ UDM target.asset.ip.connection_direction Sinon, si la valeur du champ de journal network_info correspond au modèle d'expression régulière connection_direction, le champ de journal (?i)outbound est mappé au champ UDM network_info.local_addressprincipal.asset.ip. Sinon, le champ de journal network_info.local_address est mappé au champ UDM security_result.detection_fields.network_info_local_address.
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol Parcourez le champ de journal network_info.protocol si la valeur index est égale à "0", puis le champ de journal network_info.protocol est mappé au champ UDM network.ip_protocol. Sinon, le champ de journal network_info.protocol est mappé au champ UDM security_result.detection_fields.network_info_protocol.
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path Si la valeur du champ de journal unexpected_dynamic_library_loaded.0.target_file_name n'est pas vide, le champ de journal unexpected_dynamic_library_loaded.0.target_file_name est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal harmful_app_image_filename n'est pas vide, le champ de journal harmful_app_image_filename est mappé au champ UDM security_result.detection_fields.harmful_app_image_filename. Si la valeur du champ de journal sideloaded_app_image_filename n'est pas vide, le champ de journal sideloaded_app_image_filename est mappé au champ UDM security_result.detection_fields.sideloaded_app_image_filename. Si la valeur du champ de journal duplicated_app_image_filename n'est pas vide, le champ de journal duplicated_app_image_filename est mappé au champ UDM security_result.detection_fields.duplicated_app_image_filename. Si la valeur du champ de journal debuggable_app_image_filename n'est pas vide, le champ de journal debuggable_app_image_filename est mappé au champ UDM security_result.detection_fields.debuggable_app_image_filename. Si la valeur du champ de journal unexpected_files.0 n'est pas vide, le champ de journal unexpected_files.0 est mappé au champ UDM security_result.detection_fields.unexpected_files. Si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM security_result.detection_fields.app_image_filename. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal harmful_app_image_filename n'est pas vide, le champ de journal harmful_app_image_filename est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal sideloaded_app_image_filename n'est pas vide, le champ de journal sideloaded_app_image_filename est mappé au champ UDM security_result.detection_fields.sideloaded_app_image_filename. Si la valeur du champ de journal duplicated_app_image_filename n'est pas vide, le champ de journal duplicated_app_image_filename est mappé au champ UDM security_result.detection_fields.duplicated_app_image_filename. Si la valeur du champ de journal debuggable_app_image_filename n'est pas vide, le champ de journal debuggable_app_image_filename est mappé au champ UDM security_result.detection_fields.debuggable_app_image_filename. Si la valeur du champ de journal unexpected_files.0 n'est pas vide, le champ de journal unexpected_files.0 est mappé au champ UDM security_result.detection_fields.unexpected_files. Si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM security_result.detection_fields.app_image_filename. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal sideloaded_app_image_filename n'est pas vide, le champ de journal sideloaded_app_image_filename est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal duplicated_app_image_filename n'est pas vide, le champ de journal duplicated_app_image_filename est mappé au champ UDM security_result.detection_fields.duplicated_app_image_filename. Si la valeur du champ de journal debuggable_app_image_filename n'est pas vide, le champ de journal debuggable_app_image_filename est mappé au champ UDM security_result.detection_fields.debuggable_app_image_filename. Si la valeur du champ de journal unexpected_files.0 n'est pas vide, le champ de journal unexpected_files.0 est mappé au champ UDM security_result.detection_fields.unexpected_files. Si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM security_result.detection_fields.app_image_filename. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal duplicated_app_image_filename n'est pas vide, le champ de journal duplicated_app_image_filename est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal debuggable_app_image_filename n'est pas vide, le champ de journal debuggable_app_image_filename est mappé au champ UDM security_result.detection_fields.debuggable_app_image_filename. Si la valeur du champ de journal unexpected_files.0 n'est pas vide, le champ de journal unexpected_files.0 est mappé au champ UDM security_result.detection_fields.unexpected_files. Si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM security_result.detection_fields.app_image_filename. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal debuggable_app_image_filename n'est pas vide, le champ de journal debuggable_app_image_filename est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal unexpected_files.0 n'est pas vide, le champ de journal unexpected_files.0 est mappé au champ UDM security_result.detection_fields.unexpected_files. Si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM security_result.detection_fields.app_image_filename. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal unexpected_files.0 n'est pas vide, le champ de journal unexpected_files.0 est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM security_result.detection_fields.app_image_filename. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal app_image_filename n'est pas vide, le champ de journal app_image_filename est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_apps_image_filename. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal suspicious_apps.0.image_filename n'est pas vide, le champ de journal suspicious_apps.0.image_filename est mappé au champ UDM target.file.full_path. Si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Sinon, si la valeur du champ de journal suspicious_activities_apps.0.image_filename n'est pas vide, le champ de journal suspicious_activities_apps.0.image_filename est mappé au champ UDM target.file.full_path.
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application Parcourez le champ de journal intrusive_package si la valeur index est égale à "0", puis le champ de journal intrusive_package.target_package_name est mappé au champ UDM target.application. Sinon, le champ UDM security_result.detection_fields.key est défini sur "intrusive_package_target_package_name" et le champ de journal intrusive_package.target_package_name est mappé sur le champ UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_package_target_package_name] Parcourez le champ de journal intrusive_package si la valeur du champ de journal intrusive_package.target_package_name n'est pas vide. Le champ de journal intrusive_package.target_package_name est ensuite mappé au champ UDM security_result.detection_fields.intrusive_package_target_package_name.
intrusive_process.target_process_name	target.process.file.names Parcourez le champ de journal intrusive_process si la valeur index est égale à "0", puis le champ de journal intrusive_process.target_process_name est mappé au champ UDM target.process.file.names. Sinon, le champ UDM security_result.detection_fields.key est défini sur "intrusive_process_target_process_name" et le champ de journal intrusive_process.target_process_name est mappé sur le champ UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_process_target_process_name] Parcourez le champ de journal intrusive_process si la valeur du champ de journal intrusive_process.target_process_name n'est pas vide. Le champ de journal intrusive_process.target_process_name est ensuite mappé au champ UDM security_result.detection_fields.intrusive_process_target_process_name.
intrusive_process.target_process_path	target.process.file.full_path Parcourez le champ de journal intrusive_process si la valeur index est égale à "0", puis le champ de journal intrusive_process.target_process_path est mappé au champ UDM target.process.file.full_path. Sinon, le champ UDM security_result.detection_fields.key est défini sur "intrusive_process_target_process_path" et le champ de journal intrusive_process.target_process_path est mappé sur le champ UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_process_target_process_path] Parcourez le champ de journal intrusive_process si la valeur du champ de journal intrusive_process.target_process_path n'est pas vide. Le champ de journal intrusive_process.target_process_path est ensuite mappé au champ UDM security_result.detection_fields.intrusive_process_target_process_path.
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port Parcourez le champ de journal network_info si la valeur index est égale à "0", puis si la valeur du champ de journal network_info.local_port n'est pas vide, puis si la valeur du champ de journal network_infoconnection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_info.local_port est mappé au champ UDM target.port. Sinon, si la valeur du champ de journal network_info connection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_info.local_port est mappé au champ UDM principal.port. Sinon, le champ de journal network_info.local_port est mappé sur le champ UDM security_result.detection_fields.network_info_local_port. Sinon, si la valeur du champ de journal network_info.local_port n'est pas vide, si la valeur du champ de journal network_info connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_info.local_port est mappé au champ UDM target.asset.attribute.labels.network_info_local_port. Sinon, si la valeur du champ de journal network_infoconnection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_info.local_port est mappé au champ UDM principal.asset.attribute.labels.network_info_local_port. Sinon, le champ de journal network_info.local_port est mappé au champ UDM security_result.detection_fields.network_info_local_port.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip Parcourez le champ de journal network_info si la valeur du champ de journal network_info.remote_address n'est pas vide. Si la valeur du champ de journal network_info connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_info.remote_address est mappé au champ UDM principal.ip. Sinon, si la valeur du champ de journal network_info connection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_info.remote_address est mappé au champ UDM target.ip. Sinon, le champ de journal network_info.remote_address est mappé au champ UDM security_result.detection_fields.network_info_remote_address.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip Parcourez le champ de journal network_info si la valeur du champ de journal network_info.remote_address n'est pas vide. Si la valeur du champ de journal network_info connection_direction correspond au modèle d'expression régulière (?i)inbound, le champ de journal network_info.remote_address est mappé au champ UDM principal.asset.ip. Sinon, si la valeur du champ de journal network_infoconnection_direction correspond au modèle d'expression régulière (?i)outbound, le champ de journal network_info.remote_address est mappé au champ UDM target.asset.ip. Sinon, le champ de journal network_info.remote_address est mappé au champ UDM security_result.detection_fields.network_info_remote_address.
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application Parcourez le champ de journal suspicious_activities_apps si la valeur index est égale à "0", puis le champ de journal suspicious_activities_apps.app_label est mappé au champ UDM target.application. Sinon, le champ UDM security_result.detection_fields.key est défini sur "suspicious_activities_apps_app_label" et le champ de journal suspicious_activities_apps.app_label est mappé sur le champ UDM security_result.detection_fields.value.	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application Parcourez le champ de journal suspicious_apps si la valeur index est égale à "0", puis le champ de journal suspicious_apps.app_label est mappé au champ UDM target.application. Sinon, le champ UDM security_result.detection_fields.key est défini sur "suspicious_apps_app_label" et le champ de journal suspicious_apps.app_label est mappé sur le champ UDM security_result.detection_fields.value.	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 Parcourez le champ de journal suspicious_apps si la valeur index est égale à "0", puis le champ de journal suspicious_apps.certificate_thumbprints_sha1 est mappé au champ UDM target.file.sha1. Sinon, le champ UDM security_result.detection_fields.key est défini sur "suspicious_apps_certificate_thumbprints_sha1" et le champ de journal suspicious_apps.certificate_thumbprints_sha1 est mappé sur le champ UDM security_result.detection_fields.value.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 Parcourez le champ de journal suspicious_apps si la valeur index est égale à "0", puis le champ de journal suspicious_apps.certificate_thumbprints_sha256 est mappé au champ UDM target.file.sha256. Sinon, le champ UDM security_result.detection_fields.key est défini sur "suspicious_apps_certificate_thumbprints_sha256" et le champ de journal suspicious_apps.certificate_thumbprints_sha256 est mappé sur le champ UDM security_result.detection_fields.value.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name Parcourez le champ de journal system_partition_altered si la valeur index est égale à "0", puis le champ de journal system_partition_altered.volume_mount_point est mappé au champ UDM target.resource.name. Sinon, le champ de journal system_partition_altered.volume_mount_point est mappé sur le champ UDM target.resource_ancestors.name.	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type Parcourez le champ de journal system_partition_altered si la valeur du champ de journal system_partition_altered.volume_mount_point n'est pas vide, puis si la valeur index est égale à "0", le champ UDM target.resource.resource_type est défini sur "VOLUME". Sinon, le champ UDM target.resource_ancestors.resource_type est défini sur "VOLUME".
system_partition_altered.volume_type	target.resource.resource_subtype Parcourez le champ de journal system_partition_altered si la valeur index est égale à "0", puis le champ de journal system_partition_altered.volume_type est mappé au champ UDM target.resource.resource_subtype. Sinon, le champ de journal system_partition_altered.volume_type est mappé sur le champ UDM target.resource_ancestors.resource_subtype.	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name Itérer dans le champ de journal system_updates_blocked_by_dns Le champ de journal system_updates_blocked_by_dns.domain_name est mappé sur le champ UDM network.dns.questions.name.	about.domain.name Parcourir le champ de journal system_updates_blocked_by_dns Le champ de journal system_updates_blocked_by_dns.domain_name est mappé sur le champ UDM about.domain.name.
system_updates_blocked_by_filesystem.file_name	target.file.names Parcourir le champ de journal system_updates_blocked_by_filesystem Le champ de journal system_updates_blocked_by_filesystem.file_name est mappé au champ UDM target.file.names.	about.file.full_path Itérer dans le champ de journal system_updates_blocked_by_filesystem Le champ de journal system_updates_blocked_by_filesystem.file_name est mappé sur le champ UDM about.file.full_path.
system_updates_blocked_by_http.url	target.url Si la valeur du champ de journal url est vide, itérer dans le champ de journal system_updates_blocked_by_http si la valeur index est égale à "0", alors le champ de journal system_updates_blocked_by_http.url est mappé au champ UDM target.url. Sinon, le champ UDM security_result.detection_fields.key est défini sur "system_updates_blocked_by_http_url" et le champ de journal system_updates_blocked_by_http.url est mappé sur le champ UDM security_result.detection_fields.value.	about.url Parcourir le champ de journal system_updates_blocked_by_http Le champ de journal system_updates_blocked_by_http.url est mappé au champ UDM about.url.
threatgraph_indicators.process_id	target.process.pid Parcourez le champ de journal threatgraph_indicators si la valeur index est égale à "0", puis le champ de journal threatgraph_indicators.process_id est mappé au champ UDM target.process.pid. Sinon, si la valeur du champ de journal threatgraph_indicators.process_id n'est pas vide, le champ de journal threatgraph_indicators.process_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicators_process_id.	security_result.detection_fields[threatgraph_indicators_process_id] Parcourez le champ de journal threatgraph_indicators si la valeur du champ de journal threatgraph_indicators.process_id n'est pas vide, puis le champ de journal threatgraph_indicators.process_id est mappé au champ UDM security_result.detection_fields.threatgraph_indicators_process_id.
agent_id	principal.asset.attribute.labels[agent_id] Si la valeur du champ de journal device.device_id n'est pas vide, ou si la valeur du champ de journal mdm_device_id n'est pas vide, ou si la valeur du champ de journal host_id n'est pas vide, alors si la valeur du champ de journal agent_id n'est pas vide, alors le champ de journal agent_id est mappé au champ UDM principal.asset.attribute.labels.agent_id.
event_timestamp, timestamp	metadata.event_timestamp Si la valeur du champ de journal timestamp n'est pas vide, le champ de journal timestamp est mappé au champ UDM metadata.event_timestamp.	metadata.event_timestamp Si la valeur du champ de journal event_timestamp n'est pas vide, le champ de journal event_timestamp est mappé au champ UDM metadata.event_timestamp. Sinon, si la valeur du champ de journal timestamp n'est pas vide, le champ de journal timestamp est mappé au champ UDM metadata.event_timestamp.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.