איסוף יומנים של CrowdStrike Falcon

גרסת המנתח: 33.0

במסמך הזה מוסבר איך להטמיע את היומנים של CrowdStrike Falcon ב-Google Security Operations. אתם יכולים להטמיע כמה סוגים של יומני CrowdStrike Falcon, ובמסמך הזה מפורטת ההגדרה הספציפית לכל אחד מהם.

לסקירה כללית ברמה גבוהה של הטמעת נתונים ב-Google Security Operations, קראו את המאמר הטמעת נתונים ב-Google Security Operations.

סוגי היומנים הנתמכים של CrowdStrike Falcon

‫Google Security Operations תומך בסוגי היומנים הבאים של CrowdStrike Falcon באמצעות המנתחים עם תוויות ההטמעה הבאות:

• זיהוי ותגובה בנקודות קצה (EDR): CS_EDR. המנתח הזה מנתח נתוני טלמטריה כמעט בזמן אמת מ-CrowdStrike Falcon Data Replicator ‏ (FDR), כמו גישה לקבצים ושינויים ברישום. הנתונים בדרך כלל נקלטים מקטגוריה של S3 או של Cloud Storage.

• זיהויים: CS_DETECTS. המנתח הזה מנתח אירועים של סיכום זיהוי מ-CrowdStrike באמצעות Detect API. למרות שהם קשורים לפעילות בנקודות הקצה, CS_DETECTS מספק סיכומי זיהוי ברמה גבוהה יותר בהשוואה לנתוני הטלמטריה הגולמיים שמנותחים באמצעות CS_EDR.

  הערה: חברת CrowdStrike הוציאה משימוש את נקודת הקצה "Detects". במקום זאת, מומלץ להשתמש ב-CS_ALERTS כדי להטמיע יומני זיהוי.

• התראות: CS_ALERTS. המנתח הזה מנתח התראות מ-CrowdStrike באמצעות Alerts API. המנתח של CrowdStrike Alerts תומך בסוגי המוצרים הבאים:

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• סימנים מחשידים (IoC): CS_IOC. המנתח הזה מנתח את ה-IoC ואת ה-IOA מ-CrowdStrike מודיעין איומי סייבר באמצעות CrowdStrike Chronicle Intel Bridge. מנתח הסימנים המחשידים (IoC) של CrowdStrike תומך בסוגי הסימנים הבאים:

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

כדי להטמיע נתונים מקיפים מ-CrowdStrike, מומלץ להשתמש בפידים של Google SecOps ל-CS_EDR, ל-CS_DETECTS ול-CS_IOC.

לפני שמתחילים

ודאו שהדרישות המוקדמות הבאות מתקיימות:

• הרשאות אדמין במכונה של CrowdStrike כדי להתקין את חיישן המארח של CrowdStrike Falcon
• כל המערכות בארכיטקטורת הפריסה מוגדרות באזור הזמן UTC.
• מכשיר היעד פועל במערכת הפעלה נתמכת
  • חייב להיות שרת של 64 ביט
  • ‫Microsoft Windows Server 2008 R2 SP1 נתמך ב-CrowdStrike Falcon Host sensor מגרסה 6.51 ואילך.
  • גרסאות ישנות של מערכות הפעלה חייבות לתמוך בחתימת קוד SHA-2.
• קובץ חשבון השירות של Google SecOps ומספר הלקוח שלכם מצוות התמיכה של Google SecOps

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

• הגדרות SIEM > פידים > הוספת פיד חדש
• מרכז התוכן > חבילות תוכן > מתחילים

הערה: Content Hub לא זמין בפלטפורמת SIEM העצמאית. כדי לשדרג, פנו לנציג של Google SecOps.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

הטמעת יומנים של CrowdStrike Falcon

בקטע הזה מוסבר איך להגדיר הטמעה של סוגים שונים של יומני CrowdStrike Falcon.

הטמעת יומני EDR (CS_EDR)

אתם יכולים להטמיע יומני CrowdStrike Falcon EDR באחת מהשיטות הבאות, בהתאם למקום שממנו אתם רוצים לשלוח את היומנים מ-CrowdStrike:

• ‫Amazon SQS: באמצעות פיד של Falcon Data Replicator.
• ‫Amazon S3: באמצעות פיד של Google Security Operations שמוגדר לקטגוריית S3.
• ‫Google Cloud Storage: באמצעות דחיפת יומנים מ-CrowdStrike לקטגוריה של Cloud Storage.

בוחרים באחד מהתהליכים הבאים.

אפשרות 1: הטמעת יומני EDR מ-Amazon SQS

בשיטה הזו, משתמשים ב-CrowdStrike Falcon Data Replicator כדי לשלוח יומני EDR לתור של Amazon SQS, ואז Google Security Operations דוגם את התור.

1. לוחצים על החבילה של CrowdStrike.

2. בסוג היומן CrowdStrike Falcon, מציינים ערכים בשדות הבאים:

   • מקור: Amazon SQS
   • ‫Region: האזור ב-S3 שמשויך ל-URI.
   • ‫Queue Name: השם של תור ה-SQS שממנו ייקראו נתוני היומן.
   • ‫S3 URI: ה-URI של קטגוריית המקור ב-S3.
   • מספר חשבון: מספר החשבון ב-SQS.
   • מזהה מפתח הגישה לתור: מזהה מפתח הגישה לחשבון, באורך 20 תווים. לדוגמה, AKIAOSFOODNN7EXAMPLE.
   • מפתח גישה סודי לתור: מפתח גישה סודי באורך 40 תווים. לדוגמה, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   • אפשרות למחיקת המקור: אפשרות למחוק קבצים וספריות אחרי העברת הנתונים.

   אפשרויות מתקדמות

   • שם הפיד: ערך שמזהה את הפיד וממולא מראש.
   • מרחב השמות של הנכס: מרחב השמות שמשויך לפיד.
   • תוויות הטמעת נתונים – תוויות שנוספו לכל האירועים מהפיד הזה.

3. לוחצים על יצירת פיד.

הערה: Content Hub לא זמין בפלטפורמת SIEM העצמאית. כדי לשדרג, פנו לנציג של Google SecOps.

למידע נוסף על הגדרת כמה פידים לסוגי יומנים שונים במשפחת המוצרים הזו, ראו הגדרת פידים לפי מוצר.

אפשרות 2: הטמעת יומני EDR מקטגוריה של Amazon S3

בשיטה הזו מגדירים פיד של Google Security Operations כדי לשלוף יומני EDR ישירות מקטגוריה של Amazon S3.

כדי להגדיר פיד הטמעה באמצעות קטגוריית S3, פועלים לפי השלבים הבאים:

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה Feed name, מזינים שם לפיד, לדוגמה Crowdstrike Falcon Logs.
5. בקטע סוג המקור, בוחרים באפשרות Amazon S3.
6. בקטע סוג היומן, בוחרים באפשרות CrowdStrike Falcon.
7. מציינים ערכים בשדות הבאים, על סמך חשבון השירות וההגדרות של הקטגוריה ב-Amazon S3 שיצרתם:

   שדה	תיאור
   region	‫URI של אזור S3.
   S3 uri	‫URI של קטגוריית המקור ב-S3.
   uri is a	סוג האובייקט שה-URI מצביע עליו (למשל, קובץ או תיקייה).
   source deletion option	אפשרות למחוק קבצים ותיקיות אחרי העברת הנתונים.
   access key id	מפתח גישה (מחרוזת אלפאנומרית באורך 20 תווים). לדוגמה, AKIAOSFOODNN7EXAMPLE.
   secret access key	מפתח גישה סודי (מחרוזת אלפאנומרית באורך 40 תווים). לדוגמה, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   oauth client id	מזהה לקוח ציבורי ב-OAuth.
   oauth client secret	סוד לקוח OAuth 2.0.
   oauth secret refresh uri	‫URI לרענון סוד הלקוח ב-OAuth 2.0.
   asset namespace	מרחב השמות שמשויך לפיד.

8. לוחצים על הבא ואז על שליחה.

אפשרות 3: הטמעת יומני EDR מ-Cloud Storage

אתם יכולים להגדיר את CrowdStrike כך שישלח יומני EDR לקטגוריה של Cloud Storage, ואז להטמיע את היומנים האלה ב-Google Security Operations באמצעות פיד. התהליך הזה דורש תיאום עם התמיכה של CrowdStrike.

1. פנייה לתמיכה של CrowdStrike: פותחים כרטיס תמיכה ב-CrowdStrike כדי להפעיל ולהגדיר את העברת יומני ה-EDR לקטגוריה של Cloud Storage. הם ינחו אתכם לגבי ההגדרות הנדרשות.

2. יוצרים את הקטגוריה של Cloud Storage ונותנים לה הרשאות:

   1. במסוף Google Cloud , יוצרים קטגוריה חדשה של Cloud Storage. שימו לב לשם הקטגוריה (לדוגמה, gs://my-crowdstrike-edr-logs/).
   2. נותנים הרשאות כתיבה לחשבון השירות שסופק על ידי CrowdStrike. פועלים לפי ההוראות של התמיכה של CrowdStrike.

3. מגדירים את הפיד של Google SecOps:

   1. במכונה של Google SecOps, עוברים אל Settings > Feeds ולוחצים על Add New.
   2. מזינים שם פיד תיאורי (לדוגמה, CS-EDR-GCS).

   3. בקטע Source type, בוחרים באפשרות Google Cloud Storage V2.

      הערה: כדי לצמצם את זמן האחזור, אפשר להשתמש ב-Google Cloud Storage Event Driven V2 בתור Source type.
      הערה: בסוגי פידים מבוססי-אירועים של Cloud Storage, צריך להגדיר מינוי Pub/Sub ל-Cloud Storage, כמו שמתואר בקטע הגדרת Pub/Sub.

   4. בקטע סוג היומן, בוחרים באפשרות CrowdStrike Falcon.

   5. בקטע של חשבון השירות, לוחצים על Get Service Account (קבלת חשבון שירות). מעתיקים את כתובת האימייל הייחודית של חשבון השירות שמוצגת.

   6. במסוף Google Cloud , נכנסים לקטגוריה של Cloud Storage ונותנים את תפקיד ה-IAM‏ Storage Object Viewer לכתובת האימייל של חשבון השירות שהעתקתם. כך הפיד יכול לקרוא את קובצי היומן.

   7. חוזרים לדף הגדרת הפיד של Google SecOps.

   8. מזינים את כתובת ה-URL של קטגוריית האחסון (לדוגמה, gs://my-crowdstrike-edr-logs/). כתובת ה-URL הזו חייבת להסתיים בקו נטוי (/).

   9. בפידים מסוג מונע אירועים, צריך לציין את שם המינוי ל-Pub/Sub (לדוגמה, projects/myproject/subscriptions/crowdstrike-edr-sub).

   10. בוחרים אפשרות למחיקת מקור. מומלץ לבחור באפשרות אף פעם אל תמחק קבצים.

   11. לוחצים על הבא, בודקים את ההגדרות ולוחצים על שליחה.

4. מוודאים שהיומנים נקלטים: אחרי ש-CrowdStrike מאשרת שהיומנים נשלחים, בודקים אם יש יומנים נכנסים ב-Google SecOps עם סוג היומן CS_EDR.

יומני Ingest Alerts (CS_ALERTS)

כדי להטמיע התראות של CrowdStrike Falcon, צריך להגדיר פיד שמשתמש ב-CrowdStrike API.

1. במסוף CrowdStrike Falcon:

   1. נכנסים למסוף CrowdStrike Falcon.
   2. עוברים אל תמיכה ומשאבים > משאבים וכלים > לקוחות ומפתחות API, ולוחצים על יצירת לקוח API.
   3. מזינים את שם הלקוח ותיאור.
   4. בקטע API Scopes, מסמנים את התיבה Read בשורה Alerts.
   5. לוחצים על יצירה. שימו לב לערכים שנוצרו בשדות מזהה לקוח,‏ סוד לקוח ו-כתובת URL בסיסית.

2. thought ב-Google Security Operations:

   1. עוברים אל הגדרות > פידים ולוחצים על הוספת פיד חדש.
   2. בקטע סוג המקור, בוחרים באפשרות API של צד שלישי.
   3. בקטע Log type, בוחרים באפשרות CrowdStrike Alerts API.

   4. לוחצים על הבא וממלאים את השדות הבאים באמצעות הערכים מלקוח ה-API של CrowdStrike:

      • נקודת קצה של טוקן OAuth: לדוגמה, https://api.us-2.crowdstrike.com/oauth2/token.
      • מזהה לקוח ב-OAuth
      • סוד לקוח OAuth
      • כתובת URL בסיסית: לדוגמה, api.us-2.crowdstrike.com.
      • סוג הטמעה: בוחרים אחת מהאפשרויות הבאות:
        • הבאת כל ההתראות: הטמעה של התראות חדשות וגם של התראות קיימות שעודכנו.
        • העברת התראות חדשות בלבד: המערכת מעבירה רק התראות חדשות.
      הערה: יכול להיות שנקודת הקצה של האסימון לא תכלול את "us-2" בכתובת ה-URL. הכתובת תלויה באזור שלכם ב-CrowdStrike. משתמשים בכתובת ה-URL הבסיסית הנכונה ממסוף CrowdStrike.

   5. לוחצים על הבא ואז על שליחה.

הטמעת יומני זיהויים (CS_DETECTS)

הערה: חברת CrowdStrike הוציאה משימוש את נקודת הקצה "Detects". במקום זאת, מומלץ להשתמש ב-CS_ALERTS כדי להטמיע יומני זיהוי.

כדי להטמיע את יומני הזיהוי של CrowdStrike Falcon, צריך להשתמש גם ב-CrowdStrike API.

1. במסוף CrowdStrike Falcon:

   1. נכנסים למסוף CrowdStrike Falcon.
   2. עוברים אל Support Apps (אפליקציות תמיכה) > API Clients and Keys (לקוחות ומפתחות API).
   3. יוצרים זוג מפתחות חדש ללקוח ה-API. לזוג המפתחות הזה צריכות להיות הרשאות READ עבור Detections.

2. thought ב-Google Security Operations:

   1. עוברים אל הגדרות > פידים ולוחצים על הוספת פיד חדש.
   2. בקטע סוג המקור, בוחרים באפשרות API של צד שלישי.
   3. בקטע Log type, בוחרים באפשרות CrowdStrike Detection Monitoring.
   4. לוחצים על הבא ואז על שליחה. תתבקשו להזין את פרטי הכניסה ל-API שיצרתם.

הטמעת יומני IoC‏ (CS_IOC)

כדי להטמיע יומני סימנים מחשידים (IoC) מ-CrowdStrike, אתם משתמשים ב-Google SecOps Intel Bridge.

1. במסוף CrowdStrike Falcon, יוצרים זוג מפתחות חדש של לקוח API. לזוג המפתחות הזה צריכה להיות הרשאת READ עבור Indicators (Falcon Intelligence).
2. מגדירים את Google SecOps Intel Bridge לפי ההוראות במאמר CrowdStrike to Google SecOps Intel Bridge.

3. מריצים את הפקודות הבאות של Docker כדי לשלוח את היומנים מ-CrowdStrike אל Google SecOps. ‫sa.json הוא קובץ חשבון השירות של Google SecOps.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. אחרי שהקונטיינר פועל, יומני ה-IoC מתחילים להגיע ל-Google SecOps.

אם נתקלתם בבעיות באחת מההגדרות האלה, פנו לצוות התמיכה של Google SecOps.

פורמטים נתמכים של יומני CrowdStrike

מנתח הנתונים של CrowdStrike תומך ביומנים בפורמט JSON.

יומן שינויים

הצגת יומן השינויים של המנתח הזה

‫CS_ALERTS UDM Mapping Delta

הערה: בדלתא הזו, "מיפוי UDM ישן" מתייחס לגרסאות של מנתח CrowdStrike Alerts (CS_ALERTS) לפני 27 באוקטובר 2026. גרסאות שפורסמו אחרי 27 באוקטובר 2026 כוללות את "מיפוי ה-UDM החדש" הבא.

הערה: הערך של metadata.event_type באירוע יכול גם להשתנות. לכל סוג אירוע ב-UDM צריך לאכלס שדות ספציפיים ב-UDM. אם מיפוי ה-UDM החדש לא מאכלס יותר שדה חובה של סוג האירוע שהוקצה קודם, המנתח מקצה סוג אירוע פחות ספציפי, כמו סוג האירוע התואם של *_UNCATEGORIZED או GENERIC_EVENT. לעומת זאת, אם מיפוי ה-UDM החדש מאכלס את כל השדות הנדרשים של סוג אירוע ספציפי יותר, המנתח מקצה את סוג האירוע הספציפי יותר. בודקים את כל הכללים, החיפושים ומרכזי הבקרה שמסננים לפי metadata.event_type.

בטבלה הבאה מפורט ההבדל בין מיפוי ה-UDM הישן למיפוי ה-UDM החדש של המנתח CrowdStrike Alerts (CS_ALERTS).

שדה ביומן	שם השדה הישן ב-UDM	שם השדה החדש ב-UDM
source_account_domain, device.machine_domain, logon_domain	principal.domain.name אם הערך בשדה source_account_domain ביומן לא ריק, השדה source_account_domain ביומן ממופה לשדה principal.domain.name ב-UDM. אחרת, אם הערך בשדה logon_domain ביומן לא ריק, השדה logon_domain ביומן ממופה לשדה principal.domain.name ב-UDM. אחרת, אם הערך של השדה device.machine_domain ביומן לא ריק, השדה device.machine_domain ביומן ממופה לשדה principal.domain.name ב-UDM.	principal.domain.name אם הערך בשדה source_account_domain ביומן לא ריק, השדה source_account_domain ביומן ממופה לשדה principal.domain.name ב-UDM. אם הערך בשדה device.machine_domain ביומן לא ריק, השדה device.machine_domain ביומן ממופה לשדה principal.user.attribute.labels.device_machine_domain ב-UDM. אם הערך בשדה היומן logon_domain לא ריק, השדה logon_domain ממופה לשדה principal.user.attribute.labels.logon_domain ב-UDM. אחרת, אם הערך של השדה device.machine_domain ביומן לא ריק, השדה device.machine_domain ביומן ממופה לשדה principal.domain.name ב-UDM. אם הערך בשדה logon_domain ביומן לא ריק, השדה logon_domain ביומן ממופה לשדה principal.user.attribute.labels.logon_domain ב-UDM. אחרת, אם הערך בשדה היומן logon_domain לא ריק, השדה logon_domain ממופה לשדה principal.domain.name ב-UDM.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname אם הערך בשדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה principal.hostname ב-UDM. אחרת, אם הערך בשדה computer_name ביומן לא ריק, השדה computer_name ביומן ממופה לשדה principal.hostname ב-UDM. אחרת, אם הערך בשדה host_name ביומן לא ריק, השדה host_name ביומן ממופה לשדה principal.hostname ב-UDM. אחרת, אם הערך של שדה היומן source_endpoint_host_name לא ריק, שדה היומן source_endpoint_host_name ממופה לשדה ה-UDM‏ principal.hostname. אחרת, אם הערך של השדה device.hostname ביומן לא ריק, השדה device.hostname ביומן ממופה לשדה principal.hostname ב-UDM.	principal.hostname אם הערך בשדה hostname ביומן לא ריק, השדה hostname ביומן ממופה לשדה principal.hostname ב-UDM. אם הערך בשדה היומן computer_name לא ריק, השדה computer_name ממופה לשדה principal.asset.attribute.labels.computer_name ב-UDM. אם הערך בשדה היומן host_name לא ריק, השדה host_name ממופה לשדה principal.asset.attribute.labels.host_name ב-UDM. אם הערך בשדה host ביומן לא ריק, השדה host ביומן ממופה לשדה principal.asset.attribute.labels.host ב-UDM. אם הערך בשדה device.hostname ביומן לא ריק, השדה device_hostname ביומן ממופה לשדה principal.asset.attribute.labels.device_hostname ב-UDM. אם הערך בשדה source_endpoint_host_name ביומן לא ריק, השדה source_endpoint_host_name ביומן ממופה לשדה principal.asset.attribute.labels.source_endpoint_host_name ב-UDM. אם הערך בשדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicator_hostname ב-UDM. אחרת, אם הערך בשדה host_name ביומן לא ריק, השדה host_name ביומן ממופה לשדה principal.hostname ב-UDM. אם הערך בשדה היומן computer_name לא ריק, השדה computer_name ממופה לשדה principal.asset.attribute.labels.computer_name ב-UDM. אם הערך בשדה host ביומן לא ריק, השדה host ביומן ממופה לשדה principal.asset.attribute.labels.host ב-UDM. אם הערך בשדה device.hostname ביומן לא ריק, השדה device_hostname ביומן ממופה לשדה principal.asset.attribute.labels.device_hostname ב-UDM. אם הערך בשדה היומן source_endpoint_host_name לא ריק, שדה היומן source_endpoint_host_name ממופה לשדה principal.asset.attribute.labels.source_endpoint_host_name ב-UDM. אם הערך בשדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה security_result.detection_fields[threatgraph_indicator_hostname] ב-UDM. אחרת, אם הערך של השדה computer_name ביומן לא ריק, השדה computer_name ביומן ממופה לשדה principal.hostname ב-UDM. אם הערך בשדה host ביומן לא ריק, השדה host ביומן ממופה לשדה principal.asset.attribute.labels.host ב-UDM. אם הערך בשדה היומן device.hostname לא ריק, השדה device.hostname ממופה לשדה principal.asset.attribute.labels.device_hostname ב-UDM. אם הערך בשדה היומן source_endpoint_host_name לא ריק, השדה source_endpoint_host_name ממופה לשדה principal.asset.attribute.labels.source_endpoint_host_name ב-UDM. אם הערך בשדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicator_hostname ב-UDM. אחרת, אם הערך של השדה host ביומן לא ריק, השדה host ביומן ממופה לשדה principal.hostname ב-UDM. אם הערך בשדה היומן device.hostname לא ריק, השדה device.hostname ממופה לשדה principal.asset.attribute.labels.device_hostname ב-UDM. אם הערך בשדה היומן source_endpoint_host_name לא ריק, השדה source_endpoint_host_name ממופה לשדה principal.asset.attribute.labels.source_endpoint_host_name ב-UDM. אם הערך בשדה היומן threatgraph_indicators.0.hostname לא ריק, השדה threatgraph_indicators.0.hostname ממופה לשדה security_result.detection_fields.threatgraph_indicator_hostname ב-UDM. אחרת, אם הערך של השדה device.hostname ביומן לא ריק, השדה device.hostname ביומן ממופה לשדה principal.hostname ב-UDM. אם הערך בשדה ביומן source_endpoint_host_name לא ריק, השדה ביומן source_endpoint_host_name ממופה לשדה principal.asset.attribute.labels.source_endpoint_host_name ב-UDM. אם הערך בשדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicator_hostname ב-UDM. אחרת, אם הערך של השדה source_endpoint_host_name ביומן לא ריק, השדה source_endpoint_host_name ביומן ממופה לשדה principal.hostname ב-UDM. אם הערך בשדה היומן threatgraph_indicators.0.hostname לא ריק, השדה threatgraph_indicators.0.hostname ממופה לשדה security_result.detection_fields.threatgraph_indicator_hostname ב-UDM. אחרת, אם הערך של השדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה principal.hostname ב-UDM.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname אם הערך בשדה threatgraph_indicators.0.hostname ביומן לא ריק, השדה threatgraph_indicators.0.hostname ביומן ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך בשדה computer_name ביומן לא ריק, השדה computer_name ביומן ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך בשדה host_name ביומן לא ריק, השדה host_name ביומן ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך של שדה היומן source_endpoint_host_name לא ריק, שדה היומן source_endpoint_host_name ממופה לשדה ה-UDM‏ principal.asset.hostname. אחרת, אם הערך של השדה device.hostname ביומן לא ריק, השדה device.hostname ביומן ממופה לשדה principal.asset.hostname ב-UDM.	principal.asset.hostname אם הערך של שדה היומן hostname לא ריק, שדה היומן hostname ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך של שדה היומן host_name לא ריק, השדה host_name ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך של השדה computer_name ביומן לא ריק, השדה computer_name ביומן ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך של השדה host ביומן לא ריק, השדה host ביומן ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך של שדה היומן device.hostname לא ריק, שדה היומן device.hostname ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך של השדה source_endpoint_host_name ביומן לא ריק, השדה source_endpoint_host_name ביומן ממופה לשדה principal.asset.hostname ב-UDM. אחרת, אם הערך בשדה ביומן threatgraph_indicators.0.hostname לא ריק, השדה ביומן threatgraph_indicators.0.hostname ממופה לשדה principal.asset.hostname ב-UDM.
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region שדה היומן location_country_code ממופה לשדה ה-UDM‏ principal.location.country_or_region.	principal.location.country_or_region אם הערך של שדה היומן device_geo_location.country_name לא ריק, שדה היומן device_geo_location.country_name ממופה לשדה principal.location.country_or_region ב-UDM. אם הערך בשדה location_country_code ביומן לא ריק, השדה location_country_code ביומן ממופה לשדה security_result.detection_fields.location_country_code ב-UDM. אחרת, אם הערך של השדה location_country_code ביומן לא ריק, השדה location_country_code ביומן ממופה לשדה principal.location.country_or_region ב-UDM.
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name אם הערך של שדה היומן user_name לא ריק, שדה היומן user_name ממופה לשדה ה-UDM‏ principal.user.user_display_name. אחרת, אם הערך של השדה source_account_name ביומן לא ריק, השדה source_account_name ביומן ממופה לשדה principal.user.user_display_name ב-UDM.	principal.user.user_display_name אם הערך של שדה היומן user_name לא ריק, שדה היומן user_name ממופה לשדה ה-UDM‏ principal.user.user_display_name. אם הערך בשדה היומן source_account_name לא ריק, השדה source_account_name ביומן ממופה לשדה principal.user.attribute.labels.source_account_name ב-UDM. אם הערך בשדה encrypted_by_username ביומן לא ריק, השדה encrypted_by_username ביומן ממופה לשדה principal.user.attribute.labels.encrypted_by_username ב-UDM. אם הערך בשדה היומן user_display_name לא ריק, השדה user_display_name ביומן ממופה לשדה principal.user.attribute.labels.user_display_name ב-UDM. אחרת, אם הערך של השדה source_account_name ביומן לא ריק, השדה source_account_name ביומן ממופה לשדה principal.user.user_display_name ב-UDM. אם הערך בשדה היומן encrypted_by_username לא ריק, השדה encrypted_by_username ביומן ממופה לשדה principal.user.attribute.labels.encrypted_by_username ב-UDM. אם הערך בשדה היומן user_display_name לא ריק, השדה user_display_name ביומן ממופה לשדה principal.user.attribute.labels.user_display_name ב-UDM. אחרת, אם הערך של השדה encrypted_by_username ביומן לא ריק, השדה encrypted_by_username ביומן ממופה לשדה principal.user.user_display_name ב-UDM. אם הערך בשדה היומן user_display_name לא ריק, השדה user_display_name ביומן ממופה לשדה principal.user.attribute.labels.user_display_name ב-UDM. אחרת, אם הערך של השדה user_display_name ביומן לא ריק, השדה user_display_name ביומן ממופה לשדה principal.user.user_display_name ב-UDM.
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid אם הערך בשדה sid ביומן לא ריק, השדה sid ביומן ממופה לשדה principal.user.windows_sid ב-UDM. אם הערך בשדה source_account_object_sid ביומן לא ריק, השדה source_account_object_sid ביומן ממופה לשדה principal.user.attribute.labels[source_account_object_sid] ב-UDM. אחרת, אם הערך של השדה source_account_object_sid ביומן לא ריק, השדה source_account_object_sid ביומן ממופה לשדה principal.user.windows_sid ב-UDM.
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id אם הערך של שדה היומן threatgraph_indicators.0.host_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{threatgraph_indicators.0.host_id}, שבה %{threatgraph_indicators.0.host_id} מוחלף בערך של שדה היומן threatgraph_indicators.0.host_id. אחרת, אם הערך של השדה host_id ביומן לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{host_id}, שבה %{host_id} מוחלף בערך של השדה host_id ביומן. אחרת, אם הערך של שדה היומן agent_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{agent_id}, שבה %{agent_id} מוחלף בערך של שדה היומן agent_id. אחרת, אם הערך של שדה היומן mdm_device_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{mdm_device_id}, שבה %{mdm_device_id} מוחלף בערך של שדה היומן mdm_device_id. אחרת, אם הערך של שדה היומן device.device_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{device.device_id}, שבה %{device.device_id} מוחלף בערך של שדה היומן device.device_id.	principal.asset_id, about.asset_id אם הערך של שדה היומן agent_id לא ריק, הערך של שדה היומן agent_id מפוצל לכמה ערכים באמצעות המפריד |. עוברים על הערכים המפוצלים של agent_id: אם הערך של index שווה ל-"0", אז השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{agent_id}, שבה %{agent_id} מוחלף בערך המפוצל של agent_id. אחרת, השדה about.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{agent_id}, שבה %{agent_id} מוחלף בערך agent_id המפוצל. אם ערך השדה source_asset.id ביומן לא ריק, השדה source_asset.id ביומן ממופה לשדה principal.asset.attribute.labels.source_asset_id ב-UDM. אם הערך של השדה host_id ביומן לא ריק, השדה host_id ביומן ממופה לשדה principal.asset.attribute.labels.host_id ב-UDM. אם הערך בשדה היומן device.device_id לא ריק, השדה device.device_id ממופה לשדה principal.asset.attribute.labels.device_id ב-UDM. אם הערך בשדה mdm_device_id ביומן לא ריק, השדה mdm_device_id ביומן ממופה לשדה principal.asset.attribute.labels.mdm_device_id ב-UDM. אם הערך בשדה היומן threatgraph_indicators.0.host_id לא ריק, השדה threatgraph_indicators.0.host_id ממופה לשדה security_result.detection_fields.threatgraph_indicator_host_id ב-UDM. אחרת, אם הערך של השדה source_asset.id ביומן לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{source_asset.id}, כאשר %{source_asset.id} מוחלף בערך של השדה source_asset.id ביומן. אם הערך בשדה היומן host_id לא ריק, השדה host_id ממופה לשדה principal.asset.attribute.labels.host_id ב-UDM. אם הערך בשדה device.device_id ביומן לא ריק, השדה device.device_id ביומן ממופה לשדה principal.asset.attribute.labels.device_id ב-UDM. אם הערך בשדה היומן mdm_device_id לא ריק, השדה mdm_device_id ממופה לשדה principal.asset.attribute.labels.mdm_device_id ב-UDM. אם הערך בשדה threatgraph_indicators.0.host_id ביומן לא ריק, השדה threatgraph_indicators.0.host_id ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicator_host_id ב-UDM. אחרת, אם הערך של שדה היומן host_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{host_id}, כאשר %{host_id} מוחלף בערך של שדה היומן host_id. אם הערך בשדה היומן device.device_id לא ריק, השדה device.device_id ממופה לשדה principal.asset.attribute.labels.device_id ב-UDM. אם הערך בשדה היומן mdm_device_id לא ריק, השדה mdm_device_id ממופה לשדה principal.asset.attribute.labels.mdm_device_id ב-UDM. אם הערך בשדה היומן threatgraph_indicators.0.host_id לא ריק, השדה threatgraph_indicators.0.host_id ממופה לשדה security_result.detection_fields.threatgraph_indicator_host_id ב-UDM. אחרת, אם הערך של שדה היומן device.device_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{device.device_id}, שבה %{device.device_id} מוחלף בערך של שדה היומן device.device_id. אם הערך בשדה mdm_device_id ביומן לא ריק, השדה mdm_device_id ביומן ממופה לשדה principal.asset.attribute.labels.mdm_device_id ב-UDM. אם הערך בשדה threatgraph_indicators.0.host_id ביומן לא ריק, השדה threatgraph_indicators.0.host_id ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicator_host_id ב-UDM. אחרת, אם הערך של שדה היומן mdm_device_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{mdm_device_id}, כאשר %{mdm_device_id} מוחלף בערך של שדה היומן mdm_device_id. אם הערך בשדה היומן threatgraph_indicators.0.host_id לא ריק, השדה threatgraph_indicators.0.host_id ממופה לשדה security_result.detection_fields.threatgraph_indicator_host_id ב-UDM. אחרת, אם הערך של שדה היומן threatgraph_indicators.0.host_id לא ריק, השדה principal.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{threatgraph_indicators.0.host_id}, כאשר %{threatgraph_indicators.0.host_id} מוחלף בערך של שדה היומן threatgraph_indicators.0.host_id.
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id אם הערך בשדה threatgraph_indicators.0.host_id ביומן לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{threatgraph_indicators.0.host_id}, כאשר %{threatgraph_indicators.0.host_id} מוחלף בערך של השדה threatgraph_indicators.0.host_id ביומן. אחרת, אם הערך של שדה היומן host_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{host_id}, שבה %{host_id} מוחלף בערך של שדה היומן host_id. אחרת, אם הערך של שדה היומן agent_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{agent_id}, שבה %{agent_id} מוחלף בערך של שדה היומן agent_id. אחרת, אם הערך של שדה היומן mdm_device_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{mdm_device_id}, שבה %{mdm_device_id} מוחלף בערך של שדה היומן mdm_device_id. אחרת, אם הערך של שדה היומן device.device_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{device.device_id}, כאשר %{device.device_id} מוחלף בערך של שדה היומן device.device_id.	principal.asset.asset_id, about.asset.asset_id אם הערך של שדה היומן agent_id לא ריק, הערך של שדה היומן agent_id מפוצל לכמה ערכים באמצעות המפריד |. עוברים על הערכים המפוצלים של agent_id: אם הערך של index שווה ל-"0", אז השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{agent_id}, שבה %{agent_id} מוחלף בערך המפוצל של agent_id. אחרת, השדה about.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{agent_id}, שבה %{agent_id} מוחלף בערך agent_id המפוצל. אחרת, אם הערך של שדה היומן source_asset.id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{source_asset.id}, שבה %{source_asset.id} מוחלף בערך של שדה היומן source_asset.id. אחרת, אם הערך של שדה היומן host_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{host_id}, שבה %{host_id} מוחלף בערך של שדה היומן host_id. אם הערך של שדה היומן device.device_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{device.device_id}, כאשר %{device.device_id} מוחלף בערך של שדה היומן device.device_id. אחרת, אם הערך של שדה היומן mdm_device_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{mdm_device_id}, כאשר %{mdm_device_id} מוחלף בערך של שדה היומן mdm_device_id. אחרת, אם הערך של שדה היומן threatgraph_indicators.0.host_id לא ריק, השדה principal.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{threatgraph_indicators.0.host_id}, כאשר %{threatgraph_indicators.0.host_id} מוחלף בערך של שדה היומן threatgraph_indicators.0.host_id.
cid, agent_id, process_id	target.process.product_specific_process_id אם הערך של שדה היומן cid לא ריק, הערך של שדה היומן agent_id לא ריק והערך של שדה היומן process_id לא ריק, אז שדה ה-UDM‏ target.process.product_specific_process_id מוגדר לערך שנוצר מהתבנית PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, שבה %{cid},‏ %{agent_id} ו-%{process_id} מוחלפים בערכים של שדות היומן cid,‏ agent_id ו-process_id, בהתאמה.	target.process.product_specific_process_id, about.process.product_specific_process_id אם הערך של שדה היומן agent_id לא ריק, הערך של שדה היומן agent_id מפוצל לכמה ערכים באמצעות המפריד |. עוברים על הערכים המפוצלים של agent_id: אם הערך של index שווה ל-"0", אז אם הערך של שדה היומן cid לא ריק והערך המפוצל של agent_id לא ריק והערך של שדה היומן process_id לא ריק, אז שדה ה-UDM‏ target.process.product_specific_process_id מוגדר לערך שנוצר מהתבנית PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, כאשר %{agent_id} מוחלף בערך המפוצל של agent_id, ו-%{cid} ו-%{process_id} מוחלפים בערכים של שדות היומן cid ו-process_id, בהתאמה. אחרת, אם הערך של שדה היומן cid לא ריק, הערך של agent_id המפוצל לא ריק והערך של שדה היומן process_id לא ריק, אז השדה about.process.product_specific_process_id ב-UDM מוגדר לערך שנוצר מהתבנית PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, כאשר %{agent_id} מוחלף בערך של agent_id המפוצל, ו-%{cid} ו-%{process_id} מוחלפים בערכים של שדות היומן cid ו-process_id, בהתאמה.
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details אם הערך של השדה product ביומן שווה ל-"epp", ואם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של שדה היומן incident.score לא ריק, שדה היומן incident.score ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של השדה product ביומן שווה ל-"mobile", אז אם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של השדה incident.score ביומן לא ריק, השדה incident.score ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של שדה היומן product שווה ל-"xdr", אז אם הערך של שדה היומן incident.score לא ריק, שדה היומן incident.score ממופה לשדה ה-UDM‏ security_result.severity_details. אחרת, אם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של שדה היומן severity לא ריק, שדה היומן severity ממופה לשדה security_result.severity_details ב-UDM.	security_result.severity_details אם הערך של השדה product ביומן שווה ל-"epp", ואם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של שדה היומן incident.score לא ריק, שדה היומן incident.score ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של השדה product ביומן שווה ל-"mobile", אז אם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של השדה incident.score ביומן לא ריק, השדה incident.score ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של שדה היומן product מכיל אחד מהערכים הבאים: xdr automated-lead-context , אם הערך של השדה incident.score ביומן לא ריק, השדה incident.score ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM. אחרת, אם הערך של השדה severity ביומן לא ריק, השדה severity ביומן ממופה לשדה security_result.severity_details ב-UDM.
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name עוברים על שדה היומן entities.domain אם הערך של index שווה ל-0, ואז שדה היומן entities.domain ממופה לשדה ה-UDM‏ target.domain.name. אחרת, השדה entities.domain ביומן ממופה לשדה security_result.detection_fields.entities_domain ב-UDM.	target.domain.name אם הערך בשדה saas_domain ביומן לא ריק, השדה saas_domain ביומן ממופה לשדה target.domain.name ב-UDM. אם הערך בשדה target_account_domain ביומן לא ריק, השדה target_account_domain ביומן ממופה לשדה target.user.attribute.labels.target_account_domain ב-UDM. אם הערך בשדה היומן entities.domain.0 לא ריק, השדה entities.domain.0 ממופה לשדה target.user.attribute.labels.entities_domain ב-UDM. אם הערך בשדה היומן domain_name לא ריק, השדה domain_name ממופה לשדה target.user.attribute.labels.domain_name ב-UDM. אחרת, אם הערך של השדה target_account_domain ביומן לא ריק, השדה target_account_domain ביומן ממופה לשדה target.domain.name ב-UDM. אם הערך בשדה היומן entities.domain.0 לא ריק, השדה entities.domain.0 ביומן ממופה לשדה target.user.attribute.labels.entities_domain ב-UDM. אם הערך בשדה היומן domain_name לא ריק, שדה היומן domain_name ממופה לשדה target.user.attribute.labels.domain_name ב-UDM. אחרת, אם הערך בשדה entities.domain.0 ביומן לא ריק, השדה entities.domain.0 ביומן ממופה לשדה target.domain.name ב-UDM. אם הערך בשדה היומן domain_name לא ריק, השדה domain_name ממופה לשדה target.user.attribute.labels.domain_name ב-UDM. אחרת, אם הערך של שדה היומן domain_name לא ריק, שדה היומן domain_name ממופה לשדה target.domain.name ב-UDM.
entities.domain	security_result.detection_fields[entities_domain] עוברים על שדה היומן entities.domain . אם הערך של index לא שווה ל-"0", שדה היומן entities.domain ממופה לשדה ה-UDM‏ security_result.detection_fields.entities_domain.	target.user.attribute.labels[entities_domain] עוברים על שדה היומן entities.domain . אם הערך של index לא שווה ל-"0", שדה היומן entities.domain ממופה לשדה target.user.attribute.labels.entities_domain ב-UDM.
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses אם הערך בשדה target_account_upn ביומן לא ריק, ואם הערך בשדה target_account_upn ביומן תואם לתבנית הביטוי הרגולרי: (^.+@.+$), אז השדה target_account_upn ביומן ממופה לשדה target.user.email_addresses ב-UDM. אחרת, השדה target_account_upn ביומן ממופה לשדה target.user.attribute.labels.target_account_upn ב-UDM.
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip עוברים על שדה היומן network_accesses אם הערך של שדה היומן network_accesses.local_address לא ריק, ואז אם הערך של שדה היומן network_accesses הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_accesses.local_address ממופה לשדה ה-UDM‏ target.ip. אחרת, אם הערך של שדה היומן network_accesses תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, שדה היומן network_accesses.local_address ממופה לשדה ה-UDM‏ principal.ip. אחרת, השדה network_accesses.local_address ביומן ממופה לשדה security_result.detection_fields.network_accesses_local_address ב-UDM.
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip עוברים על שדה היומן network_accesses אם הערך של שדה היומן network_accesses.local_address לא ריק, ואז אם הערך של שדה היומן network_accesses הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_accesses.local_address ממופה לשדה ה-UDM‏ target.asset.ip. אחרת, אם הערך של שדה היומן network_accesses תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, שדה היומן network_accesses.local_address ממופה לשדה ה-UDM‏ principal.asset.ip. אחרת, השדה network_accesses.local_address ביומן ממופה לשדה security_result.detection_fields.network_accesses_local_address ב-UDM.
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port עוברים על שדה היומן network_accesses אם הערך של index שווה ל-"0", ואז אם הערך של שדה היומן network_accesses.local_port לא ריק, ואז אם הערך של שדה היומן network_accesses connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, אז שדה היומן network_accesses.local_port ממופה לשדה ה-UDM‏ target.port. אחרת, אם הערך של שדה היומן network_accesses connection_direction תואם לתבנית הביטוי הרגולרי (?i)outbound, השדה network_accesses.local_port ביומן ממופה לשדה principal.port ב-UDM. אחרת, השדה network_accesses.local_port ביומן ממופה לשדה security_result.detection_fields.network_accesses_local_port ב-UDM. אחרת, אם הערך של השדה network_accesses.local_port ביומן לא ריק, אז אם הערך של השדה network_accesses ביומן connection_direction תואם לתבנית הביטוי הרגולרי (?i)inbound, השדה network_accesses.local_port ביומן ממופה לשדה target.asset.attribute.labels.network_accesses_local_port ב-UDM. אחרת, אם הערך של שדה היומן network_accessesconnection_direction תואם לתבנית הביטוי הרגולרי (?i)outbound, שדה היומן network_accesses.local_port ממופה לשדה ה-UDM‏ principal.asset.attribute.labels.network_accesses_local_port. אחרת, השדה network_accesses.local_port ביומן ממופה לשדה security_result.detection_fields.network_accesses_local_port ב-UDM.
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol עוברים על שדה היומן network_accesses.protocol אם הערך של index שווה ל-"0", ואז שדה היומן network_accesses.protocol ממופה לשדה ה-UDM‏ network.ip_protocol. אחרת, השדה network_accesses.protocol ביומן ממופה לשדה security_result.detection_fields.network_accesses_protocol ב-UDM.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip עוברים על שדה היומן network_accesses אם הערך של שדה היומן network_accesses.remote_address לא ריק, ואז אם הערך של שדה היומן network_accesses הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_accesses.remote_address ממופה לשדה ה-UDM‏ principal.ip. אחרת, אם הערך של שדה היומן network_accesses תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, שדה היומן network_accesses.remote_address ממופה לשדה ה-UDM‏ target.ip. אחרת, השדה network_accesses.remote_address ביומן ממופה לשדה security_result.detection_fields.network_accesses_remote_address ב-UDM.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip עוברים על שדה היומן network_accesses אם הערך של שדה היומן network_accesses.remote_address לא ריק, ואז אם הערך של שדה היומן network_accesses הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_accesses.remote_address ממופה לשדה ה-UDM‏ principal.asset.ip. אחרת, אם הערך של שדה היומן network_accesses תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, שדה היומן network_accesses.remote_address ממופה לשדה ה-UDM‏ target.asset.ip. אחרת, השדה network_accesses.remote_address ביומן ממופה לשדה security_result.detection_fields.network_accesses_remote_address ב-UDM.
resource_name, bucket_name	target.resource.name	target.resource.name אם ערך השדה resource_name ביומן לא ריק, השדה resource_name ביומן ממופה לשדה target.resource.name ב-UDM. אם הערך בשדה bucket_name ביומן לא ריק, השדה bucket_name ביומן ממופה לשדה target.resource.attribute.labels[bucket_name] ב-UDM. אחרת, אם הערך בשדה bucket_name ביומן לא ריק, השדה bucket_name ביומן ממופה לשדה target.resource.name ב-UDM.
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id עוברים על שדה היומן incident.host_ids אם הערך של index שווה ל-"0", ואז השדה target.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{incident.host_ids}, שבה %{incident.host_ids} מוחלף בערך של שדה היומן incident.host_ids. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "incident_host_id" והשדה incident.host_ids ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	target.asset_id אם הערך של שדה היומן destination_asset.id לא ריק, השדה target.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{destination_asset.id}, שבה %{destination_asset.id} מוחלף בערך של שדה היומן destination_asset.id. אם הערך בשדה incident.host_ids.0 ביומן לא ריק, השדה incident.host_ids.0 ביומן ממופה לשדה security_result.detection_fields.incident_host_id ב-UDM. אם הערך בשדה destination.usb_combined_id ביומן לא ריק, השדה destination.usb_combined_id ביומן ממופה לשדה target.asset.attribute.labels.destination_usb_combined_id ב-UDM. אחרת, אם הערך של שדה היומן incident.host_ids.0 לא ריק, השדה target.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{incident.host_ids.0}, כאשר %{incident.host_ids.0} מוחלף בערך של שדה היומן incident.host_ids.0. אם הערך בשדה destination.usb_combined_id ביומן לא ריק, השדה destination.usb_combined_id ביומן ממופה לשדה target.asset.attribute.labels.destination_usb_combined_id ב-UDM. אחרת, אם הערך של שדה היומן destination.usb_combined_id לא ריק, השדה target.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{destination.usb_combined_id}, כאשר %{destination.usb_combined_id} מוחלף בערך של שדה היומן destination.usb_combined_id. עוברים על שדה היומן incident.host_ids אם הערך של index לא שווה ל-"0", השדה security_result.detection_fields.key ב-UDM מוגדר ל-"incident_host_ids" ושדה היומן incident.host_ids ממופה לשדה security_result.detection_fields.value ב-UDM.
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id עוברים על שדה היומן incident.host_ids אם הערך של index שווה ל-"0", ואז השדה target.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{incident.host_ids}, שבה %{incident.host_ids} מוחלף בערך של שדה היומן incident.host_ids.	target.asset.asset_id אם הערך של שדה היומן destination_asset.id לא ריק, השדה target.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{destination_asset.id}, כאשר %{destination_asset.id} מוחלף בערך של שדה היומן destination_asset.id. אחרת, אם הערך של שדה היומן incident.host_ids.0 לא ריק, השדה target.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{incident.host_ids.0}, כאשר %{incident.host_ids.0} מוחלף בערך של שדה היומן incident.host_ids.0. אחרת, אם הערך של שדה היומן destination.usb_combined_id לא ריק, השדה target.asset.asset_id ב-UDM מוגדר לערך שנוצר מהתבנית CS:%{destination.usb_combined_id}, כאשר %{destination.usb_combined_id} מוחלף בערך של שדה היומן destination.usb_combined_id.
entities.file_name	target.process.file.names עוברים על שדה היומן entities.file_name שדה היומן entities.file_name ממופה לשדה ה-UDM‏ target.process.file.names.	security_result.detection_fields[entities_file_name] עוברים על השדה entities.file_name ביומן. אם הערך בשדה entities.file_name ביומן לא ריק, השדה entities.file_name ביומן ממופה לשדה security_result.detection_fields.entities_file_name ב-UDM.
entities.image_file_name	target.process.file.full_path עוברים על השדה entities.image_file_name ביומן. אם הערך של index שווה ל-0, השדה entities.image_file_name ביומן ממופה לשדה target.process.file.full_path ב-UDM. אחרת, השדה entities.image_file_name ביומן ממופה לשדה security_result.detection_fields.entities_image_file_name ב-UDM.	security_result.detection_fields[entities_image_file_name] עוברים על השדה entities.image_file_name ביומן. אם הערך בשדה entities.image_file_name ביומן לא ריק, השדה entities.image_file_name ביומן ממופה לשדה security_result.detection_fields.entities_image_file_name ב-UDM.
entities.process	target.process.pid עוברים על שדה היומן entities.process אם הערך של index שווה ל-0, ואז שדה היומן entities.process ממופה לשדה ה-UDM‏ target.process.pid. אחרת, השדה entities.process ביומן ממופה לשדה security_result.detection_fields.entities_process ב-UDM.	security_result.detection_fields[entities_process] עוברים על השדה entities.process ביומן אם הערך בשדה entities.process ביומן לא ריק, ואז השדה entities.process ביומן ממופה לשדה security_result.detection_fields.entities_process ב-UDM.
entities.sha256	target.process.file.sha256 עוברים על שדה היומן entities.sha256 אם הערך של index שווה ל-0, ואז שדה היומן entities.sha256 ממופה לשדה ה-UDM‏ target.process.file.sha256. אחרת, השדה entities.sha256 ביומן ממופה לשדה security_result.detection_fields.entities_sha256 ב-UDM.	security_result.detection_fields[entities_sha256] עוברים על השדה entities.sha256 ביומן אם הערך בשדה entities.sha256 ביומן לא ריק, ואז השדה entities.sha256 ביומן ממופה לשדה security_result.detection_fields.entities_sha256 ב-UDM.
entities.username	target.user.user_display_name עוברים על שדה היומן entities.username אם הערך של index שווה ל-0, ואז שדה היומן entities.username ממופה לשדה ה-UDM‏ target.user.user_display_name. אחרת, השדה entities.username ביומן ממופה לשדה security_result.detection_fields.entities_username ב-UDM.	security_result.detection_fields[entities_username] עוברים על השדה entities.username ביומן אם הערך בשדה entities.username ביומן לא ריק, ואז השדה entities.username ביומן ממופה לשדה security_result.detection_fields.entities_username ב-UDM.
application_name, destination.name	target.application	target.application אם הערך של שדה היומן destination.name לא ריק, שדה היומן destination.name ממופה לשדה target.application ב-UDM. אם הערך בשדה application_name ביומן לא ריק, השדה application_name ביומן ממופה לשדה security_result.detection_fields[application_name] ב-UDM. אחרת, אם הערך של שדה היומן application_name לא ריק, שדה היומן application_name ממופה לשדה ה-UDM‏ target.application.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip עוברים על שדה היומן network_info אם הערך של שדה היומן network_info.local_address לא ריק, ואז אם הערך של שדה היומן network_info הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_info.local_address ממופה לשדה ה-UDM‏ target.ip. אחרת, אם הערך של שדה היומן network_info או הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי (?i)outbound, שדה היומן network_info.local_address ממופה לשדה ה-UDM‏ principal.ip. אחרת, השדה network_info.local_address ביומן ממופה לשדה security_result.detection_fields.network_info_local_address ב-UDM.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip עוברים על שדה היומן network_info אם הערך של שדה היומן network_info.local_address לא ריק, ואז אם הערך של שדה היומן network_info הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_info.local_address ממופה לשדה ה-UDM‏ target.asset.ip. אחרת, אם הערך של שדה היומן network_infoconnection_direction תואם לתבנית הביטוי הרגולרי (?i)outbound, שדה היומן network_info.local_address ממופה לשדה ה-UDM‏ principal.asset.ip. אחרת, השדה network_info.local_address ביומן ממופה לשדה security_result.detection_fields.network_info_local_address ב-UDM.
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol עוברים על שדה היומן network_info.protocol אם הערך של index שווה ל-"0", ואז שדה היומן network_info.protocol ממופה לשדה ה-UDM‏ network.ip_protocol. אחרת, השדה network_info.protocol ביומן ממופה לשדה security_result.detection_fields.network_info_protocol ב-UDM.
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path אם הערך בשדה של unexpected_dynamic_library_loaded.0.target_file_name לא ריק, השדה של unexpected_dynamic_library_loaded.0.target_file_name ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה harmful_app_image_filename ביומן לא ריק, השדה harmful_app_image_filename ביומן ממופה לשדה security_result.detection_fields.harmful_app_image_filename ב-UDM. אם הערך בשדה sideloaded_app_image_filename ביומן לא ריק, השדה sideloaded_app_image_filename ביומן ממופה לשדה security_result.detection_fields.sideloaded_app_image_filename ב-UDM. אם הערך בשדה היומן duplicated_app_image_filename לא ריק, השדה duplicated_app_image_filename ממופה לשדה security_result.detection_fields.duplicated_app_image_filename ב-UDM. אם הערך בשדה היומן debuggable_app_image_filename לא ריק, השדה debuggable_app_image_filename ממופה לשדה security_result.detection_fields.debuggable_app_image_filename ב-UDM. אם הערך בשדה היומן unexpected_files.0 לא ריק, השדה unexpected_files.0 ביומן ממופה לשדה security_result.detection_fields.unexpected_files ב-UDM. אם הערך בשדה היומן app_image_filename לא ריק, השדה app_image_filename ביומן ממופה לשדה security_result.detection_fields.app_image_filename ב-UDM. אם הערך בשדה היומן suspicious_apps.0.image_filename לא ריק, השדה suspicious_apps.0.image_filename ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה היומן suspicious_activities_apps.0.image_filename לא ריק, שדה היומן suspicious_activities_apps.0.image_filename ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה harmful_app_image_filename ביומן לא ריק, השדה harmful_app_image_filename ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה היומן sideloaded_app_image_filename לא ריק, השדה sideloaded_app_image_filename ביומן ממופה לשדה security_result.detection_fields.sideloaded_app_image_filename ב-UDM. אם הערך בשדה היומן duplicated_app_image_filename לא ריק, שדה היומן duplicated_app_image_filename ממופה לשדה security_result.detection_fields.duplicated_app_image_filename ב-UDM. אם הערך בשדה debuggable_app_image_filename ביומן לא ריק, השדה debuggable_app_image_filename ביומן ממופה לשדה security_result.detection_fields.debuggable_app_image_filename ב-UDM. אם הערך בשדה היומן unexpected_files.0 לא ריק, השדה unexpected_files.0 ביומן ממופה לשדה security_result.detection_fields.unexpected_files ב-UDM. אם הערך בשדה היומן app_image_filename לא ריק, השדה app_image_filename ביומן ממופה לשדה security_result.detection_fields.app_image_filename ב-UDM. אם הערך בשדה suspicious_apps.0.image_filename ביומן לא ריק, השדה suspicious_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה היומן suspicious_activities_apps.0.image_filename לא ריק, השדה suspicious_activities_apps.0.image_filename ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה sideloaded_app_image_filename ביומן לא ריק, השדה sideloaded_app_image_filename ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה duplicated_app_image_filename ביומן לא ריק, השדה duplicated_app_image_filename ביומן ממופה לשדה security_result.detection_fields.duplicated_app_image_filename ב-UDM. אם הערך בשדה debuggable_app_image_filename ביומן לא ריק, השדה debuggable_app_image_filename ביומן ממופה לשדה security_result.detection_fields.debuggable_app_image_filename ב-UDM. אם הערך בשדה היומן unexpected_files.0 לא ריק, השדה unexpected_files.0 ביומן ממופה לשדה security_result.detection_fields.unexpected_files ב-UDM. אם הערך בשדה היומן app_image_filename לא ריק, השדה app_image_filename ביומן ממופה לשדה security_result.detection_fields.app_image_filename ב-UDM. אם הערך בשדה היומן suspicious_apps.0.image_filename לא ריק, השדה suspicious_apps.0.image_filename ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה suspicious_activities_apps.0.image_filename ביומן לא ריק, השדה suspicious_activities_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה duplicated_app_image_filename ביומן לא ריק, השדה duplicated_app_image_filename ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה היומן debuggable_app_image_filename לא ריק, השדה debuggable_app_image_filename ביומן ממופה לשדה security_result.detection_fields.debuggable_app_image_filename ב-UDM. אם הערך בשדה היומן unexpected_files.0 לא ריק, השדה unexpected_files.0 ביומן ממופה לשדה security_result.detection_fields.unexpected_files ב-UDM. אם הערך בשדה היומן app_image_filename לא ריק, השדה app_image_filename ביומן ממופה לשדה security_result.detection_fields.app_image_filename ב-UDM. אם הערך בשדה suspicious_apps.0.image_filename ביומן לא ריק, השדה suspicious_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה suspicious_activities_apps.0.image_filename ביומן לא ריק, השדה suspicious_activities_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה debuggable_app_image_filename ביומן לא ריק, השדה debuggable_app_image_filename ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה היומן unexpected_files.0 לא ריק, השדה unexpected_files.0 ביומן ממופה לשדה security_result.detection_fields.unexpected_files ב-UDM. אם הערך בשדה app_image_filename ביומן לא ריק, השדה app_image_filename ביומן ממופה לשדה security_result.detection_fields.app_image_filename ב-UDM. אם הערך בשדה suspicious_apps.0.image_filename ביומן לא ריק, השדה suspicious_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה היומן suspicious_activities_apps.0.image_filename לא ריק, השדה suspicious_activities_apps.0.image_filename ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה unexpected_files.0 ביומן לא ריק, השדה unexpected_files.0 ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה היומן app_image_filename לא ריק, השדה app_image_filename ביומן ממופה לשדה security_result.detection_fields.app_image_filename ב-UDM. אם הערך בשדה suspicious_apps.0.image_filename ביומן לא ריק, השדה suspicious_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה suspicious_activities_apps.0.image_filename ביומן לא ריק, השדה suspicious_activities_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה app_image_filename ביומן לא ריק, השדה app_image_filename ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה suspicious_apps.0.image_filename ביומן לא ריק, השדה suspicious_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_apps_image_filename ב-UDM. אם הערך בשדה suspicious_activities_apps.0.image_filename ביומן לא ריק, השדה suspicious_activities_apps.0.image_filename ביומן ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה suspicious_apps.0.image_filename ביומן לא ריק, השדה suspicious_apps.0.image_filename ביומן ממופה לשדה target.file.full_path ב-UDM. אם הערך בשדה היומן suspicious_activities_apps.0.image_filename לא ריק, השדה suspicious_activities_apps.0.image_filename ממופה לשדה security_result.detection_fields.suspicious_activities_apps_image_filename ב-UDM. אחרת, אם הערך של השדה suspicious_activities_apps.0.image_filename ביומן לא ריק, השדה suspicious_activities_apps.0.image_filename ביומן ממופה לשדה target.file.full_path ב-UDM.
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application עוברים על שדה היומן intrusive_package אם הערך של index שווה ל-"0", ואז שדה היומן intrusive_package.target_package_name ממופה לשדה ה-UDM‏ target.application. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "intrusive_package_target_package_name" והשדה intrusive_package.target_package_name ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	security_result.detection_fields[intrusive_package_target_package_name] עוברים על שדה היומן intrusive_package אם הערך של שדה היומן intrusive_package.target_package_name לא ריק, ואז שדה היומן intrusive_package.target_package_name ממופה לשדה ה-UDM‏ security_result.detection_fields.intrusive_package_target_package_name.
intrusive_process.target_process_name	target.process.file.names עוברים על שדה היומן intrusive_process אם הערך של index שווה ל-"0", ואז שדה היומן intrusive_process.target_process_name ממופה לשדה ה-UDM‏ target.process.file.names. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "intrusive_process_target_process_name" והשדה intrusive_process.target_process_name ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	security_result.detection_fields[intrusive_process_target_process_name] עוברים על שדה היומן intrusive_process אם הערך של שדה היומן intrusive_process.target_process_name לא ריק, ואז שדה היומן intrusive_process.target_process_name ממופה לשדה ה-UDM‏ security_result.detection_fields.intrusive_process_target_process_name.
intrusive_process.target_process_path	target.process.file.full_path עוברים על שדה היומן intrusive_process אם הערך של index שווה ל-"0", ואז שדה היומן intrusive_process.target_process_path ממופה לשדה ה-UDM של target.process.file.full_path. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "intrusive_process_target_process_path" והשדה intrusive_process.target_process_path ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	security_result.detection_fields[intrusive_process_target_process_path] עוברים על שדה היומן intrusive_process אם הערך של שדה היומן intrusive_process.target_process_path לא ריק, ואז שדה היומן intrusive_process.target_process_path ממופה לשדה ה-UDM‏ security_result.detection_fields.intrusive_process_target_process_path.
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port עוברים על שדה היומן network_info אם הערך של index שווה ל-"0", ואז אם הערך של שדה היומן network_info.local_port לא ריק, ואז אם הערך של שדה היומן network_info הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, ואז שדה היומן network_info.local_port ממופה לשדה ה-UDM‏ target.port. אחרת, אם הערך של שדה היומן network_info תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, אז שדה היומן network_info.local_port ממופה לשדה ה-UDM‏ principal.port. אחרת, השדה network_info.local_port ביומן ממופה לשדה security_result.detection_fields.network_info_local_port ב-UDM. אחרת, אם הערך של השדה network_info.local_port ביומן לא ריק, אז אם הערך של השדה network_infoconnection_direction ביומן תואם לתבנית הביטוי הרגולרי (?i)inbound, השדה network_info.local_port ביומן ממופה לשדה target.asset.attribute.labels.network_info_local_port ב-UDM. אחרת, אם הערך של שדה היומן network_infoconnection_direction תואם לתבנית הביטוי הרגולרי (?i)outbound, שדה היומן network_info.local_port ממופה לשדה ה-UDM‏ principal.asset.attribute.labels.network_info_local_port. אחרת, השדה network_info.local_port ביומן ממופה לשדה security_result.detection_fields.network_info_local_port ב-UDM.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip עוברים על שדה היומן network_info אם הערך של שדה היומן network_info.remote_address לא ריק, ואז אם הערך של שדה היומן network_info הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_info.remote_address ממופה לשדה ה-UDM‏ principal.ip. אחרת, אם הערך של שדה היומן network_info תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, שדה היומן network_info.remote_address ממופה לשדה ה-UDM‏ target.ip. אחרת, השדה network_info.remote_address ביומן ממופה לשדה security_result.detection_fields.network_info_remote_address ב-UDM.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip עוברים על שדה היומן network_info אם הערך של שדה היומן network_info.remote_address לא ריק, ואז אם הערך של שדה היומן network_info הערך של שדה היומן connection_direction תואם לתבנית הביטוי הרגולרי: (?i)inbound, שדה היומן network_info.remote_address ממופה לשדה ה-UDM‏ principal.asset.ip. אחרת, אם הערך של שדה היומן network_info תואם לערך של שדה היומן connection_direction, תבנית הביטוי הרגולרי: (?i)outbound, שדה היומן network_info.remote_address ממופה לשדה ה-UDM‏ target.asset.ip. אחרת, השדה network_info.remote_address ביומן ממופה לשדה security_result.detection_fields.network_info_remote_address ב-UDM.
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application עוברים על שדה היומן suspicious_activities_apps אם הערך של index שווה ל-"0", ואז שדה היומן suspicious_activities_apps.app_label ממופה לשדה target.application ב-UDM. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "suspicious_activities_apps_app_label" והשדה suspicious_activities_apps.app_label ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application עוברים על שדה היומן suspicious_apps אם הערך של index שווה ל-"0", ואז שדה היומן suspicious_apps.app_label ממופה לשדה ה-UDM‏ target.application. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "suspicious_apps_app_label" והשדה suspicious_apps.app_label ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 עוברים על שדה היומן suspicious_apps אם הערך של index שווה ל-"0", ואז שדה היומן suspicious_apps.certificate_thumbprints_sha1 ממופה לשדה ה-UDM‏ target.file.sha1. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "suspicious_apps_certificate_thumbprints_sha1" והשדה suspicious_apps.certificate_thumbprints_sha1 ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 עוברים על שדה היומן suspicious_apps אם הערך של index שווה ל-"0", ואז שדה היומן suspicious_apps.certificate_thumbprints_sha256 ממופה לשדה ה-UDM‏ target.file.sha256. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר ל-"suspicious_apps_certificate_thumbprints_sha256" והשדה suspicious_apps.certificate_thumbprints_sha256 ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name עוברים על שדה היומן system_partition_altered אם הערך של index שווה ל-"0", ואז שדה היומן system_partition_altered.volume_mount_point ממופה לשדה ה-UDM של target.resource.name. אחרת, השדה system_partition_altered.volume_mount_point ביומן ממופה לשדה target.resource_ancestors.name ב-UDM.	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type עוברים על שדה היומן system_partition_altered אם הערך של שדה היומן system_partition_altered.volume_mount_point לא ריק, ואז אם הערך של index שווה ל-"0", שדה ה-UDM של target.resource.resource_type מוגדר ל-"VOLUME". אחרת, השדה target.resource_ancestors.resource_type ב-UDM מוגדר לערך "VOLUME".
system_partition_altered.volume_type	target.resource.resource_subtype עוברים על שדה היומן system_partition_altered אם הערך של index שווה ל-"0", ואז שדה היומן system_partition_altered.volume_type ממופה לשדה ה-UDM‏ target.resource.resource_subtype. אחרת, השדה system_partition_altered.volume_type ביומן ממופה לשדה target.resource_ancestors.resource_subtype ב-UDM.	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name חזרה על שדה ביומן system_updates_blocked_by_dns השדה system_updates_blocked_by_dns.domain_name ביומן ממופה לשדה network.dns.questions.name ב-UDM.	about.domain.name חזרה על שדה ביומן system_updates_blocked_by_dns השדה system_updates_blocked_by_dns.domain_name ביומן ממופה לשדה about.domain.name ב-UDM.
system_updates_blocked_by_filesystem.file_name	target.file.names חזרה על שדה היומן system_updates_blocked_by_filesystem שדה היומן system_updates_blocked_by_filesystem.file_name ממופה לשדה ה-UDM‏ target.file.names.	about.file.full_path חזרה על שדה ביומן system_updates_blocked_by_filesystem השדה system_updates_blocked_by_filesystem.file_name ביומן ממופה לשדה about.file.full_path ב-UDM.
system_updates_blocked_by_http.url	target.url אם הערך של שדה היומן url ריק, עוברים על שדה היומן system_updates_blocked_by_http אם הערך של index שווה ל-"0", שדה היומן system_updates_blocked_by_http.url ממופה לשדה target.url ב-UDM. אחרת, השדה security_result.detection_fields.key ב-UDM מוגדר לערך "system_updates_blocked_by_http_url" והשדה system_updates_blocked_by_http.url ביומן ממופה לשדה security_result.detection_fields.value ב-UDM.	about.url עוברים על שדה היומן system_updates_blocked_by_http השדה system_updates_blocked_by_http.url ביומן ממופה לשדה about.url ב-UDM.
threatgraph_indicators.process_id	target.process.pid עוברים על שדה היומן threatgraph_indicators אם הערך של index שווה ל-"0", ואז שדה היומן threatgraph_indicators.process_id ממופה לשדה ה-UDM‏ target.process.pid. אחרת, אם הערך של השדה threatgraph_indicators.process_id ביומן לא ריק, השדה threatgraph_indicators.process_id ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicators_process_id ב-UDM.	security_result.detection_fields[threatgraph_indicators_process_id] עוברים על השדה threatgraph_indicators ביומן. אם הערך בשדה threatgraph_indicators.process_id ביומן לא ריק, השדה threatgraph_indicators.process_id ביומן ממופה לשדה security_result.detection_fields.threatgraph_indicators_process_id ב-UDM.
agent_id	principal.asset.attribute.labels[agent_id] אם הערך של שדה היומן device.device_id לא ריק, או שהערך של שדה היומן mdm_device_id לא ריק, או שהערך של שדה היומן host_id לא ריק, אז אם הערך של שדה היומן agent_id לא ריק, שדה היומן agent_id ממופה לשדה ה-UDM‏ principal.asset.attribute.labels.agent_id.
event_timestamp, timestamp	metadata.event_timestamp אם הערך בשדה timestamp ביומן לא ריק, השדה timestamp ביומן ממופה לשדה metadata.event_timestamp ב-UDM.	metadata.event_timestamp אם הערך של שדה היומן event_timestamp לא ריק, השדה event_timestamp ביומן ממופה לשדה metadata.event_timestamp ב-UDM. אחרת, אם הערך של השדה timestamp ביומן לא ריק, השדה timestamp ביומן ממופה לשדה metadata.event_timestamp ב-UDM.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.