Mengumpulkan log CrowdStrike Falcon

Versi Parser: 33.0

Dokumen ini menjelaskan cara menyerap log CrowdStrike Falcon ke Google Security Operations. Anda dapat menyerap beberapa jenis log CrowdStrike Falcon, dan dokumen ini menguraikan konfigurasi spesifik untuk setiap jenis log.

Untuk ringkasan tingkat tinggi tentang penyerapan data di Google Security Operations, lihat Penyerapan data ke Google Security Operations.

Jenis log CrowdStrike Falcon yang didukung

Google Security Operations mendukung jenis log CrowdStrike Falcon berikut melalui parser dengan label penyerapan berikut:

• Deteksi dan Respons Endpoint (EDR): CS_EDR. Parser ini mengurai data telemetri hampir real-time dari CrowdStrike Falcon Data Replicator (FDR), seperti akses file dan modifikasi registry. Data biasanya diserap dari bucket S3 atau Cloud Storage.

• Deteksi: CS_DETECTS. Parser ini mengurai peristiwa Detection Summary dari CrowdStrike menggunakan Detect API. Meskipun terkait dengan aktivitas endpoint, CS_DETECTS memberikan ringkasan deteksi tingkat lebih tinggi dibandingkan dengan telemetri mentah yang diuraikan menggunakan CS_EDR.

  Catatan: CrowdStrike telah menghentikan penggunaan endpoint 'Detects'. Sebaiknya gunakan CS_ALERTS untuk menyerap log deteksi.

• Pemberitahuan: CS_ALERTS. Parser ini mengurai pemberitahuan dari CrowdStrike menggunakan Alerts API. Parser CrowdStrike Alerts mendukung jenis produk berikut:

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• Indikator Penyusupan (IoC): CS_IOC. Parser ini mengurai IoC dan Indikator Serangan (IOA) dari CrowdStrike Threat Intelligence menggunakan CrowdStrike Chronicle Intel Bridge. Parser Indikator Penyusupan (IoC) CrowdStrike mendukung jenis indikator berikut:

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps merekomendasikan penggunaan feed untuk CS_EDR, CS_DETECTS, dan CS_IOC untuk penyerapan data yang komprehensif dari CrowdStrike.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Hak administrator pada instance CrowdStrike untuk menginstal sensor Host CrowdStrike Falcon
• Semua sistem dalam arsitektur deployment dikonfigurasi dalam zona waktu UTC.
• Perangkat target berjalan pada sistem operasi yang didukung
  • Harus berupa server 64-bit
  • Microsoft Windows Server 2008 R2 SP1 didukung untuk sensor CrowdStrike Falcon Host versi 6.51 atau yang lebih baru.
  • Versi OS lama harus mendukung penandatanganan kode SHA-2.
• File akun layanan Google SecOps dan ID pelanggan Anda dari tim dukungan Google SecOps

Menyiapkan feed

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

• SIEM Settings > Feeds > Add New Feed
• Content Hub > Paket Konten > Mulai

Catatan: Content Hub tidak tersedia di platform mandiri SIEM. Untuk mengupgrade, hubungi perwakilan Google SecOps Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam rangkaian produk ini, lihat Mengonfigurasi feed menurut produk.

Menyerap log CrowdStrike Falcon

Bagian ini menjelaskan cara mengonfigurasi penyerapan untuk berbagai jenis log CrowdStrike Falcon.

Menyerap log EDR (CS_EDR)

Anda dapat menyerap log CrowdStrike Falcon EDR menggunakan salah satu metode berikut, bergantung pada tempat Anda ingin mengirim log dari CrowdStrike:

• Amazon SQS: Menggunakan feed Falcon Data Replicator.
• Amazon S3: Menggunakan feed Google Security Operations yang dikonfigurasi untuk bucket S3.
• Google Cloud Storage: Dengan meminta CrowdStrike mengirim log ke bucket Cloud Storage.

Pilih salah satu prosedur berikut.

Opsi 1: Menyerap log EDR dari Amazon SQS

Metode ini menggunakan CrowdStrike Falcon Data Replicator untuk mengirim log EDR ke antrean Amazon SQS, yang kemudian di-polling oleh Google Security Operations.

1. Klik paket CrowdStrike.

2. Di jenis log CrowdStrike Falcon, tentukan nilai untuk kolom berikut:

   • Sumber: Amazon SQS
   • Region: Region S3 yang terkait dengan URI.
   • Queue Name: Nama antrean SQS tempat data log dibaca.
   • S3 URI: URI sumber bucket S3.
   • Nomor Akun: Nomor akun SQS.
   • Queue Access Key ID: ID kunci akses akun 20 karakter. Contoh, AKIAOSFOODNN7EXAMPLE.
   • Queue Secret Access Key: Kunci akses rahasia 40 karakter. Contoh, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   • Opsi penghapusan sumber: Opsi untuk menghapus file dan direktori setelah mentransfer data.

   Opsi lanjutan

   • Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
   • Namespace Aset: Namespace yang terkait dengan feed.
   • Label Penyerapan – Label yang diterapkan ke semua peristiwa dari feed ini.

3. Klik Buat Feed.

Catatan: Content Hub tidak tersedia di platform mandiri SIEM. Untuk melakukan upgrade, hubungi perwakilan Google SecOps Anda.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam rangkaian produk ini, lihat Mengonfigurasi feed menurut produk.

Opsi 2: Menyerap log EDR dari bucket Amazon S3

Metode ini melibatkan penyiapan feed Google Security Operations untuk mengambil log EDR langsung dari bucket Amazon S3.

Untuk menyiapkan feed penyerapan menggunakan bucket S3, ikuti langkah-langkah berikut:

1. Buka SIEM Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Feed name, masukkan nama untuk feed; misalnya, Crowdstrike Falcon Logs.
5. Di Source type, pilih Amazon S3.
6. Di Log type, pilih CrowdStrike Falcon.
7. Berdasarkan akun layanan dan konfigurasi bucket Amazon S3 yang Anda buat, tentukan nilai untuk kolom berikut:

   Kolom	Deskripsi
   region	URI region S3.
   S3 uri	URI sumber bucket S3.
   uri is a	Jenis objek yang ditunjuk oleh URI (misalnya, file atau folder).
   source deletion option	Opsi untuk menghapus file dan direktori setelah mentransfer data.
   access key id	Kunci akses (string alfanumerik 20 karakter). Misalnya, AKIAOSFOODNN7EXAMPLE.
   secret access key	Kunci akses rahasia (string alfanumerik 40 karakter). Misalnya, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   oauth client id	Client ID OAuth publik.
   oauth client secret	Rahasia klien OAuth 2.0.
   oauth secret refresh uri	URI refresh rahasia klien OAuth 2.0.
   asset namespace	Namespace yang terkait dengan feed.

8. Klik Berikutnya, lalu Kirim.

Opsi 3: Menyerap log EDR dari Cloud Storage

Anda dapat mengonfigurasi CrowdStrike untuk mengirim log EDR ke bucket Cloud Storage, lalu menyerap log ini ke Google Security Operations menggunakan feed. Proses ini memerlukan koordinasi dengan Dukungan CrowdStrike.

1. Hubungi Dukungan CrowdStrike: Buka tiket dukungan dengan CrowdStrike untuk mengaktifkan dan mengonfigurasi pengiriman log EDR ke bucket Cloud Storage Anda. Mereka akan memberikan panduan tentang konfigurasi yang diperlukan.

2. Membuat dan memberikan izin ke bucket Cloud Storage:

   1. Di konsol Google Cloud , buat bucket Cloud Storage baru. Catat nama bucket (misalnya, gs://my-crowdstrike-edr-logs/).
   2. Berikan izin tulis ke akun layanan yang disediakan oleh CrowdStrike. Ikuti petunjuk dari Dukungan CrowdStrike.

3. Konfigurasikan feed Google SecOps:

   1. Di instance Google SecOps, buka Settings > Feeds, lalu klik Add New.
   2. Masukkan Nama feed yang deskriptif (misalnya, CS-EDR-GCS).

   3. Untuk Source type, pilih Google Cloud Storage V2.

      Catatan: Anda dapat menggunakan Google Cloud Storage Event Driven V2 sebagai Jenis sumber untuk meminimalkan latensi.
      Catatan: Untuk jenis feed Berbasis Peristiwa Cloud Storage, siapkan langganan Pub/Sub untuk Cloud Storage, seperti yang dijelaskan dalam Mengonfigurasi Pub/Sub.

   4. Untuk Log type, pilih CrowdStrike Falcon.

   5. Di bagian akun layanan, klik Get Service Account. Salin alamat email akun layanan unik yang ditampilkan.

   6. Di konsol Google Cloud , buka bucket Cloud Storage Anda dan berikan peran IAM Storage Object Viewer ke alamat email akun layanan yang Anda salin. Tindakan ini memungkinkan feed membaca file log.

   7. Kembali ke halaman konfigurasi feed Google SecOps.

   8. Masukkan Storage Bucket URL (misalnya, gs://my-crowdstrike-edr-logs/). URL ini harus diakhiri dengan garis miring (/).

   9. Untuk jenis feed Berbasis Peristiwa, berikan Nama Langganan Pub/Sub (misalnya, projects/myproject/subscriptions/crowdstrike-edr-sub).

   10. Pilih Opsi Penghapusan Sumber. Sebaiknya pilih Jangan pernah hapus file.

   11. Klik Berikutnya, tinjau setelan, lalu klik Kirim.

4. Verifikasi penyerapan log: Setelah CrowdStrike mengonfirmasi bahwa log sedang dikirim, periksa log yang masuk di Google SecOps dengan Jenis Log CS_EDR.

Menyerap log Pemberitahuan (CS_ALERTS)

Untuk menyerap pemberitahuan CrowdStrike Falcon, Anda mengonfigurasi feed yang menggunakan CrowdStrike API.

1. Di CrowdStrike Falcon Console:

   1. Login ke CrowdStrike Falcon Console.
   2. Buka Support and resources > Resources and tools > API Clients and Keys, lalu klik Create API client.
   3. Masukkan Nama Klien dan Deskripsi.
   4. Untuk API Scopes, centang kotak Read untuk Alerts.
   5. Klik Create. Catat Client ID, rahasia klien, dan URL dasar yang dihasilkan.

2. Di Google Security Operations:

   1. Buka Setelan > Feed, lalu klik Tambahkan Baru.
   2. Pilih Third Party API untuk Source type.
   3. Pilih CrowdStrike Alerts API untuk Log type.

   4. Klik Next dan isi kolom berikut menggunakan nilai dari klien CrowdStrike API:

      • Endpoint token OAuth: Misalnya, https://api.us-2.crowdstrike.com/oauth2/token.
      • Client ID OAuth
      • Rahasia klien OAuth
      • URL dasar: Misalnya, api.us-2.crowdstrike.com.
      • Jenis Penyerapan: Pilih salah satu opsi berikut:
        • Bring all alerts: Menyerap pemberitahuan baru dan yang sudah ada yang telah diperbarui.
        • Bring only new alerts: Menyerap pemberitahuan baru saja.
      Catatan: Endpoint token Anda mungkin tidak menyertakan "us-2" di URL Anda. Hal ini bergantung pada region CrowdStrike Anda. Gunakan URL dasar yang benar dari konsol CrowdStrike.

   5. Klik Berikutnya, lalu Kirim.

Menyerap log Deteksi (CS_DETECTS)

Catatan: CrowdStrike telah menghentikan penggunaan endpoint 'Detects'. Sebaiknya gunakan CS_ALERTS untuk menyerap log deteksi.

Untuk menyerap log deteksi CrowdStrike Falcon, Anda juga menggunakan CrowdStrike API.

1. Di CrowdStrike Falcon Console:

   1. Login ke CrowdStrike Falcon Console.
   2. Buka Support Apps > API Clients and Keys.
   3. Membuat pasangan kunci klien API baru. Pasangan kunci ini harus memiliki izin READ untuk Detections.

2. Di Google Security Operations:

   1. Buka Setelan > Feed, lalu klik Tambahkan Baru.
   2. Pilih Third Party API untuk Source type.
   3. Pilih CrowdStrike Detection Monitoring untuk Log type.
   4. Klik Berikutnya, lalu Kirim. Anda akan diminta untuk memasukkan kredensial API yang Anda buat.

Menyerap log IoC (CS_IOC)

Untuk menyerap log Indikator Penyusupan (IoC) dari CrowdStrike, Anda menggunakan Google SecOps Intel Bridge.

1. Di CrowdStrike Falcon Console, buat pasangan kunci klien API baru. Pasangan kunci ini harus memiliki izin READ untuk Indicators (Falcon Intelligence).
2. Siapkan Google SecOps Intel Bridge dengan mengikuti petunjuk di CrowdStrike ke Google SecOps Intel Bridge.

3. Jalankan perintah Docker berikut untuk mengirim log dari CrowdStrike ke Google SecOps. sa.json adalah file akun layanan Google SecOps Anda.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. Setelah container berjalan, log IoC akan mulai di-streaming ke Google SecOps.

Jika Anda mengalami masalah dengan salah satu konfigurasi ini, hubungi tim dukungan Google SecOps.

Format log CrowdStrike yang didukung

Parser CrowdStrike mendukung log dalam format JSON.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Delta Pemetaan UDM CS_ALERTS

Catatan: Dalam delta ini, "Pemetaan UDM Lama" mengacu pada rilis parser CrowdStrike Alerts (CS_ALERTS) sebelum 27 Oktober 2026. Versi yang dirilis setelah 27 Oktober 2026 menyertakan "Pemetaan UDM Baru" berikut.

Catatan: Nilai metadata.event_type untuk peristiwa juga dapat berubah. Setiap jenis peristiwa UDM mengharuskan kolom UDM tertentu diisi. Jika pemetaan UDM baru tidak lagi mengisi kolom wajib dari jenis peristiwa yang sebelumnya ditetapkan, parser akan menetapkan jenis peristiwa yang kurang spesifik, seperti jenis peristiwa *_UNCATEGORIZED atau GENERIC_EVENT yang sesuai. Sebaliknya, jika pemetaan UDM baru mengisi semua kolom wajib dari jenis peristiwa yang lebih spesifik, parser akan menetapkan jenis peristiwa yang lebih spesifik tersebut. Tinjau aturan, penelusuran, dan dasbor yang memfilter metadata.event_type.

Tabel berikut mencantumkan perbedaan antara pemetaan UDM lama dan pemetaan UDM baru dari parser CrowdStrike Alerts (CS_ALERTS).

Kolom log	Nama Kolom UDM Lama	Nama Kolom UDM Baru
source_account_domain, device.machine_domain, logon_domain	principal.domain.name Jika nilai kolom log source_account_domain tidak kosong, kolom log source_account_domain akan dipetakan ke kolom UDM principal.domain.name. Jika tidak, jika nilai kolom log logon_domain tidak kosong, kolom log logon_domain akan dipetakan ke kolom UDM principal.domain.name. Jika tidak, jika nilai kolom log device.machine_domain tidak kosong, kolom log device.machine_domain akan dipetakan ke kolom UDM principal.domain.name.	principal.domain.name Jika nilai kolom log source_account_domain tidak kosong, kolom log source_account_domain akan dipetakan ke kolom UDM principal.domain.name. Jika nilai kolom log device.machine_domain tidak kosong, kolom log device.machine_domain akan dipetakan ke kolom UDM principal.user.attribute.labels.device_machine_domain. Jika nilai kolom log logon_domain tidak kosong, kolom log logon_domain akan dipetakan ke kolom UDM principal.user.attribute.labels.logon_domain. Jika tidak, jika nilai kolom log device.machine_domain tidak kosong, kolom log device.machine_domain akan dipetakan ke kolom UDM principal.domain.name. Jika nilai kolom log logon_domain tidak kosong, kolom log logon_domain akan dipetakan ke kolom UDM principal.user.attribute.labels.logon_domain. Jika tidak, jika nilai kolom log logon_domain tidak kosong, kolom log logon_domain akan dipetakan ke kolom UDM principal.domain.name.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM principal.hostname. Jika tidak, jika nilai kolom log computer_name tidak kosong, kolom log computer_name akan dipetakan ke kolom UDM principal.hostname. Jika tidak, jika nilai kolom log host_name tidak kosong, kolom log host_name akan dipetakan ke kolom UDM principal.hostname. Jika tidak, jika nilai kolom log source_endpoint_host_name tidak kosong, maka Kolom log source_endpoint_host_name dipetakan ke kolom UDM principal.hostname. Jika tidak, jika nilai kolom log device.hostname tidak kosong, maka kolom log device.hostname akan dipetakan ke kolom UDM principal.hostname.	principal.hostname Jika nilai kolom log hostname tidak kosong, maka Kolom log hostname dipetakan ke kolom UDM principal.hostname. Jika nilai kolom log computer_name tidak kosong, kolom log computer_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.computer_name. Jika nilai kolom log host_name tidak kosong, kolom log host_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.host_name. Jika nilai kolom log host tidak kosong, kolom log host akan dipetakan ke kolom UDM principal.asset.attribute.labels.host. Jika nilai kolom log device.hostname tidak kosong, kolom log device_hostname akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_hostname. Jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.source_endpoint_host_name. Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_hostname. Jika tidak, jika nilai kolom log host_name tidak kosong, kolom log host_name akan dipetakan ke kolom UDM principal.hostname. Jika nilai kolom log computer_name tidak kosong, kolom log computer_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.computer_name. Jika nilai kolom log host tidak kosong, kolom log host akan dipetakan ke kolom UDM principal.asset.attribute.labels.host. Jika nilai kolom log device.hostname tidak kosong, kolom log device_hostname akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_hostname. Jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.source_endpoint_host_name. Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM security_result.detection_fields[threatgraph_indicator_hostname]. Jika tidak, jika nilai kolom log computer_name tidak kosong, kolom log computer_name akan dipetakan ke kolom UDM principal.hostname. Jika nilai kolom log host tidak kosong, kolom log host akan dipetakan ke kolom UDM principal.asset.attribute.labels.host. Jika nilai kolom log device.hostname tidak kosong, kolom log device.hostname akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_hostname. Jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.source_endpoint_host_name. Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_hostname. Jika tidak, jika nilai kolom log host tidak kosong, kolom log host akan dipetakan ke kolom UDM principal.hostname. Jika nilai kolom log device.hostname tidak kosong, kolom log device.hostname akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_hostname. Jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.source_endpoint_host_name. Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_hostname. Jika tidak, jika nilai kolom log device.hostname tidak kosong, kolom log device.hostname akan dipetakan ke kolom UDM principal.hostname. Jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.asset.attribute.labels.source_endpoint_host_name. Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_hostname. Jika tidak, jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.hostname. Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, maka kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_hostname. Jika tidak, jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM principal.hostname.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname Jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log computer_name tidak kosong, kolom log computer_name akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log host_name tidak kosong, kolom log host_name akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log source_endpoint_host_name tidak kosong, maka Kolom log source_endpoint_host_name dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log device.hostname tidak kosong, maka kolom log device.hostname akan dipetakan ke kolom UDM principal.asset.hostname.	principal.asset.hostname Jika nilai kolom log hostname tidak kosong, kolom log hostname akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log host_name tidak kosong, kolom log host_name akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log computer_name tidak kosong, kolom log computer_name akan dipetakan ke kolom UDM principal.asset.hostname. Jika nilai kolom log host tidak kosong, kolom log host akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log device.hostname tidak kosong, kolom log device.hostname akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log source_endpoint_host_name tidak kosong, kolom log source_endpoint_host_name akan dipetakan ke kolom UDM principal.asset.hostname. Jika tidak, jika nilai kolom log threatgraph_indicators.0.hostname tidak kosong, kolom log threatgraph_indicators.0.hostname akan dipetakan ke kolom UDM principal.asset.hostname.
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region Kolom log location_country_code dipetakan ke kolom UDM principal.location.country_or_region.	principal.location.country_or_region Jika nilai kolom log device_geo_location.country_name tidak kosong, kolom log device_geo_location.country_name akan dipetakan ke kolom UDM principal.location.country_or_region. Jika nilai kolom log location_country_code tidak kosong, kolom log location_country_code akan dipetakan ke kolom UDM security_result.detection_fields.location_country_code. Jika tidak, jika nilai kolom log location_country_code tidak kosong, kolom log location_country_code akan dipetakan ke kolom UDM principal.location.country_or_region.
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name Jika nilai kolom log user_name tidak kosong, kolom log user_name akan dipetakan ke kolom UDM principal.user.user_display_name. Jika tidak, jika nilai kolom log source_account_name tidak kosong, maka kolom log source_account_name akan dipetakan ke kolom UDM principal.user.user_display_name.	principal.user.user_display_name Jika nilai kolom log user_name tidak kosong, kolom log user_name akan dipetakan ke kolom UDM principal.user.user_display_name. Jika nilai kolom log source_account_name tidak kosong, maka kolom log source_account_name akan dipetakan ke kolom UDM principal.user.attribute.labels.source_account_name. Jika nilai kolom log encrypted_by_username tidak kosong, kolom log encrypted_by_username akan dipetakan ke kolom UDM principal.user.attribute.labels.encrypted_by_username. Jika nilai kolom log user_display_name tidak kosong, kolom log user_display_name akan dipetakan ke kolom UDM principal.user.attribute.labels.user_display_name. Jika tidak, jika nilai kolom log source_account_name tidak kosong, maka kolom log source_account_name dipetakan ke kolom UDM principal.user.user_display_name. Jika nilai kolom log encrypted_by_username tidak kosong, kolom log encrypted_by_username akan dipetakan ke kolom UDM principal.user.attribute.labels.encrypted_by_username. Jika nilai kolom log user_display_name tidak kosong, kolom log user_display_name akan dipetakan ke kolom UDM principal.user.attribute.labels.user_display_name. Jika tidak, jika nilai kolom log encrypted_by_username tidak kosong, maka kolom log encrypted_by_username akan dipetakan ke kolom UDM principal.user.user_display_name. Jika nilai kolom log user_display_name tidak kosong, maka kolom log user_display_name akan dipetakan ke kolom UDM principal.user.attribute.labels.user_display_name. Jika tidak, jika nilai kolom log user_display_name tidak kosong, kolom log user_display_name akan dipetakan ke kolom UDM principal.user.user_display_name.
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid Jika nilai kolom log sid tidak kosong, maka Kolom log sid dipetakan ke kolom UDM principal.user.windows_sid. Jika nilai kolom log source_account_object_sid tidak kosong, kolom log source_account_object_sid akan dipetakan ke kolom UDM principal.user.attribute.labels[source_account_object_sid]. Jika tidak, jika nilai kolom log source_account_object_sid tidak kosong, kolom log source_account_object_sid akan dipetakan ke kolom UDM principal.user.windows_sid.
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{threatgraph_indicators.0.host_id}, dengan %{threatgraph_indicators.0.host_id} diganti dengan nilai kolom log threatgraph_indicators.0.host_id. Jika tidak, jika nilai kolom log host_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{host_id}, dengan %{host_id} diganti dengan nilai kolom log host_id. Jika tidak, jika nilai kolom log agent_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{agent_id}, dengan %{agent_id} diganti dengan nilai kolom log agent_id. Jika tidak, jika nilai kolom log mdm_device_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{mdm_device_id}, dengan %{mdm_device_id} diganti dengan nilai kolom log mdm_device_id. Jika tidak, jika nilai kolom log device.device_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{device.device_id}, dengan %{device.device_id} diganti dengan nilai kolom log device.device_id.	principal.asset_id, about.asset_id Jika nilai kolom log agent_id tidak kosong, nilai kolom log agent_id akan dibagi menjadi beberapa nilai menggunakan pemisah |. Lakukan iterasi melalui nilai agent_id yang dipisahkan: jika nilai index sama dengan "0", maka kolom UDM principal.asset_id ditetapkan ke nilai yang dihasilkan dari template CS:%{agent_id}, dengan %{agent_id} diganti dengan nilai agent_id yang dipisahkan. Jika tidak, kolom UDM about.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{agent_id}, dengan %{agent_id} diganti dengan nilai agent_id yang dipisahkan. Jika nilai kolom log source_asset.id tidak kosong, maka Kolom log source_asset.id dipetakan ke kolom UDM principal.asset.attribute.labels.source_asset_id. Jika nilai kolom log host_id tidak kosong, kolom log host_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.host_id. Jika nilai kolom log device.device_id tidak kosong, kolom log device.device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_id. Jika nilai kolom log mdm_device_id tidak kosong, kolom log mdm_device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.mdm_device_id. Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom log threatgraph_indicators.0.host_id akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_host_id. Jika tidak, jika nilai kolom log source_asset.id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{source_asset.id}, dengan %{source_asset.id} diganti dengan nilai kolom log source_asset.id. Jika nilai kolom log host_id tidak kosong, kolom log host_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.host_id. Jika nilai kolom log device.device_id tidak kosong, kolom log device.device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_id. Jika nilai kolom log mdm_device_id tidak kosong, kolom log mdm_device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.mdm_device_id. Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom log threatgraph_indicators.0.host_id akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_host_id. Jika tidak, jika nilai kolom log host_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{host_id}, dengan %{host_id} diganti dengan nilai kolom log host_id. Jika nilai kolom log device.device_id tidak kosong, kolom log device.device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.device_id. Jika nilai kolom log mdm_device_id tidak kosong, kolom log mdm_device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.mdm_device_id. Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom log threatgraph_indicators.0.host_id akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_host_id. Jika tidak, jika nilai kolom log device.device_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{device.device_id}, dengan %{device.device_id} diganti dengan nilai kolom log device.device_id. Jika nilai kolom log mdm_device_id tidak kosong, kolom log mdm_device_id akan dipetakan ke kolom UDM principal.asset.attribute.labels.mdm_device_id. Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom log threatgraph_indicators.0.host_id akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_host_id. Jika tidak, jika nilai kolom log mdm_device_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{mdm_device_id}, dengan %{mdm_device_id} diganti dengan nilai kolom log mdm_device_id. Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom log threatgraph_indicators.0.host_id akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicator_host_id. Jika tidak, jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom UDM principal.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{threatgraph_indicators.0.host_id}, dengan %{threatgraph_indicators.0.host_id} diganti dengan nilai kolom log threatgraph_indicators.0.host_id.
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id Jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{threatgraph_indicators.0.host_id}, dengan %{threatgraph_indicators.0.host_id} diganti dengan nilai kolom log threatgraph_indicators.0.host_id. Jika tidak, jika nilai kolom log host_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{host_id}, dengan %{host_id} diganti dengan nilai kolom log host_id. Jika tidak, jika nilai kolom log agent_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{agent_id}, dengan %{agent_id} diganti dengan nilai kolom log agent_id. Jika tidak, jika nilai kolom log mdm_device_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{mdm_device_id}, dengan %{mdm_device_id} diganti dengan nilai kolom log mdm_device_id. Jika tidak, jika nilai kolom log device.device_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{device.device_id}, dengan %{device.device_id} diganti dengan nilai kolom log device.device_id.	principal.asset.asset_id, about.asset.asset_id Jika nilai kolom log agent_id tidak kosong, nilai kolom log agent_id akan dibagi menjadi beberapa nilai menggunakan pemisah |. Lakukan iterasi melalui nilai agent_id yang dipisahkan: jika nilai index sama dengan "0", kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{agent_id}, dengan %{agent_id} diganti dengan nilai agent_id yang dipisahkan. Jika tidak, kolom UDM about.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{agent_id}, dengan %{agent_id} diganti dengan nilai agent_id yang dipisahkan. Jika tidak, jika nilai kolom log source_asset.id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{source_asset.id}, dengan %{source_asset.id} diganti dengan nilai kolom log source_asset.id. Jika tidak, jika nilai kolom log host_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{host_id}, dengan %{host_id} diganti dengan nilai kolom log host_id. Jika tidak, jika nilai kolom log device.device_id tidak kosong, maka kolom UDM principal.asset.asset_id ditetapkan ke nilai yang dihasilkan dari template CS:%{device.device_id}, dengan %{device.device_id} diganti dengan nilai kolom log device.device_id. Jika tidak, jika nilai kolom log mdm_device_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{mdm_device_id}, dengan %{mdm_device_id} diganti dengan nilai kolom log mdm_device_id. Jika tidak, jika nilai kolom log threatgraph_indicators.0.host_id tidak kosong, kolom UDM principal.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{threatgraph_indicators.0.host_id}, dengan %{threatgraph_indicators.0.host_id} diganti dengan nilai kolom log threatgraph_indicators.0.host_id.
cid, agent_id, process_id	target.process.product_specific_process_id Jika nilai kolom log cid tidak kosong dan nilai kolom log agent_id tidak kosong dan nilai kolom log process_id tidak kosong, maka kolom UDM target.process.product_specific_process_id ditetapkan ke nilai yang dihasilkan dari template PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, dengan %{cid}, %{agent_id}, dan %{process_id} diganti dengan nilai kolom log cid, agent_id, dan process_id.	target.process.product_specific_process_id, about.process.product_specific_process_id Jika nilai kolom log agent_id tidak kosong, nilai kolom log agent_id akan dibagi menjadi beberapa nilai menggunakan pemisah |. Lakukan iterasi melalui nilai agent_id yang dipisahkan: jika nilai index sama dengan "0", maka jika nilai kolom log cid tidak kosong dan nilai agent_id yang dipisahkan tidak kosong dan nilai kolom log process_id tidak kosong, maka kolom UDM target.process.product_specific_process_id ditetapkan ke nilai yang dihasilkan dari template PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, dengan %{agent_id} diganti dengan nilai agent_id yang dipisahkan, dan %{cid} serta %{process_id} diganti dengan nilai kolom log cid dan process_id. Jika tidak, jika nilai kolom log cid tidak kosong dan nilai agent_id pemisahan tidak kosong dan nilai kolom log process_id tidak kosong, maka kolom UDM about.process.product_specific_process_id ditetapkan ke nilai yang dihasilkan dari template PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, dengan %{agent_id} diganti dengan nilai agent_id pemisahan, dan %{cid} serta %{process_id} masing-masing diganti dengan nilai kolom log cid dan process_id.
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details Jika nilai kolom log product sama dengan "epp", maka Jika nilai kolom log severity tidak kosong, maka Kolom log severity dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log incident.score tidak kosong, kolom log incident.score akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log product sama dengan "mobile", maka Jika nilai kolom log severity tidak kosong, maka Kolom log severity dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log incident.score tidak kosong, kolom log incident.score akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log product sama dengan "xdr", maka Jika nilai kolom log incident.score tidak kosong, maka Kolom log incident.score dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log severity tidak kosong, kolom log severity akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log severity tidak kosong, kolom log severity akan dipetakan ke kolom UDM security_result.severity_details.	security_result.severity_details Jika nilai kolom log product sama dengan "epp", maka Jika nilai kolom log severity tidak kosong, maka Kolom log severity dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log incident.score tidak kosong, kolom log incident.score akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log product sama dengan "mobile", maka Jika nilai kolom log severity tidak kosong, maka Kolom log severity dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log incident.score tidak kosong, kolom log incident.score akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log product berisi salah satu nilai berikut: xdr automated-lead-context , lalu Jika nilai kolom log incident.score tidak kosong, Kolom log incident.score akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log severity tidak kosong, kolom log severity akan dipetakan ke kolom UDM security_result.severity_details. Jika tidak, jika nilai kolom log severity tidak kosong, kolom log severity akan dipetakan ke kolom UDM security_result.severity_details.
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name Lakukan iterasi melalui kolom log entities.domain jika nilai index sama dengan 0, maka kolom log entities.domain dipetakan ke kolom UDM target.domain.name. Jika tidak, kolom log entities.domain akan dipetakan ke kolom UDM security_result.detection_fields.entities_domain.	target.domain.name Jika nilai kolom log saas_domain tidak kosong, maka Kolom log saas_domain dipetakan ke kolom UDM target.domain.name. Jika nilai kolom log target_account_domain tidak kosong, kolom log target_account_domain akan dipetakan ke kolom UDM target.user.attribute.labels.target_account_domain. Jika nilai kolom log entities.domain.0 tidak kosong, kolom log entities.domain.0 akan dipetakan ke kolom UDM target.user.attribute.labels.entities_domain. Jika nilai kolom log domain_name tidak kosong, kolom log domain_name akan dipetakan ke kolom UDM target.user.attribute.labels.domain_name. Jika tidak, jika nilai kolom log target_account_domain tidak kosong, kolom log target_account_domain akan dipetakan ke kolom UDM target.domain.name. Jika nilai kolom log entities.domain.0 tidak kosong, kolom log entities.domain.0 akan dipetakan ke kolom UDM target.user.attribute.labels.entities_domain. Jika nilai kolom log domain_name tidak kosong, kolom log domain_name akan dipetakan ke kolom UDM target.user.attribute.labels.domain_name. Jika tidak, jika nilai kolom log entities.domain.0 tidak kosong, kolom log entities.domain.0 akan dipetakan ke kolom UDM target.domain.name. Jika nilai kolom log domain_name tidak kosong, kolom log domain_name akan dipetakan ke kolom UDM target.user.attribute.labels.domain_name. Jika tidak, jika nilai kolom log domain_name tidak kosong, kolom log domain_name akan dipetakan ke kolom UDM target.domain.name.
entities.domain	security_result.detection_fields[entities_domain] Lakukan iterasi melalui kolom log entities.domain jika nilai index tidak sama dengan "0", maka kolom log entities.domain dipetakan ke kolom UDM security_result.detection_fields.entities_domain.	target.user.attribute.labels[entities_domain] Lakukan iterasi melalui kolom log entities.domain jika nilai index tidak sama dengan "0", maka kolom log entities.domain dipetakan ke kolom UDM target.user.attribute.labels.entities_domain.
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses Jika nilai kolom log target_account_upn tidak kosong, maka Jika nilai kolom log target_account_upn cocok dengan pola ekspresi reguler: (^.+@.+$), maka Kolom log target_account_upn dipetakan ke kolom UDM target.user.email_addresses. Jika tidak, kolom log target_account_upn akan dipetakan ke kolom UDM target.user.attribute.labels.target_account_upn.
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip Lakukan iterasi melalui kolom log network_accesses jika nilai kolom log network_accesses.local_address tidak kosong, lalu Jika nilai kolom log network_accessesnilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_accesses.local_address dipetakan ke kolom UDM target.ip. Jika tidak, jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_accesses.local_address dipetakan ke kolom UDM principal.ip. Jika tidak, kolom log network_accesses.local_address akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_local_address.
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip Lakukan iterasi melalui kolom log network_accesses jika nilai kolom log network_accesses.local_address tidak kosong, lalu Jika nilai kolom log network_accessesnilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_accesses.local_address dipetakan ke kolom UDM target.asset.ip. Jika tidak, jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_accesses.local_address dipetakan ke kolom UDM principal.asset.ip. Jika tidak, kolom log network_accesses.local_address akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_local_address.
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port Lakukan iterasi melalui kolom log network_accesses jika nilai index sama dengan "0", lalu Jika nilai kolom log network_accesses.local_port tidak kosong, lalu Jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, lalu Kolom log network_accesses.local_port dipetakan ke kolom UDM target.port. Jika tidak, jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_accesses.local_port dipetakan ke kolom UDM principal.port. Jika tidak, kolom log network_accesses.local_port akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_local_port. Jika tidak, jika nilai kolom log network_accesses.local_port tidak kosong, maka Jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka Kolom log network_accesses.local_port dipetakan ke kolom UDM target.asset.attribute.labels.network_accesses_local_port. Jika tidak, jika nilai kolom log network_accessesnilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_accesses.local_port akan dipetakan ke kolom UDM principal.asset.attribute.labels.network_accesses_local_port. Jika tidak, kolom log network_accesses.local_port akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_local_port.
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol Lakukan iterasi melalui kolom log network_accesses.protocol jika nilai index sama dengan "0", maka kolom log network_accesses.protocol dipetakan ke kolom UDM network.ip_protocol. Jika tidak, kolom log network_accesses.protocol akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_protocol.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip Lakukan iterasi melalui kolom log network_accesses jika nilai kolom log network_accesses.remote_address tidak kosong, lalu Jika nilai kolom log network_accessesnilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_accesses.remote_address dipetakan ke kolom UDM principal.ip. Jika tidak, jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_accesses.remote_address dipetakan ke kolom UDM target.ip. Jika tidak, kolom log network_accesses.remote_address akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_remote_address.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip Lakukan iterasi melalui kolom log network_accesses jika nilai kolom log network_accesses.remote_address tidak kosong, lalu Jika nilai kolom log network_accessesnilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_accesses.remote_address dipetakan ke kolom UDM principal.asset.ip. Jika tidak, jika nilai kolom log network_accesses nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_accesses.remote_address dipetakan ke kolom UDM target.asset.ip. Jika tidak, kolom log network_accesses.remote_address akan dipetakan ke kolom UDM security_result.detection_fields.network_accesses_remote_address.
resource_name, bucket_name	target.resource.name	target.resource.name Jika nilai kolom log resource_name tidak kosong, kolom log resource_name akan dipetakan ke kolom UDM target.resource.name. Jika nilai kolom log bucket_name tidak kosong, kolom log bucket_name akan dipetakan ke kolom UDM target.resource.attribute.labels[bucket_name]. Jika tidak, jika nilai kolom log bucket_name tidak kosong, kolom log bucket_name akan dipetakan ke kolom UDM target.resource.name.
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id Lakukan iterasi melalui kolom log incident.host_ids jika nilai index sama dengan "0", maka kolom UDM target.asset_id ditetapkan ke nilai yang dihasilkan dari template CS:%{incident.host_ids}, dengan %{incident.host_ids} diganti dengan nilai kolom log incident.host_ids. Jika tidak, kolom UDM security_result.detection_fields.key ditetapkan ke "incident_host_id" dan kolom log incident.host_ids dipetakan ke kolom UDM security_result.detection_fields.value.	target.asset_id Jika nilai kolom log destination_asset.id tidak kosong, kolom UDM target.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{destination_asset.id}, dengan %{destination_asset.id} diganti dengan nilai kolom log destination_asset.id. Jika nilai kolom log incident.host_ids.0 tidak kosong, kolom log incident.host_ids.0 akan dipetakan ke kolom UDM security_result.detection_fields.incident_host_id. Jika nilai kolom log destination.usb_combined_id tidak kosong, kolom log destination.usb_combined_id akan dipetakan ke kolom UDM target.asset.attribute.labels.destination_usb_combined_id. Jika tidak, jika nilai kolom log incident.host_ids.0 tidak kosong, kolom UDM target.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{incident.host_ids.0}, dengan %{incident.host_ids.0} diganti dengan nilai kolom log incident.host_ids.0. Jika nilai kolom log destination.usb_combined_id tidak kosong, kolom log destination.usb_combined_id akan dipetakan ke kolom UDM target.asset.attribute.labels.destination_usb_combined_id. Jika tidak, jika nilai kolom log destination.usb_combined_id tidak kosong, kolom UDM target.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{destination.usb_combined_id}, dengan %{destination.usb_combined_id} diganti dengan nilai kolom log destination.usb_combined_id. Lakukan iterasi melalui kolom log incident.host_ids jika nilai index tidak sama dengan "0", maka kolom UDM security_result.detection_fields.key ditetapkan ke "incident_host_ids" dan kolom log incident.host_ids dipetakan ke kolom UDM security_result.detection_fields.value.
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id Lakukan iterasi melalui kolom log incident.host_ids jika nilai index sama dengan "0", maka kolom UDM target.asset.asset_id ditetapkan ke nilai yang dihasilkan dari template CS:%{incident.host_ids}, dengan %{incident.host_ids} diganti dengan nilai kolom log incident.host_ids.	target.asset.asset_id Jika nilai kolom log destination_asset.id tidak kosong, kolom UDM target.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{destination_asset.id}, dengan %{destination_asset.id} diganti dengan nilai kolom log destination_asset.id. Jika tidak, jika nilai kolom log incident.host_ids.0 tidak kosong, kolom UDM target.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{incident.host_ids.0}, dengan %{incident.host_ids.0} diganti dengan nilai kolom log incident.host_ids.0. Jika tidak, jika nilai kolom log destination.usb_combined_id tidak kosong, kolom UDM target.asset.asset_id akan ditetapkan ke nilai yang dihasilkan dari template CS:%{destination.usb_combined_id}, dengan %{destination.usb_combined_id} diganti dengan nilai kolom log destination.usb_combined_id.
entities.file_name	target.process.file.names Melakukan iterasi melalui kolom log entities.file_name Kolom log entities.file_name dipetakan ke kolom UDM target.process.file.names.	security_result.detection_fields[entities_file_name] Lakukan iterasi melalui kolom log entities.file_name jika nilai kolom log entities.file_name tidak kosong, maka kolom log entities.file_name dipetakan ke kolom UDM security_result.detection_fields.entities_file_name.
entities.image_file_name	target.process.file.full_path Lakukan iterasi melalui kolom log entities.image_file_name jika nilai index sama dengan 0, maka kolom log entities.image_file_name dipetakan ke kolom UDM target.process.file.full_path. Jika tidak, kolom log entities.image_file_name akan dipetakan ke kolom UDM security_result.detection_fields.entities_image_file_name.	security_result.detection_fields[entities_image_file_name] Lakukan iterasi melalui kolom log entities.image_file_name jika nilai kolom log entities.image_file_name tidak kosong, maka kolom log entities.image_file_name dipetakan ke kolom UDM security_result.detection_fields.entities_image_file_name.
entities.process	target.process.pid Lakukan iterasi melalui kolom log entities.process jika nilai index sama dengan 0, maka kolom log entities.process dipetakan ke kolom UDM target.process.pid. Jika tidak, kolom log entities.process akan dipetakan ke kolom UDM security_result.detection_fields.entities_process.	security_result.detection_fields[entities_process] Lakukan iterasi melalui kolom log entities.process jika nilai kolom log entities.process tidak kosong, maka kolom log entities.process dipetakan ke kolom UDM security_result.detection_fields.entities_process.
entities.sha256	target.process.file.sha256 Lakukan iterasi melalui kolom log entities.sha256 jika nilai index sama dengan 0, maka kolom log entities.sha256 dipetakan ke kolom UDM target.process.file.sha256. Jika tidak, kolom log entities.sha256 akan dipetakan ke kolom UDM security_result.detection_fields.entities_sha256.	security_result.detection_fields[entities_sha256] Lakukan iterasi melalui kolom log entities.sha256 jika nilai kolom log entities.sha256 tidak kosong, maka kolom log entities.sha256 dipetakan ke kolom UDM security_result.detection_fields.entities_sha256.
entities.username	target.user.user_display_name Lakukan iterasi melalui kolom log entities.username jika nilai index sama dengan 0, maka kolom log entities.username dipetakan ke kolom UDM target.user.user_display_name. Jika tidak, kolom log entities.username akan dipetakan ke kolom UDM security_result.detection_fields.entities_username.	security_result.detection_fields[entities_username] Lakukan iterasi melalui kolom log entities.username jika nilai kolom log entities.username tidak kosong, maka kolom log entities.username dipetakan ke kolom UDM security_result.detection_fields.entities_username.
application_name, destination.name	target.application	target.application Jika nilai kolom log destination.name tidak kosong, kolom log destination.name akan dipetakan ke kolom UDM target.application. Jika nilai kolom log application_name tidak kosong, kolom log application_name akan dipetakan ke kolom UDM security_result.detection_fields[application_name]. Jika tidak, jika nilai kolom log application_name tidak kosong, maka kolom log application_name akan dipetakan ke kolom UDM target.application.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip Lakukan iterasi melalui kolom log network_info jika nilai kolom log network_info.local_address tidak kosong, lalu Jika nilai kolom log network_infonilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_info.local_address dipetakan ke kolom UDM target.ip. Jika tidak, jika nilai kolom log network_info nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka Kolom log network_info.local_address dipetakan ke kolom UDM principal.ip. Jika tidak, kolom log network_info.local_address akan dipetakan ke kolom UDM security_result.detection_fields.network_info_local_address.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip Lakukan iterasi melalui kolom log network_info jika nilai kolom log network_info.local_address tidak kosong, lalu Jika nilai kolom log network_infonilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_info.local_address dipetakan ke kolom UDM target.asset.ip. Jika tidak, jika nilai kolom log network_info nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_info.local_address dipetakan ke kolom UDM principal.asset.ip. Jika tidak, kolom log network_info.local_address akan dipetakan ke kolom UDM security_result.detection_fields.network_info_local_address.
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol Lakukan iterasi melalui kolom log network_info.protocol jika nilai index sama dengan "0", maka kolom log network_info.protocol dipetakan ke kolom UDM network.ip_protocol. Jika tidak, kolom log network_info.protocol akan dipetakan ke kolom UDM security_result.detection_fields.network_info_protocol.
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path Jika nilai kolom log unexpected_dynamic_library_loaded.0.target_file_name tidak kosong, kolom log unexpected_dynamic_library_loaded.0.target_file_name akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log harmful_app_image_filename tidak kosong, kolom log harmful_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.harmful_app_image_filename. Jika nilai kolom log sideloaded_app_image_filename tidak kosong, kolom log sideloaded_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.sideloaded_app_image_filename. Jika nilai kolom log duplicated_app_image_filename tidak kosong, kolom log duplicated_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.duplicated_app_image_filename. Jika nilai kolom log debuggable_app_image_filename tidak kosong, kolom log debuggable_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.debuggable_app_image_filename. Jika nilai kolom log unexpected_files.0 tidak kosong, kolom log unexpected_files.0 akan dipetakan ke kolom UDM security_result.detection_fields.unexpected_files. Jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.app_image_filename. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log harmful_app_image_filename tidak kosong, maka kolom log harmful_app_image_filename dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log sideloaded_app_image_filename tidak kosong, kolom log sideloaded_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.sideloaded_app_image_filename. Jika nilai kolom log duplicated_app_image_filename tidak kosong, kolom log duplicated_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.duplicated_app_image_filename. Jika nilai kolom log debuggable_app_image_filename tidak kosong, kolom log debuggable_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.debuggable_app_image_filename. Jika nilai kolom log unexpected_files.0 tidak kosong, kolom log unexpected_files.0 akan dipetakan ke kolom UDM security_result.detection_fields.unexpected_files. Jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.app_image_filename. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log sideloaded_app_image_filename tidak kosong, kolom log sideloaded_app_image_filename akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log duplicated_app_image_filename tidak kosong, kolom log duplicated_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.duplicated_app_image_filename. Jika nilai kolom log debuggable_app_image_filename tidak kosong, kolom log debuggable_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.debuggable_app_image_filename. Jika nilai kolom log unexpected_files.0 tidak kosong, kolom log unexpected_files.0 akan dipetakan ke kolom UDM security_result.detection_fields.unexpected_files. Jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.app_image_filename. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log duplicated_app_image_filename tidak kosong, kolom log duplicated_app_image_filename akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log debuggable_app_image_filename tidak kosong, kolom log debuggable_app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.debuggable_app_image_filename. Jika nilai kolom log unexpected_files.0 tidak kosong, kolom log unexpected_files.0 akan dipetakan ke kolom UDM security_result.detection_fields.unexpected_files. Jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.app_image_filename. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log debuggable_app_image_filename tidak kosong, kolom log debuggable_app_image_filename akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log unexpected_files.0 tidak kosong, kolom log unexpected_files.0 akan dipetakan ke kolom UDM security_result.detection_fields.unexpected_files. Jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.app_image_filename. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log unexpected_files.0 tidak kosong, kolom log unexpected_files.0 akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM security_result.detection_fields.app_image_filename. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log app_image_filename tidak kosong, kolom log app_image_filename akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_apps_image_filename. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log suspicious_apps.0.image_filename tidak kosong, kolom log suspicious_apps.0.image_filename akan dipetakan ke kolom UDM target.file.full_path. Jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Jika tidak, jika nilai kolom log suspicious_activities_apps.0.image_filename tidak kosong, kolom log suspicious_activities_apps.0.image_filename akan dipetakan ke kolom UDM target.file.full_path.
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application Lakukan iterasi melalui kolom log intrusive_package jika nilai index sama dengan "0", maka kolom log intrusive_package.target_package_name dipetakan ke kolom UDM target.application. Jika tidak, kolom UDM security_result.detection_fields.key ditetapkan ke "intrusive_package_target_package_name" dan kolom log intrusive_package.target_package_name dipetakan ke kolom UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_package_target_package_name] Lakukan iterasi melalui kolom log intrusive_package jika nilai kolom log intrusive_package.target_package_name tidak kosong, maka kolom log intrusive_package.target_package_name dipetakan ke kolom UDM security_result.detection_fields.intrusive_package_target_package_name.
intrusive_process.target_process_name	target.process.file.names Lakukan iterasi melalui kolom log intrusive_process jika nilai index sama dengan "0", maka kolom log intrusive_process.target_process_name dipetakan ke kolom UDM target.process.file.names. Jika tidak, Kolom UDM security_result.detection_fields.key ditetapkan ke "intrusive_process_target_process_name" dan Kolom log intrusive_process.target_process_name dipetakan ke kolom UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_process_target_process_name] Lakukan iterasi melalui kolom log intrusive_process jika nilai kolom log intrusive_process.target_process_name tidak kosong, maka kolom log intrusive_process.target_process_name dipetakan ke kolom UDM security_result.detection_fields.intrusive_process_target_process_name.
intrusive_process.target_process_path	target.process.file.full_path Lakukan iterasi melalui kolom log intrusive_process jika nilai index sama dengan "0", maka kolom log intrusive_process.target_process_path dipetakan ke kolom UDM target.process.file.full_path. Jika tidak, Kolom UDM security_result.detection_fields.key ditetapkan ke "intrusive_process_target_process_path" dan Kolom log intrusive_process.target_process_path dipetakan ke kolom UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_process_target_process_path] Lakukan iterasi melalui kolom log intrusive_process jika nilai kolom log intrusive_process.target_process_path tidak kosong, maka kolom log intrusive_process.target_process_path dipetakan ke kolom UDM security_result.detection_fields.intrusive_process_target_process_path.
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port Lakukan iterasi melalui kolom log network_info jika nilai index sama dengan "0", lalu Jika nilai kolom log network_info.local_port tidak kosong, lalu Jika nilai kolom log network_infonilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, lalu Kolom log network_info.local_port dipetakan ke kolom UDM target.port. Jika tidak, jika nilai kolom log network_info nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_info.local_port dipetakan ke kolom UDM principal.port. Jika tidak, kolom log network_info.local_port akan dipetakan ke kolom UDM security_result.detection_fields.network_info_local_port. Jika tidak, jika nilai kolom log network_info.local_port tidak kosong, maka Jika nilai kolom log network_info nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka Kolom log network_info.local_port dipetakan ke kolom UDM target.asset.attribute.labels.network_info_local_port. Jika tidak, jika nilai kolom log network_infonilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, kolom log network_info.local_port akan dipetakan ke kolom UDM principal.asset.attribute.labels.network_info_local_port. Jika tidak, kolom log network_info.local_port akan dipetakan ke kolom UDM security_result.detection_fields.network_info_local_port.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip Lakukan iterasi melalui kolom log network_info jika nilai kolom log network_info.remote_address tidak kosong, lalu Jika nilai kolom log network_infonilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_info.remote_address dipetakan ke kolom UDM principal.ip. Jika tidak, jika nilai kolom log network_info nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_info.remote_address dipetakan ke kolom UDM target.ip. Jika tidak, kolom log network_info.remote_address akan dipetakan ke kolom UDM security_result.detection_fields.network_info_remote_address.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip Lakukan iterasi melalui kolom log network_info jika nilai kolom log network_info.remote_address tidak kosong, lalu Jika nilai kolom log network_infonilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)inbound, maka kolom log network_info.remote_address dipetakan ke kolom UDM principal.asset.ip. Jika tidak, jika nilai kolom log network_info nilai kolom log connection_direction cocok dengan pola ekspresi reguler: (?i)outbound, maka kolom log network_info.remote_address dipetakan ke kolom UDM target.asset.ip. Jika tidak, kolom log network_info.remote_address akan dipetakan ke kolom UDM security_result.detection_fields.network_info_remote_address.
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application Lakukan iterasi melalui kolom log suspicious_activities_apps jika nilai index sama dengan "0", maka Kolom log suspicious_activities_apps.app_label dipetakan ke kolom UDM target.application. Jika tidak, kolom UDM security_result.detection_fields.key ditetapkan ke "suspicious_activities_apps_app_label" dan kolom log suspicious_activities_apps.app_label dipetakan ke kolom UDM security_result.detection_fields.value.	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application Lakukan iterasi melalui kolom log suspicious_apps jika nilai index sama dengan "0", maka kolom log suspicious_apps.app_label dipetakan ke kolom UDM target.application. Jika tidak, Kolom UDM security_result.detection_fields.key ditetapkan ke "suspicious_apps_app_label" dan Kolom log suspicious_apps.app_label dipetakan ke kolom UDM security_result.detection_fields.value.	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 Lakukan iterasi melalui kolom log suspicious_apps jika nilai index sama dengan "0", maka kolom log suspicious_apps.certificate_thumbprints_sha1 dipetakan ke kolom UDM target.file.sha1. Jika tidak, kolom UDM security_result.detection_fields.key akan ditetapkan ke "suspicious_apps_certificate_thumbprints_sha1" dan kolom log suspicious_apps.certificate_thumbprints_sha1 akan dipetakan ke kolom UDM security_result.detection_fields.value.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 Lakukan iterasi melalui kolom log suspicious_apps jika nilai index sama dengan "0", maka kolom log suspicious_apps.certificate_thumbprints_sha256 dipetakan ke kolom UDM target.file.sha256. Jika tidak, kolom UDM security_result.detection_fields.key akan ditetapkan ke "suspicious_apps_certificate_thumbprints_sha256" dan kolom log suspicious_apps.certificate_thumbprints_sha256 akan dipetakan ke kolom UDM security_result.detection_fields.value.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name Lakukan iterasi melalui kolom log system_partition_altered jika nilai index sama dengan "0", maka kolom log system_partition_altered.volume_mount_point dipetakan ke kolom UDM target.resource.name. Jika tidak, kolom log system_partition_altered.volume_mount_point akan dipetakan ke kolom UDM target.resource_ancestors.name.	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type Lakukan iterasi melalui kolom log system_partition_altered jika nilai kolom log system_partition_altered.volume_mount_point tidak kosong, lalu Jika nilai index sama dengan "0", maka Kolom UDM target.resource.resource_type ditetapkan ke "VOLUME". Jika tidak, kolom UDM target.resource_ancestors.resource_type akan ditetapkan ke "VOLUME".
system_partition_altered.volume_type	target.resource.resource_subtype Lakukan iterasi melalui kolom log system_partition_altered jika nilai index sama dengan "0", maka Kolom log system_partition_altered.volume_type dipetakan ke kolom UDM target.resource.resource_subtype. Jika tidak, kolom log system_partition_altered.volume_type akan dipetakan ke kolom UDM target.resource_ancestors.resource_subtype.	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name Melakukan iterasi melalui kolom log system_updates_blocked_by_dns Kolom log system_updates_blocked_by_dns.domain_name dipetakan ke kolom UDM network.dns.questions.name.	about.domain.name Lakukan iterasi melalui kolom log system_updates_blocked_by_dns Kolom log system_updates_blocked_by_dns.domain_name dipetakan ke kolom UDM about.domain.name.
system_updates_blocked_by_filesystem.file_name	target.file.names Melakukan iterasi melalui kolom log system_updates_blocked_by_filesystem Kolom log system_updates_blocked_by_filesystem.file_name dipetakan ke kolom UDM target.file.names.	about.file.full_path Melakukan iterasi melalui kolom log system_updates_blocked_by_filesystem Kolom log system_updates_blocked_by_filesystem.file_name dipetakan ke kolom UDM about.file.full_path.
system_updates_blocked_by_http.url	target.url Jika nilai kolom log url kosong, maka Lakukan iterasi melalui kolom log system_updates_blocked_by_http jika nilai index sama dengan "0", maka Kolom log system_updates_blocked_by_http.url dipetakan ke kolom UDM target.url. Jika tidak, kolom UDM security_result.detection_fields.key akan ditetapkan ke "system_updates_blocked_by_http_url" dan kolom log system_updates_blocked_by_http.url akan dipetakan ke kolom UDM security_result.detection_fields.value.	about.url Lakukan iterasi melalui kolom log system_updates_blocked_by_http Kolom log system_updates_blocked_by_http.url dipetakan ke kolom UDM about.url.
threatgraph_indicators.process_id	target.process.pid Lakukan iterasi melalui kolom log threatgraph_indicators jika nilai index sama dengan "0", maka kolom log threatgraph_indicators.process_id dipetakan ke kolom UDM target.process.pid. Jika tidak, jika nilai kolom log threatgraph_indicators.process_id tidak kosong, kolom log threatgraph_indicators.process_id akan dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicators_process_id.	security_result.detection_fields[threatgraph_indicators_process_id] Lakukan iterasi melalui kolom log threatgraph_indicators jika nilai kolom log threatgraph_indicators.process_id tidak kosong, maka kolom log threatgraph_indicators.process_id dipetakan ke kolom UDM security_result.detection_fields.threatgraph_indicators_process_id.
agent_id	principal.asset.attribute.labels[agent_id] Jika nilai kolom log device.device_id tidak kosong atau nilai kolom log mdm_device_id tidak kosong atau nilai kolom log host_id tidak kosong, maka Jika nilai kolom log agent_id tidak kosong, maka Kolom log agent_id dipetakan ke kolom UDM principal.asset.attribute.labels.agent_id.
event_timestamp, timestamp	metadata.event_timestamp Jika nilai kolom log timestamp tidak kosong, maka kolom log timestamp akan dipetakan ke kolom UDM metadata.event_timestamp.	metadata.event_timestamp Jika nilai kolom log event_timestamp tidak kosong, kolom log event_timestamp akan dipetakan ke kolom UDM metadata.event_timestamp. Jika nilai kolom log timestamp tidak kosong, maka kolom log timestamp dipetakan ke kolom UDM metadata.event_timestamp.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.