Raccogli i log di CrowdStrike Falcon

Versione parser: 33.0

Questo documento descrive come importare i log di CrowdStrike Falcon in Google Security Operations. Puoi importare diversi tipi di log di CrowdStrike Falcon. Questo documento descrive la configurazione specifica per ciascuno.

Per una panoramica generale dell'acquisizione dei dati in Google Security Operations, consulta Acquisizione dei dati in Google Security Operations.

Tipi di log CrowdStrike Falcon supportati

Google Security Operations supporta i seguenti tipi di log CrowdStrike Falcon tramite i parser con le seguenti etichette di importazione:

• Endpoint Detection and Response (EDR): CS_EDR. Questo parser analizza i dati di telemetria quasi in tempo reale di CrowdStrike Falcon Data Replicator (FDR), come l'accesso ai file e le modifiche al registro. In genere, i dati vengono acquisiti da un bucket S3 o bucket Cloud Storage.

• Rilevamenti: CS_DETECTS. Questo parser analizza gli eventi di riepilogo del rilevamento di CrowdStrike utilizzando l'API Detect. Sebbene sia correlato all'attività degli endpoint, CS_DETECTS fornisce riepiloghi di rilevamento di livello superiore rispetto alla telemetria non elaborata analizzata utilizzando CS_EDR.

  Nota: CrowdStrike ha ritirato l'endpoint "Detects". Ti consigliamo di utilizzare CS_ALERTS per importare i log di rilevamento.

• Avvisi: CS_ALERTS. Questo parser analizza gli avvisi di CrowdStrike utilizzando l'API Alerts. Il parser degli avvisi CrowdStrike supporta i seguenti tipi di prodotti:

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• Indicatori di compromissione (IoC): CS_IOC. Questo parser analizza gli IoC e gli indicatori di attacco (IOA) di CrowdStrike Threat Intelligence utilizzando CrowdStrike Chronicle Intel Bridge. Il parser degli indicatori di compromissione (IoC) di CrowdStrike supporta i seguenti tipi di indicatori:

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps consiglia di utilizzare i feed per CS_EDR, CS_DETECTS e CS_IOC per un'importazione completa dei dati da CrowdStrike.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Diritti di amministratore sull'istanza di CrowdStrike per installare il sensore CrowdStrike Falcon Host
• Tutti i sistemi nell'architettura di deployment sono configurati nel fuso orario UTC.
• Il dispositivo di destinazione utilizza un sistema operativo supportato
  • Deve essere un server a 64 bit
  • Microsoft Windows Server 2008 R2 SP1 è supportato per il sensore CrowdStrike Falcon Host versione 6.51 o successive.
  • Le versioni precedenti del sistema operativo devono supportare la firma del codice SHA-2.
• File account di servizio Google SecOps e ID cliente del team di assistenza Google SecOps

Configura i feed

Esistono due diversi punti di accesso per configurare i feed nella piattaforma Google SecOps:

• Impostazioni SIEM > Feed > Aggiungi nuovo feed
• Content Hub > Content Packs > Get Started

Nota: l'hub dei contenuti non è disponibile sulla piattaforma SIEM autonoma. Per eseguire l'upgrade, contatta il tuo rappresentante Google SecOps.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.

Importa i log di CrowdStrike Falcon

Questa sezione descrive come configurare l'importazione per i diversi tipi di log di CrowdStrike Falcon.

Importa i log EDR (CS_EDR)

Puoi importare i log di CrowdStrike Falcon EDR utilizzando uno dei seguenti metodi, a seconda di dove vuoi inviare i log da CrowdStrike:

• Amazon SQS: utilizza un feed Falcon Data Replicator.
• Amazon S3: utilizza un feed di Google Security Operations configurato per un bucket S3.
• Google Cloud Storage: CrowdStrike invia i log a un bucket Cloud Storage.

Scegli una delle seguenti procedure.

Opzione 1: importa i log EDR da Amazon SQS

Questo metodo utilizza CrowdStrike Falcon Data Replicator per inviare i log EDR a una coda Amazon SQS, che viene poi sottoposta a polling da Google Security Operations.

1. Fai clic sul pacchetto CrowdStrike.

2. Nel tipo di log CrowdStrike Falcon, specifica i valori per i seguenti campi:

   • Origine: Amazon SQS
   • Regione: la regione S3 associata all'URI.
   • Nome coda: il nome della coda SQS da cui leggere i dati di log.
   • URI S3: l'URI di origine del bucket S3.
   • Numero di conto: il numero di conto SQS.
   • ID chiave di accesso alla coda: ID chiave di accesso all'account di 20 caratteri. Ad esempio, AKIAOSFOODNN7EXAMPLE.
   • Chiave di accesso segreta della coda: chiave di accesso segreta di 40 caratteri. Ad esempio, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   • Opzione di eliminazione dell'origine: opzione per eliminare file e directory dopo il trasferimento dei dati.

   Opzioni avanzate

   • Nome del feed: un valore precompilato che identifica il feed.
   • Spazio dei nomi dell'asset: spazio dei nomi associato al feed.
   • Etichette di importazione: etichette applicate a tutti gli eventi di questo feed.

3. Fai clic su Crea feed.

Nota: l'hub dei contenuti non è disponibile sulla piattaforma SIEM autonoma. Per eseguire l'upgrade, contatta il tuo rappresentante Google SecOps.

Per ulteriori informazioni sulla configurazione di più feed per diversi tipi di log all'interno di questa famiglia di prodotti, consulta Configura i feed per prodotto.

Opzione 2: importa i log EDR da un bucket Amazon S3

Questo metodo prevede la configurazione di un feed di Google Security Operations per estrarre i log EDR direttamente da un bucket Amazon S3.

Per configurare un feed di importazione utilizzando un bucket S3:

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed di notizie.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Crowdstrike Falcon Logs.
5. In Tipo di origine, seleziona Amazon S3.
6. In Tipo di log, seleziona CrowdStrike Falcon.
7. In base al account di servizio e alla configurazione del bucket Amazon S3 che hai creato, specifica i valori per i seguenti campi:

   Campo	Descrizione
   region	URI della regione S3.
   S3 uri	URI di origine del bucket S3.
   uri is a	Tipo di oggetto a cui punta l'URI (ad esempio, file o cartella).
   source deletion option	Opzione per eliminare file e directory dopo il trasferimento dei dati.
   access key id	Chiave di accesso (stringa alfanumerica di 20 caratteri). Ad esempio, AKIAOSFOODNN7EXAMPLE.
   secret access key	Chiave di accesso segreta (stringa alfanumerica di 40 caratteri). Ad esempio, wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY.
   oauth client id	ID client OAuth pubblico.
   oauth client secret	Client secret OAuth 2.0.
   oauth secret refresh uri	URI di aggiornamento del client secret OAuth 2.0.
   asset namespace	Spazio dei nomi associato al feed.

8. Fai clic su Avanti, quindi su Invia.

Opzione 3: importa i log EDR da Cloud Storage

Puoi configurare CrowdStrike per inviare i log EDR a un bucket Cloud Storage e poi importare questi log in Google Security Operations utilizzando un feed. Questa procedura richiede il coordinamento con l'assistenza CrowdStrike.

1. Contatta l'assistenza CrowdStrike: apri un ticket di assistenza con CrowdStrike per attivare e configurare l'invio dei log EDR al tuo bucket Cloud Storage. Ti fornirà indicazioni sulle configurazioni richieste.

2. Crea e autorizza il bucket Cloud Storage:

   1. Nella console Google Cloud , crea un nuovo bucket Cloud Storage. Prendi nota del nome del bucket (ad esempio gs://my-crowdstrike-edr-logs/).
   2. Concedi le autorizzazioni in scrittura al account di servizio fornito da CrowdStrike. Segui le istruzioni dell'assistenza CrowdStrike.

3. Configura il feed Google SecOps:

   1. Nella tua istanza di Google SecOps, vai a Impostazioni > Feed e fai clic su Aggiungi nuovo.
   2. Inserisci un Nome feed descrittivo (ad esempio CS-EDR-GCS).

   3. In Tipo di origine, seleziona Google Cloud Storage V2.

      Nota: puoi utilizzare Google Cloud Storage basato su eventi V2 come Tipo di origine per ridurre al minimo la latenza.
      Nota: per i tipi di feed basati su eventi di Cloud Storage, configura un abbonamento Pub/Sub per Cloud Storage, come descritto in Configura Pub/Sub.

   4. In Tipo di log, seleziona CrowdStrike Falcon.

   5. Nella sezione account di servizio, fai clic su Ottieni service account. Copia l'indirizzo email univoco del account di servizio visualizzato.

   6. Nella console Google Cloud , vai al bucket Cloud Storage e concedi il ruolo IAM Storage Object Viewer all'indirizzo email del account di servizio che hai copiato. In questo modo, il feed può leggere i file di log.

   7. Torna alla pagina di configurazione del feed di Google SecOps.

   8. Inserisci l'URL del bucket di archiviazione (ad esempio, gs://my-crowdstrike-edr-logs/). Questo URL deve terminare con una barra (/).

   9. Per i tipi di feed Basato su eventi, fornisci il nome della sottoscrizione Pub/Sub (ad esempio projects/myproject/subscriptions/crowdstrike-edr-sub).

   10. Seleziona un'opzione di eliminazione dell'origine. Ti consigliamo di selezionare Non eliminare mai i file.

   11. Fai clic su Avanti, rivedi le impostazioni e poi fai clic su Invia.

4. Verifica l'importazione dei log: dopo che CrowdStrike ha confermato che i log vengono inviati, verifica la presenza di log in entrata in Google SecOps con il tipo di log CS_EDR.

Importa i log degli avvisi (CS_ALERTS)

Per importare gli avvisi di CrowdStrike Falcon, configura un feed che utilizza l'API CrowdStrike.

1. Nella console CrowdStrike Falcon:

   1. Accedi alla console CrowdStrike Falcon.
   2. Vai ad Assistenza e risorse > Risorse e strumenti > Client e chiavi API e fai clic su Crea client API.
   3. Inserisci un Nome client e una Descrizione.
   4. In Ambiti API, seleziona la casella Lettura per Avvisi.
   5. Fai clic su Crea. Prendi nota dei valori generati per Client ID (ID client), Client Secret (Client secret) e Base URL (URL di base).

2. In Google Security Operations:

   1. Vai a Impostazioni > Feed e fai clic su Aggiungi nuovo.
   2. Seleziona API di terze parti per Tipo di origine.
   3. Seleziona CrowdStrike Alerts API per Log type.

   4. Fai clic su Avanti e compila i seguenti campi utilizzando i valori del client API CrowdStrike:

      • Endpoint del token OAuth: ad esempio, https://api.us-2.crowdstrike.com/oauth2/token.
      • ID client OAuth
      • Client secret OAuth
      • URL di base: ad esempio api.us-2.crowdstrike.com.
      • Tipo di importazione: seleziona una delle seguenti opzioni:
        • Importa tutti gli avvisi: importa sia gli avvisi nuovi sia quelli esistenti che sono stati aggiornati.
        • Importa solo i nuovi avvisi: importa solo i nuovi avvisi.
      Nota: l'endpoint del token potrebbe non includere "us-2" nell'URL. Questo dipende dalla tua regione CrowdStrike. Utilizza l'URL di base corretto della console CrowdStrike.

   5. Fai clic su Avanti, quindi su Invia.

Importa i log dei rilevamenti (CS_DETECTS)

Nota: CrowdStrike ha ritirato l'endpoint "Detects". Ti consigliamo di utilizzare CS_ALERTS per importare i log di rilevamento.

Per importare i log di rilevamento di CrowdStrike Falcon, utilizza anche l'API CrowdStrike.

1. Nella console CrowdStrike Falcon:

   1. Accedi alla console CrowdStrike Falcon.
   2. Vai ad App di assistenza > Client e chiavi API.
   3. Crea una nuova coppia di chiavi client API. Questa coppia di chiavi deve disporre delle autorizzazioni READ per Detections.

2. In Google Security Operations:

   1. Vai a Impostazioni > Feed e fai clic su Aggiungi nuovo.
   2. Seleziona API di terze parti per Tipo di origine.
   3. Seleziona CrowdStrike Detection Monitoring per Tipo di log.
   4. Fai clic su Avanti, quindi su Invia. Ti verranno richieste le credenziali API che hai creato.

Importa i log IoC (CS_IOC)

Per importare i log degli indicatori di compromissione (IoC) da CrowdStrike, utilizza Google SecOps Intel Bridge.

1. Nella console CrowdStrike Falcon, crea una nuova coppia di chiavi client API. Questa coppia di chiavi deve disporre dell'autorizzazione READ per Indicators (Falcon Intelligence).
2. Configura Google SecOps Intel Bridge seguendo le istruzioni riportate in CrowdStrike to Google SecOps Intel Bridge.

3. Esegui i seguenti comandi Docker per inviare i log da CrowdStrike a Google SecOps. sa.json è il file del account di servizio Google SecOps.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. Una volta che il container è in esecuzione, i log IoC inizieranno a essere trasmessi in streaming a Google SecOps.

Se riscontri problemi con una di queste configurazioni, contatta il team di assistenza di Google SecOps.

Formati dei log di CrowdStrike supportati

Il parser CrowdStrike supporta i log in formato JSON.

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Differenze tra le mappature UDM CS_ALERTS

Nota: in questo elenco di differenze, il campo "Old UDM Mapping" (Mappatura UDM precedente) si riferisce alle release del parser CrowdStrike Alerts (CS_ALERTS) precedenti al 27 ottobre 2026. Le versioni rilasciate dopo il 27 ottobre 2026 sono incluse nel campo "New UDM Mapping (Nuova mappatura UDM).

Nota: anche il valore metadata.event_type per un evento può cambiare. Ogni tipo di evento UDM richiede la compilazione di campi UDM specifici. Se la nuova mappatura UDM non compila più un campo obbligatorio del tipo di evento assegnato in precedenza, l'analizzatore sintattico assegna un tipo di evento meno specifico, ad esempio il tipo di evento *_UNCATEGORIZED corrispondente o GENERIC_EVENT. Al contrario, se la nuova mappatura UDM compila tutti i campi obbligatori di un tipo di evento più specifico, il parser assegna quel tipo di evento più specifico. Esamina le regole, le ricerche e le dashboard che filtrano in base a metadata.event_type.

La tabella seguente elenca le differenze tra la vecchia mappatura UDM e la nuova mappatura UDM del parser CrowdStrike Alerts (CS_ALERTS).

Campo log	Nome del campo UDM precedente	Nome del nuovo campo UDM
source_account_domain, device.machine_domain, logon_domain	principal.domain.name Se il valore del campo di log source_account_domain non è vuoto, il campo di log source_account_domain viene mappato al campo UDM principal.domain.name. Altrimenti, se il valore del campo del log logon_domain non è vuoto, il campo del log logon_domain viene mappato al campo UDM principal.domain.name. Altrimenti, se il valore del campo di log device.machine_domain non è vuoto, il campo di log device.machine_domain viene mappato al campo UDM principal.domain.name.	principal.domain.name Se il valore del campo di log source_account_domain non è vuoto, il campo di log source_account_domain viene mappato al campo UDM principal.domain.name. Se il valore del campo di log device.machine_domain non è vuoto, il campo di log device.machine_domain viene mappato al campo UDM principal.user.attribute.labels.device_machine_domain. Se il valore del campo di log logon_domain non è vuoto, il campo di log logon_domain viene mappato al campo UDM principal.user.attribute.labels.logon_domain. Altrimenti, se il valore del campo di log device.machine_domain non è vuoto, il campo di log device.machine_domain viene mappato al campo UDM principal.domain.name. Se il valore del campo di log logon_domain non è vuoto, il campo di log logon_domain viene mappato al campo UDM principal.user.attribute.labels.logon_domain. Altrimenti, se il valore del campo di log logon_domain non è vuoto, il campo di log logon_domain viene mappato al campo UDM principal.domain.name.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM principal.hostname. Altrimenti, se il valore del campo di log computer_name non è vuoto, il campo di log computer_name viene mappato al campo UDM principal.hostname. Altrimenti, se il valore del campo di log host_name non è vuoto, il campo di log host_name viene mappato al campo UDM principal.hostname. Altrimenti, se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.hostname. Altrimenti, se il valore del campo di log device.hostname non è vuoto, il campo di log device.hostname viene mappato al campo UDM principal.hostname.	principal.hostname Se il valore del campo di log hostname non è vuoto, il campo di log hostname viene mappato al campo UDM principal.hostname. Se il valore del campo di log computer_name non è vuoto, il campo di log computer_name viene mappato al campo UDM principal.asset.attribute.labels.computer_name. Se il valore del campo di log host_name non è vuoto, il campo di log host_name viene mappato al campo UDM principal.asset.attribute.labels.host_name. Se il valore del campo di log host non è vuoto, il campo di log host viene mappato al campo UDM principal.asset.attribute.labels.host. Se il valore del campo di log device.hostname non è vuoto, il campo di log device_hostname viene mappato al campo UDM principal.asset.attribute.labels.device_hostname. Se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.attribute.labels.source_endpoint_host_name. Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_hostname. Altrimenti, se il valore del campo di log host_name non è vuoto, il campo di log host_name viene mappato al campo UDM principal.hostname. Se il valore del campo di log computer_name non è vuoto, il campo di log computer_name viene mappato al campo UDM principal.asset.attribute.labels.computer_name. Se il valore del campo di log host non è vuoto, il campo di log host viene mappato al campo UDM principal.asset.attribute.labels.host. Se il valore del campo di log device.hostname non è vuoto, il campo di log device_hostname viene mappato al campo UDM principal.asset.attribute.labels.device_hostname. Se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.attribute.labels.source_endpoint_host_name. Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM security_result.detection_fields[threatgraph_indicator_hostname]. Altrimenti, se il valore del campo di log computer_name non è vuoto, il campo di log computer_name viene mappato al campo UDM principal.hostname. Se il valore del campo di log host non è vuoto, il campo di log host viene mappato al campo UDM principal.asset.attribute.labels.host. Se il valore del campo di log device.hostname non è vuoto, il campo di log device.hostname viene mappato al campo UDM principal.asset.attribute.labels.device_hostname. Se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.attribute.labels.source_endpoint_host_name. Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_hostname. Altrimenti, se il valore del campo di log host non è vuoto, il campo di log host viene mappato al campo UDM principal.hostname. Se il valore del campo di log device.hostname non è vuoto, il campo di log device.hostname viene mappato al campo UDM principal.asset.attribute.labels.device_hostname. Se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.attribute.labels.source_endpoint_host_name. Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_hostname. Altrimenti, se il valore del campo del log device.hostname non è vuoto, il campo del log device.hostname viene mappato al campo UDM principal.hostname. Se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.attribute.labels.source_endpoint_host_name. Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_hostname. Altrimenti, se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.hostname. Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_hostname. Altrimenti, se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM principal.hostname.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname Se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log computer_name non è vuoto, il campo di log computer_name viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log host_name non è vuoto, il campo di log host_name viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log device.hostname non è vuoto, il campo di log device.hostname viene mappato al campo UDM principal.asset.hostname.	principal.asset.hostname Se il valore del campo di log hostname non è vuoto, il campo di log hostname viene mappato al campo UDM principal.asset.hostname. In caso contrario, se il valore del campo di log host_name non è vuoto, il campo di log host_name viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log computer_name non è vuoto, il campo di log computer_name viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log host non è vuoto, il campo di log host viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log device.hostname non è vuoto, il campo di log device.hostname viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log source_endpoint_host_name non è vuoto, il campo di log source_endpoint_host_name viene mappato al campo UDM principal.asset.hostname. Altrimenti, se il valore del campo di log threatgraph_indicators.0.hostname non è vuoto, il campo di log threatgraph_indicators.0.hostname viene mappato al campo UDM principal.asset.hostname.
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region Il campo di log location_country_code è mappato al campo UDM principal.location.country_or_region.	principal.location.country_or_region Se il valore del campo di log device_geo_location.country_name non è vuoto, il campo di log device_geo_location.country_name viene mappato al campo UDM principal.location.country_or_region. Se il valore del campo di log location_country_code non è vuoto, il campo di log location_country_code viene mappato al campo UDM security_result.detection_fields.location_country_code. Altrimenti, se il valore del campo di log location_country_code non è vuoto, il campo di log location_country_code viene mappato al campo UDM principal.location.country_or_region.
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name Se il valore del campo di log user_name non è vuoto, il campo di log user_name viene mappato al campo UDM principal.user.user_display_name. Altrimenti, se il valore del campo di log source_account_name non è vuoto, il campo di log source_account_name viene mappato al campo UDM principal.user.user_display_name.	principal.user.user_display_name Se il valore del campo di log user_name non è vuoto, il campo di log user_name viene mappato al campo UDM principal.user.user_display_name. Se il valore del campo di log source_account_name non è vuoto, il campo di log source_account_name viene mappato al campo UDM principal.user.attribute.labels.source_account_name. Se il valore del campo di log encrypted_by_username non è vuoto, il campo di log encrypted_by_username viene mappato al campo UDM principal.user.attribute.labels.encrypted_by_username. Se il valore del campo di log user_display_name non è vuoto, il campo di log user_display_name viene mappato al campo UDM principal.user.attribute.labels.user_display_name. Altrimenti, se il valore del campo di log source_account_name non è vuoto, il campo di log source_account_name viene mappato al campo UDM principal.user.user_display_name. Se il valore del campo di log encrypted_by_username non è vuoto, il campo di log encrypted_by_username viene mappato al campo UDM principal.user.attribute.labels.encrypted_by_username. Se il valore del campo di log user_display_name non è vuoto, il campo di log user_display_name viene mappato al campo UDM principal.user.attribute.labels.user_display_name. Altrimenti, se il valore del campo di log encrypted_by_username non è vuoto, il campo di log encrypted_by_username viene mappato al campo UDM principal.user.user_display_name. Se il valore del campo di log user_display_name non è vuoto, il campo di log user_display_name viene mappato al campo UDM principal.user.attribute.labels.user_display_name. Altrimenti, se il valore del campo del log user_display_name non è vuoto, il campo del log user_display_name viene mappato al campo UDM principal.user.user_display_name.
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid Se il valore del campo di log sid non è vuoto, il campo di log sid viene mappato al campo UDM principal.user.windows_sid. Se il valore del campo di log source_account_object_sid non è vuoto, il campo di log source_account_object_sid viene mappato al campo UDM principal.user.attribute.labels[source_account_object_sid]. Altrimenti, se il valore del campo di log source_account_object_sid non è vuoto, il campo di log source_account_object_sid viene mappato al campo UDM principal.user.windows_sid.
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal modello CS:%{threatgraph_indicators.0.host_id}, dove %{threatgraph_indicators.0.host_id} viene sostituito con il valore del campo di log threatgraph_indicators.0.host_id. Altrimenti, se il valore del campo di log host_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{host_id}, dove %{host_id} viene sostituito con il valore del campo di log host_id. Altrimenti, se il valore del campo di log agent_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{agent_id}, dove %{agent_id} viene sostituito con il valore del campo di log agent_id. Altrimenti, se il valore del campo di log mdm_device_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{mdm_device_id}, dove %{mdm_device_id} viene sostituito con il valore del campo di log mdm_device_id. Altrimenti, se il valore del campo di log device.device_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{device.device_id}, dove %{device.device_id} viene sostituito con il valore del campo di log device.device_id.	principal.asset_id, about.asset_id Se il valore del campo di log agent_id non è vuoto, il valore del campo di log agent_id viene suddiviso in più valori utilizzando il separatore |. Esegui l'iterazione dei valori agent_id suddivisi: se il valore index è uguale a "0", il campo UDM principal.asset_id viene impostato su un valore generato dal modello CS:%{agent_id}, dove %{agent_id} viene sostituito con il valore agent_id suddiviso. In caso contrario, il campo UDM about.asset_id viene impostato su un valore generato dal modello CS:%{agent_id}, dove %{agent_id} viene sostituito con il valore agent_id suddiviso. Se il valore del campo di log source_asset.id non è vuoto, il campo di log source_asset.id viene mappato al campo UDM principal.asset.attribute.labels.source_asset_id. Se il valore del campo di log host_id non è vuoto, il campo di log host_id viene mappato al campo UDM principal.asset.attribute.labels.host_id. Se il valore del campo di log device.device_id non è vuoto, il campo di log device.device_id viene mappato al campo UDM principal.asset.attribute.labels.device_id. Se il valore del campo di log mdm_device_id non è vuoto, il campo di log mdm_device_id viene mappato al campo UDM principal.asset.attribute.labels.mdm_device_id. Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo di log threatgraph_indicators.0.host_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_host_id. Altrimenti, se il valore del campo di log source_asset.id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{source_asset.id}, dove %{source_asset.id} viene sostituito con il valore del campo di log source_asset.id. Se il valore del campo di log host_id non è vuoto, il campo di log host_id viene mappato al campo UDM principal.asset.attribute.labels.host_id. Se il valore del campo di log device.device_id non è vuoto, il campo di log device.device_id viene mappato al campo UDM principal.asset.attribute.labels.device_id. Se il valore del campo di log mdm_device_id non è vuoto, il campo di log mdm_device_id viene mappato al campo UDM principal.asset.attribute.labels.mdm_device_id. Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo di log threatgraph_indicators.0.host_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_host_id. Altrimenti, se il valore del campo di log host_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{host_id}, dove %{host_id} viene sostituito con il valore del campo di log host_id. Se il valore del campo di log device.device_id non è vuoto, il campo di log device.device_id viene mappato al campo UDM principal.asset.attribute.labels.device_id. Se il valore del campo di log mdm_device_id non è vuoto, il campo di log mdm_device_id viene mappato al campo UDM principal.asset.attribute.labels.mdm_device_id. Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo di log threatgraph_indicators.0.host_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_host_id. Altrimenti, se il valore del campo di log device.device_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{device.device_id}, dove %{device.device_id} viene sostituito con il valore del campo di log device.device_id. Se il valore del campo di log mdm_device_id non è vuoto, il campo di log mdm_device_id viene mappato al campo UDM principal.asset.attribute.labels.mdm_device_id. Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo di log threatgraph_indicators.0.host_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_host_id. Altrimenti, se il valore del campo di log mdm_device_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{mdm_device_id}, dove %{mdm_device_id} viene sostituito con il valore del campo di log mdm_device_id. Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo di log threatgraph_indicators.0.host_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicator_host_id. Altrimenti, se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo UDM principal.asset_id viene impostato su un valore generato dal template CS:%{threatgraph_indicators.0.host_id}, dove %{threatgraph_indicators.0.host_id} viene sostituito con il valore del campo di log threatgraph_indicators.0.host_id.
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id Se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{threatgraph_indicators.0.host_id}, dove %{threatgraph_indicators.0.host_id} viene sostituito con il valore del campo di log threatgraph_indicators.0.host_id. Altrimenti, se il valore del campo di log host_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{host_id}, dove %{host_id} viene sostituito con il valore del campo di log host_id. Altrimenti, se il valore del campo di log agent_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{agent_id}, dove %{agent_id} viene sostituito con il valore del campo di log agent_id. Altrimenti, se il valore del campo di log mdm_device_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{mdm_device_id}, dove %{mdm_device_id} viene sostituito con il valore del campo di log mdm_device_id. Altrimenti, se il valore del campo di log device.device_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{device.device_id}, dove %{device.device_id} viene sostituito con il valore del campo di log device.device_id.	principal.asset.asset_id, about.asset.asset_id Se il valore del campo di log agent_id non è vuoto, viene suddiviso in più valori utilizzando il separatore |.agent_id Esegui l'iterazione dei valori agent_id suddivisi: se il valore index è uguale a "0", il campo UDM principal.asset.asset_id viene impostato su un valore generato dal modello CS:%{agent_id}, dove %{agent_id} viene sostituito con il valore agent_id suddiviso. In caso contrario, il campo UDM about.asset.asset_id viene impostato su un valore generato dal modello CS:%{agent_id}, dove %{agent_id} viene sostituito con il valore agent_id suddiviso. Altrimenti, se il valore del campo di log source_asset.id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{source_asset.id}, dove %{source_asset.id} viene sostituito con il valore del campo di log source_asset.id. Altrimenti, se il valore del campo di log host_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{host_id}, dove %{host_id} viene sostituito con il valore del campo di log host_id. Altrimenti, se il valore del campo di log device.device_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{device.device_id}, dove %{device.device_id} viene sostituito con il valore del campo di log device.device_id. Altrimenti, se il valore del campo di log mdm_device_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{mdm_device_id}, dove %{mdm_device_id} viene sostituito con il valore del campo di log mdm_device_id. Altrimenti, se il valore del campo di log threatgraph_indicators.0.host_id non è vuoto, il campo UDM principal.asset.asset_id viene impostato su un valore generato dal template CS:%{threatgraph_indicators.0.host_id}, dove %{threatgraph_indicators.0.host_id} viene sostituito con il valore del campo di log threatgraph_indicators.0.host_id.
cid, agent_id, process_id	target.process.product_specific_process_id Se il valore del campo di log cid non è vuoto, il valore del campo di log agent_id non è vuoto e il valore del campo di log process_id non è vuoto, il campo UDM target.process.product_specific_process_id viene impostato su un valore generato dal template PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, dove %{cid}, %{agent_id} e %{process_id} vengono sostituiti rispettivamente con i valori dei campi di log cid, agent_id e process_id.	target.process.product_specific_process_id, about.process.product_specific_process_id Se il valore del campo di log agent_id non è vuoto, il valore del campo di log agent_id viene suddiviso in più valori utilizzando il separatore |. Esegui l'iterazione dei valori agent_id suddivisi: se il valore index è uguale a "0", se il valore del campo di log cid non è vuoto, se il valore agent_id suddiviso non è vuoto e se il valore del campo di log process_id non è vuoto, il campo UDM target.process.product_specific_process_id viene impostato su un valore generato dal template PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, dove %{agent_id} viene sostituito con il valore agent_id suddiviso e %{cid} e %{process_id} vengono sostituiti rispettivamente con i valori dei campi di log cid e process_id. In caso contrario, se il valore del campo di log cid non è vuoto, il valore agent_id suddiviso non è vuoto e il valore del campo di log process_id non è vuoto, il campo UDM about.process.product_specific_process_id viene impostato su un valore generato dal template PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}, dove %{agent_id} viene sostituito con il valore agent_id suddiviso e %{cid} e %{process_id} vengono sostituiti rispettivamente con i valori dei campi di log cid e process_id.
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details Se il valore del campo di log product è uguale a "epp", se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log incident.score non è vuoto, il campo di log incident.score viene mappato al campo UDM security_result.severity_details. Altrimenti, se il valore del campo di log product è uguale a "mobile", se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log incident.score non è vuoto, il campo di log incident.score viene mappato al campo UDM security_result.severity_details. Altrimenti, se il valore del campo di log product è uguale a "xdr", se il valore del campo di log incident.score non è vuoto, il campo di log incident.score viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details.	security_result.severity_details Se il valore del campo di log product è uguale a "epp", se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log incident.score non è vuoto, il campo di log incident.score viene mappato al campo UDM security_result.severity_details. Altrimenti, se il valore del campo di log product è uguale a "mobile", se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log incident.score non è vuoto, il campo di log incident.score viene mappato al campo UDM security_result.severity_details. Altrimenti se ilproduct Il valore del campo log può contenere uno dei seguenti valori: xdr automated-lead-context , quindi se il valore del campo di log incident.score non è vuoto, il campo di log incident.score viene mappato al campo UDM security_result.severity_details. In caso contrario, se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details. Altrimenti, se il valore del campo di log severity non è vuoto, il campo di log severity viene mappato al campo UDM security_result.severity_details.
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name Esegui l'iterazione del campo di log entities.domain se il valore index è uguale a 0, quindi il campo di log entities.domain viene mappato al campo UDM target.domain.name. In caso contrario, il campo di log entities.domain viene mappato al campo UDM security_result.detection_fields.entities_domain.	target.domain.name Se il valore del campo di log saas_domain non è vuoto, il campo di log saas_domain viene mappato al campo UDM target.domain.name. Se il valore del campo di log target_account_domain non è vuoto, il campo di log target_account_domain viene mappato al campo UDM target.user.attribute.labels.target_account_domain. Se il valore del campo di log entities.domain.0 non è vuoto, il campo di log entities.domain.0 viene mappato al campo UDM target.user.attribute.labels.entities_domain. Se il valore del campo di log domain_name non è vuoto, il campo di log domain_name viene mappato al campo UDM target.user.attribute.labels.domain_name. Altrimenti, se il valore del campo di log target_account_domain non è vuoto, il campo di log target_account_domain viene mappato al campo UDM target.domain.name. Se il valore del campo di log entities.domain.0 non è vuoto, il campo di log entities.domain.0 viene mappato al campo UDM target.user.attribute.labels.entities_domain. Se il valore del campo di log domain_name non è vuoto, il campo di log domain_name viene mappato al campo UDM target.user.attribute.labels.domain_name. Altrimenti, se il valore del campo di log entities.domain.0 non è vuoto, il campo di log entities.domain.0 viene mappato al campo UDM target.domain.name. Se il valore del campo di log domain_name non è vuoto, il campo di log domain_name viene mappato al campo UDM target.user.attribute.labels.domain_name. Altrimenti, se il valore del campo di log domain_name non è vuoto, il campo di log domain_name viene mappato al campo UDM target.domain.name.
entities.domain	security_result.detection_fields[entities_domain] Esegui l'iterazione del campo di log entities.domain se il valore index non è uguale a "0", quindi il campo di log entities.domain viene mappato al campo UDM security_result.detection_fields.entities_domain.	target.user.attribute.labels[entities_domain] Esegui l'iterazione del campo di log entities.domain se il valore index non è uguale a "0", quindi il campo di log entities.domain viene mappato al campo UDM target.user.attribute.labels.entities_domain.
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses Se il valore del campo di log target_account_upn non è vuoto, se il valore del campo di log target_account_upn corrisponde al pattern dell'espressione regolare: (^.+@.+$), il campo di log target_account_upn viene mappato al campo UDM target.user.email_addresses. In caso contrario, il campo di log target_account_upn viene mappato al campo UDM target.user.attribute.labels.target_account_upn.
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip Esegui l'iterazione del campo di log network_accesses se il valore del campo di log network_accesses.local_address non è vuoto, quindi se il valore del campo di log network_accesses connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_accesses.local_address viene mappato al campo UDM target.ip. In caso contrario, se il valore del campo di log network_accesses il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_accesses.local_address viene mappato al campo UDM principal.ip. In caso contrario, il campo di log network_accesses.local_address viene mappato al campo UDM security_result.detection_fields.network_accesses_local_address.
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip Esegui l'iterazione del campo di log network_accesses se il valore del campo di log network_accesses.local_address non è vuoto, quindi se il valore del campo di log network_accesses connection_directioncorrisponde al pattern dell'espressione regolare (?i)inbound, il campo di log network_accesses.local_address viene mappato al campo UDM target.asset.ip. In caso contrario, se il valore del campo di log network_accesses il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_accesses.local_address viene mappato al campo UDM principal.asset.ip. In caso contrario, il campo di log network_accesses.local_address viene mappato al campo UDM security_result.detection_fields.network_accesses_local_address.
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port Esegui l'iterazione del campo di log network_accesses se il valore index è uguale a "0", quindi se il valore del campo di log network_accesses.local_port non è vuoto, se il valore del campo di log network_accesses connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_accesses.local_port viene mappato al campo UDM target.port. In caso contrario, se il valore del campo di log network_accesses connection_directioncorrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_accesses.local_port viene mappato al campo UDM principal.port. In caso contrario, il campo di log network_accesses.local_port viene mappato al campo UDM security_result.detection_fields.network_accesses_local_port. Altrimenti, se il valore del campo di log network_accesses.local_port non è vuoto, se il valore del campo di log network_accesses, il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_accesses.local_port viene mappato al campo UDM target.asset.attribute.labels.network_accesses_local_port. In caso contrario, se il valore del campo di log network_accessesil valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_accesses.local_port viene mappato al campo UDM principal.asset.attribute.labels.network_accesses_local_port. In caso contrario, il campo di log network_accesses.local_port viene mappato al campo UDM security_result.detection_fields.network_accesses_local_port.
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol Esegui l'iterazione del campo di log network_accesses.protocol se il valore index è uguale a "0", quindi il campo di log network_accesses.protocol viene mappato al campo UDM network.ip_protocol. In caso contrario, il campo del log network_accesses.protocol viene mappato al campo UDM security_result.detection_fields.network_accesses_protocol.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip Esegui l'iterazione del campo di log network_accesses se il valore del campo di log network_accesses.remote_address non è vuoto, quindi se il valore del campo di log network_accesses connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_accesses.remote_address viene mappato al campo UDM principal.ip. In caso contrario, se il valore del campo di log network_accesses corrisponde al pattern dell'espressione regolare (?i)outbound, il campo di log network_accesses.remote_address viene mappato al campo UDM target.ipconnection_direction In caso contrario, il campo di log network_accesses.remote_address viene mappato al campo UDM security_result.detection_fields.network_accesses_remote_address.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip Esegui l'iterazione del campo di log network_accesses se il valore del campo di log network_accesses.remote_address non è vuoto, quindi se il valore del campo di log network_accesses connection_directioncorrisponde al pattern dell'espressione regolare (?i)inbound, il campo di log network_accesses.remote_address viene mappato al campo UDM principal.asset.ip. In caso contrario, se il valore del campo di log network_accesses il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_accesses.remote_address viene mappato al campo UDM target.asset.ip. In caso contrario, il campo di log network_accesses.remote_address viene mappato al campo UDM security_result.detection_fields.network_accesses_remote_address.
resource_name, bucket_name	target.resource.name	target.resource.name Se il valore del campo di log resource_name non è vuoto, il campo di log resource_name viene mappato al campo UDM target.resource.name. Se il valore del campo di log bucket_name non è vuoto, il campo di log bucket_name viene mappato al campo UDM target.resource.attribute.labels[bucket_name]. Altrimenti, se il valore del campo di log bucket_name non è vuoto, il campo di log bucket_name viene mappato al campo UDM target.resource.name.
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id Esegui l'iterazione del campo di log incident.host_ids se il valore index è uguale a "0", quindi il campo UDM target.asset_id viene impostato su un valore generato dal template CS:%{incident.host_ids}, dove %{incident.host_ids} viene sostituito con il valore del campo di log incident.host_ids. In caso contrario, il campo UDM security_result.detection_fields.key viene impostato su "incident_host_id" e il campo di log incident.host_ids viene mappato al campo UDM security_result.detection_fields.value.	target.asset_id Se il valore del campo di log destination_asset.id non è vuoto, il campo UDM target.asset_id viene impostato su un valore generato dal template CS:%{destination_asset.id}, dove %{destination_asset.id} viene sostituito con il valore del campo di log destination_asset.id. Se il valore del campo di log incident.host_ids.0 non è vuoto, il campo di log incident.host_ids.0 viene mappato al campo UDM security_result.detection_fields.incident_host_id. Se il valore del campo di log destination.usb_combined_id non è vuoto, il campo di log destination.usb_combined_id viene mappato al campo UDM target.asset.attribute.labels.destination_usb_combined_id. Altrimenti, se il valore del campo di log incident.host_ids.0 non è vuoto, il campo UDM target.asset_id viene impostato su un valore generato dal template CS:%{incident.host_ids.0}, dove %{incident.host_ids.0} viene sostituito con il valore del campo di log incident.host_ids.0. Se il valore del campo di log destination.usb_combined_id non è vuoto, il campo di log destination.usb_combined_id viene mappato al campo UDM target.asset.attribute.labels.destination_usb_combined_id. Altrimenti, se il valore del campo di log destination.usb_combined_id non è vuoto, il campo UDM target.asset_id viene impostato su un valore generato dal template CS:%{destination.usb_combined_id}, dove %{destination.usb_combined_id} viene sostituito con il valore del campo di log destination.usb_combined_id. Esegui l'iterazione del campo di log incident.host_ids se il valore index non è uguale a "0", il campo UDM security_result.detection_fields.key viene impostato su "incident_host_ids" e il campo di log incident.host_ids viene mappato al campo UDM security_result.detection_fields.value.
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id Esegui l'iterazione del campo di log incident.host_ids se il valore index è uguale a "0", quindi il campo UDM target.asset.asset_id viene impostato su un valore generato dal template CS:%{incident.host_ids}, dove %{incident.host_ids} viene sostituito con il valore del campo di log incident.host_ids.	target.asset.asset_id Se il valore del campo di log destination_asset.id non è vuoto, il campo UDM target.asset.asset_id viene impostato su un valore generato dal template CS:%{destination_asset.id}, dove %{destination_asset.id} viene sostituito con il valore del campo di log destination_asset.id. Altrimenti, se il valore del campo di log incident.host_ids.0 non è vuoto, il campo UDM target.asset.asset_id viene impostato su un valore generato dal template CS:%{incident.host_ids.0}, dove %{incident.host_ids.0} viene sostituito con il valore del campo di log incident.host_ids.0. Altrimenti, se il valore del campo di log destination.usb_combined_id non è vuoto, il campo UDM target.asset.asset_id viene impostato su un valore generato dal template CS:%{destination.usb_combined_id}, dove %{destination.usb_combined_id} viene sostituito con il valore del campo di log destination.usb_combined_id.
entities.file_name	target.process.file.names Esegui l'iterazione del campo di log entities.file_name Il campo di log entities.file_name è mappato al campo UDM target.process.file.names.	security_result.detection_fields[entities_file_name] Esegui l'iterazione del campo di log entities.file_name se il valore del campo di log entities.file_name non è vuoto, il campo di log entities.file_name viene mappato al campo UDM security_result.detection_fields.entities_file_name.
entities.image_file_name	target.process.file.full_path Esegui l'iterazione del campo di log entities.image_file_name se il valore index è uguale a 0, il campo di log entities.image_file_name viene mappato al campo UDM target.process.file.full_path. In caso contrario, il campo del log entities.image_file_name viene mappato al campo UDM security_result.detection_fields.entities_image_file_name.	security_result.detection_fields[entities_image_file_name] Esegui l'iterazione del campo di log entities.image_file_name se il valore del campo di log entities.image_file_name non è vuoto, il campo di log entities.image_file_name viene mappato al campo UDM security_result.detection_fields.entities_image_file_name.
entities.process	target.process.pid Esegui l'iterazione del campo di log entities.process se il valore index è uguale a 0, quindi il campo di log entities.process viene mappato al campo UDM target.process.pid. In caso contrario, il campo di log entities.process viene mappato al campo UDM security_result.detection_fields.entities_process.	security_result.detection_fields[entities_process] Esegui l'iterazione del campo di log entities.process se il valore del campo di log entities.process non è vuoto, quindi il campo di log entities.process viene mappato al campo UDM security_result.detection_fields.entities_process.
entities.sha256	target.process.file.sha256 Esegui l'iterazione del campo di log entities.sha256 se il valore index è uguale a 0, quindi il campo di log entities.sha256 viene mappato al campo UDM target.process.file.sha256. In caso contrario, il campo di log entities.sha256 viene mappato al campo UDM security_result.detection_fields.entities_sha256.	security_result.detection_fields[entities_sha256] Esegui l'iterazione del campo di log entities.sha256 se il valore del campo di log entities.sha256 non è vuoto, quindi il campo di log entities.sha256 viene mappato al campo UDM security_result.detection_fields.entities_sha256.
entities.username	target.user.user_display_name Esegui l'iterazione del campo di log entities.username se il valore index è uguale a 0, quindi il campo di log entities.username viene mappato al campo UDM target.user.user_display_name. Altrimenti, ilentities.username il campo log è mappato asecurity_result.detection_fields.entities_username Campo UDM.	security_result.detection_fields[entities_username] Esegui l'iterazione del campo di log entities.username se il valore del campo di log entities.username non è vuoto, quindi il campo di log entities.username viene mappato al campo UDM security_result.detection_fields.entities_username.
application_name, destination.name	target.application	target.application Se il valore del campo di log destination.name non è vuoto, il campo di log destination.name viene mappato al campo UDM target.application. Se il valore del campo di log application_name non è vuoto, il campo di log application_name viene mappato al campo UDM security_result.detection_fields[application_name]. Altrimenti, se il valore del campo di log application_name non è vuoto, il campo di log application_name viene mappato al campo UDM target.application.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip Esegui l'iterazione del campo di log network_info se il valore del campo di log network_info.local_address non è vuoto, quindi se il valore del campo di log network_info connection_directioncorrisponde al pattern dell'espressione regolare (?i)inbound, il campo di log network_info.local_address viene mappato al campo UDM target.ip. In caso contrario, se il valore del campo di log network_info connection_directioncorrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_info.local_address viene mappato al campo UDM principal.ip. In caso contrario, il campo di log network_info.local_address viene mappato al campo UDM security_result.detection_fields.network_info_local_address.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip Esegui l'iterazione del campo di log network_info se il valore del campo di log network_info.local_address non è vuoto, quindi se il valore del campo di log network_info connection_directioncorrisponde al pattern dell'espressione regolare (?i)inbound, il campo di log network_info.local_address viene mappato al campo UDM target.asset.ip. In caso contrario, se il valore del campo di log network_info connection_directioncorrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_info.local_address viene mappato al campo UDM principal.asset.ip. In caso contrario, il campo di log network_info.local_address viene mappato al campo UDM security_result.detection_fields.network_info_local_address.
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol Esegui l'iterazione del campo di log network_info.protocol se il valore index è uguale a "0", quindi il campo di log network_info.protocol viene mappato al campo UDM network.ip_protocol. In caso contrario, il campo del log network_info.protocol viene mappato al campo UDM security_result.detection_fields.network_info_protocol.
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path Se il valore del campo di log unexpected_dynamic_library_loaded.0.target_file_name non è vuoto, il campo di log unexpected_dynamic_library_loaded.0.target_file_name viene mappato al campo UDM target.file.full_path. Se il valore del campo di log harmful_app_image_filename non è vuoto, il campo di log harmful_app_image_filename viene mappato al campo UDM security_result.detection_fields.harmful_app_image_filename. Se il valore del campo di log sideloaded_app_image_filename non è vuoto, il campo di log sideloaded_app_image_filename viene mappato al campo UDM security_result.detection_fields.sideloaded_app_image_filename. Se il valore del campo di log duplicated_app_image_filename non è vuoto, il campo di log duplicated_app_image_filename viene mappato al campo UDM security_result.detection_fields.duplicated_app_image_filename. Se il valore del campo di log debuggable_app_image_filename non è vuoto, il campo di log debuggable_app_image_filename viene mappato al campo UDM security_result.detection_fields.debuggable_app_image_filename. Se il valore del campo di log unexpected_files.0 non è vuoto, il campo di log unexpected_files.0 viene mappato al campo UDM security_result.detection_fields.unexpected_files. Se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM security_result.detection_fields.app_image_filename. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log harmful_app_image_filename non è vuoto, il campo di log harmful_app_image_filename viene mappato al campo UDM target.file.full_path. Se il valore del campo di log sideloaded_app_image_filename non è vuoto, il campo di log sideloaded_app_image_filename viene mappato al campo UDM security_result.detection_fields.sideloaded_app_image_filename. Se il valore del campo di log duplicated_app_image_filename non è vuoto, il campo di log duplicated_app_image_filename viene mappato al campo UDM security_result.detection_fields.duplicated_app_image_filename. Se il valore del campo di log debuggable_app_image_filename non è vuoto, il campo di log debuggable_app_image_filename viene mappato al campo UDM security_result.detection_fields.debuggable_app_image_filename. Se il valore del campo di log unexpected_files.0 non è vuoto, il campo di log unexpected_files.0 viene mappato al campo UDM security_result.detection_fields.unexpected_files. Se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM security_result.detection_fields.app_image_filename. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log sideloaded_app_image_filename non è vuoto, il campo di log sideloaded_app_image_filename viene mappato al campo UDM target.file.full_path. Se il valore del campo di log duplicated_app_image_filename non è vuoto, il campo di log duplicated_app_image_filename viene mappato al campo UDM security_result.detection_fields.duplicated_app_image_filename. Se il valore del campo di log debuggable_app_image_filename non è vuoto, il campo di log debuggable_app_image_filename viene mappato al campo UDM security_result.detection_fields.debuggable_app_image_filename. Se il valore del campo di log unexpected_files.0 non è vuoto, il campo di log unexpected_files.0 viene mappato al campo UDM security_result.detection_fields.unexpected_files. Se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM security_result.detection_fields.app_image_filename. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log duplicated_app_image_filename non è vuoto, il campo di log duplicated_app_image_filename viene mappato al campo UDM target.file.full_path. Se il valore del campo di log debuggable_app_image_filename non è vuoto, il campo di log debuggable_app_image_filename viene mappato al campo UDM security_result.detection_fields.debuggable_app_image_filename. Se il valore del campo di log unexpected_files.0 non è vuoto, il campo di log unexpected_files.0 viene mappato al campo UDM security_result.detection_fields.unexpected_files. Se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM security_result.detection_fields.app_image_filename. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log debuggable_app_image_filename non è vuoto, il campo di log debuggable_app_image_filename viene mappato al campo UDM target.file.full_path. Se il valore del campo di log unexpected_files.0 non è vuoto, il campo di log unexpected_files.0 viene mappato al campo UDM security_result.detection_fields.unexpected_files. Se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM security_result.detection_fields.app_image_filename. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log unexpected_files.0 non è vuoto, il campo di log unexpected_files.0 viene mappato al campo UDM target.file.full_path. Se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM security_result.detection_fields.app_image_filename. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log app_image_filename non è vuoto, il campo di log app_image_filename viene mappato al campo UDM target.file.full_path. Se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_apps_image_filename. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log suspicious_apps.0.image_filename non è vuoto, il campo di log suspicious_apps.0.image_filename viene mappato al campo UDM target.file.full_path. Se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM security_result.detection_fields.suspicious_activities_apps_image_filename. Altrimenti, se il valore del campo di log suspicious_activities_apps.0.image_filename non è vuoto, il campo di log suspicious_activities_apps.0.image_filename viene mappato al campo UDM target.file.full_path.
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application Esegui l'iterazione del campo di log intrusive_package se il valore index è uguale a "0", il campo di log intrusive_package.target_package_name viene mappato al campo UDM target.application. In caso contrario, il campo UDM security_result.detection_fields.key viene impostato su "intrusive_package_target_package_name" e il campo di log intrusive_package.target_package_name viene mappato al campo UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_package_target_package_name] Esegui l'iterazione del campo del log intrusive_package se il valore del campo del log intrusive_package.target_package_name non è vuoto, quindi il campo del log intrusive_package.target_package_name viene mappato al campo UDM security_result.detection_fields.intrusive_package_target_package_name.
intrusive_process.target_process_name	target.process.file.names Esegui l'iterazione del campo di log intrusive_process se il valore index è uguale a "0", quindi il campo di log intrusive_process.target_process_name viene mappato al campo UDM target.process.file.names. In caso contrario, il campo UDM security_result.detection_fields.key viene impostato su "intrusive_process_target_process_name" e il campo di log intrusive_process.target_process_name viene mappato al campo UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_process_target_process_name] Esegui l'iterazione del campo del log intrusive_process se il valore del campo del log intrusive_process.target_process_name non è vuoto, quindi il campo del log intrusive_process.target_process_name viene mappato al campo UDM security_result.detection_fields.intrusive_process_target_process_name.
intrusive_process.target_process_path	target.process.file.full_path Esegui l'iterazione del campo di log intrusive_process se il valore index è uguale a "0", quindi il campo di log intrusive_process.target_process_path viene mappato al campo UDM target.process.file.full_path. Altrimenti, il campo UDM security_result.detection_fields.key viene impostato su "intrusive_process_target_process_path" e il campo di log intrusive_process.target_process_path viene mappato al campo UDM security_result.detection_fields.value.	security_result.detection_fields[intrusive_process_target_process_path] Esegui l'iterazione del campo del log intrusive_process se il valore del campo del log intrusive_process.target_process_path non è vuoto, quindi il campo del log intrusive_process.target_process_path viene mappato al campo UDM security_result.detection_fields.intrusive_process_target_process_path.
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port Esegui l'iterazione del campo di log network_info se il valore index è uguale a "0", quindi se il valore del campo di log network_info.local_port non è vuoto, se il valore del campo di log network_infoconnection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_info.local_port viene mappato al campo UDM target.port. In caso contrario, se il valore del campo di log network_info connection_directioncorrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_info.local_port viene mappato al campo UDM principal.port. In caso contrario, il campo di log network_info.local_port viene mappato al campo UDM security_result.detection_fields.network_info_local_port. Altrimenti, se il valore del campo di log network_info.local_port non è vuoto, se il valore del campo di log network_info, il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_info.local_port viene mappato al campo UDM target.asset.attribute.labels.network_info_local_port. In caso contrario, se il valore del campo di log network_infoil valore del campo di log connection_direction corrisponde al pattern di espressione regolare: (?i)outbound, il campo di log network_info.local_port viene mappato al campo UDM principal.asset.attribute.labels.network_info_local_port. In caso contrario, il campo di log network_info.local_port viene mappato al campo UDM security_result.detection_fields.network_info_local_port.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip Esegui l'iterazione del campo di log network_info se il valore del campo di log network_info.remote_address non è vuoto, quindi se il valore del campo di log network_info connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_info.remote_address viene mappato al campo UDM principal.ip. In caso contrario, se il valore del campo di log network_info il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_info.remote_address viene mappato al campo UDM target.ip. In caso contrario, il campo di log network_info.remote_address viene mappato al campo UDM security_result.detection_fields.network_info_remote_address.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip Esegui l'iterazione del campo di log network_info se il valore del campo di log network_info.remote_address non è vuoto, quindi se il valore del campo di log network_info connection_direction corrisponde al pattern dell'espressione regolare: (?i)inbound, il campo di log network_info.remote_address viene mappato al campo UDM principal.asset.ip. In caso contrario, se il valore del campo di log network_info il valore del campo di log connection_direction corrisponde al pattern dell'espressione regolare: (?i)outbound, il campo di log network_info.remote_address viene mappato al campo UDM target.asset.ip. In caso contrario, il campo di log network_info.remote_address viene mappato al campo UDM security_result.detection_fields.network_info_remote_address.
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application Esegui l'iterazione del campo di log suspicious_activities_apps se il valore index è uguale a "0", quindi il campo di log suspicious_activities_apps.app_label viene mappato al campo UDM target.application. Altrimenti, il campo UDM security_result.detection_fields.key viene impostato su "suspicious_activities_apps_app_label" e il campo di log suspicious_activities_apps.app_label viene mappato al campo UDM security_result.detection_fields.value.	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application Esegui l'iterazione del campo di log suspicious_apps se il valore index è uguale a "0", quindi il campo di log suspicious_apps.app_label viene mappato al campo UDM target.application. Altrimenti, il campo UDM security_result.detection_fields.key viene impostato su "suspicious_apps_app_label" e il campo di log suspicious_apps.app_label viene mappato al campo UDM security_result.detection_fields.value.	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 Esegui l'iterazione del campo di log suspicious_apps se il valore index è uguale a "0", quindi il campo di log suspicious_apps.certificate_thumbprints_sha1 viene mappato al campo UDM target.file.sha1. Altrimenti, il campo UDM security_result.detection_fields.key viene impostato su "suspicious_apps_certificate_thumbprints_sha1" e il campo di log suspicious_apps.certificate_thumbprints_sha1 viene mappato al campo UDM security_result.detection_fields.value.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 Esegui l'iterazione del campo di log suspicious_apps se il valore index è uguale a "0", quindi il campo di log suspicious_apps.certificate_thumbprints_sha256 viene mappato al campo UDM target.file.sha256. Altrimenti, il campo UDM security_result.detection_fields.key viene impostato su "suspicious_apps_certificate_thumbprints_sha256" e il campo di log suspicious_apps.certificate_thumbprints_sha256 viene mappato al campo UDM security_result.detection_fields.value.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name Esegui l'iterazione del campo di log system_partition_altered se il valore index è uguale a "0", quindi il campo di log system_partition_altered.volume_mount_point viene mappato al campo UDM target.resource.name. In caso contrario, il campo di log system_partition_altered.volume_mount_point viene mappato al campo UDM target.resource_ancestors.name.	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type Esegui l'iterazione del campo del log system_partition_altered se il valore del campo del log system_partition_altered.volume_mount_point non è vuoto, se il valore index è uguale a "0", il campo UDM target.resource.resource_type viene impostato su "VOLUME". In caso contrario, il campo UDM target.resource_ancestors.resource_type viene impostato su "VOLUME".
system_partition_altered.volume_type	target.resource.resource_subtype Esegui l'iterazione del campo di log system_partition_altered se il valore index è uguale a "0", quindi il campo di log system_partition_altered.volume_type viene mappato al campo UDM target.resource.resource_subtype. Altrimenti, il campo del log system_partition_altered.volume_type viene mappato al campo UDM target.resource_ancestors.resource_subtype.	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name Itera attraverso il campo di log system_updates_blocked_by_dns Il campo di log system_updates_blocked_by_dns.domain_name è mappato al campo UDM network.dns.questions.name.	about.domain.name Esegui l'iterazione del campo di log system_updates_blocked_by_dns Il campo di log system_updates_blocked_by_dns.domain_name è mappato al campo UDM about.domain.name.
system_updates_blocked_by_filesystem.file_name	target.file.names Esegui l'iterazione del campo di log system_updates_blocked_by_filesystem Il campo di log system_updates_blocked_by_filesystem.file_name è mappato al campo UDM target.file.names.	about.file.full_path Esegui l'iterazione del campo di log system_updates_blocked_by_filesystem Il system_updates_blocked_by_filesystem.file_name campo di log è mappato al about.file.full_path campo UDM.
system_updates_blocked_by_http.url	target.url Se il valore del campo di log url è vuoto, esegui l'iterazione del campo di log system_updates_blocked_by_http se il valore index è uguale a "0", il campo di log system_updates_blocked_by_http.url viene mappato al campo UDM target.url. In caso contrario, il campo UDM security_result.detection_fields.key viene impostato su "system_updates_blocked_by_http_url" e il campo di log system_updates_blocked_by_http.url viene mappato al campo UDM security_result.detection_fields.value.	about.url Esegui l'iterazione del campo di log system_updates_blocked_by_http Il campo di log system_updates_blocked_by_http.url è mappato al campo UDM about.url.
threatgraph_indicators.process_id	target.process.pid Esegui l'iterazione del campo di log threatgraph_indicators se il valore index è uguale a "0", quindi il campo di log threatgraph_indicators.process_id viene mappato al campo UDM target.process.pid. Altrimenti, se il valore del campo di log threatgraph_indicators.process_id non è vuoto, il campo di log threatgraph_indicators.process_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicators_process_id.	security_result.detection_fields[threatgraph_indicators_process_id] Esegui l'iterazione del campo di log threatgraph_indicators se il valore del campo di log threatgraph_indicators.process_id non è vuoto, il campo di log threatgraph_indicators.process_id viene mappato al campo UDM security_result.detection_fields.threatgraph_indicators_process_id.
agent_id	principal.asset.attribute.labels[agent_id] Se il valore del campo di log device.device_id non è vuoto o il valore del campo di log mdm_device_id non è vuoto o il valore del campo di log host_id non è vuoto, se il valore del campo di log agent_id non è vuoto, il campo di log agent_id viene mappato al campo UDM principal.asset.attribute.labels.agent_id.
event_timestamp, timestamp	metadata.event_timestamp Se il valore del campo di log timestamp non è vuoto, il campo di log timestamp viene mappato al campo UDM metadata.event_timestamp.	metadata.event_timestamp Se il valore del campo di log event_timestamp non è vuoto, il campo di log event_timestamp viene mappato al campo UDM metadata.event_timestamp. Altrimenti, se il valore del campo di log timestamp non è vuoto, il campo di log timestamp viene mappato al campo UDM metadata.event_timestamp.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.