CrowdStrike Falcon のログを収集する

パーサーのバージョン: 33.0

このドキュメントでは、CrowdStrike Falcon ログを Google Security Operations に取り込む方法について説明します。CrowdStrike Falcon ログにはいくつかの種類があり、このドキュメントでは、それぞれの具体的な構成について説明します。

Google Security Operations でのデータ取り込みの概要については、Google Security Operations へのデータの取り込みをご覧ください。

サポートされる CrowdStrike Falcon ログタイプ

Google Security Operations は、次の取り込みラベルを持つパーサーを介して、次の CrowdStrike Falcon ログタイプをサポートしています。

• エンドポイントの検出と対応（EDR）: CS_EDR。このパーサーは、ファイル アクセスやレジストリの変更など、CrowdStrike Falcon Data Replicator（FDR）から準リアルタイムのテレメトリー データを解析します。データは通常、S3 または Cloud Storage バケットから取り込まれます。

• 検出: CS_DETECTS。このパーサーは、Detect API を使用して CrowdStrike からの検出サマリー イベントを解析します。CS_DETECTS はエンドポイント アクティビティに関連していますが、CS_EDR を使用して解析された未加工のテレメトリーと比較して、より高レベルの検出サマリーを提供します。

  注: CrowdStrike は「Detects」エンドポイントを非推奨にしました。代わりに CS_ALERTS を使用して検出ログを取り込むことをおすすめします。

• アラート: CS_ALERTS。このパーサーは、Alerts API を使用して CrowdStrike からのアラートを解析します。CrowdStrike Alerts パーサーは、次のプロダクト タイプをサポートしています。

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• セキュリティ侵害インジケーター（IoC）: CS_IOC。このパーサーは、CrowdStrike Chronicle Intel Bridge を使用して、CrowdStrike 脅威インテリジェンスから IoC と攻撃インジケーター（IOA）を解析します。CrowdStrike セキュリティ侵害インジケーター（IoC）パーサーは、次のインジケーター タイプをサポートしています。

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps では、CrowdStrike から包括的なデータの取り込みを行うために、CS_EDR、CS_DETECTS、CS_IOC のフィードを使用することをおすすめします。

始める前に

次の前提条件を満たしていることを確認します。

• CrowdStrike Falcon Host センサーをインストールするための CrowdStrike インスタンスの管理者権限
• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンに構成されている。
• 対象デバイスが、サポートされているオペレーティング システムで動作している
  • 64 ビットサーバーである必要があります
  • Microsoft Windows Server 2008 R2 SP1 は、CrowdStrike Falcon Host センサー バージョン 6.51 以降でサポートされています。
  • 以前の OS バージョンは、SHA-2 コード署名をサポートしている必要があります。
• Google SecOps サービス アカウント ファイルと、Google SecOps サポートチームから提供されたお客様 ID

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード] > [新しいフィードを追加]
• コンテンツ ハブ > コンテンツ パック > スタートガイド

注: コンテンツ ハブは、SIEM スタンドアロン プラットフォームでは利用できません。アップグレードするには、Google SecOps の担当者にお問い合わせください。

このプロダクト ファミリー内のさまざまなログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

CrowdStrike Falcon ログを取り込む

このセクションでは、さまざまなタイプの CrowdStrike Falcon ログの取り込みを構成する方法について説明します。

EDR ログを取り込む（CS_EDR）

CrowdStrike Falcon EDR ログは、CrowdStrike からログを送信する場所に応じて、次のいずれかの方法で取り込むことができます。

• Amazon SQS: Falcon Data Replicator フィードを使用します。
• Amazon S3: S3 バケット用に構成された Google Security Operations フィードを使用します。
• Google Cloud Storage: CrowdStrike がログを Cloud Storage バケットに push します。

次のいずれかの手順を選択します。

オプション 1: Amazon SQS から EDR ログを取り込む

この方法では、CrowdStrike Falcon Data Replicator を使用して EDR ログを Amazon SQS キューに送信し、Google Security Operations がそのキューをポーリングします。

1. [CrowdStrike] パックをクリックします。

2. [CrowdStrike Falcon] ログタイプで、次のフィールドの値を指定します。

   • ソース: Amazon SQS
   • リージョン: URI に関連付けられている S3 リージョン。
   • キュー名: ログデータの読み取り元となる SQS キューの名前。
   • S3 URI: S3 バケットのソース URI。
   • アカウント番号: SQS アカウント番号。
   • Queue Access Key ID: 20 文字のアカウント アクセスキー ID。例: AKIAOSFOODNN7EXAMPLE
   • Queue Secret Access Key: 40 文字のシークレット アクセスキー。例: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   • ソース削除オプション: データの転送後にファイルとディレクトリを削除するオプション。

   詳細オプション

   • フィード名: フィードを識別する事前入力値。
   • アセットの名前空間: フィードに関連付けられた名前空間。
   • Ingestion Labels – このフィードのすべてのイベントに適用されるラベル。

3. [フィードを作成] をクリックします。

注: コンテンツ ハブは、SIEM スタンドアロン プラットフォームでは利用できません。アップグレードするには、Google SecOps の担当者にお問い合わせください。

このプロダクト ファミリー内のさまざまなログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

オプション 2: Amazon S3 バケットから EDR ログを取り込む

この方法では、Amazon S3 バケットから EDR ログを直接 pull するように Google Security Operations フィードを設定します。

S3 バケットを使用して取り込みフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一のフィードを構成する] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Crowdstrike Falcon Logs）。
5. [Source type] で [Amazon S3] を選択します。
6. [Log type] で [CrowdStrike Falcon] を選択します。
7. 作成したサービス アカウントと Amazon S3 バケットの構成に基づいて、次のフィールドの値を指定します。

   フィールド	説明
   region	S3 リージョン URI。
   S3 uri	S3 バケットのソース URI。
   uri is a	URI が指すオブジェクトのタイプ（ファイル、フォルダなど）。
   source deletion option	データを転送した後にファイルとディレクトリを削除するオプション。
   access key id	アクセスキー（20 文字の英数字）。例: AKIAOSFOODNN7EXAMPLE
   secret access key	シークレット アクセスキー（40 文字の英数字文字列）。例: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY
   oauth client id	公開 OAuth クライアント ID。
   oauth client secret	OAuth 2.0 クライアント シークレット
   oauth secret refresh uri	OAuth 2.0 クライアント シークレット更新 URI。
   asset namespace	フィードに関連付けられた名前空間。

8. [次へ]、[送信] の順にクリックします。

オプション 3: Cloud Storage から EDR ログを取り込む

CrowdStrike を構成して EDR ログを Cloud Storage バケットに送信し、フィードを使用してこれらのログを Google Security Operations に取り込むことができます。このプロセスでは、CrowdStrike サポートとの調整が必要です。

1. CrowdStrike サポートに問い合わせる: CrowdStrike でサポート チケットを開き、EDR ログを Cloud Storage バケットに push するように有効化して構成します。必要な構成について、担当者がご案内いたします。

2. Cloud Storage バケットを作成して権限を付与する:

   1. Google Cloud コンソールで、新しい Cloud Storage バケットを作成します。バケット名をメモします（例: gs://my-crowdstrike-edr-logs/）。
   2. CrowdStrike が提供するサービス アカウントに書き込み権限を付与します。CrowdStrike サポートの手順に沿って対応します。

3. Google SecOps フィードを構成する:

   1. Google SecOps インスタンスで、[設定] > [フィード] に移動し、[新規追加] をクリックします。
   2. わかりやすいフィード名を入力します（例: CS-EDR-GCS）。

   3. [ソースタイプ] で [Google Cloud Storage V2] を選択します。

      注: Google Cloud Storage Event Driven V2 をソースタイプとして使用すると、レイテンシを最小限に抑えることができます。
      注: Cloud Storage イベント ドリブン フィード タイプの場合は、Pub/Sub を構成するの説明に従って、Cloud Storage の Pub/Sub サブスクリプションを設定します。

   4. [Log type] で [CrowdStrike Falcon] を選択します。

   5. [サービス アカウント] セクションで、[サービス アカウントを取得する] をクリックします。表示された一意のサービス アカウントのメールアドレスをコピーします。

   6. Google Cloud コンソールで、Cloud Storage バケットに移動し、コピーしたサービス アカウントのメールアドレスに Storage Object Viewer IAM ロールを付与します。これにより、フィードがログファイルを読み取れるようになります。

   7. Google SecOps フィード構成ページに戻ります。

   8. ストレージ バケットの URL（例: gs://my-crowdstrike-edr-logs/）を入力します。この URL の末尾はスラッシュ（/）にする必要があります。

   9. イベント ドリブン フィード タイプの場合は、Pub/Sub サブスクリプション名（例: projects/myproject/subscriptions/crowdstrike-edr-sub）を指定します。

   10. [ソース削除オプション] を選択します。[ファイルを削除しない] をおすすめします。

   11. [次へ] をクリックし、設定を確認して、[送信] をクリックします。

4. ログの取り込みを確認する: CrowdStrike でログが push されていることを確認したら、Google SecOps でログタイプ CS_EDR の受信ログを確認します。

アラートログを取り込む（CS_ALERTS）

CrowdStrike Falcon アラートを取り込むには、CrowdStrike API を使用するフィードを構成します。

1. CrowdStrike Falcon コンソールで次の操作を行います。

   1. CrowdStrike Falcon コンソールにログインします。
   2. [Support and resources] > [Resources and tools] > [API Clients and Keys] に移動し、[Create API client] をクリックします。
   3. [クライアント名] と [説明] を入力します。
   4. [API Scopes] で、[Alerts] の [Read] チェックボックスをオンにします。
   5. [作成] をクリックします。生成されたクライアント ID、クライアント シークレット、ベース URL をメモします。

2. Google Security Operations の場合:

   1. [Settings] > [Feeds] に移動し、[Add New] をクリックします。
   2. [ソースタイプ] で [サードパーティ API] を選択します。
   3. [ログタイプ] で [CrowdStrike Alerts API] を選択します。

   4. [次へ] をクリックし、CrowdStrike API クライアントの値を使用して次のフィールドに入力します。

      • OAuth トークン エンドポイント: 例: https://api.us-2.crowdstrike.com/oauth2/token。
      • OAuth クライアント ID
      • OAuth クライアント シークレット
      • ベース URL: 例: api.us-2.crowdstrike.com。
      • 取り込みタイプ: 次のいずれかを選択します。
        • すべてのアラートを取り込む: 更新された新しいアラートと既存のアラートの両方を取り込みます。
        • 新しいニュース アラートのみを取り込む: 新しいニュース アラートのみを取り込みます。
      注: トークン エンドポイントの URL に「us-2」が含まれていない場合があります。これは CrowdStrike のリージョンによって異なります。CrowdStrike コンソールから正しいベース URL を使用します。

   5. [次へ]、[送信] の順にクリックします。

検出ログを取り込む（CS_DETECTS）

注: CrowdStrike は「Detects」エンドポイントを非推奨にしました。代わりに CS_ALERTS を使用して検出ログを取り込むことをおすすめします。

CrowdStrike Falcon の検出ログを取り込むには、CrowdStrike API も使用します。

1. CrowdStrike Falcon コンソールで次の操作を行います。

   1. CrowdStrike Falcon コンソールにログインします。
   2. [Support Apps] > [API Clients and Keys] に移動します。
   3. 新しい API クライアント鍵ペアを作成します。この鍵ペアには、Detections に対する READ 権限が必要です。

2. Google Security Operations の場合:

   1. [Settings] > [Feeds] に移動し、[Add New] をクリックします。
   2. [ソースタイプ] で [サードパーティ API] を選択します。
   3. [Log type] で [CrowdStrike Detection Monitoring] を選択します。
   4. [次へ]、[送信] の順にクリックします。作成した API 認証情報の入力を求められます。

IoC ログを取り込む（CS_IOC）

CrowdStrike からセキュリティ侵害インジケーター（IoC）ログを取り込むには、Google SecOps Intel Bridge を使用します。

1. CrowdStrike Falcon コンソールで、新しい API クライアント鍵ペアを作成します。この鍵ペアには、Indicators (Falcon Intelligence) に対する READ 権限が必要です。
2. CrowdStrike から Google SecOps Intel Bridge の手順に沿って、Google SecOps Intel Bridge を設定します。

3. 次の Docker コマンドを実行して、CrowdStrike から Google SecOps にログを送信します。sa.json は、Google SecOps サービス アカウント ファイルです。

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. コンテナが実行されると、IoC ログが Google SecOps にストリーミングされます。

これらの構成で問題が発生した場合は、Google SecOps サポートチームにお問い合わせください。

サポートされている CrowdStrike ログ形式

CrowdStrike パーサーは、JSON 形式のログをサポートしています。

変更ログ

このパーサーの変更ログを表示する

CS_ALERTS UDM マッピング デルタ

注: この差分では、「古い UDM マッピング」は 2026 年 10 月 27 日より前の CrowdStrike Alerts（CS_ALERTS）パーサー リリースを指します。2026 年 10 月 27 日以降にリリースされたバージョンには、次の「新しい UDM マッピング」が含まれています。

注: イベントの metadata.event_type 値も変更される可能性があります。各 UDM イベントタイプでは、特定の UDM フィールドに入力する必要があります。新しい UDM マッピングで、以前に割り当てられたイベントタイプの必須フィールドが入力されなくなった場合、パーサーは、対応する *_UNCATEGORIZED イベントタイプや GENERIC_EVENT など、より具体的なイベントタイプを割り当てます。逆に、新しい UDM マッピングがより具体的なイベントタイプのすべての必須フィールドに入力されると、パーサーはより具体的なイベントタイプを割り当てます。metadata.event_type でフィルタするルール、検索、ダッシュボードを確認します。

次の表に、CrowdStrike Alerts（CS_ALERTS）パーサーの古い UDM マッピングと新しい UDM マッピングの差分を示します。

ログフィールド	古い UDM フィールド名	新しい UDM フィールド名
source_account_domain, device.machine_domain, logon_domain	principal.domain.name source_account_domain ログフィールドの値が空でない場合、source_account_domain ログフィールドは principal.domain.name UDM フィールドにマッピングされます。 それ以外の場合、logon_domain ログフィールドの値が空でない場合、logon_domain ログフィールドは principal.domain.name UDM フィールドにマッピングされます。 それ以外の場合、device.machine_domain ログフィールドの値が空でない場合、device.machine_domain ログフィールドは principal.domain.name UDM フィールドにマッピングされます。	principal.domain.name source_account_domain ログフィールドの値が空でない場合、source_account_domain ログフィールドは principal.domain.name UDM フィールドにマッピングされます。device.machine_domain ログフィールドの値が空でない場合、device.machine_domain ログフィールドは principal.user.attribute.labels.device_machine_domain UDM フィールドにマッピングされます。logon_domain ログフィールドの値が空でない場合、logon_domain ログフィールドは principal.user.attribute.labels.logon_domain UDM フィールドにマッピングされます。 それ以外の場合、device.machine_domain ログフィールドの値が空でない場合、device.machine_domain ログフィールドは principal.domain.name UDM フィールドにマッピングされます。logon_domain ログフィールドの値が空でない場合、logon_domain ログフィールドは principal.user.attribute.labels.logon_domain UDM フィールドにマッピングされます。 それ以外の場合、logon_domain ログフィールドの値が空でない場合、logon_domain ログフィールドは principal.domain.name UDM フィールドにマッピングされます。
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは principal.hostname UDM フィールドにマッピングされます。 それ以外の場合、computer_name ログフィールドの値が空でない場合、computer_name ログフィールドは principal.hostname UDM フィールドにマッピングされます。 それ以外の場合、host_name ログフィールドの値が空でない場合、host_name ログフィールドは principal.hostname UDM フィールドにマッピングされます。 それ以外の場合、source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.hostname UDM フィールドにマッピングされます。 それ以外の場合、device.hostname ログフィールドの値が空でない場合、device.hostname ログフィールドは principal.hostname UDM フィールドにマッピングされます。	principal.hostname hostname ログフィールドの値が空でない場合、hostname ログフィールドは principal.hostname UDM フィールドにマッピングされます。computer_name ログフィールドの値が空でない場合、computer_name ログフィールドは principal.asset.attribute.labels.computer_name UDM フィールドにマッピングされます。host_name ログフィールドの値が空でない場合、host_name ログフィールドは principal.asset.attribute.labels.host_name UDM フィールドにマッピングされます。host ログフィールドの値が空でない場合、host ログフィールドは principal.asset.attribute.labels.host UDM フィールドにマッピングされます。device.hostname ログフィールドの値が空でない場合、device_hostname ログフィールドは principal.asset.attribute.labels.device_hostname UDM フィールドにマッピングされます。source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.attribute.labels.source_endpoint_host_name UDM フィールドにマッピングされます。threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは security_result.detection_fields.threatgraph_indicator_hostname UDM フィールドにマッピングされます。 それ以外の場合、host_name ログフィールドの値が空でない場合、host_name ログフィールドは principal.hostname UDM フィールドにマッピングされます。computer_name ログフィールドの値が空でない場合、computer_name ログフィールドは principal.asset.attribute.labels.computer_name UDM フィールドにマッピングされます。host ログフィールドの値が空でない場合、host ログフィールドは principal.asset.attribute.labels.host UDM フィールドにマッピングされます。device.hostname ログフィールドの値が空でない場合、device_hostname ログフィールドは principal.asset.attribute.labels.device_hostname UDM フィールドにマッピングされます。source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.attribute.labels.source_endpoint_host_name UDM フィールドにマッピングされます。threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは security_result.detection_fields[threatgraph_indicator_hostname] UDM フィールドにマッピングされます。 それ以外の場合、computer_name ログフィールドの値が空でない場合、computer_name ログフィールドは principal.hostname UDM フィールドにマッピングされます。host ログフィールドの値が空でない場合、host ログフィールドは principal.asset.attribute.labels.host UDM フィールドにマッピングされます。device.hostname ログフィールドの値が空でない場合、device.hostname ログフィールドは principal.asset.attribute.labels.device_hostname UDM フィールドにマッピングされます。source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.attribute.labels.source_endpoint_host_name UDM フィールドにマッピングされます。threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは security_result.detection_fields.threatgraph_indicator_hostname UDM フィールドにマッピングされます。 それ以外の場合、host ログフィールドの値が空でない場合、host ログフィールドは principal.hostname UDM フィールドにマッピングされます。device.hostname ログフィールドの値が空でない場合、device.hostname ログフィールドは principal.asset.attribute.labels.device_hostname UDM フィールドにマッピングされます。source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.attribute.labels.source_endpoint_host_name UDM フィールドにマッピングされます。threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは security_result.detection_fields.threatgraph_indicator_hostname UDM フィールドにマッピングされます。 それ以外の場合、device.hostname ログフィールドの値が空でない場合、device.hostname ログフィールドは principal.hostname UDM フィールドにマッピングされます。source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.attribute.labels.source_endpoint_host_name UDM フィールドにマッピングされます。threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは security_result.detection_fields.threatgraph_indicator_hostname UDM フィールドにマッピングされます。 それ以外の場合、source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.hostname UDM フィールドにマッピングされます。もしthreatgraph_indicators.0.hostnameログフィールドの値はない空、それからthreatgraph_indicators.0.hostnameログフィールドは、security_result.detection_fields.threatgraph_indicator_hostname UDM フィールド。 それ以外の場合、threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは principal.hostname UDM フィールドにマッピングされます。
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、computer_name ログフィールドの値が空でない場合、computer_name ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、host_name ログフィールドの値が空でない場合、host_name ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、device.hostname ログフィールドの値が空でない場合、device.hostname ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。	principal.asset.hostname hostname ログフィールドの値が空でない場合、hostname ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、host_name ログフィールドの値が空でない場合、host_name ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、computer_name ログフィールドの値が空でない場合、computer_name ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、host ログフィールドの値が空でない場合、host ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、device.hostname ログフィールドの値が空でない場合、device.hostname ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、source_endpoint_host_name ログフィールドの値が空でない場合、source_endpoint_host_name ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。 それ以外の場合、threatgraph_indicators.0.hostname ログフィールドの値が空でない場合、threatgraph_indicators.0.hostname ログフィールドは principal.asset.hostname UDM フィールドにマッピングされます。
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region location_country_code ログフィールドは principal.location.country_or_region UDM フィールドにマッピングされます。	principal.location.country_or_region device_geo_location.country_name ログフィールドの値が空でない場合、device_geo_location.country_name ログフィールドは principal.location.country_or_region UDM フィールドにマッピングされます。location_country_code ログフィールドの値が空でない場合、location_country_code ログフィールドは security_result.detection_fields.location_country_code UDM フィールドにマッピングされます。 それ以外の場合、location_country_code ログフィールドの値が空でない場合、location_country_code ログフィールドは principal.location.country_or_region UDM フィールドにマッピングされます。
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name user_name ログフィールドの値が空でない場合、user_name ログフィールドは principal.user.user_display_name UDM フィールドにマッピングされます。 それ以外の場合、source_account_name ログフィールドの値が空でない場合、source_account_name ログフィールドは principal.user.user_display_name UDM フィールドにマッピングされます。	principal.user.user_display_name user_name ログフィールドの値が空でない場合、user_name ログフィールドは principal.user.user_display_name UDM フィールドにマッピングされます。source_account_name ログフィールドの値が空でない場合、source_account_name ログフィールドは principal.user.attribute.labels.source_account_name UDM フィールドにマッピングされます。encrypted_by_username ログフィールドの値が空でない場合、encrypted_by_username ログフィールドは principal.user.attribute.labels.encrypted_by_username UDM フィールドにマッピングされます。user_display_name ログフィールドの値が空でない場合、user_display_name ログフィールドは principal.user.attribute.labels.user_display_name UDM フィールドにマッピングされます。 それ以外の場合、source_account_name ログフィールドの値が空でない場合、source_account_name ログフィールドは principal.user.user_display_name UDM フィールドにマッピングされます。encrypted_by_username ログフィールドの値が空でない場合、encrypted_by_username ログフィールドは principal.user.attribute.labels.encrypted_by_username UDM フィールドにマッピングされます。user_display_name ログフィールドの値が空でない場合、user_display_name ログフィールドは principal.user.attribute.labels.user_display_name UDM フィールドにマッピングされます。 それ以外の場合、encrypted_by_username ログフィールドの値が空でない場合、encrypted_by_username ログフィールドは principal.user.user_display_name UDM フィールドにマッピングされます。user_display_name ログフィールドの値が空でない場合、user_display_name ログフィールドは principal.user.attribute.labels.user_display_name UDM フィールドにマッピングされます。 それ以外の場合、user_display_name ログフィールドの値が空でない場合、user_display_name ログフィールドは principal.user.user_display_name UDM フィールドにマッピングされます。
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid sid ログフィールドの値が空でない場合、sid ログフィールドは principal.user.windows_sid UDM フィールドにマッピングされます。source_account_object_sid ログフィールドの値が空でない場合、source_account_object_sid ログフィールドは principal.user.attribute.labels[source_account_object_sid] UDM フィールドにマッピングされます。 それ以外の場合、source_account_object_sid ログフィールドの値が空でない場合、source_account_object_sid ログフィールドは principal.user.windows_sid UDM フィールドにマッピングされます。
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{threatgraph_indicators.0.host_id} から生成された値に設定されます。ここで、%{threatgraph_indicators.0.host_id} は threatgraph_indicators.0.host_id ログフィールドの値に置き換えられます。 それ以外の場合で、host_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{host_id} から生成された値に設定されます。ここで、%{host_id} は host_id ログフィールドの値に置き換えられます。 それ以外の場合で、agent_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{agent_id} から生成された値に設定されます。ここで、%{agent_id} は agent_id ログフィールドの値に置き換えられます。 それ以外の場合で、mdm_device_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{mdm_device_id} から生成された値に設定されます。ここで、%{mdm_device_id} は mdm_device_id ログフィールドの値に置き換えられます。 それ以外の場合で、device.device_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{device.device_id} から生成された値に設定されます。ここで、%{device.device_id} は device.device_id ログフィールドの値に置き換えられます。	principal.asset_id, about.asset_id agent_id ログフィールドの値が空でない場合、agent_id ログフィールドの値は | セパレータを使用して複数の値に分割されます。分割された agent_id 値を反復処理します。 index 値が "0" と等しい場合、principal.asset_id UDM フィールドは、テンプレート CS:%{agent_id} から生成された値に設定されます。ここで、%{agent_id} は分割された agent_id 値に置き換えられます。 それ以外の場合、about.asset_id UDM フィールドは、テンプレート CS:%{agent_id} から生成された値に設定されます。ここで、%{agent_id} は分割された agent_id 値に置き換えられます。 source_asset.id ログフィールドの値が空でない場合、source_asset.id ログフィールドは principal.asset.attribute.labels.source_asset_id UDM フィールドにマッピングされます。host_id ログフィールドの値が空でない場合、host_id ログフィールドは principal.asset.attribute.labels.host_id UDM フィールドにマッピングされます。device.device_id ログフィールドの値が空でない場合、device.device_id ログフィールドは principal.asset.attribute.labels.device_id UDM フィールドにマッピングされます。mdm_device_id ログフィールドの値が空でない場合、mdm_device_id ログフィールドは principal.asset.attribute.labels.mdm_device_id UDM フィールドにマッピングされます。threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、threatgraph_indicators.0.host_id ログフィールドは security_result.detection_fields.threatgraph_indicator_host_id UDM フィールドにマッピングされます。 それ以外の場合で、source_asset.id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{source_asset.id} から生成された値に設定されます。ここで、%{source_asset.id} は source_asset.id ログフィールドの値に置き換えられます。host_id ログフィールドの値が空でない場合、host_id ログフィールドは principal.asset.attribute.labels.host_id UDM フィールドにマッピングされます。device.device_id ログフィールドの値が空でない場合、device.device_id ログフィールドは principal.asset.attribute.labels.device_id UDM フィールドにマッピングされます。mdm_device_id ログフィールドの値が空でない場合、mdm_device_id ログフィールドは principal.asset.attribute.labels.mdm_device_id UDM フィールドにマッピングされます。threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、threatgraph_indicators.0.host_id ログフィールドは security_result.detection_fields.threatgraph_indicator_host_id UDM フィールドにマッピングされます。 それ以外の場合で、host_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{host_id} から生成された値に設定されます。ここで、%{host_id} は host_id ログフィールドの値に置き換えられます。device.device_id ログフィールドの値が空でない場合、device.device_id ログフィールドは principal.asset.attribute.labels.device_id UDM フィールドにマッピングされます。mdm_device_id ログフィールドの値が空でない場合、mdm_device_id ログフィールドは principal.asset.attribute.labels.mdm_device_id UDM フィールドにマッピングされます。threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、threatgraph_indicators.0.host_id ログフィールドは security_result.detection_fields.threatgraph_indicator_host_id UDM フィールドにマッピングされます。 それ以外の場合で、device.device_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{device.device_id} から生成された値に設定されます。ここで、%{device.device_id} は device.device_id ログフィールドの値に置き換えられます。mdm_device_id ログフィールドの値が空でない場合、mdm_device_id ログフィールドは principal.asset.attribute.labels.mdm_device_id UDM フィールドにマッピングされます。threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、threatgraph_indicators.0.host_id ログフィールドは security_result.detection_fields.threatgraph_indicator_host_id UDM フィールドにマッピングされます。 それ以外の場合で、mdm_device_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{mdm_device_id} から生成された値に設定されます。ここで、%{mdm_device_id} は mdm_device_id ログフィールドの値に置き換えられます。threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、threatgraph_indicators.0.host_id ログフィールドは security_result.detection_fields.threatgraph_indicator_host_id UDM フィールドにマッピングされます。 それ以外の場合で、threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、principal.asset_id UDM フィールドは、テンプレート CS:%{threatgraph_indicators.0.host_id} から生成された値に設定されます。ここで、%{threatgraph_indicators.0.host_id} は threatgraph_indicators.0.host_id ログフィールドの値に置き換えられます。
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{threatgraph_indicators.0.host_id} から生成された値に設定されます。ここで、%{threatgraph_indicators.0.host_id} は threatgraph_indicators.0.host_id ログフィールドの値に置き換えられます。 それ以外の場合で、host_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{host_id} から生成された値に設定されます。ここで、%{host_id} は host_id ログフィールドの値に置き換えられます。 それ以外の場合で、agent_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{agent_id} から生成された値に設定されます。ここで、%{agent_id} は agent_id ログフィールドの値に置き換えられます。 それ以外の場合で、mdm_device_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{mdm_device_id} から生成された値に設定されます。ここで、%{mdm_device_id} は mdm_device_id ログフィールドの値に置き換えられます。 それ以外の場合で、device.device_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{device.device_id} から生成された値に設定されます。ここで、%{device.device_id} は device.device_id ログフィールドの値に置き換えられます。	principal.asset.asset_id, about.asset.asset_id agent_id ログフィールドの値が空でない場合、agent_id ログフィールドの値は | セパレータを使用して複数の値に分割されます。分割された agent_id 値を反復処理します。 index 値が "0" と等しい場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{agent_id} から生成された値に設定されます。ここで、%{agent_id} は分割された agent_id 値に置き換えられます。 それ以外の場合、about.asset.asset_id UDM フィールドは、テンプレート CS:%{agent_id} から生成された値に設定されます。ここで、%{agent_id} は分割された agent_id 値に置き換えられます。 それ以外の場合で、source_asset.id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{source_asset.id} から生成された値に設定されます。ここで、%{source_asset.id} は source_asset.id ログフィールドの値に置き換えられます。 それ以外の場合で、host_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{host_id} から生成された値に設定されます。ここで、%{host_id} は host_id ログフィールドの値に置き換えられます。 それ以外の場合で、device.device_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{device.device_id} から生成された値に設定されます。ここで、%{device.device_id} は device.device_id ログフィールドの値に置き換えられます。 それ以外の場合で、mdm_device_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{mdm_device_id} から生成された値に設定されます。ここで、%{mdm_device_id} は mdm_device_id ログフィールドの値に置き換えられます。 それ以外の場合で、threatgraph_indicators.0.host_id ログフィールドの値が空でない場合、principal.asset.asset_id UDM フィールドは、テンプレート CS:%{threatgraph_indicators.0.host_id} から生成された値に設定されます。ここで、%{threatgraph_indicators.0.host_id} は threatgraph_indicators.0.host_id ログフィールドの値に置き換えられます。
cid, agent_id, process_id	target.process.product_specific_process_id cid ログフィールドの値が空でなく、agent_id ログフィールドの値が空でなく、process_id ログフィールドの値が空でない場合、target.process.product_specific_process_id UDM フィールドは、テンプレート PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} から生成された値に設定されます。ここで、%{cid}、%{agent_id}、%{process_id} は、それぞれ cid、agent_id、process_id ログフィールドの値に置き換えられます。	target.process.product_specific_process_id, about.process.product_specific_process_id agent_id ログフィールドの値が空でない場合、agent_id ログフィールドの値は | セパレータを使用して複数の値に分割されます。agent_id の分割値を反復処理します。 index 値が "0" と等しい場合、cid ログフィールドの値が空でなく、agent_id の分割値が空でなく、process_id ログフィールドの値が空でない場合、target.process.product_specific_process_id UDM フィールドは、テンプレート PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} から生成された値に設定されます。ここで、%{agent_id} は agent_id の分割値に置き換えられ、%{cid} と %{process_id} はそれぞれ cid ログフィールドと process_id ログフィールドの値に置き換えられます。 それ以外の場合、cid ログフィールドの値が空でなく、分割された agent_id 値が空でなく、process_id ログフィールドの値が空でない場合、about.process.product_specific_process_id UDM フィールドは、テンプレート PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} から生成された値に設定されます。ここで、%{agent_id} は分割された agent_id 値に置き換えられ、%{cid} と %{process_id} はそれぞれ cid ログフィールドと process_id ログフィールドの値に置き換えられます。
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details product ログフィールドの値が "epp" と等しい場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。それ以外の場合、incident.score ログフィールドの値が空でない場合、incident.score ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。 それ以外の場合で、product ログフィールドの値が "mobile" と等しい場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。それ以外の場合、incident.score ログフィールドの値が空でない場合、incident.score ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。 それ以外の場合で、product ログフィールドの値が "xdr" と等しい場合、incident.score ログフィールドの値が空でない場合、incident.score ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。それ以外の場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。 それ以外の場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。	security_result.severity_details product ログフィールドの値が "epp" と等しい場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。それ以外の場合、incident.score ログフィールドの値が空でない場合、incident.score ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。 それ以外の場合で、product ログフィールドの値が "mobile" と等しい場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。それ以外の場合、incident.score ログフィールドの値が空でない場合、incident.score ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。 それ以外の場合、product ログフィールドの値に次のいずれかの値が含まれている場合: xdr automated-lead-context 、incident.score ログフィールドの値が空でない場合、incident.score ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。それ以外の場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。 それ以外の場合、severity ログフィールドの値が空でない場合、severity ログフィールドは security_result.severity_details UDM フィールドにマッピングされます。
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name ログフィールド entities.domain を反復処理します。 index 値が 0 と等しい場合、entities.domain ログフィールドは target.domain.name UDM フィールドにマッピングされます。 それ以外の場合、entities.domain ログフィールドは security_result.detection_fields.entities_domain UDM フィールドにマッピングされます。	target.domain.name saas_domain ログフィールドの値が空でない場合、saas_domain ログフィールドは target.domain.name UDM フィールドにマッピングされます。target_account_domain ログフィールドの値が空でない場合、target_account_domain ログフィールドは target.user.attribute.labels.target_account_domain UDM フィールドにマッピングされます。entities.domain.0 ログフィールドの値が空でない場合、entities.domain.0 ログフィールドは target.user.attribute.labels.entities_domain UDM フィールドにマッピングされます。domain_name ログフィールドの値が空でない場合、domain_name ログフィールドは target.user.attribute.labels.domain_name UDM フィールドにマッピングされます。 それ以外の場合、target_account_domain ログフィールドの値が空でない場合、target_account_domain ログフィールドは target.domain.name UDM フィールドにマッピングされます。entities.domain.0 ログフィールドの値が空でない場合、entities.domain.0 ログフィールドは target.user.attribute.labels.entities_domain UDM フィールドにマッピングされます。domain_name ログフィールドの値が空でない場合、domain_name ログフィールドは target.user.attribute.labels.domain_name UDM フィールドにマッピングされます。 それ以外の場合、entities.domain.0 ログフィールドの値が空でない場合、entities.domain.0 ログフィールドは target.domain.name UDM フィールドにマッピングされます。domain_name ログフィールドの値が空でない場合、domain_name ログフィールドは target.user.attribute.labels.domain_name UDM フィールドにマッピングされます。 それ以外の場合、domain_name ログフィールドの値が空でない場合、domain_name ログフィールドは target.domain.name UDM フィールドにマッピングされます。
entities.domain	security_result.detection_fields[entities_domain] ログフィールド entities.domain を反復処理します。 index 値が "0" と等しくない場合、entities.domain ログフィールドは security_result.detection_fields.entities_domain UDM フィールドにマッピングされます。	target.user.attribute.labels[entities_domain] ログフィールド entities.domain を反復処理します。 index 値が "0" と等しくない場合、entities.domain ログフィールドは target.user.attribute.labels.entities_domain UDM フィールドにマッピングされます。
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses target_account_upn ログフィールドの値が空でない場合、target_account_upn ログフィールドの値が正規表現パターン (^.+@.+$) と一致する場合、target_account_upn ログフィールドは target.user.email_addresses UDM フィールドにマッピングされます。それ以外の場合、target_account_upn ログフィールドは target.user.attribute.labels.target_account_upn UDM フィールドにマッピングされます。
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip network_accesses.local_address ログフィールドの値が空でない場合、ログフィールド network_accesses を反復処理します。 network_accesses ログフィールドの値が正規表現パターン (?i)inbound と一致する場合、connection_direction network_accesses.local_address ログフィールドは target.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_accesses.local_address ログフィールドは principal.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses.local_address ログフィールドは security_result.detection_fields.network_accesses_local_address UDM フィールドにマッピングされます。
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip network_accesses.local_address ログフィールドの値が空でない場合、ログフィールド network_accesses を反復処理します。 network_accesses ログフィールドの値が正規表現パターン connection_direction(?i)inbound と一致する場合、network_accesses.local_address ログフィールドは target.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_accesses.local_address ログフィールドは principal.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses.local_address ログフィールドは security_result.detection_fields.network_accesses_local_address UDM フィールドにマッピングされます。
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port ログフィールド network_accesses を反復処理します。 index 値が "0" と等しい場合、network_accesses.local_port ログフィールドの値が空でない場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と正規表現パターン (?i)inbound と一致する場合、network_accesses.local_port ログフィールドは target.port UDM フィールドにマッピングされます。それ以外の場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_accesses.local_port ログフィールドは principal.port UDM フィールドにマッピングされます。それ以外の場合、network_accesses.local_port ログフィールドは security_result.detection_fields.network_accesses_local_port UDM フィールドにマッピングされます。 それ以外の場合、network_accesses.local_port ログフィールドの値が空でない場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致する場合、正規表現パターン (?i)inbound と一致する場合、network_accesses.local_port ログフィールドは target.asset.attribute.labels.network_accesses_local_port UDM フィールドにマッピングされます。それ以外の場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_accesses.local_port ログフィールドは principal.asset.attribute.labels.network_accesses_local_port UDM フィールドにマッピングされます。それ以外の場合、network_accesses.local_port ログフィールドは security_result.detection_fields.network_accesses_local_port UDM フィールドにマッピングされます。
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol ログフィールド network_accesses.protocol を反復処理します。 index 値が "0" と等しい場合、network_accesses.protocol ログフィールドは network.ip_protocol UDM フィールドにマッピングされます。 それ以外の場合、network_accesses.protocol ログフィールドは security_result.detection_fields.network_accesses_protocol UDM フィールドにマッピングされます。
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip network_accesses.remote_address ログフィールドの値が空でない場合、ログフィールド network_accesses を反復処理します。network_accesses ログフィールドの値がconnection_direction正規表現パターン (?i)inbound と一致する場合、network_accesses.remote_address ログフィールドは principal.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_accesses.remote_address ログフィールドは target.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses.remote_address ログフィールドは security_result.detection_fields.network_accesses_remote_address UDM フィールドにマッピングされます。
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip network_accesses.remote_address ログフィールドの値が空でない場合、ログフィールド network_accesses を反復処理します。network_accesses ログフィールドの値が正規表現パターン (?i)inbound と一致する場合、network_accesses.remote_address ログフィールドは principal.asset.ip UDM フィールドにマッピングされます。connection_directionそれ以外の場合、network_accesses ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_accesses.remote_address ログフィールドは target.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_accesses.remote_address ログフィールドは security_result.detection_fields.network_accesses_remote_address UDM フィールドにマッピングされます。
resource_name, bucket_name	target.resource.name	target.resource.name resource_name ログフィールドの値が空でない場合、resource_name ログフィールドは target.resource.name UDM フィールドにマッピングされます。bucket_name ログフィールドの値が空でない場合、bucket_name ログフィールドは target.resource.attribute.labels[bucket_name] UDM フィールドにマッピングされます。 それ以外の場合、bucket_name ログフィールドの値が空でない場合、bucket_name ログフィールドは target.resource.name UDM フィールドにマッピングされます。
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id ログフィールド incident.host_ids を反復処理します。 index 値が "0" と等しい場合、target.asset_id UDM フィールドは、テンプレート CS:%{incident.host_ids} から生成された値に設定されます。ここで、%{incident.host_ids} は incident.host_ids ログフィールドの値に置き換えられます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "incident_host_id" に設定され、incident.host_ids ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	target.asset_id destination_asset.id ログフィールドの値が空でない場合、target.asset_id UDM フィールドは、テンプレート CS:%{destination_asset.id} から生成された値に設定されます。ここで、%{destination_asset.id} は destination_asset.id ログフィールドの値に置き換えられます。incident.host_ids.0 ログフィールドの値が空でない場合、incident.host_ids.0 ログフィールドは security_result.detection_fields.incident_host_id UDM フィールドにマッピングされます。destination.usb_combined_id ログフィールドの値が空でない場合、destination.usb_combined_id ログフィールドは target.asset.attribute.labels.destination_usb_combined_id UDM フィールドにマッピングされます。 それ以外の場合で、incident.host_ids.0 ログフィールドの値が空でない場合、target.asset_id UDM フィールドは、テンプレート CS:%{incident.host_ids.0} から生成された値に設定されます。ここで、%{incident.host_ids.0} は incident.host_ids.0 ログフィールドの値に置き換えられます。destination.usb_combined_id ログフィールドの値が空でない場合、destination.usb_combined_id ログフィールドは target.asset.attribute.labels.destination_usb_combined_id UDM フィールドにマッピングされます。 それ以外の場合で、destination.usb_combined_id ログフィールドの値が空でない場合、target.asset_id UDM フィールドは、テンプレート CS:%{destination.usb_combined_id} から生成された値に設定されます。ここで、%{destination.usb_combined_id} は destination.usb_combined_id ログフィールドの値に置き換えられます。 ログフィールド incident.host_ids を反復処理します。 index 値が "0" と等しくない場合、security_result.detection_fields.key UDM フィールドは "incident_host_ids" に設定され、incident.host_ids ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id ログフィールド incident.host_ids を反復処理します。 index 値が "0" と等しい場合、target.asset.asset_id UDM フィールドは、テンプレート CS:%{incident.host_ids} から生成された値に設定されます。ここで、%{incident.host_ids} は incident.host_ids ログフィールドの値に置き換えられます。	target.asset.asset_id destination_asset.id ログフィールドの値が空でない場合、target.asset.asset_id UDM フィールドは、テンプレート CS:%{destination_asset.id} から生成された値に設定されます。ここで、%{destination_asset.id} は destination_asset.id ログフィールドの値に置き換えられます。 それ以外の場合で、incident.host_ids.0 ログフィールドの値が空でない場合、target.asset.asset_id UDM フィールドは、テンプレート CS:%{incident.host_ids.0} から生成された値に設定されます。ここで、%{incident.host_ids.0} は incident.host_ids.0 ログフィールドの値に置き換えられます。 それ以外の場合で、destination.usb_combined_id ログフィールドの値が空でない場合、target.asset.asset_id UDM フィールドは、テンプレート CS:%{destination.usb_combined_id} から生成された値に設定されます。ここで、%{destination.usb_combined_id} は destination.usb_combined_id ログフィールドの値に置き換えられます。
entities.file_name	target.process.file.names ログフィールド entities.file_name を反復処理します。 entities.file_name ログフィールドは target.process.file.names UDM フィールドにマッピングされます。	security_result.detection_fields[entities_file_name] ログフィールド entities.file_name を反復処理します。 entities.file_name ログフィールドの値が空でない場合、entities.file_name ログフィールドは security_result.detection_fields.entities_file_name UDM フィールドにマッピングされます。
entities.image_file_name	target.process.file.full_path ログフィールド entities.image_file_name を反復処理します。index 値が 0 と等しい場合、entities.image_file_name ログフィールドは target.process.file.full_path UDM フィールドにマッピングされます。 それ以外の場合、entities.image_file_name ログフィールドは security_result.detection_fields.entities_image_file_name UDM フィールドにマッピングされます。	security_result.detection_fields[entities_image_file_name] ログフィールド entities.image_file_name を反復処理します。 entities.image_file_name ログフィールドの値が空でない場合、entities.image_file_name ログフィールドは security_result.detection_fields.entities_image_file_name UDM フィールドにマッピングされます。
entities.process	target.process.pid ログフィールド entities.process を反復処理します。 index 値が 0 と等しい場合、entities.process ログフィールドは target.process.pid UDM フィールドにマッピングされます。 それ以外の場合、entities.process ログフィールドは security_result.detection_fields.entities_process UDM フィールドにマッピングされます。	security_result.detection_fields[entities_process] ログフィールドを反復処理します。 entities.process entities.process ログフィールドの値が空でない場合、entities.process ログフィールドは security_result.detection_fields.entities_process UDM フィールドにマッピングされます。
entities.sha256	target.process.file.sha256 ログフィールド entities.sha256 を反復処理します。 index 値が 0 と等しい場合、entities.sha256 ログフィールドは target.process.file.sha256 UDM フィールドにマッピングされます。 それ以外の場合、entities.sha256 ログフィールドは security_result.detection_fields.entities_sha256 UDM フィールドにマッピングされます。	security_result.detection_fields[entities_sha256] ログフィールドを反復処理します。 entities.sha256 entities.sha256 ログフィールドの値が空でない場合、entities.sha256 ログフィールドは security_result.detection_fields.entities_sha256 UDM フィールドにマッピングされます。
entities.username	target.user.user_display_name ログフィールド entities.username を反復処理します。 index 値が 0 と等しい場合、entities.username ログフィールドは target.user.user_display_name UDM フィールドにマッピングされます。 それ以外の場合、entities.username ログフィールドは security_result.detection_fields.entities_username UDM フィールドにマッピングされます。	security_result.detection_fields[entities_username] ログフィールドを反復処理します。 entities.username entities.username ログフィールドの値が空でない場合、entities.username ログフィールドは security_result.detection_fields.entities_username UDM フィールドにマッピングされます。
application_name, destination.name	target.application	target.application destination.name ログフィールドの値が空でない場合、destination.name ログフィールドは target.application UDM フィールドにマッピングされます。application_name ログフィールドの値が空でない場合、application_name ログフィールドは security_result.detection_fields[application_name] UDM フィールドにマッピングされます。 それ以外の場合、application_name ログフィールドの値が空でない場合、application_name ログフィールドは target.application UDM フィールドにマッピングされます。
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip network_info.local_address ログフィールドの値が空でない場合、ログフィールド network_info を反復処理します。 network_info ログフィールドの値が正規表現パターン connection_direction(?i)inbound と一致する場合、network_info.local_address ログフィールドは target.ip UDM フィールドにマッピングされます。それ以外の場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_info.local_address ログフィールドは principal.ip UDM フィールドにマッピングされます。それ以外の場合、network_info.local_address ログフィールドは security_result.detection_fields.network_info_local_address UDM フィールドにマッピングされます。
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip ログフィールド network_info を反復処理します。 network_info.local_address ログフィールドの値が空でない場合、network_info ログフィールドの値がconnection_direction正規表現パターン (?i)inbound と一致する場合、network_info.local_address ログフィールドは target.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_info.local_address ログフィールドは principal.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_info.local_address ログフィールドは security_result.detection_fields.network_info_local_address UDM フィールドにマッピングされます。
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol ログフィールド network_info.protocol を反復処理します。 index 値が "0" と等しい場合、network_info.protocol ログフィールドは network.ip_protocol UDM フィールドにマッピングされます。 それ以外の場合、network_info.protocol ログフィールドは security_result.detection_fields.network_info_protocol UDM フィールドにマッピングされます。
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path unexpected_dynamic_library_loaded.0.target_file_name ログフィールドの値が空でない場合、unexpected_dynamic_library_loaded.0.target_file_name ログフィールドは target.file.full_path UDM フィールドにマッピングされます。harmful_app_image_filename ログフィールドの値が空でない場合、harmful_app_image_filename ログフィールドは security_result.detection_fields.harmful_app_image_filename UDM フィールドにマッピングされます。sideloaded_app_image_filename ログフィールドの値が空でない場合、sideloaded_app_image_filename ログフィールドは security_result.detection_fields.sideloaded_app_image_filename UDM フィールドにマッピングされます。duplicated_app_image_filename ログフィールドの値が空でない場合、duplicated_app_image_filename ログフィールドは security_result.detection_fields.duplicated_app_image_filename UDM フィールドにマッピングされます。debuggable_app_image_filename ログフィールドの値が空でない場合、debuggable_app_image_filename ログフィールドは security_result.detection_fields.debuggable_app_image_filename UDM フィールドにマッピングされます。unexpected_files.0 ログフィールドの値が空でない場合、unexpected_files.0 ログフィールドは security_result.detection_fields.unexpected_files UDM フィールドにマッピングされます。app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは security_result.detection_fields.app_image_filename UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、harmful_app_image_filename ログフィールドの値が空でない場合、harmful_app_image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。sideloaded_app_image_filename ログフィールドの値が空でない場合、sideloaded_app_image_filename ログフィールドは security_result.detection_fields.sideloaded_app_image_filename UDM フィールドにマッピングされます。duplicated_app_image_filename ログフィールドの値が空でない場合、duplicated_app_image_filename ログフィールドは security_result.detection_fields.duplicated_app_image_filename UDM フィールドにマッピングされます。debuggable_app_image_filename ログフィールドの値が空でない場合、debuggable_app_image_filename ログフィールドは security_result.detection_fields.debuggable_app_image_filename UDM フィールドにマッピングされます。unexpected_files.0 ログフィールドの値が空でない場合、unexpected_files.0 ログフィールドは security_result.detection_fields.unexpected_files UDM フィールドにマッピングされます。app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは security_result.detection_fields.app_image_filename UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、sideloaded_app_image_filename ログフィールドの値が空でない場合、sideloaded_app_image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。duplicated_app_image_filename ログフィールドの値が空でない場合、duplicated_app_image_filename ログフィールドは security_result.detection_fields.duplicated_app_image_filename UDM フィールドにマッピングされます。debuggable_app_image_filename ログフィールドの値が空でない場合、debuggable_app_image_filename ログフィールドは security_result.detection_fields.debuggable_app_image_filename UDM フィールドにマッピングされます。unexpected_files.0 ログフィールドの値が空でない場合、unexpected_files.0 ログフィールドは security_result.detection_fields.unexpected_files UDM フィールドにマッピングされます。app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは security_result.detection_fields.app_image_filename UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、duplicated_app_image_filename ログフィールドの値が空でない場合、duplicated_app_image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。debuggable_app_image_filename ログフィールドの値が空でない場合、debuggable_app_image_filename ログフィールドは security_result.detection_fields.debuggable_app_image_filename UDM フィールドにマッピングされます。unexpected_files.0 ログフィールドの値が空でない場合、unexpected_files.0 ログフィールドは security_result.detection_fields.unexpected_files UDM フィールドにマッピングされます。app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは security_result.detection_fields.app_image_filename UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、debuggable_app_image_filename ログフィールドの値が空でない場合、debuggable_app_image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。unexpected_files.0 ログフィールドの値が空でない場合、unexpected_files.0 ログフィールドは security_result.detection_fields.unexpected_files UDM フィールドにマッピングされます。app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは security_result.detection_fields.app_image_filename UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、unexpected_files.0 ログフィールドの値が空でない場合、unexpected_files.0 ログフィールドは target.file.full_path UDM フィールドにマッピングされます。app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは security_result.detection_fields.app_image_filename UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、app_image_filename ログフィールドの値が空でない場合、app_image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_apps_image_filename UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、suspicious_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_apps.0.image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは security_result.detection_fields.suspicious_activities_apps_image_filename UDM フィールドにマッピングされます。 それ以外の場合、suspicious_activities_apps.0.image_filename ログフィールドの値が空でない場合、suspicious_activities_apps.0.image_filename ログフィールドは target.file.full_path UDM フィールドにマッピングされます。
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application ログフィールド intrusive_package を反復処理します。 index 値が "0" と等しい場合、intrusive_package.target_package_name ログフィールドは target.application UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "intrusive_package_target_package_name" に設定され、intrusive_package.target_package_name ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	security_result.detection_fields[intrusive_package_target_package_name] ログフィールド intrusive_package を反復処理します。intrusive_package.target_package_name ログフィールドの値が空でない場合、intrusive_package.target_package_name ログフィールドは security_result.detection_fields.intrusive_package_target_package_name UDM フィールドにマッピングされます。
intrusive_process.target_process_name	target.process.file.names ログフィールド intrusive_process を反復処理します。 index 値が "0" と等しい場合、intrusive_process.target_process_name ログフィールドは target.process.file.names UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "intrusive_process_target_process_name" に設定され、intrusive_process.target_process_name ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	security_result.detection_fields[intrusive_process_target_process_name] ログフィールド intrusive_process を反復処理します。intrusive_process.target_process_name ログフィールドの値が空でない場合、intrusive_process.target_process_name ログフィールドは security_result.detection_fields.intrusive_process_target_process_name UDM フィールドにマッピングされます。
intrusive_process.target_process_path	target.process.file.full_path ログフィールド intrusive_process を反復処理します。 index 値が "0" と等しい場合、intrusive_process.target_process_path ログフィールドは target.process.file.full_path UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "intrusive_process_target_process_path" に設定され、intrusive_process.target_process_path ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	security_result.detection_fields[intrusive_process_target_process_path] ログフィールド intrusive_process を反復処理します。 intrusive_process.target_process_path ログフィールドの値が空でない場合、intrusive_process.target_process_path ログフィールドは security_result.detection_fields.intrusive_process_target_process_path UDM フィールドにマッピングされます。
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port ログフィールド network_info を反復処理します。 index 値が "0" と等しい場合、network_info.local_port ログフィールドの値が空でない場合、network_info ログフィールドの値が connection_direction ログフィールドの値と正規表現パターン (?i)inbound と一致する場合、network_info.local_port ログフィールドは target.port UDM フィールドにマッピングされます。それ以外の場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_info.local_port ログフィールドは principal.port UDM フィールドにマッピングされます。それ以外の場合、network_info.local_port ログフィールドは security_result.detection_fields.network_info_local_port UDM フィールドにマッピングされます。 それ以外の場合、network_info.local_port ログフィールドの値が空でない場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致する場合、正規表現パターン (?i)inbound と一致する場合、network_info.local_port ログフィールドは target.asset.attribute.labels.network_info_local_port UDM フィールドにマッピングされます。それ以外の場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_info.local_port ログフィールドは principal.asset.attribute.labels.network_info_local_port UDM フィールドにマッピングされます。それ以外の場合、network_info.local_port ログフィールドは security_result.detection_fields.network_info_local_port UDM フィールドにマッピングされます。
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip network_info.remote_address ログフィールドの値が空でない場合、ログフィールド network_info を反復処理します。 network_info ログフィールドの値が正規表現パターン (?i)inbound と一致する場合、connection_direction network_info.remote_address ログフィールドは principal.ip UDM フィールドにマッピングされます。それ以外の場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_info.remote_address ログフィールドは target.ip UDM フィールドにマッピングされます。それ以外の場合、network_info.remote_address ログフィールドは security_result.detection_fields.network_info_remote_address UDM フィールドにマッピングされます。
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip network_info.remote_address ログフィールドの値が空でない場合、ログフィールド network_info を反復処理します。 network_info ログフィールドの値が正規表現パターン connection_direction(?i)inbound と一致する場合、network_info.remote_address ログフィールドは principal.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_info ログフィールドの値が connection_direction ログフィールドの値と一致し、正規表現パターン (?i)outbound と一致する場合、network_info.remote_address ログフィールドは target.asset.ip UDM フィールドにマッピングされます。それ以外の場合、network_info.remote_address ログフィールドは security_result.detection_fields.network_info_remote_address UDM フィールドにマッピングされます。
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application ログフィールド suspicious_activities_apps を反復処理します。 index 値が "0" と等しい場合、suspicious_activities_apps.app_label ログフィールドは target.application UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "suspicious_activities_apps_app_label" に設定され、suspicious_activities_apps.app_label ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application ログフィールド suspicious_apps を反復処理します。 index 値が "0" と等しい場合、suspicious_apps.app_label ログフィールドは target.application UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "suspicious_apps_app_label" に設定され、suspicious_apps.app_label ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 ログフィールド suspicious_apps を反復処理します。 index 値が "0" と等しい場合、suspicious_apps.certificate_thumbprints_sha1 ログフィールドは target.file.sha1 UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "suspicious_apps_certificate_thumbprints_sha1" に設定され、suspicious_apps.certificate_thumbprints_sha1 ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 ログフィールド suspicious_apps を反復処理します。 index 値が "0" と等しい場合、suspicious_apps.certificate_thumbprints_sha256 ログフィールドは target.file.sha256 UDM フィールドにマッピングされます。 それ以外の場合、security_result.detection_fields.key UDM フィールドは "suspicious_apps_certificate_thumbprints_sha256" に設定され、suspicious_apps.certificate_thumbprints_sha256 ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name ログフィールド system_partition_altered を反復処理します。 index 値が "0" と等しい場合、system_partition_altered.volume_mount_point ログフィールドは target.resource.name UDM フィールドにマッピングされます。 それ以外の場合、system_partition_altered.volume_mount_point ログフィールドは target.resource_ancestors.name UDM フィールドにマッピングされます。	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type ログフィールド system_partition_altered を反復処理します。system_partition_altered.volume_mount_point ログフィールドの値が空でない場合、index 値が "0" と等しい場合、target.resource.resource_type UDM フィールドは "VOLUME" に設定されます。それ以外の場合、target.resource_ancestors.resource_type UDM フィールドは "VOLUME" に設定されます。
system_partition_altered.volume_type	target.resource.resource_subtype ログフィールド system_partition_altered を反復処理します。 index 値が "0" と等しい場合、system_partition_altered.volume_type ログフィールドは target.resource.resource_subtype UDM フィールドにマッピングされます。 それ以外の場合、system_partition_altered.volume_type ログフィールドは target.resource_ancestors.resource_subtype UDM フィールドにマッピングされます。	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name ログフィールドを反復処理する system_updates_blocked_by_dns system_updates_blocked_by_dns.domain_name ログフィールドは network.dns.questions.name UDM フィールドにマッピングされます。	about.domain.name ログフィールド system_updates_blocked_by_dns を反復処理する system_updates_blocked_by_dns.domain_name ログフィールドは about.domain.name UDM フィールドにマッピングされます。
system_updates_blocked_by_filesystem.file_name	target.file.names ログフィールド system_updates_blocked_by_filesystem を反復処理する system_updates_blocked_by_filesystem.file_name ログフィールドは target.file.names UDM フィールドにマッピングされます。	about.file.full_path ログフィールドを反復処理する system_updates_blocked_by_filesystem system_updates_blocked_by_filesystem.file_name ログフィールドは about.file.full_path UDM フィールドにマッピングされます。
system_updates_blocked_by_http.url	target.url url ログフィールドの値が空の場合、 ログフィールド system_updates_blocked_by_http を反復処理します。 index 値が "0" と等しい場合、system_updates_blocked_by_http.url ログフィールドは target.url UDM フィールドにマッピングされます。それ以外の場合、security_result.detection_fields.key UDM フィールドは "system_updates_blocked_by_http_url" に設定され、system_updates_blocked_by_http.url ログフィールドは security_result.detection_fields.value UDM フィールドにマッピングされます。	about.url ログフィールド system_updates_blocked_by_http を反復処理します。 system_updates_blocked_by_http.url ログフィールドは about.url UDM フィールドにマッピングされます。
threatgraph_indicators.process_id	target.process.pid ログフィールド threatgraph_indicators を反復処理します。 index 値が "0" と等しい場合、threatgraph_indicators.process_id ログフィールドは target.process.pid UDM フィールドにマッピングされます。 それ以外の場合、threatgraph_indicators.process_id ログフィールドの値が空でない場合、threatgraph_indicators.process_id ログフィールドは security_result.detection_fields.threatgraph_indicators_process_id UDM フィールドにマッピングされます。	security_result.detection_fields[threatgraph_indicators_process_id] ログフィールドを反復処理します。threatgraph_indicators threatgraph_indicators.process_id ログフィールドの値が空でない場合、threatgraph_indicators.process_id ログフィールドは security_result.detection_fields.threatgraph_indicators_process_id UDM フィールドにマッピングされます。
agent_id	principal.asset.attribute.labels[agent_id] device.device_id ログフィールドの値が空でない場合、または mdm_device_id ログフィールドの値が空でない場合、または host_id ログフィールドの値が空でない場合、agent_id ログフィールドの値が空でない場合、agent_id ログフィールドは principal.asset.attribute.labels.agent_id UDM フィールドにマッピングされます。
event_timestamp, timestamp	metadata.event_timestamp timestamp ログフィールドの値が空でない場合、timestamp ログフィールドは metadata.event_timestamp UDM フィールドにマッピングされます。	metadata.event_timestamp event_timestamp ログフィールドの値が空でない場合、event_timestamp ログフィールドは metadata.event_timestamp UDM フィールドにマッピングされます。 それ以外の場合、timestamp ログフィールドの値が空でない場合、timestamp ログフィールドは metadata.event_timestamp UDM フィールドにマッピングされます。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。