CrowdStrike Falcon 로그 수집

파서 버전: 33.0

이 문서에서는 CrowdStrike Falcon 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 여러 유형의 CrowdStrike Falcon 로그를 수집할 수 있으며 이 문서에서는 각 로그의 구체적인 구성을 간략하게 설명합니다.

Google Security Operations의 데이터 수집에 대한 대략적인 개요는 Google Security Operations에 데이터 수집을 참조하세요.

지원되는 CrowdStrike Falcon 로그 유형

Google Security Operations는 다음 수집 라벨이 있는 파서를 통해 다음 CrowdStrike Falcon 로그 유형을 지원합니다.

• 엔드포인트 탐지 및 대응 (EDR): CS_EDR 이 파서는 CrowdStrike Falcon Data Replicator (FDR)에서 파일 액세스 및 레지스트리 수정과 같은 거의 실시간 원격 분석 데이터를 파싱합니다. 데이터는 일반적으로 S3 또는 Cloud Storage 버킷에서 수집됩니다.

• 감지: CS_DETECTS. 이 파서는 Detect API를 사용하여 CrowdStrike에서 감지 요약 이벤트를 파싱합니다. CS_DETECTS는 엔드포인트 활동과 관련이 있지만 CS_EDR를 사용하여 파싱된 원시 원격 분석에 비해 더 높은 수준의 탐지 요약을 제공합니다.

  참고: CrowdStrike는 'Detects' 엔드포인트를 지원 중단했습니다. 대신 CS_ALERTS를 사용하여 감지 로그를 수집하는 것이 좋습니다.

• 알림: CS_ALERTS. 이 파서는 Alerts API를 사용하여 CrowdStrike의 알림을 파싱합니다. CrowdStrike Alerts 파서는 다음 제품 유형을 지원합니다.

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• 침해 지표 (IoC): CS_IOC 이 파서는 CrowdStrike Chronicle Intel Bridge를 사용하여 CrowdStrike 위협 인텔리전스에서 IoC 및 공격 지표 (IOA)를 파싱합니다. CrowdStrike 침해 지표 (IoC) 파서는 다음 지표 유형을 지원합니다.

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps는 CrowdStrike에서 포괄적인 데이터를 수집하기 위해 CS_EDR, CS_DETECTS, CS_IOC에 피드를 사용하는 것을 권장합니다.

시작하기 전에

다음 기본 요건을 충족하는지 확인합니다.

• CrowdStrike Falcon 호스트 센서를 설치할 CrowdStrike 인스턴스에 대한 관리자 권한
• 배포 아키텍처의 모든 시스템은 UTC 시간대로 구성됩니다.
• 대상 기기가 지원되는 운영체제에서 실행됨
  • 64비트 서버여야 합니다.
  • Microsoft Windows Server 2008 R2 SP1은 CrowdStrike Falcon Host 센서 버전 6.51 이상에서 지원됩니다.
  • 기존 OS 버전은 SHA-2 코드 서명을 지원해야 합니다.
• Google SecOps 지원팀의 Google SecOps 서비스 계정 파일 및 고객 ID

피드 설정하기

Google SecOps 플랫폼에서 피드를 설정하는 진입점은 두 가지입니다.

• SIEM 설정 > 피드 > 새 피드 추가
• 콘텐츠 허브 > 콘텐츠 팩 > 시작하기

참고: SIEM 독립형 플랫폼에서는 콘텐츠 허브를 사용할 수 없습니다. 업그레이드하려면 Google SecOps 담당자에게 문의하세요.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 대한 자세한 내용은 제품별 피드 구성을 참조하세요.

CrowdStrike Falcon 로그 수집

이 섹션에서는 다양한 유형의 CrowdStrike Falcon 로그에 대한 수집을 구성하는 방법을 설명합니다.

EDR 로그 수집 (CS_EDR)

CrowdStrike에서 로그를 전송할 위치에 따라 다음 방법 중 하나를 사용하여 CrowdStrike Falcon EDR 로그를 수집할 수 있습니다.

• Amazon SQS: Falcon Data Replicator 피드를 사용합니다.
• Amazon S3: S3 버킷에 구성된 Google Security Operations 피드를 사용합니다.
• Google Cloud Storage: CrowdStrike에서 Cloud Storage 버킷으로 로그를 푸시하도록 합니다.

다음 절차 중 하나를 선택합니다.

옵션 1: Amazon SQS에서 EDR 로그 수집

이 방법은 CrowdStrike Falcon Data Replicator를 사용하여 EDR 로그를 Amazon SQS 큐로 전송하고 Google Security Operations에서 이를 폴링합니다.

1. CrowdStrike 팩을 클릭합니다.

2. CrowdStrike Falcon 로그 유형에서 다음 필드의 값을 지정합니다.

   • 소스: Amazon SQS
   • 리전: URI와 연결된 S3 리전입니다.
   • 큐 이름: 로그 데이터를 읽을 SQS 큐의 이름입니다.
   • S3 URI: S3 버킷 소스 URI입니다.
   • 계좌 번호: SQS 계좌 번호입니다.
   • 큐 액세스 키 ID: 20자(영문 기준) 계정 액세스 키 ID입니다. 예를 들면 AKIAOSFOODNN7EXAMPLE입니다.
   • 큐 보안 비밀 액세스 키: 40자(영문 기준) 보안 비밀 액세스 키입니다. 예를 들면 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY입니다.
   • 소스 삭제 옵션: 데이터를 전송한 후 파일과 디렉터리를 삭제하는 옵션입니다.

   고급 옵션

   • 피드 이름: 피드를 식별하는 미리 입력된 값입니다.
   • 애셋 네임스페이스: 피드와 연결된 네임스페이스입니다.
   • 수집 라벨: 이 피드의 모든 이벤트에 적용되는 라벨입니다.

3. 피드 만들기를 클릭합니다.

참고: SIEM 독립형 플랫폼에서는 콘텐츠 허브를 사용할 수 없습니다. 업그레이드하려면 Google SecOps 담당자에게 문의하세요.

이 제품군 내에서 다양한 로그 유형에 대해 여러 피드를 구성하는 방법에 대한 자세한 내용은 제품별 피드 구성을 참조하세요.

옵션 2: Amazon S3 버킷에서 EDR 로그 수집

이 방법에는 Amazon S3 버킷에서 EDR 로그를 직접 가져오도록 Google Security Operations 피드를 설정하는 작업이 포함됩니다.

S3 버킷을 사용하여 처리 피드를 설정하려면 다음 단계를 따르세요.

1. SIEM 설정 > 피드로 이동합니다.
2. 새 피드 추가를 클릭합니다.
3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
4. 피드 이름 필드에 피드 이름을 입력합니다(예: Crowdstrike Falcon 로그).
5. 소스 유형에서 Amazon S3를 선택합니다.
6. 로그 유형에서 CrowdStrike Falcon을 선택합니다.
7. 사용자가 만든 서비스 계정 및 Amazon S3 버킷 구성에 따라 다음 필드의 값을 지정합니다.

   필드	설명
   region	S3 리전 URI입니다.
   S3 uri	S3 버킷 소스 URI입니다.
   uri is a	URI가 가리키는 객체의 유형입니다 (예: 파일 또는 폴더).
   source deletion option	데이터를 전송한 후 파일 및 디렉터리를 삭제하는 옵션입니다.
   access key id	액세스 키 (20자리 영숫자 문자열)입니다. 예를 들면 AKIAOSFOODNN7EXAMPLE입니다.
   secret access key	보안 비밀 액세스 키 (40자 영숫자 문자열) 예를 들면 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY입니다.
   oauth client id	공개 OAuth 클라이언트 ID입니다.
   oauth client secret	OAuth 2.0 클라이언트 보안 비밀번호입니다.
   oauth secret refresh uri	OAuth 2.0 클라이언트 보안 비밀번호 새로고침 URI입니다.
   asset namespace	피드와 연결된 네임스페이스입니다.

8. 다음을 클릭한 후 제출을 클릭합니다.

옵션 3: Cloud Storage에서 EDR 로그 수집

EDR 로그를 Cloud Storage 버킷으로 전송하도록 CrowdStrike를 구성한 다음 피드를 사용하여 이러한 로그를 Google Security Operations로 수집할 수 있습니다. 이 프로세스에는 CrowdStrike 지원팀과의 조정이 필요합니다.

1. CrowdStrike 지원팀에 문의: CrowdStrike에서 지원 티켓을 열어 EDR 로그를 Cloud Storage 버킷으로 푸시하도록 사용 설정하고 구성합니다. 필요한 구성에 대한 안내를 제공합니다.

2. Cloud Storage 버킷을 만들고 권한을 부여합니다.

   1. Google Cloud 콘솔에서 새 Cloud Storage 버킷을 만듭니다. 버킷 이름을 기록해 둡니다 (예: gs://my-crowdstrike-edr-logs/).
   2. CrowdStrike에서 제공하는 서비스 계정에 쓰기 권한을 부여합니다. CrowdStrike 지원팀의 안내를 따릅니다.

3. Google SecOps 피드를 구성합니다.

   1. Google SecOps 인스턴스에서 설정 > 피드로 이동하고 새로 추가를 클릭합니다.
   2. 설명이 포함된 피드 이름을 입력합니다 (예: CS-EDR-GCS).

   3. 소스 유형에서 Google Cloud Storage V2를 선택합니다.

      참고: Google Cloud Storage 이벤트 기반 V2를 소스 유형으로 사용하여 지연 시간을 최소화할 수 있습니다.
      참고: Cloud Storage 이벤트 기반 피드 유형의 경우 Pub/Sub 구성에 설명된 대로 Cloud Storage에 대한 Pub/Sub 구독을 설정합니다.

   4. 로그 유형에서 CrowdStrike Falcon을 선택합니다.

   5. 서비스 계정 섹션에서 서비스 계정 가져오기를 클릭합니다. 표시된 고유한 서비스 계정 이메일 주소를 복사합니다.

   6. Google Cloud 콘솔에서 Cloud Storage 버킷으로 이동하여 복사한 서비스 계정 이메일 주소에 Storage Object Viewer IAM 역할을 부여합니다. 이렇게 하면 피드가 로그 파일을 읽을 수 있습니다.

   7. Google SecOps 피드 구성 페이지로 돌아갑니다.

   8. 스토리지 버킷 URL (예: gs://my-crowdstrike-edr-logs/)을 입력합니다. 이 URL은 후행 슬래시 (/)로 끝나야 합니다.

   9. 이벤트 기반 피드 유형의 경우 Pub/Sub 구독 이름 (예: projects/myproject/subscriptions/crowdstrike-edr-sub)을 입력합니다.

   10. 소스 삭제 옵션을 선택합니다. 파일 삭제 안함을 선택하는 것이 좋습니다.

   11. 다음을 클릭하고 설정을 검토한 후 제출을 클릭합니다.

4. 로그 수집 확인: CrowdStrike에서 로그가 푸시되고 있는지 확인한 후 Google SecOps에서 로그 유형 CS_EDR로 수신되는 로그를 확인합니다.

알림 로그 수집 (CS_ALERTS)

CrowdStrike Falcon 알림을 수집하려면 CrowdStrike API를 사용하는 피드를 구성합니다.

1. CrowdStrike Falcon Console에서 다음을 수행합니다.

   1. CrowdStrike Falcon 콘솔에 로그인합니다.
   2. 지원 및 리소스 > 리소스 및 도구 > API 클라이언트 및 키로 이동하여 API 클라이언트 만들기를 클릭합니다.
   3. 클라이언트 이름과 설명을 입력합니다.
   4. API 범위에서 알림의 읽기 체크박스를 선택합니다.
   5. 만들기를 클릭합니다. 생성된 클라이언트 ID, 클라이언트 보안 비밀번호, 기준 URL을 기록해 둡니다.

2. Google Security Operations:

   1. 설정 > 피드로 이동하여 새로 추가를 클릭합니다.
   2. 소스 유형으로 서드 파티 API를 선택합니다.
   3. 로그 유형으로 CrowdStrike Alerts API를 선택합니다.

   4. 다음을 클릭하고 CrowdStrike API 클라이언트의 값을 사용하여 다음 필드를 채웁니다.

      • OAuth 토큰 엔드포인트: 예를 들면 https://api.us-2.crowdstrike.com/oauth2/token입니다.
      • OAuth 클라이언트 ID
      • OAuth 클라이언트 보안 비밀번호
      • 기준 URL: 예를 들면 api.us-2.crowdstrike.com입니다.
      • 수집 유형: 다음 중 하나를 선택합니다.
        • 모든 알림 가져오기: 업데이트된 새 알림과 기존 알림을 모두 수집합니다.
        • 새 알림만 가져오기: 새 알림만 수집합니다.
      참고: 토큰 엔드포인트의 URL에 'us-2'가 포함되지 않을 수 있습니다. 이는 CrowdStrike 리전에 따라 다릅니다. CrowdStrike 콘솔에서 올바른 기준 URL을 사용하세요.

   5. 다음을 클릭한 후 제출을 클릭합니다.

탐지 로그 수집 (CS_DETECTS)

참고: CrowdStrike는 'Detects' 엔드포인트를 지원 중단했습니다. 대신 CS_ALERTS를 사용하여 감지 로그를 수집하는 것이 좋습니다.

CrowdStrike Falcon 감지 로그를 수집하려면 CrowdStrike API도 사용합니다.

1. CrowdStrike Falcon Console에서 다음을 수행합니다.

   1. CrowdStrike Falcon 콘솔에 로그인합니다.
   2. 지원 앱 > API 클라이언트 및 키로 이동합니다.
   3. 새 API 클라이언트 키 쌍을 만듭니다. 이 키 쌍에는 Detections에 대한 READ 권한이 있어야 합니다.

2. Google Security Operations:

   1. 설정 > 피드로 이동하여 새로 추가를 클릭합니다.
   2. 소스 유형으로 서드 파티 API를 선택합니다.
   3. 로그 유형으로 CrowdStrike Detection Monitoring을 선택합니다.
   4. 다음을 클릭한 후 제출을 클릭합니다. 생성한 API 사용자 인증 정보를 입력하라는 메시지가 표시됩니다.

IoC 로그 수집 (CS_IOC)

CrowdStrike에서 침해 지표 (IoC) 로그를 수집하려면 Google SecOps Intel Bridge를 사용합니다.

1. CrowdStrike Falcon 콘솔에서 새 API 클라이언트 키 쌍을 만듭니다. 이 키 쌍에는 Indicators (Falcon Intelligence)에 대한 READ 권한이 있어야 합니다.
2. CrowdStrike to Google SecOps Intel Bridge의 안내에 따라 Google SecOps Intel Bridge를 설정합니다.

3. 다음 Docker 명령어를 실행하여 CrowdStrike에서 Google SecOps로 로그를 전송합니다. sa.json은 Google SecOps 서비스 계정 파일입니다.

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. 컨테이너가 실행되면 IoC 로그가 Google SecOps로 스트리밍되기 시작합니다.

이러한 구성에 문제가 발생하면 Google SecOps 지원팀에 문의하세요.

지원되는 CrowdStrike 로그 형식

CrowdStrike 파서는 JSON 형식의 로그를 지원합니다.

변경 로그

이 파서의 변경 로그 보기

CS_ALERTS UDM 매핑 델타

참고: 이 델타에서 '이전 UDM 매핑'은 2026년 10월 27일 이전의 CrowdStrike 알림(CS_ALERTS) 파서 출시 버전을 의미합니다. 2026년 10월 27일 이후에 출시된 버전에는 다음 '새 UDM 매핑'이 포함됩니다.

참고: 이벤트의 metadata.event_type 값도 변경될 수 있습니다. 각 UDM 이벤트 유형에는 특정 UDM 필드를 채워야 합니다. 새 UDM 매핑이 이전에 할당된 이벤트 유형의 필수 필드를 더 이상 채우지 않으면 파서는 덜 구체적인 이벤트 유형(예: 해당 *_UNCATEGORIZED 이벤트 유형 또는 GENERIC_EVENT)을 할당합니다. 반대로 새 UDM 매핑이 더 구체적인 이벤트 유형의 모든 필수 필드를 채우면 파서가 더 구체적인 이벤트 유형을 할당합니다. metadata.event_type를 필터링하는 규칙, 검색, 대시보드를 검토합니다.

다음 표에는 CrowdStrike Alerts (CS_ALERTS) 파서의 이전 UDM 매핑과 새 UDM 매핑 간의 차이가 나와 있습니다.

로그 필드	이전 UDM 필드 이름	새 UDM 필드 이름
source_account_domain, device.machine_domain, logon_domain	principal.domain.name source_account_domain 로그 필드 값이 비어 있지 않은 경우 source_account_domain 로그 필드가 principal.domain.name UDM 필드에 매핑됩니다. 그렇지 않고 logon_domain 로그 필드 값이 비어 있지 않은 경우 logon_domain 로그 필드가 principal.domain.name UDM 필드에 매핑됩니다. 그렇지 않고 device.machine_domain 로그 필드 값이 비어 있지 않은 경우 device.machine_domain 로그 필드가 principal.domain.name UDM 필드에 매핑됩니다.	principal.domain.name source_account_domain 로그 필드 값이 비어 있지 않은 경우 source_account_domain 로그 필드가 principal.domain.name UDM 필드에 매핑됩니다. device.machine_domain 로그 필드 값이 비어 있지 않은 경우 device.machine_domain 로그 필드가 principal.user.attribute.labels.device_machine_domain UDM 필드에 매핑됩니다. logon_domain 로그 필드 값이 비어 있지 않은 경우 logon_domain 로그 필드가 principal.user.attribute.labels.logon_domain UDM 필드에 매핑됩니다. 그렇지 않고 device.machine_domain 로그 필드 값이 비어 있지 않은 경우 device.machine_domain 로그 필드가 principal.domain.name UDM 필드에 매핑됩니다. logon_domain 로그 필드 값이 비어 있지 않은 경우 logon_domain 로그 필드가 principal.user.attribute.labels.logon_domain UDM 필드에 매핑됩니다. 그렇지 않고 logon_domain 로그 필드 값이 비어 있지 않은 경우 logon_domain 로그 필드가 principal.domain.name UDM 필드에 매핑됩니다.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. 그렇지 않고 computer_name 로그 필드 값이 비어 있지 않은 경우 computer_name 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. 그렇지 않고 host_name 로그 필드 값이 비어 있지 않은 경우 host_name 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. 그렇지 않고 source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. 그렇지 않고 device.hostname 로그 필드 값이 비어 있지 않은 경우 device.hostname 로그 필드가 principal.hostname UDM 필드에 매핑됩니다.	principal.hostname hostname 로그 필드 값이 비어 있지 않은 경우 hostname 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. computer_name 로그 필드 값이 비어 있지 않은 경우 computer_name 로그 필드가 principal.asset.attribute.labels.computer_name UDM 필드에 매핑됩니다. host_name 로그 필드 값이 비어 있지 않은 경우 host_name 로그 필드가 principal.asset.attribute.labels.host_name UDM 필드에 매핑됩니다. host 로그 필드 값이 비어 있지 않은 경우 host 로그 필드가 principal.asset.attribute.labels.host UDM 필드에 매핑됩니다. device.hostname 로그 필드 값이 비어 있지 않으면 device_hostname 로그 필드가 principal.asset.attribute.labels.device_hostname UDM 필드에 매핑됩니다. source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.attribute.labels.source_endpoint_host_name UDM 필드에 매핑됩니다. threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 security_result.detection_fields.threatgraph_indicator_hostname UDM 필드에 매핑됩니다. 그렇지 않고 host_name 로그 필드 값이 비어 있지 않은 경우 host_name 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. computer_name 로그 필드 값이 비어 있지 않은 경우 computer_name 로그 필드가 principal.asset.attribute.labels.computer_name UDM 필드에 매핑됩니다. host 로그 필드 값이 비어 있지 않은 경우 host 로그 필드가 principal.asset.attribute.labels.host UDM 필드에 매핑됩니다. device.hostname 로그 필드 값이 비어 있지 않으면 device_hostname 로그 필드가 principal.asset.attribute.labels.device_hostname UDM 필드에 매핑됩니다. source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.attribute.labels.source_endpoint_host_name UDM 필드에 매핑됩니다. threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 security_result.detection_fields[threatgraph_indicator_hostname] UDM 필드에 매핑됩니다. 그렇지 않고 computer_name 로그 필드 값이 비어 있지 않은 경우 computer_name 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. host 로그 필드 값이 비어 있지 않은 경우 host 로그 필드가 principal.asset.attribute.labels.host UDM 필드에 매핑됩니다. device.hostname 로그 필드 값이 비어 있지 않은 경우 device.hostname 로그 필드가 principal.asset.attribute.labels.device_hostname UDM 필드에 매핑됩니다. source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.attribute.labels.source_endpoint_host_name UDM 필드에 매핑됩니다. threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 security_result.detection_fields.threatgraph_indicator_hostname UDM 필드에 매핑됩니다. 그렇지 않고 host 로그 필드 값이 비어 있지 않은 경우 host 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. device.hostname 로그 필드 값이 비어 있지 않은 경우 device.hostname 로그 필드가 principal.asset.attribute.labels.device_hostname UDM 필드에 매핑됩니다. source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.attribute.labels.source_endpoint_host_name UDM 필드에 매핑됩니다. threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 security_result.detection_fields.threatgraph_indicator_hostname UDM 필드에 매핑됩니다. 그렇지 않고 device.hostname 로그 필드 값이 비어 있지 않은 경우 device.hostname 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.attribute.labels.source_endpoint_host_name UDM 필드에 매핑됩니다. threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 security_result.detection_fields.threatgraph_indicator_hostname UDM 필드에 매핑됩니다. 그렇지 않고 source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.hostname UDM 필드에 매핑됩니다. threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 security_result.detection_fields.threatgraph_indicator_hostname UDM 필드에 매핑됩니다. 그렇지 않고 threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 principal.hostname UDM 필드에 매핑됩니다.
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.hostname 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 computer_name 로그 필드 값이 비어 있지 않은 경우 computer_name 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 host_name 로그 필드 값이 비어 있지 않은 경우 host_name 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 device.hostname 로그 필드 값이 비어 있지 않은 경우 device.hostname 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다.	principal.asset.hostname hostname 로그 필드 값이 비어 있지 않은 경우 hostname 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 host_name 로그 필드 값이 비어 있지 않은 경우 host_name 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 computer_name 로그 필드 값이 비어 있지 않은 경우 computer_name 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 host 로그 필드 값이 비어 있지 않은 경우 host 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 device.hostname 로그 필드 값이 비어 있지 않은 경우 device.hostname 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 source_endpoint_host_name 로그 필드 값이 비어 있지 않은 경우 source_endpoint_host_name 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다. 그렇지 않고 threatgraph_indicators.0.hostname 로그 필드 값이 비어 있지 않으면 threatgraph_indicators.0.hostname 로그 필드가 principal.asset.hostname UDM 필드에 매핑됩니다.
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region location_country_code 로그 필드가 principal.location.country_or_region UDM 필드에 매핑됩니다.	principal.location.country_or_region device_geo_location.country_name 로그 필드 값이 비어 있지 않은 경우 device_geo_location.country_name 로그 필드가 principal.location.country_or_region UDM 필드에 매핑됩니다. location_country_code 로그 필드 값이 비어 있지 않은 경우 location_country_code 로그 필드가 security_result.detection_fields.location_country_code UDM 필드에 매핑됩니다. 그렇지 않고 location_country_code 로그 필드 값이 비어 있지 않은 경우 location_country_code 로그 필드가 principal.location.country_or_region UDM 필드에 매핑됩니다.
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name user_name 로그 필드 값이 비어 있지 않은 경우 user_name 로그 필드가 principal.user.user_display_name UDM 필드에 매핑됩니다. 그렇지 않고 source_account_name 로그 필드 값이 비어 있지 않은 경우 source_account_name 로그 필드가 principal.user.user_display_name UDM 필드에 매핑됩니다.	principal.user.user_display_name user_name 로그 필드 값이 비어 있지 않은 경우 user_name 로그 필드가 principal.user.user_display_name UDM 필드에 매핑됩니다. source_account_name 로그 필드 값이 비어 있지 않은 경우 source_account_name 로그 필드가 principal.user.attribute.labels.source_account_name UDM 필드에 매핑됩니다. encrypted_by_username 로그 필드 값이 비어 있지 않은 경우 encrypted_by_username 로그 필드가 principal.user.attribute.labels.encrypted_by_username UDM 필드에 매핑됩니다. user_display_name 로그 필드 값이 비어 있지 않은 경우 user_display_name 로그 필드가 principal.user.attribute.labels.user_display_name UDM 필드에 매핑됩니다. 그렇지 않고 source_account_name 로그 필드 값이 비어 있지 않은 경우 source_account_name 로그 필드가 principal.user.user_display_name UDM 필드에 매핑됩니다. encrypted_by_username 로그 필드 값이 비어 있지 않은 경우 encrypted_by_username 로그 필드가 principal.user.attribute.labels.encrypted_by_username UDM 필드에 매핑됩니다. user_display_name 로그 필드 값이 비어 있지 않은 경우 user_display_name 로그 필드가 principal.user.attribute.labels.user_display_name UDM 필드에 매핑됩니다. 그렇지 않고 encrypted_by_username 로그 필드 값이 비어 있지 않은 경우 encrypted_by_username 로그 필드가 principal.user.user_display_name UDM 필드에 매핑됩니다. user_display_name 로그 필드 값이 비어 있지 않은 경우 user_display_name 로그 필드가 principal.user.attribute.labels.user_display_name UDM 필드에 매핑됩니다. 그렇지 않고 user_display_name 로그 필드 값이 비어 있지 않은 경우 user_display_name 로그 필드가 principal.user.user_display_name UDM 필드에 매핑됩니다.
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid sid 로그 필드 값이 비어 있지 않은 경우 sid 로그 필드가 principal.user.windows_sid UDM 필드에 매핑됩니다. source_account_object_sid 로그 필드 값이 비어 있지 않은 경우 source_account_object_sid 로그 필드가 principal.user.attribute.labels[source_account_object_sid] UDM 필드에 매핑됩니다. 그렇지 않고 source_account_object_sid 로그 필드 값이 비어 있지 않은 경우 source_account_object_sid 로그 필드가 principal.user.windows_sid UDM 필드에 매핑됩니다.
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{threatgraph_indicators.0.host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{threatgraph_indicators.0.host_id}는 threatgraph_indicators.0.host_id 로그 필드 값으로 바뀝니다. 그렇지 않고 host_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{host_id}는 host_id 로그 필드 값으로 대체됩니다. 그렇지 않고 agent_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{agent_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 agent_id 로그 필드 값으로 바뀝니다. 그렇지 않고 mdm_device_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{mdm_device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{mdm_device_id}는 mdm_device_id 로그 필드 값으로 바뀝니다. 그렇지 않고 device.device_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{device.device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{device.device_id}는 device.device_id 로그 필드 값으로 바뀝니다.	principal.asset_id, about.asset_id agent_id 로그 필드 값이 비어 있지 않은 경우 agent_id 로그 필드 값이 | 구분자를 사용하여 여러 값으로 분할됩니다. 분할된 agent_id 값을 반복합니다. index 값이 "0"와 같으면 principal.asset_id UDM 필드가 CS:%{agent_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 분할된 agent_id 값으로 바뀝니다. 그렇지 않으면 about.asset_id UDM 필드가 CS:%{agent_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 분할된 agent_id 값으로 바뀝니다. source_asset.id 로그 필드 값이 비어 있지 않은 경우 source_asset.id 로그 필드가 principal.asset.attribute.labels.source_asset_id UDM 필드에 매핑됩니다. host_id 로그 필드 값이 비어 있지 않은 경우 host_id 로그 필드가 principal.asset.attribute.labels.host_id UDM 필드에 매핑됩니다. device.device_id 로그 필드 값이 비어 있지 않은 경우 device.device_id 로그 필드가 principal.asset.attribute.labels.device_id UDM 필드에 매핑됩니다. mdm_device_id 로그 필드 값이 비어 있지 않은 경우 mdm_device_id 로그 필드가 principal.asset.attribute.labels.mdm_device_id UDM 필드에 매핑됩니다. threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.host_id 로그 필드가 security_result.detection_fields.threatgraph_indicator_host_id UDM 필드에 매핑됩니다. 그렇지 않고 source_asset.id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{source_asset.id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{source_asset.id}는 source_asset.id 로그 필드 값으로 바뀝니다. host_id 로그 필드 값이 비어 있지 않은 경우 host_id 로그 필드가 principal.asset.attribute.labels.host_id UDM 필드에 매핑됩니다. device.device_id 로그 필드 값이 비어 있지 않은 경우 device.device_id 로그 필드가 principal.asset.attribute.labels.device_id UDM 필드에 매핑됩니다. mdm_device_id 로그 필드 값이 비어 있지 않은 경우 mdm_device_id 로그 필드가 principal.asset.attribute.labels.mdm_device_id UDM 필드에 매핑됩니다. threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.host_id 로그 필드가 security_result.detection_fields.threatgraph_indicator_host_id UDM 필드에 매핑됩니다. 그렇지 않고 host_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{host_id}는 host_id 로그 필드 값으로 대체됩니다. device.device_id 로그 필드 값이 비어 있지 않은 경우 device.device_id 로그 필드가 principal.asset.attribute.labels.device_id UDM 필드에 매핑됩니다. mdm_device_id 로그 필드 값이 비어 있지 않은 경우 mdm_device_id 로그 필드가 principal.asset.attribute.labels.mdm_device_id UDM 필드에 매핑됩니다. threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.host_id 로그 필드가 security_result.detection_fields.threatgraph_indicator_host_id UDM 필드에 매핑됩니다. 그렇지 않고 device.device_id 로그 필드 값이 비어 있지 않은 경우 principal.asset_id UDM 필드가 CS:%{device.device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{device.device_id}는 device.device_id 로그 필드 값으로 대체됩니다. mdm_device_id 로그 필드 값이 비어 있지 않은 경우 mdm_device_id 로그 필드가 principal.asset.attribute.labels.mdm_device_id UDM 필드에 매핑됩니다. threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.host_id 로그 필드가 security_result.detection_fields.threatgraph_indicator_host_id UDM 필드에 매핑됩니다. 그렇지 않고 mdm_device_id 로그 필드 값이 비어 있지 않은 경우 principal.asset_id UDM 필드가 CS:%{mdm_device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{mdm_device_id}는 mdm_device_id 로그 필드 값으로 바뀝니다. threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않은 경우 threatgraph_indicators.0.host_id 로그 필드가 security_result.detection_fields.threatgraph_indicator_host_id UDM 필드에 매핑됩니다. 그렇지 않고 threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않으면 principal.asset_id UDM 필드가 CS:%{threatgraph_indicators.0.host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{threatgraph_indicators.0.host_id}는 threatgraph_indicators.0.host_id 로그 필드 값으로 바뀝니다.
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않은 경우 principal.asset.asset_id UDM 필드가 CS:%{threatgraph_indicators.0.host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{threatgraph_indicators.0.host_id}는 threatgraph_indicators.0.host_id 로그 필드 값으로 대체됩니다. 그렇지 않고 host_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{host_id}는 host_id 로그 필드 값으로 바뀝니다. 그렇지 않고 agent_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{agent_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 agent_id 로그 필드 값으로 바뀝니다. 그렇지 않고 mdm_device_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{mdm_device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{mdm_device_id}는 mdm_device_id 로그 필드 값으로 바뀝니다. 그렇지 않고 device.device_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{device.device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{device.device_id}는 device.device_id 로그 필드 값으로 바뀝니다.	principal.asset.asset_id, about.asset.asset_id agent_id 로그 필드 값이 비어 있지 않은 경우 agent_id 로그 필드 값이 | 구분자를 사용하여 여러 값으로 분할됩니다. 분할된 agent_id 값을 반복합니다. index 값이 "0"와 같으면 principal.asset.asset_id UDM 필드가 CS:%{agent_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 분할된 agent_id 값으로 바뀝니다. 그렇지 않으면 about.asset.asset_id UDM 필드가 CS:%{agent_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 분할된 agent_id 값으로 바뀝니다. 그렇지 않고 source_asset.id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{source_asset.id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{source_asset.id}는 source_asset.id 로그 필드 값으로 바뀝니다. 그렇지 않고 host_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{host_id}는 host_id 로그 필드 값으로 바뀝니다. 그렇지 않고 device.device_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{device.device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{device.device_id}는 device.device_id 로그 필드 값으로 바뀝니다. 그렇지 않고 mdm_device_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{mdm_device_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{mdm_device_id}는 mdm_device_id 로그 필드 값으로 바뀝니다. 그렇지 않고 threatgraph_indicators.0.host_id 로그 필드 값이 비어 있지 않으면 principal.asset.asset_id UDM 필드가 CS:%{threatgraph_indicators.0.host_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{threatgraph_indicators.0.host_id}는 threatgraph_indicators.0.host_id 로그 필드 값으로 바뀝니다.
cid, agent_id, process_id	target.process.product_specific_process_id cid 로그 필드 값이 비어 있지 않고 agent_id 로그 필드 값이 비어 있지 않고 process_id 로그 필드 값이 비어 있지 않으면 target.process.product_specific_process_id UDM 필드가 PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{cid}, %{agent_id}, %{process_id}는 각각 cid, agent_id, process_id 로그 필드 값으로 바뀝니다.	target.process.product_specific_process_id, about.process.product_specific_process_id agent_id 로그 필드 값이 비어 있지 않은 경우 agent_id 로그 필드 값이 | 구분자를 사용하여 여러 값으로 분할됩니다. 분할된 agent_id 값을 반복합니다. index 값이 "0"와 같고 cid 로그 필드 값이 비어 있지 않고 분할된 agent_id 값이 비어 있지 않고 process_id 로그 필드 값이 비어 있지 않으면 target.process.product_specific_process_id UDM 필드가 PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 분할된 agent_id 값으로 대체되고 %{cid} 및 %{process_id}는 각각 cid 및 process_id 로그 필드 값으로 대체됩니다. 그렇지 않고 cid 로그 필드 값이 비어 있지 않고 분할된 agent_id 값이 비어 있지 않고 process_id 로그 필드 값이 비어 있지 않으면 about.process.product_specific_process_id UDM 필드가 PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{agent_id}는 분할된 agent_id 값으로 대체되고 %{cid} 및 %{process_id}는 각각 cid 및 process_id 로그 필드 값으로 대체됩니다.
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details product 로그 필드 값이 "epp"와 일치하고 severity 로그 필드 값이 비어 있지 않은 경우 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 incident.score 로그 필드 값이 비어 있지 않은 경우 incident.score 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 product 로그 필드 값이 "mobile"와 일치하는 경우 severity 로그 필드 값이 비어 있지 않으면 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. Otherwise if the incident.score log field value is not empty, then The incident.score log field is mapped to the security_result.severity_details UDM field. 그렇지 않고 product 로그 필드 값이 "xdr"와 일치하는 경우 incident.score 로그 필드 값이 비어 있지 않으면 incident.score 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 severity 로그 필드 값이 비어 있지 않은 경우 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 severity 로그 필드 값이 비어 있지 않은 경우 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다.	security_result.severity_details product 로그 필드 값이 "epp"와 일치하고 severity 로그 필드 값이 비어 있지 않은 경우 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 incident.score 로그 필드 값이 비어 있지 않은 경우 incident.score 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 product 로그 필드 값이 "mobile"와 일치하는 경우 severity 로그 필드 값이 비어 있지 않으면 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. Otherwise if the incident.score log field value is not empty, then The incident.score log field is mapped to the security_result.severity_details UDM field. 그렇지 않고 product 로그 필드 값에 다음 값 중 하나가 포함된 경우: xdr automated-lead-context , incident.score 로그 필드 값이 비어 있지 않은 경우 incident.score 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 severity 로그 필드 값이 비어 있지 않은 경우 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다. 그렇지 않고 severity 로그 필드 값이 비어 있지 않으면 severity 로그 필드가 security_result.severity_details UDM 필드에 매핑됩니다.
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name index 값이 0와 같으면 로그 필드 entities.domain 를 반복합니다. 그러면 entities.domain 로그 필드가 target.domain.name UDM 필드에 매핑됩니다. 그렇지 않으면 entities.domain 로그 필드가 security_result.detection_fields.entities_domain UDM 필드에 매핑됩니다.	target.domain.name saas_domain 로그 필드 값이 비어 있지 않은 경우 saas_domain 로그 필드가 target.domain.name UDM 필드에 매핑됩니다. target_account_domain 로그 필드 값이 비어 있지 않은 경우 target_account_domain 로그 필드가 target.user.attribute.labels.target_account_domain UDM 필드에 매핑됩니다. entities.domain.0 로그 필드 값이 비어 있지 않은 경우 entities.domain.0 로그 필드가 target.user.attribute.labels.entities_domain UDM 필드에 매핑됩니다. domain_name 로그 필드 값이 비어 있지 않은 경우 domain_name 로그 필드가 target.user.attribute.labels.domain_name UDM 필드에 매핑됩니다. 그렇지 않고 target_account_domain 로그 필드 값이 비어 있지 않은 경우 target_account_domain 로그 필드가 target.domain.name UDM 필드에 매핑됩니다. entities.domain.0 로그 필드 값이 비어 있지 않은 경우 entities.domain.0 로그 필드가 target.user.attribute.labels.entities_domain UDM 필드에 매핑됩니다. domain_name 로그 필드 값이 비어 있지 않은 경우 domain_name 로그 필드가 target.user.attribute.labels.domain_name UDM 필드에 매핑됩니다. 그렇지 않고 entities.domain.0 로그 필드 값이 비어 있지 않은 경우 entities.domain.0 로그 필드가 target.domain.name UDM 필드에 매핑됩니다. domain_name 로그 필드 값이 비어 있지 않은 경우 domain_name 로그 필드가 target.user.attribute.labels.domain_name UDM 필드에 매핑됩니다. 그렇지 않고 domain_name 로그 필드 값이 비어 있지 않은 경우 domain_name 로그 필드가 target.domain.name UDM 필드에 매핑됩니다.
entities.domain	security_result.detection_fields[entities_domain] 로그 필드 entities.domain 를 반복합니다. index 값이 "0"와 일치하지 않는 경우 entities.domain 로그 필드가 security_result.detection_fields.entities_domain UDM 필드에 매핑됩니다.	target.user.attribute.labels[entities_domain] 로그 필드 entities.domain를 반복합니다. index 값이 "0"와 일치하지 않는 경우 entities.domain 로그 필드가 target.user.attribute.labels.entities_domain UDM 필드에 매핑됩니다.
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses target_account_upn 로그 필드 값이 비어 있지 않은 경우 target_account_upn 로그 필드 값이 정규 표현식 패턴 (^.+@.+$)과 일치하면 target_account_upn 로그 필드가 target.user.email_addresses UDM 필드에 매핑됩니다. 그렇지 않으면 target_account_upn 로그 필드가 target.user.attribute.labels.target_account_upn UDM 필드에 매핑됩니다.
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip network_accesses.local_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_accesses 를 반복합니다. network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_accesses.local_address 로그 필드가 target.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_accesses.local_address 로그 필드가 principal.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.local_address 로그 필드가 security_result.detection_fields.network_accesses_local_address UDM 필드에 매핑됩니다.
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip network_accesses.local_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_accesses 를 반복합니다. network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_accesses.local_address 로그 필드가 target.asset.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_accesses.local_address 로그 필드가 principal.asset.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.local_address 로그 필드가 security_result.detection_fields.network_accesses_local_address UDM 필드에 매핑됩니다.
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port index 값이 "0"과 일치하는 경우 로그 필드 network_accesses 를 반복합니다. network_accesses.local_port 로그 필드 값이 비어 있지 않은 경우 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_accesses.local_port 로그 필드가 target.port UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_accesses.local_port 로그 필드가 principal.port UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.local_port 로그 필드가 security_result.detection_fields.network_accesses_local_port UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses.local_port 로그 필드 값이 비어 있지 않은 경우 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_accesses.local_port 로그 필드가 target.asset.attribute.labels.network_accesses_local_port UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_accesses.local_port 로그 필드가 principal.asset.attribute.labels.network_accesses_local_port UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.local_port 로그 필드가 security_result.detection_fields.network_accesses_local_port UDM 필드에 매핑됩니다.
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol index 값이 "0"와 같으면 로그 필드 network_accesses.protocol 를 반복합니다. 그러면 network_accesses.protocol 로그 필드가 network.ip_protocol UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.protocol 로그 필드가 security_result.detection_fields.network_accesses_protocol UDM 필드에 매핑됩니다.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip network_accesses.remote_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_accesses 를 반복합니다. network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_accesses.remote_address 로그 필드가 principal.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_accesses.remote_address 로그 필드가 target.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.remote_address 로그 필드가 security_result.detection_fields.network_accesses_remote_address UDM 필드에 매핑됩니다.
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip network_accesses.remote_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_accesses 를 반복합니다. network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_accesses.remote_address 로그 필드가 principal.asset.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_accesses 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_accesses.remote_address 로그 필드가 target.asset.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_accesses.remote_address 로그 필드가 security_result.detection_fields.network_accesses_remote_address UDM 필드에 매핑됩니다.
resource_name, bucket_name	target.resource.name	target.resource.name resource_name 로그 필드 값이 비어 있지 않은 경우 resource_name 로그 필드가 target.resource.name UDM 필드에 매핑됩니다. bucket_name 로그 필드 값이 비어 있지 않은 경우 bucket_name 로그 필드가 target.resource.attribute.labels[bucket_name] UDM 필드에 매핑됩니다. 그렇지 않고 bucket_name 로그 필드 값이 비어 있지 않은 경우 bucket_name 로그 필드가 target.resource.name UDM 필드에 매핑됩니다.
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id 로그 필드 incident.host_ids 를 반복합니다. index 값이 "0"와 같으면 target.asset_id UDM 필드가 CS:%{incident.host_ids} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{incident.host_ids}는 incident.host_ids 로그 필드 값으로 바뀝니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "incident_host_id"로 설정되고 incident.host_ids 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	target.asset_id destination_asset.id 로그 필드 값이 비어 있지 않은 경우 target.asset_id UDM 필드가 CS:%{destination_asset.id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{destination_asset.id}는 destination_asset.id 로그 필드 값으로 바뀝니다. incident.host_ids.0 로그 필드 값이 비어 있지 않은 경우 incident.host_ids.0 로그 필드가 security_result.detection_fields.incident_host_id UDM 필드에 매핑됩니다. destination.usb_combined_id 로그 필드 값이 비어 있지 않은 경우 destination.usb_combined_id 로그 필드가 target.asset.attribute.labels.destination_usb_combined_id UDM 필드에 매핑됩니다. 그렇지 않고 incident.host_ids.0 로그 필드 값이 비어 있지 않은 경우 target.asset_id UDM 필드가 CS:%{incident.host_ids.0} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{incident.host_ids.0}는 incident.host_ids.0 로그 필드 값으로 대체됩니다. destination.usb_combined_id 로그 필드 값이 비어 있지 않은 경우 destination.usb_combined_id 로그 필드가 target.asset.attribute.labels.destination_usb_combined_id UDM 필드에 매핑됩니다. 그렇지 않고 destination.usb_combined_id 로그 필드 값이 비어 있지 않으면 target.asset_id UDM 필드가 CS:%{destination.usb_combined_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{destination.usb_combined_id}는 destination.usb_combined_id 로그 필드 값으로 바뀝니다. 로그 필드 incident.host_ids를 반복합니다. index 값이 "0"와 같지 않으면 security_result.detection_fields.key UDM 필드가 "incident_host_ids"로 설정되고 incident.host_ids 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id index 값이 "0"와 일치하는 경우 로그 필드 incident.host_ids 를 반복합니다. 그러면 target.asset.asset_id UDM 필드가 CS:%{incident.host_ids} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{incident.host_ids}는 incident.host_ids 로그 필드 값으로 바뀝니다.	target.asset.asset_id destination_asset.id 로그 필드 값이 비어 있지 않은 경우 target.asset.asset_id UDM 필드가 CS:%{destination_asset.id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{destination_asset.id}는 destination_asset.id 로그 필드 값으로 바뀝니다. 그렇지 않고 incident.host_ids.0 로그 필드 값이 비어 있지 않으면 target.asset.asset_id UDM 필드가 CS:%{incident.host_ids.0} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{incident.host_ids.0}는 incident.host_ids.0 로그 필드 값으로 바뀝니다. 그렇지 않고 destination.usb_combined_id 로그 필드 값이 비어 있지 않으면 target.asset.asset_id UDM 필드가 CS:%{destination.usb_combined_id} 템플릿에서 생성된 값으로 설정됩니다. 여기서 %{destination.usb_combined_id}는 destination.usb_combined_id 로그 필드 값으로 바뀝니다.
entities.file_name	target.process.file.names 로그 필드 entities.file_name를 통해 반복 entities.file_name 로그 필드가 target.process.file.names UDM 필드에 매핑됩니다.	security_result.detection_fields[entities_file_name] 로그 필드를 통해 반복 entities.file_name entities.file_name 로그 필드 값이 비어 있지 않으면 entities.file_name 로그 필드가 security_result.detection_fields.entities_file_name UDM 필드에 매핑됩니다.
entities.image_file_name	target.process.file.full_path 로그 필드 entities.image_file_name 를 반복합니다. index 값이 0와 같으면 entities.image_file_name 로그 필드가 target.process.file.full_path UDM 필드에 매핑됩니다. 그렇지 않으면 entities.image_file_name 로그 필드가 security_result.detection_fields.entities_image_file_name UDM 필드에 매핑됩니다.	security_result.detection_fields[entities_image_file_name] 로그 필드 entities.image_file_name 를 반복합니다. entities.image_file_name 로그 필드 값이 비어 있지 않으면 entities.image_file_name 로그 필드가 security_result.detection_fields.entities_image_file_name UDM 필드에 매핑됩니다.
entities.process	target.process.pid index 값이 0와 같으면 로그 필드 entities.process 를 반복합니다. 그러면 entities.process 로그 필드가 target.process.pid UDM 필드에 매핑됩니다. 그렇지 않으면 entities.process 로그 필드가 security_result.detection_fields.entities_process UDM 필드에 매핑됩니다.	security_result.detection_fields[entities_process] 로그 필드를 통해 반복 entities.process entities.process 로그 필드 값이 비어 있지 않으면 entities.process 로그 필드가 security_result.detection_fields.entities_process UDM 필드에 매핑됩니다.
entities.sha256	target.process.file.sha256 index 값이 0와 같으면 로그 필드 entities.sha256 를 반복합니다. 그러면 entities.sha256 로그 필드가 target.process.file.sha256 UDM 필드에 매핑됩니다. 그렇지 않으면 entities.sha256 로그 필드가 security_result.detection_fields.entities_sha256 UDM 필드에 매핑됩니다.	security_result.detection_fields[entities_sha256] 로그 필드를 통해 반복 entities.sha256 entities.sha256 로그 필드 값이 비어 있지 않으면 entities.sha256 로그 필드가 security_result.detection_fields.entities_sha256 UDM 필드에 매핑됩니다.
entities.username	target.user.user_display_name 로그 필드 entities.username 를 반복합니다. index 값이 0와 같으면 entities.username 로그 필드가 target.user.user_display_name UDM 필드에 매핑됩니다. 그렇지 않으면 entities.username 로그 필드가 security_result.detection_fields.entities_username UDM 필드에 매핑됩니다.	security_result.detection_fields[entities_username] 로그 필드를 통해 반복 entities.username entities.username 로그 필드 값이 비어 있지 않으면 entities.username 로그 필드가 security_result.detection_fields.entities_username UDM 필드에 매핑됩니다.
application_name, destination.name	target.application	target.application destination.name 로그 필드 값이 비어 있지 않은 경우 destination.name 로그 필드가 target.application UDM 필드에 매핑됩니다. application_name 로그 필드 값이 비어 있지 않은 경우 application_name 로그 필드가 security_result.detection_fields[application_name] UDM 필드에 매핑됩니다. 그렇지 않고 application_name 로그 필드 값이 비어 있지 않은 경우 application_name 로그 필드가 target.application UDM 필드에 매핑됩니다.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip network_info.local_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_info 를 반복합니다. network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_info.local_address 로그 필드가 target.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_info.local_address 로그 필드가 principal.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_info.local_address 로그 필드가 security_result.detection_fields.network_info_local_address UDM 필드에 매핑됩니다.
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip network_info.local_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_info 를 반복합니다. network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_info.local_address 로그 필드가 target.asset.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_info.local_address 로그 필드가 principal.asset.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_info.local_address 로그 필드가 security_result.detection_fields.network_info_local_address UDM 필드에 매핑됩니다.
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol index 값이 "0"와 같으면 로그 필드 network_info.protocol 를 반복합니다. 그러면 network_info.protocol 로그 필드가 network.ip_protocol UDM 필드에 매핑됩니다. 그렇지 않으면 network_info.protocol 로그 필드가 security_result.detection_fields.network_info_protocol UDM 필드에 매핑됩니다.
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path unexpected_dynamic_library_loaded.0.target_file_name 로그 필드 값이 비어 있지 않은 경우 unexpected_dynamic_library_loaded.0.target_file_name 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. harmful_app_image_filename 로그 필드 값이 비어 있지 않은 경우 harmful_app_image_filename 로그 필드가 security_result.detection_fields.harmful_app_image_filename UDM 필드에 매핑됩니다. sideloaded_app_image_filename 로그 필드 값이 비어 있지 않은 경우 sideloaded_app_image_filename 로그 필드가 security_result.detection_fields.sideloaded_app_image_filename UDM 필드에 매핑됩니다. duplicated_app_image_filename 로그 필드 값이 비어 있지 않은 경우 duplicated_app_image_filename 로그 필드가 security_result.detection_fields.duplicated_app_image_filename UDM 필드에 매핑됩니다. debuggable_app_image_filename 로그 필드 값이 비어 있지 않은 경우 debuggable_app_image_filename 로그 필드가 security_result.detection_fields.debuggable_app_image_filename UDM 필드에 매핑됩니다. unexpected_files.0 로그 필드 값이 비어 있지 않은 경우 unexpected_files.0 로그 필드가 security_result.detection_fields.unexpected_files UDM 필드에 매핑됩니다. app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 security_result.detection_fields.app_image_filename UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 harmful_app_image_filename 로그 필드 값이 비어 있지 않은 경우 harmful_app_image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. sideloaded_app_image_filename 로그 필드 값이 비어 있지 않은 경우 sideloaded_app_image_filename 로그 필드가 security_result.detection_fields.sideloaded_app_image_filename UDM 필드에 매핑됩니다. duplicated_app_image_filename 로그 필드 값이 비어 있지 않은 경우 duplicated_app_image_filename 로그 필드가 security_result.detection_fields.duplicated_app_image_filename UDM 필드에 매핑됩니다. debuggable_app_image_filename 로그 필드 값이 비어 있지 않은 경우 debuggable_app_image_filename 로그 필드가 security_result.detection_fields.debuggable_app_image_filename UDM 필드에 매핑됩니다. unexpected_files.0 로그 필드 값이 비어 있지 않은 경우 unexpected_files.0 로그 필드가 security_result.detection_fields.unexpected_files UDM 필드에 매핑됩니다. app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 security_result.detection_fields.app_image_filename UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 sideloaded_app_image_filename 로그 필드 값이 비어 있지 않은 경우 sideloaded_app_image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. duplicated_app_image_filename 로그 필드 값이 비어 있지 않은 경우 duplicated_app_image_filename 로그 필드가 security_result.detection_fields.duplicated_app_image_filename UDM 필드에 매핑됩니다. debuggable_app_image_filename 로그 필드 값이 비어 있지 않은 경우 debuggable_app_image_filename 로그 필드가 security_result.detection_fields.debuggable_app_image_filename UDM 필드에 매핑됩니다. unexpected_files.0 로그 필드 값이 비어 있지 않은 경우 unexpected_files.0 로그 필드가 security_result.detection_fields.unexpected_files UDM 필드에 매핑됩니다. app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 security_result.detection_fields.app_image_filename UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 duplicated_app_image_filename 로그 필드 값이 비어 있지 않은 경우 duplicated_app_image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. debuggable_app_image_filename 로그 필드 값이 비어 있지 않은 경우 debuggable_app_image_filename 로그 필드가 security_result.detection_fields.debuggable_app_image_filename UDM 필드에 매핑됩니다. unexpected_files.0 로그 필드 값이 비어 있지 않은 경우 unexpected_files.0 로그 필드가 security_result.detection_fields.unexpected_files UDM 필드에 매핑됩니다. app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 security_result.detection_fields.app_image_filename UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 debuggable_app_image_filename 로그 필드 값이 비어 있지 않은 경우 debuggable_app_image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. unexpected_files.0 로그 필드 값이 비어 있지 않은 경우 unexpected_files.0 로그 필드가 security_result.detection_fields.unexpected_files UDM 필드에 매핑됩니다. app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 security_result.detection_fields.app_image_filename UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 unexpected_files.0 로그 필드 값이 비어 있지 않은 경우 unexpected_files.0 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 security_result.detection_fields.app_image_filename UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 app_image_filename 로그 필드 값이 비어 있지 않은 경우 app_image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_apps_image_filename UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 suspicious_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_apps.0.image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다. suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 필드에 매핑됩니다. 그렇지 않고 suspicious_activities_apps.0.image_filename 로그 필드 값이 비어 있지 않은 경우 suspicious_activities_apps.0.image_filename 로그 필드가 target.file.full_path UDM 필드에 매핑됩니다.
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application 로그 필드 intrusive_package 를 반복합니다. index 값이 "0"와 같으면 intrusive_package.target_package_name 로그 필드가 target.application UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "intrusive_package_target_package_name"로 설정되고 intrusive_package.target_package_name 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	security_result.detection_fields[intrusive_package_target_package_name] intrusive_package.target_package_name 로그 필드 값이 비어 있지 않은 경우 로그 필드 intrusive_package 를 반복합니다. 그러면 intrusive_package.target_package_name 로그 필드가 security_result.detection_fields.intrusive_package_target_package_name UDM 필드에 매핑됩니다.
intrusive_process.target_process_name	target.process.file.names index 값이 "0"와 같으면 로그 필드 intrusive_process 를 반복합니다. 그러면 intrusive_process.target_process_name 로그 필드가 target.process.file.names UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "intrusive_process_target_process_name"로 설정되고 intrusive_process.target_process_name 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	security_result.detection_fields[intrusive_process_target_process_name] intrusive_process.target_process_name 로그 필드 값이 비어 있지 않은 경우 로그 필드 intrusive_process 를 반복합니다. 그러면 intrusive_process.target_process_name 로그 필드가 security_result.detection_fields.intrusive_process_target_process_name UDM 필드에 매핑됩니다.
intrusive_process.target_process_path	target.process.file.full_path 로그 필드 intrusive_process 를 반복합니다. index 값이 "0"와 같으면 intrusive_process.target_process_path 로그 필드가 target.process.file.full_path UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "intrusive_process_target_process_path"로 설정되고 intrusive_process.target_process_path 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	security_result.detection_fields[intrusive_process_target_process_path] intrusive_process.target_process_path 로그 필드 값이 비어 있지 않은 경우 로그 필드 intrusive_process 를 반복합니다. 그러면 intrusive_process.target_process_path 로그 필드가 security_result.detection_fields.intrusive_process_target_process_path UDM 필드에 매핑됩니다.
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port index 값이 "0"과 일치하는 경우 로그 필드 network_info 를 반복합니다. network_info.local_port 로그 필드 값이 비어 있지 않은 경우 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하는 경우 network_info.local_port 로그 필드가 target.port UDM 필드에 매핑됩니다. 그렇지 않고 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_info.local_port 로그 필드가 principal.port UDM 필드에 매핑됩니다. 그렇지 않으면 network_info.local_port 로그 필드가 security_result.detection_fields.network_info_local_port UDM 필드에 매핑됩니다. 그렇지 않고 network_info.local_port 로그 필드 값이 비어 있지 않은 경우 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_info.local_port 로그 필드가 target.asset.attribute.labels.network_info_local_port UDM 필드에 매핑됩니다. Otherwise if the network_info log field valuethe connection_direction log field value matches the regular expression pattern: (?i)outbound, then The network_info.local_port log field is mapped to the principal.asset.attribute.labels.network_info_local_port UDM field. 그렇지 않으면 network_info.local_port 로그 필드가 security_result.detection_fields.network_info_local_port UDM 필드에 매핑됩니다.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip network_info.remote_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_info 를 반복합니다. network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_info.remote_address 로그 필드가 principal.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_info.remote_address 로그 필드가 target.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_info.remote_address 로그 필드가 security_result.detection_fields.network_info_remote_address UDM 필드에 매핑됩니다.
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip network_info.remote_address 로그 필드 값이 비어 있지 않은 경우 로그 필드 network_info 를 반복합니다. network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)inbound과 일치하면 network_info.remote_address 로그 필드가 principal.asset.ip UDM 필드에 매핑됩니다. 그렇지 않고 network_info 로그 필드 값 connection_direction 로그 필드 값이 정규 표현식 패턴 (?i)outbound과 일치하면 network_info.remote_address 로그 필드가 target.asset.ip UDM 필드에 매핑됩니다. 그렇지 않으면 network_info.remote_address 로그 필드가 security_result.detection_fields.network_info_remote_address UDM 필드에 매핑됩니다.
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application index 값이 "0"와 같으면 로그 필드 suspicious_activities_apps 를 반복합니다. 그러면 suspicious_activities_apps.app_label 로그 필드가 target.application UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "suspicious_activities_apps_app_label"로 설정되고 suspicious_activities_apps.app_label 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application index 값이 "0"와 같으면 로그 필드 suspicious_apps 를 반복합니다. 그러면 suspicious_apps.app_label 로그 필드가 target.application UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "suspicious_apps_app_label"로 설정되고 suspicious_apps.app_label 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 로그 필드 suspicious_apps 를 반복합니다. index 값이 "0"와 같으면 suspicious_apps.certificate_thumbprints_sha1 로그 필드가 target.file.sha1 UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "suspicious_apps_certificate_thumbprints_sha1"로 설정되고 suspicious_apps.certificate_thumbprints_sha1 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 index 값이 "0"와 같으면 로그 필드 suspicious_apps 를 반복합니다. 그러면 suspicious_apps.certificate_thumbprints_sha256 로그 필드가 target.file.sha256 UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "suspicious_apps_certificate_thumbprints_sha256"로 설정되고 suspicious_apps.certificate_thumbprints_sha256 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name 로그 필드 system_partition_altered 를 반복합니다. index 값이 "0"와 같으면 system_partition_altered.volume_mount_point 로그 필드가 target.resource.name UDM 필드에 매핑됩니다. 그렇지 않으면 system_partition_altered.volume_mount_point 로그 필드가 target.resource_ancestors.name UDM 필드에 매핑됩니다.	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type 로그 필드 system_partition_altered 를 반복합니다. system_partition_altered.volume_mount_point 로그 필드 값이 비어 있지 않으면 index 값이 "0"와 일치하는 경우 target.resource.resource_type UDM 필드가 "VOLUME"로 설정됩니다. 그렇지 않으면 target.resource_ancestors.resource_type UDM 필드가 "VOLUME"으로 설정됩니다.
system_partition_altered.volume_type	target.resource.resource_subtype 로그 필드 system_partition_altered 를 반복합니다. index 값이 "0"와 같으면 system_partition_altered.volume_type 로그 필드가 target.resource.resource_subtype UDM 필드에 매핑됩니다. 그렇지 않으면 system_partition_altered.volume_type 로그 필드가 target.resource_ancestors.resource_subtype UDM 필드에 매핑됩니다.	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name 로그 필드를 통해 반복 system_updates_blocked_by_dns system_updates_blocked_by_dns.domain_name 로그 필드가 network.dns.questions.name UDM 필드에 매핑됩니다.	about.domain.name 로그 필드 system_updates_blocked_by_dns를 통해 반복 system_updates_blocked_by_dns.domain_name 로그 필드가 about.domain.name UDM 필드에 매핑됩니다.
system_updates_blocked_by_filesystem.file_name	target.file.names 로그 필드 system_updates_blocked_by_filesystem를 통해 반복 system_updates_blocked_by_filesystem.file_name 로그 필드가 target.file.names UDM 필드에 매핑됩니다.	about.file.full_path 로그 필드를 통해 반복 system_updates_blocked_by_filesystem system_updates_blocked_by_filesystem.file_name 로그 필드가 about.file.full_path UDM 필드에 매핑됩니다.
system_updates_blocked_by_http.url	target.url url 로그 필드 값이 비어 있으면 로그 필드 system_updates_blocked_by_http를 반복합니다. index 값이 "0"와 같으면 system_updates_blocked_by_http.url 로그 필드가 target.url UDM 필드에 매핑됩니다. 그렇지 않으면 security_result.detection_fields.key UDM 필드가 "system_updates_blocked_by_http_url"로 설정되고 system_updates_blocked_by_http.url 로그 필드가 security_result.detection_fields.value UDM 필드에 매핑됩니다.	about.url 로그 필드 system_updates_blocked_by_http를 통해 반복합니다. system_updates_blocked_by_http.url 로그 필드가 about.url UDM 필드에 매핑됩니다.
threatgraph_indicators.process_id	target.process.pid index 값이 "0"와 같으면 로그 필드 threatgraph_indicators 를 반복합니다. 그러면 threatgraph_indicators.process_id 로그 필드가 target.process.pid UDM 필드에 매핑됩니다. 그렇지 않고 threatgraph_indicators.process_id 로그 필드 값이 비어 있지 않으면 threatgraph_indicators.process_id 로그 필드가 security_result.detection_fields.threatgraph_indicators_process_id UDM 필드에 매핑됩니다.	security_result.detection_fields[threatgraph_indicators_process_id] 로그 필드를 통해 반복 threatgraph_indicators threatgraph_indicators.process_id 로그 필드 값이 비어 있지 않으면 threatgraph_indicators.process_id 로그 필드가 security_result.detection_fields.threatgraph_indicators_process_id UDM 필드에 매핑됩니다.
agent_id	principal.asset.attribute.labels[agent_id] device.device_id 로그 필드 값이 비어 있지 않거나 mdm_device_id 로그 필드 값이 비어 있지 않거나 host_id 로그 필드 값이 비어 있지 않은 경우 agent_id 로그 필드 값이 비어 있지 않으면 agent_id 로그 필드가 principal.asset.attribute.labels.agent_id UDM 필드에 매핑됩니다.
event_timestamp, timestamp	metadata.event_timestamp timestamp 로그 필드 값이 비어 있지 않은 경우 timestamp 로그 필드가 metadata.event_timestamp UDM 필드에 매핑됩니다.	metadata.event_timestamp event_timestamp 로그 필드 값이 비어 있지 않은 경우 event_timestamp 로그 필드가 metadata.event_timestamp UDM 필드에 매핑됩니다. 그렇지 않고 timestamp 로그 필드 값이 비어 있지 않은 경우 timestamp 로그 필드가 metadata.event_timestamp UDM 필드에 매핑됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.