Recopila registros de Microsoft Exchange

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las Ofertas de Fase Previa a la DG de las Condiciones Específicas del Servicio de Operaciones de Seguridad de Google. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los Lineamientos de los Servicios de Asistencia Técnica de Google SecOps y las Condiciones Específicas del Servicio de Google SecOps.

En este documento, se explica cómo transferir registros de Microsoft Exchange a Google Security Operations con Bindplane. Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia EXCHANGE_MAIL.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Una instancia de Google SecOps
• Windows Server 2016 o una versión posterior con Microsoft Exchange Server instalado
• Acceso administrativo al servidor de Exchange
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.
2. Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Recursos adicionales de instalación

• Para obtener más opciones de instalación, consulta esta guía de instalación.

Configura el agente de BindPlane para recopilar registros de eventos de Windows y enviarlos a Google SecOps

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio `C:\Program Files\observIQ OpenTelemetry Collector` en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, Bloc de notas o Notepad++).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     windowseventlog/exchange_application:
       channel: Application
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
     windowseventlog/exchange_system:
       channel: System
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
     windowseventlog/exchange_management:
       channel: MSExchange Management
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
   processors:
     batch:
   
   exporters:
     chronicle/exchange:
       compression: gzip
       # Adjust the path to the credentials file you downloaded earlier
       creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
       # Replace with your actual customer ID
       customer_id: <PLACEHOLDER_CUSTOMER_ID>
       endpoint: <YOUR_REGIONAL_ENDPOINT>
       # Add ingestion labels for Exchange logs
       log_type: 'EXCHANGE_MAIL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/exchange:
         receivers:
           - windowseventlog/exchange_application
           - windowseventlog/exchange_system
           - windowseventlog/exchange_management
         processors:
           - batch
         exporters:
           - chronicle/exchange
   

   • Reemplaza <PLACEHOLDER_CUSTOMER_ID> por el ID de cliente real que obtuviste antes.
   • Reemplaza <YOUR_REGIONAL_ENDPOINT> por el extremo regional adecuado de la documentación de extremos regionales.
   • Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Obtén el archivo de autenticación de la transferencia de Google SecOps.

Notas de configuración

• Canal de aplicación: Recopila eventos a nivel de la aplicación desde Exchange Server, incluidos el inicio del servicio, los errores y las advertencias.
• Canal del sistema: Recopila eventos a nivel del sistema que pueden afectar el funcionamiento de Exchange Server.
• Canal de administración de MSExchange: Recopila eventos de administración específicos de Exchange, incluidas las ejecuciones de cmdlets de PowerShell y las acciones administrativas.
• raw: true: Envía entradas completas del registro de eventos de Windows en su formato original para un análisis integral.
• start_at: end: Comienza a recopilar eventos nuevos a partir del punto actual (no ingiere registros históricos).

Reinicia el agente de Bindplane para aplicar los cambios

• Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando como administrador:

  net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"
  

Asignación de UDM

Campo de registro	Asignación de UDM	Lógica
c-ip	read_only_udm.target.asset.ip	Valor tomado del campo "c-ip"
c-ip	read_only_udm.target.ip	Valor tomado del campo "c-ip"
client-hostname	read_only_udm.principal.asset.hostname	Valor tomado del campo "client-hostname"
client-hostname	read_only_udm.principal.hostname	Valor tomado del campo "client-hostname"
client-ip	read_only_udm.principal.asset.ip	Valor tomado del campo "client-ip"
client-ip	read_only_udm.principal.ip	Valor tomado del campo "client-ip"
column1	read_only_udm.metadata.event_timestamp	Valor tomado del campo "column1"
column10	read_only_udm.intermediary.resource.attribute.labels.value	Valor tomado del campo "column10"
column11	read_only_udm.network.email.mail_id	Valor tomado del campo "column11"
column12	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "column12"
column13	read_only_udm.network.email.to	Valor tomado del campo "column13"
column13	read_only_udm.target.user.email_addresses	Valor tomado del campo "column13"
column15	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "column15"
column16	read_only_udm.target.resource.attribute.labels.value	Valor tomado del campo "column16"
column19	read_only_udm.network.email.subject	Valor tomado del campo "column19"
column2	read_only_udm.principal.asset.ip	Valor tomado del campo "column2"
column2	read_only_udm.principal.ip	Valor tomado del campo "column2"
column20	read_only_udm.network.email.from	Valor tomado del campo "column20"
column20	read_only_udm.principal.user.email_addresses	Valor tomado del campo "column20"
column21	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "column21"
column22	read_only_udm.security_result.description	Valor tomado del campo "column22"
column24	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "column24"
column25	read_only_udm.principal.asset.ip	Valor tomado del campo "column25"
column25	read_only_udm.principal.ip	Valor tomado del campo "column25"
column26	read_only_udm.target.asset.ip	Valor tomado del campo "column26"
column26	read_only_udm.target.ip	Valor tomado del campo "column26"
column27	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "column27"
column28	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "column28"
column29	read_only_udm.metadata.product_log_id	Valor tomado del campo "column29"
column3	read_only_udm.principal.asset.hostname	Valor tomado del campo "column3"
column3	read_only_udm.principal.hostname	Valor tomado del campo "column3"
column30	read_only_udm.metadata.product_version	Valor tomado del campo "column30"
column4	read_only_udm.target.asset.ip	Valor tomado del campo "column4"
column4	read_only_udm.target.ip	Valor tomado del campo "column4"
column5	read_only_udm.target.asset.hostname	Valor tomado del campo "column5"
column5	read_only_udm.target.hostname	Valor tomado del campo "column5"
column6	read_only_udm.metadata.event_timestamp	Valor tomado del campo "column6"
column6	read_only_udm.network.http.response_code	Valor tomado del campo "column6"
column6	read_only_udm.network.session_id	Valor tomado del campo "column6"
column6	read_only_udm.metadata.description	Valor tomado del campo "column6"
column7	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "column7"
column8	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "column8"
column9	read_only_udm.metadata.product_event_type	Valor tomado del campo "column9"
connector_id	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "connector-id"
cs-method	read_only_udm.network.http.method	Valor tomado del campo "cs-method"
cs-uri-query	read_only_udm.target.url	Valor tomado del campo "cs-uri-query"
cs-uri-stem	read_only_udm.target.url	Valor tomado del campo "cs-uri-stem"
csReferer	read_only_udm.network.http.referral_url	Valor tomado del campo "csReferer"
csUser-Agent	read_only_udm.network.http.user_agent	Valor tomado del campo "csUser-Agent"
cs-username	read_only_udm.principal.user.userid	Valor tomado del campo "cs-username"
custom-data	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "custom-data"
datos	read_only_udm.security_result.about.labels.value	Valor tomado del campo "data"
datos	read_only_udm.security_result.description	Valor tomado del campo "data"
datos	read_only_udm.network.email.from	Valor tomado del campo "data"
datos	read_only_udm.network.email.to	Valor tomado del campo "data"
datos	read_only_udm.target.hostname	Valor tomado del campo "data"
datos	read_only_udm.security_result.description	Valor tomado del campo "data"
datos	read_only_udm.network.sent_bytes	Valor tomado del campo "data"
datos	read_only_udm.target.user.email_addresses	Valor tomado del campo "data"
fecha	read_only_udm.metadata.event_timestamp	Valor tomado de los campos "fecha" y "hora"
date-time	read_only_udm.metadata.event_timestamp	Valor tomado del campo "fecha y hora"
DeliveryLatency	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "DeliveryLatency" en "custom-data" o "message-info"
DeliveryPriority	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "DeliveryPriority" en el campo "custom-data" o "column21"
DeliveryPriority	read_only_udm.security_result.priority	Si "DeliveryPriority" es "Low" o "Normal", entonces "LOW_PRIORITY"; si "DeliveryPriority" es "Medium", entonces "MEDIUM_PRIORITY"; si "DeliveryPriority" es "High", entonces "HIGH_PRIORITY".
direccionalidad	read_only_udm.network.direction	Si "directionality" es "Incoming", entonces "INBOUND"; si "directionality" es "Originating", entonces "OUTBOUND".
E2ELatency	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "E2ELatency" en "custom-data" o "message-info"
evento	read_only_udm.metadata.product_event_type	Si "event" es "+", entonces "Connect"; si "event" es "-", entonces "Disconnect"; si "event" es "*", entonces "Information"; si "event" es ">", entonces "Send"; si "event" es "<", entonces "Receive".
evento	read_only_udm.network.direction	Si "event" es ">", entonces "OUTBOUND"; si "event" es "<", entonces "INBOUND".
EventID	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "EventID"
EventReceivedTime	read_only_udm.metadata.collected_timestamp	Valor tomado del campo "EventReceivedTime"
EventReceivedTime	read_only_udm.metadata.event_timestamp	Valor tomado del campo "EventReceivedTime" en "column6"
FirstForestHop	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "FirstForestHop" en "custom-data"
FromEntity	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "FromEntity" en "custom-data" o "message-info"
guid	read_only_udm.metadata.product_log_id	Valor tomado del campo "guid"
Nombre de host	read_only_udm.principal.asset.hostname	Valor tomado del campo "Nombre de host"
Nombre de host	read_only_udm.principal.hostname	Valor tomado del campo "Nombre de host"
IncludeInSla	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "IncludeInSla" en "custom-data" o "message-info"
internal-message-id	read_only_udm.intermediary.resource.attribute.labels.value	Valor tomado del campo "internal-message-id"
IsProbe	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "IsProbe" en "custom-data" o del campo "column21"
Palabras clave	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "Palabras clave"
local-endpoint	read_only_udm.principal.asset.ip	Valor tomado del campo "local-endpoint"
local-endpoint	read_only_udm.principal.ip	Valor tomado del campo "local-endpoint"
local-endpoint	read_only_udm.principal.port	Valor tomado del campo "local-endpoint"
Buzones	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "Buzones" en "custom-data" o "message-info"
MailboxDatabaseGuid	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "MailboxDatabaseGuid" en "custom-data" o "message-info"
MAIL FROM	read_only_udm.network.email.from	Valor tomado del campo "MAIL FROM" en "data"
MAIL FROM	read_only_udm.principal.user.email_addresses	Valor tomado del campo "MAIL FROM" en "data"
MAIL From	read_only_udm.network.email.from	Valor tomado del campo "MAIL From" en "data"
MAIL From	read_only_udm.principal.user.email_addresses	Valor tomado del campo "MAIL From" en "data"
message-id	read_only_udm.network.email.mail_id	Valor tomado del campo "message-id"
message-info	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "message-info"
message-info	read_only_udm.security_result.description	Valor tomado del campo "message-info"
MessageValue	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "MessageValue" en "custom-data"
message-subject	read_only_udm.network.email.subject	Valor tomado del campo "message-subject"
método	read_only_udm.network.http.method	Valor tomado del campo "method"
Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel" en "custom-data"
MsgRecipCount	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "MsgRecipCount" en "custom-data" o "message-info"
network-message-id	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "network-message-id"
OriginalFromAddress	read_only_udm.principal.user.email_addresses	Valor tomado del campo "OriginalFromAddress" en el campo "custom-data" o "column21"
P2RecipStat	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "P2RecipStat" en "custom-data" o "message-info"
PersistProbeTrace	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "PersistProbeTrace" en el campo "custom-data" o "column21"
PrioritizationReason	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "PrioritizationReason" en "custom-data"
ProbeType	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "ProbeType" en el campo "custom-data" o "column21"
ProcessID	read_only_udm.principal.process.pid	Valor tomado del campo "ProcessID"
ProxiedClientHostname	read_only_udm.intermediary.hostname	Valor tomado del campo "ProxiedClientHostname" en "custom-data"
ProxiedClientIPAddress	read_only_udm.intermediary.asset.ip	Valor tomado del campo "ProxiedClientIPAddress" en "custom-data"
ProxiedClientIPAddress	read_only_udm.intermediary.ip	Valor tomado del campo "ProxiedClientIPAddress" en "custom-data"
ProxyHop1	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "ProxyHop1" en "custom-data"
RCPT TO	read_only_udm.network.email.to	Valor tomado del campo "RCPT TO" en "data"
RCPT TO	read_only_udm.target.user.email_addresses	Valor tomado del campo "RCPT TO" en "data"
RCPT To	read_only_udm.network.email.to	Valor tomado del campo "RCPT To" en "data"
RCPT To	read_only_udm.target.user.email_addresses	Valor tomado del campo "RCPT To" en "data"
recipient-address	read_only_udm.target.user.email_addresses	Valor tomado del campo "recipient-address"
recipient-count	read_only_udm.target.resource.attribute.labels.value	Valor tomado del campo "recipient-count"
recipient-status	read_only_udm.target.resource.attribute.labels.value	Valor tomado del campo "recipient-status"
remote-endpoint	read_only_udm.target.asset.ip	Valor tomado del campo "remote-endpoint"
remote-endpoint	read_only_udm.target.ip	Valor tomado del campo "remote-endpoint"
remote-endpoint	read_only_udm.target.port	Valor tomado del campo "remote-endpoint"
res_code	read_only_udm.network.http.response_code	Valor tomado del campo "res_code"
s-ip	read_only_udm.principal.asset.ip	Valor tomado del campo "s-ip"
s-ip	read_only_udm.principal.ip	Valor tomado del campo "s-ip"
s-port	read_only_udm.principal.port	Valor tomado del campo "s-port"
sc-status	read_only_udm.network.http.response_code	Valor tomado del campo "sc-status"
sc-substatus	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "sc-substatus"
sender-address	read_only_udm.network.email.from	Valor tomado del campo "sender-address"
sender-address	read_only_udm.principal.user.email_addresses	Valor tomado del campo "dirección del remitente"
sequence-number	read_only_udm.additional.fields.value.number_value	Valor tomado del campo "sequence-number"
server-hostname	read_only_udm.target.asset.hostname	Valor tomado del campo "server-hostname"
server-hostname	read_only_udm.target.hostname	Valor tomado del campo "server-hostname"
server-ip	read_only_udm.target.asset.ip	Valor tomado del campo "server-ip"
server-ip	read_only_udm.target.ip	Valor tomado del campo "server-ip"
session-id	read_only_udm.network.session_id	Valor tomado del campo "session-id"
sessionid	read_only_udm.network.session_id	Valor tomado del campo "sessionid"
Gravedad	read_only_udm.security_result.severity	Si "Severity" contiene "Info", entonces "INFORMATIONAL"; si "Severity" contiene "Error", entonces "ERROR"; si "Severity" contiene "Warning", entonces "MEDIUM"; de lo contrario, "UNKNOWN_SEVERITY".
SeverityValue	read_only_udm.security_result.severity_details	Valor tomado del campo "SeverityValue"
SlaExclusionReason	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "SlaExclusionReason" en "custom-data"
source	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "source"
SourceModuleName	read_only_udm.principal.resource.name	Valor tomado del campo "SourceModuleName"
SourceModuleType	read_only_udm.principal.resource.type	Valor tomado del campo "SourceModuleType"
SourceName	read_only_udm.principal.resource.attribute.labels.value	Valor tomado del campo "SourceName"
StoreObjectIds	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "StoreObjectIds" en "custom-data" o "message-info"
Tarea	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "Tarea"
ThreadID	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "ThreadID"
hora	read_only_udm.metadata.event_timestamp	Valor tomado de los campos "fecha" y "hora"
ToEntity	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "ToEntity" en "custom-data" o "message-info"
total-bytes	read_only_udm.additional.fields.value.string_value	Valor tomado del campo "total-bytes"
TransportTrafficSubType	read_only_udm.security_result.detection_fields.value	Valor tomado del campo "TransportTrafficSubType" en "custom-data"
TransportTrafficSubType	read_only_udm.metadata.product_version	Valor tomado del campo "TransportTrafficSubType" en "custom-data"
ts	read_only_udm.metadata.event_timestamp	Valor tomado del campo "ts"
u_agent	read_only_udm.network.http.user_agent	Valor tomado del campo "u_agent"
u_param	read_only_udm.target.url	Valor tomado del campo "u_param"
u_path	read_only_udm.target.url	Valor tomado del campo "u_path"
u_path	read_only_udm.target.url	Valor tomado de los campos "u_path" y "u_param"
usuario	read_only_udm.target.user.userid	Valor tomado del campo "usuario"
usuario	read_only_udm.target.user.email_addresses	Valor tomado del campo "usuario"
metadata.event_type	read_only_udm.metadata.event_type	Si "has_principal_email" es "true" y "has_target_email" es "true", entonces "EMAIL_TRANSACTION"; si "event_type" es "GENERIC_EVENT" y "principal_hostname", "s_ip" o "host" no están vacíos, o bien si "has_principal" es "true", entonces "STATUS_UPDATE"; si "event_type" es "GENERIC_EVENT" y "has_principal_email" es "true" o "has_target_email" es "true", entonces "USER_UNCATEGORIZED"; de lo contrario, se toma el valor del campo "event_type".
metadata.log_type	read_only_udm.metadata.log_type	Valor codificado "EXCHANGE_MAIL"
metadata.product_name	read_only_udm.metadata.product_name	Valor codificado "Exchange Mail"
metadata.vendor_name	read_only_udm.metadata.vendor_name	Valor codificado como "Microsoft"
network.application_protocol	read_only_udm.network.application_protocol	Si "app_protocol" es "SMTP", "HTTP" o "HTTPS", se toma el valor del campo "app_protocol". Si "app_protocol" contiene "SMTP", se toma "SMTP".
network.direction	read_only_udm.network.direction	Si "s_ip" no está vacío, entonces "INBOUND"
network.email.from	read_only_udm.network.email.from	Valor tomado del campo "from_mail"
network.email.mail_id	read_only_udm.network.email.mail_id	Valor tomado del campo "msg_id"
network.email.subject	read_only_udm.network.email.subject	Valor tomado del campo "column19"
network.email.to	read_only_udm.network.email.to	Valor tomado del campo "to_mail"
network.http.method	read_only_udm.network.http.method	Valor tomado del campo "method"
network.http.response_code	read_only_udm.network.http.response_code	Valor tomado del campo "res_code"
network.http.user_agent	read_only_udm.network.http.user_agent	Valor tomado del campo "u_agent"
network.sent_bytes	read_only_udm.network.sent_bytes	Valor tomado del campo “sent_bytes”
network.session_id	read_only_udm.network.session_id	Valor tomado del campo "sessionid"
principal.asset.hostname	read_only_udm.principal.asset.hostname	Valor tomado del campo "principal_hostname"
principal.asset.hostname	read_only_udm.principal.asset.hostname	Valor tomado del campo "host"
principal.asset.hostname	read_only_udm.principal.asset.hostname	Valor tomado del campo "column3"
principal.asset.ip	read_only_udm.principal.asset.ip	Valor tomado del campo "column2"
principal.asset.ip	read_only_udm.principal.asset.ip	Valor tomado del campo "column25"
principal.asset.ip	read_only_udm.principal.asset.ip	Valor tomado del campo "s_ip"
principal.hostname	read_only_udm.principal.hostname	Valor tomado del campo "principal_hostname"
principal.hostname	read_only_udm.principal.hostname	Valor tomado del campo "host"
principal.hostname	read_only_udm.principal.hostname	Valor tomado del campo "column3"
principal.ip	read_only_udm.principal.ip	Valor tomado del campo "column2"
principal.ip	read_only_udm.principal.ip	Valor tomado del campo "column25"
principal.ip	read_only_udm.principal.ip	Valor tomado del campo "s_ip"
principal.port	read_only_udm.principal.port	Valor tomado del campo "s-port"
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	Valor tomado del campo "correo electrónico"
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	Valor tomado del campo "email_address"
principal.user.userid	read_only_udm.principal.user.userid	Valor tomado del campo "cs-username"
security_result.about.labels.key	read_only_udm.security_result.about.labels.key	Valor codificado "Código de respuesta"
security_result.description	read_only_udm.security_result.description	Valor tomado del campo "context"
security_result.description	read_only_udm.security_result.description	Valor tomado del campo "column22"
security_result.priority	read_only_udm.security_result.priority	Si "severity" es "1", "2" o "3", entonces es "LOW"; si "severity" es "4", "5" o "6", entonces es "MEDIUM"; si "severity" es "7", "8" o "9", entonces es "HIGH".
security_result.severity	read_only_udm.security_result.severity	Si "Severity" contiene "Info", entonces "INFORMATIONAL"; si "Severity" contiene "Error", entonces "ERROR"; si "Severity" contiene "Warning", entonces "MEDIUM"; de lo contrario, "UNKNOWN_SEVERITY".
target.administrative_domain	read_only_udm.target.administrative_domain	Valor tomado del campo "dominio"
target.asset.hostname	read_only_udm.target.asset.hostname	Valor tomado del campo "column5"
target.asset.hostname	read_only_udm.target.asset.hostname	Valor tomado del campo "target_host"
target.asset.ip	read_only_udm.target.asset.ip	Valor tomado del campo "column4"
target.asset.ip	read_only_udm.target.asset.ip	Valor tomado del campo "column26"
target.asset.ip	read_only_udm.target.asset.ip	Valor tomado del campo "c-ip"
target.hostname	read_only_udm.target.hostname	Valor tomado del campo "column5"
target.hostname	read_only_udm.target.hostname	Valor tomado del campo "target_host"
target.ip	read_only_udm.target.ip	Valor tomado del campo "column4"
target.ip	read_only_udm.target.ip	Valor tomado del campo "column26"
target.ip	read_only_udm.target.ip	Valor tomado del campo "c-ip"
target.port	read_only_udm.target.port	Valor tomado del campo "c_port"
target.resource.attribute.labels.key	read_only_udm.target.resource.attribute.labels.key	Valor codificado "Recipients Count"
target.user.email_addresses	read_only_udm.target.user.email_addresses	Valor tomado del campo "usuario"
target.user.user_display_name	read_only_udm.target.user.user_display_name	Valor tomado del campo "nombre de usuario"
target.user.userid	read_only_udm.target.user.userid	Valor tomado del campo "usuario"
target.url	read_only_udm.target.url	Valor tomado del campo "u_path"

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.