Recoger registros de Microsoft Exchange

Disponible en:

En este documento se explica cómo ingerir registros de Microsoft Exchange en Google Security Operations mediante Bindplane. Una etiqueta de ingestión identifica el analizador que normaliza los datos de registro sin procesar en formato UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de ingestión EXCHANGE_MAIL.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o una versión posterior con Microsoft Exchange Server instalado
  • Acceso de administrador a Exchange Server
  • Si se ejecuta a través de un proxy, asegúrese de que los puertos del cortafuegos estén abiertos según los requisitos del agente de Bindplane.

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows siguiendo las instrucciones que se indican a continuación.

Instalación de Windows

  1. Abre la petición de comando o PowerShell como administrador.
  2. Ejecuta el siguiente comando:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Recursos de instalación adicionales

Configurar el agente de Bindplane para recoger registros de eventos de Windows y enviarlos a Google SecOps

  1. Accede al archivo de configuración:

    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio `C:\Archivos de programa\observIQ OpenTelemetry Collector` en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, Bloc de notas o Notepad++).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
  windowseventlog/exchange_application:
    channel: Application
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_system:
    channel: System
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_management:
    channel: MSExchange Management
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

processors:
  batch:

exporters:
  chronicle/exchange:
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: <YOUR_REGIONAL_ENDPOINT>
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/exchange:
      receivers:
        - windowseventlog/exchange_application
        - windowseventlog/exchange_system
        - windowseventlog/exchange_management
      processors:
        - batch
      exporters:
        - chronicle/exchange

Notas de configuración

  • Canal de aplicación: recoge eventos a nivel de aplicación de Exchange Server, como el inicio del servicio, errores y advertencias.
  • Canal del sistema: recoge eventos a nivel del sistema que pueden afectar al funcionamiento de Exchange Server.
  • Canal de gestión de MSExchange: recoge eventos de gestión específicos de Exchange, como ejecuciones de cmdlets de PowerShell y acciones administrativas.
  • raw: true: envía entradas completas del registro de eventos de Windows en su formato original para que se analicen de forma exhaustiva.
  • start_at: end: empieza a recoger eventos nuevos a partir del momento actual (no ingiere registros históricos).

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando como administrador:

    net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"

Asignación de UDM

Campo de registro Asignación de UDM Lógica
c-ip read_only_udm.target.asset.ip Valor tomado del campo "c-ip"
c-ip read_only_udm.target.ip Valor tomado del campo "c-ip"
client-hostname read_only_udm.principal.asset.hostname Valor tomado del campo "client-hostname"
client-hostname read_only_udm.principal.hostname Valor tomado del campo "client-hostname"
client-ip read_only_udm.principal.asset.ip Valor tomado del campo "client-ip"
client-ip read_only_udm.principal.ip Valor tomado del campo "client-ip"
columna1 read_only_udm.metadata.event_timestamp Valor tomado del campo "column1"
column10 read_only_udm.intermediary.resource.attribute.labels.value Valor tomado del campo "column10"
column11 read_only_udm.network.email.mail_id Valor tomado del campo "column11"
column12 read_only_udm.additional.fields.value.string_value Valor tomado del campo "column12"
column13 read_only_udm.network.email.to Valor tomado del campo "column13"
column13 read_only_udm.target.user.email_addresses Valor tomado del campo "column13"
column15 read_only_udm.additional.fields.value.string_value Valor tomado del campo "column15"
column16 read_only_udm.target.resource.attribute.labels.value Valor tomado del campo "column16"
column19 read_only_udm.network.email.subject Valor tomado del campo "column19"
columna2 read_only_udm.principal.asset.ip Valor tomado del campo "column2"
columna2 read_only_udm.principal.ip Valor tomado del campo "column2"
column20 read_only_udm.network.email.from Valor tomado del campo "column20"
column20 read_only_udm.principal.user.email_addresses Valor tomado del campo "column20"
column21 read_only_udm.security_result.detection_fields.value Valor tomado del campo "column21"
column22 read_only_udm.security_result.description Valor tomado del campo "column22"
column24 read_only_udm.additional.fields.value.string_value Valor tomado del campo "column24"
column25 read_only_udm.principal.asset.ip Valor tomado del campo "column25"
column25 read_only_udm.principal.ip Valor tomado del campo "column25"
column26 read_only_udm.target.asset.ip Valor tomado del campo "column26"
column26 read_only_udm.target.ip Valor tomado del campo "column26"
column27 read_only_udm.security_result.detection_fields.value Valor tomado del campo "column27"
column28 read_only_udm.additional.fields.value.string_value Valor tomado del campo "column28"
column29 read_only_udm.metadata.product_log_id Valor tomado del campo "column29"
columna3 read_only_udm.principal.asset.hostname Valor tomado del campo "column3"
columna3 read_only_udm.principal.hostname Valor tomado del campo "column3"
column30 read_only_udm.metadata.product_version Valor tomado del campo "column30"
column4 read_only_udm.target.asset.ip Valor tomado del campo "column4"
column4 read_only_udm.target.ip Valor tomado del campo "column4"
column5 read_only_udm.target.asset.hostname Valor tomado del campo "column5"
column5 read_only_udm.target.hostname Valor tomado del campo "column5"
column6 read_only_udm.metadata.event_timestamp Valor tomado del campo "column6"
column6 read_only_udm.network.http.response_code Valor tomado del campo "column6"
column6 read_only_udm.network.session_id Valor tomado del campo "column6"
column6 read_only_udm.metadata.description Valor tomado del campo "column6"
column7 read_only_udm.additional.fields.value.string_value Valor tomado del campo "column7"
column8 read_only_udm.additional.fields.value.string_value Valor tomado del campo "column8"
column9 read_only_udm.metadata.product_event_type Valor tomado del campo "column9"
connector_id read_only_udm.additional.fields.value.string_value Valor tomado del campo "connector-id"
cs-method read_only_udm.network.http.method Valor tomado del campo "cs-method".
cs-uri-query read_only_udm.target.url Valor tomado del campo "cs-uri-query"
cs-uri-stem read_only_udm.target.url Valor tomado del campo "cs-uri-stem"
csReferer read_only_udm.network.http.referral_url Valor tomado del campo "csReferer"
csUser-Agent read_only_udm.network.http.user_agent Valor tomado del campo "csUser-Agent"
nombre-de-usuario-cs read_only_udm.principal.user.userid Valor tomado del campo "cs-username".
custom-data read_only_udm.security_result.detection_fields.value Valor tomado del campo "custom-data"
datos read_only_udm.security_result.about.labels.value Valor tomado del campo "data"
datos read_only_udm.security_result.description Valor tomado del campo "data"
datos read_only_udm.network.email.from Valor tomado del campo "data"
datos read_only_udm.network.email.to Valor tomado del campo "data"
datos read_only_udm.target.hostname Valor tomado del campo "data"
datos read_only_udm.security_result.description Valor tomado del campo "data"
datos read_only_udm.network.sent_bytes Valor tomado del campo "data"
datos read_only_udm.target.user.email_addresses Valor tomado del campo "data"
fecha read_only_udm.metadata.event_timestamp Valor tomado de los campos "date" y "time"
Fecha y hora read_only_udm.metadata.event_timestamp Valor tomado del campo "date-time"
DeliveryLatency read_only_udm.security_result.detection_fields.value Valor tomado del campo "DeliveryLatency" de "custom-data" o "message-info"
DeliveryPriority read_only_udm.security_result.detection_fields.value Valor tomado del campo "DeliveryPriority" de "custom-data" o del campo "column21"
DeliveryPriority read_only_udm.security_result.priority Si "DeliveryPriority" es "Low" o "Normal", se asigna el valor "LOW_PRIORITY". Si "DeliveryPriority" es "Medium", se asigna el valor "MEDIUM_PRIORITY". Si "DeliveryPriority" es "High", se asigna el valor "HIGH_PRIORITY".
direccionalidad read_only_udm.network.direction Si "directionality" es "Incoming", el valor es "INBOUND". Si "directionality" es "Originating", el valor es "OUTBOUND".
E2ELatency read_only_udm.security_result.detection_fields.value Valor tomado del campo "E2ELatency" de "custom-data" o "message-info"
evento read_only_udm.metadata.product_event_type Si "event" es "+", entonces "Connect"; si "event" es "-", entonces "Disconnect"; si "event" es "*", entonces "Information"; si "event" es ">", entonces "Send"; si "event" es "<", entonces "Receive".
evento read_only_udm.network.direction Si "event" es ">", entonces "OUTBOUND"; si "event" es "<", entonces "INBOUND".
EventID read_only_udm.security_result.detection_fields.value Valor tomado del campo "EventID"
EventReceivedTime read_only_udm.metadata.collected_timestamp Valor tomado del campo "EventReceivedTime"
EventReceivedTime read_only_udm.metadata.event_timestamp Valor tomado del campo "EventReceivedTime" de la columna 6.
FirstForestHop read_only_udm.security_result.detection_fields.value Valor tomado del campo "FirstForestHop" de "custom-data"
FromEntity read_only_udm.security_result.detection_fields.value Valor tomado del campo "FromEntity" de "custom-data" o "message-info"
guid read_only_udm.metadata.product_log_id Valor tomado del campo "guid"
Nombre de host read_only_udm.principal.asset.hostname Valor tomado del campo "Nombre de host"
Nombre de host read_only_udm.principal.hostname Valor tomado del campo "Nombre de host"
IncludeInSla read_only_udm.security_result.detection_fields.value Valor tomado del campo "IncludeInSla" de "custom-data" o "message-info"
internal-message-id read_only_udm.intermediary.resource.attribute.labels.value Valor tomado del campo "internal-message-id"
IsProbe read_only_udm.security_result.detection_fields.value Valor tomado del campo "IsProbe" de "custom-data" o del campo "column21"
Palabras clave read_only_udm.security_result.detection_fields.value Valor tomado del campo "Palabras clave"
local-endpoint read_only_udm.principal.asset.ip Valor tomado del campo "local-endpoint"
local-endpoint read_only_udm.principal.ip Valor tomado del campo "local-endpoint"
local-endpoint read_only_udm.principal.port Valor tomado del campo "local-endpoint"
Buzones read_only_udm.security_result.detection_fields.value Valor tomado del campo "Mailboxes" de "custom-data" o "message-info"
MailboxDatabaseGuid read_only_udm.security_result.detection_fields.value Valor tomado del campo "MailboxDatabaseGuid" de "custom-data" o "message-info"
CORREO DE read_only_udm.network.email.from Valor tomado del campo "MAIL FROM" de "data"
CORREO DE read_only_udm.principal.user.email_addresses Valor tomado del campo "MAIL FROM" de "data"
CORREO De read_only_udm.network.email.from Valor tomado del campo "MAIL From" de "data"
CORREO De read_only_udm.principal.user.email_addresses Valor tomado del campo "MAIL From" de "data"
message-id read_only_udm.network.email.mail_id Valor tomado del campo "message-id"
message-info read_only_udm.security_result.detection_fields.value Valor tomado del campo "message-info"
message-info read_only_udm.security_result.description Valor tomado del campo "message-info"
MessageValue read_only_udm.security_result.detection_fields.value Valor tomado del campo "MessageValue" de "custom-data"
message-subject read_only_udm.network.email.subject Valor tomado del campo "message-subject"
método read_only_udm.network.http.method Valor tomado del campo "method"
Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel read_only_udm.security_result.detection_fields.value Valor tomado del campo "Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel" de "custom-data"
MsgRecipCount read_only_udm.security_result.detection_fields.value Valor tomado del campo "MsgRecipCount" de "custom-data" o "message-info"
network-message-id read_only_udm.additional.fields.value.string_value Valor tomado del campo "network-message-id".
OriginalFromAddress read_only_udm.principal.user.email_addresses Valor tomado del campo "OriginalFromAddress" de "custom-data" o del campo "column21"
P2RecipStat read_only_udm.security_result.detection_fields.value Valor tomado del campo "P2RecipStat" de "custom-data" o "message-info"
PersistProbeTrace read_only_udm.security_result.detection_fields.value Valor tomado del campo "PersistProbeTrace" de los campos "custom-data" o "column21"
PrioritizationReason read_only_udm.security_result.detection_fields.value Valor tomado del campo "PrioritizationReason" de "custom-data"
ProbeType read_only_udm.security_result.detection_fields.value Valor tomado del campo "ProbeType" de "custom-data" o del campo "column21"
ProcessID read_only_udm.principal.process.pid Valor tomado del campo "ProcessID"
ProxiedClientHostname read_only_udm.intermediary.hostname Valor tomado del campo "ProxiedClientHostname" de "custom-data"
ProxiedClientIPAddress read_only_udm.intermediary.asset.ip Valor tomado del campo "ProxiedClientIPAddress" de "custom-data"
ProxiedClientIPAddress read_only_udm.intermediary.ip Valor tomado del campo "ProxiedClientIPAddress" de "custom-data"
ProxyHop1 read_only_udm.security_result.detection_fields.value Valor tomado del campo "ProxyHop1" de "custom-data"
RCPT TO read_only_udm.network.email.to Valor tomado del campo "RCPT TO" de "data"
RCPT TO read_only_udm.target.user.email_addresses Valor tomado del campo "RCPT TO" de "data"
RCPT To read_only_udm.network.email.to Valor tomado del campo "RCPT To" de "data"
RCPT To read_only_udm.target.user.email_addresses Valor tomado del campo "RCPT To" de "data"
recipient-address read_only_udm.target.user.email_addresses Valor tomado del campo "recipient-address"
recipient-count read_only_udm.target.resource.attribute.labels.value Valor tomado del campo "recipient-count"
recipient-status read_only_udm.target.resource.attribute.labels.value Valor tomado del campo "recipient-status"
remote-endpoint read_only_udm.target.asset.ip Valor tomado del campo "remote-endpoint"
remote-endpoint read_only_udm.target.ip Valor tomado del campo "remote-endpoint"
remote-endpoint read_only_udm.target.port Valor tomado del campo "remote-endpoint"
res_code read_only_udm.network.http.response_code Valor tomado del campo "res_code"
s-ip read_only_udm.principal.asset.ip Valor tomado del campo "s-ip".
s-ip read_only_udm.principal.ip Valor tomado del campo "s-ip".
s-port read_only_udm.principal.port Valor tomado del campo "s-port".
sc-status read_only_udm.network.http.response_code Valor tomado del campo "sc-status"
sc-substatus read_only_udm.additional.fields.value.string_value Valor tomado del campo "sc-substatus".
sender-address read_only_udm.network.email.from Valor tomado del campo "sender-address"
sender-address read_only_udm.principal.user.email_addresses Valor tomado del campo "sender-address"
sequence-number read_only_udm.additional.fields.value.number_value Valor tomado del campo "sequence-number"
server-hostname read_only_udm.target.asset.hostname Valor tomado del campo "server-hostname"
server-hostname read_only_udm.target.hostname Valor tomado del campo "server-hostname"
server-ip read_only_udm.target.asset.ip Valor tomado del campo "server-ip"
server-ip read_only_udm.target.ip Valor tomado del campo "server-ip"
session-id read_only_udm.network.session_id Valor tomado del campo "session-id"
sessionid read_only_udm.network.session_id Valor tomado del campo "sessionid"
Gravedad read_only_udm.security_result.severity Si "Severity" contiene "Info", entonces "INFORMATIONAL"; si "Severity" contiene "Error", entonces "ERROR"; si "Severity" contiene "Warning", entonces "MEDIUM"; de lo contrario, "UNKNOWN_SEVERITY".
SeverityValue read_only_udm.security_result.severity_details Valor tomado del campo "SeverityValue"
SlaExclusionReason read_only_udm.security_result.detection_fields.value Valor tomado del campo "SlaExclusionReason" de "custom-data"
fuente read_only_udm.additional.fields.value.string_value Valor tomado del campo "source"
SourceModuleName read_only_udm.principal.resource.name Valor tomado del campo "SourceModuleName"
SourceModuleType read_only_udm.principal.resource.type Valor tomado del campo "SourceModuleType"
SourceName read_only_udm.principal.resource.attribute.labels.value Valor tomado del campo "SourceName"
StoreObjectIds read_only_udm.security_result.detection_fields.value Valor tomado del campo "StoreObjectIds" de "custom-data" o "message-info"
Tarea read_only_udm.security_result.detection_fields.value Valor tomado del campo "Tarea"
ThreadID read_only_udm.security_result.detection_fields.value Valor tomado del campo "ThreadID"
Tiempo read_only_udm.metadata.event_timestamp Valor tomado de los campos "date" y "time"
ToEntity read_only_udm.security_result.detection_fields.value Valor tomado del campo "ToEntity" de "custom-data" o "message-info"
total-bytes read_only_udm.additional.fields.value.string_value Valor tomado del campo "total-bytes"
TransportTrafficSubType read_only_udm.security_result.detection_fields.value Valor tomado del campo "TransportTrafficSubType" de "custom-data"
TransportTrafficSubType read_only_udm.metadata.product_version Valor tomado del campo "TransportTrafficSubType" de "custom-data"
ts read_only_udm.metadata.event_timestamp Valor tomado del campo "ts"
u_agent read_only_udm.network.http.user_agent Valor tomado del campo "u_agent"
u_param read_only_udm.target.url Valor tomado del campo "u_param"
u_path read_only_udm.target.url Valor tomado del campo "u_path"
u_path read_only_udm.target.url Valor tomado de los campos "u_path" y "u_param"
usuario read_only_udm.target.user.userid Valor tomado del campo "user"
usuario read_only_udm.target.user.email_addresses Valor tomado del campo "user"
metadata.event_type read_only_udm.metadata.event_type Si "has_principal_email" es "true" y "has_target_email" es "true", entonces "EMAIL_TRANSACTION". Si "event_type" es "GENERIC_EVENT" y "principal_hostname", "s_ip" o "host" no están vacíos o "has_principal" es "true", entonces "STATUS_UPDATE". Si "event_type" es "GENERIC_EVENT" y "has_principal_email" es "true" o "has_target_email" es "true", entonces "USER_UNCATEGORIZED". En caso contrario, se toma el valor del campo "event_type".
metadata.log_type read_only_udm.metadata.log_type Valor codificado 'EXCHANGE_MAIL'
metadata.product_name read_only_udm.metadata.product_name Valor codificado 'Exchange Mail'
metadata.vendor_name read_only_udm.metadata.vendor_name Valor codificado "Microsoft"
network.application_protocol read_only_udm.network.application_protocol Si "app_protocol" es "SMTP", "HTTP" o "HTTPS", se toma el valor del campo "app_protocol". Si "app_protocol" contiene "SMTP", se toma el valor "SMTP".
network.direction read_only_udm.network.direction Si "s_ip" no está vacío, se devuelve "INBOUND".
network.email.from read_only_udm.network.email.from Valor tomado del campo "from_mail"
network.email.mail_id read_only_udm.network.email.mail_id Valor tomado del campo "msg_id"
network.email.subject read_only_udm.network.email.subject Valor tomado del campo "column19"
network.email.to read_only_udm.network.email.to Valor tomado del campo "to_mail"
network.http.method read_only_udm.network.http.method Valor tomado del campo "method"
network.http.response_code read_only_udm.network.http.response_code Valor tomado del campo "res_code"
network.http.user_agent read_only_udm.network.http.user_agent Valor tomado del campo "u_agent"
network.sent_bytes read_only_udm.network.sent_bytes Valor tomado del campo "sent_bytes"
network.session_id read_only_udm.network.session_id Valor tomado del campo "sessionid"
principal.asset.hostname read_only_udm.principal.asset.hostname Valor tomado del campo "principal_hostname"
principal.asset.hostname read_only_udm.principal.asset.hostname Valor tomado del campo "host"
principal.asset.hostname read_only_udm.principal.asset.hostname Valor tomado del campo "column3"
principal.asset.ip read_only_udm.principal.asset.ip Valor tomado del campo "column2"
principal.asset.ip read_only_udm.principal.asset.ip Valor tomado del campo "column25"
principal.asset.ip read_only_udm.principal.asset.ip Valor tomado del campo "s_ip"
principal.hostname read_only_udm.principal.hostname Valor tomado del campo "principal_hostname"
principal.hostname read_only_udm.principal.hostname Valor tomado del campo "host"
principal.hostname read_only_udm.principal.hostname Valor tomado del campo "column3"
principal.ip read_only_udm.principal.ip Valor tomado del campo "column2"
principal.ip read_only_udm.principal.ip Valor tomado del campo "column25"
principal.ip read_only_udm.principal.ip Valor tomado del campo "s_ip"
principal.port read_only_udm.principal.port Valor tomado del campo "s-port".
principal.user.email_addresses read_only_udm.principal.user.email_addresses Valor tomado del campo "mail"
principal.user.email_addresses read_only_udm.principal.user.email_addresses Valor tomado del campo "email_address"
principal.user.userid read_only_udm.principal.user.userid Valor tomado del campo "cs-username".
security_result.about.labels.key read_only_udm.security_result.about.labels.key Valor codificado "Response Code"
security_result.description read_only_udm.security_result.description Valor tomado del campo "context"
security_result.description read_only_udm.security_result.description Valor tomado del campo "column22"
security_result.priority read_only_udm.security_result.priority Si "severity" es "1", "2" o "3", el valor es "LOW". Si "severity" es "4", "5" o "6", el valor es "MEDIUM". Si "severity" es "7", "8" o "9", el valor es "HIGH".
security_result.severity read_only_udm.security_result.severity Si "Severity" contiene "Info", entonces "INFORMATIONAL"; si "Severity" contiene "Error", entonces "ERROR"; si "Severity" contiene "Warning", entonces "MEDIUM"; de lo contrario, "UNKNOWN_SEVERITY".
target.administrative_domain read_only_udm.target.administrative_domain Valor tomado del campo "domain"
target.asset.hostname read_only_udm.target.asset.hostname Valor tomado del campo "column5"
target.asset.hostname read_only_udm.target.asset.hostname Valor tomado del campo "target_host"
target.asset.ip read_only_udm.target.asset.ip Valor tomado del campo "column4"
target.asset.ip read_only_udm.target.asset.ip Valor tomado del campo "column26"
target.asset.ip read_only_udm.target.asset.ip Valor tomado del campo "c-ip"
target.hostname read_only_udm.target.hostname Valor tomado del campo "column5"
target.hostname read_only_udm.target.hostname Valor tomado del campo "target_host"
target.ip read_only_udm.target.ip Valor tomado del campo "column4"
target.ip read_only_udm.target.ip Valor tomado del campo "column26"
target.ip read_only_udm.target.ip Valor tomado del campo "c-ip"
target.port read_only_udm.target.port Valor tomado del campo "c_port"
target.resource.attribute.labels.key read_only_udm.target.resource.attribute.labels.key Valor codificado "Recipients Count"
target.user.email_addresses read_only_udm.target.user.email_addresses Valor tomado del campo "user"
target.user.user_display_name read_only_udm.target.user.user_display_name Valor tomado del campo "username"
target.user.userid read_only_udm.target.user.userid Valor tomado del campo "user"
target.url read_only_udm.target.url Valor tomado del campo "u_path"

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.