Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Microsoft Exchange のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して Microsoft Exchange ログを Google Security Operations に取り込む方法について説明します。取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル EXCHANGE_MAIL が付加されたパーサーに適用されます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Microsoft Exchange Server がインストールされた Windows Server 2016 以降
Exchange Server への管理者権限
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

新規デプロイ: Chronicle API を使用します（オプション 1）。
以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービスアカウントを作成する（推奨）

Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
[IAM と管理] > [サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
- サービスアカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
[続行] をクリックして [完了] をクリックします。
作成したサービスアカウントをクリックし、[キー] タブに移動します。
[鍵を追加] > [新しい鍵を作成] の順にクリックします。
[JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
鍵ファイルを Bindplane コレクタディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、config.yaml の creds_file_path を保存先のパスと一致するように更新します。
[IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイルをダウンロードします。
Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

その他のインストールリソース

その他のインストールオプションについては、こちらのインストールガイドをご覧ください。

Windows イベントログを収集して Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルにアクセスする:
- config.yaml ファイルを見つけます。通常、Windows の場合は `C:\Program Files\observIQ OpenTelemetry Collector` ディレクトリにあります。
- テキストエディタ（メモ帳や Notepad++ など）を使用してファイルを開きます。

config.yaml ファイルを次のように編集します。

receivers:
  windowseventlog/exchange_application:
    channel: Application
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_system:
    channel: System
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_management:
    channel: MSExchange Management
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

processors:
  batch:

exporters:
  chronicle/exchange:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/exchange:
      receivers:
        - windowseventlog/exchange_application
        - windowseventlog/exchange_system
        - windowseventlog/exchange_management
      processors:
        - batch
      exporters:
        - chronicle/exchange

<PLACEHOLDER_CUSTOMER_ID> は、先ほど取得した実際のお客様 ID に置き換えます。
<LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョンエンドポイントをご覧ください。
<PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
/path/to/ingestion-authentication-file.json の値を、Bindplane エージェントの Google SecOps 認証情報を取得するでサービスアカウントキーファイル（オプション 1）を保存したパスに更新します。

設定に関する注意点

アプリケーションチャネル: サービス起動、エラー、警告など、Exchange Server からアプリケーションレベルのイベントを収集します。
システムチャネル: Exchange Server のオペレーションに影響する可能性のあるシステムレベルのイベントを収集します。
MSExchange Management チャンネル: PowerShell コマンドレットの実行や管理アクションなど、Exchange 固有の管理イベントを収集します。
raw: true: 包括的な解析のために、Windows イベントログエントリ全体を元の形式で送信します。
start_at: end: 現在の時点から新しいイベントの収集を開始します（過去のログは取り込みません）。

以前の Ingestion API エクスポータ

オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョンエンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

exporters:
  chronicle/exchange:
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

Bindplane エージェントを再起動して変更を適用する

Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、管理者として次のコマンドを入力します。
```
net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"
```

サポートされている Microsoft Exchange のサンプルログ

Syslog + W3C

<13>Jul 16 19:36:22 10.10.10.1
2020-07-16 23:36:06 10.10.10.2 POST /mapi/nspi/
MailboxId=00000000-0000-0000-0000-000000000000@example.com
&FrontEnd=SERVER01.EXAMPLE.LOCAL
&RequestId=11111111-2222-3333-4444-555555555555
&ClientRequestInfo=R:{244982AA-6563-4272-8A81-6435F8C98736}:362;RT:PING;CI:{F1037E72-B035-4F6F-9EE2-CDC028A174BD}:5;CID:{C0C8D580-5B1A-48D2-9285-D0981B30BCAF}
&ResponseInfo=XRC:0
&Stage=BegR:2020-07-16T23:36:06.0762130Z;PostAR:14;PreH:15;PostH:15;EndR:15
444 Anonymous 192.168.1.5 Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.4954;+Pro) - 200 0 0 25 10.0.0.1,10.0.0.2

JSON

{
  "EventReceivedTime": "2020-06-28 06:20:18",
  "SourceModuleName": "ExLogs",
  "SourceModuleType": "im_file",
  "date-time": "2020-06-28T10:00:52.987Z",
  "connector-id": "server-relay\\Anonymous Relay",
  "session-id": "08D91C389539A23E",
  "sequence-number": "4397",
  "local-endpoint": "10.0.0.1:25",
  "remote-endpoint": "192.168.1.100:30165",
  "event": "<",
  "data": "MAIL FROM:<sender@example.com>"
}

Syslog + CSV

<13>May 17 11:56:05 SERVER01 Microsoft_Exchange_Server: 2023-05-17T15:56:05.260Z,
,
SERVER02.EXAMPLE.LOCAL,
,
SERVER01,
08DB548089C89C20;2023-05-17T15:56:05.135Z;ClientSubmitTime:,
,
STOREDRIVER,
DELIVER,
135536282960527,
<835115255.9114241684338954615.JavaMail.app@example.com>,
00000000-0000-0000-0000-000000000000,
sender@example.com,
,
48294,
1,
,
,
Webinar Subject Line,
recipient@example.com,
bounce-address@bounce.example.com,
2023-05-17T15:56:04.064Z;SRV=SERVER01.EXAMPLE.LOCAL:TOTAL-FE=0.153|...,
Incoming,
,
10.10.10.1,
10.10.10.2,
S:IncludeInSla=True;...;S:AccountForest=EXAMPLE.LOCAL,
Email,
f351e35a-80b8-462a-197a-08db56ef38c4,
15.02.0986.042

純粋な CSV

2023-05-04T11:01:06.971Z,
Inbound Proxy Internal Send Connector,
08DB4283F358F976,
231,
10.0.0.1:21,
192.168.1.50:25,
>,
MAIL FROM:user@example.nl SIZE=0 AUTH=<> XMESSAGEVALUE=MediumHigh,

Syslog + Key-Value

<13>Feb 08 12:43:54 SERVER01
AgentDevice=MicrosoftExchange
AgentLogFile=u_ex240208.log
PluginVersion=7.3.1.22
AgentLogFormat=W3C
AgentLogProtocol=OWA
date=2024-02-08
time=10:43:49
s-ip=10.0.0.1
cs-method=POST
cs-uri-stem=/mapi/emsmdb/
cs-uri-query=MailboxId=00000000-0000-0000-0000-000000000000@example.com&CorrelationID=<empty>;&ClientRequestInfo=R:{19C548BA-F616-4021-B925-5716E62B5CB3}:3105;RT:NotificationWait;CI:{518670B4-ADF1-4C59-8A26-377C3F9B7DAB}:62560018;CID:{111677F0-FEB1-4194-9DAC-CC0437A5AD5F}&cafeReqId=310eebda-23e9-46cd-9576-e9892bcaffd0;
s-port=443
cs-username=EXAMPLE\user
c-ip=192.168.1.10
cs(User-Agent)=Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.10382;+Pro)
cs(Referer)=-
sc-status=200
sc-substatus=0
sc-win32-status=0
time-taken=357708

CEF

CEF:0|Microsoft|Exchange|15.2|Mailbox|Deliver|3|
src=10.10.10.5
dst=192.168.1.20
suser=sender@example.com
duser=recipient@example.com
suid=DOMAIN\sender
duid=DOMAIN\recipient
msg=Message Subject Line
cs1Label=OriginalIP
cs1=172.16.0.1
cn1Label=MessageSize
cn1=45000

UDM マッピング

ログフィールド	UDM マッピング	ロジック
c-ip	read_only_udm.target.asset.ip	「c-ip」フィールドから取得された値
c-ip	read_only_udm.target.ip	「c-ip」フィールドから取得された値
client-hostname	read_only_udm.principal.asset.hostname	「client-hostname」フィールドから取得された値
client-hostname	read_only_udm.principal.hostname	「client-hostname」フィールドから取得された値
client-ip	read_only_udm.principal.asset.ip	「client-ip」フィールドから取得された値
client-ip	read_only_udm.principal.ip	「client-ip」フィールドから取得された値
column1	read_only_udm.metadata.event_timestamp	「column1」フィールドから取得された値
column10	read_only_udm.intermediary.resource.attribute.labels.value	「column10」フィールドから取得された値
column11	read_only_udm.network.email.mail_id	「column11」フィールドから取得された値
column12	read_only_udm.additional.fields.value.string_value	「column12」フィールドから取得された値
column13	read_only_udm.network.email.to	「column13」フィールドから取得された値
column13	read_only_udm.target.user.email_addresses	「column13」フィールドから取得された値
column15	read_only_udm.additional.fields.value.string_value	「column15」フィールドから取得された値
column16	read_only_udm.target.resource.attribute.labels.value	「column16」フィールドから取得された値
column19	read_only_udm.network.email.subject	「column19」フィールドから取得された値
column2	read_only_udm.principal.asset.ip	「column2」フィールドから取得された値
column2	read_only_udm.principal.ip	「column2」フィールドから取得された値
column20	read_only_udm.network.email.from	「column20」フィールドから取得された値
column20	read_only_udm.principal.user.email_addresses	「column20」フィールドから取得された値
column21	read_only_udm.security_result.detection_fields.value	「column21」フィールドから取得された値
column22	read_only_udm.security_result.description	「column22」フィールドから取得された値
column24	read_only_udm.additional.fields.value.string_value	「column24」フィールドから取得された値
column25	read_only_udm.principal.asset.ip	「column25」フィールドから取得された値
column25	read_only_udm.principal.ip	「column25」フィールドから取得された値
column26	read_only_udm.target.asset.ip	「column26」フィールドから取得された値
column26	read_only_udm.target.ip	「column26」フィールドから取得された値
column27	read_only_udm.security_result.detection_fields.value	「column27」フィールドから取得された値
column28	read_only_udm.additional.fields.value.string_value	「column28」フィールドから取得された値
column29	read_only_udm.metadata.product_log_id	「column29」フィールドから取得された値
column3	read_only_udm.principal.asset.hostname	「column3」フィールドから取得された値
column3	read_only_udm.principal.hostname	「column3」フィールドから取得された値
column30	read_only_udm.metadata.product_version	「column30」フィールドから取得された値
column4	read_only_udm.target.asset.ip	「column4」フィールドから取得された値
column4	read_only_udm.target.ip	「column4」フィールドから取得された値
column5	read_only_udm.target.asset.hostname	「column5」フィールドから取得された値
column5	read_only_udm.target.hostname	「column5」フィールドから取得された値
column6	read_only_udm.metadata.event_timestamp	「column6」フィールドから取得された値
column6	read_only_udm.network.http.response_code	「column6」フィールドから取得された値
column6	read_only_udm.network.session_id	「column6」フィールドから取得された値
column6	read_only_udm.metadata.description	「column6」フィールドから取得された値
column7	read_only_udm.additional.fields.value.string_value	「column7」フィールドから取得された値
column8	read_only_udm.additional.fields.value.string_value	「column8」フィールドから取得された値
column9	read_only_udm.metadata.product_event_type	「column9」フィールドから取得された値
connector_id	read_only_udm.additional.fields.value.string_value	「connector-id」フィールドから取得された値
cs-method	read_only_udm.network.http.method	「cs-method」フィールドから取得された値
cs-uri-query	read_only_udm.target.url	「cs-uri-query」フィールドから取得された値
cs-uri-stem	read_only_udm.target.url	「cs-uri-stem」フィールドから取得された値
csReferer	read_only_udm.network.http.referral_url	「csReferer」フィールドから取得された値
csUser-Agent	read_only_udm.network.http.user_agent	「csUser-Agent」フィールドから取得された値
cs-username	read_only_udm.principal.user.userid	「cs-username」フィールドから取得された値
custom-data	read_only_udm.security_result.detection_fields.value	「custom-data」フィールドから取得された値
データ	read_only_udm.security_result.about.labels.value	「data」フィールドから取得された値
データ	read_only_udm.security_result.description	「data」フィールドから取得された値
データ	read_only_udm.network.email.from	「data」フィールドから取得された値
データ	read_only_udm.network.email.to	「data」フィールドから取得された値
データ	read_only_udm.target.hostname	「data」フィールドから取得された値
データ	read_only_udm.security_result.description	「data」フィールドから取得された値
データ	read_only_udm.network.sent_bytes	「data」フィールドから取得された値
データ	read_only_udm.target.user.email_addresses	「data」フィールドから取得された値
日付	read_only_udm.metadata.event_timestamp	「date」フィールドと「time」フィールドから取得された値
date-time	read_only_udm.metadata.event_timestamp	「date-time」フィールドから取得された値
DeliveryLatency	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「DeliveryLatency」フィールドから取得された値
DeliveryPriority	read_only_udm.security_result.detection_fields.value	「custom-data」の「DeliveryPriority」フィールドまたは「column21」フィールドから取得された値
DeliveryPriority	read_only_udm.security_result.priority	「DeliveryPriority」が「Low」または「Normal」の場合は「LOW_PRIORITY」、「DeliveryPriority」が「Medium」の場合は「MEDIUM_PRIORITY」、「DeliveryPriority」が「High」の場合は「HIGH_PRIORITY」
方向性	read_only_udm.network.direction	directionality が Incoming の場合は INBOUND、directionality が Originating の場合は OUTBOUND
E2ELatency	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「E2ELatency」フィールドから取得された値
イベント	read_only_udm.metadata.product_event_type	「event」が「+」の場合は「接続」、「event」が「-」の場合は「切断」、「event」が「*」の場合は「情報」、「event」が「>」の場合は「送信」、「event」が「<」の場合は「受信」
イベント	read_only_udm.network.direction	「event」が「>」の場合は「OUTBOUND」、「event」が「<」の場合は「INBOUND」
EventID	read_only_udm.security_result.detection_fields.value	「EventID」フィールドから取得された値
EventReceivedTime	read_only_udm.metadata.collected_timestamp	「EventReceivedTime」フィールドから取得された値
EventReceivedTime	read_only_udm.metadata.event_timestamp	「column6」の「EventReceivedTime」フィールドから取得された値
FirstForestHop	read_only_udm.security_result.detection_fields.value	「custom-data」の「FirstForestHop」フィールドから取得された値
FromEntity	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「FromEntity」フィールドから取得された値
guid	read_only_udm.metadata.product_log_id	「guid」フィールドから取得された値
ホスト名	read_only_udm.principal.asset.hostname	「Hostname」フィールドから取得された値
ホスト名	read_only_udm.principal.hostname	「Hostname」フィールドから取得された値
IncludeInSla	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「IncludeInSla」フィールドから取得された値
internal-message-id	read_only_udm.intermediary.resource.attribute.labels.value	「internal-message-id」フィールドから取得された値
IsProbe	read_only_udm.security_result.detection_fields.value	「custom-data」の「IsProbe」フィールドまたは「column21」フィールドから取得された値
キーワード	read_only_udm.security_result.detection_fields.value	「キーワード」フィールドから取得された値
local-endpoint	read_only_udm.principal.asset.ip	「local-endpoint」フィールドから取得された値
local-endpoint	read_only_udm.principal.ip	「local-endpoint」フィールドから取得された値
local-endpoint	read_only_udm.principal.port	「local-endpoint」フィールドから取得された値
メールボックス	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「Mailboxes」フィールドから取得された値
MailboxDatabaseGuid	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「MailboxDatabaseGuid」フィールドから取得された値
MAIL FROM	read_only_udm.network.email.from	「data」の「MAIL FROM」フィールドから取得された値
MAIL FROM	read_only_udm.principal.user.email_addresses	「data」の「MAIL FROM」フィールドから取得された値
MAIL From	read_only_udm.network.email.from	「data」の「MAIL From」フィールドから取得された値
MAIL From	read_only_udm.principal.user.email_addresses	「data」の「MAIL From」フィールドから取得された値
message-id	read_only_udm.network.email.mail_id	「message-id」フィールドから取得された値
message-info	read_only_udm.security_result.detection_fields.value	「message-info」フィールドから取得された値
message-info	read_only_udm.security_result.description	「message-info」フィールドから取得された値
MessageValue	read_only_udm.security_result.detection_fields.value	「custom-data」の「MessageValue」フィールドから取得された値
message-subject	read_only_udm.network.email.subject	「message-subject」フィールドから取得された値
method	read_only_udm.network.http.method	「method」フィールドから取得された値
Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel	read_only_udm.security_result.detection_fields.value	「custom-data」の「Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel」フィールドから取得された値
MsgRecipCount	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「MsgRecipCount」フィールドから取得された値
network-message-id	read_only_udm.additional.fields.value.string_value	「network-message-id」フィールドから取得された値
OriginalFromAddress	read_only_udm.principal.user.email_addresses	「custom-data」の「OriginalFromAddress」フィールドまたは「column21」フィールドから取得された値
P2RecipStat	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「P2RecipStat」フィールドから取得された値
PersistProbeTrace	read_only_udm.security_result.detection_fields.value	「custom-data」の「PersistProbeTrace」フィールドまたは「column21」フィールドから取得された値
PrioritizationReason	read_only_udm.security_result.detection_fields.value	「custom-data」の「PrioritizationReason」フィールドから取得された値
ProbeType	read_only_udm.security_result.detection_fields.value	「custom-data」の「ProbeType」フィールドまたは「column21」フィールドから取得された値
ProcessID	read_only_udm.principal.process.pid	「ProcessID」フィールドから取得された値
ProxiedClientHostname	read_only_udm.intermediary.hostname	「custom-data」の「ProxiedClientHostname」フィールドから取得された値
ProxiedClientIPAddress	read_only_udm.intermediary.asset.ip	「custom-data」の「ProxiedClientIPAddress」フィールドから取得された値
ProxiedClientIPAddress	read_only_udm.intermediary.ip	「custom-data」の「ProxiedClientIPAddress」フィールドから取得された値
ProxyHop1	read_only_udm.security_result.detection_fields.value	「custom-data」の「ProxyHop1」フィールドから取得された値
RCPT TO	read_only_udm.network.email.to	「data」の「RCPT TO」フィールドから取得された値
RCPT TO	read_only_udm.target.user.email_addresses	「data」の「RCPT TO」フィールドから取得された値
RCPT To	read_only_udm.network.email.to	「data」の「RCPT To」フィールドから取得された値
RCPT To	read_only_udm.target.user.email_addresses	「data」の「RCPT To」フィールドから取得された値
recipient-address	read_only_udm.target.user.email_addresses	「recipient-address」フィールドから取得された値
recipient-count	read_only_udm.target.resource.attribute.labels.value	「recipient-count」フィールドから取得された値
recipient-status	read_only_udm.target.resource.attribute.labels.value	「recipient-status」フィールドから取得された値
remote-endpoint	read_only_udm.target.asset.ip	「remote-endpoint」フィールドから取得された値
remote-endpoint	read_only_udm.target.ip	「remote-endpoint」フィールドから取得された値
remote-endpoint	read_only_udm.target.port	「remote-endpoint」フィールドから取得された値
res_code	read_only_udm.network.http.response_code	「res_code」フィールドから取得された値
s-ip	read_only_udm.principal.asset.ip	「s-ip」フィールドから取得された値
s-ip	read_only_udm.principal.ip	「s-ip」フィールドから取得された値
s-port	read_only_udm.principal.port	「s-port」フィールドから取得された値
sc-status	read_only_udm.network.http.response_code	「sc-status」フィールドから取得された値
sc-substatus	read_only_udm.additional.fields.value.string_value	「sc-substatus」フィールドから取得された値
sender-address	read_only_udm.network.email.from	「sender-address」フィールドから取得された値
sender-address	read_only_udm.principal.user.email_addresses	「sender-address」フィールドから取得された値
シーケンス番号	read_only_udm.additional.fields.value.number_value	「sequence-number」フィールドから取得された値
server-hostname	read_only_udm.target.asset.hostname	「server-hostname」フィールドから取得された値
server-hostname	read_only_udm.target.hostname	「server-hostname」フィールドから取得された値
server-ip	read_only_udm.target.asset.ip	「server-ip」フィールドから取得された値
server-ip	read_only_udm.target.ip	「server-ip」フィールドから取得された値
session-id	read_only_udm.network.session_id	「session-id」フィールドから取得された値
sessionid	read_only_udm.network.session_id	「sessionid」フィールドから取得された値
重大度	read_only_udm.security_result.severity	「Severity」に「Info」が含まれている場合は「INFORMATIONAL」、「Severity」に「Error」が含まれている場合は「ERROR」、「Severity」に「Warning」が含まれている場合は「MEDIUM」、それ以外の場合は「UNKNOWN_SEVERITY」
SeverityValue	read_only_udm.security_result.severity_details	「SeverityValue」フィールドから取得された値
SlaExclusionReason	read_only_udm.security_result.detection_fields.value	「custom-data」の「SlaExclusionReason」フィールドから取得された値
ソース	read_only_udm.additional.fields.value.string_value	「source」フィールドから取得された値
SourceModuleName	read_only_udm.principal.resource.name	「SourceModuleName」フィールドから取得された値
SourceModuleType	read_only_udm.principal.resource.type	「SourceModuleType」フィールドから取得された値
SourceName	read_only_udm.principal.resource.attribute.labels.value	「SourceName」フィールドから取得された値
StoreObjectIds	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「StoreObjectIds」フィールドから取得された値
タスク	read_only_udm.security_result.detection_fields.value	「Task」フィールドから取得された値
ThreadID	read_only_udm.security_result.detection_fields.value	「ThreadID」フィールドから取得された値
時間	read_only_udm.metadata.event_timestamp	「date」フィールドと「time」フィールドから取得された値
ToEntity	read_only_udm.security_result.detection_fields.value	「custom-data」または「message-info」の「ToEntity」フィールドから取得された値
total-bytes	read_only_udm.additional.fields.value.string_value	「total-bytes」フィールドから取得された値
TransportTrafficSubType	read_only_udm.security_result.detection_fields.value	「custom-data」の「TransportTrafficSubType」フィールドから取得された値
TransportTrafficSubType	read_only_udm.metadata.product_version	「custom-data」の「TransportTrafficSubType」フィールドから取得された値
ts	read_only_udm.metadata.event_timestamp	「ts」フィールドから取得された値
u_agent	read_only_udm.network.http.user_agent	「u_agent」フィールドから取得された値
u_param	read_only_udm.target.url	「u_param」フィールドから取得された値
u_path	read_only_udm.target.url	「u_path」フィールドから取得された値
u_path	read_only_udm.target.url	「u_path」フィールドと「u_param」フィールドから取得された値
ユーザー	read_only_udm.target.user.userid	「user」フィールドから取得された値
ユーザー	read_only_udm.target.user.email_addresses	「user」フィールドから取得された値
metadata.event_type	read_only_udm.metadata.event_type	「has_principal_email」が「true」で「has_target_email」が「true」の場合は「EMAIL_TRANSACTION」。「event_type」が「GENERIC_EVENT」で「principal_hostname」、「s_ip」、「host」が空でない場合、または「has_principal」が「true」の場合は「STATUS_UPDATE」。「event_type」が「GENERIC_EVENT」で「has_principal_email」が「true」または「has_target_email」が「true」の場合は「USER_UNCATEGORIZED」。それ以外の場合は「event_type」フィールドから取得された値。
metadata.log_type	read_only_udm.metadata.log_type	ハードコードされた値「EXCHANGE_MAIL」
metadata.product_name	read_only_udm.metadata.product_name	ハードコードされた値「Exchange Mail」
metadata.vendor_name	read_only_udm.metadata.vendor_name	ハードコードされた値「Microsoft」
network.application_protocol	read_only_udm.network.application_protocol	「app_protocol」が「SMTP」、「HTTP」、「HTTPS」のいずれかである場合、「app_protocol」フィールドから取得された値。「app_protocol」に「SMTP」が含まれている場合は「SMTP」
network.direction	read_only_udm.network.direction	「s_ip」が空でない場合は「INBOUND」
network.email.from	read_only_udm.network.email.from	「from_mail」フィールドから取得された値
network.email.mail_id	read_only_udm.network.email.mail_id	「msg_id」フィールドから取得された値
network.email.subject	read_only_udm.network.email.subject	「column19」フィールドから取得された値
network.email.to	read_only_udm.network.email.to	「to_mail」フィールドから取得された値
network.http.method	read_only_udm.network.http.method	「method」フィールドから取得された値
network.http.response_code	read_only_udm.network.http.response_code	「res_code」フィールドから取得された値
network.http.user_agent	read_only_udm.network.http.user_agent	「u_agent」フィールドから取得された値
network.sent_bytes	read_only_udm.network.sent_bytes	「sent_bytes」フィールドから取得された値
network.session_id	read_only_udm.network.session_id	「sessionid」フィールドから取得された値
principal.asset.hostname	read_only_udm.principal.asset.hostname	「principal_hostname」フィールドから取得された値
principal.asset.hostname	read_only_udm.principal.asset.hostname	「host」フィールドから取得された値
principal.asset.hostname	read_only_udm.principal.asset.hostname	「column3」フィールドから取得された値
principal.asset.ip	read_only_udm.principal.asset.ip	「column2」フィールドから取得された値
principal.asset.ip	read_only_udm.principal.asset.ip	「column25」フィールドから取得された値
principal.asset.ip	read_only_udm.principal.asset.ip	「s_ip」フィールドから取得された値
principal.hostname	read_only_udm.principal.hostname	「principal_hostname」フィールドから取得された値
principal.hostname	read_only_udm.principal.hostname	「host」フィールドから取得された値
principal.hostname	read_only_udm.principal.hostname	「column3」フィールドから取得された値
principal.ip	read_only_udm.principal.ip	「column2」フィールドから取得された値
principal.ip	read_only_udm.principal.ip	「column25」フィールドから取得された値
principal.ip	read_only_udm.principal.ip	「s_ip」フィールドから取得された値
principal.port	read_only_udm.principal.port	「s-port」フィールドから取得された値
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	「mail」フィールドから取得された値
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	「email_address」フィールドから取得された値
principal.user.userid	read_only_udm.principal.user.userid	「cs-username」フィールドから取得された値
security_result.about.labels.key	read_only_udm.security_result.about.labels.key	ハードコードされた値「レスポンスコード」
security_result.description	read_only_udm.security_result.description	「context」フィールドから取得された値
security_result.description	read_only_udm.security_result.description	「column22」フィールドから取得された値
security_result.priority	read_only_udm.security_result.priority	「severity」が「1」、「2」、「3」の場合は「LOW」、「severity」が「4」、「5」、「6」の場合は「MEDIUM」、「severity」が「7」、「8」、「9」の場合は「HIGH」
security_result.severity	read_only_udm.security_result.severity	「Severity」に「Info」が含まれている場合は「INFORMATIONAL」、「Severity」に「Error」が含まれている場合は「ERROR」、「Severity」に「Warning」が含まれている場合は「MEDIUM」、それ以外の場合は「UNKNOWN_SEVERITY」
target.administrative_domain	read_only_udm.target.administrative_domain	「domain」フィールドから取得された値
target.asset.hostname	read_only_udm.target.asset.hostname	「column5」フィールドから取得された値
target.asset.hostname	read_only_udm.target.asset.hostname	「target_host」フィールドから取得された値
target.asset.ip	read_only_udm.target.asset.ip	「column4」フィールドから取得された値
target.asset.ip	read_only_udm.target.asset.ip	「column26」フィールドから取得された値
target.asset.ip	read_only_udm.target.asset.ip	「c-ip」フィールドから取得された値
target.hostname	read_only_udm.target.hostname	「column5」フィールドから取得された値
target.hostname	read_only_udm.target.hostname	「target_host」フィールドから取得された値
target.ip	read_only_udm.target.ip	「column4」フィールドから取得された値
target.ip	read_only_udm.target.ip	「column26」フィールドから取得された値
target.ip	read_only_udm.target.ip	「c-ip」フィールドから取得された値
target.port	read_only_udm.target.port	「c_port」フィールドから取得された値
target.resource.attribute.labels.key	read_only_udm.target.resource.attribute.labels.key	ハードコードされた値「受信者数」
target.user.email_addresses	read_only_udm.target.user.email_addresses	「user」フィールドから取得された値
target.user.user_display_name	read_only_udm.target.user.user_display_name	「username」フィールドから取得された値
target.user.userid	read_only_udm.target.user.userid	「user」フィールドから取得された値
target.url	read_only_udm.target.url	「u_path」フィールドから取得された値

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。