Trellix Email Security（旧 FireEye eMPS）のログを収集する

パーサーのバージョン: 16.0

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Trellix Email Security（以前の FireEye eMPS）ログを Google Security Operations に取り込む方法について説明します。

Trellix Email Security は、E メールのコンテンツと添付ファイルをリアルタイムで分析し、スピア・フィッシング、マルウェア、標的型攻撃などの高度な E メールの脅威から組織を保護する E メール・セキュリティ アプライアンスです。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと FireEye eMPS アプライアンス間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • FireEye eMPS アプライアンス CLI への特権アクセス（管理者またはオペレーターのロール）
  • syslog 通知機能を備えた FireEye eMPS アプライアンス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API（オプション 1）を使用します。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理> サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、config.yaml の creds_file_path を保存先のパスと一致するように更新します。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

サービスが RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux: /opt/observiq-otel-collector/config.yaml
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_emps:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fireeye_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/fireeye_emps

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • レシーバーはポート 514 の UDP syslog 用に構成されています。
    • Linux で非特権ポートを使用するには、514 を 1514 以上に変更します。
    • UDP の代わりに TCP を使用するには、udplog を tcplog に置き換えます。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）。
    • YOUR_CUSTOMER_ID: 実際のお客様 ID に置き換えます。
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • log_type: FIREEYE_EMPS である必要があります。
    • ingestion_labels: YAML 形式のオプションのラベル。

以前の取り込み API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。

    exporters:
  chronicle/fireeye_emps:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

  1. 次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. サービスが実行されていることを確認します。

    sudo systemctl status observiq-otel-collector

  3. ログでエラーを確認します。

    sudo journalctl -u observiq-otel-collector -f

Windows で Bindplane エージェントを再起動するには:

  1. 次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。
    net stop observiq-otel-collector && net start observiq-otel-collector
    • サービス コンソール:
      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

  2. サービスが実行されていることを確認します。

    sc query observiq-otel-collector

  3. ログでエラーを確認します。

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

FireEye eMPS の syslog 転送を構成する

FireEye eMPS CLI にアクセスする

  1. SSH またはコンソール経由で FireEye eMPS アプライアンスに接続します。
  2. ログインしてイネーブル モードに入ります。hostname> enable
  3. 構成モードに入ります。hostname# configure terminal

syslog サーバーを構成する

  1. Bindplane エージェントを syslog トラップ シンクとして追加します。 hostname(config)# fenotify rsyslog trap-sink chronicle address <BINDPLANE_IP_ADDRESS>
  2. syslog の形式を CEF に設定します。 hostname(config)# fenotify rsyslog trap-sink chronicle prefer message format cef
  3. syslog ファシリティを local4 に設定します（推奨）。 hostname(config)# fenotify rsyslog default facility local4
  4. 配信モードを設定します。 hostname(config)# fenotify rsyslog trap-sink chronicle message delivery per-event
  5. アラートの重大度を設定します。 hostname(config)# fenotify rsyslog trap-sink chronicle prefer message send-as alert
  6. プロトコルを設定します。 hostname(config)# fenotify rsyslog trap-sink chronicle protocol udp
  7. ポートを設定します。 hostname(config)# fenotify rsyslog trap-sink chronicle port 514

syslog 通知を有効にする

  1. rsyslog 通知をグローバルに有効にします。hostname(config)# fenotify rsyslog enable
  2. グローバル通知を有効にする: hostname(config)# fenotify enable

  3. 特定の種類の通知を有効にする:

    hostname(config)# fenotify rsyslog alert malware-object enable
hostname(config)# fenotify rsyslog alert malware-callback enable
hostname(config)# fenotify rsyslog alert infection-match enable
hostname(config)# fenotify rsyslog alert domain-match enable

  4. 構成を確認します。hostname(config)# show fenotify alerts

  5. 保存して終了します。

    hostname(config)# write memory
hostname(config)# exit
hostname# exit

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
about.asset.asset_id device_vendor、device_product、deviceExternalId を連結したもの
about about about_token から統合
about.file.full_path about.file.full_path 値が直接コピーされる
about.file.sha256 about.file.sha256 値を直接コピーする
about.file.size about.file.size 値が直接コピーされる
about.hostname about.hostname 値が直接コピーされる
about.ip about.ip ips 配列から統合
about.mac about.mac 有効な MAC の場合は dvcmac の値、それ以外の場合は mac_address の値
about.nat_ip about.nat_ip deviceTranslatedAddress から直接コピーされた値
about.process.command_line about.process.command_line Subject の値（空でない場合）、それ以外の場合は Emne、それ以外の場合は Path
about.process.file.full_path about.process.file.full_path 値が直接コピーされる
about.process.pid about.process.pid 値を直接コピーする
about.resource.attribute.permissions about.resource.attribute.permissions 権限から直接コピーされた値
追加の 追加の 直接名前変更済み
additional_cfp1 additional.fields 追加フィールドに統合されました
additional_cfp2 additional.fields 追加フィールドに統合されました
additional_cfp3 additional.fields 追加フィールドに統合
additional_cfp4 additional.fields 追加フィールドに統合
additional_cn1 additional.fields 追加フィールドに統合されました
additional_cn2 additional.fields 追加フィールドに統合されました
additional_cn3 additional.fields 追加フィールドに統合されました
additional_cs1 additional.fields 追加フィールドに統合されました
additional_cs2 additional.fields 追加フィールドに統合
additional_cs3 additional.fields 追加フィールドに統合されました
additional_cs4 additional.fields 追加フィールドに統合されました
additional_cs5 additional.fields 追加フィールドに統合
additional_cs6 additional.fields 追加フィールドに統合
additional_cs7 additional.fields 追加フィールドに統合
additional_devicePayloadId additional.fields 追加フィールドに統合されました
additional_eventId additional.fields 追加フィールドに統合
additional_fname additional.fields 追加フィールドに統合
additional_flexString1 additional.fields 追加フィールドに統合
additional_flexString2 additional.fields 追加フィールドに統合されました
app_protocol_output network.application_protocol 値を直接コピーする
cs1Label、cs1 additional.fields cs1Label のキー、cs1 の値
cs2Label、cs2 additional.fields cs2Label のキー、cs2 の値
cs3Label、cs3 additional.fields cs3Label のキー、cs3 の値
cs4Label、cs4 additional.fields キーは cs4Label、値は cs4
cs5Label、cs5 additional.fields キーは cs5Label、値は cs5
cs6Label、cs6 additional.fields cs6Label のキー、cs6 の値
cs7Label、cs7 additional.fields cs7Label のキー、cs7 の値
cfp1Label、cfp1 additional.fields cfp1Label のキー、cfp1 の値
cfp2Label、cfp2 additional.fields キーは cfp2Label、値は cfp2
cfp3Label、cfp3 additional.fields cfp3Label のキー、cfp3 の値
cfp4Label、cfp4 additional.fields cfp4Label のキー、cfp4 の値
cn1Label、cn1 additional.fields cn1Label のキー、cn1 の値
cn2Label, cn2 additional.fields cn2Label のキー、cn2 の値
cn3Label、cn3 additional.fields キーは cn3Label、値は cn3
customer_label security_result.detection_fields 検出フィールドに統合
destination_translated_address target.nat_ip 値が直接コピーされる
device_name_not_present, Enhetsnavn principal.hostname Device_name が空でない場合はその値、空の場合は Enhetsnavn
deviceExternalId about.asset.asset_id 連結の一部
devicePayloadId additional.fields キーは devicePayloadId、値はコピー
deviceTranslatedAddress about.nat_ip 値を直接コピーする
device_vendor about.asset.asset_id 連結の一部
device_product about.asset.asset_id 連結の一部
device_version metadata.product_version 値が直接コピーされる
device_event_class_id、event_name metadata.product_event_type 両方が存在する場合は [%{device_event_class_id}] - %{event_name} として連結。それ以外の場合は device_event_class_id または event_name
device_process_name about.process.command_line 値を直接コピーする
device_vendor metadata.vendor_name 値が直接コピーされる
device_product metadata.product_name 値を直接コピーする
dhost target.hostname 値が直接コピーされる
dmac target.mac 値が直接コピーされる
dntdom target.administrative_domain 値を直接コピーする
dpid target.process.pid 値を直接コピーする
dproc target.process.command_line 値を直接コピーする
dst target.asset.ip 値が直接コピーされる
dst_ip target.ip 値を直接コピーする
duid target.user.userid Grok 抽出後の temp_duid の値
duser target.user.user_display_name 値が直接コピーされる
dvchost about.hostname 値が直接コピーされる
deviceNtDomain about.administrative_domain 値が直接コピーされる
dvcmac about.mac 有効な MAC の場合、dvcmac の値
dvc_mac about.mac 有効な MAC の場合は dvc_mac の値
eventId additional.fields キーを eventId として、値をコピー
eventid additional.fields キーは eventId、値は eventid から取得
externalId metadata.product_log_id 値を直接コピーする
externalID_value metadata.product_log_id 値が直接コピーされる
file_full_path metadata.event_type file_full_path が空でない場合は PROCESS_UNCATEGORIZED に設定
fileHash about.file.sha256 ハッシュでない場合は値が直接コピーされ、ハッシュの場合は about.file.full_path
filePath about.file.full_path 値が直接コピーされる
fileType about.file.mime_type 値を直接コピーする
flexString1Label、flexString1 additional.fields キーは flexString1Label、値は flexString1
flexString2Label、flexString2 additional.fields キーは flexString2Label、値は flexString2
fname additional.fields キーを fname として、値をコピー
生成済み metadata.event_timestamp 日付一致 yyyy-MM-ddTHH:mm:ss を使用して変換されました
Generert metadata.event_timestamp 日付一致 yyyy-MM-ddTHH:mm:ss を使用して変換されました
Group_name principal.group.group_display_name 値を直接コピーする
Gruppenavn principal.group.group_display_name Group_name が空の場合の Gruppenavn の値
infection_channel_label security_result.detection_fields 検出フィールドに統合
in network.received_bytes 0 でない場合、uinteger に変換されます
IPv6_Address target.ip 「-」でない場合、統合されます。
ipv6 target.ip 「-」でない場合、統合されます。
mac principal.mac 値が直接コピーされる
mac_address target.mac 値を直接コピーする
mac_address about.mac mac_address の値
metadata metadata 直接名前を変更
msg metadata.description 値が直接コピーされる
msg_data_2 security_result.description 値が直接コピーされる
mottatt_not_present, Mottatt metadata.collected_timestamp 日付の一致 yyyy-MM-ddTHH:mm:ss を使用して変換
network network 直接名前を変更
oldFilePath src.file.full_path 値が直接コピーされる
oldFileSize src.file.size uinteger に変換
old_permissions src.resource.attribute.permissions 値が直接コピーされる
operasjon_label security_result.detection_fields 検出フィールドに統合
operation_label security_result.detection_fields 検出フィールドに統合されました
どうなるでしょうか network.sent_bytes 0 でない場合、uinteger に変換されます
permission_label security_result.detection_fields 検出フィールドに統合されました
権限 about.resource.attribute.permissions 値を直接コピーする
プリンシパル プリンシパル 直接名前変更済み
principal_ip principal.ip 値が直接コピーされる
principal_role principal.user.attribute.roles ロールに統合
protocol_number_src network.ip_protocol 値が直接コピーされる
受信 metadata.collected_timestamp 日付の一致 yyyy-MM-ddTHH:mm:ss を使用して変換
reason security_result.summary 値が直接コピーされる
リクエスト target.url 値が直接コピーされる
requestClientApplication network.http.user_agent 値が直接コピーされる
requestMethod network.http.method 値を直接コピーする
resource_Type_label target.resource.attribute.labels ラベルに統合
rt @timestamp さまざまな日付形式とタイムゾーンの調整を使用して変換された
security_result security_result 直接統合
security_result_token security_result 直接統合
重要度 security_result.severity [0,1,2,3,LOW] の場合は LOW、[4,5,6,MEDIUM,SUBSTANTIAL,INFO] の場合は MEDIUM、[7,8,HIGH,SEVERE] の場合は HIGH、[9,10,VERY-HIGH,CRITICAL] の場合は CRITICAL に設定されます。
shost principal.hostname IP でない場合は値を直接コピーし、IP の場合は principal.ip
shost principal.ip IP の場合は値が直接コピーされる
shost_present principal.machine_id_present true に設定
smac principal.mac 書式設定の直後にコピーされた値
sntdom principal.administrative_domain 値を直接コピーする
sourceDnsDomain target.asset.hostname、target.hostname Grok 経由で sourceDnsDomain から tar_host への値
sourceServiceName principal.application 値を直接コピーする
sourceTranslatedAddress principal.nat_ip 値が直接コピーされる
sourceTranslatedPort principal.nat_port 整数に変換
spid principal.process.pid 値が直接コピーされる
sproc principal.process.command_line 値を直接コピーする
spt principal.port 0 または {srcPort} でない場合、整数に変換されます。
src principal.asset.ip 値を直接コピーする
src_ip principal.ip 値を直接コピーする
srcaddr principal.ip 値を直接コピーする
spyware_Grayware_Type_label security_result.detection_fields 検出フィールドに統合
suser principal.user.user_display_name { で始まらない場合、値は直接コピーされます。
suid principal.user.userid 値が直接コピーされる
ターゲット ターゲット 直接名前を変更
target_ip target.ip 値が直接コピーされる
target_role target.user.attribute.roles ロールに統合
temp_data grok パターンで使用
temp_dhost target.hostname 値が直接コピーされる
temp_duser target.user.user_display_name 値が直接コピーされる
temp_duid target.user.userid Grok 後の temp_duid の値
threat_probability_label security_result.detection_fields 検出フィールドに統合されました
tillatelse_label security_result.detection_fields 検出フィールドに統合
type_label security_result.detection_fields 検出フィールドに統合
ユーザー target.user.userid 値を直接コピーする
Bruker target.user.userid ユーザーが空の場合の Bruker の値
ユーザー名 principal.user.userid 値を直接コピーする
Virus_Malware_Name security_result.threat_name スパイウェアが空の場合の Virus_Malware_Name の値
スパイウェア security_result.threat_name 値が直接コピーされる
Unknown_Threat security_result.threat_name Virus_Malware_Name が空の場合の Unknown_Threat の値
_hash about.file.sha256 値を直接コピーする
_message security_result.description 無効でない場合は値を直接コピー
_metadata.customer security_result.detection_fields キーを顧客として、値をコピー
_metadata.proxy.address principal.hostname、principal.asset.hostname 値が直接コピーされる
_metadata.source.address principal.hostname、principal.asset.hostname 値が直接コピーされる
_metadata.source.port principal.port 整数に変換
_metadata.source.type security_result.detection_fields キーをタイプとしてコピーしました
_metadata.timestamp.producer_process metadata.event_timestamp 日付照合 yyyy-MM-ddTHH:mm:ss.SSSZ を使用して変換されました
act security_result.action_details 値が直接コピーされる
act security_result.action act が [accept, notified]、outcome が REDIRECTED_USER_MAY_PROCEED、categoryOutcome が Success、cs2 が Allow の場合は ALLOW に設定します。act が deny/blocked、outcome が BLOCKED、categoryOutcome が Failure、cs2 が Denied の場合は BLOCK に設定します。outcome が Failure の場合は FAIL に設定します。
アクション security_result.action 値が直接コピーされる
アプリ app_protocol_src 値が直接コピーされる
app_protocol_src network.application_protocol 大文字とマッピング後の app_protocol_src の値
categoryOutcome security_result.action アクションの条件の一部
cs2 security_result.action アクションの条件の一部
cs5 additional.fields cs5Label のキー、cs5 の値
cs7 additional.fields cs7Label のキー、cs7 の値
destinationTranslatedAddress target.nat_ip 値が直接コピーされる
destinationTranslatedPort target.nat_port 整数に変換
deviceDirection network.direction 0 の場合は INBOUND、1 の場合は OUTBOUND に設定します。
device_event_class_id metadata.product_event_type 連結の一部
duid target.user.userid Grok 後の temp_duid の値
dvcmac about.mac 書式設定後の dvcmac の値
event_name metadata.product_event_type 連結の一部
event_name metadata.event_type [LogSpyware, LogPredictiveMachineLearning] の場合は SCAN_UNCATEGORIZED に設定
fileHash about.file.sha256 ハッシュの場合は値が直接コピーされ、それ以外の場合は about.file.full_path
Mottatt metadata.collected_timestamp 日付一致 yyyy-MM-ddTHH:mm:ss を使用して変換されました
outcome security_result.action アクションの条件の一部
ポート principal.port 整数に変換しました
protocol_number_src network.ip_protocol マッピング後の protocol_number_src の値
proto protocol_number_src 値が直接コピーされる
重要度 security_result.severity 値の範囲に基づいてマッピング
shost principal.hostname IP でない場合は値を直接コピー
act security_result.action 条件付きロジックに基づいて設定
app_protocol_src network.application_protocol app_protocol_src からマッピング
protocol_number_src network.ip_protocol protocol_number_src からマッピング
Virus_Malware_Name security_result.threat_name Virus_Malware_Name の値（
flexString2 event.idm.read_only_udm.network.email.subject 変更履歴からマッピング
version event.idm.read_only_udm.additional.fields 変更履歴からマッピング
device_product event.idm.read_only_udm.additional.fields 変更履歴からマッピング
cs1 event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
cs4 event.idm.read_only_udm.metadata.url_back_to_product 変更履歴からマッピング
suser event.idm.read_only_udm.network.email.from 変更履歴からマッピング
duser event.idm.read_only_udm.network.email.to 変更履歴からマッピング
fname event.idm.read_only_udm.target.file.names 変更履歴からマッピング
fileHash event.idm.read_only_udm.target.file.md5 変更履歴からマッピング
flexString1 event.idm.read_only_udm.about.file.sha256 変更履歴からマッピング
observer_application event.idm.read_only_udm.observer.application 変更履歴からマッピング
syslog_severity_label event.idm.read_only_udm.additional.fields 変更履歴からマッピング
start event.idm.read_only_udm.security_result.first_discovered_time 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。