收集 FireEye eMPS 記錄

支援的國家/地區：

Google SecOps SIEM

注意： 這項功能受《Google Security Operations 服務專屬條款》的《正式發布前產品條款》規範。正式發布前的功能或許只提供部分支援，而且這類功能的變更可能與其他正式發布前版本不相容。詳情請參閱《Google SecOps 技術支援服務指南》和《Google SecOps 服務專屬條款》。

本文說明如何使用 Bindplane 代理程式，將 FireEye eMPS 記錄擷取至 Google Security Operations。

FireEye Email Malware Protection System (eMPS)，又稱 FireEye EX 系列 (前身為 FireEye Email Security，現為 Trellix Email Security 的一部分)，是一種電子郵件安全裝置，可即時分析電子郵件內容和附件，保護機構免於魚叉式網路釣魚、惡意軟體和目標性攻擊等進階電子郵件威脅。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
• Bindplane 代理程式與 FireEye eMPS 裝置之間的網路連線
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
• FireEye eMPS 設備 CLI 的特殊存取權 (管理員或操作員角色)
• 具備 Syslog 通知功能的 FireEye eMPS 裝置

取得 Google SecOps 擷取驗證檔案

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「收集代理程式」。
3. 按一下「下載」即可下載擷取驗證檔案。

4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

   注意： 這個 JSON 檔案包含驗證 Bindplane 代理程式與 Google SecOps 的憑證。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」>「設定檔」。

3. 複製並儲存「機構詳細資料」專區中的客戶 ID。

   注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令來驗證安裝：

   sc query observiq-otel-collector
   

服務應顯示為「RUNNING」(執行中)。

安裝 Linux

1. 開啟具備根層級或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令來驗證安裝：

   sudo systemctl status observiq-otel-collector
   

服務應顯示為啟用 (執行中)。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

• Linux：

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

編輯設定檔

• 將 config.yaml 的所有內容替換為下列設定：

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fireeye_emps:
      compression: gzip
      creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FIREEYE_EMPS
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/fireeye_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/fireeye_emps
  

設定參數

請替換下列預留位置：

接收器設定：

• 接收器已設定為透過通訊埠 514 (標準系統記錄檔通訊埠) 接收 UDP 系統記錄檔。
• 如要在 Linux 上使用非專屬通訊埠，請將 514 變更為 1514 以上版本。
• 如要使用 TCP 而非 UDP，請將 udplog 改成 tcplog。

匯出工具設定：

• creds_file_path：擷取驗證檔案的完整路徑：

  • Linux：/etc/bindplane-agent/ingestion-auth.json
  • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

• customer_id：將 YOUR_CUSTOMER_ID 替換為上一個步驟中的客戶 ID。

• endpoint：區域端點網址：

  • 美國：malachiteingestion-pa.googleapis.com
  • 歐洲：europe-malachiteingestion-pa.googleapis.com
  • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  • 如需完整清單，請參閱「區域端點」。

• log_type：必須與 Chronicle 剖析器完全相符，也就是 FIREEYE_EMPS。

• ingestion_labels：YAML 格式的選用標籤 (可視需要自訂)。

儲存設定檔

編輯完成後，請儲存檔案：

• Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
• Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

• Linux

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務正在執行：

     sudo systemctl status observiq-otel-collector
     

  2. 檢查記錄中是否有錯誤：

     sudo journalctl -u observiq-otel-collector -f
     

• Windows

  選擇下列其中一個選項：

  • 以管理員身分使用命令提示字元或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 使用服務控制台：

    1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出 observIQ OpenTelemetry Collector。

    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 檢查記錄中是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

設定 FireEye eMPS 系統記錄檔轉送功能

使用 CLI 設定 FireEye eMPS 設備，將系統記錄通知轉寄至 Bindplane 代理程式。

存取 FireEye eMPS CLI

1. 透過 SSH 或控制台連線至 FireEye eMPS 設備。
2. 使用具備管理員或操作員權限的帳戶登入。

3. 進入啟用模式：

   hostname> enable
   

4. 進入設定模式：

   hostname# configure terminal
   

設定系統記錄伺服器

1. 將 Bindplane 代理程式新增為系統記錄陷阱接收器：

   hostname(config)# fenotify rsyslog trap-sink chronicle address <BINDPLANE_IP_ADDRESS>
   

   將 <BINDPLANE_IP_ADDRESS> 替換為執行 Bindplane 代理程式的主機 IP 位址 (例如 192.168.1.100)。

2. 將系統記錄格式設為 CEF (通用事件格式)：

   hostname(config)# fenotify rsyslog trap-sink chronicle prefer message format cef
   

3. 將系統記錄設施設為 local4 (建議)：

   hostname(config)# fenotify syslog default facility local4
   

4. 將傳送模式設為依事件傳送通知：

   hostname(config)# fenotify rsyslog trap-sink chronicle message delivery per-event
   

5. 將快訊嚴重程度設為快訊等級 (建議)：

   hostname(config)# fenotify rsyslog trap-sink chronicle prefer message send-as alert
   

6. 將通訊協定設為 UDP (或在 Bindplane 中設定的 TCP)：

   hostname(config)# fenotify rsyslog trap-sink chronicle protocol udp
   

   注意： 如果您將 Bindplane 代理程式設為使用 TCP，請將 udp 變更為 tcp。

7. 將通訊埠設為 514 (或在 Bindplane 中設定的通訊埠)：

   hostname(config)# fenotify rsyslog trap-sink chronicle port 514
   

   注意： 如果您將 Bindplane 代理程式設定為使用其他通訊埠 (例如 1514)，請變更 514 以符合設定。

啟用系統記錄通知

1. 全域啟用 rsyslog 通知：

   hostname(config)# fenotify rsyslog enable
   

2. 啟用全域通知：

   hostname(config)# fenotify enable
   

3. 為 rsyslog 啟用特定警報類型。舉例來說，如要啟用所有與電子郵件相關的快訊：

   hostname(config)# fenotify rsyslog alert malware-object enable
   hostname(config)# fenotify rsyslog alert malware-callback enable
   hostname(config)# fenotify rsyslog alert infection-match enable
   hostname(config)# fenotify rsyslog alert domain-match enable
   

   注意： 請啟用與監控需求相關的快訊類型。可用的快訊類型可能包括：malware-object、malware-callback、infection-match、domain-match、web-infection、riskware-object、riskware-callback 等，視您的 FireEye eMPS 版本而定。

4. 驗證設定：

   hostname(config)# show fenotify alerts
   

   這個指令會顯示已啟用的通知方法和快訊類型。

5. 儲存設定：

   hostname(config)# write memory
   

6. 退出設定模式：

   hostname(config)# exit
   hostname# exit
   

測試系統記錄連線

1. 傳送測試系統記錄訊息，驗證連線：

   hostname# fenotify rsyslog send-test
   

2. 查看 Bindplane 代理程式記錄，確認是否收到測試訊息：

   • Linux：

     sudo journalctl -u observiq-otel-collector -n 50
     

   • Windows：

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. 確認記錄是否顯示在 Google SecOps 控制台中 (初始擷取作業需要 5 到 10 分鐘)。

其他設定注意事項

• 如上所示設定後，FireEye eMPS 會以 CEF (通用事件格式) 傳送系統記錄訊息。
• 系統記錄訊息包含電子郵件威脅詳細資料，例如寄件者、收件者、主旨、惡意軟體名稱、網址、檔案雜湊值和威脅嚴重程度。
• 確認防火牆規則允許從 FireEye eMPS 設備到 Bindplane 代理程式的 UDP (或 TCP) 流量，並使用設定的通訊埠。
• 如需詳細的 CLI 指令參考資料，請前往 FireEye 說明文件入口網站 (https://docs.fireeye.com/，須登入)。

UDM 對應表

記錄欄位	UDM 對應	邏輯
_hash	about.file.sha256	從 _hash 取得的值
__message	security_result_token.description	如果 has_invalid_msg 為 false，則取自 _message 的值
IPv6_Address	event.idm.read_only_udm.target.ip	如果不是「-」，則取自 IPv6_Address 的值
Action_Taken	security_result.action_details	從 Action_Taken 取得的值
CustomerName	event.idm.read_only_udm.target.user.user_display_name	從移除引號後的 CustomerName 中取得的值
Device_name	event.idm.read_only_udm.principal.hostname	如有 Device_name，則取自該名稱
Domene	sntdom	如果沒有網域，則取自 Domene 的值
網域	sntdom	取自網域的值
Emne	about.process.command_line	如果沒有 Subject，則會從 Emne 取得值
Enhetsnavn	event.idm.read_only_udm.principal.hostname	如果沒有 Device_name，則會從 Enhetsnavn 取值
File_name	event.idm.read_only_udm.target.process.file.full_path	取自 File_name 的值
已產生	event.idm.read_only_udm.metadata.event_timestamp	從「已產生」轉換為時間戳記格式
Group_name	event.idm.read_only_udm.principal.group.group_display_name	從 Group_name 取得的值
Gruppenavn	event.idm.read_only_udm.principal.group.group_display_name	如果沒有 Group_name，則取自 Gruppenavn 的值
Infected_Resource	event.idm.read_only_udm.target.process.file.full_path	如果沒有其他值，則取自 Infected_Resource
Infection_Channel	security_result.detection_fields	鍵設為「感染管道」，值來自 Infection_Channel
IPv6_Address	target_machine_id_present	如果 IPv6_Address 不是「-」，請設為 true
物件	event.idm.read_only_udm.target.process.file.full_path	如果沒有 File_name，則取自 Object 的值
Objekt	event.idm.read_only_udm.target.process.file.full_path	如果沒有其他值，則取自 Objekt
Operasjon	operasjon_label	從 Operasjon 取得的值
作業	operation_label	從作業取得的值
路徑	about.process.command_line	如果沒有其他值，則取自路徑
權限	permission_label	從權限取得的值
已接收	event.idm.read_only_udm.metadata.collected_timestamp	從「已收到」轉換為時間戳記格式
Resource_Type	event.idm.read_only_udm.target.resource.attribute.labels	鍵設為「Resource_Type」，值來自 Resource_Type
結果	security_result.summary	從結果取得的值
Scan_Type	security_result.description	如果沒有「類型」，則取自「掃描類型」的值
間諜軟體	security_result.threat_name	從間諜軟體取得的值
Spyware_Grayware_Type	security_result.detection_fields	金鑰設為「Spyware/Grayware_Type」，值來自 Spyware_Grayware_Type
主旨	about.process.command_line	取自主體的值
Threat_Probability	security_result.detection_fields	鍵設為「Threat_Probability」，值來自 Threat_Probability
Tillatelse	tillatelse_label	從 Tillatelse 取得的值
類型	security_result.description	從「類型」取得的值
Unknown_Threat	security_result.threat_name	如果沒有其他值，則取自 Unknown_Threat
使用者	event.idm.read_only_udm.target.user.userid	從使用者取得的值
Virus_Malware_Name	security_result.threat_name	如果沒有間諜軟體，則取自 Virus_Malware_Name
_metadata.customer	security_result_token.detection_fields	鍵設為「Customer」，值來自 _metadata.customer
_metadata.proxy.address	event.idm.read_only_udm.principal.hostname	取自 _metadata.proxy.address 的值
_metadata.proxy.address	event.idm.read_only_udm.principal.asset.hostname	取自 _metadata.proxy.address 的值
_metadata.source.address	principal.hostname	取自 _metadata.source.address 的值
_metadata.source.address	principal.asset.hostname	取自 _metadata.source.address 的值
_metadata.source.port	principal.port	已從 _metadata.source.port 轉換為整數
_metadata.source.type	security_result_token.detection_fields	鍵設為「Type」，值來自 _metadata.source.type
_metadata.timestamp.producer_process	event.idm.read_only_udm.metadata.event_timestamp	從 _metadata.timestamp.producer_process 轉換為時間戳記格式
_metadata.timestamp.producer_process	metadata.event_timestamp	從 _metadata.timestamp.producer_process 轉換為時間戳記格式
關聯	event.idm.read_only_udm.about	從「關於」頁面合併
about_token	event.idm.read_only_udm.about	從 about_token 合併
act	security_result.action	衍生自 act：accept/notified → ALLOW；deny/blocked → BLOCK；Failure → FAIL
act	security_result.action_details	從 act 取得的值
additional_cs1	event.idm.read_only_udm.additional.fields	索引鍵設為 cs1Label，值來自 cs1
additional_cs2	event.idm.read_only_udm.additional.fields	索引鍵設為 cs2Label，值來自 cs2
additional_cs3	event.idm.read_only_udm.additional.fields	鍵設為 cs3Label，值來自 cs3 (如不為空)
additional_cs4	event.idm.read_only_udm.additional.fields	索引鍵設為 cs4Label，值來自 cs4
additional_cs5	event.idm.read_only_udm.additional.fields	如果不是 NA，則鍵設為 cs5Label，值來自 cs5
additional_cs6	event.idm.read_only_udm.additional.fields	鍵設為 cs6Label，值來自 cs6 (如不為空)
additional_cs7	event.idm.read_only_udm.additional.fields	鍵設為 cs7Label，值來自 cs7 (如不為空)
additional_cn1	event.idm.read_only_udm.additional.fields	鍵設為 cn1Label，值來自 cn1 (如不為空)
additional_cn2	event.idm.read_only_udm.additional.fields	鍵設為 cn2Label，值來自 cn2 (如不為空)
additional_cn3	event.idm.read_only_udm.additional.fields	鍵設為 cn3Label，值來自 cn3 (如不為空白)
additional_cfp1	event.idm.read_only_udm.additional.fields	鍵設為 cfp1Label，值來自 cfp1 (如不為空)
additional_cfp2	event.idm.read_only_udm.additional.fields	鍵設為 cfp2Label，值來自 cfp2 (如不為空)
additional_cfp3	event.idm.read_only_udm.additional.fields	鍵設為 cfp3Label，值來自 cfp3 (如不為空)
additional_cfp4	event.idm.read_only_udm.additional.fields	鍵設為 cfp4Label，值來自 cfp4 (如不為空)
additional_devicePayloadId	event.idm.read_only_udm.additional.fields	索引鍵設為「devicePayloadId」，值來自 devicePayloadId
additional_eventId	event.idm.read_only_udm.additional.fields	鍵設為「eventId」，值來自 eventId
additional_fname	event.idm.read_only_udm.additional.fields	索引鍵設為「fname」，值來自 fname (如果不是 N/A)
additional_flexString1	event.idm.read_only_udm.additional.fields	索引鍵設為 flexString1Label，值來自 flexString1
additional_flexString2	event.idm.read_only_udm.additional.fields	鍵設為 flexString2Label，值來自 flexString2 (如不為空)
應用程式	app_protocol_src	從應用程式取得的值
appcategory	security_result.summary	從 appcategory 取得的值
base64_sha256	event.idm.read_only_udm.network.tls.client.certificate.sha256	從 Sha256 轉換為 base64 十六進位
base64_sha256	event.idm.read_only_udm.target.resource.name	取自 base64_sha256 的值
cat	security_result.category_details	從 cat 取得的值
cs5	cs5_label	如未設定標籤，則取自 cs5 的值
cs5_label	event.idm.read_only_udm.additional.fields	鍵設為「cs5 Label」，值來自 cs5 (如果無效)
destinationServiceName	event.idm.read_only_udm.target.application	取自 destinationServiceName 的值
destinationTranslatedAddress	event.idm.read_only_udm.target.nat_ip	取自 destinationTranslatedAddress 的值
destinationTranslatedPort	event.idm.read_only_udm.target.nat_port	已將 destinationTranslatedPort 從 TranslatedPort 轉換為整數
deviceDirection	event.idm.read_only_udm.network.direction	如果為 0，請設為 INBOUND；如果為 1，請設為 OUTBOUND
deviceExternalId	about.asset.asset_id	從 deviceExternalId 取得的值，格式為「device_vendor.device_product:deviceExternalId」
deviceNtDomain	about.administrative_domain	從裝置 NtDomain 取得的值
devicePayloadId	additional_devicePayloadId	從 devicePayloadId 取得的值
deviceProcessName	about.process.command_line	從 deviceProcessName 取得的值
deviceTranslatedAddress	about.nat_ip	取自 deviceTranslatedAddress 的值
device_vendor	event.idm.read_only_udm.metadata.vendor_name	取自 device_vendor 的值
device_version	event.idm.read_only_udm.metadata.product_version	從 device_version 取得的值
dhost	temp_dhost	從 dhost 取得的值
dmac	event.idm.read_only_udm.target.mac	格式化後從 dmac 取得的值
dmac	mac_address	格式化後從 dmac 取得的值
dntdom	event.idm.read_only_udm.target.administrative_domain	從 dntdom 取得的值
dpid	event.idm.read_only_udm.target.process.pid	從 dpid 取得的值
dpriv	target_role	從 dpriv 取得的值
dproc	event.idm.read_only_udm.target.process.command_line	從 dproc 取得的值
dpt	event.idm.read_only_udm.target.port	已從 dpt 轉換為整數
dst	event.idm.read_only_udm.target.asset.ip	從 dst 取得的值
dst	event.idm.read_only_udm.target.ip	從 dst 取得的值
dst_ip	target_ip	取自 dst_ip 的值
duid	temp_duid	從 duid 取得的值
duser	event.idm.read_only_udm.metadata.event_type	如果 duser 不為空白，請設為 USER_UNCATEGORIZED
duser	temp_duser	從 duser 取得的值
dvchost	about.hostname	從 dvchost 取得的值
dvcmac	about.mac	如果 MAC 有效，則取自 dvcmac 的值 (格式化後)
dvcmac	dvc_mac	格式化後從 dvcmac 取得的值
dvcpid	about.process.pid	從 dvcpid 取得的值
dvc	about.ip	從 dvc 陣列分割
eventId	additional_eventId	從 eventId 取得的值
event_name	event.idm.read_only_udm.metadata.product_event_type	與 device_event_class_id 合併為「[device_event_class_id] - event_name」，或僅為 event_name
event_name	event.idm.read_only_udm.metadata.event_type	如果 LogSpyware 或 LogPredictiveMachineLearning，請設為 SCAN_UNCATEGORIZED
eventid	eventId	從 eventid 取得的值
externalId	event.idm.read_only_udm.metadata.product_log_id	從 externalId 取得的值
fileHash	about.file.sha256	如果雜湊有效，則取自 fileHash 的值
fileHash	about.file.full_path	如果雜湊無效，則取自 fileHash 的值
filePath	about.file.full_path	從 filePath 取得的值
filePermission	權限	取自 filePermission 的值
fileType	about.file.mime_type	從 fileType 取得的值
flexString2	additional_flexString2	取自 flexString2 的值
flexString2Label	additional_flexString2	取自 flexString2Label 的值
fname	additional_fname	從 fname 取得的值
fsize	about.file.size	已從 fsize 轉換為 uinteger
has_principal	metadata.event_type	如果 has_principal 為 true 且 has_target 為 false，請設為 STATUS_UPDATE
has_principal	principal_present	設為 true
has_target	metadata.event_type	如果 has_principal 為 false，則設為 GENERIC_EVENT
：	event.idm.read_only_udm.network.received_bytes	如果 >0，則從 in 轉換為 uinteger
infection_channel_label	security_result.detection_fields	鍵設為「感染管道」，值來自 Infection_Channel
ipv6	target_machine_id_present	如果 IPv6_Address 不是「-」，請設為 true
mac	event.idm.read_only_udm.principal.mac	從 Mac 取得的值
mac_address	event.idm.read_only_udm.target.mac	從 mac_address 取得的值
mac_address	about.mac	從 mac_address 取得的值
中繼資料	event.idm.read_only_udm.metadata	從中繼資料重新命名
msg	event.idm.read_only_udm.metadata.description	移除引號後從訊息中取得的值
msg_data_2	security_result.description	如果 msg_data_2 不為空白，則取自該值
mwProfile	security_result.rule_name	從 mwProfile 取得的值
oldFilePath	event.idm.read_only_udm.src.file.full_path	從舊檔案路徑取得的值
oldFilePermission	old_permissions	從舊的檔案權限取得的值
oldFileSize	event.idm.read_only_udm.src.file.size	從舊版檔案大小轉換為 uinteger
operasjon_label	security_result.detection_fields	如果值不為空，則從 operasjon_label 合併
operation_label	security_result.detection_fields	如果值不為空，則從 operation_label 合併
出局	event.idm.read_only_udm.network.sent_bytes	如果 >0，則從 out 轉換為 uinteger
permission_label	security_result.detection_fields	如果值不為空，則從 permission_label 合併
通訊埠	event.idm.read_only_udm.principal.port	已將連接埠轉換為整數
主體	event.idm.read_only_udm.principal	從主體重新命名
proto	protocol_number_src	從 proto 取得的值
申請。	event.idm.read_only_udm.target.url	從要求中取得的值
requestClientApplication	event.idm.read_only_udm.network.http.user_agent	從 requestClientApplication 取得的值
requestMethod	event.idm.read_only_udm.network.http.method	從 requestMethod 取得的值
resource_Type_label	event.idm.read_only_udm.target.resource.attribute.labels	如果無效，則從 resource_Type_label 合併
rt	event.idm.read_only_udm.metadata.event_timestamp	從 rt 轉換為時間戳記格式
security_result	event.idm.read_only_udm.security_result	從 security_result 合併
security_result_token	event.idm.read_only_udm.security_result	從 security_result_token 合併
嚴重性	security_result.severity	嚴重程度：0-1 → 低；2-3 → 中；4-5 → 高；6-9 → 重大
shost	event.idm.read_only_udm.principal.hostname	如果為 IP，則取自 shost 的值；否則為主機名稱
shost	event.idm.read_only_udm.principal.ip	如果為 IP，則取自 shost 的值
shost_present	shost_present	設為 true
smac	event.idm.read_only_udm.principal.mac	格式化後從 smac 取得的值
smac	mac	格式化後從 smac 取得的值
sntdom	event.idm.read_only_udm.principal.administrative_domain	從 sntdom 取得的值
sourceDnsDomain	event.idm.read_only_udm.target.asset.hostname	取自 sourceDnsDomain 主機名稱的值
sourceDnsDomain	event.idm.read_only_udm.target.hostname	取自 sourceDnsDomain 主機名稱的值
sourceServiceName	event.idm.read_only_udm.principal.application	取自 sourceServiceName 的值
sourceTranslatedAddress	event.idm.read_only_udm.principal.nat_ip	取自 sourceTranslatedAddress 的值
sourceTranslatedPort	event.idm.read_only_udm.principal.nat_port	從 sourceTranslatedPort 轉換為整數
spid	event.idm.read_only_udm.principal.process.pid	從 spid 取得的值
spriv	principal_role	從 spriv 取得的值
sproc	event.idm.read_only_udm.principal.process.command_line	從預存程序取得的值
spt	event.idm.read_only_udm.principal.port	如果有效，則從 spt 轉換為整數
src	event.idm.read_only_udm.principal.asset.ip	取自 src 的值
src	event.idm.read_only_udm.principal.ip	取自 src 的值
src	event.idm.read_only_udm.metadata.event_type	如果 src 不為空白，則設為 STATUS_UPDATE
srcip	principal_ip	從 srcip 取得的值
spyware_Grayware_Type_label	security_result.detection_fields	從 spyware_Grayware_Type_label 合併
suid	event.idm.read_only_udm.principal.user.userid	從 suid 取得的值
suser	event.idm.read_only_udm.principal.user.user_display_name	如果不是以「{」開頭，則取自 suser 的值
目標	event.idm.read_only_udm.target	已從目標重新命名
target_hostname_present	target_hostname_present	設為 true
target_machine_id_present	target_machine_id_present	設為 true
target_present	target_present	設為 true
temp_dhost	event.idm.read_only_udm.target.hostname	從 temp_dhost 取得的值
temp_dhost	target_hostname_present	設為 true
temp_dhost	target_machine_id_present	設為 true
temp_duid	event.idm.read_only_udm.target.user.userid	從 grok 後的 temp_duid 取得的值
temp_duser	event.idm.read_only_udm.target.user.user_display_name	從 temp_duser 取得的值
temp_duser	has_target_user	設為 true
threat_probability_label	security_result.detection_fields	從 threat_probability_label 合併
tillatelse_label	security_result.detection_fields	從 tillatelse_label 合併
type_label	security_result_token.detection_fields	鍵設為「Type」，值來自 _metadata.source.type
customer_label	security_result_token.detection_fields	鍵設為「Customer」，值來自 _metadata.customer
	event.idm.read_only_udm.metadata.vendor_name	設為「FIREEYE_EMPS」
	event.idm.read_only_udm.metadata.product_name	設為「FIREEYE_EMPS」

需要其他協助嗎？向社群成員和 Google SecOps 專業人員尋求答案。