このページは Cloud Translation API によって翻訳されました。

LimaCharlie EDR のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、 Google Cloud Storage を使用して LimaCharlie EDR ログを Google Security Operations に取り込む方法について説明します。パーサーは、JSON 形式のログからイベントを抽出し、フィールドを UDM に正規化して、トップレベルとネストされたイベントの両方を処理します。具体的には、DNS リクエスト、プロセスの作成、ファイルの変更、ネットワーク接続、レジストリの変更など、さまざまなイベントタイプを解析し、関連するフィールドを統合データモデル（UDM）の同等のフィールドにマッピングして、LimaCharlie 固有のコンテキストでデータを拡充します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Google Cloudへの特権アクセス
LimaCharlie への特権アクセス

Google Cloud Storage バケットの作成

Google Cloud コンソールにログインします。
[Cloud Storage バケット] のページに移動します。

[バケット] に移動
[作成] をクリックします。
[バケットの作成] ページでユーザーのバケット情報を入力します。以下のステップでは、操作を完了した後に [続行] をクリックして、次のステップに進みます。
1. [始める] セクションで、次の操作を行います。
  - バケット名の要件を満たす一意の名前を入力します（例: cloudrun-logs）。
  - 階層名前空間を有効にするには、展開矢印をクリックして [Optimize for file oriented and data-intensive workloads] セクションを開き、[このバケットで階層的な名前空間を有効にする] を選択します。
  注: 既存のバケットで階層型名前空間を有効にすることはできません。
  - バケットラベルを追加するには、展開矢印をクリックして [ラベル] セクションを開きます。
  - [ラベルを追加] をクリックし、ラベルのキーと値を指定します。
2. [データの保存場所の選択] セクションで、次の操作を行います。
  - ロケーションタイプを選択してください。
  - ロケーションタイプのメニューを使用して、バケット内のオブジェクトデータが永続的に保存されるロケーションを選択します。
  注: ロケーションタイプとして [デュアルリージョン] を選択した場合は、関連するチェックボックスを使用してターボレプリケーションを有効にすることもできます。
  - クロスバケットレプリケーションを設定するには、[クロスバケットレプリケーションを設定する] セクションを開きます。
3. [データのストレージクラスを選択する] セクションで、バケットのデフォルトのストレージクラスを選択します。あるいは、Autoclass を選択して、バケットデータのストレージクラスを自動的に管理します。
4. [オブジェクトへのアクセスを制御する方法を選択する] セクションで、[なし] を選択して公開アクセスの防止を適用し、バケットのオブジェクトの [アクセス制御モデル] を選択します。
注: プロジェクトの組織のポリシーによって公開アクセスの防止がすでに適用されている場合、[公開アクセスの防止] チェックボックスはロックされています。
1. [オブジェクトデータを保護する方法を選択する] セクションで、次の操作を行います。
  - [データ保護] で、バケットに設定するオプションを選択します。
  - オブジェクトデータの暗号化方法を選択するには、[データ暗号化] 展開矢印をクリックし、データの暗号化方法を選択します。
[作成] をクリックします。

LimaCharlie EDR でログのエクスポートを構成する

LimaCharlie ポータルにログインします。
左側のメニューから [出力] を選択します。
[出力の追加] をクリックします。
出力ストリームを選択: [イベント] を選択します。
出力先を選択する: [Google Cloud Storage] を選択します。
次の構成の詳細を入力します。
- バケット: Google Cloud Storage バケットのパス。
- Secret Key: サービスアカウントを識別するシークレット JSON キー。
- ファイルあたりの秒数: ファイルがカットされてアップロードされるまでの秒数。
- 圧縮: False に設定します。
- インデックス登録: False に設定します。
- Dir: リモートホストに出力するファイルのディレクトリ接頭辞。
[出力を保存] をクリックします。

フィードを設定する

フィードを構成する手順は次のとおりです。

[SIEM Settings] > [Feeds] に移動します。
[Add New Feed] をクリックします。
次のページで [単一のフィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Limacharlie EDR Logs）。
[ソースタイプ] として [Google Cloud Storage V2] を選択します。
[ログタイプ] として [LimaCharlie] を選択します。
Chronicle サービスアカウントとして [サービスアカウントを取得する] をクリックします。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- Storage Bucket URI: gs://my-bucket/<value>/ 形式の Google Cloud Storage バケット URL。この URL は、末尾にスラッシュ（/）が付いている必要があります。
- Source deletion options: 必要に応じて削除オプションを選択します。
注: Delete transferred files オプションまたは Delete transferred files and empty directories オプションを選択する場合は、サービスアカウントに適切な権限が付与されていることを確認してください。* ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。* アセットの名前空間: アセットの名前空間。* Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

サポートされている LimaCharlie のサンプルログ

DNS_REQUEST

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "98e97377-ad12-4fb7-a2e5-b492e18cf17a",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.11",
    "moduleid": 2,
    "event_type": "DNS_REQUEST",
    "event_time": 1584131972237,
    "event_id": "42a5b328-dccb-4972-8b3e-d28c6298da1d",
    "tags": ["workstations"],
    "this": "d8856b9e783083c120fff45eadef092e"
  },
  "event": {
    "DOMAIN_NAME": "sanitized.domain.net",
    "PROCESS_ID": 1556,
    "MESSAGE_ID": 52513,
    "DNS_TYPE": 28,
    "IP_ADDRESS": "2001:db8::1"
  }
}

NEW_PROCESS

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "7812dc27-5b53-475b-9a9c-b86964355986",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.12",
    "moduleid": 2,
    "event_type": "NEW_PROCESS",
    "event_time": 1584121663200,
    "event_id": "519be559-6f48-4c4c-8374-55cf4b80bedc",
    "tags": ["workstations"],
    "this": "bfc2100277f0cc05e7f821c6011e5c54",
    "parent": "500e2ef6f130fc184889800b4d8403e3"
  },
  "event": {
    "PARENT_PROCESS_ID": 3452,
    "FILE_PATH": "C:\\Program Files\\Git\\usr\\bin\\bash.exe",
    "COMMAND_LINE": "\"C:\\Program Files\\Git\\usr\\bin\\bash.exe\"",
    "MEMORY_USAGE": 20480,
    "USER_NAME": "CTC\\masked_user",
    "PROCESS_ID": 676,
    "PARENT": {
      "PARENT_PROCESS_ID": 18900,
      "FILE_PATH": "C:\\Program Files\\Git\\usr\\bin\\bash.exe",
      "COMMAND_LINE": "\"C:\\Program Files\\Git\\usr\\bin\\bash.exe\"",
      "BASE_ADDRESS": 4299161600,
      "PROCESS_ID": 3452,
      "THREADS": 5,
      "MEMORY_USAGE": 9437184,
      "USER_NAME": "CTC\\masked_user",
      "TIMESTAMP": 1584121249676,
      "THIS_ATOM": "500e2ef6f130fc184889800b4d8403e3",
      "PARENT_ATOM": "699c825429b894129b26dfe488225315",
      "FILE_IS_SIGNED": 0,
      "HASH": "744343e01351ba92e365b7e24eedd4ed18ed3ebe26e68c69d9b5e324fe64a1b5"
    },
    "FILE_IS_SIGNED": 0,
    "HASH": "744343e01351ba92e365b7e24eedd4ed18ed3ebe26e68c69d9b5e324fe64a1b5"
  }
}

TERMINATE_PROCESS

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "7812dc27-5b53-475b-9a9c-b86964355986",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.12",
    "moduleid": 2,
    "event_type": "TERMINATE_PROCESS",
    "event_time": 1584121663547,
    "event_id": "8abfd85b-71b1-4495-bd18-1f4b6f55103b",
    "tags": ["workstations"],
    "this": "2932ce40bde71d9b6bf2f648600badec",
    "parent": "bfc2100277f0cc05e7f821c6011e5c54"
  },
  "event": {
    "PARENT_PROCESS_ID": 3452,
    "PROCESS_ID": 676
  }
}

CODE_IDENTITY

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "c81a8699-8f37-4f74-a71f-3edf7a7ae80c",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.11",
    "moduleid": 2,
    "event_type": "CODE_IDENTITY",
    "event_time": 1584116496391,
    "event_id": "4810161f-1c87-4069-89e0-1ea84a3f3b63",
    "tags": ["workstations"],
    "this": "72198f6f157681b611dc36cde1589b1d",
    "parent": "c167e778592b4da6cbf705249752d6e6"
  },
  "event": {
    "FILE_PATH": "C:\\Windows\\System32\\psapi.dll",
    "HASH": "6dae0b5bac5b2c34fd313b51ac793b6f0c270da01474e4d1016b119fc1f9ce8f",
    "HASH_MD5": "89d92079f45d2f2539bcd1eef73a701e",
    "HASH_SHA1": "354fbac912764bbf6595f97a59d5e32041926194",
    "ERROR": 0,
    "SIGNATURE": {
      "FILE_PATH": "C:\\Windows\\System32\\psapi.dll",
      "CERT_ISSUER": "C=US, S=Washington, L=Redmond, O=Microsoft Corporation, "
        "CN=Microsoft Windows Production PCA 2011",
      "CERT_SUBJECT": "C=US, S=Washington, L=Redmond, O=Microsoft Corporation, "
        "CN=Microsoft Windows",
      "FILE_IS_SIGNED": 1,
      "FILE_CERT_IS_VERIFIED_LOCAL": 1
    },
    "FILE_INFO": "10.0.18362.1",
    "ORIGINAL_FILE_NAME": "PSAPI"
  }
}

EXISTING_PROCESS

{
  "source": "129538ba-8970-4421-92dc-5bd958f8308e.05da2702-0aef-43e5-afa1-1bd747dc6161."
    "fcdd2eb7-9737-4dac-b639-c11c7a149c71.10000000.2",
  "routing": {
    "oid": "129538ba-8970-4421-92dc-5bd958f8308e",
    "iid": "05da2702-0aef-43e5-afa1-1bd747dc6161",
    "sid": "fcdd2eb7-9737-4dac-b639-c11c7a149c71",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.11",
    "moduleid": 2,
    "event_type": "NEW_PROCESS",
    "event_time": 1584039879031,
    "event_id": "f2dd9f86-91fc-4566-8e7d-3235407ebc88",
    "tags": [],
    "this": "c8b9305d9358fea725096f354779ddec",
    "parent": "1deb4f32a9fc7d4d51e155a5c748ca74"
  },
  "cat": "Whoami Execution",
  "namespace": "general",
  "detect": {
    "routing": {
      "oid": "129538ba-8970-4421-92dc-5bd958f8308e",
      "iid": "05da2702-0aef-43e5-afa1-1bd747dc6161",
      "sid": "fcdd2eb7-9737-4dac-b639-c11c7a149c71",
      "arch": 2,
      "plat": 268435456,
      "hostname": "masked-hostname.internal.net",
      "int_ip": "10.10.10.10",
      "ext_ip": "10.10.10.11",
      "moduleid": 2,
      "event_type": "NEW_PROCESS",
      "event_time": 1584039879031,
      "event_id": "f2dd9f86-91fc-4566-8e7d-3235407ebc88",
      "tags": [],
      "this": "c8b9305d9358fea725096f354779ddec",
      "parent": "1deb4f32a9fc7d4d51e155a5c748ca74"
    },
    "event": {
      "PARENT_PROCESS_ID": 8396,
      "FILE_PATH": "C:\\Windows\\system32\\whoami.exe",
      "COMMAND_LINE": "whoami.exe",
      "PROCESS_ID": 4456,
      "PARENT": {
        "PARENT_PROCESS_ID": 5072,
        "FILE_PATH": "C:\\Windows\\system32\\cmd.exe",
        "COMMAND_LINE": "\"C:\\Windows\\system32\\cmd.exe\" ",
        "BASE_ADDRESS": 140699014070272,
        "PROCESS_ID": 8396,
        "THREADS": 3,
        "MEMORY_USAGE": 3645440,
        "USER_NAME": "masked-hostname.internal.net\\masked_user",
        "TIMESTAMP": 1584039874151,
        "THIS_ATOM": "1deb4f32a9fc7d4d51e155a5c748ca74",
        "PARENT_ATOM": "f6abd6b90dd752db2d2670a35f261ecb",
        "FILE_IS_SIGNED": 1,
        "HASH": "ff79d3c4a0b7eb191783c323ab8363ebd1fd10be58d8bcc96b07067743ca81d5"
      },
      "FILE_IS_SIGNED": 1,
      "HASH": "a8a4c4719113b071bb50d67f6e12c188b92c70eeafdfcd6f5da69b6aaa99a7fd"
    }
  },
  "detect_id": "996b32e7-9e92-4adb-9503-a53f1d52090a",
  "detect_mtd": {
    "level": "high",
    "references": [
      "https://sanitized.domain.net/alerts/alert/public/1247926/"
        "agent-tesla-keylogger-delivered-inside-a-power-iso-daa-archive/",
      "https://sanitized.domain.net/tasks/7eaba74e-c1ea-400f-9c17-5e30eee89906/"
    ],
    "description": "Detects the execution of whoami, which is often used by attackers after "
      "exloitation / privilege escalation but rarely used by administrators",
    "tags": ["attack.discovery", "attack.t1033", "car.2016-03-001"],
    "author": "Florian Roth"
  },
  "ts": 1584451579789
}

SERVICE_CHANGE

{
  "event": {
    "DLL": "%systemroot%\\system32\\wuaueng.dll",
    "EXECUTABLE": "%systemroot%\\system32\\svchost.exe -k netsvcs",
    "FILE_IS_SIGNED": 1,
    "HASH": "bce4a05d601d358f06f4d8f996aaa1923a8ee9d37262cc9b20b143be070c4641",
    "PROCESS_ID": 836,
    "SVC_DISPLAY_NAME": "Windows Update",
    "SVC_NAME": "wuauserv",
    "SVC_STATE": 4,
    "SVC_TYPE": 32
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "baec41a4-0849-46c6-a78a-86fd3c61348f",
    "event_time": 1584131972237,
    "event_type": "SERVICE_CHANGE",
    "ext_ip": "10.10.10.12",
    "hostname": "masked-hostname.internal.net",
    "iid": "82fa9eb7-8f1c-474d-b68b-61825f4773d2",
    "int_ip": "10.10.10.13",
    "moduleid": 2,
    "oid": "3fb2aff0-a135-49f3-8231-b773a773da43",
    "plat": 268435456,
    "sid": "72a4fc32-46a3-4e34-9e07-3295aa59b3b6",
    "tags": ["server"],
    "this": "c624bb9dfb0dd39214de202d615a3027"
  }
}

NETWORK_CONNECTIONS

{
  "event": {
    "COMMAND_LINE": "C:\\windows\\system32\\svchost.exe -k NetworkService -p -s Dnscache",
    "FILE_IS_SIGNED": 1,
    "FILE_PATH": "C:\\windows\\system32\\svchost.exe",
    "HASH": "643ec58e82e0272c97c2a59f6020970d881af19c0ad5029db9c958c13b6558c7",
    "NETWORK_ACTIVITY": [
      {
        "DESTINATION": {
          "IP_ADDRESS": "2001:db8::10",
          "PORT": 53
        },
        "IS_OUTGOING": 1,
        "PROTOCOL": "udp6",
        "SOURCE": {
          "IP_ADDRESS": "2001:db8::20",
          "PORT": 49285
        },
        "TIMESTAMP": 1633325249854
      },
      {
        "DESTINATION": {
          "IP_ADDRESS": "10.10.10.14",
          "PORT": 53
        },
        "IS_OUTGOING": 1,
        "PROTOCOL": "udp4",
        "SOURCE": {
          "IP_ADDRESS": "10.10.10.15",
          "PORT": 50364
        },
        "TIMESTAMP": 1633325249898
      }
    ],
    "PARENT_PROCESS_ID": 1356,
    "PROCESS_ID": 2544,
    "USER_NAME": "NT AUTHORITY\\NETWORK SERVICE"
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "c0556a7a-9580-4ed4-a75a-25ab4fa33302",
    "event_time": 1584131972237,
    "event_type": "NETWORK_CONNECTIONS",
    "ext_ip": "10.10.10.16",
    "hostname": "masked-hostname.internal.net",
    "iid": "6c989fbd-c296-4881-a0a2-b9f165f0ab1a",
    "int_ip": "10.10.10.15",
    "moduleid": 2,
    "oid": "bb479180-e2dc-422b-a54b-f48a572fcb32",
    "parent": "a48b0fd4e065922eaa452a2661588411",
    "plat": 268435456,
    "sid": "437a4196-9fb8-440b-9c90-cb49bee78d8c",
    "tags": ["windows-end-users"],
    "this": "b4659600ca9f18d5be4eaee6615a90e1"
  }
}

CLOUD_NOTIFICATION

{
  "event": {
    "EXPIRY": 1633293567,
    "HCP_IDENT": {
      "HCP_ARCHITECTURE": 2,
      "HCP_INSTALLER_ID": "907e4bc5e4224a20a0b47618017ed09c",
      "HCP_ORG_ID": "1367c836c1ed4d4cadeb47bd2bbaf962",
      "HCP_PLATFORM": 536870912,
      "HCP_SENSOR_ID": "fcc8cd7d93a24afab58c9658350d6f66"
    },
    "NOTIFICATION": {
      "DOMAIN_NAME": "sanitized.domain.net"
    },
    "NOTIFICATION_ID": "DNS_RESOLVE_REQ"
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "e37fe0cf-7c09-424e-acc1-d821225cf2e0",
    "event_time": 1584131972237,
    "event_type": "CLOUD_NOTIFICATION",
    "ext_ip": "10.10.10.17",
    "hostname": "masked-hostname.internal.net",
    "iid": "907e4bc5-e422-4a20-a0b4-7618017ed09c",
    "int_ip": "10.10.10.18",
    "moduleid": 2,
    "oid": "1367c836-c1ed-4d4c-adeb-47bd2bbaf962",
    "plat": 536870912,
    "sid": "fcc8cd7d-93a2-4afa-b58c-9658350d6f66",
    "tags": ["cloudlinuxworkloads"]
  }
}

領収書

{
  "event": {
    "ERROR": 0
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "832008f0-75af-401f-97de-b9a4d96e6e0c",
    "event_time": 1584131972237,
    "event_type": "RECEIPT",
    "ext_ip": "10.10.10.17",
    "hostname": "masked-hostname.internal.net",
    "iid": "907e4bc5-e422-4a20-a0b4-7618017ed09c",
    "int_ip": "10.10.10.18",
    "moduleid": 2,
    "oid": "1367c836-c1ed-4d4c-adeb-47bd2bbaf962",
    "plat": 536870912,
    "sid": "fcc8cd7d-93a2-4afa-b58c-9658350d6f66",
    "tags": ["cloudlinuxworkloads"]
  }
}

MODULE_LOAD

{
  "event": {
    "BASE_ADDRESS": 140710068617216,
    "FILE_IS_SIGNED": 1,
    "FILE_PATH": "C:\\Windows\\System32\\cryptbase.dll",
    "HASH": "b50d007ee8764f7cada9d9a395da396201c8b18e6501b50ab809914a7588baf1",
    "MEMORY_SIZE": 49152,
    "MODULE_NAME": "cryptbase.dll",
    "PROCESS_ID": 1736
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "1bd26937-ac7f-4f61-bab6-f83f796d2ecd",
    "event_time": 1584131972237,
    "event_type": "MODULE_LOAD",
    "ext_ip": "10.10.10.19",
    "hostname": "masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.20",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "3da6ecb6ef74802bda4da2fa6159c7b3",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "9804e2ec76caa07d743631ee6159c7b5"
  }
}

FILE_READ

{
  "event": {
    "FILE_PATH": "C:\\Windows\\System32\\config\\systemprofile\\AppData\\Local\\Microsoft\\"
      "Windows\\PowerShell\\ModuleAnalysisCache",
    "PROCESS_ID": 4020
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "f4a6a55a-6035-4bdc-8fca-d63cd39b9b7c",
    "event_time": 1584131972237,
    "event_type": "FILE_READ",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "2d1eff5f675337956bb09e206159c792",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "43018962d7e64857797adbd56159c7b3"
  }
}

NEW_NAMED_PIPE

{
  "event": {
    "FILE_PATH": "\\Device\\NamedPipe\\masked.pipe.name",
    "PROCESS_ID": 1736
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "c2381353-bddf-4ba2-92bf-15b1c4cd06d1",
    "event_time": 1584131972237,
    "event_type": "NEW_NAMED_PIPE",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "3da6ecb6ef74802bda4da2fa6159c7b3",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "75c28d52c8cb8bd841d1b8ad6159c7b4"
  }
}

REGISTRY_WRITE

{
  "event": {
    "PROCESS_ID": 1736,
    "REGISTRY_KEY": "\\REGISTRY\\USER\\.DEFAULT\\Software\\Microsoft\\Windows\\"
      "CurrentVersion\\Internet Settings\\ZoneMap\\ProxyBypass",
    "REGISTRY_VALUE": "AQAAAA==",
    "SIZE": 4,
    "TYPE": 4
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "3fbd9a14-4605-4447-a8e4-ab6c0cda6852",
    "event_time": 1584131972237,
    "event_type": "REGISTRY_WRITE",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "3da6ecb6ef74802bda4da2fa6159c7b3",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "dd0f92df3b5e26a6be12cd186159c7b4"
  }
}

THREAD_INJECTION

{
  "event": {
    "EVENTS": [
      {
        "event": {
          "ACCESS_FLAGS": 2097151,
          "PARENT_PROCESS_ID": 3136,
          "PROCESS_ID": 2644,
          "SOURCE": {
            "COMMAND_LINE": "\"C:\\Windows\\system32\\HOSTNAME.EXE\"",
            "FILE_IS_SIGNED": 1,
            "FILE_PATH": "C:\\Windows\\system32\\HOSTNAME.EXE",
            "HASH": "a90c3fb350a11c6f6a6efa9607987d924d1de65e09ca9faf2e0e0e00531ee335",
            "MEMORY_USAGE": 32768,
            "PARENT_ATOM": "eab4177ebe39abb8c934b15c6159bd9e",
            "PARENT_PROCESS_ID": 3728,
            "PROCESS_ID": 3136,
            "THIS_ATOM": "a20ec63b1d44ef8111c596666159bdc2",
            "TIMESTAMP": 1633271233872,
            "USER_NAME": "BUILTIN\\Administrators"
          },
          "TARGET": {
            "BASE_ADDRESS": 140702461788160,
            "COMMAND_LINE": "C:\\Windows\\system32\\disksnapshot.exe -z",
            "FILE_IS_SIGNED": 1,
            "FILE_PATH": "C:\\Windows\\system32\\disksnapshot.exe",
            "HASH": "f9a712caed73ec1392224aa13f48b154832151488e53410f1130cdf81aacf2ae",
            "MEMORY_USAGE": 1273856,
            "PARENT_ATOM": "2de44917d7d1e657951b6b5d614dff96",
            "PARENT_PROCESS_ID": 380,
            "PROCESS_ID": 2644,
            "THIS_ATOM": "0131cb216eb106953b0ee220615e9f7e",
            "THREADS": 1,
            "TIMESTAMP": 1633591166179,
            "USER_NAME": "NT AUTHORITY\\SYSTEM"
          }
        },
        "routing": {
          "arch": 2,
          "did": "",
          "event_id": "82aac6d1-0bf5-43b4-911a-13e18a5044ab",
          "event_time": 1584131972237,
          "event_type": "REMOTE_PROCESS_HANDLE",
          "ext_ip": "10.10.10.19",
          "hostname": "DESKTOP-masked-hostname.internal.net",
          "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
          "int_ip": "10.10.10.11",
          "moduleid": 2,
          "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
          "parent": "a20ec63b1d44ef8111c596666159bdc2",
          "plat": 268435456,
          "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
          "tags": ["proj-simulated-data"],
          "target": "0131cb216eb106953b0ee220615e9f7e",
          "this": "2b96934869a59d19ced528436159d3fa"
        }
      }
    ]
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "3349f656-ebd3-4ecf-b510-91d698af11b8",
    "event_time": 1584131972237,
    "event_type": "THREAD_INJECTION",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "a20ec63b1d44ef8111c596666159bdc2",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "target": "0131cb216eb106953b0ee220615e9f7e",
    "this": "ff59af10d5ef682d206adfeb6159d3fa"
  }
}

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`cat`	`security_result.summary`	`cat` から名前を変更しました。`detect` が空でない場合に適用されます。
`detect.event.COMMAND_LINE`	`principal.process.command_line`	`detect.event.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.COMMAND_LINE`	`principal.process.command_line`	`detect.event.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.FILE_PATH`	`principal.process.file.full_path`	`detect.event.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.FILE_PATH`	`principal.process.file.full_path`	`detect.event.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.HASH`	`principal.process.file.sha256`	`detect.event.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.HASH`	`principal.process.file.sha256`	`detect.event.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.HASH_MD5`	`principal.process.file.md5`	`detect.event.HASH_MD5` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.HASH_SHA1`	`principal.process.file.sha1`	`detect.event.HASH_SHA1` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.PARENT.COMMAND_LINE`	`principal.process.command_line`	`detect.event.PARENT.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.PARENT.COMMAND_LINE`	`principal.process.parent_process.command_line`	`detect.event.PARENT.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.PARENT.FILE_PATH`	`principal.process.file.full_path`	`detect.event.PARENT.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.PARENT.FILE_PATH`	`principal.process.parent_process.file.full_path`	`detect.event.PARENT.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.PARENT.HASH`	`principal.process.file.sha256`	`detect.event.PARENT.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.PARENT.HASH`	`principal.process.parent_process.file.sha256`	`detect.event.PARENT.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.PARENT_PROCESS_ID`	`principal.process.pid`	`detect.event.PARENT_PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.PARENT_PROCESS_ID`	`principal.process.parent_process.pid`	`detect.event.PARENT_PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.PROCESS_ID`	`target.process.pid`	`detect.event.PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空でない場合に適用されます。
`detect.event.PROCESS_ID`	`principal.process.pid`	`detect.event.PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect.event.USER_NAME`	`principal.user.userid`	`detect.event.USER_NAME` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空でない場合に適用されます。
`detect_mtd.description`	`security_result.description`	`detect_mtd.description` から名前を変更しました。`detect` が空でない場合に適用されます。
`detect_mtd.level`	`security_result.severity`	`detect_mtd.level` からコピーされ、大文字に変換されます。`detect` が空でない場合に適用されます。
`event.COMMAND_LINE`	`principal.process.command_line`	`event.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.COMMAND_LINE`	`principal.process.command_line`	`event.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.DLL`	`target.file.full_path`	コピー元: `event.DLL`。`event_type` が `SERVICE_CHANGE` の場合に適用されます。
`event.DOMAIN_NAME`	`network.dns.questions.0.name`、`network.dns.answers.0.name`	`a.name` に名前が変更され、`q.name` にコピーされた後、`network.dns.questions` 配列と `network.dns.answers` 配列に統合されます。`event_type` が `DNS_REQUEST` の場合に適用されます。
`event.DNS_TYPE`	`network.dns.answers.0.type`	`a.type` に名前が変更され、`network.dns.answers` 配列に統合されます。`event_type` が `DNS_REQUEST` の場合に適用されます。
`event.ERROR`	`security_result.severity_details`	コピー元: `event.ERROR`。`event.ERROR` が空でない場合に適用されます。
`event.EXECUTABLE`	`target.process.command_line`	コピー元: `event.EXECUTABLE`。`event_type` が `SERVICE_CHANGE` の場合に適用されます。
`event.FILE_PATH`	`target.file.full_path`	`event.FILE_PATH` から名前を変更しました。`event_type` が `NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ` のいずれかで、`detect` が空の場合に適用されます。
`event.FILE_PATH`	`principal.process.file.full_path`	`event.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.FILE_PATH`	`target.process.file.full_path`	`event.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.HASH`	`target.file.sha256`	`event.HASH` から名前を変更しました。`event_type` が `NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ` のいずれかで、`detect` が空の場合に適用されます。
`event.HASH`	`principal.process.file.sha256`	`event.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.HASH`	`target.process.file.sha256`	`event.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.HASH_MD5`	`principal.process.file.md5`	`event.HASH_MD5` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.HASH_SHA1`	`principal.process.file.sha1`	`event.HASH_SHA1` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.IP_ADDRESS`	`network.dns.answers.0.data`	`a.data` に名前が変更され、`network.dns.answers` 配列に統合されます。`event_type` が `DNS_REQUEST` で、`event.IP_ADDRESS` が空でない場合に適用されます。
`event.MESSAGE_ID`	`network.dns.id`	`event.MESSAGE_ID` から名前を変更しました。`event_type` が `DNS_REQUEST` の場合に適用されます。
`event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS`	`target.ip`	`event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS` から統合されました。`event_type` が `NETWORK_CONNECTIONS` の場合に適用されます。
`event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS`	`principal.ip`	`event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS` から統合されました。`event_type` が `NETWORK_CONNECTIONS` の場合に適用されます。
`event.PARENT.COMMAND_LINE`	`principal.process.command_line`	`event.PARENT.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.PARENT.COMMAND_LINE`	`principal.process.parent_process.command_line`	`event.PARENT.COMMAND_LINE` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.PARENT.FILE_PATH`	`principal.process.file.full_path`	`event.PARENT.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.PARENT.FILE_PATH`	`principal.process.parent_process.file.full_path`	`event.PARENT.FILE_PATH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.PARENT.HASH`	`principal.process.file.sha256`	`event.PARENT.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.PARENT.HASH`	`principal.process.parent_process.file.sha256`	`event.PARENT.HASH` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.PARENT_PROCESS_ID`	`principal.process.pid`	`event.PARENT_PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.PARENT_PROCESS_ID`	`principal.process.parent_process.pid`	`event.PARENT_PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.PROCESS_ID`	`target.process.pid`	`event.PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`event.PROCESS_ID`	`principal.process.pid`	`event.PROCESS_ID` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`event.REGISTRY_KEY`	`target.registry.registry_key`	コピー元: `event.REGISTRY_KEY`。`event_type` が `REGISTRY_WRITE` の場合に適用されます。
`event.REGISTRY_VALUE`	`target.registry.registry_value_data`	コピー元: `event.REGISTRY_VALUE`。`event_type` が `REGISTRY_WRITE` の場合に適用されます。
`event.SVC_DISPLAY_NAME`	`metadata.description`	コピー元: `event.SVC_DISPLAY_NAME`。`event_type` が `SERVICE_CHANGE` の場合に適用されます。
`event.SVC_NAME`	`target.application`	コピー元: `event.SVC_NAME`。`event_type` が `SERVICE_CHANGE` の場合に適用されます。
`event.USER_NAME`	`principal.user.userid`	`event.USER_NAME` から名前を変更しました。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`detect` が空の場合に適用されます。
`routing.event_time`	`metadata.event_timestamp`	`routing.event_time` から UNIX_MS または ISO8601 形式のいずれかを使用してタイムスタンプとして解析されます。
`routing.event_type`	`metadata.product_event_type`	`routing.event_type` からコピーされます。
`routing.ext_ip`	`principal.ip`	コピー元: `routing.ext_ip`。`routing.ext_ip` が空でない場合に適用されます。
`routing.hostname`	`principal.hostname`	コピー元: `routing.hostname`。`routing.hostname` が空でない場合に適用されます。
`routing.int_ip`	`principal.ip`	コピー元: `routing.int_ip`。`routing.int_ip` が空でない場合に適用されます。
`routing.parent`	`target.process.product_specific_process_id`	`routing.parent` から「LC:」が先頭に追加されます。`detect` が空でない場合に適用されます。
`routing.parent`	`principal.process.product_specific_process_id`	`routing.parent` から「LC:」が先頭に追加されます。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`routing.this` が空で、`routing.parent` が空でない場合に適用されます。
`routing.this`	`principal.process.product_specific_process_id`	`routing.this` から「LC:」が先頭に追加されます。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれかで、`detect` が空の場合に適用されます。
`routing.this`	`principal.process.product_specific_process_id`	`routing.this` から「LC:」が先頭に追加されます。`event_type` が `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS`、`SENSITIVE_PROCESS_ACCESS` のいずれでもなく、`routing.this` が空でない場合に適用されます。`detect` が空でない場合は `true` に設定します。`detect` が空ではなく、`detect_mtd.level` が `high`、`medium`、`critical` のいずれかである場合は、`true` に設定します。`event_type` に基づいて値を設定します。`DNS_REQUEST` の場合は `NETWORK_DNS`、`NEW_PROCESS` の場合は `PROCESS_LAUNCH`、`EXISTING_PROCESS` の場合は `PROCESS_UNCATEGORIZED`、`CONNECTED` または `NETWORK_CONNECTIONS` の場合は `NETWORK_CONNECTION`、`REGISTRY_WRITE` の場合は `REGISTRY_MODIFICATION`、`SERVICE_CHANGE` の場合は `SERVICE_MODIFICATION`、`NEW_DOCUMENT` の場合は `FILE_UNCATEGORIZED`、`FILE_READ` の場合は `FILE_READ`、`FILE_DELETE` の場合は `FILE_DELETION`、`FILE_CREATE` の場合は `FILE_CREATION`、`FILE_MODIFIED` の場合は `FILE_MODIFICATION`、`MODULE_LOAD` の場合は `PROCESS_MODULE_LOAD`、`TERMINATE_PROCESS` の場合は `PROCESS_TERMINATION`、`CLOUD_NOTIFICATION` または `RECEIPT` の場合は `STATUS_UNCATEGORIZED`、`REMOTE_PROCESS_HANDLE` または `NEW_REMOTE_THREAD` の場合は `PROCESS_UNCATEGORIZED`、それ以外の場合は `GENERIC_EVENT`。「LimaCharlie EDR」に設定します。「LimaCharlie」に設定します。`event_type` が `DNS_REQUEST` の場合は「DNS」に設定されます。`event.ERROR` が空でない場合は「ERROR」に設定します。`event.HOST_NAME` からコピーされます。`event_type` が `CONNECTED` の場合に適用されます。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。