此页面由 Cloud Translation API 翻译。

收集 LimaCharlie EDR 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Google Cloud 存储将 LimaCharlie EDR 日志注入到 Google Security Operations。解析器从 JSON 格式的日志中提取事件，将字段标准化为 UDM，并处理顶级事件和嵌套事件。它专门用于解析各种事件类型，包括 DNS 请求、进程创建、文件修改、网络连接和注册表更改，将相关字段映射到其统一数据模型 (UDM) 等效项，并使用 LimaCharlie 特定上下文丰富数据。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
对 Google Cloud的特权访问权限
对 LimaCharlie 的特权访问权限

创建 Google Cloud 存储分区

登录 Google Cloud 控制台。
前往 Cloud Storage 存储分区页面。

进入“存储桶”
点击创建。
在创建存储桶页面上，输入您的存储桶信息。完成以下每一步后，点击继续以继续执行后续步骤：
1. 在开始使用部分中，执行以下操作：
  - 输入符合存储桶名称要求的唯一名称（例如 cloudrun-logs）。
  - 如需启用分层命名空间，请点击展开箭头以展开优化文件导向型和数据密集型工作负载部分，然后选择在此存储桶上启用分层命名空间。
  注意：您无法在现有存储桶中启用分层命名空间。
  - 如需添加存储桶标签，请点击展开箭头以展开标签部分。
  - 点击添加标签，然后为标签指定键和值。
2. 在选择数据存储位置部分中，执行以下操作：
  - 选择位置类型。
  - 使用位置类型的菜单选择一个位置，用于永久存储存储桶中的对象数据。
  注意：如果您选择双区域位置类型，还可以通过勾选相关复选框来启用增强型复制。
  - 如需设置跨存储桶复制，请展开设置跨存储桶复制部分。
3. 在为数据选择一个存储类别部分中，为存储桶选择默认存储类别，或者选择 Autoclass 对存储桶数据进行自动存储类别管理。
4. 在选择如何控制对对象的访问权限部分中，选择不强制执行禁止公开访问，然后为存储桶对象选择访问权限控制模型。
注意：如果项目的组织政策已强制执行禁止公开访问，则禁止公开访问复选框处于锁定状态。
1. 在选择如何保护对象数据部分中，执行以下操作：
  - 在数据保护下，选择您要为存储桶设置的任何选项。
  - 如需选择对象数据的加密方式，请点击数据加密展开箭头，然后选择数据加密方法。
点击创建。

在 LimaCharlie EDR 中配置日志导出

登录 LimaCharlie 门户。
从左侧菜单中选择 Outputs。
点击添加输出。
选择输出数据流：选择事件。
选择输出目的地：选择 Google Cloud Storage。
提供以下配置详细信息：
- 存储分区：Google Cloud Storage 存储桶的路径。
- 密钥：用于标识服务账号的密钥 JSON。
- 每个文件的秒数：文件被剪切并上传之前经过的秒数。
- 压缩：设置为 False。
- 编入索引：设置为 False。
- Dir：远程主机上用于输出文件的前缀目录。
点击保存输出。

设置 Feed

如需配置 Feed，请按以下步骤操作：

依次前往 SIEM 设置 > Feed。
点击添加新 Feed。
在下一页上，点击配置单个 Feed。
在 Feed name 字段中，输入 Feed 的名称（例如 Limacharlie EDR Logs）。
选择 Google Cloud Storage V2 作为来源类型。
选择 LimaCharlie 作为日志类型。
点击获取服务账号作为 Chronicle 服务账号。
点击下一步。
为以下输入参数指定值：
- 存储分区 URI：Google Cloud Storage 存储桶网址，格式为 gs://my-bucket/<value>/。此网址必须以尾随正斜杠 (/) 结尾。
- 源删除选项：根据您的偏好选择删除选项。
注意：如果您选择 Delete transferred files 或 Delete transferred files and empty directories 选项，请确保您已向服务账号授予适当的权限。* 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。 * 资源命名空间：资源命名空间。 * 注入标签：应用于此 Feed 中事件的标签。
点击下一步。
在最终确定界面中查看新的 Feed 配置，然后点击提交。

支持的 LimaCharlie 示例日志

DNS_REQUEST

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "98e97377-ad12-4fb7-a2e5-b492e18cf17a",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.11",
    "moduleid": 2,
    "event_type": "DNS_REQUEST",
    "event_time": 1584131972237,
    "event_id": "42a5b328-dccb-4972-8b3e-d28c6298da1d",
    "tags": ["workstations"],
    "this": "d8856b9e783083c120fff45eadef092e"
  },
  "event": {
    "DOMAIN_NAME": "sanitized.domain.net",
    "PROCESS_ID": 1556,
    "MESSAGE_ID": 52513,
    "DNS_TYPE": 28,
    "IP_ADDRESS": "2001:db8::1"
  }
}

NEW_PROCESS

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "7812dc27-5b53-475b-9a9c-b86964355986",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.12",
    "moduleid": 2,
    "event_type": "NEW_PROCESS",
    "event_time": 1584121663200,
    "event_id": "519be559-6f48-4c4c-8374-55cf4b80bedc",
    "tags": ["workstations"],
    "this": "bfc2100277f0cc05e7f821c6011e5c54",
    "parent": "500e2ef6f130fc184889800b4d8403e3"
  },
  "event": {
    "PARENT_PROCESS_ID": 3452,
    "FILE_PATH": "C:\\Program Files\\Git\\usr\\bin\\bash.exe",
    "COMMAND_LINE": "\"C:\\Program Files\\Git\\usr\\bin\\bash.exe\"",
    "MEMORY_USAGE": 20480,
    "USER_NAME": "CTC\\masked_user",
    "PROCESS_ID": 676,
    "PARENT": {
      "PARENT_PROCESS_ID": 18900,
      "FILE_PATH": "C:\\Program Files\\Git\\usr\\bin\\bash.exe",
      "COMMAND_LINE": "\"C:\\Program Files\\Git\\usr\\bin\\bash.exe\"",
      "BASE_ADDRESS": 4299161600,
      "PROCESS_ID": 3452,
      "THREADS": 5,
      "MEMORY_USAGE": 9437184,
      "USER_NAME": "CTC\\masked_user",
      "TIMESTAMP": 1584121249676,
      "THIS_ATOM": "500e2ef6f130fc184889800b4d8403e3",
      "PARENT_ATOM": "699c825429b894129b26dfe488225315",
      "FILE_IS_SIGNED": 0,
      "HASH": "744343e01351ba92e365b7e24eedd4ed18ed3ebe26e68c69d9b5e324fe64a1b5"
    },
    "FILE_IS_SIGNED": 0,
    "HASH": "744343e01351ba92e365b7e24eedd4ed18ed3ebe26e68c69d9b5e324fe64a1b5"
  }
}

TERMINATE_PROCESS

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "7812dc27-5b53-475b-9a9c-b86964355986",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.12",
    "moduleid": 2,
    "event_type": "TERMINATE_PROCESS",
    "event_time": 1584121663547,
    "event_id": "8abfd85b-71b1-4495-bd18-1f4b6f55103b",
    "tags": ["workstations"],
    "this": "2932ce40bde71d9b6bf2f648600badec",
    "parent": "bfc2100277f0cc05e7f821c6011e5c54"
  },
  "event": {
    "PARENT_PROCESS_ID": 3452,
    "PROCESS_ID": 676
  }
}

CODE_IDENTITY

{
  "routing": {
    "oid": "406b0c42-af98-4b82-b78f-caecee64e3db",
    "iid": "811d1c22-d9a2-4b99-b1ac-6f7547998177",
    "sid": "c81a8699-8f37-4f74-a71f-3edf7a7ae80c",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.11",
    "moduleid": 2,
    "event_type": "CODE_IDENTITY",
    "event_time": 1584116496391,
    "event_id": "4810161f-1c87-4069-89e0-1ea84a3f3b63",
    "tags": ["workstations"],
    "this": "72198f6f157681b611dc36cde1589b1d",
    "parent": "c167e778592b4da6cbf705249752d6e6"
  },
  "event": {
    "FILE_PATH": "C:\\Windows\\System32\\psapi.dll",
    "HASH": "6dae0b5bac5b2c34fd313b51ac793b6f0c270da01474e4d1016b119fc1f9ce8f",
    "HASH_MD5": "89d92079f45d2f2539bcd1eef73a701e",
    "HASH_SHA1": "354fbac912764bbf6595f97a59d5e32041926194",
    "ERROR": 0,
    "SIGNATURE": {
      "FILE_PATH": "C:\\Windows\\System32\\psapi.dll",
      "CERT_ISSUER": "C=US, S=Washington, L=Redmond, O=Microsoft Corporation, "
        "CN=Microsoft Windows Production PCA 2011",
      "CERT_SUBJECT": "C=US, S=Washington, L=Redmond, O=Microsoft Corporation, "
        "CN=Microsoft Windows",
      "FILE_IS_SIGNED": 1,
      "FILE_CERT_IS_VERIFIED_LOCAL": 1
    },
    "FILE_INFO": "10.0.18362.1",
    "ORIGINAL_FILE_NAME": "PSAPI"
  }
}

EXISTING_PROCESS

{
  "source": "129538ba-8970-4421-92dc-5bd958f8308e.05da2702-0aef-43e5-afa1-1bd747dc6161."
    "fcdd2eb7-9737-4dac-b639-c11c7a149c71.10000000.2",
  "routing": {
    "oid": "129538ba-8970-4421-92dc-5bd958f8308e",
    "iid": "05da2702-0aef-43e5-afa1-1bd747dc6161",
    "sid": "fcdd2eb7-9737-4dac-b639-c11c7a149c71",
    "arch": 2,
    "plat": 268435456,
    "hostname": "masked-hostname.internal.net",
    "int_ip": "10.10.10.10",
    "ext_ip": "10.10.10.11",
    "moduleid": 2,
    "event_type": "NEW_PROCESS",
    "event_time": 1584039879031,
    "event_id": "f2dd9f86-91fc-4566-8e7d-3235407ebc88",
    "tags": [],
    "this": "c8b9305d9358fea725096f354779ddec",
    "parent": "1deb4f32a9fc7d4d51e155a5c748ca74"
  },
  "cat": "Whoami Execution",
  "namespace": "general",
  "detect": {
    "routing": {
      "oid": "129538ba-8970-4421-92dc-5bd958f8308e",
      "iid": "05da2702-0aef-43e5-afa1-1bd747dc6161",
      "sid": "fcdd2eb7-9737-4dac-b639-c11c7a149c71",
      "arch": 2,
      "plat": 268435456,
      "hostname": "masked-hostname.internal.net",
      "int_ip": "10.10.10.10",
      "ext_ip": "10.10.10.11",
      "moduleid": 2,
      "event_type": "NEW_PROCESS",
      "event_time": 1584039879031,
      "event_id": "f2dd9f86-91fc-4566-8e7d-3235407ebc88",
      "tags": [],
      "this": "c8b9305d9358fea725096f354779ddec",
      "parent": "1deb4f32a9fc7d4d51e155a5c748ca74"
    },
    "event": {
      "PARENT_PROCESS_ID": 8396,
      "FILE_PATH": "C:\\Windows\\system32\\whoami.exe",
      "COMMAND_LINE": "whoami.exe",
      "PROCESS_ID": 4456,
      "PARENT": {
        "PARENT_PROCESS_ID": 5072,
        "FILE_PATH": "C:\\Windows\\system32\\cmd.exe",
        "COMMAND_LINE": "\"C:\\Windows\\system32\\cmd.exe\" ",
        "BASE_ADDRESS": 140699014070272,
        "PROCESS_ID": 8396,
        "THREADS": 3,
        "MEMORY_USAGE": 3645440,
        "USER_NAME": "masked-hostname.internal.net\\masked_user",
        "TIMESTAMP": 1584039874151,
        "THIS_ATOM": "1deb4f32a9fc7d4d51e155a5c748ca74",
        "PARENT_ATOM": "f6abd6b90dd752db2d2670a35f261ecb",
        "FILE_IS_SIGNED": 1,
        "HASH": "ff79d3c4a0b7eb191783c323ab8363ebd1fd10be58d8bcc96b07067743ca81d5"
      },
      "FILE_IS_SIGNED": 1,
      "HASH": "a8a4c4719113b071bb50d67f6e12c188b92c70eeafdfcd6f5da69b6aaa99a7fd"
    }
  },
  "detect_id": "996b32e7-9e92-4adb-9503-a53f1d52090a",
  "detect_mtd": {
    "level": "high",
    "references": [
      "https://sanitized.domain.net/alerts/alert/public/1247926/"
        "agent-tesla-keylogger-delivered-inside-a-power-iso-daa-archive/",
      "https://sanitized.domain.net/tasks/7eaba74e-c1ea-400f-9c17-5e30eee89906/"
    ],
    "description": "Detects the execution of whoami, which is often used by attackers after "
      "exloitation / privilege escalation but rarely used by administrators",
    "tags": ["attack.discovery", "attack.t1033", "car.2016-03-001"],
    "author": "Florian Roth"
  },
  "ts": 1584451579789
}

SERVICE_CHANGE

{
  "event": {
    "DLL": "%systemroot%\\system32\\wuaueng.dll",
    "EXECUTABLE": "%systemroot%\\system32\\svchost.exe -k netsvcs",
    "FILE_IS_SIGNED": 1,
    "HASH": "bce4a05d601d358f06f4d8f996aaa1923a8ee9d37262cc9b20b143be070c4641",
    "PROCESS_ID": 836,
    "SVC_DISPLAY_NAME": "Windows Update",
    "SVC_NAME": "wuauserv",
    "SVC_STATE": 4,
    "SVC_TYPE": 32
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "baec41a4-0849-46c6-a78a-86fd3c61348f",
    "event_time": 1584131972237,
    "event_type": "SERVICE_CHANGE",
    "ext_ip": "10.10.10.12",
    "hostname": "masked-hostname.internal.net",
    "iid": "82fa9eb7-8f1c-474d-b68b-61825f4773d2",
    "int_ip": "10.10.10.13",
    "moduleid": 2,
    "oid": "3fb2aff0-a135-49f3-8231-b773a773da43",
    "plat": 268435456,
    "sid": "72a4fc32-46a3-4e34-9e07-3295aa59b3b6",
    "tags": ["server"],
    "this": "c624bb9dfb0dd39214de202d615a3027"
  }
}

NETWORK_CONNECTIONS

{
  "event": {
    "COMMAND_LINE": "C:\\windows\\system32\\svchost.exe -k NetworkService -p -s Dnscache",
    "FILE_IS_SIGNED": 1,
    "FILE_PATH": "C:\\windows\\system32\\svchost.exe",
    "HASH": "643ec58e82e0272c97c2a59f6020970d881af19c0ad5029db9c958c13b6558c7",
    "NETWORK_ACTIVITY": [
      {
        "DESTINATION": {
          "IP_ADDRESS": "2001:db8::10",
          "PORT": 53
        },
        "IS_OUTGOING": 1,
        "PROTOCOL": "udp6",
        "SOURCE": {
          "IP_ADDRESS": "2001:db8::20",
          "PORT": 49285
        },
        "TIMESTAMP": 1633325249854
      },
      {
        "DESTINATION": {
          "IP_ADDRESS": "10.10.10.14",
          "PORT": 53
        },
        "IS_OUTGOING": 1,
        "PROTOCOL": "udp4",
        "SOURCE": {
          "IP_ADDRESS": "10.10.10.15",
          "PORT": 50364
        },
        "TIMESTAMP": 1633325249898
      }
    ],
    "PARENT_PROCESS_ID": 1356,
    "PROCESS_ID": 2544,
    "USER_NAME": "NT AUTHORITY\\NETWORK SERVICE"
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "c0556a7a-9580-4ed4-a75a-25ab4fa33302",
    "event_time": 1584131972237,
    "event_type": "NETWORK_CONNECTIONS",
    "ext_ip": "10.10.10.16",
    "hostname": "masked-hostname.internal.net",
    "iid": "6c989fbd-c296-4881-a0a2-b9f165f0ab1a",
    "int_ip": "10.10.10.15",
    "moduleid": 2,
    "oid": "bb479180-e2dc-422b-a54b-f48a572fcb32",
    "parent": "a48b0fd4e065922eaa452a2661588411",
    "plat": 268435456,
    "sid": "437a4196-9fb8-440b-9c90-cb49bee78d8c",
    "tags": ["windows-end-users"],
    "this": "b4659600ca9f18d5be4eaee6615a90e1"
  }
}

CLOUD_NOTIFICATION

{
  "event": {
    "EXPIRY": 1633293567,
    "HCP_IDENT": {
      "HCP_ARCHITECTURE": 2,
      "HCP_INSTALLER_ID": "907e4bc5e4224a20a0b47618017ed09c",
      "HCP_ORG_ID": "1367c836c1ed4d4cadeb47bd2bbaf962",
      "HCP_PLATFORM": 536870912,
      "HCP_SENSOR_ID": "fcc8cd7d93a24afab58c9658350d6f66"
    },
    "NOTIFICATION": {
      "DOMAIN_NAME": "sanitized.domain.net"
    },
    "NOTIFICATION_ID": "DNS_RESOLVE_REQ"
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "e37fe0cf-7c09-424e-acc1-d821225cf2e0",
    "event_time": 1584131972237,
    "event_type": "CLOUD_NOTIFICATION",
    "ext_ip": "10.10.10.17",
    "hostname": "masked-hostname.internal.net",
    "iid": "907e4bc5-e422-4a20-a0b4-7618017ed09c",
    "int_ip": "10.10.10.18",
    "moduleid": 2,
    "oid": "1367c836-c1ed-4d4c-adeb-47bd2bbaf962",
    "plat": 536870912,
    "sid": "fcc8cd7d-93a2-4afa-b58c-9658350d6f66",
    "tags": ["cloudlinuxworkloads"]
  }
}

收据

{
  "event": {
    "ERROR": 0
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "832008f0-75af-401f-97de-b9a4d96e6e0c",
    "event_time": 1584131972237,
    "event_type": "RECEIPT",
    "ext_ip": "10.10.10.17",
    "hostname": "masked-hostname.internal.net",
    "iid": "907e4bc5-e422-4a20-a0b4-7618017ed09c",
    "int_ip": "10.10.10.18",
    "moduleid": 2,
    "oid": "1367c836-c1ed-4d4c-adeb-47bd2bbaf962",
    "plat": 536870912,
    "sid": "fcc8cd7d-93a2-4afa-b58c-9658350d6f66",
    "tags": ["cloudlinuxworkloads"]
  }
}

MODULE_LOAD

{
  "event": {
    "BASE_ADDRESS": 140710068617216,
    "FILE_IS_SIGNED": 1,
    "FILE_PATH": "C:\\Windows\\System32\\cryptbase.dll",
    "HASH": "b50d007ee8764f7cada9d9a395da396201c8b18e6501b50ab809914a7588baf1",
    "MEMORY_SIZE": 49152,
    "MODULE_NAME": "cryptbase.dll",
    "PROCESS_ID": 1736
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "1bd26937-ac7f-4f61-bab6-f83f796d2ecd",
    "event_time": 1584131972237,
    "event_type": "MODULE_LOAD",
    "ext_ip": "10.10.10.19",
    "hostname": "masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.20",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "3da6ecb6ef74802bda4da2fa6159c7b3",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "9804e2ec76caa07d743631ee6159c7b5"
  }
}

FILE_READ

{
  "event": {
    "FILE_PATH": "C:\\Windows\\System32\\config\\systemprofile\\AppData\\Local\\Microsoft\\"
      "Windows\\PowerShell\\ModuleAnalysisCache",
    "PROCESS_ID": 4020
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "f4a6a55a-6035-4bdc-8fca-d63cd39b9b7c",
    "event_time": 1584131972237,
    "event_type": "FILE_READ",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "2d1eff5f675337956bb09e206159c792",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "43018962d7e64857797adbd56159c7b3"
  }
}

NEW_NAMED_PIPE

{
  "event": {
    "FILE_PATH": "\\Device\\NamedPipe\\masked.pipe.name",
    "PROCESS_ID": 1736
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "c2381353-bddf-4ba2-92bf-15b1c4cd06d1",
    "event_time": 1584131972237,
    "event_type": "NEW_NAMED_PIPE",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "3da6ecb6ef74802bda4da2fa6159c7b3",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "75c28d52c8cb8bd841d1b8ad6159c7b4"
  }
}

REGISTRY_WRITE

{
  "event": {
    "PROCESS_ID": 1736,
    "REGISTRY_KEY": "\\REGISTRY\\USER\\.DEFAULT\\Software\\Microsoft\\Windows\\"
      "CurrentVersion\\Internet Settings\\ZoneMap\\ProxyBypass",
    "REGISTRY_VALUE": "AQAAAA==",
    "SIZE": 4,
    "TYPE": 4
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "3fbd9a14-4605-4447-a8e4-ab6c0cda6852",
    "event_time": 1584131972237,
    "event_type": "REGISTRY_WRITE",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "3da6ecb6ef74802bda4da2fa6159c7b3",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "this": "dd0f92df3b5e26a6be12cd186159c7b4"
  }
}

THREAD_INJECTION

{
  "event": {
    "EVENTS": [
      {
        "event": {
          "ACCESS_FLAGS": 2097151,
          "PARENT_PROCESS_ID": 3136,
          "PROCESS_ID": 2644,
          "SOURCE": {
            "COMMAND_LINE": "\"C:\\Windows\\system32\\HOSTNAME.EXE\"",
            "FILE_IS_SIGNED": 1,
            "FILE_PATH": "C:\\Windows\\system32\\HOSTNAME.EXE",
            "HASH": "a90c3fb350a11c6f6a6efa9607987d924d1de65e09ca9faf2e0e0e00531ee335",
            "MEMORY_USAGE": 32768,
            "PARENT_ATOM": "eab4177ebe39abb8c934b15c6159bd9e",
            "PARENT_PROCESS_ID": 3728,
            "PROCESS_ID": 3136,
            "THIS_ATOM": "a20ec63b1d44ef8111c596666159bdc2",
            "TIMESTAMP": 1633271233872,
            "USER_NAME": "BUILTIN\\Administrators"
          },
          "TARGET": {
            "BASE_ADDRESS": 140702461788160,
            "COMMAND_LINE": "C:\\Windows\\system32\\disksnapshot.exe -z",
            "FILE_IS_SIGNED": 1,
            "FILE_PATH": "C:\\Windows\\system32\\disksnapshot.exe",
            "HASH": "f9a712caed73ec1392224aa13f48b154832151488e53410f1130cdf81aacf2ae",
            "MEMORY_USAGE": 1273856,
            "PARENT_ATOM": "2de44917d7d1e657951b6b5d614dff96",
            "PARENT_PROCESS_ID": 380,
            "PROCESS_ID": 2644,
            "THIS_ATOM": "0131cb216eb106953b0ee220615e9f7e",
            "THREADS": 1,
            "TIMESTAMP": 1633591166179,
            "USER_NAME": "NT AUTHORITY\\SYSTEM"
          }
        },
        "routing": {
          "arch": 2,
          "did": "",
          "event_id": "82aac6d1-0bf5-43b4-911a-13e18a5044ab",
          "event_time": 1584131972237,
          "event_type": "REMOTE_PROCESS_HANDLE",
          "ext_ip": "10.10.10.19",
          "hostname": "DESKTOP-masked-hostname.internal.net",
          "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
          "int_ip": "10.10.10.11",
          "moduleid": 2,
          "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
          "parent": "a20ec63b1d44ef8111c596666159bdc2",
          "plat": 268435456,
          "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
          "tags": ["proj-simulated-data"],
          "target": "0131cb216eb106953b0ee220615e9f7e",
          "this": "2b96934869a59d19ced528436159d3fa"
        }
      }
    ]
  },
  "routing": {
    "arch": 2,
    "did": "",
    "event_id": "3349f656-ebd3-4ecf-b510-91d698af11b8",
    "event_time": 1584131972237,
    "event_type": "THREAD_INJECTION",
    "ext_ip": "10.10.10.19",
    "hostname": "DESKTOP-masked-hostname.internal.net",
    "iid": "efc77307-2d8a-4db5-a10f-f45fab19d1f3",
    "int_ip": "10.10.10.11",
    "moduleid": 2,
    "oid": "8cbe27f4-bfa1-4afb-ba19-138cd51389cd",
    "parent": "a20ec63b1d44ef8111c596666159bdc2",
    "plat": 268435456,
    "sid": "41459c8d-977c-40cb-aa84-a5d2413a72e1",
    "tags": ["proj-simulated-data"],
    "target": "0131cb216eb106953b0ee220615e9f7e",
    "this": "ff59af10d5ef682d206adfeb6159d3fa"
  }
}

UDM 映射表

日志字段	UDM 映射	逻辑
`cat`	`security_result.summary`	已从 `cat` 重命名。当 `detect` 不为空时适用。
`detect.event.COMMAND_LINE`	`principal.process.command_line`	已从 `detect.event.COMMAND_LINE` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.COMMAND_LINE`	`principal.process.command_line`	已从 `detect.event.COMMAND_LINE` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.FILE_PATH`	`principal.process.file.full_path`	已从 `detect.event.FILE_PATH` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.FILE_PATH`	`principal.process.file.full_path`	已从 `detect.event.FILE_PATH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.HASH`	`principal.process.file.sha256`	已从 `detect.event.HASH` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.HASH`	`principal.process.file.sha256`	已从 `detect.event.HASH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.HASH_MD5`	`principal.process.file.md5`	已从 `detect.event.HASH_MD5` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.HASH_SHA1`	`principal.process.file.sha1`	已从 `detect.event.HASH_SHA1` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.PARENT.COMMAND_LINE`	`principal.process.command_line`	已从 `detect.event.PARENT.COMMAND_LINE` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.PARENT.COMMAND_LINE`	`principal.process.parent_process.command_line`	已从 `detect.event.PARENT.COMMAND_LINE` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.PARENT.FILE_PATH`	`principal.process.file.full_path`	已从 `detect.event.PARENT.FILE_PATH` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.PARENT.FILE_PATH`	`principal.process.parent_process.file.full_path`	已从 `detect.event.PARENT.FILE_PATH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.PARENT.HASH`	`principal.process.file.sha256`	已从 `detect.event.PARENT.HASH` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.PARENT.HASH`	`principal.process.parent_process.file.sha256`	已从 `detect.event.PARENT.HASH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.PARENT_PROCESS_ID`	`principal.process.pid`	已从 `detect.event.PARENT_PROCESS_ID` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.PARENT_PROCESS_ID`	`principal.process.parent_process.pid`	已从 `detect.event.PARENT_PROCESS_ID` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.PROCESS_ID`	`target.process.pid`	已从 `detect.event.PROCESS_ID` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 不为空时适用。
`detect.event.PROCESS_ID`	`principal.process.pid`	已从 `detect.event.PROCESS_ID` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect.event.USER_NAME`	`principal.user.userid`	已从 `detect.event.USER_NAME` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 不为空时适用。
`detect_mtd.description`	`security_result.description`	已从 `detect_mtd.description` 重命名。当 `detect` 不为空时适用。
`detect_mtd.level`	`security_result.severity`	从 `detect_mtd.level` 复制并转换为大写。当 `detect` 不为空时适用。
`event.COMMAND_LINE`	`principal.process.command_line`	已从 `event.COMMAND_LINE` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.COMMAND_LINE`	`principal.process.command_line`	已从 `event.COMMAND_LINE` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.DLL`	`target.file.full_path`	从 `event.DLL` 复制的联系人。当 `event_type` 为 `SERVICE_CHANGE` 时适用。
`event.DOMAIN_NAME`	`network.dns.questions.0.name`，`network.dns.answers.0.name`	重命名为 `a.name`，然后复制到 `q.name`，再合并到 `network.dns.questions` 和 `network.dns.answers` 数组中。当 `event_type` 为 `DNS_REQUEST` 时适用。
`event.DNS_TYPE`	`network.dns.answers.0.type`	重命名为 `a.type`，然后合并到 `network.dns.answers` 数组中。当 `event_type` 为 `DNS_REQUEST` 时适用。
`event.ERROR`	`security_result.severity_details`	从 `event.ERROR` 复制的联系人。当 `event.ERROR` 不为空时适用。
`event.EXECUTABLE`	`target.process.command_line`	从 `event.EXECUTABLE` 复制的联系人。当 `event_type` 为 `SERVICE_CHANGE` 时适用。
`event.FILE_PATH`	`target.file.full_path`	已从 `event.FILE_PATH` 重命名。当 `event_type` 为 `NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE` 或 `FILE_READ` 之一且 `detect` 为空时适用。
`event.FILE_PATH`	`principal.process.file.full_path`	已从 `event.FILE_PATH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.FILE_PATH`	`target.process.file.full_path`	已从 `event.FILE_PATH` 重命名。当 `event_type` 为 `NEW_PROCESS`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.HASH`	`target.file.sha256`	已从 `event.HASH` 重命名。当 `event_type` 为 `NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE` 或 `FILE_READ` 之一且 `detect` 为空时适用。
`event.HASH`	`principal.process.file.sha256`	已从 `event.HASH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.HASH`	`target.process.file.sha256`	已从 `event.HASH` 重命名。当 `event_type` 为 `NEW_PROCESS`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.HASH_MD5`	`principal.process.file.md5`	已从 `event.HASH_MD5` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.HASH_SHA1`	`principal.process.file.sha1`	已从 `event.HASH_SHA1` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.IP_ADDRESS`	`network.dns.answers.0.data`	重命名为 `a.data`，然后合并到 `network.dns.answers` 数组中。当 `event_type` 为 `DNS_REQUEST` 且 `event.IP_ADDRESS` 不为空时适用。
`event.MESSAGE_ID`	`network.dns.id`	已从 `event.MESSAGE_ID` 重命名。当 `event_type` 为 `DNS_REQUEST` 时适用。
`event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS`	`target.ip`	合并自 `event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS`。当 `event_type` 为 `NETWORK_CONNECTIONS` 时适用。
`event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS`	`principal.ip`	从 `event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS` 合并。当 `event_type` 为 `NETWORK_CONNECTIONS` 时适用。
`event.PARENT.COMMAND_LINE`	`principal.process.command_line`	已从 `event.PARENT.COMMAND_LINE` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.PARENT.COMMAND_LINE`	`principal.process.parent_process.command_line`	已从 `event.PARENT.COMMAND_LINE` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.PARENT.FILE_PATH`	`principal.process.file.full_path`	已从 `event.PARENT.FILE_PATH` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.PARENT.FILE_PATH`	`principal.process.parent_process.file.full_path`	已从 `event.PARENT.FILE_PATH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.PARENT.HASH`	`principal.process.file.sha256`	已从 `event.PARENT.HASH` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.PARENT.HASH`	`principal.process.parent_process.file.sha256`	已从 `event.PARENT.HASH` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.PARENT_PROCESS_ID`	`principal.process.pid`	已从 `event.PARENT_PROCESS_ID` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.PARENT_PROCESS_ID`	`principal.process.parent_process.pid`	已从 `event.PARENT_PROCESS_ID` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.PROCESS_ID`	`target.process.pid`	已从 `event.PROCESS_ID` 重命名。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`event.PROCESS_ID`	`principal.process.pid`	已从 `event.PROCESS_ID` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`event.REGISTRY_KEY`	`target.registry.registry_key`	从 `event.REGISTRY_KEY` 复制的联系人。当 `event_type` 为 `REGISTRY_WRITE` 时适用。
`event.REGISTRY_VALUE`	`target.registry.registry_value_data`	从 `event.REGISTRY_VALUE` 复制的联系人。当 `event_type` 为 `REGISTRY_WRITE` 时适用。
`event.SVC_DISPLAY_NAME`	`metadata.description`	从 `event.SVC_DISPLAY_NAME` 复制的联系人。当 `event_type` 为 `SERVICE_CHANGE` 时适用。
`event.SVC_NAME`	`target.application`	从 `event.SVC_NAME` 复制的联系人。当 `event_type` 为 `SERVICE_CHANGE` 时适用。
`event.USER_NAME`	`principal.user.userid`	已从 `event.USER_NAME` 重命名。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `detect` 为空时适用。
`routing.event_time`	`metadata.event_timestamp`	解析为 `routing.event_time` 的时间戳，使用 UNIX_MS 或 ISO8601 格式。
`routing.event_type`	`metadata.product_event_type`	从 `routing.event_type` 复制的。
`routing.ext_ip`	`principal.ip`	从 `routing.ext_ip` 复制的联系人。当 `routing.ext_ip` 不为空时适用。
`routing.hostname`	`principal.hostname`	从 `routing.hostname` 复制的联系人。当 `routing.hostname` 不为空时适用。
`routing.int_ip`	`principal.ip`	从 `routing.int_ip` 复制的联系人。当 `routing.int_ip` 不为空时适用。
`routing.parent`	`target.process.product_specific_process_id`	从 `routing.parent` 开始，以“LC:”开头。当 `detect` 不为空时适用。
`routing.parent`	`principal.process.product_specific_process_id`	从 `routing.parent` 开始，以“LC:”开头。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `routing.this` 为空而 `routing.parent` 不为空时适用。
`routing.this`	`principal.process.product_specific_process_id`	从 `routing.this` 开始，以“LC:”开头。当 `event_type` 是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一且 `detect` 为空时适用。
`routing.this`	`principal.process.product_specific_process_id`	从 `routing.this` 开始，以“LC:”开头。当 `event_type` 不是 `NEW_PROCESS`、`NEW_DOCUMENT`、`FILE_MODIFIED`、`FILE_DELETE`、`FILE_CREATE`、`FILE_READ`、`MODULE_LOAD`、`TERMINATE_PROCESS` 或 `SENSITIVE_PROCESS_ACCESS` 之一，且 `routing.this` 不为空时适用。如果 `detect` 不为空，则设置为 `true`。当 `detect` 不为空且 `detect_mtd.level` 为 `high`、`medium` 或 `critical` 之一时，设置为 `true`。根据 `event_type` 设置为相应的值：`DNS_REQUEST` 为 `NETWORK_DNS`，`NEW_PROCESS` 为 `PROCESS_LAUNCH`，`EXISTING_PROCESS` 为 `PROCESS_UNCATEGORIZED`，`CONNECTED` 或 `NETWORK_CONNECTIONS` 为 `NETWORK_CONNECTION`，`REGISTRY_WRITE` 为 `REGISTRY_MODIFICATION`，`SERVICE_CHANGE` 为 `SERVICE_MODIFICATION`，`NEW_DOCUMENT` 为 `FILE_UNCATEGORIZED`，`FILE_READ` 为 `FILE_READ`，`FILE_DELETE` 为 `FILE_DELETION`，`FILE_CREATE` 为 `FILE_CREATION`，`FILE_MODIFIED` 为 `FILE_MODIFICATION`，`MODULE_LOAD` 为 `PROCESS_MODULE_LOAD`，`TERMINATE_PROCESS` 为 `PROCESS_TERMINATION`，`CLOUD_NOTIFICATION` 或 `RECEIPT` 为 `STATUS_UNCATEGORIZED`，`REMOTE_PROCESS_HANDLE` 或 `NEW_REMOTE_THREAD` 为 `PROCESS_UNCATEGORIZED`，否则为 `GENERIC_EVENT`。设置为“LimaCharlie EDR”。设置为“LimaCharlie”。当 `event_type` 为 `DNS_REQUEST` 时，设置为“DNS”。如果 `event.ERROR` 不为空，则设置为“ERROR”。从 `event.HOST_NAME` 复制的联系人。当 `event_type` 为 `CONNECTED` 时适用。