Netskope-Web-Proxy-Protokolle erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Netskope-Webproxylogs mit Google Cloud Storage V2 in Google Security Operations aufnehmen.

Netskope bietet ein Cloud-natives Secure Web Gateway, das Webtraffic in Echtzeit prüft und steuert. WebTx-Protokolle (Web Transaction) enthalten detaillierte Aufzeichnungen jeder HTTP- und HTTPS-Sitzung, die vom Netskope-Proxy verarbeitet wird, einschließlich Nutzeridentität, Anwendung, URL-Kategorie, Bedrohungs- und DLP-Ergebnissen sowie Netzwerkmetadaten.

Hinweis: Das Google Chronicle-Plug-in für Netskope Cloud Exchange Log Shipper unterstützt keine WebTx-Logs. Wenn Sie WebTx-Logs in Google SecOps aufnehmen möchten, müssen Sie eine der in diesem Leitfaden beschriebenen Cloud Storage-basierten Methoden verwenden. Bei beiden Optionen werden WebTx-Logs als komprimierte .gzip-Dateien in einen Cloud Storage-Bucket geliefert, die Google SecOps dann über einen Google Cloud Storage V2-Feed liest.

Hinweis

Prüfen Sie, ob die folgenden Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Ein GCP-Projekt mit aktivierter Cloud Storage API
• Berechtigungen zum Erstellen und Verwalten von GCS-Buckets
• Berechtigungen zum Verwalten von IAM-Richtlinien für GCS-Buckets
• Privilegierter Zugriff auf den Netskope-Mandanten mit Administratoranmeldedaten

Option – Netskope-Log-Streaming zu Google Cloud Storage

Verwenden Sie diese Option, wenn in Ihrem Mandanten ein Abo für Netskope Log Streaming aktiviert ist. Mit Netskope Log Streaming werden WebTx-Logdateien in einem festen Intervall von 240 Sekunden direkt als komprimierte .gzip-Dateien in Ihren GCS-Bucket übertragen.

Hinweis :Netskope Log Streaming ist ein kostenpflichtiges Abo. Wenden Sie sich an Ihr Netskope-Account-Management-Team, um zu prüfen, ob Log Streaming für Ihren Mandanten aktiviert ist.

Google Cloud Storage-Bucket erstellen

1. Gehen Sie zur Google Cloud Console.
2. Wählen Sie Ihr Projekt aus oder erstellen Sie ein neues.
3. Rufen Sie im Navigationsmenü Cloud Storage > Buckets auf.
4. Klicken Sie auf Bucket erstellen.

5. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Bucket benennen	Geben Sie einen global eindeutigen Namen ein, z. B. netskope-webtx-logs.
   Standorttyp	Wählen Sie die Option aus, die am besten zu Ihren Anforderungen passt (Region, Dual-Region, Multi-Region).
   Standort	Wählen Sie den Standort aus, der Ihrer Organisation am nächsten ist, z. B. us-central1.
   Speicherklasse	Standard (empfohlen für Logs, auf die häufig zugegriffen wird)
   Zugriffskontrolle	Einheitlich (empfohlen)
   Schutzmaßnahmen	Optional: Objektversionsverwaltung oder Aufbewahrungsrichtlinie aktivieren

6. Klicken Sie auf Erstellen.

GCP-Dienstkonto erstellen

Für Netskope Log Streaming ist ein GCP-Dienstkonto mit Schreibberechtigungen für Ihren GCS-Bucket erforderlich. Der private Schlüssel dieses Dienstkontos wird von Netskope zur Authentifizierung beim Übertragen von Protokolldateien verwendet.

1. Wechseln Sie in der GCP Console zu IAM & Verwaltung > Dienstkonten.
2. Klicken Sie auf Dienstkonto erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie netskope-log-streaming ein.
   • Beschreibung des Dienstkontos: Geben Sie Service account for Netskope Log Streaming to push WebTx logs to GCS ein.
4. Klicken Sie auf Erstellen und fortfahren.
5. Im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen:
   1. Klicken Sie auf Rolle auswählen.
   2. Suchen Sie nach Storage-Objekt-Ersteller und wählen Sie die Rolle aus.
6. Klicken Sie auf Weiter.
7. Klicken Sie auf Fertig.

JSON-Schlüssel generieren

1. Klicken Sie unter IAM & Verwaltung > Dienstkonten auf das Dienstkonto netskope-log-streaming.
2. Wählen Sie den Tab Keys aus.
3. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
4. Wählen Sie JSON als Schlüsseltyp aus.
5. Klicken Sie auf Erstellen.
6. Eine JSON-Schlüsseldatei wird automatisch heruntergeladen. Speichern Sie diese Datei sicher.
7. Öffnen Sie die JSON-Schlüsseldatei in einem Texteditor und suchen Sie das Feld private_key. Sie benötigen diesen Wert im nächsten Abschnitt.

Hinweis :Die JSON-Schlüsseldatei kann nur einmal heruntergeladen werden. Wenn Sie diese Datei verlieren, müssen Sie einen neuen Schlüssel erstellen.

Schreibberechtigungen für GCS-Bucket erteilen

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets, z. B. netskope-webtx-logs.
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (z. B. netskope-log-streaming@YOUR_PROJECT_ID.iam.gserviceaccount.com).
   • Rollen zuweisen: Wählen Sie Storage-Objekt-Ersteller aus.
6. Klicken Sie auf Speichern.

Logstream erstellen

1. Melden Sie sich mit Administratoranmeldedaten im Netskope-Mandanten an.
2. Gehen Sie zu den Einstellungen > „Tools“ > „Log-Streaming“.
3. Klicken Sie auf Stream erstellen.
4. Geben Sie im Feld Name einen lesbaren Namen für den Stream ein, z. B. Chronicle WebTx GCS.
5. Wählen Sie GCP Cloud Storage als Zieltyp aus.

6. Geben Sie die folgenden Konfigurationsdetails an:

   • Bucket: Geben Sie den Namen des GCS-Buckets ein (z. B. netskope-webtx-logs).

     Hinweis: Beachten Sie die Konventionen für die Benennung von Buckets für Google Cloud Storage.

   • Pfad (optional): Geben Sie einen Ordnerpfad innerhalb des Buckets ein, in dem die Logs gespeichert werden sollen, z. B. netskope/webtx/{%Y}.

     Hinweis :In Google Cloud Storage funktionieren Pfade als Objektnamen. Wenn Sie einen Pfad wie netskope/webtx/{%Y} eingeben, werden in Google Cloud Storage keine separaten Ordner im Bucket erstellt. Stattdessen werden die Objekte in einem Bucket gespeichert und mit dem Pfad als Präfix benannt, z. B. netskope/webtx/2026/filename. Weitere Informationen finden Sie in den Benennungsrichtlinien für Objekte.

   • Privater Schlüssel: Geben Sie den Wert private_key aus der JSON-Schlüsseldatei ein, die im vorherigen Abschnitt generiert wurde. Geben Sie den Schlüssel im PEM-Format mit Zeilenumbruchsymbolen (\n) ein:

     -----BEGIN PRIVATE KEY-----\nprivate_key_content\n-----END PRIVATE KEY-----\n
     

     Hinweis :Kopieren Sie den gesamten private_key-Wert aus der JSON-Schlüsseldatei, einschließlich der \n-Zeichen.

7. Prüfen Sie die Versandoptionen: Die Push-Häufigkeit beträgt fortlaufend 240 Sekunden.

8. Klicken Sie auf Speichern (oder Erstellen), um den Stream zu aktivieren.

   Hinweis :Die Aktivierung des Streams kann nach der Erstellung bis zu 60 Minuten dauern. Nach der Aktivierung überträgt Netskope alle 240 Sekunden WebTx-Logdateien als komprimierte .gzip-Dateien in Ihren GCS-Bucket. Diese Dateien enthalten die ursprünglichen Webtransaktionsdaten ohne Änderungen.

Feed in Google SecOps konfigurieren, um Netskope WebTx-Logs aus GCS aufzunehmen

Google SecOps-Dienstkonto abrufen

Google SecOps verwendet ein eindeutiges Dienstkonto, um Daten aus Ihrem GCS-Bucket zu lesen. Sie müssen diesem Dienstkonto Zugriff auf Ihren Bucket gewähren.

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Netskope WebTx Logs.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie Netskope-Webproxy als Logtyp aus.

7. Klicken Sie auf Dienstkonto abrufen. Es wird eine eindeutige E-Mail-Adresse für das Dienstkonto angezeigt, z. B.:

   [e-mail]
   

8. Kopieren Sie diese E-Mail-Adresse für den nächsten Schritt.

   Hinweis :Jede Google SecOps-Instanz hat ein eindeutiges Dienstkonto. Verwenden Sie keine Dienstkonten aus anderer Dokumentation oder Beispielen.

9. Klicken Sie auf Weiter.

10. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Storage-Bucket-URL: Geben Sie den GCS-Bucket-URI mit dem Präfixpfad ein:

      gs://netskope-webtx-logs/netskope/webtx/
      

      • Ersetzen Sie:
        • netskope-webtx-logs: Der Name Ihres GCS-Buckets.
        • netskope/webtx/: Das in Netskope Log Streaming konfigurierte Pfadpräfix (für den Stamm leer lassen).
    Hinweis :Fügen Sie immer den Schrägstrich (/) am Ende des URI ein.

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

      • Nie: Es werden nach Übertragungen nie Dateien gelöscht (empfohlen für Tests).
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.

      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach der erfolgreichen Übertragung gelöscht.

        Hinweis :Wenn Sie eine Löschoption auswählen, muss das Google SecOps-Dienstkonto die Rolle Storage-Objekt-Administrator anstelle von „Storage-Objekt-Betrachter“ haben. Aktualisieren Sie die IAM-Berechtigungen entsprechend.

    • Höchstalter für Dateien: Dateien einschließen, die in den letzten Tagen geändert wurden (Standard ist 180 Tage)

    • Asset-Namespace: Der Asset-Namespace

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

11. Klicken Sie auf Weiter.

12. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto IAM-Berechtigungen gewähren

Das Google SecOps-Dienstkonto benötigt die Rolle Storage-Objekt-Betrachter für Ihren GCS-Bucket.

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets, z. B. netskope-webtx-logs.
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Fügen Sie die E-Mail-Adresse des Google SecOps-Dienstkontos ein (z. B. [e-mail]).
   • Rollen zuweisen: Wählen Sie Storage-Objekt-Betrachter aus.
6. Klicken Sie auf Speichern.

Hinweis :Wenn Sie die Löschoption „Übertragene Dateien löschen“ oder „Übertragene Dateien und leere Verzeichnisse löschen“ verwenden möchten, weisen Sie die Rolle Storage-Objekt-Administrator anstelle von „Storage-Objekt-Betrachter“ zu.

Option – Cloud Exchange Log Shipper für Google Cloud Storage

Verwenden Sie diese Option, wenn Sie die Plattform Netskope Cloud Exchange mit dem konfigurierten Modul Log Shipper bereitgestellt haben. Der Log Shipper ruft WebTx-Logs aus Ihrem Netskope-Mandanten ab und überträgt sie als komprimierte .gzip-Dateien in einen GCS-Bucket, den Google SecOps dann über einen Google Cloud Storage V2-Feed liest.

Hinweis :Das Google Chronicle-Plug-in für Log Shipper (Version 3.0.0) unterstützt die WebTx-Aufnahme nicht. Für WebTx-Logs müssen Sie ein Cloud-Speicherziel-Plug-in verwenden (Google GCS, AWS S3 oder Microsoft Azure Blob Storage). Diese Plug-ins übertragen die von Netskope abgerufenen Originaldateien im .gzip-Format an den Cloud Storage-Anbieter, ohne den Inhalt zu dekomprimieren oder zu ändern.

Vorbereitung (Cloud Exchange)

Für diese Option müssen die folgenden zusätzlichen Voraussetzungen erfüllt sein:

• Ein Netskope Cloud Exchange-Mandant mit dem Tenant-Plug-in und dem Modul Log Shipper, das bereits konfiguriert ist.
• Das in Log Shipper konfigurierte Quell-Plug-in Netskope CLS (damit werden Daten aus dem Netskope-Mandanten abgerufen).
• Ein GCS-Bucket, der zum Speichern von WebTx-Logs erstellt wurde. Wenn Sie noch keinen erstellt haben, folgen Sie der Anleitung unter Google Cloud Storage-Bucket erstellen.
• Ein GCP-Dienstkonto mit Schreibzugriff auf den GCS-Bucket. Wenn Sie noch kein Dienstkonto erstellt haben, folgen Sie der Anleitung unter GCP-Dienstkonto erstellen, JSON-Schlüssel generieren und Schreibberechtigungen für GCS-Bucket erteilen.

GCS-Ziel-Plug-in konfigurieren

1. Rufen Sie in Cloud Exchange die Einstellungen > Plugin Store auf.
2. Suchen Sie nach dem Plug‑in-Feld Google Cloud SCC (Google GCS) und wählen Sie es aus.
3. Klicken Sie auf Configure New Plugin (Neues Plug-in konfigurieren) oder fügen Sie eine neue Plug-in-Konfiguration hinzu.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Konfigurationsname: Geben Sie einen aussagekräftigen Namen ein, z. B. GCS WebTx Destination.
   • Zuordnung: Wählen Sie eine Zuordnungsdatei aus. Für WebTx-Logs, die als ursprüngliche .gzip-Dateien übertragen werden, wird keine Zuordnungstransformation angewendet.
   • Bucket: Geben Sie den Namen des GCS-Buckets ein (z. B. netskope-webtx-logs).
   • Pfad (optional): Geben Sie einen Ordnerpfad ein, z. B. netskope/webtx/.
   • Privater Schlüssel: Geben Sie den private_key-Wert aus der JSON-Schlüsseldatei des Dienstkontos ein.
5. Klicken Sie auf Speichern.
6. Die neue Plug-in-Konfiguration wird auf der Seite Log Shipper> Plug-ins angezeigt.

Geschäftsregel konfigurieren (optional)

Standardmäßig werden mit dem Filter Alle alle Benachrichtigungen und Ereignisse gefiltert. Wenn Sie WebTx-Logs filtern möchten, erstellen Sie eine neue Geschäftsregel:

1. Rufen Sie in Log Shipper die Geschäftsregeln auf.
2. Klicken Sie auf Neue Regel erstellen.
3. Geben Sie einen Regelnamen ein, z. B. WebTx Only.
4. Konfigurieren Sie die gewünschten Filter so, dass nur WebTx-Daten berücksichtigt werden.
5. Klicken Sie auf Speichern.

Logbereitstellung konfigurieren

1. Gehen Sie in Log Shipper (Log-Versandtool) zu Log Delivery (Log-Übermittlung).
2. Klicken Sie auf Konfiguration für die Log-Auslieferung hinzufügen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Quellkonfiguration: Wählen Sie das Netskope CLS-Quell-Plug-in aus (z. B. WebTxCLS oder Netskope CLS).
   • Zielkonfiguration: Wählen Sie das von Ihnen konfigurierte GCS-Ziel-Plug-in aus (z. B. GCS WebTx Destination).
   • Geschäftsregel: Wählen Sie eine Geschäftsregel aus, z. B. All oder WebTx Only.

4. Klicken Sie auf Speichern.

   Hinweis :Sobald die Log-Übermittlung gespeichert ist, ruft Cloud Exchange Ereignisse (Standardzeitraum: 1 Stunde) und Benachrichtigungen (Standardzeitraum: 7 Tage) aus dem Verlauf ab.

5. Wenn Sie zusätzliche Verlaufsdaten abrufen möchten, klicken Sie in den Aktionen unter Log Delivery (Log-Zustellung) auf das Symbol Pull Historical Data (Verlaufsdaten abrufen).

6. Wählen Sie einen Zeitraum aus und klicken Sie auf Abrufen.

Feed in Google SecOps konfigurieren, um Netskope WebTx-Logs aus GCS aufzunehmen

Führen Sie dieselben Schritte wie bei der Option „Netskope Log Streaming“ aus, um einen Google SecOps-Feed zu erstellen und IAM-Berechtigungen zu erteilen:

1. Google SecOps-Dienstkonto abrufen: Erstellen Sie einen Feed mit Google Cloud Storage V2 als Quelltyp und Netskope-Webproxy als Protokolltyp.
2. Google SecOps-Dienstkonto IAM-Berechtigungen erteilen: Erteilen Sie dem Google SecOps-Dienstkonto die Rolle Storage Object Viewer (oder Storage Object Admin, wenn Sie eine Löschoption verwenden) für den GCS-Bucket.

Logzustellung bestätigen

So prüfen Sie, ob WebTx-Logs an den GCS-Bucket gesendet werden:

1. Rufen Sie in Cloud Exchange Log Shipper > Log Delivery auf.
2. Prüfen Sie die Spalten Total Logs/WebTx Sent to External Receiver (Gesamtanzahl der Logs/WebTx, die an den externen Empfänger gesendet wurden) und Total WebTx Sent to Storage Bucket (Gesamtanzahl der WebTx, die an den Speicher-Bucket gesendet wurden), um zu bestätigen, dass Daten an das Ziel übertragen werden.
3. Prüfen Sie im GCS-Bucket, ob .gzip-Dateien vom Log Shipper geschrieben werden.

Globale Einstellungen für Log Shipper konfigurieren (optional)

Nur Administratoren können die globalen Einstellungen für Log Shipper ändern. Rufen Sie die Einstellungen> Log Shipper auf. Es gibt zwei Tabs: „General“ (Allgemein) und „Mappings“ (Zuordnungen).

Auf dem Tab Allgemein können Sie die Wiederholungsstrategie für die Protokollübermittlung konfigurieren:

• Standard (3 Wiederholungen): Wenn die Protokollübermittlung fehlschlägt, versucht Log Shipper dreimal, die Protokolle an das Ziel zu senden. Wenn alle drei Wiederholungsversuche fehlschlagen, wird der entsprechende Batch mit Logs verworfen.

• Wiederholen, bis die Zustellung erfolgreich ist: Unbegrenzte Wiederholungen bis zur erfolgreichen Zustellung von Protokollen.

  Hinweis :Die Option „Retry till Successful Delivery“ (Wiederholen, bis die Zustellung erfolgreich ist) kann sich auf die Gesamtleistung von Cloud Exchange auswirken, einschließlich anderer Cloud Exchange-Module.

Sie können auch die UTF-8-Codierung für Benachrichtigungen, Ereignisse und WebTx aktivieren, um eine nahtlose Verarbeitung von UTF-8-codierten Daten zu gewährleisten. Diese Funktion ist standardmäßig deaktiviert.

UDM-Zuordnungstabelle

Transaktionsereignisse

Spaltennummer	Logfeld	UDM-Zuordnung
1	bytes	additional.fields
2	c-ip	principal.ip principal.asset.ip
3	cs-bytes	network.sent_bytes
4	cs-content-type	additional.fields
5	cs-dns	target.hostname target.asset.hostname
6	cs-host	target.hostname target.asset.hostname (wenn „cs-dns“ leer ist)
7	cs-method	network.http.method
8	cs-referer	network.http.referral_url
9	cs-uri	additional.fields
10	cs-uri-port	additional.fields target.port (wenn x-cs-dst-port leer ist)
11	cs-uri-query	additional.fields
12	cs-uri-scheme	network.application_protocol
13	cs-user-agent	network.http.user_agent
14	cs-username	principal.user.email_addresses (wenn es eine gültige E-Mail-Adresse ist) principal.user.userid (wenn es keine gültige E-Mail-Adresse ist)
15	date	metadata.event_timestamp
16	rs-status	additional.fields
17	s-ip	target.ip target.asset.ip
18	sc-bytes	network.received_bytes
19	sc-content-type	additional.fields
20	sc-status	network.http.response_code
21	time	metadata.event_timestamp
22	time-taken	network.session_duration
23	x-c-browser	principal.browser.browser_type
24	x-c-browser-version	principal.browser.browser_version
25	x-c-country	principal.location.country_or_region
26	x-c-device	additional.fields
27	x-c-latitude	principal.location.region_coordinates.latitude
28	x-c-local-time	security_result.detection_fields
29	x-c-location	principal.location.city
30	x-c-longitude	principal.location.region_coordinates.longitude
31	x-c-os	principal.platform
32	x-c-region	principal.location.state
33	x-c-zipcode	additional.fields
34	x-category	additional.fields
35	x-category-id	additional.fields
36	x-client-ssl-err	additional.fields
37	x-cs-access-method	additional.fields
38	x-cs-app	principal.application
39	x-cs-app-activity	additional.fields
40	x-cs-app-category	additional.fields
41	x-cs-app-cci	additional.fields
42	x-cs-app-ccl	additional.fields
43	x-cs-app-from-user	principal.user.email_address (wenn es eine gültige E-Mail-Adresse ist) principal.user.userid (wenn es keine gültige E-Mail-Adresse ist)
44	x-cs-app-instance-id	principal.resource.product_object_id
45	x-cs-app-instance-name	principal.resource.name
46	x-cs-app-instance-tag	additional.fields
47	x-cs-app-object-id	additional.fields
48	x-cs-app-object-name	additional.fields
49	x-cs-app-object-type	additional.fields
50	x-cs-app-suite	additional.fields
51	x-cs-app-tags	additional.fields
52	x-cs-app-to-user	additional.fields
53	x-cs-connect-host	additional.fields
54	x-cs-connect-port	additional.fields
55	x-cs-connect-user-agent	network.http.user_agent network.http.parsed_user_agent
56	x-cs-domain-fronted-sni	additional.fields
57	x-cs-dst-ip	target.ip
58	x-cs-dst-port	target.port
59	x-cs-http-version	network.application_protocol_version
60	x-cs-ip-connect-xff	principal.ip principal.asset.ip
61	x-cs-ip-xff	principal.ip principal.asset.ip
62	x-cs-page-id	additional.fields
63	x-cs-session-id	network.session_id
64	x-cs-site	additional.fields
65	x-cs-sni	network.tls.client.server_name
66	x-cs-src-ip	principal.ip principal.asset.ip
67	x-cs-src-ip-egress	principal.ip principal.asset.ip
68	x-cs-src-port	principal.port
69	x-cs-ssl-cipher	network.tls.cipher
70	x-cs-ssl-engine-action	additional.fields
71	x-cs-ssl-engine-action-reason	additional.fields
72	x-cs-ssl-fronting-error	security_result.detection_fields
73	x-cs-ssl-handshake-error	security_result.detection_fields
74	x-cs-ssl-ja3	network.tls.client.ja3
75	x-cs-ssl-version	network.tls.version
76	x-cs-timestamp	metadata.event_timestamp
77	x-cs-traffic-type	additional.fields
78	x-cs-tunnel-id	additional.fields
79	x-cs-uri-path	additional.fields
80	x-cs-url	target.url
81	x-cs-userip	principal.ip principal.asset.ip
82	x-error	additional.fields
83	x-other-category	security_result.category_details
84	x-other-category-id	security_result.detection_fields
85	x-policy-action	security_result.action security_result.action_details
86	x-policy-dst-host	security_result.detection_fields
87	x-policy-dst-host-source	security_result.detection_fields
88	x-policy-dst-ip	security_result.detection_fields
89	x-policy-justification-reason	additional.fields
90	x-policy-justification-type	additional.fields
91	x-policy-name	security_result.rule_name
92	x-policy-src-ip	security_result.detection_fields
93	x-r-cert-enddate	network.tls.server.certificate.not_after
94	x-r-cert-expired	additional.fields
95	x-r-cert-incomplete-chain	additional.fields
96	x-r-cert-issuer-cn	network.tls.server.certificate.issuer
97	x-r-cert-mismatch	additional.fields
98	x-r-cert-revocation-check	additional.fields
99	x-r-cert-revoked	additional.fields
100	x-r-cert-self-signed	additional.fields
101	x-r-cert-startdate	network.tls.server.certificate.not_before
102	x-r-cert-subject-cn	network.tls.server.certificate.subject
103	x-r-cert-untrusted-root	additional.fields
104	x-r-cert-valid	additional.fields
105	x-request-id	additional.fields
106	x-rs-file-category	additional.fields
107	x-rs-file-language	additional.fields
108	x-rs-file-md5	principal.file.md5
109	x-rs-file-sha256	principal.file.sha256
110	x-rs-file-size	principal.file.size
111	x-rs-file-type	additional.fields
112	x-s-country	target.location.country_or_region
113	x-s-custom-signing-ca-error	security_result.detection_fields
114	x-s-dp-name	additional.fields
115	x-s-latitude	target.location.region_coordinates.latitude
116	x-s-location	target.location.city
117	x-s-longitude	target.location.region_coordinates.longitude
118	x-s-region	target.location.state
119	x-s-zipcode	additional.fields
120	x-sc-notification-name	additional.fields
121	x-server-ssl-err	additional.fields
122	x-sr-dst-ip	security_result.detection_fields
123	x-sr-dst-port	security_result.detection_fields
124	x-sr-headers-name	additional.fields
125	x-sr-headers-value	additional.fields
126	x-sr-src-ip	intermediary.ip
127	x-sr-src-port	intermediary.port
128	x-sr-ssl-cipher	security_result.detection_fields
129	x-sr-ssl-client-certificate-error	security_result.detection_fields
130	x-sr-ssl-engine-action	security_result.detection_fields
131	x-sr-ssl-engine-action-reason	security_result.detection_fields
132	x-sr-ssl-handshake-error	security_result.detection_fields
133	x-sr-ssl-ja3s	network.tls.server.ja3s
134	x-sr-ssl-malformed-ssl	security_result.detection_fields
135	x-sr-ssl-version	security_result.detection_fields
136	x-ssl-bypass	security_result.detection_fields
137	x-ssl-bypass-reason	security_result.summary
138	x-ssl-policy-action	security_result.detection_fields
139	x-ssl-policy-categories	security_result.category_details
140	x-ssl-policy-dst-host	security_result.detection_fields
141	x-ssl-policy-dst-host-source	security_result.detection_fields
142	x-ssl-policy-dst-ip	security_result.detection_fields
143	x-ssl-policy-name	security_result.detection_fields
144	x-ssl-policy-src-ip	security_result.detection_fields
145	x-transaction-id	additional.fields
146	x-type	metadata.product_event_type
x_rs_file_size	event.idm.read_only_udm.principal.process.file.size	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_type	event.idm.read_only_udm.principal.process.file.mime_type	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_start	event.idm.read_only_udm.network.tls.server.certificate.not_before	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_end	event.idm.read_only_udm.network.tls.server.certificate.not_after	Aus dem Änderungsprotokoll zugeordnet
x_tenant_id	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_r_country	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_r_latitude	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_r_longitude	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_r_location	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_r_region	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_r_zipcode	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_c_authz_source	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_instance_tags	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_cs_ssl_malformed_ssl	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_cs_access_proxy	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
x_c_local_timestamp	event.idm.read_only_udm.additional	Aus dem Änderungsprotokoll zugeordnet
s_ip	event.idm.read_only_udm.target.ip	Aus dem Änderungsprotokoll zugeordnet
file_md5	event.idm.read_only_udm.principal.file.md5	Aus dem Änderungsprotokoll zugeordnet
device_sn	event.idm.read_only_udm.principal.resource.product_object_id	Aus dem Änderungsprotokoll zugeordnet
act_user	event.idm.read_only_udm.principal.user.email_addresses	Aus dem Änderungsprotokoll zugeordnet
from_user	event.idm.read_only_udm.principal.user.email_addresses	Aus dem Änderungsprotokoll zugeordnet
userkey	event.idm.read_only_udm.principal.user.email_addresses	Aus dem Änderungsprotokoll zugeordnet
act_user	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
cs_app	event.idm.read_only_udm.principal.application	Aus dem Änderungsprotokoll zugeordnet
bcc	event.idm.read_only_udm.network.email.bcc	Aus dem Änderungsprotokoll zugeordnet
cc	event.idm.read_only_udm.network.email.cc	Aus dem Änderungsprotokoll zugeordnet
source_ip	event.idm.read_only_udm.principal.ip	Aus dem Änderungsprotokoll zugeordnet
hostname	event.idm.read_only_udm.principal.hostname	Aus dem Änderungsprotokoll zugeordnet
pid	event.idm.read_only_udm.principal.process.pid	Aus dem Änderungsprotokoll zugeordnet
process_path	event.idm.read_only_udm.principal.process.file.full_path	Aus dem Änderungsprotokoll zugeordnet
process_name	event.idm.read_only_udm.principal.process.file.names	Aus dem Änderungsprotokoll zugeordnet
file_path	event.idm.read_only_udm.principal.file.full_path	Aus dem Änderungsprotokoll zugeordnet
src_file_type	event.idm.read_only_udm.principal.file.mime_type	Aus dem Änderungsprotokoll zugeordnet
src_sha256	event.idm.read_only_udm.principal.file.sha256	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_sha256	event.idm.read_only_udm.principal.process.file.sha256	Aus dem Änderungsprotokoll zugeordnet
destination_file_name	event.idm.read_only_udm.target.file.names	Aus dem Änderungsprotokoll zugeordnet
x_cs_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus dem Änderungsprotokoll zugeordnet
dst_location	event.idm.read_only_udm.target.location.city	Aus dem Änderungsprotokoll zugeordnet
assignee	event.idm.read_only_udm.target.user.userid	Aus dem Änderungsprotokoll zugeordnet
connection_id	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
network_session_id	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
policy	event.idm.read_only_udm.security_result.rule_name	Aus dem Änderungsprotokoll zugeordnet
policy_name	event.idm.read_only_udm.security_result.rule_name	Aus dem Änderungsprotokoll zugeordnet
action_data	event.idm.read_only_udm.security_result.action_details	Aus dem Änderungsprotokoll zugeordnet
column2	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
access_method	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column5	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
activity	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column6	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
alert	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column7	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
alert_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column8	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
alert_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column10	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
app-gdpr-level	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column11	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
app_session_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column12	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
appact	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column14	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
appsuite	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column15	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
audit_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column18	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
browser_session_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column24	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
cloud_provider	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column26	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
conn_duration	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column27	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
conn_endtime	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column28	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
conn_starttime	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column30	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
connection_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column32	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
destination_file_directory	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column35	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
device	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column36	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
device_classification	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column37	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
dinsid	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column76	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
filepath	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column82	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
instance	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column83	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
instance_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column137	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
shared_with	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column138	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
site	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column139	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
smtp_to	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column140	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
spet	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column141	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
spst	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column109	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
page	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column196	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
violation	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column197	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
account_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column198	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
account_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column199	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
acked	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column200	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
alert_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column201	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
alert_source	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column202	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
breach_date	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column203	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
breach_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column204	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
breach_score	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column205	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
detection_engine	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column206	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
dlp_fingerprint_match	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column207	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
dlp_rule_score	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column208	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
email_title	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column209	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
event_uuid	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column210	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
file_category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column211	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
file_cls_encrypted	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column212	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
file_exposure	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column213	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
file_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column214	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
filename	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column215	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
iaas_remediated	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column216	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
iaas_remediated_by	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column217	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
iaas_remediated_on	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column218	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
iaas_remediation_action	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column219	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
instance_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column220	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
loc	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column221	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
local_md5	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column222	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
local_sha1	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column223	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
local_sha256	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column224	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
mal_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column225	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
mal_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column226	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
malware_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column227	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
malware_severity	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column228	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
malware_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column229	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
message_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column230	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
modified_date	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column231	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
pop_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column232	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
redirect_url	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column233	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
region_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column234	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
region_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column235	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
resource_category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column236	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
resource_group	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column237	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
risk_level_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column238	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sa_profile_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column239	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sa_rule_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column240	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sa_rule_severity	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column241	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sender	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column242	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
severity_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column243	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
severity_level	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column244	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
shared_credential_user	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column245	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
shared_domains	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column246	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sharedType	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column247	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
smtp_status	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column248	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
subject	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column249	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
suppression_count	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column250	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
tss_license	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column251	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
two_factor_auth	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column252	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
usergroup	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column253	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
watchlist_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column254	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
web_url	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column13	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
appcategory	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column31	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
custom_attr	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column86	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
location	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column90	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
md5	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column91	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
mime_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column113	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
policy_action	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column57 (x-cs-dst-ip)	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column58 (x-cs-dst-port)	event.idm.read_only_udm.target.port	Aus dem Änderungsprotokoll zugeordnet
column66 (x-cs-src-ip)	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column68 (x-cs-src-port)	event.idm.read_only_udm.principal.port	Aus dem Änderungsprotokoll zugeordnet
column108 (x-rs-file-md5)	event.idm.read_only_udm.principal.file.md5	Aus dem Änderungsprotokoll zugeordnet
column6 (cs-host)	event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
column11 (cs-uri-query)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column34 (x-category)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column35 (x-category-id)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column36 (x-client-ssl-err)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column37 (x-cs-access-method)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column40 (x-cs-app-category)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column46 (x-cs-app-instance-tag)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column47 (x-cs-app-object-id)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column50 (x-cs-app-suite)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column52 (x-cs-app-to-user)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column53 (x-cs-connect-host)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column54 (x-cs-connect-port)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column56 (x-cs-domain-fronted-sni)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column71 (x-cs-ssl-engine-action-reason)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column78 (x-cs-tunnel-id)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column79 (x-cs-uri-path)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column89 (x-policy-justification-reason)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column90 (x-policy-justification-type)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column107 (x-rs-file-language)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column119 (x-s-zipcode)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column120 (x-sc-notification-name)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column121 (x-server-ssl-err)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column124 (x-sr-headers-name)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column125 (x-sr-headers-value)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column14 (cs-username)	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
column23 (x-c-browser)	event.idm.read_only_udm.principal.browser.browser_type	Aus dem Änderungsprotokoll zugeordnet
column24 (x-c-browser-version)	event.idm.read_only_udm.principal.browser.browser_version	Aus dem Änderungsprotokoll zugeordnet
column28 (x-c-local-time)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column84 (x-other-category-id)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column88 (x-policy-dst-ip)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column92 (x-policy-src-ip)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column123 (x-sr-dst-port)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column144 (x-ssl-policy-src-ip)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column31 (x-c-os)	event.idm.read_only_udm.principal.platform	Aus dem Änderungsprotokoll zugeordnet
column38 (x-cs-app)	event.idm.read_only_udm.principal.application	Aus dem Änderungsprotokoll zugeordnet
column43 (x-cs-app-from-user)	event.idm.read_only_udm.principal.user.email_address	Aus dem Änderungsprotokoll zugeordnet
column43 (x-cs-app-from-user)	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
column44 (x-cs-app-instance-id)	event.idm.read_only_udm.principal.resource.product_object_id	Aus dem Änderungsprotokoll zugeordnet
column45 (x-cs-app-instance-name)	event.idm.read_only_udm.principal.resource.name	Aus dem Änderungsprotokoll zugeordnet
column55 (x-cs-connect-user-agent)	event.idm.read_only_udm.network.http.user_agent und event.idm.read_only_udm.network.http.parsed_user_agent	Aus dem Änderungsprotokoll zugeordnet
column60 (x-cs-ip-connect-xff)	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column61 (x-cs-ip-xff)	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column81 (x-cs-userip)	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column63 (x-cs-session-id)	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
column69 (x-cs-ssl-cipher)	event.idm.read_only_udm.network.tls.cipher	Aus dem Änderungsprotokoll zugeordnet
column75 (x-cs-ssl-version)	event.idm.read_only_udm.network.tls.version	Aus dem Änderungsprotokoll zugeordnet
column109 (x-rs-file-sha256)	event.idm.read_only_udm.principal.file.sha256	Aus dem Änderungsprotokoll zugeordnet
column126 (x-sr-src-ip)	event.idm.read_only_udm.intermediary.ip	Aus dem Änderungsprotokoll zugeordnet
column127 (x-sr-src-port)	event.idm.read_only_udm.intermediary.port	Aus dem Änderungsprotokoll zugeordnet
column70 (x-cs-ssl-engine-action)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column19 (sc-content-type)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column26 (x-c-device)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column39 (x-cs-app-activity)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column41 (x-cs-app-cci)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column42 (x-cs-app-ccl)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column51 (x-cs-app-tags)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column64 (x-cs-site)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column48 (x-cs-app-object-name)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column49 (x-cs-app-object-type)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column106 (x-rs-file-category)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column111 (x-rs-file-type)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column9 (cs-uri)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column4 (cs-content-type)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column108 (x-rs-file-md5)	event.idm.read_only_udm.principal.process.file.md5	Aus dem Änderungsprotokoll zugeordnet
column110 (x-rs-file-size)	event.idm.read_only_udm.principal.file.size	Aus dem Änderungsprotokoll zugeordnet
column85 (x-policy-action)	event.idm.read_only_udm.security_result.action_details	Aus dem Änderungsprotokoll zugeordnet
column20 (http_response_code)	event.idm.read_only_udm.network.http.response_code	Aus dem Änderungsprotokoll zugeordnet
column1 (bytes)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column3 (cs-bytes)	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
column18 (sc-bytes)	event.idm.read_only_udm.network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
column22 (time-taken)	event.idm.read_only_udm.network.session_duration	Aus dem Änderungsprotokoll zugeordnet
column27 (x-c-latitude)	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
column30 (x-c-longitude)	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
column32 (x-c-region)	event.idm.read_only_udm.principal.location.state	Aus dem Änderungsprotokoll zugeordnet
column57 (x-cs-dst-ip)	event.idm.read_only_udm.intermediary.ip und event.idm.read_only_udm.intermediary.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column74 (x-cs-ssl-ja3)	event.idm.read_only_udm.network.tls.client.ja3	Aus dem Änderungsprotokoll zugeordnet
column115 (x-s-latitude)	event.idm.read_only_udm.target.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
column117 (x-s-longitude)	event.idm.read_only_udm.target.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
column118 (x-s-region)	event.idm.read_only_udm.target.location.state	Aus dem Änderungsprotokoll zugeordnet
column7 (method)	event.idm.read_only_udm.network.http.method	Aus dem Änderungsprotokoll zugeordnet
column12 (app_protocol)	event.idm.read_only_udm.network.application_protocol	Aus dem Änderungsprotokoll zugeordnet
column13 (network_http_user_agent)	event.idm.read_only_udm.network.http.user_agent	Aus dem Änderungsprotokoll zugeordnet
column17 (server_ip)	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column58 (intermediary_port)	event.idm.read_only_udm.intermediary.port	Aus dem Änderungsprotokoll zugeordnet
column65 (x-cs-sni)	event.idm.read_only_udm.network.tls.client.server_name	Aus dem Änderungsprotokoll zugeordnet
column70 (engine_action)	event.idm.read_only_udm.security_result.action_details	Aus dem Änderungsprotokoll zugeordnet
column70 (engine_action)	event.idm.read_only_udm.security_result.action	Aus dem Änderungsprotokoll zugeordnet
column76 (generated_timestamp)	event.idm.read_only_udm.metadata.event_timestamp	Aus dem Änderungsprotokoll zugeordnet
column80 (x-cs-url)	event.idm.read_only_udm.target.url	Aus dem Änderungsprotokoll zugeordnet
column83 (other_categories)	event.idm.read_only_udm.security_result.category_details	Aus dem Änderungsprotokoll zugeordnet
column139 (x-ssl-policy-categories)	event.idm.read_only_udm.security_result.category_details	Aus dem Änderungsprotokoll zugeordnet
column85 (x-policy-action)	event.idm.read_only_udm.security_result.action	Aus dem Änderungsprotokoll zugeordnet
column91 (x-policy-name)	event.idm.read_only_udm.security_result.rule_name	Aus dem Änderungsprotokoll zugeordnet
column96 (x-r-cert-issuer-cn)	event.idm.read_only_udm.network.tls.server.certificate.issuer	Aus dem Änderungsprotokoll zugeordnet
column102 (x-r-cert-subject-cn)	event.idm.read_only_udm.network.tls.server.certificate.subject	Aus dem Änderungsprotokoll zugeordnet
column112 (x-s-country)	event.idm.read_only_udm.target.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
column133 (x-sr-ssl-ja3s)	event.idm.read_only_udm.network.tls.server.ja3s	Aus dem Änderungsprotokoll zugeordnet
column136 (x-ssl-bypass)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column143 (x-ssl-policy-name)	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
column137 (x-ssl-bypass-reason)	event.idm.read_only_udm.security_result.summary	Aus dem Änderungsprotokoll zugeordnet
column146 (x-type)	event.idm.read_only_udm.metadata.product_event_type	Aus dem Änderungsprotokoll zugeordnet
column62 (x-cs-page-id)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column63 (x-cs-session-id)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column66 (x-cs-src-ip)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column72 (x-cs-ssl-fronting-error)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column73 (x-cs-ssl-handshake-error)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column77 (x-cs-traffic-type)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column82 (x-error)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column86 (x-policy-dst-host)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column87 (x-policy-dst-host-source)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column94 (x-r-cert-expired)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column95 (x-r-cert-incomplete-chain)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column97 (x-r-cert-mismatch)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column98 (x-r-cert-revocation-check)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column99 (x-r-cert-revoked)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column100 (x-r-cert-self-signed)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column103 (x-r-cert-untrusted-root)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column104 (x-r-cert-valid)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column105 (x-request-id)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column113 (x-s-custom-signing-ca-error)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column114 (x-s-dp-name)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column122 (x-sr-dst-ip)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column128 (x-sr-ssl-cipher)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column129 (x-sr-ssl-client-certificate-error)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column130 (x-sr-ssl-engine-action)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column131 (x-sr-ssl-engine-action-reason)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column132 (x-sr-ssl-handshake-error)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column134 (x-sr-ssl-malformed-ssl)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column135 (x-sr-ssl-version)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column138 (x-ssl-policy-action)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column140 (x-ssl-policy-dst-host)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column141 (x-ssl-policy-dst-host-source)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column142 (x-ssl-policy-dst-ip)	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
column8 (cs-referer)	event.idm.read_only_udm.network.http.referral_url	Aus dem Änderungsprotokoll zugeordnet
column16 (http_response_code)	event.idm.read_only_udm.network.http.response_code	Aus dem Änderungsprotokoll zugeordnet
column101 (x-r-cert-startdate)	event.idm.read_only_udm.network.tls.server.certificate.not_before	Aus dem Änderungsprotokoll zugeordnet
column93 (x-r-cert-enddate)	event.idm.read_only_udm.network.tls.server.certificate.not_after	Aus dem Änderungsprotokoll zugeordnet
column2	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
cs_dns	event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
cs_host	event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
cs_method	event.idm.read_only_udm.network.http.method	Aus dem Änderungsprotokoll zugeordnet
cs_referer	event.idm.read_only_udm.network.http.referral_url	Aus dem Änderungsprotokoll zugeordnet
cs_uri_scheme	event.idm.read_only_udm.network.application_protocol	Aus dem Änderungsprotokoll zugeordnet
cs-username	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Aus dem Änderungsprotokoll zugeordnet
sc-status	event.idm.read_only_udm.network.http.response_code	Aus dem Änderungsprotokoll zugeordnet
rs-status	event.idm.read_only_udm.network.http.response_code	Aus dem Änderungsprotokoll zugeordnet
s-ip	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
sc-bytes	event.idm.read_only_udm.network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
x-c-country	event.idm.read_only_udm.principal.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
x-c-location	event.idm.read_only_udm.principal.location.name	Aus dem Änderungsprotokoll zugeordnet
x-c-region	event.idm.read_only_udm.principal.location.state	Aus dem Änderungsprotokoll zugeordnet
column49	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
x_cs_dst_port	event.idm.read_only_udm.target.port	Aus dem Änderungsprotokoll zugeordnet
x-cs-session-id	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
column56	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
column57	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
x-cs-src-port	event.idm.read_only_udm.principal.port	Aus dem Änderungsprotokoll zugeordnet
x-cs-ssl-ja3	event.idm.read_only_udm.network.tls.client.ja3	Aus dem Änderungsprotokoll zugeordnet
x-cs-ssl-version	event.idm.read_only_udm.network.tls.version	Aus dem Änderungsprotokoll zugeordnet
column71	event.idm.read_only_udm.security_result.category_details	Aus dem Änderungsprotokoll zugeordnet
x-policy-action	event.idm.read_only_udm.security_result.action_details	Aus dem Änderungsprotokoll zugeordnet
x-policy-name	event.idm.read_only_udm.security_result.rule_name	Aus dem Änderungsprotokoll zugeordnet
x-ssl-policy-name	event.idm.read_only_udm.security_result.rule_name	Aus dem Änderungsprotokoll zugeordnet
x-r-cert-subject-cn	event.idm.read_only_udm.network.tls.server.certificate.subject	Aus dem Änderungsprotokoll zugeordnet
x-rs-file-sha256	event.idm.read_only_udm.principal.process.file.sha256	Aus dem Änderungsprotokoll zugeordnet
x-rs-file-size	event.idm.read_only_udm.principal.file.size	Aus dem Änderungsprotokoll zugeordnet
x-s-country	event.idm.read_only_udm.target.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
x-s-location	event.idm.read_only_udm.target.location.name	Aus dem Änderungsprotokoll zugeordnet
x-sr-ssl-ja3s	event.idm.read_only_udm.network.tls.server.ja3s	Aus dem Änderungsprotokoll zugeordnet
x_cs_connect_host	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_connect_port	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_connect_user_agent	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_ip_xff	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-policy-justification-type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-sr-src-port	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs-uri-port	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs_uri	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs_uri_query	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
time_taken	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-access-method	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-app	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-app-activity	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-app-category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-app-cci	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-app-ccl	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-page-id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-site	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-traffic-type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-uri-path	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-error	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-request-id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-s-dp-name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-sc-notification-name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-transaction-id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-http-version	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-ssl-engine-action	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-ssl-engine-action-reason	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-ssl-fronting-error	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-ssl-handshake-error	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-userip	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-policy-dst-host	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-policy-dst-host-source	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-policy-dst-ip	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-policy-src-ip	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-sr-ssl-engine-action	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-sr-ssl-engine-action-reason	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-ssl-policy-action	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-ssl-policy-dst-host	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-ssl-policy-dst-host-source	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-ssl-policy-dst-ip	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-ssl-policy-src-ip	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-ssl-bypass-reason	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
SSL BYPASS REASON	event.idm.read_only_udm.security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
bytes	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_s_dp_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
rs_status	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
postal_code	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
internal_category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
accessMethod	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
postal_code_num	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
log_id	event.idm.read_only_udm.metadata.product_log_id	Aus dem Änderungsprotokoll zugeordnet
http_version	event.idm.read_only_udm.network.application_protocol_version	Aus dem Änderungsprotokoll zugeordnet
method	event.idm.read_only_udm.network.http.method	Aus dem Änderungsprotokoll zugeordnet
int2	event.idm.read_only_udm.network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
server_bytes	event.idm.read_only_udm.network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
bytes_received	event.idm.read_only_udm.network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
sent_bytes	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
int3	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
cs-bytes	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
client_bytes	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
int1	event.idm.read_only_udm.network.session_duration.seconds	Aus dem Änderungsprotokoll zugeordnet
prin_ip	event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
prin_ip	event.idm.read_only_udm.principal.ip	Aus dem Änderungsprotokoll zugeordnet
city	event.idm.read_only_udm.principal.location.city	Aus dem Änderungsprotokoll zugeordnet
location	event.idm.read_only_udm.principal.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
src_latitude	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
src_longitude	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
latitude_region	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
longitude_region	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
p_application	event.idm.read_only_udm.principal.application	Aus dem Änderungsprotokoll zugeordnet
state	event.idm.read_only_udm.principal.location.state	Aus dem Änderungsprotokoll zugeordnet
state_location	event.idm.read_only_udm.target.location.state	Aus dem Änderungsprotokoll zugeordnet
t_ip	event.idm.read_only_udm.principal.nat_ip	Aus dem Änderungsprotokoll zugeordnet
p_port	event.idm.read_only_udm.principal.nat_port	Aus dem Änderungsprotokoll zugeordnet
prin_port	event.idm.read_only_udm.principal.port	Aus dem Änderungsprotokoll zugeordnet
target_host	event.idm.read_only_udm.target.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
target_ip	event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
tar_ip	event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
target_ip	event.idm.read_only_udm.target.ip	Aus dem Änderungsprotokoll zugeordnet
tar_ip	event.idm.read_only_udm.target.ip	Aus dem Änderungsprotokoll zugeordnet
target_host	event.idm.read_only_udm.target.hostname	Aus dem Änderungsprotokoll zugeordnet
location_name	event.idm.read_only_udm.target.location.city	Aus dem Änderungsprotokoll zugeordnet
dst_latitude	event.idm.read_only_udm.target.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
dst_longitude	event.idm.read_only_udm.target.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
latitude	event.idm.read_only_udm.target.location.region_latitude	Aus dem Änderungsprotokoll zugeordnet
longitude	event.idm.read_only_udm.target.location.region_longitude	Aus dem Änderungsprotokoll zugeordnet
name	event.idm.read_only_udm.security_result.rule_name	Aus dem Änderungsprotokoll zugeordnet
summary_res	event.idm.read_only_udm.security_result.summary	Aus dem Änderungsprotokoll zugeordnet
target_port	event.idm.read_only_udm.target.port	Aus dem Änderungsprotokoll zugeordnet
dstport	event.idm.read_only_udm.target.port	Aus dem Änderungsprotokoll zugeordnet
_id	event.idm.read_only_udm.metadata.product_log_id	Aus dem Änderungsprotokoll zugeordnet
product_id	event.idm.read_only_udm.metadata.product_log_id	Aus dem Änderungsprotokoll zugeordnet
url	event.idm.read_only_udm.target.url	Aus dem Änderungsprotokoll zugeordnet
referer	event.idm.read_only_udm.network.http.referral_url	Aus dem Änderungsprotokoll zugeordnet
organization_unit	event.idm.read_only_udm.principal.administrative_domain	Aus dem Änderungsprotokoll zugeordnet
user_id	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
cs_username	event.idm.read_only_udm.principal.user.userid	Aus dem Änderungsprotokoll zugeordnet
useragent	event.idm.read_only_udm.network.http.user_agent	Aus dem Änderungsprotokoll zugeordnet
cs_user_agent	event.idm.read_only_udm.network.http.user_agent	Aus dem Änderungsprotokoll zugeordnet
useragent	event.idm.read_only_udm.network.http.parsed_user_agent	Aus dem Änderungsprotokoll zugeordnet
cs_user_agent	event.idm.read_only_udm.network.http.parsed_user_agent	Aus dem Änderungsprotokoll zugeordnet
session_duration	event.idm.read_only_udm.network.session_duration.seconds	Aus dem Änderungsprotokoll zugeordnet
os_version	event.idm.read_only_udm.principal.platform_version	Aus dem Änderungsprotokoll zugeordnet
os	event.idm.read_only_udm.principal.platform	Aus dem Änderungsprotokoll zugeordnet
x_c_os	event.idm.read_only_udm.principal.platform	Aus dem Änderungsprotokoll zugeordnet
ur_normalized	event.idm.read_only_udm.target.user.email_addresses	Aus dem Änderungsprotokoll zugeordnet
browser_session_id	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
x_cs_session_id	event.idm.read_only_udm.network.session_id	Aus dem Änderungsprotokoll zugeordnet
malware_id	event.idm.read_only_udm..threat_id	Aus dem Änderungsprotokoll zugeordnet
src_location	event.idm.read_only_udm.principal.resource.attribute.labels	Aus dem Änderungsprotokoll zugeordnet
src_zipcode	event.idm.read_only_udm.principal.resource.attribute.labels	Aus dem Änderungsprotokoll zugeordnet
src_geoip_src	event.idm.read_only_udm.principal.resource.attribute.labels	Aus dem Änderungsprotokoll zugeordnet
ip_protocol	event.idm.read_only_udm.network.ip_protocol	Aus dem Änderungsprotokoll zugeordnet
file_size	event.idm.read_only_udm.principal.file.size	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_size	event.idm.read_only_udm.principal.file.size	Aus dem Änderungsprotokoll zugeordnet
file_type	event.idm.read_only_udm.target.file.mime_type	Aus dem Änderungsprotokoll zugeordnet
srcip	event.idm.read_only_udm.principal.ip	Aus dem Änderungsprotokoll zugeordnet
s_ip	event.idm.read_only_udm.principal.ip	Aus dem Änderungsprotokoll zugeordnet
c_ip	event.idm.read_only_udm.principal.ip	Aus dem Änderungsprotokoll zugeordnet
x_cs_src_ip	event.idm.read_only_udm.principal.ip	Aus dem Änderungsprotokoll zugeordnet
srcip	event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
s_ip	event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
c_ip	event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
x_cs_src_ip	event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
srcport	event.idm.read_only_udm.principal.port	Aus dem Änderungsprotokoll zugeordnet
x_cs_src_port	event.idm.read_only_udm.principal.port	Aus dem Änderungsprotokoll zugeordnet
file_md5	event.idm.read_only_udm.principal.process.file.md5	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_md5	event.idm.read_only_udm.principal.process.file.md5	Aus dem Änderungsprotokoll zugeordnet
computer_name	event.idm.read_only_udm.principal.hostname	Aus dem Änderungsprotokoll zugeordnet
computer_name	event.idm.read_only_udm.principal.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
cs_dns	event.idm.read_only_udm.principal.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
cs_host	event.idm.read_only_udm.principal.asset.hostname	Aus dem Änderungsprotokoll zugeordnet
device	event.idm.read_only_udm.principal.resource.type	Aus dem Änderungsprotokoll zugeordnet
device	event.idm.read_only_udm.principal.resource.resource_subtype	Aus dem Änderungsprotokoll zugeordnet
device_sn	event.idm.read_only_udm.principal.resource.id	Aus dem Änderungsprotokoll zugeordnet
src_region	event.idm.read_only_udm.principal.location.name	Aus dem Änderungsprotokoll zugeordnet
x_c_location	event.idm.read_only_udm.principal.location.name	Aus dem Änderungsprotokoll zugeordnet
src_country	event.idm.read_only_udm.principal.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
x_c_country	event.idm.read_only_udm.principal.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
x_c_latitude	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
x_c_longitude	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
x_s_latitude	event.idm.read_only_udm.target.location.region_coordinates.latitude	Aus dem Änderungsprotokoll zugeordnet
x_s_longitude	event.idm.read_only_udm.target.location.region_coordinates.longitude	Aus dem Änderungsprotokoll zugeordnet
destination_file_path	event.idm.read_only_udm.target.file.full_path	Aus dem Änderungsprotokoll zugeordnet
dlp_file	event.idm.read_only_udm.target.file.full_path	Aus dem Änderungsprotokoll zugeordnet
sha256	event.idm.read_only_udm.target.file.sha256	Aus dem Änderungsprotokoll zugeordnet
md5	event.idm.read_only_udm.target.file.md5	Aus dem Änderungsprotokoll zugeordnet
dst_country	event.idm.read_only_udm.target.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
x_s_country	event.idm.read_only_udm.target.location.country_or_region	Aus dem Änderungsprotokoll zugeordnet
x_s_region	event.idm.read_only_udm.target.location.state	Aus dem Änderungsprotokoll zugeordnet
dst_region	event.idm.read_only_udm.target.location.name	Aus dem Änderungsprotokoll zugeordnet
x_s_location	event.idm.read_only_udm.target.location.name	Aus dem Änderungsprotokoll zugeordnet
dst_zipcode	event.idm.read_only_udm.target.resource.attribute.labels	Aus dem Änderungsprotokoll zugeordnet
dsthost	event.idm.read_only_udm.target.ip	Aus dem Änderungsprotokoll zugeordnet
dstip	event.idm.read_only_udm.target.ip	Aus dem Änderungsprotokoll zugeordnet
x_cs_dst_ip	event.idm.read_only_udm.target.ip	Aus dem Änderungsprotokoll zugeordnet
dsthost	event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
dstip	event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
x_cs_dst_ip	event.idm.read_only_udm.target.asset.ip	Aus dem Änderungsprotokoll zugeordnet
cci	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
alert_type	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_other_category_id	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_userip	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_ssl_bypass	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_ssl_fronting_error	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_ssl_handshake_error	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_handshake_error	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_client_certificate_error	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_malformed_ssl	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_s_custom_signing_ca_error	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_ssl_engine_action	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_ssl_engine_action_reason	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_engine_action	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_engine_action_reason	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_src_ip	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_dst_ip	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_dst_host	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_dst_host_source	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_action	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_version	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_ssl_cipher	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_src_ip_egress	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_src_ip	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_dst_ip	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_dst_host	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_dst_host_source	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_justification_type	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_policy_justification_reason	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sc_notification_name	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_http_version	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_dst_ip	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
x_sr_dst_port	event.idm.read_only_udm..detection_fields	Aus dem Änderungsprotokoll zugeordnet
ccl	event.idm.read_only_udm..confidence_details	Aus dem Änderungsprotokoll zugeordnet
ccl	event.idm.read_only_udm..confidence	Aus dem Änderungsprotokoll zugeordnet
dlp_profile_name	event.idm.read_only_udm..rule_type	Aus dem Änderungsprotokoll zugeordnet
policy_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
dlp_fingerprint_classification	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
dlp_fingerprint_score	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
dlp_unique_count	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_transaction_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_client_ssl_err	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_domain_fronted_sni	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_tunnel_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_request_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_s_zipcode	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_c_zipcode	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_c_browser	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_c_browser_version	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_c_device	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_site	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_page_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_traffic_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_category_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_valid	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_expired	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_untrusted_root	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_incomplete_chain	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_self_signed	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_revoked	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_rs_file_language	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_revocation_check	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_category	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_cci	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_ccl	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_tags	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_suite	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_instance_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_instance_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_instance_tag	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_activity	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_from_user	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_to_user	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_object_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_object_name	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_app_object_id	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_uri_path	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_r_cert_mismatch	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
x_cs_access_method	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs_uri_port	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
cs_content_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sc_content_type	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
app	event.idm.read_only_udm.target.application	Aus dem Änderungsprotokoll zugeordnet
access_method	event.idm.read_only_udm.extensions.auth.auth_details	Aus dem Änderungsprotokoll zugeordnet
action	event.idm.read_only_udm..action	Aus dem Änderungsprotokoll zugeordnet
x_policy_action	event.idm.read_only_udm..action	Aus dem Änderungsprotokoll zugeordnet
alert_name	event.idm.read_only_udm..rule_name	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_name	event.idm.read_only_udm..rule_name	Aus dem Änderungsprotokoll zugeordnet
severity	event.idm.read_only_udm..severity	Aus dem Änderungsprotokoll zugeordnet
activity	event.idm.read_only_udm..description	Aus dem Änderungsprotokoll zugeordnet
appcategory	event.idm.read_only_udm..category_details	Aus dem Änderungsprotokoll zugeordnet
x_ssl_policy_categories	event.idm.read_only_udm..category_details	Aus dem Änderungsprotokoll zugeordnet
x_other_category	event.idm.read_only_udm..category_details	Aus dem Änderungsprotokoll zugeordnet
sc_bytes	event.idm.read_only_udm.network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
cs_bytes	event.idm.read_only_udm.network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
client_packets	event.idm.read_only_udm.network.sent_packets	Aus dem Änderungsprotokoll zugeordnet
server_packets	event.idm.read_only_udm.network.received_packets	Aus dem Änderungsprotokoll zugeordnet
appSessionId	network.session_id	Aus dem Änderungsprotokoll zugeordnet
clientBytes	network.sent_bytes	Aus dem Änderungsprotokoll zugeordnet
serverBytes	network.received_bytes	Aus dem Änderungsprotokoll zugeordnet
ccl	security_result.confidence_details	Aus dem Änderungsprotokoll zugeordnet
IncidentID", "applicationType", "browser", and "cci	security_result.detection_fields	Aus dem Änderungsprotokoll zugeordnet
x-cs-app-ccl","x-cs-app-instance-id","x-cs-app-tags" ,"x-cs-app-instance-name" ,"x-cs-app-instance-tag", "x-cs-app-to-user","x-cs-app-object-id" and "x-cs-app-from-user	additional.fields	Aus dem Änderungsprotokoll zugeordnet
dvchost	target.hostname	Aus dem Änderungsprotokoll zugeordnet
duser	target.user.email_addresses	Aus dem Änderungsprotokoll zugeordnet
requestClientApplication	network.http.parsed_user_agent	Aus dem Änderungsprotokoll zugeordnet
Domain	principal.administrative_domain	Aus dem Änderungsprotokoll zugeordnet

Benachrichtigungsereignisse

Spaltennummer	Logfeld	UDM-Zuordnung
1	_id	metadata.product_log_id
2	access_method	additional.fields
3	act_user	principal.user.email_addresses userid
4	action	security_result.action action_details
5	activity	additional.fields
6	alert	additional.fields
7	alert_name	security_result.detection_fields
8	alert_type	security_result.detection_fields
9	app	principal.application
10	app-gdpr-level	additional.fields
11	app_session_id	additional.fields
12	appact	additional.fields
13	appcategory	additional.fields
14	appsuite	additional.fields
15	audit_type	additional.fields
16	bcc	network.email.bcc additional.fields
17	browser	principal.browser.browser_type
18	browser_session_id	additional.fields
19	cc	network.email.cc additional.fields
20	cci	additional.fields
21	ccl	additional.fields
22	client_bytes	network.sent_bytes
23	client_packets	network.sent_packets
24	cloud_provider	additional.fields
25	computer_name	principal.hostname
26	conn_duration	additional.fields
27	conn_endtime	additional.fields
28	conn_starttime	additional.fields
29	connection_id	network.session_id
30	connection_type	additional.fields
31	custom_attr	additional.fields
32	destination_file_directory	additional.fields
33	destination_file_name	target.file.names
34	destination_file_path	target.file.full_path
35	device	principal.platform additional.fields
36	device_classification	additional.fields
37	dinsid	additional.fields
38	dlp_file	target.file.full_path
39	dlp_fingerprint_classification	additional.fields
40	dlp_fingerprint_score	additional.fields
41	dlp_incident_id	additional.fields
42	dlp_is_unique_count	additional.fields
43	dlp_parent_id	additional.fields
44	dlp_profile	additional.fields
45	dlp_rule	additional.fields
46	dlp_rule_count	additional.fields
47	dlp_rule_severity	additional.fields
48	dlp_unique_count	additional.fields
49	dns_profile	additional.fields
50	domain	network.tls.client.server_name
51	domain_ip	principal.ip
52	driver	additional.fields
53	dst_country	target.location.country_or_region
54	dst_geoip_src	additional.fields
55	dst_latitude	target.location.region_coordinates.latitude
56	dst_location	target.location.city
57	dst_longitude	target.location.region_coordinates.longitude
58	dst_region	target.location.name
59	dst_timezone	additional.fields
60	dst_zipcode	target.resource.attribute.labels
61	dsthost	target.hostname
62	dstip	target.ip
63	dstport	target.port
64	eeml	additional.fields
65	email_from_user	additional.fields
66	email_modified	additional.fields
67	email_user	additional.fields
68	encryption_status	additional.fields
69	end_time	additional.fields
70	file_md5	principal.file.md5
71	file_owner	additional.fields
72	file_path	principal.file.full_path
73	file_pdl	additional.fields
74	file_size	principal.file.size
75	file_type	principal.file.mime_type
76	filepath	additional.fields
77	fllg	additional.fields
78	flpp	additional.fields
79	from_user	principal.user.email_addresses additional.fields
80	hostname	principal.hostname
81	incident_id	additional.fields
82	instance	additional.fields
83	instance_id	additional.fields
84	ip_protocol	network.ip_protocol
85	local_source_time	additional.fields
86	location	additional.fields
87	mal_sev	additional.fields
88	managed_app	additional.fields
89	managementID	additional.fields
90	md5	additional.fields
91	mime_type	additional.fields
92	netskope_pop	additional.fields
93	network_session_id	network.session_id
94	nsdeviceuid	principal.asset.asset_id
95	num_users	additional.fields
96	numbytes	additional.fields
97	object	additional.fields
98	object_id	additional.fields
99	object_type	additional.fields
100	org	additional.fields
101	organization_unit	principal.administrative_domain
102	os	principal.platform
103	os_details	additional.fields
104	os_family	additional.fields
105	os_user_name	additional.fields
106	os_version	principal.platform_version
107	owner	additional.fields
108	owner_pdl	additional.fields
109	page	additional.fields
110	parent_id	additional.fields
111	pid	principal.process.pid
112	policy	security_result.rule_name
113	policy_action	additional.fields
114	policy_name	security_result.rule_name
115	policy_name_enforced	additional.fields
116	process_cert_subject	additional.fields
117	process_name	principal.process.file.names
118	process_path	principal.process.file.full_path
119	publisher_cn	additional.fields
120	record_type	additional.fields
121	referer	network.http.referral_url
122	req	additional.fields
123	req_cnt	additional.fields
124	request_id	additional.fields
125	resp	additional.fields
126	resp_cnt	additional.fields
127	risk_score	additional.fields
128	sa_rule_compliance	additional.fields
129	sanctioned_instance	additional.fields
130	server_bytes	network.received_bytes
131	server_packets	network.received_packets
132	severity	security_result.severity
133	session_duration	network.session_duration
134	session_number_unique	additional.fields
135	severity	security_result.severity
136	sha256	principal.file.sha256
137	shared_with	additional.fields
138	site	additional.fields
139	smtp_to	additional.fields
140	spet	additional.fields
141	spst	additional.fields
142	src_country	principal.location.country_or_region
143	src_geoip_src	principal.resource.attribute.labels
144	src_latitude	principal.location.region_coordinates.latitude
145	src_location	principal.location.city
146	src_longitude	principal.location.region_coordinates.longitude
147	src_network	additional.fields
148	src_region	principal.location.state
149	src_timezone	additional.fields
150	src_zipcode	principal.resource.attribute.labels
151	srcip	principal.ip
152	srcport	principal.port
153	start_time	additional.fields
154	subtype	additional.fields
155	tags	additional.fields
156	telemetry_app	additional.fields
157	thr	additional.fields
158	threat_type	additional.fields
159	timestamp	additional.fields
160	to_user	additional.fields
161	total_packets	additional.fields
162	traffic_type	additional.fields
163	transaction_id	additional.fields
164	tss_mode	additional.fields
165	tunnel_id	additional.fields
166	tur	additional.fields
167	type	additional.fields
168	ur_normalized	additional.fields
169	url	target.url
170	user	additional.fields
171	user_confidence_index	additional.fields
172	user_confidence_level	additional.fields
173	user_id	additional.fields
174	useragent	network.http.user_agent network.http.parsed_user_agent
175	userip	additional.fields
176	userkey	principal.user.email_addresses
177	oauth	additional.fields
178	response_time	additional.fields
179	device_sn	principal.resource.product_object_id
180	device_type	additional.fields
181	dlp_profile_name	security_result.rule_type
182	executable_hash	additional.fields
183	executable_signed	additional.fields
184	file_origin	additional.fields
185	policy_version	additional.fields
186	port	additional.fields
187	product_id	metadata.product_log_id
188	unc_path	additional.fields
189	vendor_id	additional.fields
190	acting_user	additional.fields
191	assignee	target.user.userid
192	dlp_match_info	additional.fields
193	inline_dlp_match_info	additional.fields
194	latest_incident_id	additional.fields
195	status	additional.fields
196	violation	additional.fields
197	account_id	additional.fields
198	account_name	additional.fields
199	acked	additional.fields
200	alert_id	additional.fields
201	alert_source	additional.fields
202	breach_date	additional.fields
203	breach_id	additional.fields
204	breach_score	additional.fields
205	detection_engine	additional.fields
206	dlp_fingerprint_match	additional.fields
207	dlp_rule_score	additional.fields
208	email_title	additional.fields
209	event_uuid	additional.fields
210	file_category	additional.fields
211	file_cls_encrypted	additional.fields
212	file_exposure	additional.fields
213	file_id	additional.fields
214	filename	additional.fields
215	iaas_remediated	additional.fields
216	iaas_remediated_by	additional.fields
217	iaas_remediated_on	additional.fields
218	iaas_remediation_action	additional.fields
219	instance_name	additional.fields
220	loc	additional.fields
221	local_md5	additional.fields
222	local_sha1	additional.fields
223	local_sha256	additional.fields
224	mal_id	additional.fields
225	mal_type	additional.fields
226	malware_id	additional.fields
227	malware_severity	additional.fields
228	malware_type	additional.fields
229	message_id	additional.fields
230	modified_date	additional.fields
231	pop_id	additional.fields
232	redirect_url	additional.fields
233	region_id	additional.fields
234	region_name	additional.fields
235	resource_category	additional.fields
236	resource_group	additional.fields
237	risk_level_id	additional.fields
238	sa_profile_name	additional.fields
239	sa_rule_name	additional.fields
240	sa_rule_severity	additional.fields
241	sender	additional.fields
242	severity_id	additional.fields
243	severity_level	additional.fields
244	shared_credential_user	additional.fields
245	shared_domains	additional.fields
246	sharedType	additional.fields
247	smtp_status	additional.fields
248	subject	additional.fields
249	suppression_count	additional.fields
250	tss_license	additional.fields
251	two_factor_auth	additional.fields
252	usergroup	additional.fields
253	watchlist_name	additional.fields
254	web_url	additional.fields

Webtransaktion

Die Spalten 1 bis 146 können auch als anderes Schema verwendet werden.

Spaltennummer	Logfeld	UDM-Zuordnung
1	date	metadata.timestamp
2	time	metadata.timestamp
3	time-taken	additional.fields
4	cs-bytes	network.sent_bytes
5	sc-bytes	network.received_bytes
6	bytes	additional.fields
7	c-ip	principal.ip principal.asset.ip
8	s-ip	target.ip target.asset.ip
9	cs-username	principal.user.userid
10	cs-method	network.http.method
11	cs-uri-scheme	network.application_protocol
12	cs-uri-query	additional.fields
13	cs-user-agent	network.http.user_agent
14	cs-content-type	additional.fields
15	sc-status	network.http.response_code
16	sc-content-type	additional.fields
17	cs-dns	target.hostname
18	cs-host	target.hostname
19	cs-uri	additional.fields
20	cs-uri-port	additional.fields
21	cs-referer	network.http.referral_url
22	x-cs-session-id	network.session_id
23	x-cs-access-method	additional.fields
24	x-cs-app	principal.application
25	x-s-country	target.location.country_or_region
26	x-s-latitude	target.location.region_coordinates.latitude
27	x-s-longitude	target.location.region_coordinates.longitude
28	x-s-location	target.location.name
29	x-s-region	target.location.state
30	x-s-zipcode	additional.fields
31	x-c-country	principal.location.country_or_region
32	x-c-latitude	principal.location.region_coordinates.latitude
33	x-c-longitude	principal.location.region_coordinates.longitude
34	x-c-location	principal.location.name
35	x-c-region	principal.location.state
36	x-c-zipcode	additional.fields
37	x-c-os	principal.platform
38	x-c-browser	additional.fields
39	x-c-browser-version	additional.fields
40	x-c-device	additional.fields
41	x-cs-site	additional.fields
42	x-cs-timestamp	metadata.event_timestamp
43	x-cs-page-id	additional.fields
44	x-cs-userip	security_result.detection_fields
45	x-cs-traffic-type	additional.fields
46	x-cs-tunnel-id	additional.fields
47	x-category	additional.fields
48	x-other-category	security_resul.category_details
49	x-type	additional.fields
50	x-server-ssl-err	additional.fields
51	x-client-ssl-err	additional.fields
52	x-transaction-id	additional.fields
53	x-request-id	additional.fields
54	x-cs-sni	network.tls.client.server_name
55	x-cs-domain-fronted-sni	additional.fields
56	x-category-id	additional.fields
57	x-other-category-id	security_result.detection_fields
58	x-sr-headers-name	additional.fields
59	x-sr-headers-value	additional.fields
60	x-cs-ssl-ja3	network.tls.client.ja3
61	x-sr-ssl-ja3s	network.tls.server.ja3s
62	x-ssl-bypass	additional.fields
63	x-ssl-bypass-reason	additional.fields
64	x-r-cert-subject-cn	network.tls.server.certificate.subject
65	x-r-cert-issuer-cn	network.tls.server.certificate.issuer
66	x-r-cert-startdate	network.tls.server.certificate.not_before
67	x-r-cert-enddate	network.tls.server.certificate.not_after
68	x-r-cert-valid	additional.fields
69	x-r-cert-expired	additional.fields
70	x-r-cert-untrusted-root	additional.fields
71	x-r-cert-incomplete-chain	additional.fields
72	x-r-cert-self-signed	additional.fields
73	x-r-cert-revoked	additional.fields
74	x-r-cert-revocation-check	additional.fields
75	x-r-cert-mismatch	additional.fields
76	x-cs-ssl-fronting-error	security_result.detection_fields
77	x-cs-ssl-handshake-error	security_result.detection_fields
78	x-sr-ssl-handshake-error	security_result.detection_fields
79	x-sr-ssl-client-certificate-error	security_result.detection_fields
80	x-sr-ssl-malformed-ssl	security_result.detection_fields
81	x-s-custom-signing-ca-error	security_result.detection_fields
82	x-cs-ssl-engine-action	security_result.detection_fields
83	x-cs-ssl-engine-action-reason	security_result.detection_fields
84	x-sr-ssl-engine-action	security_result.detection_fields
85	x-sr-ssl-engine-action-reason	security_result.detection_fields
86	x-ssl-policy-src-ip	security_result.detection_fields
87	x-ssl-policy-dst-ip	security_result.detection_fields
88	x-ssl-policy-dst-host	security_result.detection_fields
89	x-ssl-policy-dst-host-source	security_result.detection_fields
90	x-ssl-policy-categories	security_result.category_details
91	x-ssl-policy-action	security_result.detection_fields
92	x-ssl-policy-name	security_result.rule_name
93	x-cs-ssl-version	network.tls.version
94	x-cs-ssl-cipher	network.tls.cipher
95	x-sr-ssl-version	security_result.detection_fields
96	x-sr-ssl-cipher	security_result.detection_fields
97	x-cs-src-ip-egress	security_result.detection_fields
98	x-s-dp-name	additional.fields
99	x-cs-src-ip	principal.ip principal.asset.ip
100	x-cs-src-port	principal.port
101	x-cs-dst-ip	target.ip
102	x-cs-dst-port	target.port
103	x-sr-src-ip	security_result.detection_fields
104	x-sr-src-port	additional.fields
105	x-sr-dst-ip	security_result.detection_fields
106	x-sr-dst-port	security_result.detection_fields
107	x-cs-ip-connect-xff	additional.fields
108	x-cs-ip-xff	additional.fields
109	x-cs-connect-host	additional.fields
110	x-cs-connect-port	additional.fields
111	x-cs-connect-user-agent	additional.fields
112	x-cs-url	target.url
113	x-cs-uri-path	additional.fields
114	x-cs-http-version	security_result.detection_fields
115	rs-status	additional.fields
116	x-cs-app-category	additional.fields
117	x-cs-app-cci	additional.fields
118	x-cs-app-ccl	additional.fields
119	x-cs-app-tags	additional.fields
120	x-cs-app-suite	additional.fields
121	x-cs-app-instance-id	additional.fields
122	x-cs-app-instance-name	additional.fields
123	x-cs-app-instance-tag	additional.fields
124	x-cs-app-activity	additional.fields
125	x-cs-app-from-user	additional.fields
126	x-cs-app-to-user	additional.fields
127	x-cs-app-object-type	additional.fields
128	x-cs-app-object-name	additional.fields
129	x-cs-app-object-id	additional.fields
130	x-rs-file-type	principal.process.file.mime_type
131	x-rs-file-category	additional.fields
132	x-rs-file-language	additional.fields
133	x-rs-file-size	principal.process.size
134	x-rs-file-md5	principal.process.file.md5
135	x-rs-file-sha256	principal.process.file.sha256
136	x-error	additional.fields
137	x-c-local-time	additional.fields
138	x-policy-action	security_result.action action_details
139	x-policy-name	additional.fields
140	x-policy-src-ip	security_result.detection_fields
141	x-policy-dst-ip	security_result.detection_fields
142	x-policy-dst-host	security_result.detection_fields
143	x-policy-dst-host-source	security_result.detection_fields
144	x-policy-justification-type	security_result.detection_fields
145	x-policy-justification-reason	security_result.detection_fields
146	x-sc-notification-name	security_result.detection_fields
147	sr-bytes	additional.fields
148	rs-bytes	additional.fields
149	x-action	additional.fields
150	x-action-reason	additional.fields
151	x-c-authn-user	additional.fields
152	x-c-authn-source	additional.fields
153	x-c-authn-surrogate	additional.fields
154	x-c-authn-surrogate-status	additional.fields
155	x-c-authz-groups	additional.fields
156	x-c-authz-ou	additional.fields
157	x-cs-xau	additional.fields
158	x-cs-connect-xau	additional.fields
159	x-c-user-confidence-index	additional.fields
160	x-c-hostname	additional.fields
161	x-c-device-uid	principal.asset.asset_id
162	x-c-os-family	additional.fields
163	x-c-os-version	principal.platform_version
164	x-c-nsclient-version	metadata.product_version
165	x-c-nsclient-client-profile	additional.fields
166	x-c-nsclient-steering-profile	additional.fields
167	x-c-device-classification	additional.fields
168	x-cs-nsclient-tunnel-type	additional.fields
169	x-cs-process	principal.process.file.full_path
170	x-cs-pid	principal.process.pid
171	x-cs-parent-process	principal.process.parent_process.file.full_path
172	x-cs-ppid	principal.process.parent_process.pid
173	x-tp-result	additional.fields
174	x-tp-engine	additional.fields
175	x-tp-malware-name	additional.fields
176	x-tp-severity	additional.fields
177	x-sr-forward-dest	additional.fields
178	x-ssl-policy-issuer	additional.fields
179	x-eip-policy-name	additional.fields
180	x-eip-policy-footprint	additional.fields
181	x-policy-categories	additional.fields
182	x-c-timezone	additional.fields
183	x-support	additional.fields
184	x-r-country	additional.fields
185	x-r-latitude	additional.fields
186	x-r-longitude	additional.fields
187	x-r-location	additional.fields
188	x-r-region	additional.fields
189	x-r-zipcode	additional.fields
190	x-c-authz-source	additional.fields
191	x-cs-app-instance-tags	additional.fields
192	x-cs-ssl-malformed-ssl	additional.fields
193	x-cs-access-proxy	additional.fields
194	x-c-local-timestamp	additional.fields
195	x-r-cert-start	network.tls.server.certificate.not_before
196	x-r-cert-end	network.tls.server.certificate.not_after
197	x-tenant-id	additional.fields

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten