Raccogliere i log del proxy web Netskope

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log del proxy web Netskope in Google Security Operations utilizzando Google Cloud Storage V2.

Netskope fornisce un gateway web sicuro nativo per il cloud che ispeziona e controlla il traffico web in tempo reale. I log delle transazioni web (WebTx) acquisiscono record dettagliati di ogni sessione HTTP e HTTPS elaborata dal proxy Netskope, inclusi identità utente, applicazione, categoria URL, verdetti relativi a minacce e DLP e metadati di rete.

Nota: il plug-in Google Chronicle Netskope Cloud Exchange Log Shipper non supporta i log WebTx. Per importare i log WebTx in Google SecOps, devi utilizzare uno dei metodi basati sullo spazio di spazio di archiviazione sul cloud descritti in questa guida. Entrambe le opzioni forniscono i log WebTx come file .gzip compressi a un bucket spazio di archiviazione sul cloud, che Google SecOps legge tramite un feed Google Cloud Storage V2.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un progetto GCP con l'API Storage Cloud abilitata
• Autorizzazioni per creare e gestire bucket GCS
• Autorizzazioni per gestire le policy IAM nei bucket GCS
• Accesso privilegiato al tenant Netskope con le credenziali di amministratore

Opzione: streaming dei log di Netskope su Google Cloud Storage

Utilizza questa opzione se hai attivato un abbonamento a Netskope Log Streaming sul tuo tenant. Netskope Log Streaming invia i file di log WebTx direttamente al tuo bucket GCS come file .gzip compressi a un intervallo fisso di 240 secondi.

Nota: Netskope Log Streaming è un abbonamento a pagamento. Contatta il team dedicato all'account Netskope per verificare che Log Streaming sia attivato sul tuo tenant.

Crea un bucket Google Cloud Storage

1. Vai alla console Google Cloud.
2. Seleziona il tuo progetto o creane uno nuovo.
3. Nel menu di navigazione, vai a Cloud Storage > Bucket.
4. Fai clic su Crea bucket.

5. Fornisci i seguenti dettagli di configurazione:

   Impostazione	Valore
   Assegna un nome al bucket	Inserisci un nome univoco globale (ad esempio netskope-webtx-logs).
   Tipo di località	Scegli in base alle tue esigenze (regione singola, a due regioni, multiregionale)
   Località	Seleziona la località più vicina alla tua organizzazione (ad esempio, us-central1).
   Classe di archiviazione	Standard (consigliato per i log a cui si accede di frequente)
   Controllo dell'accesso	Uniforme (consigliato)
   Strumenti di protezione	(Facoltativo) Attiva il controllo delle versioni degli oggetti o la policy di conservazione

6. Fai clic su Crea.

Crea un account di servizio Google Cloud

Lo streaming dei log di Netskope richiede un account di servizio GCP con autorizzazioni di scrittura per il tuo bucket GCS. La chiave privata di questo account di servizio viene utilizzata da Netskope per l'autenticazione durante il push dei file di log.

1. Nella console Google Cloud, vai a IAM e amministrazione > Service account.
2. Fai clic su Crea account di servizio.
3. Fornisci i seguenti dettagli di configurazione:
   • Nome del service account: inserisci netskope-log-streaming
   • Descrizione service account: inserisci Service account for Netskope Log Streaming to push WebTx logs to GCS
4. Fai clic su Crea e continua.
5. Nella sezione Concedi a questo account di servizio l'accesso al progetto:
   1. Fai clic su Seleziona un ruolo.
   2. Cerca e seleziona Creatore oggetti Storage.
6. Fai clic su Continua.
7. Fai clic su Fine.

Genera chiave JSON

1. In IAM e amministrazione > Service account, fai clic sull'account di servizio netskope-log-streaming.
2. Seleziona la scheda Chiavi.
3. Fai clic su Aggiungi chiave > Crea nuova chiave.
4. Seleziona JSON come tipo di chiave.
5. Fai clic su Crea.
6. Un file della chiave JSON viene scaricato automaticamente. Salva questo file in modo sicuro.
7. Apri il file JSON della chiave in un editor di testo e individua il campo private_key. Ti servirà nella sezione successiva.

Nota: il file della chiave JSON può essere scaricato una sola volta. Se perdi questo file, devi creare una nuova chiave.

Concedi autorizzazioni di scrittura sul bucket GCS

1. Vai a Cloud Storage > Bucket.
2. Fai clic sul nome del bucket (ad esempio netskope-webtx-logs).
3. Vai alla scheda Autorizzazioni.
4. Fai clic su Concedi l'accesso.
5. Fornisci i seguenti dettagli di configurazione:
   • Aggiungi entità: inserisci l'email del account di servizio (ad esempio, netskope-log-streaming@YOUR_PROJECT_ID.iam.gserviceaccount.com).
   • Assegna i ruoli: seleziona Storage Object Creator.
6. Fai clic su Salva.

Crea flusso di log

1. Accedi al tenant Netskope con le credenziali di amministratore.
2. Vai a Impostazioni > Strumenti > Streaming log.
3. Fai clic su Crea stream.
4. Nel campo Nome, inserisci un nome leggibile per lo stream (ad esempio, Chronicle WebTx GCS).
5. Seleziona GCP Cloud Storage come tipo di destinazione.

6. Fornisci i seguenti dettagli di configurazione:

   • Bucket: inserisci il nome del bucket GCS (ad esempio netskope-webtx-logs).

     Nota :segui le convenzioni di denominazione dei bucket per Google Cloud Storage.

   • (Facoltativo) Percorso: inserisci un percorso della cartella all'interno del bucket in cui verranno archiviati i log (ad esempio netskope/webtx/{%Y}).

     Nota :in Google Cloud Storage, i percorsi funzionano come nomi di oggetti. Quando inserisci un percorso come netskope/webtx/{%Y}, Google Cloud Storage non crea cartelle separate nel bucket. Gli oggetti vengono invece archiviati in un bucket e denominati con il percorso come prefisso (ad esempio, netskope/webtx/2026/filename). Per informazioni dettagliate, consulta le linee guida per la denominazione degli oggetti.

   • Chiave privata: inserisci il valore private_key dal file di chiave JSON generato nella sezione precedente. Inserisci la chiave in formato PEM con i simboli di interruzione di riga (\n):

     -----BEGIN PRIVATE KEY-----\nprivate_key_content\n-----END PRIVATE KEY-----\n
     

     Nota :copia l'intero valore private_key dal file di chiavi JSON, inclusi i caratteri \n.

7. Rivedi le Opzioni di pubblicazione: la frequenza di push è di 240 secondi.

8. Fai clic su Salva (o Crea) per attivare lo stream.

   Nota: l'attivazione dello stream può richiedere fino a 60 minuti dalla creazione. Dopo l'attivazione, Netskope invia i file di log WebTx come file .gzip compressi al tuo bucket GCS ogni 240 secondi. Questi file contengono i dati originali delle transazioni web senza modifiche.

Configura un feed in Google SecOps per importare i log WebTx di Netskope da GCS

Recuperare il account di servizio Google SecOps

Google SecOps utilizza un account di servizio univoco per leggere i dati dal tuo bucket GCS. Devi concedere a questo account di servizio l'accesso al tuo bucket.

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Fai clic su Configura un singolo feed.
4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Netskope WebTx Logs).
5. Seleziona Google Cloud Storage V2 come Tipo di origine.
6. Seleziona Proxy web Netskope come Tipo di log.

7. Fai clic su Ottieni service account. Verrà visualizzata un'email del account di servizio univoca, ad esempio:

   [e-mail]
   

8. Copia questo indirizzo email per utilizzarlo nel passaggio successivo.

   Nota: ogni istanza di Google SecOps ha un account di servizio univoco. Non utilizzare service account di altre documentazioni o esempi.

9. Fai clic su Avanti.

10. Specifica i valori per i seguenti parametri di input:

    • URL del bucket di archiviazione: inserisci l'URI del bucket GCS con il percorso del prefisso:

      gs://netskope-webtx-logs/netskope/webtx/
      

      • Sostituisci:
        • netskope-webtx-logs: il nome del bucket GCS.
        • netskope/webtx/: il prefisso del percorso configurato in Netskope Log Streaming (lascia vuoto per la radice).
    Nota: includi sempre la barra finale (/) alla fine dell'URI.

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo i trasferimenti (opzione consigliata per i test).
      • Elimina i file trasferiti: elimina i file dopo il trasferimento riuscito.

      • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.

        Nota :se selezioni un'opzione di eliminazione, il account di servizio Google SecOps deve disporre del ruolo Amministratore oggetti Storage anziché di Visualizzatore oggetti Storage. Aggiorna le autorizzazioni IAM di conseguenza.

    • Età massima file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni)

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed

11. Fai clic su Avanti.

12. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Concedi le autorizzazioni IAM al account di servizio Google SecOps

Il account di servizio Google SecOps deve avere il ruolo Visualizzatore oggetti Storage nel bucket GCS.

1. Vai a Cloud Storage > Bucket.
2. Fai clic sul nome del bucket (ad esempio netskope-webtx-logs).
3. Vai alla scheda Autorizzazioni.
4. Fai clic su Concedi l'accesso.
5. Fornisci i seguenti dettagli di configurazione:
   • Aggiungi entità: incolla l'email dell'account di servizio Google SecOps (ad esempio, [e-mail])
   • Assegna i ruoli: seleziona Visualizzatore oggetti Storage
6. Fai clic su Salva.

Nota: se prevedi di utilizzare l'opzione di eliminazione "Elimina file trasferiti" o "Elimina file trasferiti e directory vuote", assegna il ruolo Storage Object Admin anziché Storage Object Viewer.

Opzione: Cloud Exchange Log Shipper in Google Cloud Storage

Utilizza questa opzione se hai implementato la piattaforma Netskope Cloud Exchange con il modulo Log Shipper configurato. Log Shipper estrae i log WebTx dal tuo tenant Netskope e li invia come file .gzip compressi a un bucket GCS, che Google SecOps legge poi tramite un feed Google Cloud Storage V2.

Nota :il plug-in Google Chronicle per Log Shipper (v3.0.0) non supporta l'importazione di WebTx. Per i log WebTx, devi utilizzare un plug-in di destinazione di spazio di archiviazione sul cloud (Google GCS, AWS S3 o Microsoft Azure Blob Storage). Questi plug-in trasferiscono i file .gzip originali ottenuti da Netskope al fornitore di spazio di spazio di archiviazione sul cloud senza decomprimere o modificare i contenuti.

Prima di iniziare (Cloud Exchange)

Assicurati di soddisfare i seguenti prerequisiti aggiuntivi per questa opzione:

• Un tenant Netskope Cloud Exchange con il plug-in Tenant e il modulo Log Shipper già configurati.
• Il plug-in di origine Netskope CLS configurato in Log Shipper (estrae i dati dal tenant Netskope).
• Un bucket GCS creato per archiviare i log WebTx. Se non ne hai creato uno, segui i passaggi descritti in Creare un bucket Google Cloud Storage.
• Un account di servizio Google Cloud con accesso in scrittura al bucket GCS. Se non ne hai creato uno, segui i passaggi descritti in Creare un service account GCP, Generare una chiave JSON e Concedere autorizzazioni di scrittura sul bucket GCS.

Configura il plug-in di destinazione GCS

1. In Cloud Exchange, vai a Impostazioni > Negozio di plug-in.
2. Cerca e seleziona la casella del plug-in Google Cloud SCC (Google GCS).
3. Fai clic su Configura nuovo plug-in (o aggiungi una nuova configurazione del plug-in).
4. Fornisci i seguenti dettagli di configurazione:
   • Configuration Name (Nome configurazione): inserisci un nome descrittivo (ad esempio, GCS WebTx Destination).
   • Mappatura: seleziona un file di mappatura. Per i log WebTx pushati come file .gzip originali, non viene applicata alcuna trasformazione di mapping.
   • Bucket: inserisci il nome del bucket GCS (ad esempio netskope-webtx-logs).
   • Percorso (facoltativo): inserisci un percorso cartella (ad esempio netskope/webtx/).
   • Chiave privata: inserisci il valore private_key dal file della chiave JSON del account di servizio.
5. Fai clic su Salva.
6. La nuova configurazione del plug-in verrà visualizzata nella pagina Plug-in > Log Shipper.

(Facoltativo) Configurare una regola aziendale

Per impostazione predefinita, il filtro Tutte delle regole aziendali filtra tutti gli avvisi e gli eventi. Se vuoi filtrare i log WebTx in modo specifico, crea una nuova regola aziendale:

1. In Log Shipper, vai a Regole aziendali.
2. Fai clic su Crea nuova regola.
3. Inserisci un Nome regola (ad esempio, WebTx Only).
4. Configura i filtri che preferisci in modo da includere solo i dati WebTx.
5. Fai clic su Salva.

Configura la distribuzione dei log

1. In Log Shipper, vai a Log Delivery.
2. Fai clic su Aggiungi configurazione di pubblicazione dei log.
3. Fornisci i seguenti dettagli di configurazione:
   • Configurazione origine: seleziona il plug-in di origine Netskope CLS (ad esempio WebTxCLS o Netskope CLS).
   • Configurazione destinazione: seleziona il plug-in di destinazione GCS che hai configurato (ad esempio, GCS WebTx Destination).
   • Regola aziendale: seleziona una regola aziendale (ad esempio, All o WebTx Only).

4. Fai clic su Salva.

   Nota: non appena viene salvata la distribuzione dei log, Cloud Exchange esegue un pull storico per eventi (periodo predefinito: 1 ora) e avvisi (periodo predefinito: 7 giorni).

5. Per ottenere altri dati storici, fai clic sull'icona Recupera dati storici dalle azioni Recapito log.

6. Seleziona un intervallo di date Storico da e A e fai clic su Estrai.

Configura un feed in Google SecOps per importare i log WebTx di Netskope da GCS

Segui gli stessi passaggi dell'opzione di streaming dei log di Netskope per creare un feed Google SecOps e concedere le autorizzazioni IAM:

1. Recupera il service account Google SecOps: crea un feed con Google Cloud Storage V2 come tipo di origine e proxy web Netskope come tipo di log.
2. Concedi autorizzazioni IAM al service account Google SecOps: concedi il ruolo Storage Object Viewer (o Storage Object Admin se utilizzi un'opzione di eliminazione) sul bucket GCS al account di servizio Google SecOps.

Verifica della pubblicazione dei log

Per verificare che i log WebTx vengano inviati al bucket GCS:

1. In Cloud Exchange, vai a Log Shipper > Log Delivery.
2. Controlla le colonne Log totali/WebTx inviati al destinatario esterno e WebTx totali inviati al bucket di archiviazione per verificare che i dati vengano inviati alla destinazione.
3. Nel bucket GCS, verifica che i file .gzip vengano scritti da Log Shipper.

Configurare le impostazioni globali di Log Shipper (facoltativo)

Solo gli amministratori possono modificare le impostazioni globali di Log Shipper. Vai a Impostazioni > Log Shipper. Sono presenti due schede: Generale e Mapping.

Nella scheda Generale, puoi configurare la strategia di ripetizione per la distribuzione dei log:

• Predefinito (3 tentativi): in caso di mancata consegna dei log, Log Shipper avvierà 3 tentativi di push dei log alla destinazione. Se tutti e tre i tentativi di ripetizione non vanno a buon fine, il batch di log corrispondente viene eliminato.

• Riprova fino alla consegna riuscita: tentativi illimitati fino alla consegna riuscita dei log.

  Nota: l'opzione "Riprova fino alla consegna riuscita" potrebbe influire sulle prestazioni complessive di Cloud Exchange, inclusi altri moduli di Cloud Exchange.

Puoi anche attivare la codifica UTF-8 per avvisi, eventi e WebTx per garantire una gestione ottimale dei dati codificati in UTF-8. Per impostazione predefinita, questa funzionalità è disattivata.

Tabella di mappatura UDM

Eventi di transazione

Numero colonna	Campo log	Mappatura UDM
1	bytes	additional.fields
2	c-ip	principal.ip principal.asset.ip
3	cs-bytes	network.sent_bytes
4	cs-content-type	additional.fields
5	cs-dns	target.hostname target.asset.hostname
6	cs-host	target.hostname target.asset.hostname (se cs-dns è vuoto)
7	cs-method	network.http.method
8	cs-referer	network.http.referral_url
9	cs-uri	additional.fields
10	cs-uri-port	additional.fields target.port (se x-cs-dst-port è vuoto)
11	cs-uri-query	additional.fields
12	cs-uri-scheme	network.application_protocol
13	cs-user-agent	network.http.user_agent
14	cs-username	principal.user.email_addresses (quando è un indirizzo email valido) principal.user.userid (quando non è un indirizzo email valido)
15	date	metadata.event_timestamp
16	rs-status	additional.fields
17	s-ip	target.ip target.asset.ip
18	sc-bytes	network.received_bytes
19	sc-content-type	additional.fields
20	sc-status	network.http.response_code
21	time	metadata.event_timestamp
22	time-taken	network.session_duration
23	x-c-browser	principal.browser.browser_type
24	x-c-browser-version	principal.browser.browser_version
25	x-c-country	principal.location.country_or_region
26	x-c-device	additional.fields
27	x-c-latitude	principal.location.region_coordinates.latitude
28	x-c-local-time	security_result.detection_fields
29	x-c-location	principal.location.city
30	x-c-longitude	principal.location.region_coordinates.longitude
31	x-c-os	principal.platform
32	x-c-region	principal.location.state
33	x-c-zipcode	additional.fields
34	x-category	additional.fields
35	x-category-id	additional.fields
36	x-client-ssl-err	additional.fields
37	x-cs-access-method	additional.fields
38	x-cs-app	principal.application
39	x-cs-app-activity	additional.fields
40	x-cs-app-category	additional.fields
41	x-cs-app-cci	additional.fields
42	x-cs-app-ccl	additional.fields
43	x-cs-app-from-user	principal.user.email_address (quando è un indirizzo email valido) principal.user.userid (quando non è un indirizzo email valido)
44	x-cs-app-instance-id	principal.resource.product_object_id
45	x-cs-app-instance-name	principal.resource.name
46	x-cs-app-instance-tag	additional.fields
47	x-cs-app-object-id	additional.fields
48	x-cs-app-object-name	additional.fields
49	x-cs-app-object-type	additional.fields
50	x-cs-app-suite	additional.fields
51	x-cs-app-tags	additional.fields
52	x-cs-app-to-user	additional.fields
53	x-cs-connect-host	additional.fields
54	x-cs-connect-port	additional.fields
55	x-cs-connect-user-agent	network.http.user_agent network.http.parsed_user_agent
56	x-cs-domain-fronted-sni	additional.fields
57	x-cs-dst-ip	target.ip
58	x-cs-dst-port	target.port
59	x-cs-http-version	network.application_protocol_version
60	x-cs-ip-connect-xff	principal.ip principal.asset.ip
61	x-cs-ip-xff	principal.ip principal.asset.ip
62	x-cs-page-id	additional.fields
63	x-cs-session-id	network.session_id
64	x-cs-site	additional.fields
65	x-cs-sni	network.tls.client.server_name
66	x-cs-src-ip	principal.ip principal.asset.ip
67	x-cs-src-ip-egress	principal.ip principal.asset.ip
68	x-cs-src-port	principal.port
69	x-cs-ssl-cipher	network.tls.cipher
70	x-cs-ssl-engine-action	additional.fields
71	x-cs-ssl-engine-action-reason	additional.fields
72	x-cs-ssl-fronting-error	security_result.detection_fields
73	x-cs-ssl-handshake-error	security_result.detection_fields
74	x-cs-ssl-ja3	network.tls.client.ja3
75	x-cs-ssl-version	network.tls.version
76	x-cs-timestamp	metadata.event_timestamp
77	x-cs-traffic-type	additional.fields
78	x-cs-tunnel-id	additional.fields
79	x-cs-uri-path	additional.fields
80	x-cs-url	target.url
81	x-cs-userip	principal.ip principal.asset.ip
82	x-error	additional.fields
83	x-other-category	security_result.category_details
84	x-other-category-id	security_result.detection_fields
85	x-policy-action	security_result.action security_result.action_details
86	x-policy-dst-host	security_result.detection_fields
87	x-policy-dst-host-source	security_result.detection_fields
88	x-policy-dst-ip	security_result.detection_fields
89	x-policy-justification-reason	additional.fields
90	x-policy-justification-type	additional.fields
91	x-policy-name	security_result.rule_name
92	x-policy-src-ip	security_result.detection_fields
93	x-r-cert-enddate	network.tls.server.certificate.not_after
94	x-r-cert-expired	additional.fields
95	x-r-cert-incomplete-chain	additional.fields
96	x-r-cert-issuer-cn	network.tls.server.certificate.issuer
97	x-r-cert-mismatch	additional.fields
98	x-r-cert-revocation-check	additional.fields
99	x-r-cert-revoked	additional.fields
100	x-r-cert-self-signed	additional.fields
101	x-r-cert-startdate	network.tls.server.certificate.not_before
102	x-r-cert-subject-cn	network.tls.server.certificate.subject
103	x-r-cert-untrusted-root	additional.fields
104	x-r-cert-valid	additional.fields
105	x-request-id	additional.fields
106	x-rs-file-category	additional.fields
107	x-rs-file-language	additional.fields
108	x-rs-file-md5	principal.file.md5
109	x-rs-file-sha256	principal.file.sha256
110	x-rs-file-size	principal.file.size
111	x-rs-file-type	additional.fields
112	x-s-country	target.location.country_or_region
113	x-s-custom-signing-ca-error	security_result.detection_fields
114	x-s-dp-name	additional.fields
115	x-s-latitude	target.location.region_coordinates.latitude
116	x-s-location	target.location.city
117	x-s-longitude	target.location.region_coordinates.longitude
118	x-s-region	target.location.state
119	x-s-zipcode	additional.fields
120	x-sc-notification-name	additional.fields
121	x-server-ssl-err	additional.fields
122	x-sr-dst-ip	security_result.detection_fields
123	x-sr-dst-port	security_result.detection_fields
124	x-sr-headers-name	additional.fields
125	x-sr-headers-value	additional.fields
126	x-sr-src-ip	intermediary.ip
127	x-sr-src-port	intermediary.port
128	x-sr-ssl-cipher	security_result.detection_fields
129	x-sr-ssl-client-certificate-error	security_result.detection_fields
130	x-sr-ssl-engine-action	security_result.detection_fields
131	x-sr-ssl-engine-action-reason	security_result.detection_fields
132	x-sr-ssl-handshake-error	security_result.detection_fields
133	x-sr-ssl-ja3s	network.tls.server.ja3s
134	x-sr-ssl-malformed-ssl	security_result.detection_fields
135	x-sr-ssl-version	security_result.detection_fields
136	x-ssl-bypass	security_result.detection_fields
137	x-ssl-bypass-reason	security_result.summary
138	x-ssl-policy-action	security_result.detection_fields
139	x-ssl-policy-categories	security_result.category_details
140	x-ssl-policy-dst-host	security_result.detection_fields
141	x-ssl-policy-dst-host-source	security_result.detection_fields
142	x-ssl-policy-dst-ip	security_result.detection_fields
143	x-ssl-policy-name	security_result.detection_fields
144	x-ssl-policy-src-ip	security_result.detection_fields
145	x-transaction-id	additional.fields
146	x-type	metadata.product_event_type
x_rs_file_size	event.idm.read_only_udm.principal.process.file.size	Mappato dal log delle modifiche
x_rs_file_type	event.idm.read_only_udm.principal.process.file.mime_type	Mappato dal log delle modifiche
x_r_cert_start	event.idm.read_only_udm.network.tls.server.certificate.not_before	Mappato dal log delle modifiche
x_r_cert_end	event.idm.read_only_udm.network.tls.server.certificate.not_after	Mappato dal log delle modifiche
x_tenant_id	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_r_country	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_r_latitude	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_r_longitude	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_r_location	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_r_region	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_r_zipcode	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_c_authz_source	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_cs_app_instance_tags	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_cs_ssl_malformed_ssl	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_cs_access_proxy	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
x_c_local_timestamp	event.idm.read_only_udm.additional	Mappato dal log delle modifiche
s_ip	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
file_md5	event.idm.read_only_udm.principal.file.md5	Mappato dal log delle modifiche
device_sn	event.idm.read_only_udm.principal.resource.product_object_id	Mappato dal log delle modifiche
act_user	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
from_user	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
userkey	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
act_user	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
cs_app	event.idm.read_only_udm.principal.application	Mappato dal log delle modifiche
bcc	event.idm.read_only_udm.network.email.bcc	Mappato dal log delle modifiche
cc	event.idm.read_only_udm.network.email.cc	Mappato dal log delle modifiche
source_ip	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
hostname	event.idm.read_only_udm.principal.hostname	Mappato dal log delle modifiche
pid	event.idm.read_only_udm.principal.process.pid	Mappato dal log delle modifiche
process_path	event.idm.read_only_udm.principal.process.file.full_path	Mappato dal log delle modifiche
process_name	event.idm.read_only_udm.principal.process.file.names	Mappato dal log delle modifiche
file_path	event.idm.read_only_udm.principal.file.full_path	Mappato dal log delle modifiche
src_file_type	event.idm.read_only_udm.principal.file.mime_type	Mappato dal log delle modifiche
src_sha256	event.idm.read_only_udm.principal.file.sha256	Mappato dal log delle modifiche
x_rs_file_sha256	event.idm.read_only_udm.principal.process.file.sha256	Mappato dal log delle modifiche
destination_file_name	event.idm.read_only_udm.target.file.names	Mappato dal log delle modifiche
x_cs_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
dst_location	event.idm.read_only_udm.target.location.city	Mappato dal log delle modifiche
assignee	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
connection_id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
network_session_id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
policy	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
policy_name	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
action_data	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
column2	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
access_method	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column5	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
activity	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column6	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column7	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column8	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column10	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
app-gdpr-level	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column11	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
app_session_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column12	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
appact	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column14	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
appsuite	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column15	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
audit_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column18	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
browser_session_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column24	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
cloud_provider	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column26	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
conn_duration	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column27	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
conn_endtime	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column28	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
conn_starttime	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column30	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
connection_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column32	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
destination_file_directory	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column35	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
device	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column36	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
device_classification	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column37	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dinsid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column76	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
filepath	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column82	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
instance	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column83	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
instance_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column137	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
shared_with	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column138	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
site	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column139	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
smtp_to	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column140	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
spet	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column141	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
spst	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column109	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
page	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column196	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
violation	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column197	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
account_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column198	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
account_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column199	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
acked	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column200	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column201	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert_source	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column202	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
breach_date	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column203	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
breach_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column204	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
breach_score	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column205	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
detection_engine	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column206	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dlp_fingerprint_match	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column207	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dlp_rule_score	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column208	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
email_title	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column209	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
event_uuid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column210	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
file_category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column211	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
file_cls_encrypted	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column212	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
file_exposure	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column213	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
file_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column214	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
filename	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column215	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
iaas_remediated	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column216	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
iaas_remediated_by	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column217	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
iaas_remediated_on	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column218	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
iaas_remediation_action	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column219	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
instance_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column220	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
loc	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column221	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
local_md5	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column222	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
local_sha1	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column223	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
local_sha256	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column224	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mal_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column225	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mal_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column226	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
malware_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column227	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
malware_severity	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column228	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
malware_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column229	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
message_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column230	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
modified_date	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column231	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
pop_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column232	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
redirect_url	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column233	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
region_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column234	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
region_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column235	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
resource_category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column236	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
resource_group	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column237	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
risk_level_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column238	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sa_profile_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column239	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sa_rule_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column240	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sa_rule_severity	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column241	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sender	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column242	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
severity_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column243	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
severity_level	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column244	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
shared_credential_user	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column245	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
shared_domains	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column246	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sharedType	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column247	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
smtp_status	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column248	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
subject	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column249	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
suppression_count	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column250	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tss_license	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column251	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
two_factor_auth	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column252	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
usergroup	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column253	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
watchlist_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column254	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
web_url	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column13	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
appcategory	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column31	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
custom_attr	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column86	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
location	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column90	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
md5	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column91	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mime_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column113	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
policy_action	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column57 (x-cs-dst-ip)	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
column58 (x-cs-dst-port)	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
column66 (x-cs-src-ip)	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column68 (x-cs-src-port)	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
column108 (x-rs-file-md5)	event.idm.read_only_udm.principal.file.md5	Mappato dal log delle modifiche
column6 (cs-host)	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
column11 (cs-uri-query)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column34 (x-category)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column35 (x-category-id)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column36 (x-client-ssl-err)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column37 (x-cs-access-method)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column40 (x-cs-app-category)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column46 (x-cs-app-instance-tag)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column47 (x-cs-app-object-id)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column50 (x-cs-app-suite)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column52 (x-cs-app-to-user)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column53 (x-cs-connect-host)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column54 (x-cs-connect-port)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column56 (x-cs-domain-fronted-sni)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column71 (x-cs-ssl-engine-action-reason)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column78 (x-cs-tunnel-id)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column79 (x-cs-uri-path)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column89 (x-policy-justification-reason)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column90 (x-policy-justification-type)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column107 (x-rs-file-language)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column119 (x-s-zipcode)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column120 (x-sc-notification-name)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column121 (x-server-ssl-err)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column124 (x-sr-headers-name)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column125 (x-sr-headers-value)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column14 (cs-username)	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
column23 (x-c-browser)	event.idm.read_only_udm.principal.browser.browser_type	Mappato dal log delle modifiche
column24 (x-c-browser-version)	event.idm.read_only_udm.principal.browser.browser_version	Mappato dal log delle modifiche
column28 (x-c-local-time)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column84 (x-other-category-id)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column88 (x-policy-dst-ip)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column92 (x-policy-src-ip)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column123 (x-sr-dst-port)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column144 (x-ssl-policy-src-ip)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column31 (x-c-os)	event.idm.read_only_udm.principal.platform	Mappato dal log delle modifiche
column38 (x-cs-app)	event.idm.read_only_udm.principal.application	Mappato dal log delle modifiche
column43 (x-cs-app-from-user)	event.idm.read_only_udm.principal.user.email_address	Mappato dal log delle modifiche
column43 (x-cs-app-from-user)	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
column44 (x-cs-app-instance-id)	event.idm.read_only_udm.principal.resource.product_object_id	Mappato dal log delle modifiche
column45 (x-cs-app-instance-name)	event.idm.read_only_udm.principal.resource.name	Mappato dal log delle modifiche
column55 (x-cs-connect-user-agent)	event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent	Mappato dal log delle modifiche
column60 (x-cs-ip-connect-xff)	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column61 (x-cs-ip-xff)	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column81 (x-cs-userip)	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column63 (x-cs-session-id)	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
column69 (x-cs-ssl-cipher)	event.idm.read_only_udm.network.tls.cipher	Mappato dal log delle modifiche
column75 (x-cs-ssl-version)	event.idm.read_only_udm.network.tls.version	Mappato dal log delle modifiche
column109 (x-rs-file-sha256)	event.idm.read_only_udm.principal.file.sha256	Mappato dal log delle modifiche
column126 (x-sr-src-ip)	event.idm.read_only_udm.intermediary.ip	Mappato dal log delle modifiche
column127 (x-sr-src-port)	event.idm.read_only_udm.intermediary.port	Mappato dal log delle modifiche
column70 (x-cs-ssl-engine-action)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column19 (sc-content-type)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column26 (x-c-device)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column39 (x-cs-app-activity)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column41 (x-cs-app-cci)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column42 (x-cs-app-ccl)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column51 (x-cs-app-tags)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column64 (x-cs-site)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column48 (x-cs-app-object-name)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column49 (x-cs-app-object-type)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column106 (x-rs-file-category)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column111 (x-rs-file-type)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column9 (cs-uri)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column4 (cs-content-type)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column108 (x-rs-file-md5)	event.idm.read_only_udm.principal.process.file.md5	Mappato dal log delle modifiche
column110 (x-rs-file-size)	event.idm.read_only_udm.principal.file.size	Mappato dal log delle modifiche
column85 (x-policy-action)	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
column20 (http_response_code)	event.idm.read_only_udm.network.http.response_code	Mappato dal log delle modifiche
column1 (bytes)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column3 (cs-bytes)	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
column18 (sc-bytes)	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
column22 (time-taken)	event.idm.read_only_udm.network.session_duration	Mappato dal log delle modifiche
column27 (x-c-latitude)	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Mappato dal log delle modifiche
column30 (x-c-longitude)	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Mappato dal log delle modifiche
column32 (x-c-region)	event.idm.read_only_udm.principal.location.state	Mappato dal log delle modifiche
column57 (x-cs-dst-ip)	event.idm.read_only_udm.intermediary.ip e event.idm.read_only_udm.intermediary.asset.ip	Mappato dal log delle modifiche
column74 (x-cs-ssl-ja3)	event.idm.read_only_udm.network.tls.client.ja3	Mappato dal log delle modifiche
column115 (x-s-latitude)	event.idm.read_only_udm.target.location.region_coordinates.latitude	Mappato dal log delle modifiche
column117 (x-s-longitude)	event.idm.read_only_udm.target.location.region_coordinates.longitude	Mappato dal log delle modifiche
column118 (x-s-region)	event.idm.read_only_udm.target.location.state	Mappato dal log delle modifiche
column7 (method)	event.idm.read_only_udm.network.http.method	Mappato dal log delle modifiche
column12 (app_protocol)	event.idm.read_only_udm.network.application_protocol	Mappato dal log delle modifiche
column13 (network_http_user_agent)	event.idm.read_only_udm.network.http.user_agent	Mappato dal log delle modifiche
column17 (server_ip)	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
column58 (intermediary_port)	event.idm.read_only_udm.intermediary.port	Mappato dal log delle modifiche
column65 (x-cs-sni)	event.idm.read_only_udm.network.tls.client.server_name	Mappato dal log delle modifiche
column70 (engine_action)	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
column70 (engine_action)	event.idm.read_only_udm.security_result.action	Mappato dal log delle modifiche
column76 (generated_timestamp)	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
column80 (x-cs-url)	event.idm.read_only_udm.target.url	Mappato dal log delle modifiche
column83 (other_categories)	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
column139 (x-ssl-policy-categories)	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
column85 (x-policy-action)	event.idm.read_only_udm.security_result.action	Mappato dal log delle modifiche
column91 (x-policy-name)	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
column96 (x-r-cert-issuer-cn)	event.idm.read_only_udm.network.tls.server.certificate.issuer	Mappato dal log delle modifiche
column102 (x-r-cert-subject-cn)	event.idm.read_only_udm.network.tls.server.certificate.subject	Mappato dal log delle modifiche
column112 (x-s-country)	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
column133 (x-sr-ssl-ja3s)	event.idm.read_only_udm.network.tls.server.ja3s	Mappato dal log delle modifiche
column136 (x-ssl-bypass)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column143 (x-ssl-policy-name)	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
column137 (x-ssl-bypass-reason)	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
column146 (x-type)	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
column62 (x-cs-page-id)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column63 (x-cs-session-id)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column66 (x-cs-src-ip)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column72 (x-cs-ssl-fronting-error)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column73 (x-cs-ssl-handshake-error)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column77 (x-cs-traffic-type)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column82 (x-error)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column86 (x-policy-dst-host)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column87 (x-policy-dst-host-source)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column94 (x-r-cert-expired)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column95 (x-r-cert-incomplete-chain)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column97 (x-r-cert-mismatch)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column98 (x-r-cert-revocation-check)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column99 (x-r-cert-revoked)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column100 (x-r-cert-self-signed)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column103 (x-r-cert-untrusted-root)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column104 (x-r-cert-valid)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column105 (x-request-id)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column113 (x-s-custom-signing-ca-error)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column114 (x-s-dp-name)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column122 (x-sr-dst-ip)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column128 (x-sr-ssl-cipher)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column129 (x-sr-ssl-client-certificate-error)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column130 (x-sr-ssl-engine-action)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column131 (x-sr-ssl-engine-action-reason)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column132 (x-sr-ssl-handshake-error)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column134 (x-sr-ssl-malformed-ssl)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column135 (x-sr-ssl-version)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column138 (x-ssl-policy-action)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column140 (x-ssl-policy-dst-host)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column141 (x-ssl-policy-dst-host-source)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column142 (x-ssl-policy-dst-ip)	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
column8 (cs-referer)	event.idm.read_only_udm.network.http.referral_url	Mappato dal log delle modifiche
column16 (http_response_code)	event.idm.read_only_udm.network.http.response_code	Mappato dal log delle modifiche
column101 (x-r-cert-startdate)	event.idm.read_only_udm.network.tls.server.certificate.not_before	Mappato dal log delle modifiche
column93 (x-r-cert-enddate)	event.idm.read_only_udm.network.tls.server.certificate.not_after	Mappato dal log delle modifiche
column2	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
cs_dns	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
cs_host	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
cs_method	event.idm.read_only_udm.network.http.method	Mappato dal log delle modifiche
cs_referer	event.idm.read_only_udm.network.http.referral_url	Mappato dal log delle modifiche
cs_uri_scheme	event.idm.read_only_udm.network.application_protocol	Mappato dal log delle modifiche
cs-username	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
sc-status	event.idm.read_only_udm.network.http.response_code	Mappato dal log delle modifiche
rs-status	event.idm.read_only_udm.network.http.response_code	Mappato dal log delle modifiche
s-ip	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
sc-bytes	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
x-c-country	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
x-c-location	event.idm.read_only_udm.principal.location.name	Mappato dal log delle modifiche
x-c-region	event.idm.read_only_udm.principal.location.state	Mappato dal log delle modifiche
column49	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
x_cs_dst_port	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
x-cs-session-id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
column56	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
column57	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
x-cs-src-port	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
x-cs-ssl-ja3	event.idm.read_only_udm.network.tls.client.ja3	Mappato dal log delle modifiche
x-cs-ssl-version	event.idm.read_only_udm.network.tls.version	Mappato dal log delle modifiche
column71	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
x-policy-action	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
x-policy-name	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
x-ssl-policy-name	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
x-r-cert-subject-cn	event.idm.read_only_udm.network.tls.server.certificate.subject	Mappato dal log delle modifiche
x-rs-file-sha256	event.idm.read_only_udm.principal.process.file.sha256	Mappato dal log delle modifiche
x-rs-file-size	event.idm.read_only_udm.principal.file.size	Mappato dal log delle modifiche
x-s-country	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
x-s-location	event.idm.read_only_udm.target.location.name	Mappato dal log delle modifiche
x-sr-ssl-ja3s	event.idm.read_only_udm.network.tls.server.ja3s	Mappato dal log delle modifiche
x_cs_connect_host	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_connect_port	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_connect_user_agent	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_ip_xff	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-policy-justification-type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-sr-src-port	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
cs-uri-port	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
cs_uri	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
cs_uri_query	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
time_taken	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-access-method	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-app	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-app-activity	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-app-category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-app-cci	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-app-ccl	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-page-id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-site	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-traffic-type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-uri-path	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-error	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-request-id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-s-dp-name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-sc-notification-name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-transaction-id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x-cs-http-version	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-cs-ssl-engine-action	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-cs-ssl-engine-action-reason	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-cs-ssl-fronting-error	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-cs-ssl-handshake-error	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-cs-userip	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-policy-dst-host	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-policy-dst-host-source	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-policy-dst-ip	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-policy-src-ip	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-sr-ssl-engine-action	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-sr-ssl-engine-action-reason	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-ssl-policy-action	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-ssl-policy-dst-host	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-ssl-policy-dst-host-source	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-ssl-policy-dst-ip	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-ssl-policy-src-ip	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x-ssl-bypass-reason	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
SSL BYPASS REASON	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
x_policy_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
bytes	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_s_dp_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
rs_status	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
postal_code	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
internal_category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
accessMethod	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
postal_code_num	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
log_id	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
http_version	event.idm.read_only_udm.network.application_protocol_version	Mappato dal log delle modifiche
method	event.idm.read_only_udm.network.http.method	Mappato dal log delle modifiche
int2	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
server_bytes	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
bytes_received	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
sent_bytes	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
int3	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
cs-bytes	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
client_bytes	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
int1	event.idm.read_only_udm.network.session_duration.seconds	Mappato dal log delle modifiche
prin_ip	event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
prin_ip	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
city	event.idm.read_only_udm.principal.location.city	Mappato dal log delle modifiche
location	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
src_latitude	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Mappato dal log delle modifiche
src_longitude	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Mappato dal log delle modifiche
latitude_region	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Mappato dal log delle modifiche
longitude_region	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Mappato dal log delle modifiche
p_application	event.idm.read_only_udm.principal.application	Mappato dal log delle modifiche
state	event.idm.read_only_udm.principal.location.state	Mappato dal log delle modifiche
state_location	event.idm.read_only_udm.target.location.state	Mappato dal log delle modifiche
t_ip	event.idm.read_only_udm.principal.nat_ip	Mappato dal log delle modifiche
p_port	event.idm.read_only_udm.principal.nat_port	Mappato dal log delle modifiche
prin_port	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
target_host	event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
target_ip	event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
tar_ip	event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
target_ip	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
tar_ip	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
target_host	event.idm.read_only_udm.target.hostname	Mappato dal log delle modifiche
location_name	event.idm.read_only_udm.target.location.city	Mappato dal log delle modifiche
dst_latitude	event.idm.read_only_udm.target.location.region_coordinates.latitude	Mappato dal log delle modifiche
dst_longitude	event.idm.read_only_udm.target.location.region_coordinates.longitude	Mappato dal log delle modifiche
latitude	event.idm.read_only_udm.target.location.region_latitude	Mappato dal log delle modifiche
longitude	event.idm.read_only_udm.target.location.region_longitude	Mappato dal log delle modifiche
name	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
summary_res	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
target_port	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
dstport	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
_id	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
product_id	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
url	event.idm.read_only_udm.target.url	Mappato dal log delle modifiche
referer	event.idm.read_only_udm.network.http.referral_url	Mappato dal log delle modifiche
organization_unit	event.idm.read_only_udm.principal.administrative_domain	Mappato dal log delle modifiche
user_id	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
cs_username	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
useragent	event.idm.read_only_udm.network.http.user_agent	Mappato dal log delle modifiche
cs_user_agent	event.idm.read_only_udm.network.http.user_agent	Mappato dal log delle modifiche
useragent	event.idm.read_only_udm.network.http.parsed_user_agent	Mappato dal log delle modifiche
cs_user_agent	event.idm.read_only_udm.network.http.parsed_user_agent	Mappato dal log delle modifiche
session_duration	event.idm.read_only_udm.network.session_duration.seconds	Mappato dal log delle modifiche
os_version	event.idm.read_only_udm.principal.platform_version	Mappato dal log delle modifiche
os	event.idm.read_only_udm.principal.platform	Mappato dal log delle modifiche
x_c_os	event.idm.read_only_udm.principal.platform	Mappato dal log delle modifiche
ur_normalized	event.idm.read_only_udm.target.user.email_addresses	Mappato dal log delle modifiche
browser_session_id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
x_cs_session_id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
malware_id	event.idm.read_only_udm..threat_id	Mappato dal log delle modifiche
src_location	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
src_zipcode	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
src_geoip_src	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
ip_protocol	event.idm.read_only_udm.network.ip_protocol	Mappato dal log delle modifiche
file_size	event.idm.read_only_udm.principal.file.size	Mappato dal log delle modifiche
x_rs_file_size	event.idm.read_only_udm.principal.file.size	Mappato dal log delle modifiche
file_type	event.idm.read_only_udm.target.file.mime_type	Mappato dal log delle modifiche
srcip	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
s_ip	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
c_ip	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
x_cs_src_ip	event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
srcip	event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
s_ip	event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
c_ip	event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
x_cs_src_ip	event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
srcport	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
x_cs_src_port	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
file_md5	event.idm.read_only_udm.principal.process.file.md5	Mappato dal log delle modifiche
x_rs_file_md5	event.idm.read_only_udm.principal.process.file.md5	Mappato dal log delle modifiche
computer_name	event.idm.read_only_udm.principal.hostname	Mappato dal log delle modifiche
computer_name	event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
cs_dns	event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
cs_host	event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
device	event.idm.read_only_udm.principal.resource.type	Mappato dal log delle modifiche
device	event.idm.read_only_udm.principal.resource.resource_subtype	Mappato dal log delle modifiche
device_sn	event.idm.read_only_udm.principal.resource.id	Mappato dal log delle modifiche
src_region	event.idm.read_only_udm.principal.location.name	Mappato dal log delle modifiche
x_c_location	event.idm.read_only_udm.principal.location.name	Mappato dal log delle modifiche
src_country	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
x_c_country	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
x_c_latitude	event.idm.read_only_udm.principal.location.region_coordinates.latitude	Mappato dal log delle modifiche
x_c_longitude	event.idm.read_only_udm.principal.location.region_coordinates.longitude	Mappato dal log delle modifiche
x_s_latitude	event.idm.read_only_udm.target.location.region_coordinates.latitude	Mappato dal log delle modifiche
x_s_longitude	event.idm.read_only_udm.target.location.region_coordinates.longitude	Mappato dal log delle modifiche
destination_file_path	event.idm.read_only_udm.target.file.full_path	Mappato dal log delle modifiche
dlp_file	event.idm.read_only_udm.target.file.full_path	Mappato dal log delle modifiche
sha256	event.idm.read_only_udm.target.file.sha256	Mappato dal log delle modifiche
md5	event.idm.read_only_udm.target.file.md5	Mappato dal log delle modifiche
dst_country	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
x_s_country	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
x_s_region	event.idm.read_only_udm.target.location.state	Mappato dal log delle modifiche
dst_region	event.idm.read_only_udm.target.location.name	Mappato dal log delle modifiche
x_s_location	event.idm.read_only_udm.target.location.name	Mappato dal log delle modifiche
dst_zipcode	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
dsthost	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
dstip	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
x_cs_dst_ip	event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
dsthost	event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
dstip	event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
x_cs_dst_ip	event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
cci	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
alert_type	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_other_category_id	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_userip	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_ssl_bypass	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_ssl_fronting_error	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_ssl_handshake_error	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_handshake_error	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_client_certificate_error	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_malformed_ssl	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_s_custom_signing_ca_error	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_ssl_engine_action	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_ssl_engine_action_reason	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_engine_action	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_engine_action_reason	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_ssl_policy_src_ip	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_ssl_policy_dst_ip	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_ssl_policy_dst_host	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_ssl_policy_dst_host_source	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_ssl_policy_action	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_version	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_ssl_cipher	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_src_ip_egress	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_policy_src_ip	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_policy_dst_ip	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_policy_dst_host	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_policy_dst_host_source	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_policy_justification_type	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_policy_justification_reason	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sc_notification_name	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_cs_http_version	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_dst_ip	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
x_sr_dst_port	event.idm.read_only_udm..detection_fields	Mappato dal log delle modifiche
ccl	event.idm.read_only_udm..confidence_details	Mappato dal log delle modifiche
ccl	event.idm.read_only_udm..confidence	Mappato dal log delle modifiche
dlp_profile_name	event.idm.read_only_udm..rule_type	Mappato dal log delle modifiche
policy_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dlp_fingerprint_classification	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dlp_fingerprint_score	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dlp_unique_count	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_transaction_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_client_ssl_err	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_domain_fronted_sni	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_tunnel_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_request_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_s_zipcode	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_c_zipcode	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_c_browser	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_c_browser_version	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_c_device	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_site	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_page_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_traffic_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_category_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_valid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_expired	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_untrusted_root	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_incomplete_chain	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_self_signed	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_revoked	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_rs_file_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_rs_file_category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_rs_file_language	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_revocation_check	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_category	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_cci	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_ccl	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_tags	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_suite	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_instance_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_instance_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_instance_tag	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_activity	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_from_user	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_to_user	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_object_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_object_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_app_object_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_uri_path	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_r_cert_mismatch	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
x_cs_access_method	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
cs_uri_port	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
cs_content_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sc_content_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
app	event.idm.read_only_udm.target.application	Mappato dal log delle modifiche
access_method	event.idm.read_only_udm.extensions.auth.auth_details	Mappato dal log delle modifiche
action	event.idm.read_only_udm..action	Mappato dal log delle modifiche
x_policy_action	event.idm.read_only_udm..action	Mappato dal log delle modifiche
alert_name	event.idm.read_only_udm..rule_name	Mappato dal log delle modifiche
x_ssl_policy_name	event.idm.read_only_udm..rule_name	Mappato dal log delle modifiche
severity	event.idm.read_only_udm..severity	Mappato dal log delle modifiche
activity	event.idm.read_only_udm..description	Mappato dal log delle modifiche
appcategory	event.idm.read_only_udm..category_details	Mappato dal log delle modifiche
x_ssl_policy_categories	event.idm.read_only_udm..category_details	Mappato dal log delle modifiche
x_other_category	event.idm.read_only_udm..category_details	Mappato dal log delle modifiche
sc_bytes	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
cs_bytes	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
client_packets	event.idm.read_only_udm.network.sent_packets	Mappato dal log delle modifiche
server_packets	event.idm.read_only_udm.network.received_packets	Mappato dal log delle modifiche
appSessionId	network.session_id	Mappato dal log delle modifiche
clientBytes	network.sent_bytes	Mappato dal log delle modifiche
serverBytes	network.received_bytes	Mappato dal log delle modifiche
ccl	security_result.confidence_details	Mappato dal log delle modifiche
IncidentID", "applicationType", "browser", and "cci	security_result.detection_fields	Mappato dal log delle modifiche
x-cs-app-ccl","x-cs-app-instance-id","x-cs-app-tags" ,"x-cs-app-instance-name" ,"x-cs-app-instance-tag", "x-cs-app-to-user","x-cs-app-object-id" and "x-cs-app-from-user	additional.fields	Mappato dal log delle modifiche
dvchost	target.hostname	Mappato dal log delle modifiche
duser	target.user.email_addresses	Mappato dal log delle modifiche
requestClientApplication	network.http.parsed_user_agent	Mappato dal log delle modifiche
Domain	principal.administrative_domain	Mappato dal log delle modifiche

Eventi di avviso

Numero colonna	Campo log	Mappatura UDM
1	_id	metadata.product_log_id
2	access_method	additional.fields
3	act_user	principal.user.email_addresses userid
4	action	security_result.action action_details
5	activity	additional.fields
6	alert	additional.fields
7	alert_name	security_result.detection_fields
8	alert_type	security_result.detection_fields
9	app	principal.application
10	app-gdpr-level	additional.fields
11	app_session_id	additional.fields
12	appact	additional.fields
13	appcategory	additional.fields
14	appsuite	additional.fields
15	audit_type	additional.fields
16	bcc	network.email.bcc additional.fields
17	browser	principal.browser.browser_type
18	browser_session_id	additional.fields
19	cc	network.email.cc additional.fields
20	cci	additional.fields
21	ccl	additional.fields
22	client_bytes	network.sent_bytes
23	client_packets	network.sent_packets
24	cloud_provider	additional.fields
25	computer_name	principal.hostname
26	conn_duration	additional.fields
27	conn_endtime	additional.fields
28	conn_starttime	additional.fields
29	connection_id	network.session_id
30	connection_type	additional.fields
31	custom_attr	additional.fields
32	destination_file_directory	additional.fields
33	destination_file_name	target.file.names
34	destination_file_path	target.file.full_path
35	device	principal.platform additional.fields
36	device_classification	additional.fields
37	dinsid	additional.fields
38	dlp_file	target.file.full_path
39	dlp_fingerprint_classification	additional.fields
40	dlp_fingerprint_score	additional.fields
41	dlp_incident_id	additional.fields
42	dlp_is_unique_count	additional.fields
43	dlp_parent_id	additional.fields
44	dlp_profile	additional.fields
45	dlp_rule	additional.fields
46	dlp_rule_count	additional.fields
47	dlp_rule_severity	additional.fields
48	dlp_unique_count	additional.fields
49	dns_profile	additional.fields
50	domain	network.tls.client.server_name
51	domain_ip	principal.ip
52	driver	additional.fields
53	dst_country	target.location.country_or_region
54	dst_geoip_src	additional.fields
55	dst_latitude	target.location.region_coordinates.latitude
56	dst_location	target.location.city
57	dst_longitude	target.location.region_coordinates.longitude
58	dst_region	target.location.name
59	dst_timezone	additional.fields
60	dst_zipcode	target.resource.attribute.labels
61	dsthost	target.hostname
62	dstip	target.ip
63	dstport	target.port
64	eeml	additional.fields
65	email_from_user	additional.fields
66	email_modified	additional.fields
67	email_user	additional.fields
68	encryption_status	additional.fields
69	end_time	additional.fields
70	file_md5	principal.file.md5
71	file_owner	additional.fields
72	file_path	principal.file.full_path
73	file_pdl	additional.fields
74	file_size	principal.file.size
75	file_type	principal.file.mime_type
76	filepath	additional.fields
77	fllg	additional.fields
78	flpp	additional.fields
79	from_user	principal.user.email_addresses additional.fields
80	hostname	principal.hostname
81	incident_id	additional.fields
82	instance	additional.fields
83	instance_id	additional.fields
84	ip_protocol	network.ip_protocol
85	local_source_time	additional.fields
86	location	additional.fields
87	mal_sev	additional.fields
88	managed_app	additional.fields
89	managementID	additional.fields
90	md5	additional.fields
91	mime_type	additional.fields
92	netskope_pop	additional.fields
93	network_session_id	network.session_id
94	nsdeviceuid	principal.asset.asset_id
95	num_users	additional.fields
96	numbytes	additional.fields
97	object	additional.fields
98	object_id	additional.fields
99	object_type	additional.fields
100	org	additional.fields
101	organization_unit	principal.administrative_domain
102	os	principal.platform
103	os_details	additional.fields
104	os_family	additional.fields
105	os_user_name	additional.fields
106	os_version	principal.platform_version
107	owner	additional.fields
108	owner_pdl	additional.fields
109	page	additional.fields
110	parent_id	additional.fields
111	pid	principal.process.pid
112	policy	security_result.rule_name
113	policy_action	additional.fields
114	policy_name	security_result.rule_name
115	policy_name_enforced	additional.fields
116	process_cert_subject	additional.fields
117	process_name	principal.process.file.names
118	process_path	principal.process.file.full_path
119	publisher_cn	additional.fields
120	record_type	additional.fields
121	referer	network.http.referral_url
122	req	additional.fields
123	req_cnt	additional.fields
124	request_id	additional.fields
125	resp	additional.fields
126	resp_cnt	additional.fields
127	risk_score	additional.fields
128	sa_rule_compliance	additional.fields
129	sanctioned_instance	additional.fields
130	server_bytes	network.received_bytes
131	server_packets	network.received_packets
132	severity	security_result.severity
133	session_duration	network.session_duration
134	session_number_unique	additional.fields
135	severity	security_result.severity
136	sha256	principal.file.sha256
137	shared_with	additional.fields
138	site	additional.fields
139	smtp_to	additional.fields
140	spet	additional.fields
141	spst	additional.fields
142	src_country	principal.location.country_or_region
143	src_geoip_src	principal.resource.attribute.labels
144	src_latitude	principal.location.region_coordinates.latitude
145	src_location	principal.location.city
146	src_longitude	principal.location.region_coordinates.longitude
147	src_network	additional.fields
148	src_region	principal.location.state
149	src_timezone	additional.fields
150	src_zipcode	principal.resource.attribute.labels
151	srcip	principal.ip
152	srcport	principal.port
153	start_time	additional.fields
154	subtype	additional.fields
155	tags	additional.fields
156	telemetry_app	additional.fields
157	thr	additional.fields
158	threat_type	additional.fields
159	timestamp	additional.fields
160	to_user	additional.fields
161	total_packets	additional.fields
162	traffic_type	additional.fields
163	transaction_id	additional.fields
164	tss_mode	additional.fields
165	tunnel_id	additional.fields
166	tur	additional.fields
167	type	additional.fields
168	ur_normalized	additional.fields
169	url	target.url
170	user	additional.fields
171	user_confidence_index	additional.fields
172	user_confidence_level	additional.fields
173	user_id	additional.fields
174	useragent	network.http.user_agent network.http.parsed_user_agent
175	userip	additional.fields
176	userkey	principal.user.email_addresses
177	oauth	additional.fields
178	response_time	additional.fields
179	device_sn	principal.resource.product_object_id
180	device_type	additional.fields
181	dlp_profile_name	security_result.rule_type
182	executable_hash	additional.fields
183	executable_signed	additional.fields
184	file_origin	additional.fields
185	policy_version	additional.fields
186	port	additional.fields
187	product_id	metadata.product_log_id
188	unc_path	additional.fields
189	vendor_id	additional.fields
190	acting_user	additional.fields
191	assignee	target.user.userid
192	dlp_match_info	additional.fields
193	inline_dlp_match_info	additional.fields
194	latest_incident_id	additional.fields
195	status	additional.fields
196	violation	additional.fields
197	account_id	additional.fields
198	account_name	additional.fields
199	acked	additional.fields
200	alert_id	additional.fields
201	alert_source	additional.fields
202	breach_date	additional.fields
203	breach_id	additional.fields
204	breach_score	additional.fields
205	detection_engine	additional.fields
206	dlp_fingerprint_match	additional.fields
207	dlp_rule_score	additional.fields
208	email_title	additional.fields
209	event_uuid	additional.fields
210	file_category	additional.fields
211	file_cls_encrypted	additional.fields
212	file_exposure	additional.fields
213	file_id	additional.fields
214	filename	additional.fields
215	iaas_remediated	additional.fields
216	iaas_remediated_by	additional.fields
217	iaas_remediated_on	additional.fields
218	iaas_remediation_action	additional.fields
219	instance_name	additional.fields
220	loc	additional.fields
221	local_md5	additional.fields
222	local_sha1	additional.fields
223	local_sha256	additional.fields
224	mal_id	additional.fields
225	mal_type	additional.fields
226	malware_id	additional.fields
227	malware_severity	additional.fields
228	malware_type	additional.fields
229	message_id	additional.fields
230	modified_date	additional.fields
231	pop_id	additional.fields
232	redirect_url	additional.fields
233	region_id	additional.fields
234	region_name	additional.fields
235	resource_category	additional.fields
236	resource_group	additional.fields
237	risk_level_id	additional.fields
238	sa_profile_name	additional.fields
239	sa_rule_name	additional.fields
240	sa_rule_severity	additional.fields
241	sender	additional.fields
242	severity_id	additional.fields
243	severity_level	additional.fields
244	shared_credential_user	additional.fields
245	shared_domains	additional.fields
246	sharedType	additional.fields
247	smtp_status	additional.fields
248	subject	additional.fields
249	suppression_count	additional.fields
250	tss_license	additional.fields
251	two_factor_auth	additional.fields
252	usergroup	additional.fields
253	watchlist_name	additional.fields
254	web_url	additional.fields

Transazione web

Le colonne da 1 a 146 possono essere utilizzate anche come un altro schema.

Numero colonna	Campo log	Mappatura UDM
1	date	metadata.timestamp
2	time	metadata.timestamp
3	time-taken	additional.fields
4	cs-bytes	network.sent_bytes
5	sc-bytes	network.received_bytes
6	bytes	additional.fields
7	c-ip	principal.ip principal.asset.ip
8	s-ip	target.ip target.asset.ip
9	cs-username	principal.user.userid
10	cs-method	network.http.method
11	cs-uri-scheme	network.application_protocol
12	cs-uri-query	additional.fields
13	cs-user-agent	network.http.user_agent
14	cs-content-type	additional.fields
15	sc-status	network.http.response_code
16	sc-content-type	additional.fields
17	cs-dns	target.hostname
18	cs-host	target.hostname
19	cs-uri	additional.fields
20	cs-uri-port	additional.fields
21	cs-referer	network.http.referral_url
22	x-cs-session-id	network.session_id
23	x-cs-access-method	additional.fields
24	x-cs-app	principal.application
25	x-s-country	target.location.country_or_region
26	x-s-latitude	target.location.region_coordinates.latitude
27	x-s-longitude	target.location.region_coordinates.longitude
28	x-s-location	target.location.name
29	x-s-region	target.location.state
30	x-s-zipcode	additional.fields
31	x-c-country	principal.location.country_or_region
32	x-c-latitude	principal.location.region_coordinates.latitude
33	x-c-longitude	principal.location.region_coordinates.longitude
34	x-c-location	principal.location.name
35	x-c-region	principal.location.state
36	x-c-zipcode	additional.fields
37	x-c-os	principal.platform
38	x-c-browser	additional.fields
39	x-c-browser-version	additional.fields
40	x-c-device	additional.fields
41	x-cs-site	additional.fields
42	x-cs-timestamp	metadata.event_timestamp
43	x-cs-page-id	additional.fields
44	x-cs-userip	security_result.detection_fields
45	x-cs-traffic-type	additional.fields
46	x-cs-tunnel-id	additional.fields
47	x-category	additional.fields
48	x-other-category	security_resul.category_details
49	x-type	additional.fields
50	x-server-ssl-err	additional.fields
51	x-client-ssl-err	additional.fields
52	x-transaction-id	additional.fields
53	x-request-id	additional.fields
54	x-cs-sni	network.tls.client.server_name
55	x-cs-domain-fronted-sni	additional.fields
56	x-category-id	additional.fields
57	x-other-category-id	security_result.detection_fields
58	x-sr-headers-name	additional.fields
59	x-sr-headers-value	additional.fields
60	x-cs-ssl-ja3	network.tls.client.ja3
61	x-sr-ssl-ja3s	network.tls.server.ja3s
62	x-ssl-bypass	additional.fields
63	x-ssl-bypass-reason	additional.fields
64	x-r-cert-subject-cn	network.tls.server.certificate.subject
65	x-r-cert-issuer-cn	network.tls.server.certificate.issuer
66	x-r-cert-startdate	network.tls.server.certificate.not_before
67	x-r-cert-enddate	network.tls.server.certificate.not_after
68	x-r-cert-valid	additional.fields
69	x-r-cert-expired	additional.fields
70	x-r-cert-untrusted-root	additional.fields
71	x-r-cert-incomplete-chain	additional.fields
72	x-r-cert-self-signed	additional.fields
73	x-r-cert-revoked	additional.fields
74	x-r-cert-revocation-check	additional.fields
75	x-r-cert-mismatch	additional.fields
76	x-cs-ssl-fronting-error	security_result.detection_fields
77	x-cs-ssl-handshake-error	security_result.detection_fields
78	x-sr-ssl-handshake-error	security_result.detection_fields
79	x-sr-ssl-client-certificate-error	security_result.detection_fields
80	x-sr-ssl-malformed-ssl	security_result.detection_fields
81	x-s-custom-signing-ca-error	security_result.detection_fields
82	x-cs-ssl-engine-action	security_result.detection_fields
83	x-cs-ssl-engine-action-reason	security_result.detection_fields
84	x-sr-ssl-engine-action	security_result.detection_fields
85	x-sr-ssl-engine-action-reason	security_result.detection_fields
86	x-ssl-policy-src-ip	security_result.detection_fields
87	x-ssl-policy-dst-ip	security_result.detection_fields
88	x-ssl-policy-dst-host	security_result.detection_fields
89	x-ssl-policy-dst-host-source	security_result.detection_fields
90	x-ssl-policy-categories	security_result.category_details
91	x-ssl-policy-action	security_result.detection_fields
92	x-ssl-policy-name	security_result.rule_name
93	x-cs-ssl-version	network.tls.version
94	x-cs-ssl-cipher	network.tls.cipher
95	x-sr-ssl-version	security_result.detection_fields
96	x-sr-ssl-cipher	security_result.detection_fields
97	x-cs-src-ip-egress	security_result.detection_fields
98	x-s-dp-name	additional.fields
99	x-cs-src-ip	principal.ip principal.asset.ip
100	x-cs-src-port	principal.port
101	x-cs-dst-ip	target.ip
102	x-cs-dst-port	target.port
103	x-sr-src-ip	security_result.detection_fields
104	x-sr-src-port	additional.fields
105	x-sr-dst-ip	security_result.detection_fields
106	x-sr-dst-port	security_result.detection_fields
107	x-cs-ip-connect-xff	additional.fields
108	x-cs-ip-xff	additional.fields
109	x-cs-connect-host	additional.fields
110	x-cs-connect-port	additional.fields
111	x-cs-connect-user-agent	additional.fields
112	x-cs-url	target.url
113	x-cs-uri-path	additional.fields
114	x-cs-http-version	security_result.detection_fields
115	rs-status	additional.fields
116	x-cs-app-category	additional.fields
117	x-cs-app-cci	additional.fields
118	x-cs-app-ccl	additional.fields
119	x-cs-app-tags	additional.fields
120	x-cs-app-suite	additional.fields
121	x-cs-app-instance-id	additional.fields
122	x-cs-app-instance-name	additional.fields
123	x-cs-app-instance-tag	additional.fields
124	x-cs-app-activity	additional.fields
125	x-cs-app-from-user	additional.fields
126	x-cs-app-to-user	additional.fields
127	x-cs-app-object-type	additional.fields
128	x-cs-app-object-name	additional.fields
129	x-cs-app-object-id	additional.fields
130	x-rs-file-type	principal.process.file.mime_type
131	x-rs-file-category	additional.fields
132	x-rs-file-language	additional.fields
133	x-rs-file-size	principal.process.size
134	x-rs-file-md5	principal.process.file.md5
135	x-rs-file-sha256	principal.process.file.sha256
136	x-error	additional.fields
137	x-c-local-time	additional.fields
138	x-policy-action	security_result.action action_details
139	x-policy-name	additional.fields
140	x-policy-src-ip	security_result.detection_fields
141	x-policy-dst-ip	security_result.detection_fields
142	x-policy-dst-host	security_result.detection_fields
143	x-policy-dst-host-source	security_result.detection_fields
144	x-policy-justification-type	security_result.detection_fields
145	x-policy-justification-reason	security_result.detection_fields
146	x-sc-notification-name	security_result.detection_fields
147	sr-bytes	additional.fields
148	rs-bytes	additional.fields
149	x-action	additional.fields
150	x-action-reason	additional.fields
151	x-c-authn-user	additional.fields
152	x-c-authn-source	additional.fields
153	x-c-authn-surrogate	additional.fields
154	x-c-authn-surrogate-status	additional.fields
155	x-c-authz-groups	additional.fields
156	x-c-authz-ou	additional.fields
157	x-cs-xau	additional.fields
158	x-cs-connect-xau	additional.fields
159	x-c-user-confidence-index	additional.fields
160	x-c-hostname	additional.fields
161	x-c-device-uid	principal.asset.asset_id
162	x-c-os-family	additional.fields
163	x-c-os-version	principal.platform_version
164	x-c-nsclient-version	metadata.product_version
165	x-c-nsclient-client-profile	additional.fields
166	x-c-nsclient-steering-profile	additional.fields
167	x-c-device-classification	additional.fields
168	x-cs-nsclient-tunnel-type	additional.fields
169	x-cs-process	principal.process.file.full_path
170	x-cs-pid	principal.process.pid
171	x-cs-parent-process	principal.process.parent_process.file.full_path
172	x-cs-ppid	principal.process.parent_process.pid
173	x-tp-result	additional.fields
174	x-tp-engine	additional.fields
175	x-tp-malware-name	additional.fields
176	x-tp-severity	additional.fields
177	x-sr-forward-dest	additional.fields
178	x-ssl-policy-issuer	additional.fields
179	x-eip-policy-name	additional.fields
180	x-eip-policy-footprint	additional.fields
181	x-policy-categories	additional.fields
182	x-c-timezone	additional.fields
183	x-support	additional.fields
184	x-r-country	additional.fields
185	x-r-latitude	additional.fields
186	x-r-longitude	additional.fields
187	x-r-location	additional.fields
188	x-r-region	additional.fields
189	x-r-zipcode	additional.fields
190	x-c-authz-source	additional.fields
191	x-cs-app-instance-tags	additional.fields
192	x-cs-ssl-malformed-ssl	additional.fields
193	x-cs-access-proxy	additional.fields
194	x-c-local-timestamp	additional.fields
195	x-r-cert-start	network.tls.server.certificate.not_before
196	x-r-cert-end	network.tls.server.certificate.not_after
197	x-tenant-id	additional.fields

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.