איסוף יומני osquery

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומני osquery באמצעות הגדרה של osquery ושל מעביר נתונים של Google Security Operations. במסמך הזה מפורטים גם סוגי היומנים הנתמכים וגרסאות osquery הנתמכות.

מידע נוסף זמין במאמר בנושא העברת נתונים אל Google Security Operations.

סקירה כללית

בתרשים ארכיטקטורת הפריסה הבא מוצגת דיאגרמת ארכיטקטורה שמראה איך סוכני osquery ושרת Fleet מוגדרים לשליחת יומנים אל Google Security Operations. הפריסה של כל לקוח עשויה להיות שונה מהייצוג הזה, ועשויה להיות מורכבת יותר.

דיאגרמת הארכיטקטורה מציגה את הרכיבים הבאים:

• מערכת Linux: מערכת Linux שרוצים לנטר, שבה מותקן סוכן osquery

• מערכת Microsoft Windows: מערכת Microsoft Windows למעקב שבה מותקן סוכן osquery

• מערכת Mac: מערכת Mac שרוצים לעקוב אחריה, שבה מותקן סוכן osquery

• סוכן osquery: אוסף מידע ממערכת Microsoft Windows,‏ Linux או Mac ומעביר את המידע לשרת Fleet

• שרת Fleet: מנטר ומקבל מידע מסוכני osquery, מנתח את היומנים ומעביר אותם למעביר של Google Security Operations

• סוכן Bindplane: סוכן Bindplane מאחזר יומנים מ-osquery ושולח אותם אל Google SecOps.

• ‫Google Security Operations forwarder: רכיב תוכנה קל משקל, שמוטמע ברשת של הלקוח כדי להעביר את היומנים ל-Google Security Operations

• ‫Google Security Operations: שומר ומנתח את היומנים משרת Fleet

תווית הטמעה מזהה את מנתח התוכן שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תווית ההטמעה OSQUERY_EDR.

לפני שמתחילים

• מתקינים את Fleet Server. כדי להתקין את Fleet Server:

  • הגדרת מארח
  • התקנת שרת Fleet

• משתמשים בגרסת osquery שהכלי לניתוח של Google Security Operations תומך בה, כלומר בגרסאות 5.2.3 ו-5.3.0.

• מוודאים שכל המערכות בארכיטקטורת הפריסה מוגדרות באזור הזמן UTC.

• מוודאים ששמות הטבלאות ב-Fleet זהים לאלה שמופיעים במסמכי התיעוד הרשמיים של Fleet.

הגדרת סוכן osquery, שרת ומעביר נתונים של Google Security Operations

כדי להגדיר את שרת Fleet ואת מעביר הנתונים של Google Security Operations:

1. כדי להגדיר את שרת Fleet:

   1. מתקינים ומגדירים את MySQL.
   2. מתקינים ומגדירים את Redis.
   3. הפעלת שרת הצי

2. מוסיפים מארחים ל-Fleet Server ומתקינים את osquery agent. אפשר להוסיף את המארח ל-Fleet Server באמצעות קובץ התקנה של osquery. שרת Fleet עוזר ליצור קובץ התקנה של osquery באמצעות הפקודה fleetctl package.

   1. מריצים את הפקודה fleetctl package אחרי התקנה של כלי שורת הפקודה fleetctl.
   2. מתקינים את סוכן osquery באמצעות הפקודה fleetctl package.

   כשמתקינים את קובץ ההתקנה של osquery שנוצר במארח, המארח נרשם אוטומטית למופע Fleet שצוין.

3. אחזור היומנים מסוכן osquery. כדי ליצור שאילתה ב-Fleet לאחזור היומנים, ראו יצירת שאילתה. כדי לתזמן שאילתה, ראו תזמון שאילתה.

4. מגדירים מעביר של Google Security Operations במכשיר מרכזי עם Linux כדי לדחוף את היומנים למערכת Google Security Operations. מידע נוסף זמין במאמר בנושא התקנה והגדרה של המעביר ב-Linux. הדוגמה הבאה מציגה הגדרת מעביר ב-Google SecOps:

     - file:
         common:
           enabled: true
           data_type: OSQUERY_EDR
           data_hint:
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         skip_seek_to_end: true
         file_path: <log_file_path>
         filter:
   

   הערה: מנתח ה-osquery לא תומך בכינויים של טבלאות ועמודות.

העברת יומנים ל-Google SecOps באמצעות סוכן Bindplane

1. מתקינים ומגדירים מכונה וירטואלית של Linux.
2. איך מתקינים ומגדירים את סוכן Bindplane ב-Linux כדי להעביר יומנים ל-Google SecOps. מידע נוסף על התקנה והגדרה של סוכן Bindplane זמין בהוראות להתקנה ולהגדרה של סוכן Bindplane.

אם נתקלתם בבעיות כשניסיתם ליצור פידים, פנו לתמיכה של Google SecOps.

פורמטים נתמכים של יומנים ב-osquery

מנתח הנתונים של osquery תומך ביומנים בפורמט JSON.

יומנים לדוגמה של osquery שנתמכים

• ‫JSON:

  {
    "name": "account_policy_data",
    "hostIdentifier": "dummyhostidentifier",
    "calendarTime": "Tue May 17 11:27:28 2022 UTC",
    "unixTime": 1652786848,
    "epoch": 0,
    "counter": 0,
    "numerics": false,
    "decorations": {
      "host_uuid": "dummy_host_uuid",
      "hostname": "dummyhostname"
    },
    "columns": {
      "creation_time": "1637733429.23442",
      "failed_login_count": "0",
      "failed_login_timestamp": "0.0",
      "password_last_set_time": "1645164584.43137",
      "uid": "501"
    },
    "action": "added"
  }
  

הפניה למיפוי שדות

בקטע הזה מוסבר איך מנתח הנתונים של Google Security Operations ממפה שדות יומן של osquery לשדות של Google Security Operations Unified Data Model ‏ (UDM) עבור הסכימה ומערכת ההפעלה. מידע נוסף זמין בסכימת osquery לגרסה 5.2.3 ולגרסה 5.3.0.

הוצא משימוש:

השדות הבאים של שמות עצם ב-UDM‏ labels הוצאו משימוש: about.labels,‏ intermediary.labels,‏ observer.labels,‏ principal.labels,‏ src.labels,‏ security_result.about.labels ו-target.labels. במנתחי נתונים קיימים, בנוסף לשדות UDM האלה, השדות ביומנים ממופים גם לשדות UDM של צמד מפתח/ערך additional.fields. במנתחים חדשים, ההגדרות של המפתח/הערך בשדות additional.fields UDM משמשות במקום השדות labels UDM שהוצאו משימוש. מומלץ לעדכן את הכללים הקיימים כך שישתמשו בהגדרות של מפתח/ערך בשדות של additional.fields UDM במקום בשדות של labels UDM שהוצאו משימוש.

account_policy_data

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-OS macOS ולסכימה account_policy_data:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
uid	principal.user.userid
creation_time	principal.user.attribute.creation_time
failed_login_count	principal.user.attribute.labels.key/value
failed_login_timestamp	principal.user.attribute.labels.key/value
password_last_set_time	principal.user.attribute.labels.key/value

ad_config

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים ל-ad_config ול-OS macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	about.labels.key/value (יצא משימוש) additional.fields
דומיין	target.administrative_domain
אפשרות	about.labels.key (יצא משימוש) additional.fields.key
value	about.labels.value (הוצא משימוש) additional.fields.value.string_value

alf

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה alf ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
allow_signed_enabled	about.labels.key/value (יצא משימוש) additional.fields
firewall_unload	about.labels.key/value (יצא משימוש) additional.fields
global_state	about.labels.key/value (יצא משימוש) additional.fields
logging_enabled	about.labels.key/value (יצא משימוש) additional.fields
logging_option	about.labels.key/value (יצא משימוש) additional.fields
stealth_enabled	about.labels.key/value (יצא משימוש) additional.fields
גרסה	target.platform_version

alf_exceptions

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה alf_exceptions ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
הסמוי הסופי	about.labels.key/value (יצא משימוש) additional.fields

alf_explicit_auths

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה alf_explicit_auths ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
תהליך דיפוזיה הפוך	target.process.pid

app_schemes

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM עבור סכימת app_schemes ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
סכמה	about.labels.key/value (יצא משימוש) additional.fields
handler	about.labels.key/value (יצא משימוש) additional.fields
מופעל	about.labels.key/value (יצא משימוש) additional.fields
חיצוני	about.labels.key/value (יצא משימוש) additional.fields
מוגן	about.labels.key/value (יצא משימוש) additional.fields

apparmor_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-schema apparmor_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
סוג	about.labels.key/value (יצא משימוש) additional.fields
הודעה	metadata.description
פעם	about.labels.key/value (יצא משימוש) additional.fields
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
eid	security_result.rule_id
apparmor	security_result.action
פעולה	about.labels.key/value (יצא משימוש) additional.fields
הורה	target.process.parent_process.pid
פרופיל	about.labels.key/value (יצא משימוש) additional.fields
name	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
comm	target.process.command_line
denied_mask	about.labels.key/value (יצא משימוש) additional.fields
capname	about.labels.key/value (יצא משימוש) additional.fields
fsuid	target.user.attribute.labels.key/value
ouid	target.user.attribute.labels.key/value
יכולת	about.labels.key/value (יצא משימוש) additional.fields
requested_mask	target.process.access_mask
מידע	about.labels.key/value (יצא משימוש) additional.fields
שגיאה	security_result.summary
מרחב שמות	about.labels.key/value (יצא משימוש) additional.fields
תווית	about.labels.key/value (יצא משימוש) additional.fields

apparmor_profiles

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-schema apparmor_profiles ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
name	target.resource.name
לחבר	about.labels.key/value (יצא משימוש) additional.fields
מצב	about.labels.key/value (יצא משימוש) additional.fields
sha1	target.file.sha1

אפליקציות

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM עבור אפליקציות הסכימה ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	target.application
נתיב	target.file.full_path
bundle_executable	about.labels.key/value (יצא משימוש) additional.fields
bundle_identifier	target.resource.product_object_id
bundle_name	target.resource.name
bundle_short_version	target.resource.attribute.labels.key/value
bundle_version	target.resource.attribute.labels.key/value
bundle_package_type	about.labels.key/value (יצא משימוש) additional.fields
environment	about.labels.key/value (יצא משימוש) additional.fields
רכיב	about.labels.key/value (יצא משימוש) additional.fields
קומפיילר	about.labels.key/value (יצא משימוש) additional.fields
development_region	about.location.country_or_region
display_name	about.labels.key/value (יצא משימוש) additional.fields
info_string	about.labels.key/value (יצא משימוש) additional.fields
minimum_system_version	about.labels.key/value (יצא משימוש) additional.fields
קטגוריה	about.labels.key/value (יצא משימוש) additional.fields
applescript_enabled	about.labels.key/value (יצא משימוש) additional.fields
זכויות יוצרים	about.labels.key/value (יצא משימוש) additional.fields
last_opened_time	target.file.last_seen_time

asl

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה asl ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעם	about.labels.key/value (יצא משימוש) additional.fields
time_nano_sec	about.labels.key/value (יצא משימוש) additional.fields
מארח	target.hostname
השולח/ת	about.labels.key/value (יצא משימוש) additional.fields
facility	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
gid	target.user.group_identifiers
uid	target.user.userid
רמה	about.labels.key/value (יצא משימוש) additional.fields
הודעה	metadata.description
ref_pid	about.labels.key/value (יצא משימוש) additional.fields
ref_proc	about.labels.key/value (יצא משימוש) additional.fields
במיוחד	about.labels.key/value (יצא משימוש) additional.fields

authenticode

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-schema authenticode ול-OS Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
original_program_name	about.labels.key/value (יצא משימוש) additional.fields
serial_number	network.tls.client.certificate.serial
issuer_name	network.tls.client.certificate.issuer
subject_name	network.tls.client.certificate.subject
result	security_result.summary

authorization_mechanisms

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימת authorization_mechanisms ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
תווית	about.labels.key/value (יצא משימוש) additional.fields
פלאגין	about.labels.key/value (יצא משימוש) additional.fields
מנגנון	about.labels.key/value (יצא משימוש) additional.fields
בעלת הרשאות	about.labels.key/value (יצא משימוש) additional.fields
ערך	about.labels.key/value (יצא משימוש) additional.fields

הרשאות

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור ההרשאות של הסכימה ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
תווית	about.labels.key/value (יצא משימוש) additional.fields
ההגדרות האישיות שונו	about.labels.key/value (יצא משימוש) additional.fields
allow_root	about.labels.key/value (יצא משימוש) additional.fields
זמן קצוב לתפוגה	about.labels.key/value (יצא משימוש) additional.fields
גרסה	about.labels.key/value (יצא משימוש) additional.fields
tries	about.labels.key/value (יצא משימוש) additional.fields
authenticate_user	about.labels.key/value (יצא משימוש) additional.fields
משותף	about.labels.key/value (יצא משימוש) additional.fields
תגובה	about.labels.key/value (יצא משימוש) additional.fields
ההגדרות האישיות נוצרו	about.labels.key/value (יצא משימוש) additional.fields
מחלקה	about.labels.key/value (יצא משימוש) additional.fields
session_owner	about.labels.key/value (יצא משימוש) additional.fields

autoexec

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-autoexec של הסכימה ול-OS Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
name	target.application
מקור	target.resource.name

bitlocker_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM ל-bitlocker_info ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
device_id	target.resource.product_object_id
drive_letter	target.resource.name
persistent_volume_id	about.labels.key/value (יצא משימוש) additional.fields
conversion_status	target.resource.attirbute.labels.key/value
protection_status	target.resource.attirbute.labels.key/value
encryption_method	target.resource.attirbute.labels.key/value
גרסה	metadata.product_version
percentage_encrypted	target.resource.attirbute.labels.key/value
lock_status	target.resource.attirbute.labels.key/value

bpf_process_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה bpf_process_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
tid	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
הורה	target.process.parent_process.pid
uid	principal.user.userid
gid	principal.group.product_object_id
cid	about.labels.key/value (יצא משימוש) additional.fields
exit_code	about.labels.key/value (יצא משימוש) additional.fields
probe_error	about.labels.key/value (יצא משימוש) additional.fields
syscall	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.process.file.full_path
cwd	about.labels.key/value (יצא משימוש) additional.fields
cmdline	target.process.command_line
duration	about.labels.key/value (יצא משימוש) additional.fields
json_cmdline	about.labels.key/value (יצא משימוש) additional.fields
ntime	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

bpf_socket_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה bpf_socket_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
tid	about.labels.key/value (יצא משימוש) additional.fields
pid	principal.process.pid
הורה	principal.process.parent_process.pid
uid	principal.user.userid
gid	principal.group.product_object_id
cid	about.labels.key/value (יצא משימוש) additional.fields
exit_code	about.labels.key/value (יצא משימוש) additional.fields
probe_error	about.labels.key/value (יצא משימוש) additional.fields
syscall	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.file.full_path
fd	about.labels.key/value (יצא משימוש) additional.fields
משפחה	about.labels.key/value (יצא משימוש) additional.fields
סוג	about.labels.key/value (יצא משימוש) additional.fields
פרוטוקול	about.labels.key/value (יצא משימוש) additional.fields
local_address	principal.ip
remote_address	target.ip
local_port	principal.port
remote_port	target.port
duration	about.labels.key/value (יצא משימוש) additional.fields
ntime	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

אישורים

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לתרשימי האישורים ולמערכות ההפעלה macOS ו-Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
common_name	about.labels.key/value (יצא משימוש) additional.fields
נושא	network.tls.client.certificate.subject
המנפיק	network.tls.client.certificate.issuer
ca	about.labels.key/value (יצא משימוש) additional.fields
self_signed	about.labels.key/value (יצא משימוש) additional.fields
not_valid_before	network.tls.client.certificate.not_before
not_valid_after	network.tls.client.certificate.not_after
signing_algorithm	about.labels.key/value (יצא משימוש) additional.fields
key_algorithm	about.labels.key/value (יצא משימוש) additional.fields
key_strength	about.labels.key/value (יצא משימוש) additional.fields
key_usage	about.labels.key/value (יצא משימוש) additional.fields
subject_key_id	about.labels.key/value (יצא משימוש) additional.fields
authority_key_id	about.labels.key/value (יצא משימוש) additional.fields
sha1	network.tls.client.certificate.sha1
נתיב	about.labels.key/value (יצא משימוש) additional.fields
מספר סידורי	network.tls.client.certificate.serial
sid	about.labels.key/value (יצא משימוש) additional.fields
store_location	about.labels.key/value (יצא משימוש) additional.fields
מאגר	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	principal.user.user_display_name
store_id	about.labels.key/value (יצא משימוש) additional.fields

chassis_info

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים ל-schema chassis_info ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
audible_alarm	about.labels.key/value (יצא משימוש) additional.fields
breach_description	security_result.description
chassis_types	about.labels.key/value (יצא משימוש) additional.fields
description	metadata.description
נעילה	about.labels.key/value (יצא משימוש) additional.fields
יצרן	principal.asset.hardware.manufacturer
מודל	principal.asset.hardware.model
security_breach	security_result.detection_fields.key/value
מספר סידורי	principal.asset.hardware.serial_number
smbios_tag	about.labels.key/value (יצא משימוש) additional.fields
sku	about.labels.key/value (יצא משימוש) additional.fields
סטטוס	about.labels.key/value (יצא משימוש) additional.fields
visible_alarm	about.labels.key/value (יצא משימוש) additional.fields

chrome_extensions

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה chrome_extensions ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
browser_type	target.resource.attribute.labels.key/value
uid	principal.user.userid
name	target.resource.name
פרופיל	target.resource.attribute.labels.key/value
profile_path	target.resource.attribute.labels.key/value
referenced_identifier	target.resource.attribute.labels.key/value
מזהה	target.resource.attribute.labels.key/value
גרסה	target.resource.attribute.labels.key/value
description	target.resource.attribute.labels.key/value
default_locale	target.resource.attribute.labels.key/value
current_locale	target.resource.attribute.labels.key/value
update_url	network.http.referral_url
author	target.resource.attribute.labels.key/value
קבוע	target.resource.attribute.labels.key/value
נתיב	target.file.full_path
permissions	target.resource.attribute.labels.key/value
permissions_json	target.resource.attribute.labels.key/value
optional_permissions	target.resource.attribute.labels.key/value
optional_permissions_json	target.resource.attribute.labels.key/value
manifest_hash	target.resource.attribute.labels.key/value
הפניה	target.resource.attribute.labels.key/value
from_webstore	target.resource.attribute.labels.key/value
הסמוי הסופי	target.resource.attribute.labels.key/value
install_time	target.resource.attribute.labels.key/value
install_timestamp	target.resource.attribute.labels.key/value
manifest_json	target.resource.attribute.labels.key/value
key	target.resource.attribute.labels.key/value

קישוריות

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לקישוריות של הסכימה ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
מנותק	about.labels.key/value (יצא משימוש) additional.fields
ipv4_no_traffic	about.labels.key/value (יצא משימוש) additional.fields
ipv6_no_traffic	about.labels.key/value (יצא משימוש) additional.fields
ipv4_subnet	about.labels.key/value (יצא משימוש) additional.fields
ipv4_local_network	about.labels.key/value (יצא משימוש) additional.fields
ipv4_internet	about.labels.key/value (יצא משימוש) additional.fields
ipv6_subnet	about.labels.key/value (יצא משימוש) additional.fields
ipv6_local_network	about.labels.key/value (יצא משימוש) additional.fields
ipv6_internet	about.labels.key/value (יצא משימוש) additional.fields

cpu_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM לסכימה cpu_info ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
device_id	principal.asset.product_object_id
מודל	principal.asset.hardware.model
יצרן	principal.asset.hardware.manufacturer
processor_type	about.labels.key/value (יצא משימוש) additional.fields
availability	about.labels.key/value (יצא משימוש) additional.fields
cpu_status	about.labels.key/value (יצא משימוש) additional.fields
number_of_cores	principal.asset.hardware.cpu_number_cores
logical_processors	about.labels.key/value (יצא משימוש) additional.fields
address_width	about.labels.key/value (יצא משימוש) additional.fields
current_clock_speed	principal.asset.hardware.cpu_clock_speed
max_clock_speed	principal.asset.hardware.cpu_max_clock_speed
socket_designation	about.labels.key/value (יצא משימוש) additional.fields

קריסות

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים עבור קריסות של סכימות ושל מערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
סוג	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
נתיב	target.process.file.full_path
crash_path	target.file.full_path
מזהה	about.labels.key/value (יצא משימוש) additional.fields
גרסה	about.labels.key/value (יצא משימוש) additional.fields
הורה	target.process.parent_process.pid
אחראי	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
datetime	metadata.event_timestamp
crashed_thread	about.labels.key/value (יצא משימוש) additional.fields
stack_trace	about.labels.key/value (יצא משימוש) additional.fields
exception_type	about.labels.key/value (יצא משימוש) additional.fields
exception_codes	about.labels.key/value (יצא משימוש) additional.fields
exception_notes	about.labels.key/value (יצא משימוש) additional.fields
הרשמות	about.labels.key/value (יצא משימוש) additional.fields

crontab

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה crontab ומערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
אירוע	about.labels.key/value (יצא משימוש) additional.fields
דקה	about.labels.key/value (יצא משימוש) additional.fields
hour	about.labels.key/value (יצא משימוש) additional.fields
day_of_month	about.labels.key/value (יצא משימוש) additional.fields
month	about.labels.key/value (יצא משימוש) additional.fields
day_of_week	about.labels.key/value (יצא משימוש) additional.fields
פקודה	principal.process.command_line
נתיב	principal.process.file.full_path
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields

curl

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-curl של הסכימה ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
url	network.http.referral_url
method	network.http.method
user_agent	network.http.user_agent
response_code	network.http.response_code
round_trip_time	network.session_duration
בייטים	network.received_bytes
result	about.labels.key/value (יצא משימוש) additional.fields

curl_certificate

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה curl_certificate ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
שם המארח	principal.hostname
common_name	about.labels.key/value (יצא משימוש) additional.fields
ארגון	network.organization_name
organization_unit	about.labels.key/value (יצא משימוש) additional.fields
serial_number	network.tls.server.certificate.serial
issuer_common_name	about.labels.key/value (יצא משימוש) additional.fields
issuer_organization	network.tls.server.certificate.issuer
issuer_organization_unit	about.labels.key/value (יצא משימוש) additional.fields
valid_from	network.tls.server.certificate.not_before
valid_to	network.tls.server.certificate.not_after
sha256_fingerprint	network.tls.server.certificate.sha256
sha1_fingerprint	network.tls.server.certificate.sha1
גרסה	network.tls.server.certificate.version
signature_algorithm	about.labels.key/value (יצא משימוש) additional.fields
חתימה	about.labels.key/value (יצא משימוש) additional.fields
subject_key_identifier	about.labels.key/value (יצא משימוש) additional.fields
authority_key_identifier	about.labels.key/value (יצא משימוש) additional.fields
key_usage	about.labels.key/value (יצא משימוש) additional.fields
extended_key_usage	about.labels.key/value (יצא משימוש) additional.fields
policies	about.labels.key/value (יצא משימוש) additional.fields
subject_alternative_names	about.labels.key/value (יצא משימוש) additional.fields
issuer_alternative_names	about.labels.key/value (יצא משימוש) additional.fields
info_access	about.labels.key/value (יצא משימוש) additional.fields
subject_info_access	about.labels.key/value (יצא משימוש) additional.fields
policy_mappings	about.labels.key/value (יצא משימוש) additional.fields
has_expired	about.labels.key/value (יצא משימוש) additional.fields
basic_constraint	about.labels.key/value (יצא משימוש) additional.fields
name_constraints	about.labels.key/value (יצא משימוש) additional.fields
policy_constraints	about.labels.key/value (יצא משימוש) additional.fields
dump_certificate	about.labels.key/value (יצא משימוש) additional.fields
זמן קצוב לתפוגה	about.labels.key/value (יצא משימוש) additional.fields
pem	about.labels.key/value (יצא משימוש) additional.fields

device_file

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת device_file ומערכות ההפעלה Linux,‏ macOS,‏ freebsd ו-Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
מכשיר	about.labels.key/value (יצא משימוש) additional.fields
מחיצה	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.file.full_path
filename	target.file.names
inode	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
מצב	about.labels.key/value (יצא משימוש) additional.fields
size	target.file.size
block_size	about.labels.key/value (יצא משימוש) additional.fields
atime	about.labels.key/value (יצא משימוש) additional.fields
mtime	target.file.last_modification_time
ctime	about.labels.key/value (יצא משימוש) additional.fields
hard_links	about.labels.key/value (יצא משימוש) additional.fields
סוג	about.labels.key/value (יצא משימוש) additional.fields

device_hash

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לגיליון device_hash ולמערכות ההפעלה Linux,‏ macOS,‏ freebsd ו-Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
מכשיר	target.file.full_path
מחיצה	about.labels.key/value (יצא משימוש) additional.fields
inode	about.labels.key/value (יצא משימוש) additional.fields
md5	target.file.md5
sha1	target.file.sha1
sha256	target.file.sha56

disk_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לדיסק הסכימה disk_info ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
מחיצות	principal.asset.attribute.labels.key/value
disk_index	principal.asset.attribute.labels.key/value
סוג	principal.asset.attribute.labels.key/value
id	principal.asset.product_object_id
pnp_device_id	about.labels.key/value (יצא משימוש) additional.fields
disk_size	principal.asset.attribute.labels.key/value
יצרן	principal.asset.hardware.manufacturer
hardware_model	principal.asset.hardware.model
name	principal.asset.attribute.labels.key/value
מספר סידורי	principal.asset.hardware.serial_number
description	principal.asset.attribute.labels.key/value

dns_cache

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה dns_cache ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	network.dns.additional.name
סוג	about.labels.key/value (יצא משימוש) additional.fields
סימונים	about.labels.key/value (יצא משימוש) additional.fields

dns_resolvers

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה dns_resolvers ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	about.labels.key/value (יצא משימוש) additional.fields
סוג	about.labels.key/value (יצא משימוש) additional.fields
כתובת	principal.ip
מסכת רשת	about.labels.key/value (יצא משימוש) additional.fields
אפשרויות	about.labels.key/value (יצא משימוש) additional.fields
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields

docker_container_networks

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת docker_container_networks ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.asset.product_object_id
name	network.carrier_name
network_id	about.labels.key/value (יצא משימוש) additional.fields
endpoint_id	about.labels.key/value (יצא משימוש) additional.fields
שער	about.labels.key/value (יצא משימוש) additional.fields
ip_address	target.ip
ip_prefix_len	about.labels.key/value (יצא משימוש) additional.fields
ipv6_gateway	about.labels.key/value (יצא משימוש) additional.fields
ipv6_address	target.ip
ipv6_prefix_len	about.labels.key/value (יצא משימוש) additional.fields
mac_address	target.mac

docker_container_ports

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה docker_container_ports ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.asset.product_object_id
סוג	network.ip_protocol
יציאה	target.port
host_ip	principal.ip
host_port	principal.port

docker_container_processes

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה docker_container_processes ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.asset.product_object_id
pid	target.process.pid
name	target.process.file.full_path
cmdline	target.process.command_line
הסמוי הסופי	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
euid	target.user.attribute.labels.key/value
egid	target.group.attribute.labels.key/value
suid	target.user.attribute.labels.key/value
sgid	target.group.attribute.labels.key/value
wired_size	about.labels.key/value (יצא משימוש) additional.fields
resident_size	about.labels.key/value (יצא משימוש) additional.fields
total_size	about.labels.key/value (יצא משימוש) additional.fields
start_time	about.labels.key/value (יצא משימוש) additional.fields
הורה	target.process.parent_process.pid
pgroup	about.labels.key/value (יצא משימוש) additional.fields
שרשורים	about.labels.key/value (יצא משימוש) additional.fields
נחמד	about.labels.key/value (יצא משימוש) additional.fields
משתמש	target.user.user_display_name
פעם	about.labels.key/value (יצא משימוש) additional.fields
cpu	about.labels.key/value (יצא משימוש) additional.fields
mem	about.labels.key/value (יצא משימוש) additional.fields

docker_container_stats

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה docker_container_stats ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.resource.product_object_id
name	target.resource.name
pids	about.labels.key/value (יצא משימוש) additional.fields
קריאה	about.labels.key/value (יצא משימוש) additional.fields
קריאה מראש	about.labels.key/value (יצא משימוש) additional.fields
אינטרוול	about.labels.key/value (יצא משימוש) additional.fields
disk_read	about.labels.key/value (יצא משימוש) additional.fields
disk_write	about.labels.key/value (יצא משימוש) additional.fields
num_procs	about.labels.key/value (יצא משימוש) additional.fields
cpu_total_usage	about.labels.key/value (יצא משימוש) additional.fields
cpu_kernelmode_usage	about.labels.key/value (יצא משימוש) additional.fields
cpu_usermode_usage	about.labels.key/value (יצא משימוש) additional.fields
system_cpu_usage	about.labels.key/value (יצא משימוש) additional.fields
online_cpus	about.labels.key/value (יצא משימוש) additional.fields
pre_cpu_total_usage	about.labels.key/value (יצא משימוש) additional.fields
pre_cpu_kernelmode_usage	about.labels.key/value (יצא משימוש) additional.fields
pre_cpu_usermode_usage	about.labels.key/value (יצא משימוש) additional.fields
pre_system_cpu_usage	about.labels.key/value (יצא משימוש) additional.fields
pre_online_cpus	about.labels.key/value (יצא משימוש) additional.fields
memory_usage	about.labels.key/value (יצא משימוש) additional.fields
memory_max_usage	about.labels.key/value (יצא משימוש) additional.fields
memory_limit	about.labels.key/value (יצא משימוש) additional.fields
network_rx_bytes	about.labels.key/value (יצא משימוש) additional.fields
network_tx_bytes	about.labels.key/value (יצא משימוש) additional.fields

docker_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת docker_info ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.resource.product_object_id
קונטיינרים	about.labels.key/value (יצא משימוש) additional.fields
containers_running	about.labels.key/value (יצא משימוש) additional.fields
containers_paused	about.labels.key/value (יצא משימוש) additional.fields
containers_stopped	about.labels.key/value (יצא משימוש) additional.fields
תמונות	about.labels.key/value (יצא משימוש) additional.fields
storage_driver	about.labels.key/value (יצא משימוש) additional.fields
memory_limit	about.labels.key/value (יצא משימוש) additional.fields
swap_limit	about.labels.key/value (יצא משימוש) additional.fields
kernel_memory	about.labels.key/value (יצא משימוש) additional.fields
cpu_cfs_period	about.labels.key/value (יצא משימוש) additional.fields
cpu_cfs_quota	about.labels.key/value (יצא משימוש) additional.fields
cpu_shares	about.labels.key/value (יצא משימוש) additional.fields
cpu_set	about.labels.key/value (יצא משימוש) additional.fields
ipv4_forwarding	about.labels.key/value (יצא משימוש) additional.fields
bridge_nf_iptables	about.labels.key/value (יצא משימוש) additional.fields
bridge_nf_ip6tables	about.labels.key/value (יצא משימוש) additional.fields
oom_kill_disable	about.labels.key/value (יצא משימוש) additional.fields
logging_driver	about.labels.key/value (יצא משימוש) additional.fields
cgroup_driver	about.labels.key/value (יצא משימוש) additional.fields
kernel_version	about.labels.key/value (יצא משימוש) additional.fields
os	about.labels.key/value (יצא משימוש) additional.fields
os_type	target.platform(enum)
ארכיטקטורה	about.labels.key/value (יצא משימוש) additional.fields
cpus	about.labels.key/value (יצא משימוש) additional.fields
זיכרון	about.labels.key/value (יצא משימוש) additional.fields
http_proxy	about.labels.key/value (יצא משימוש) additional.fields
https_proxy	about.labels.key/value (יצא משימוש) additional.fields
no_proxy	about.labels.key/value (יצא משימוש) additional.fields
name	target.hostname
server_version	target.platform_version
root_dir	target.file.full_path

docker_network_labels

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת docker_network_labels ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.resource.product_object_id
key	target.resource.attribute.labels.key/value
value	about.labels.key/value (יצא משימוש) additional.fields

docker_networks

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים ל-schema docker_networks ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
id	target.resource.product_object_id
name	about.labels.key/value (יצא משימוש) additional.fields
נהג/ת	about.labels.key/value (יצא משימוש) additional.fields
ההגדרות האישיות נוצרו	target.resource.attribute.creation_time
enable_ipv6	about.labels.key/value (יצא משימוש) additional.fields
תת-רשת	about.labels.key/value (יצא משימוש) additional.fields
שער	about.labels.key/value (יצא משימוש) additional.fields

ec2_instance_metadata

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה ec2_instance_metadata ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
instance_id	target.resource.product_object_id
instance_type	about.labels.key/value (יצא משימוש) additional.fields
ארכיטקטורה	about.labels.key/value (יצא משימוש) additional.fields
אזור	target.location.country_or_region
availability_zone	about.labels.key/value (יצא משימוש) additional.fields
local_hostname	target.hostname
local_ipv4	target.ip
Mac	target.mac
security_groups	about.labels.key/value (יצא משימוש) additional.fields
iam_arn	about.labels.key/value (יצא משימוש) additional.fields
ami_id	about.labels.key/value (יצא משימוש) additional.fields
reservation_id	about.labels.key/value (יצא משימוש) additional.fields
account_id	target.user.userid
ssh_public_key	about.labels.key/value (יצא משימוש) additional.fields

es_process_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה es_process_events ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
גרסה	target.platform_version
seq_num	about.labels.key/value (יצא משימוש) additional.fields
global_seq_num	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
נתיב	target.process.file.full_path
הורה	target.process.parent_process.pid
original_parent	about.labels.key/value (יצא משימוש) additional.fields
cmdline	target.process.command_line
cmdline_count	about.labels.key/value (יצא משימוש) additional.fields
env	about.labels.key/value (יצא משימוש) additional.fields
env_count	about.labels.key/value (יצא משימוש) additional.fields
cwd	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
euid	about.labels.key/value (יצא משימוש) additional.fields
gid	target.group.product_object_id
egid	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	target.user.user_display_name
signing_id	about.labels.key/value (יצא משימוש) additional.fields
team_id	about.labels.key/value (יצא משימוש) additional.fields
cdhash	about.labels.key/value (יצא משימוש) additional.fields
platform_binary	about.labels.key/value (יצא משימוש) additional.fields
exit_code	about.labels.key/value (יצא משימוש) additional.fields
child_pid	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
event_type	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

etc_hosts

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה etc_hosts ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
כתובת	target.ip
שמות מארחים	about.hostname
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields

etc_protocols

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה etc_protocols ומערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	network.ip_protocol
מספר	about.labels.key/value (יצא משימוש) additional.fields
אימייל חלופי	about.labels.key/value (יצא משימוש) additional.fields
תגובה	about.labels.key/value (יצא משימוש) additional.fields

etc_services

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה etc_services ומערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	target.resource.name
יציאה	target.port
פרוטוקול	network.ip_protocol
כתובות אימייל חלופיות	about.labels.key/value (יצא משימוש) additional.fields
תגובה	about.labels.key/value (יצא משימוש) additional.fields

קובץ

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לקובץ הסכימה ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
ספרייה	about.labels.key/value (יצא משימוש) additional.fields
filename	target.file.names
inode	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
מצב	about.labels.key/value (יצא משימוש) additional.fields
מכשיר	target.asset.asset_id
size	target.file.size
block_size	about.labels.key/value (יצא משימוש) additional.fields
atime	target.file.last_seen_time
mtime	target.file.last_modification_time
ctime	about.labels.key/value (יצא משימוש) additional.fields
btime	about.labels.key/value (יצא משימוש) additional.fields
hard_links	about.labels.key/value (יצא משימוש) additional.fields
קישור סמלי	about.labels.key/value (יצא משימוש) additional.fields
סוג	about.labels.key/value (יצא משימוש) additional.fields
מאפיינים	about.labels.key/value (יצא משימוש) additional.fields
volume_serial	about.labels.key/value (יצא משימוש) additional.fields
file_id	about.labels.key/value (יצא משימוש) additional.fields
file_version	about.labels.key/value (יצא משימוש) additional.fields
product_version	about.labels.key/value (יצא משימוש) additional.fields
bsd_flags	about.labels.key/value (יצא משימוש) additional.fields
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields
mount_namespace_id	about.labels.key/value (יצא משימוש) additional.fields

file_events

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לקובץ הסכימה file_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעולה	about.labels.key/value (יצא משימוש) additional.fields
pid	principal.process.pid
ppid	principal.process.parent_process.pid
פעם	about.labels.key/value (יצא משימוש) additional.fields
קובץ הפעלה	about.labels.key/value (יצא משימוש) additional.fields
חלקי	about.labels.key/value (יצא משימוש) additional.fields
cwd	about.labels.key/value (יצא משימוש) additional.fields
נתיב	src.file.full_path
dest_path	target.file.full_path
uid	principal.user.userid
gid	principal.group.product_object_id
auid	about.labels.key/value (יצא משימוש) additional.fields
euid	about.labels.key/value (יצא משימוש) additional.fields
egid	about.labels.key/value (יצא משימוש) additional.fields
fsuid	about.labels.key/value (יצא משימוש) additional.fields
fsgid	about.labels.key/value (יצא משימוש) additional.fields
suid	about.labels.key/value (יצא משימוש) additional.fields
sgid	about.labels.key/value (יצא משימוש) additional.fields
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

שומר סף

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור שומר הסף של הסכימה ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
assessments_enabled	about.labels.key/value (יצא משימוש) additional.fields
dev_id_enabled	about.labels.key/value (יצא משימוש) additional.fields
גרסה	target.asset.software.version
opaque_version	about.labels.key/value (יצא משימוש) additional.fields

gatekeeper_approved_apps

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת gatekeeper_approved_apps ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
דרישה	about.labels.key/value (יצא משימוש) additional.fields
ctime	about.labels.key/value (יצא משימוש) additional.fields
mtime	target.resource.attribute.last_update_time

קבוצות

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לקבוצות הסכימה ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
gid	target.group.attribute.labels.key/value
gid_signed	target.group.attribute.labels.key/value
groupname	target.group.group_display_name
group_sid	target.group.product_object_id
תגובה	target.group.attribute.labels.key/value
is_hidden	target.group.attribute.labels.key/value
pid_with_namespace	target.group.attribute.labels.key/value

hardware_events

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסקמת hardware_events ולמערכות ההפעלה Linux ו-macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעולה	security_result.action_details
נתיב	target.asset.attribute.labels.key/value
סוג	target.asset.attribute.labels.key/value
נהג/ת	target.asset.attribute.labels.key/value
ספק	target.asset.attribute.labels.key/value
vendor_id	target.asset.attribute.labels.key/value
מודל	target.asset.hardware.model
model_id	target.asset.attribute.labels.key/value
מספר סידורי	target.asset.attribute.labels.key/value
גרסה	target.asset.attribute.labels.key/value
פעם	metadata.event_timestamp
eid	metadata.product_log_id

hash

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לגיבוב הסכימה ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
ספרייה	about.labels.key/value (יצא משימוש) additional.fields
md5	target.file.md5
sha1	target.file.sha1
sha256	target.file.sha256
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields
mount_namespace_id	about.labels.key/value (יצא משימוש) additional.fields

interface_addresses

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת interface_addresses ומערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
ממשק	about.labels.key/value (יצא משימוש) additional.fields
כתובת	target.ip
מסכה	about.labels.key/value (יצא משימוש) additional.fields
שליחת הודעה לכולם	about.labels.key/value (יצא משימוש) additional.fields
point_to_point	about.labels.key/value (יצא משימוש) additional.fields
סוג	about.labels.key/value (יצא משימוש) additional.fields
friendly_name	about.labels.key/value (יצא משימוש) additional.fields

interface_details

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת interface_details ומערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
ממשק	about.labels.key/value (יצא משימוש) additional.fields
Mac	target.mac
סוג	about.labels.key/value (יצא משימוש) additional.fields
mtu	about.labels.key/value (יצא משימוש) additional.fields
מדד	about.labels.key/value (יצא משימוש) additional.fields
סימונים	about.labels.key/value (יצא משימוש) additional.fields
ipackets	about.labels.key/value (יצא משימוש) additional.fields
opackets	about.labels.key/value (יצא משימוש) additional.fields
ibytes	network.sent_bytes
obytes	network.received_bytes
ierrors	about.labels.key/value (יצא משימוש) additional.fields
oerrors	about.labels.key/value (יצא משימוש) additional.fields
idrops	about.labels.key/value (יצא משימוש) additional.fields
odrops	about.labels.key/value (יצא משימוש) additional.fields
התנגשויות	about.labels.key/value (יצא משימוש) additional.fields
last_change	about.labels.key/value (יצא משימוש) additional.fields
link_speed	about.labels.key/value (יצא משימוש) additional.fields
pci_slot	about.labels.key/value (יצא משימוש) additional.fields
friendly_name	about.labels.key/value (יצא משימוש) additional.fields
description	about.labels.key/value (יצא משימוש) additional.fields
יצרן	target.asset.hardware.manufacturer
connection_id	about.labels.key/value (יצא משימוש) additional.fields
connection_status	about.labels.key/value (יצא משימוש) additional.fields
מופעל	about.labels.key/value (יצא משימוש) additional.fields
physical_adapter	about.labels.key/value (יצא משימוש) additional.fields
מהירות	about.labels.key/value (יצא משימוש) additional.fields
שירות	target.application
dhcp_enabled	about.labels.key/value (יצא משימוש) additional.fields
dhcp_lease_expires	network.dhcp.lease_time_seconds
dhcp_lease_obtained	about.labels.key/value (יצא משימוש) additional.fields
dhcp_server	network.dhcp.yiaddr
dns_domain	network.dns.questions.name
dns_domain_suffix_search_order	about.labels.key/value (יצא משימוש) additional.fields
dns_host_name	about.labels.key/value (יצא משימוש) additional.fields
dns_server_search_order	about.labels.key/value (יצא משימוש) additional.fields

interface_ipv6

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה interface_ipv6 ומערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
ממשק	about.labels.key/value (יצא משימוש) additional.fields
hop_limit	about.labels.key/value (יצא משימוש) additional.fields
forwarding_enabled	about.labels.key/value (יצא משימוש) additional.fields
redirect_accept	about.labels.key/value (יצא משימוש) additional.fields
rtadv_accept	about.labels.key/value (יצא משימוש) additional.fields

iptables

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה iptables ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
filter_name	about.labels.key/value (יצא משימוש) additional.fields
רשת	about.labels.key/value (יצא משימוש) additional.fields
policy	about.labels.key/value (יצא משימוש) additional.fields
target	about.labels.key/value (יצא משימוש) additional.fields
פרוטוקול	about.labels.key/value (יצא משימוש) additional.fields
src_port	src.port
dst_port	target.port
src_ip	src.ip
src_mask	about.labels.key/value (יצא משימוש) additional.fields
iniface	about.labels.key/value (יצא משימוש) additional.fields
iniface_mask	about.labels.key/value (יצא משימוש) additional.fields
dst_ip	target.ip
dst_mask	about.labels.key/value (יצא משימוש) additional.fields
outiface	about.labels.key/value (יצא משימוש) additional.fields
outiface_mask	about.labels.key/value (יצא משימוש) additional.fields
התאמה	about.labels.key/value (יצא משימוש) additional.fields
חבילות	about.labels.key/value (יצא משימוש) additional.fields
בייטים	network.received_bytes

kernel_panics

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לגרעין הסכימה kernel_panics ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
פעם	about.labels.key/value (יצא משימוש) additional.fields
הרשמות	about.labels.key/value (יצא משימוש) additional.fields
frame_backtrace	about.labels.key/value (יצא משימוש) additional.fields
module_backtrace	about.labels.key/value (יצא משימוש) additional.fields
של יחסי התלות	about.labels.key/value (יצא משימוש) additional.fields
name	target.process.command_line
os_version	target.platform_version
kernel_version	about.labels.key/value (יצא משימוש) additional.fields
system_model	target.asset.hardware.model
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
last_loaded	about.labels.key/value (יצא משימוש) additional.fields
last_unloaded	about.labels.key/value (יצא משימוש) additional.fields

keychain_acls

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה keychain_acls ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
keychain_path	about.labels.key/value (יצא משימוש) additional.fields
הרשאות	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.file.full_path
description	metadata.description
תווית	about.labels.key/value (יצא משימוש) additional.fields

known_hosts

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה known_hosts ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
uid	target.user.userid
key	about.labels.key/value (יצא משימוש) additional.fields
key_file	target.file.full_path

האחרון

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה last ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
שם משתמש	target.user.user_display_name
TTY	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
סוג	about.labels.key/value (יצא משימוש) additional.fields
type_name	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
מארח	target.hostname

listening_ports

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסקמת listening_ports ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
pid	target.process.pid
יציאה	target.port
פרוטוקול	network.ip_protocol
משפחה	about.labels.key/value (יצא משימוש) additional.fields
כתובת	target.ip
fd	about.labels.key/value (יצא משימוש) additional.fields
שקע (socket)	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.process.file.full_path
net_namespace	about.labels.key/value (יצא משימוש) additional.fields

logged_in_users

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה logged_in_users ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
סוג	about.labels.key/value (יצא משימוש) additional.fields
משתמש	target.user.userid
TTY	about.labels.key/value (יצא משימוש) additional.fields
מארח	target.hostname
פעם	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
sid	about.labels.key/value (יצא משימוש) additional.fields
registry_hive	about.labels.key/value (יצא משימוש) additional.fields

logon_sessions

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה logon_sessions ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
logon_id	about.labels.key/value (יצא משימוש) additional.fields
משתמש	target.user.user_display_name
logon_domain	about.labels.key/value (יצא משימוש) additional.fields
authentication_package	about.labels.key/value (יצא משימוש) additional.fields
logon_type	about.labels.key/value (יצא משימוש) additional.fields
session_id	network.session_id
logon_sid	about.labels.key/value (יצא משימוש) additional.fields
logon_time	about.labels.key/value (יצא משימוש) additional.fields
logon_server	about.labels.key/value (יצא משימוש) additional.fields
dns_domain_name	network.dns_domain
upn	about.labels.key/value (יצא משימוש) additional.fields
logon_script	about.labels.key/value (יצא משימוש) additional.fields
profile_path	target.file.full_path
home_directory	about.labels.key/value (יצא משימוש) additional.fields
home_directory_drive	about.labels.key/value (יצא משימוש) additional.fields

lxd_certificates

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה lxd_certificates ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	security_result.detection_fields.key/value
סוג	security_result.detection_fields.key/value
טביעת אצבע	security_result.detection_fields.key/value
אישור	security_result.detection_fields.key/value

lxd_networks

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת lxd_networks ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	about.labels.key/value (יצא משימוש) additional.fields
סוג	about.labels.key/value (יצא משימוש) additional.fields
מנוהלת	about.labels.key/value (יצא משימוש) additional.fields
ipv4_address	about.labels.key/value (יצא משימוש) additional.fields
ipv6_address	about.labels.key/value (יצא משימוש) additional.fields
used_by	about.labels.key/value (יצא משימוש) additional.fields
bytes_received	network.received_bytes
bytes_sent	network.sent_bytes
packets_received	about.labels.key/value (יצא משימוש) additional.fields
packets_sent	about.labels.key/value (יצא משימוש) additional.fields
hwaddr	about.labels.key/value (יצא משימוש) additional.fields
הסמוי הסופי	about.labels.key/value (יצא משימוש) additional.fields
mtu	about.labels.key/value (יצא משימוש) additional.fields

managed_policies

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת managed_policies ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
דומיין	target.administrative_domain
uuid	about.labels.key/value (יצא משימוש) additional.fields
name	about.labels.key/value (יצא משימוש) additional.fields
value	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	target.user.user_display_name
ידני	about.labels.key/value (יצא משימוש) additional.fields

memory_devices

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת memory_devices ולמערכות ההפעלה Linux ו-macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נקודת אחיזה	about.labels.key/value (יצא משימוש) additional.fields
array_handle	about.labels.key/value (יצא משימוש) additional.fields
form_factor	about.labels.key/value (יצא משימוש) additional.fields
total_width	about.labels.key/value (יצא משימוש) additional.fields
data_width	about.labels.key/value (יצא משימוש) additional.fields
size	about.labels.key/value (יצא משימוש) additional.fields
הגדרה	about.labels.key/value (יצא משימוש) additional.fields
device_locator	about.labels.key/value (יצא משימוש) additional.fields
bank_locator	about.labels.key/value (יצא משימוש) additional.fields
memory_type	about.labels.key/value (יצא משימוש) additional.fields
memory_type_details	about.labels.key/value (יצא משימוש) additional.fields
max_speed	about.labels.key/value (יצא משימוש) additional.fields
configured_clock_speed	about.labels.key/value (יצא משימוש) additional.fields
יצרן	target.asset.hardware.manufacturer
serial_number	target.asset.hardware.serial_number
asset_tag	target.asset.asset_id
part_number	about.labels.key/value (יצא משימוש) additional.fields
min_voltage	about.labels.key/value (יצא משימוש) additional.fields
max_voltage	about.labels.key/value (יצא משימוש) additional.fields
configured_voltage	about.labels.key/value (יצא משימוש) additional.fields

ntdomains

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה ntdomains ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	about.labels.key/value (יצא משימוש) additional.fields
client_site_name	about.labels.key/value (יצא משימוש) additional.fields
dc_site_name	about.labels.key/value (יצא משימוש) additional.fields
dns_forest_name	network.dns.questions.name
domain_controller_address	target.ip
domain_controller_name	about.labels.key/value (יצא משימוש) additional.fields
domain_name	target.administrative_domain
סטטוס	about.labels.key/value (יצא משימוש) additional.fields

ntfs_acl_permissions

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה ntfs_acl_permissions ומערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
סוג	about.labels.key/value (יצא משימוש) additional.fields
משתמש (principal)	about.labels.key/value (יצא משימוש) additional.fields
גישה	about.labels.key/value (יצא משימוש) additional.fields
inherited_from	about.labels.key/value (יצא משימוש) additional.fields

os_version

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה os_version ומערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	about.labels.key/value (יצא משימוש) additional.fields
גרסה	principal.platform_version
משמעותי	about.labels.key/value (יצא משימוש) additional.fields
קטין	about.labels.key/value (יצא משימוש) additional.fields
patch	principal.platform_patch_level
לבנות גרסת build	about.labels.key/value (יצא משימוש) additional.fields
פלטפורמה	principal.platform
platform_like	about.labels.key/value (יצא משימוש) additional.fields
codename	about.labels.key/value (יצא משימוש) additional.fields
קשת	about.labels.key/value (יצא משימוש) additional.fields
install_date	about.labels.key/value (יצא משימוש) additional.fields
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields
mount_namespace_id	about.labels.key/value (יצא משימוש) additional.fields

osquery_events

בטבלה הבאה מפורטים השדות ביומן והמיפויים התואמים של UDM לסכימה osquery_events ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	target.resource.name
אפליקציה לשליחת הודעות	about.label.key/value
סוג	about.label.key/value
מינויים	about.label.key/value
אירועים	about.label.key/value
רענון	about.label.key/value
פעיל	about.label.key/value

טלאים

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לתיקוני הסכימה ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
csname	target.hostname
hotfix_id	about.labels.key/value (יצא משימוש) additional.fields
כיתוב	about.labels.key/value (יצא משימוש) additional.fields
description	metadata.description
fix_comments	about.labels.key/value (יצא משימוש) additional.fields
installed_by	about.labels.key/value (יצא משימוש) additional.fields
install_date	about.labels.key/value (יצא משימוש) additional.fields
installed_on	about.labels.key/value (יצא משימוש) additional.fields

pci_devices

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה pci_devices ולמערכות ההפעלה Linux ו-macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
pci_slot	principal.labels.key/value (יצא משימוש) additional.fields
pci_class	principal.labels.key/value (יצא משימוש) additional.fields
נהג/ת	principal.labels.key/value (יצא משימוש) additional.fields
ספק	principal.labels.key/value (יצא משימוש) additional.fields
vendor_id	principal.labels.key/value (יצא משימוש) additional.fields
מודל	principal.asset.hardware.model
model_id	principal.labels.key/value (יצא משימוש) additional.fields
מערכת משנה	principal.labels.key/value (יצא משימוש) additional.fields
אקספרס	principal.labels.key/value (יצא משימוש) additional.fields
Thunderbolt	principal.labels.key/value (יצא משימוש) additional.fields
ניתן להסרה	principal.labels.key/value (יצא משימוש) additional.fields
pci_class_id	principal.labels.key/value (יצא משימוש) additional.fields
pci_subclass_id	principal.labels.key/value (יצא משימוש) additional.fields
pci_subclass	principal.labels.key/value (יצא משימוש) additional.fields
subsystem_vendor_id	principal.labels.key/value (יצא משימוש) additional.fields
subsystem_vendor	principal.labels.key/value (יצא משימוש) additional.fields
subsystem_model_id	principal.labels.key/value (יצא משימוש) additional.fields
subsystem_model	principal.labels.key/value (יצא משימוש) additional.fields

צינורות

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לצינורות הסכימה ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
pid	target.process.pid
name	target.resource.name
מופעים	about.labels.key/value (יצא משימוש) additional.fields
max_instances	about.labels.key/value (יצא משימוש) additional.fields
סימונים	about.labels.key/value (יצא משימוש) additional.fields

powershell_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת powershell_events ומערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעם	metadata.collected_timestamp
datetime	about.labels.key/value (יצא משימוש) additional.fields
script_block_id	about.labels.key/value (יצא משימוש) additional.fields
script_block_count	about.labels.key/value (יצא משימוש) additional.fields
script_text	about.labels.key/value (יצא משימוש) additional.fields
script_name	about.labels.key/value (יצא משימוש) additional.fields
script_path	target.file.full_path
cosine_similarity	about.labels.key/value (יצא משימוש) additional.fields

process_envs

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לתהליך הסכימה process_envs ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
pid	target.process.pid
key	about.labels.key
value	about.labels.value

process_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לתהליך הסכימה process_events ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
גרסה	target.platform_version
seq_num	about.labels.key/value (יצא משימוש) additional.fields
global_seq_num	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
נתיב	target.file.full_path
הורה	target.process.parent_process.pid
original_parent	about.labels.key/value (יצא משימוש) additional.fields
cmdline	target.process.command_line
cmdline_count	about.labels.key/value (יצא משימוש) additional.fields
env	about.labels.key/value (יצא משימוש) additional.fields
env_count	about.labels.key/value (יצא משימוש) additional.fields
cwd	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
euid	about.labels.key/value (יצא משימוש) additional.fields
gid	target.group.product_object_id
egid	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	target.user.user_display_name
signing_id	about.labels.key/value (יצא משימוש) additional.fields
team_id	about.labels.key/value (יצא משימוש) additional.fields
cdhash	about.labels.key/value (יצא משימוש) additional.fields
platform_binary	about.labels.key/value (יצא משימוש) additional.fields
exit_code	about.labels.key/value (יצא משימוש) additional.fields
child_pid	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
event_type	about.labels.key/value (יצא משימוש) additional.fields
eid	about.labels.key/value (יצא משימוש) additional.fields

process_file_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לתהליך הסכמה process_file_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעולה	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
ppid	target.process.parent_process.pid
פעם	about.labels.key/value (יצא משימוש) additional.fields
קובץ הפעלה	about.labels.key/value (יצא משימוש) additional.fields
חלקי	about.labels.key/value (יצא משימוש) additional.fields
cwd	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.file.full_path
dest_path	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
auid	about.labels.key/value (יצא משימוש) additional.fields
euid	about.labels.key/value (יצא משימוש) additional.fields
egid	about.labels.key/value (יצא משימוש) additional.fields
fsuid	about.labels.key/value (יצא משימוש) additional.fields
fsgid	about.labels.key/value (יצא משימוש) additional.fields
suid	about.labels.key/value (יצא משימוש) additional.fields
sgid	about.labels.key/value (יצא משימוש) additional.fields
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

process_open_sockets

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לתהליך הסכימה process_open_sockets ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
pid	principal.process.pid
fd	about.labels.key/value (יצא משימוש) additional.fields
שקע (socket)	about.labels.key/value (יצא משימוש) additional.fields
משפחה	about.labels.key/value (יצא משימוש) additional.fields
פרוטוקול	about.labels.key/value (יצא משימוש) additional.fields
local_address	principal.ip
remote_address	target.ip
local_port	principal.port
remote_port	target.port
נתיב	target.file.full_path
הסמוי הסופי	about.labels.key/value (יצא משימוש) additional.fields
net_namespace	about.labels.key/value (יצא משימוש) additional.fields

תהליכים

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לתהליכי הסכימה ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
pid	target.process.pid
name	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.process.file.full_path
cmdline	target.process.command_line
הסמוי הסופי	target.process.attribute.labels.key/value
cwd	about.labels.key/value (יצא משימוש) additional.fields
יחידה ארגונית שעברה תהליך רוט (root)	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
euid	about.labels.key/value (יצא משימוש) additional.fields
egid	about.labels.key/value (יצא משימוש) additional.fields
suid	about.labels.key/value (יצא משימוש) additional.fields
sgid	about.labels.key/value (יצא משימוש) additional.fields
on_disk	about.labels.key/value (יצא משימוש) additional.fields
wired_size	about.labels.key/value (יצא משימוש) additional.fields
resident_size	about.labels.key/value (יצא משימוש) additional.fields
total_size	about.labels.key/value (יצא משימוש) additional.fields
user_time	about.labels.key/value (יצא משימוש) additional.fields
system_time	about.labels.key/value (יצא משימוש) additional.fields
disk_bytes_read	about.labels.key/value (יצא משימוש) additional.fields
disk_bytes_written	about.labels.key/value (יצא משימוש) additional.fields
start_time	about.labels.key/value (יצא משימוש) additional.fields
הורה	target.process.parent_process.pid
pgroup	about.labels.key/value (יצא משימוש) additional.fields
שרשורים	about.labels.key/value (יצא משימוש) additional.fields
נחמד	about.labels.key/value (יצא משימוש) additional.fields
elevated_token	about.labels.key/value (יצא משימוש) additional.fields
secure_process	about.labels.key/value (יצא משימוש) additional.fields
protection_type	about.labels.key/value (יצא משימוש) additional.fields
virtual_process	about.labels.key/value (יצא משימוש) additional.fields
elapsed_time	about.labels.key/value (יצא משימוש) additional.fields
handle_count	about.labels.key/value (יצא משימוש) additional.fields
percent_processor_time	about.labels.key/value (יצא משימוש) additional.fields
upid	about.labels.key/value (יצא משימוש) additional.fields
uppid	about.labels.key/value (יצא משימוש) additional.fields
cpu_type	about.labels.key/value (יצא משימוש) additional.fields
cpu_subtype	about.labels.key/value (יצא משימוש) additional.fields

תוכניות

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לתוכניות הסכימה ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	target.resource.name
גרסה	target.platform_version
install_location	about.labels.key/value (יצא משימוש) additional.fields
install_source	about.labels.key/value (יצא משימוש) additional.fields
שפה	about.labels.key/value (יצא משימוש) additional.fields
אפליקציה לשליחת הודעות	about.labels.key/value (יצא משימוש) additional.fields
uninstall_string	target.file.full_path
install_date	about.labels.key/value (יצא משימוש) additional.fields
identifying_number	about.labels.key/value (יצא משימוש) additional.fields

scheduled_tasks

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה scheduled_tasks ומערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	target.resource.name
פעולה	security_result.action_details
נתיב	target.file.full_path
מופעל	about.labels.key/value (יצא משימוש) additional.fields
הסמוי הסופי	about.labels.key/value (יצא משימוש) additional.fields
מוסתר	about.labels.key/value (יצא משימוש) additional.fields
last_run_time	about.labels.key/value (יצא משימוש) additional.fields
next_run_time	about.labels.key/value (יצא משימוש) additional.fields
last_run_message	about.labels.key/value (יצא משימוש) additional.fields
last_run_code	about.labels.key/value (יצא משימוש) additional.fields

seccomp_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה seccomp_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעם	about.labels.key/value (יצא משימוש) additional.fields
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
auid	about.labels.key/value (יצא משימוש) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
ses	about.labels.key/value (יצא משימוש) additional.fields
pid	target.process.pid
comm	about.labels.key/value (יצא משימוש) additional.fields
exe	target.file.full_path
sig	about.labels.key/value (יצא משימוש) additional.fields
קשת	about.labels.key/value (יצא משימוש) additional.fields
syscall	about.labels.key/value (יצא משימוש) additional.fields
compat	about.labels.key/value (יצא משימוש) additional.fields
ip	about.labels.key/value (יצא משימוש) additional.fields
קוד	about.labels.key/value (יצא משימוש) additional.fields

seLinux_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM לסכימה seLinux_events ולמערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
סוג	about.labels.key/value (יצא משימוש) additional.fields
הודעה	metadata.description
פעם	about.labels.key/value (יצא משימוש) additional.fields
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

צל

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM ל-schema shadow ול-OS Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
password_status	about.labels.key/value (יצא משימוש) additional.fields
hash_alg	about.labels.key/value (יצא משימוש) additional.fields
last_change	about.labels.key/value (יצא משימוש) additional.fields
דקה	about.labels.key/value (יצא משימוש) additional.fields
מקסימום	about.labels.key/value (יצא משימוש) additional.fields
אזהרה	about.labels.key/value (יצא משימוש) additional.fields
לא פעיל	about.labels.key/value (יצא משימוש) additional.fields
פג תוקף	about.labels.key/value (יצא משימוש) additional.fields
אפשרות בשורת הפקודה (flag)	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	principal.user.user_display_name

shell_history

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת shell_history ומערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
uid	principal.user.userid
פעם	about.labels.key/value (יצא משימוש) additional.fields
פקודה	principal.process.command_line
history_file	principal.process.file.full_path

shimcache

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים ל-shimcache ול-OS Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
ערך	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.file.full_path
modified_time	target.file.last_modification_time
execution_flag	about.labels.key/value (יצא משימוש) additional.fields

חתימה

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור חתימת הסכימה ומערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
hash_resources	about.labels.key/value (יצא משימוש) additional.fields
קשת	about.labels.key/value (יצא משימוש) additional.fields
חתום	target.file.pe_file.signature_info.verified
מזהה	target.file.pe_file.signature_info.signer
cdhash	about.labels.key/value (יצא משימוש) additional.fields
team_identifier	about.labels.key/value (יצא משימוש) additional.fields
רשות	about.labels.key/value (יצא משימוש) additional.fields

sip_config

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לסכימה sip_config ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
config_flag	about.labels.key/value (יצא משימוש) additional.fields
מופעל	about.labels.key/value (יצא משימוש) additional.fields
enabled_nvram	about.labels.key/value (יצא משימוש) additional.fields

socket_events

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים ל-socket_events של סכימת OS Linux ו-macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעולה	security_result.action_details
pid	target.process.pid
נתיב	target.process.file.full_path
fd	about.labels.key/value (יצא משימוש) additional.fields
auid	target.user.userid
סטטוס	about.labels.key/value (יצא משימוש) additional.fields
משפחה	about.labels.key/value (יצא משימוש) additional.fields
פרוטוקול	about.labels.key/value (יצא משימוש) additional.fields
local_address	principal.ip
remote_address	target.ip
local_port	principal.port
remote_port	target.port
שקע (socket)	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id
הפעולה בוצעה	about.labels.key/value (יצא משימוש) additional.fields

sudoers

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה sudoers ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
מקור	about.labels.key/value (יצא משימוש) additional.fields
כותרת עליונה	about.labels.key/value (יצא משימוש) additional.fields
rule_details	about.labels.key/value (יצא משימוש) additional.fields

syslog_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה syslog_events ומערכת ההפעלה Linux:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
פעם	about.labels.key/value (יצא משימוש) additional.fields
datetime	about.labels.key/value (יצא משימוש) additional.fields
מארח	target.hostname
severity	security_result.severity (enum)
facility	about.labels.key/value (יצא משימוש) additional.fields
תג	about.labels.key/value (יצא משימוש) additional.fields
הודעה	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

system_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסקמת system_info ולמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
שם המארח	principal.administrative_domain
uuid	about.labels.key/value (יצא משימוש) additional.fields
cpu_type	about.labels.key/value (יצא משימוש) additional.fields
cpu_subtype	about.labels.key/value (יצא משימוש) additional.fields
cpu_brand	about.labels.key/value (יצא משימוש) additional.fields
cpu_physical_cores	about.labels.key/value (יצא משימוש) additional.fields
cpu_logical_cores	principal.asset.hardware.cpu_number_cores
cpu_microcode	about.labels.key/value (יצא משימוש) additional.fields
physical_memory	about.labels.key/value (יצא משימוש) additional.fields
hardware_vendor	about.labels.key/value (יצא משימוש) additional.fields
hardware_model	principal.asset.hardware.model
hardware_version	about.labels.key/value (יצא משימוש) additional.fields
hardware_serial	principal.asset.hardware.serial_number
board_vendor	about.labels.key/value (יצא משימוש) additional.fields
board_model	about.labels.key/value (יצא משימוש) additional.fields
board_version	about.labels.key/value (יצא משימוש) additional.fields
board_serial	about.labels.key/value (יצא משימוש) additional.fields
computer_name	about.labels.key/value (יצא משימוש) additional.fields
local_hostname	about.labels.key/value (יצא משימוש) additional.fields

tpm_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM לסכימה tpm_info ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
הופעל	about.labels.key/value (יצא משימוש) additional.fields
מופעל	about.labels.key/value (יצא משימוש) additional.fields
בבעלות	about.labels.key/value (יצא משימוש) additional.fields
manufacturer_version	about.labels.key/value (יצא משימוש) additional.fields
manufacturer_id	about.labels.key/value (יצא משימוש) additional.fields
manufacturer_name	principal.aseet.hardware.manufacturer
product_name	principal.resource.name
physical_presence_version	about.labels.key/value (יצא משימוש) additional.fields
spec_version	about.labels.key/value (יצא משימוש) additional.fields

usb_devices

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור הסכימה usb_devices ומערכות ההפעלה Linux ו-macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
usb_address	about.labels.key/value (יצא משימוש) additional.fields
usb_port	about.labels.key/value (יצא משימוש) additional.fields
ספק	about.labels.key/value (יצא משימוש) additional.fields
vendor_id	about.labels.key/value (יצא משימוש) additional.fields
גרסה	about.labels.key/value (יצא משימוש) additional.fields
מודל	target.asset.hardware.model
model_id	about.labels.key/value (יצא משימוש) additional.fields
מספר סידורי	target.asset.hardware.serial_number
מחלקה	about.labels.key/value (יצא משימוש) additional.fields
מחלקה משנית	about.labels.key/value (יצא משימוש) additional.fields
פרוטוקול	about.labels.key/value (יצא משימוש) additional.fields
ניתן להסרה	about.labels.key/value (יצא משימוש) additional.fields

user_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה user_events ולמערכות ההפעלה Linux,‏ macOS ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
uid	principal.user.userid
auid	principal.user.attribute.labels.key/value
pid	target.process.pid
הודעה	metadata.description
סוג	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.file.full_path
כתובת	about.labels.key/value (יצא משימוש) additional.fields
טרמינל	about.labels.key/value (יצא משימוש) additional.fields
פעם	metadata.collected_timestamp
זמן פעולה תקינה	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

user_groups

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM עבור סכימת user_groups ומערכות ההפעלה Linux,‏ macOS ו-Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
uid	principal.user.userid
gid	principal.group.product_object_id

משתמשים

בטבלה הבאה מפורטים השדות ביומן והמיפויים התואמים ב-UDM עבור המשתמשים בסכימה ובמערכות ההפעלה macOS,‏ Linux,‏ Windows ו-freebsd:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
uid	principal.user.userid
gid	principal.user.group_identifiers(repeated)
uid_signed	about.labels.key/value (יצא משימוש) additional.fields
gid_signed	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	principal.user.user_display_name
description	about.labels.key/value (יצא משימוש) additional.fields
ספרייה	about.labels.key/value (יצא משימוש) additional.fields
מעטפת	about.labels.key/value (יצא משימוש) additional.fields
uuid	principal.user.product_object_id
סוג	about.labels.key/value (יצא משימוש) additional.fields
is_hidden	about.labels.key/value (יצא משימוש) additional.fields
pid_with_namespace	about.labels.key/value (יצא משימוש) additional.fields

wifi_networks

בטבלה הבאה מפורטים שדות היומן ומיפויי ה-UDM התואמים לתרשים wifi_networks ולמערכת ההפעלה macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
ssid	target.labels.key/value (יצא משימוש) additional.fields
network_name	target.labels.key/value (יצא משימוש) additional.fields
security_type	target.labels.key/value (יצא משימוש) additional.fields
last_connected	about.labels.key/value (יצא משימוש) additional.fields
passpoint	about.labels.key/value (יצא משימוש) additional.fields
possibly_hidden	about.labels.key/value (יצא משימוש) additional.fields
נדידה	about.labels.key/value (יצא משימוש) additional.fields
roaming_profile	about.labels.key/value (יצא משימוש) additional.fields
captive_portal	about.labels.key/value (יצא משימוש) additional.fields
auto_login	target.labels.key/value (יצא משימוש) additional.fields
temporarily_disabled	target.labels.key/value (יצא משימוש) additional.fields
מושבת	target.labels.key/value (יצא משימוש) additional.fields

windows_crashes

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM לסכימה Windows_crashes ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
datetime	about.labels.key/value (יצא משימוש) additional.fields
מודול	about.labels.key/value (יצא משימוש) additional.fields
נתיב	target.process.file.full_path
pid	target.process.pid
tid	about.labels.key/value (יצא משימוש) additional.fields
גרסה	about.labels.key/value (יצא משימוש) additional.fields
process_uptime	about.labels.key/value (יצא משימוש) additional.fields
stack_trace	about.labels.key/value (יצא משימוש) additional.fields
exception_code	about.labels.key/value (יצא משימוש) additional.fields
exception_message	about.labels.key/value (יצא משימוש) additional.fields
exception_address	about.labels.key/value (יצא משימוש) additional.fields
הרשמות	about.labels.key/value (יצא משימוש) additional.fields
command_line	target.process.command_line
current_directory	about.labels.key/value (יצא משימוש) additional.fields
שם משתמש	target.user.user_display_name
machine_name	about.labels.key/value (יצא משימוש) additional.fields
major_version	about.labels.key/value (יצא משימוש) additional.fields
minor_version	about.labels.key/value (יצא משימוש) additional.fields
build_number	target.platform_version
סוג	about.labels.key/value (יצא משימוש) additional.fields
crash_path	about.labels.key/value (יצא משימוש) additional.fields

windows_eventlog

מנתח ה-Windows Event ‏ (WINEVTLOG) ממפה את האירועים האלה. מידע נוסף זמין במאמר בנושא איסוף נתוני אירועים של Microsoft Windows."

windows_events

המנתח Windows Event ‏ (WINEVTLOG) ממפה את האירועים האלה. מידע נוסף זמין במאמר בנושא איסוף נתוני אירועים של Microsoft Windows.

windows_firewall_rules

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה Windows_firewall_rules ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	about.labels.key/value (יצא משימוש) additional.fields
app_name	target.application
פעולה	security_result.action (enum)
מופעל	about.labels.key/value (יצא משימוש) additional.fields
קיבוץ	about.labels.key/value (יצא משימוש) additional.fields
כיוון	network.direction
פרוטוקול	network.ip_protocol
local_addresses	principal.ip
remote_addresses	target.ip
local_ports	principal.port
remote_ports	target.port
icmp_types_codes	about.labels.key/value (יצא משימוש) additional.fields
profile_domain	about.labels.key/value (יצא משימוש) additional.fields
profile_private	about.labels.key/value (יצא משימוש) additional.fields
profile_public	about.labels.key/value (יצא משימוש) additional.fields
service_name	about.labels.key/value (יצא משימוש) additional.fields

windows_security_center

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה Windows_security_center ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
חומת אש	security_result.detection_fields.key/value
עדכון אוטומטי	security_result.detection_fields.key/value
אנטי-וירוס	security_result.detection_fields.key/value
תוכנה נגד תוכנות ריגול	security_result.detection_fields.key/value
internet_settings	security_result.detection_fields.key/value
Windows_security_center_service	security_result.detection_fields.key/value
user_account_control	security_result.detection_fields.key/value

windows_security_products

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה Windows_security_products ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
סוג	about.labels.key/value (יצא משימוש) additional.fields
name	target.resource.name
הסמוי הסופי	about.labels.key/value (יצא משימוש) additional.fields
state_timestamp	about.labels.key/value (יצא משימוש) additional.fields
remediation_path	about.labels.key/value (יצא משימוש) additional.fields
signatures_up_to_date	about.labels.key/value (יצא משימוש) additional.fields

wmi_bios_info

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה wmi_bios_info ולמערכת ההפעלה Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
name	about.labels.key/value (יצא משימוש) additional.fields
value	about.labels.key/value (יצא משימוש) additional.fields

yara

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים של UDM לסכימה yara ולמערכות ההפעלה Linux,‏ macOS,‏ freebsd ו-Windows:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
נתיב	target.file.full_path
תואם את	about.labels.key/value (יצא משימוש) additional.fields
ספירה	about.labels.key/value (יצא משימוש) additional.fields
sig_group	security_result.detection_fields.key/value
sigfile	security_result.detection_fields.key/value
sigrule	security_result.detection_fields.key/value
מחרוזות	about.labels.key/value (יצא משימוש) additional.fields
תגים	about.labels.key/value (יצא משימוש) additional.fields
sigurl	security_result.detection_fields.key/value

yara_events

בטבלה הבאה מפורטים שדות היומן והמיפויים התואמים ב-UDM לסכימה yara_events ולמערכות ההפעלה Linux ו-macOS:

שדה ביומן	מיפוי UDM
	‫metadata.event_type ממופה ל-SETTING_MODIFICATION
target_path	target.file.full_path
קטגוריה	about.labels.key/value (יצא משימוש) additional.fields
פעולה	security_result.action_details
transaction_id	security_result.detection_fields.key/value
תואם את	about.labels.key/value (יצא משימוש) additional.fields
ספירה	about.labels.key/value (יצא משימוש) additional.fields
מחרוזות	about.labels.key/value (יצא משימוש) additional.fields
תגים	about.labels.key/value (יצא משימוש) additional.fields
פעם	about.labels.key/value (יצא משימוש) additional.fields
eid	metadata.product_log_id

המאמרים הבאים

• העברת נתונים אל Google Security Operations

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.