Microsoft PowerShell-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Microsoft PowerShell-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Microsoft PowerShell ist ein Framework für die Aufgabenautomatisierung und die Konfigurationsverwaltung von Microsoft, das aus einer Befehlszeilenshell und einer Skriptsprache besteht. PowerShell-Logs erfassen die Skriptausführung, Modulaktivitäten und Befehlsaufrufe. Sie bieten Einblick in PowerShell-Vorgänge für das Sicherheitsmonitoring und die forensische Analyse.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Google SecOps-Instanz
• Windows Server 2016 oder höher
• Netzwerkverbindung zwischen dem Windows-Host und Google SecOps
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Administratorzugriff auf den Windows-Host zum Konfigurieren der PowerShell-Protokollierung und zum Installieren des Bindplane-Agents

PowerShell-Logging konfigurieren

Das PowerShell-Logging muss auf Windows-Hosts aktiviert sein, bevor Logs erfasst werden können. Standardmäßig ist das PowerShell-Logging minimal. Aktivieren Sie die Protokollierung von Skriptblöcken, um detaillierte PowerShell-Aktivitäten zu erfassen.

Script Block Logging mithilfe von Gruppenrichtlinien aktivieren

1. Öffnen Sie den Editor für lokale Gruppenrichtlinien, indem Sie gpedit.msc als Administrator ausführen.
2. Gehen Sie zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell.
3. Doppelklicken Sie auf PowerShell-Skriptblock-Logging aktivieren.
4. Wählen Sie Aktiviert aus.
5. Optional können Sie Log script block invocation start / stop events (Start-/Stoppereignisse für Skriptblockaufrufe protokollieren) aktivieren, um Start- und Stoppereignisse für jeden Skriptblock zu erfassen. Beachten Sie, dass bei dieser Option eine große Menge an Logs generiert wird.
6. Klicken Sie auf OK.
7. Öffnen Sie die Eingabeaufforderung als Administrator und führen Sie gpupdate /force aus, um die Richtlinie sofort anzuwenden.

Script Block Logging über die Registry aktivieren

Alternativ können Sie die Protokollierung von Script-Blöcken aktivieren, indem Sie den folgenden Registrierungswert festlegen:

1. Öffnen Sie den Registrierungs-Editor, indem Sie regedit als Administrator ausführen.
2. Rufen Sie HKLM\SOFTWARE\Policies\Microsoft\Windows\PowerShell\ScriptBlockLogging auf.
3. Wenn der Schlüssel nicht vorhanden ist, erstellen Sie ihn.
4. Erstellen Sie einen neuen DWORD-Wert (32-Bit) mit dem Namen EnableScriptBlockLogging und legen Sie den Wert auf 1 fest.
5. Starten Sie die PowerShell-Sitzungen neu, damit die Änderung wirksam wird.

Bei der PowerShell-Skriptblockprotokollierung werden Ereignisse mit der Ereignis-ID 4104 in den Ereignisprotokollkanal Microsoft-Windows-PowerShell/Operational geschrieben.

Optional: Modul-Logging aktivieren

Beim Modul-Logging werden Details zur Pipelineausführung für die angegebenen Module aufgezeichnet. So aktivieren Sie das Modul-Logging für alle Module:

1. Gehen Sie im Editor für lokale Gruppenrichtlinien zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell.
2. Doppelklicken Sie auf Modul-Logging aktivieren.
3. Wählen Sie Aktiviert aus.
4. Klicken Sie neben Modulnamen auf Anzeigen.
5. Geben Sie * ein, um alle Module zu protokollieren.
6. Klicken Sie im Fenster Modulnamen auf OK.
7. Klicken Sie im Fenster Modul-Logging auf OK.
8. Führen Sie gpupdate /force aus, um die Richtlinie anzuwenden.

Modul-Logging-Ereignisse werden mit der Ereignis-ID 4103 in das Windows PowerShell-Ereignisprotokoll geschrieben.

Optional: Transkription aktivieren

Bei der Transkription wird ein textbasierter Datensatz aller Eingaben und Ausgaben der PowerShell-Sitzung erstellt. So aktivieren Sie die Transkription:

1. Gehen Sie im Editor für lokale Gruppenrichtlinien zu Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows PowerShell.
2. Doppelklicken Sie auf PowerShell-Transkription aktivieren.
3. Wählen Sie Aktiviert aus.
4. Optional können Sie ein Ausgabeverzeichnis für das Transkript angeben. Wenn Sie das Feld leer lassen, werden Transkripte im Ordner „Dokumente“ jedes Nutzers gespeichert.
5. Klicken Sie auf Aufrufheader einfügen, um Zeitstempel und Metadaten einzufügen.
6. Klicken Sie auf OK.
7. Führen Sie gpupdate /force aus, um die Richtlinie anzuwenden.

Transkripte werden in Textdateien geschrieben, deren Namen mit PowerShell_transcript beginnen.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten auf Ihrem Windows-Host gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird der neueste Release installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agenten für die Erfassung von PowerShell-Logs konfigurieren

Windows-Konfigurationsdatei suchen

• Suchen Sie die Windows-Konfigurationsdatei so:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    windowseventlog/powershell:
      channel: Microsoft-Windows-PowerShell/Operational
      max_reads: 100
      poll_interval: 5s
      raw: true
      start_at: end
  
  processors:
    batch:
  
  exporters:
    chronicle/powershell:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: 'POWERSHELL'
      raw_log_field: body
      override_log_type: false
  
  service:
    pipelines:
      logs/powershell:
        receivers:
          - windowseventlog/powershell
        processors:
          - batch
        exporters:
          - chronicle/powershell
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • channel: Der Windows-Ereignisprotokollkanal, aus dem Daten erfasst werden sollen. Verwenden Sie für die PowerShell-Skriptblockprotokollierung Microsoft-Windows-PowerShell/Operational. Verwenden Sie für das Modul-Logging Windows PowerShell.
  • raw: Legen Sie true fest, um unformatiertes Windows-Ereignisprotokoll-XML an Google SecOps zu senden.
  • start_at: Setzen Sie den Wert auf end, damit nur neue Ereignisse erfasst werden, nachdem der Agent gestartet wurde. Legen Sie beginning fest, um alle vorhandenen Ereignisse zu erfassen.

• Exporter-Konfiguration:

  • <CUSTOMER_ID>: Ersetzen Sie diesen Platzhalter durch die Kunden-ID aus dem vorherigen Schritt.
  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1). Kopieren Sie die Datei mit den Anmeldedaten an diesen Speicherort.
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.

  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

  • log_type: Legen Sie POWERSHELL fest, um den PowerShell-Parser zu verwenden.

Exporter für die Legacy Ingestion API

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/powershell:
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'POWERSHELL'
      raw_log_field: body
      override_log_type: false
  

Hinweis: Dieser Exporteur funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

Klicken Sie nach dem Bearbeiten auf Datei > Speichern, um die Datei zu speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Windows

• Über die Eingabeaufforderung oder PowerShell als Administrator:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

• Oder über die Dienste-Konsole:

  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  4. Prüfen Sie, ob der Dienst ausgeführt wird:

     sc query observiq-otel-collector
     

  5. Logs auf Fehler prüfen:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

Logaufnahme prüfen

Nachdem Sie den Bindplane-Agent konfiguriert und den Dienst neu gestartet haben, sollten PowerShell-Logs an Google SecOps gesendet werden.

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Klicken Sie auf Untersuchen > Suche.

3. Führen Sie die folgende Suche aus, um zu prüfen, ob PowerShell-Logs aufgenommen werden:

   metadata.log_type = "POWERSHELL"
   

4. Prüfen Sie, ob Ereignisse mit aktuellen Zeitstempeln angezeigt werden.

PowerShell-Ereignisse für die Protokollierung von Skriptblöcken (Ereignis-ID 4104) enthalten Details zu ausgeführten Skriptblöcken, einschließlich des Skriptinhalts, der Skriptblock-ID und des Ausführungskontexts.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
HostId	principal.resource.product_object_id	Eindeutige Kennung für das Produktobjekt, das der Hauptressource zugeordnet ist
System.Version	metadata.product_version	Version des Produkts, durch das das Ereignis hervorgerufen wurde
System.EventId, EventID, winlog.event_id	metadata.product_event_type	Ereignistyp, wie vom Produkt definiert
Computer, System.Computer, computer, winlog.computer_name	principal.hostname	Hostname der Hauptidentität
Computer, System.Computer, computer, winlog.computer_name	principal.asset.hostname	Hostname des Assets, das mit dem Hauptkonto verknüpft ist
System.EventRecordID, RecordNumber, winlog.record_id	metadata.product_log_id	Eindeutige Kennung für den Logeintrag im Logsystem des Produkts
System.Opcode, opcode, winlog.opcode	metadata.description	Beschreibung des Ereignisses oder zusätzlicher Kontext
ProviderGuid, winlog.provider_guid	metadata.product_deployment_id	Eindeutige Kennung für die Bereitstellung des Produkts
System.ProcessID, ProcessID, ExecutionProcessID, execution.process_id, winlog.process.pid	principal.process.pid	Prozess-ID des Hauptprozesses
SourceModuleName	principal.resource.name	Name der Ressource, die mit dem Hauptkonto verknüpft ist
SourceModuleType	principal.resource.resource_subtype	Untertyp der Ressource, die dem Prinzipal zugeordnet ist
security.user_id, UserID, winlog.user.identifier	principal.user.windows_sid	Windows-Sicherheitskennung (SID) für den Hauptnutzer
	metadata.event_type	Ereignistyp (z.B. USER_LOGIN, NETWORK_CONNECTION)
SourceName, winlog.provider_name	metadata.product_name	Name des Produkts, das das Ereignis erzeugt hat
AccountName, Username, UserName, winlog.user.name	principal.user.userid	Nutzer-ID des Hauptnutzers
Domain, winlog.user.domain	principal.administrative_domain	Verwaltungsbereich des Auftraggebers
Path, target_file, ScriptName, script_name, ContextInfo_Script Name, file_path	target.process.file.full_path	Vollständiger Pfad zur Datei, die dem Zielprozess zugeordnet ist
Hostname, powershell.Host Name, ContextInfo_Host Name	target.hostname	Hostname der Zielentität
Hostname, powershell.Host Name, ContextInfo_Host Name	target.asset.hostname	Hostname des mit dem Ziel verknüpften Assets
Host-ID, HostID, ContextInfo_Host ID	target.asset.asset_id	Eindeutige Kennung für das Ziel-Asset.
Nombre_de_comando, ContextInfo_Command Name, CommandName	target.application	Name der Anwendung, die mit dem Ziel verknüpft ist
HostApplication, ContextInfo_Host Application	target.process.command_line	Befehlszeile, die zum Starten des Zielprozesses verwendet wurde
ScriptBlockText	target.process.command_line	Befehlszeile zum Starten des Zielprozesses
MessageSourceAddress	principal.ip	IP-Adresse des Hauptkontos
MessageSourceAddress	principal.asset.ip	IP-Adresse des mit dem Rechtssubjekt verknüpften Assets
Nombre_de_host	principal.application	Name der Anwendung, die mit dem Hauptkonto verknüpft ist
Version_de_host	principal.platform_version	Version der Plattform, die mit dem Hauptkonto verknüpft ist
Id_de_host	principal.resource.id	Eindeutige Kennung für die Hauptkontoressource
Application_host	principal.process.file.full_path	Vollständiger Pfad zur Datei, die mit dem Hauptprozess verknüpft ist
HostApplication	principal.process.command_line	Befehlszeile zum Starten des Hauptprozesses
Usuario, admin_domain	principal.user.userid	Nutzer-ID des Hauptnutzers
Usuario, admin_domain	principal.administrative_domain	Verwaltungsdomain des Hauptkontos
CommandLine	principal.process.command_line	Befehlszeile, die zum Starten des Hauptprozesses verwendet wurde
Maschine, machine_id	principal.asset.asset_id	Eindeutige Kennung für das Haupt-Asset.
Machine, platform_software	principal.asset.platform_software.platform	Plattformtyp des Assets (z.B. WINDOWS, LINUX)
Machine, platform_software	principal.asset.platform_software.platform_version	Version der Plattformsoftware auf dem Asset
MessageSourceAddress	intermediary.ip	IP-Adresse der Zwischenentität
MessageSourceAddress, Hostname	intermediary.hostname	Hostname der zwischengeschalteten Entität
MessageSourceAddress, Hostname	intermediary.asset.hostname	Hostname des mit dem Vermittler verknüpften Assets
MessageSourceAddress	intermediary.port	Vom Intermediär verwendete Portnummer
HostApplication	target.process.command_line	Befehlszeile, die zum Starten des Zielprozesses verwendet wurde
HostId	target.asset.asset_id	Eindeutige Kennung für das Ziel-Asset.
SequenceNumber, ContextInfo_Sequence Number, Sequence Number	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Informationen zur Erkennung
ProviderName	principal.resource.attribute.labels	Labels oder Attribute, die mit der Hauptressource verknüpft sind
NewEngineState	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
PreviousEngineState	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
ScriptName	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
ManagementGroupName	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
Quelle	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
RenderedDescription	security_result.description	Beschreibung des Sicherheitsergebnisses oder der ergriffenen Maßnahme
TenantId	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
Nutzername	principal.user.userid	Nutzer-ID des Hauptnutzers
ActivityID	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
ExecutionThreadID, execution.thread_id, winlog.process.thread.id	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Informationen zur Erkennung
Ausgabe	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
Daten	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
Data_1	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
data_1	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
Data_2	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
winlog.activity_id	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
winlog.api	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
winlog.channel	principal.resource.attribute.labels	Labels oder Attribute, die mit der Hauptressource verknüpft sind
Offset	additional.fields	Zusätzliche benutzerdefinierte Felder, die nicht vom Standard-UDM-Schema abgedeckt werden
SeverityValue	security_result.detection_fields	Schlüssel/Wert-Paare mit zusätzlichen Erkennungsinformationen
intermediary	intermediary	Details zu den am Ereignis beteiligten Zwischenstellen
security_result	security_result	Gesamtes Sicherheitsergebnis, einschließlich Aktionen, Schweregrade und Erkennungen
	metadata.vendor_name	Name des Anbieters, der das Ereignis produziert hat
SourceName	metadata.product_name	Name des Produkts, das das Ereignis ausgelöst hat
syslog_host	event.idm.read_only_udm.intermediary.hostname	Aus Änderungsprotokoll zugeordnet
Computer	event.idm.read_only_udm.intermediary.hostname	Aus Änderungsprotokoll zugeordnet
Version	event.idm.read_only_udm.metadata.product_version	Aus Änderungsprotokoll zugeordnet
Task	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
OpcodeValue	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
ThreadID	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
AccountType	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
Offset	event1.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
SeverityValue	event1.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
NewEngineState", "PreviousEngineState", "HostVersion", "RunspaceId", "SequenceNumber", "EngineVersion" and "PipelineId	additional.fields	Aus Änderungsprotokoll zugeordnet
Payload	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
Script Name	target.file.full_path	Aus Änderungsprotokoll zugeordnet
SystemTime	metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
channel", "keywords", "MessageNumber", "MessageTotal", and "ScriptBlockId	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
System.ProviderName	principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
HostVersion", "RunspaceId", "PipelineId", "EngineVersion", "DetailSequence", "DetailTotal", "SequenceNumber", and "ScriptName	additional.fields	Aus Änderungsprotokoll zugeordnet
System.EventRecordID", "System.Task", "System.Keywords", "System.Opcode", and "System.ThreadID	security.detection_fields	Aus Änderungsprotokoll zugeordnet
EventLevelName	security_result.severity	Aus Änderungsprotokoll zugeordnet
ManagementGroupName", "Source", "TenantId	additional_fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten