Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

SentinelOne Deep Visibility ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Cloud Funnel を使用して SentinelOne Deep Visibility ログを Google Cloud Storage にエクスポートし、Google Security Operations にエクスポートする方法について説明します。パーサーは、未加工の JSON 形式のセキュリティイベントログを、UDM に準拠した構造化形式に変換します。まず一連の変数を初期化し、イベントタイプを抽出して JSON ペイロードを解析し、関連するフィールドを UDM スキーマにマッピングします。Windows イベントログは個別に処理されます。

始める前に

次の前提条件を満たしていることを確認します。

Google SecOps インスタンス
Google Cloudへの特権アクセス
環境に設定された SentinelOne Deep Visibility
SentinelOne への特権アクセス

Google Cloud Storage バケットを作成する

Google Cloud コンソールにログインします。
[Cloud Storage バケット] のページに移動します。

[バケット] に移動
[作成] をクリックします。
[バケットの作成] ページでユーザーのバケット情報を入力します。以下のステップでは、操作を完了した後に [続行] をクリックして、次のステップに進みます。
1. [始める] セクションで、次の操作を行います。
  1. バケット名の要件を満たす一意の名前を入力します（例: sentinelone-deepvisibility）。
  2. 階層名前空間を有効にするには、展開矢印をクリックして [Optimize for file oriented and data-intensive workloads] セクションを開き、[このバケットで階層的な名前空間を有効にする] を選択します。
    
    注: 既存のバケットで階層名前空間を有効にすることはできません。
  3. バケットラベルを追加するには、展開矢印をクリックして [ラベル] セクションを開きます。
  4. [ラベルを追加] をクリックして、ラベルのキーと値を指定します。
2. [データの保存場所の選択] セクションで、次の操作を行います。
  1. ロケーションタイプを選択してください。
  2. ロケーションタイプメニューを使用して、バケット内のオブジェクトデータが永続的に保存されるロケーションを選択します。
    
    注: ロケーションタイプとして [デュアルリージョン] を選択した場合は、関連するチェックボックスを使用してターボレプリケーションを有効にすることもできます。
  3. クロスバケットレプリケーションを設定するには、[クロスバケットレプリケーションを設定する] セクションを開きます。
3. [データのストレージクラスを選択する] セクションで、バケットのデフォルトのストレージクラスを選択します。あるいは、Autoclass を選択して、バケットデータのストレージクラスを自動的に管理します。
4. [オブジェクトへのアクセスを制御する方法を選択する] セクションで、[なし] を選択して公開アクセスの防止を適用し、バケットのオブジェクトの [アクセス制御モデル] を選択します。
  注: プロジェクトの組織のポリシーによって公開アクセスの防止がすでに適用されている場合、[公開アクセスの防止] チェックボックスはロックされています。
5. [オブジェクトデータを保護する方法を選択する] セクションで、次の操作を行います。
  1. [データ保護] で、バケットに設定するオプションを選択します。
  2. オブジェクトデータの暗号化方法を選択するには、[データ暗号化] というラベルの付いた展開矢印をクリックし、データの暗号化方法を選択します。
[作成] をクリックします。

Google Cloud サービスアカウントを作成する

[IAM と管理] > [サービスアカウント] に移動します。
新しいサービスアカウントを作成します。
わかりやすい名前を付けます（例: sentinelone-dv-logs）。
前の手順で作成した Cloud Storage バケットに対するストレージオブジェクト作成者のロールをサービスアカウントに付与します。
サービスアカウント用の SSH キーを作成します。
サービスアカウント用の JSON キーファイルをダウンロードします。このファイルは安全に保管してください。

SentinelOne DeepVisibility で Cloud Funnel を構成する方法

SentinelOne DeepVisibility にログインします。
[Configure] > [Policy & Settings] をクリックします。
[Singularity Data Lake] セクションで、[Cloud Funnel] をクリックします。
次の構成情報を指定します。
- クラウドプロバイダ: Google Cloudを選択します。
- バケット名: SentinelOne DeepVisibility ログの取り込み用に作成した Cloud Storage バケットの名前を入力します。
- [Telemetry Streaming]: [Enable] を選択します。
- クエリフィルタ: Cloud Storage バケットにデータを送信する必要があるエージェントを含むクエリを作成します。
- [検証] をクリックします。
- 含めるフィールド: すべてのフィールドを選択します。
[保存] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリポイントがあります。

[設定] > [データ管理] > [フィード] > [新しいフィードを追加]（SIEM のみのプラットフォームでは、[設定] > [フィード] > [新しいフィードを追加]）
コンテンツハブ > コンテンツパック > 開始する

SentinelOne Deep Visibility フィードを設定する方法

[SentinelOne] パックをクリックします。
[SentinelOne Deep Visibility] ログタイプで、次のフィールドの値を指定します。
- ソースタイプ: Google Cloud Storage V2。
- Storage bucket URI: Google Cloud Storage バケットのソース URI。
- ソース削除オプション: 転送後にファイルまたはディレクトリを削除するかどうか。[ソースの削除オプション] で [転送されたファイルを削除する] オプションを選択します。
- ファイルの最長存続期間: 過去数日以内に変更されたファイルを含めます。デフォルトは 180 日です。
- Chronicle サービスアカウント: サービスアカウントをコピーします。このサービスアカウントにバケット内の権限を追加して、Google SecOps がバケット内のデータを読み取ることや削除することが可能になるようにする必要があります。

詳細オプション

フィード名: フィードを識別する事前入力された値。
アセットの名前空間: フィードに関連付けられた名前空間。
取り込みラベル: このフィードのすべてのイベントに適用されるラベル。
[フィードを作成] をクリックします。

このプロダクトファミリー内のさまざまなログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
AdapterName	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「AdapterName」フィールドから取得されます。
AdapterSuffixName	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「AdapterSuffixName」フィールドから取得されます。
agent_version	read_only_udm.metadata.product_version	この値は、未加工ログの「meta.agent_version」フィールドから取得されます。
チャネル	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「Channel」フィールドから取得されます。
commandLine	read_only_udm.principal.process.command_line	この値は、未加工ログの「event.Event...commandLine」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）で、はプロセス情報（process、source、parent など）を含むフィールドです。
computer_name	read_only_udm.principal.hostname	この値は、未加工ログの「meta.computer_name」フィールドから取得されます。
destinationAddress.address	read_only_udm.target.ip	この値は、未加工ログの「event.Event.Tcpv4.destinationAddress.address」フィールドから取得されます。
destinationAddress.port	read_only_udm.target.port	この値は、未加工ログの「event.Event.Tcpv4.destinationAddress.port」フィールドから取得されます。
DnsServerList	read_only_udm.principal.ip	この値は、未加工ログの「DnsServerList」フィールドから取得されます。
ErrorCode_new	security_result.detection_fields.value	この値は、未加工ログの「ErrorCode_new」フィールドから取得されます。
EventID	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「EventID」フィールドから取得されます。
event.Event.Dns.query	read_only_udm.network.dns.questions.name	この値は、未加工ログの「event.Event.Dns.query」フィールドから取得されます。
event.Event.Dns.results	read_only_udm.network.dns.answers.data	この値は、未加工ログの「event.Event.Dns.results」フィールドから取得されます。
event.Event.Dns.source.fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event.Dns.source.fullPid.pid」フィールドから取得されます。
event.Event.Dns.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.Dns.source.user.name」フィールドから取得されます。
event.Event.FileCreation.source.fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event.FileCreation.source.fullPid.pid」フィールドから取得されます。
event.Event.FileCreation.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.FileCreation.source.user.name」フィールドから取得されます。
event.Event.FileCreation.targetFile.path	read_only_udm.target.file.full_path	この値は、未加工ログの「event.Event.FileCreation.targetFile.path」フィールドから取得されます。
event.Event.FileDeletion.source.fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event.FileDeletion.source.fullPid.pid」フィールドから取得されます。
event.Event.FileDeletion.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.FileDeletion.source.user.name」フィールドから取得されます。
event.Event.FileDeletion.targetFile.path	read_only_udm.target.file.full_path	この値は、未加工ログの「event.Event.FileDeletion.targetFile.path」フィールドから取得されます。
event.Event.FileModification.file.path	read_only_udm.target.file.full_path	この値は、未加工ログの「event.Event.FileModification.file.path」フィールドから取得されます。
event.Event.FileModification.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.FileModification.source.user.name」フィールドから取得されます。
event.Event.FileModification.targetFile.path	read_only_udm.target.file.full_path	この値は、未加工ログの「event.Event.FileModification.targetFile.path」フィールドから取得されます。
event.Event.Http.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.Http.source.user.name」フィールドから取得されます。
event.Event.Http.url	read_only_udm.target.url	この値は、未加工ログの「event.Event.Http.url」フィールドから取得されます。
event.Event.ProcessCreation.process.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.ProcessCreation.process.user.name」フィールドから取得されます。
event.Event.ProcessCreation.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.ProcessCreation.source.user.name」フィールドから取得されます。
event.Event.ProcessExit.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.ProcessExit.source.user.name」フィールドから取得されます。
event.Event.ProcessTermination.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.ProcessTermination.source.user.name」フィールドから取得されます。
event.Event.RegKeyCreate.source.fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event.RegKeyCreate.source.fullPid.pid」フィールドから取得されます。
event.Event.RegKeyCreate.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.RegKeyCreate.source.user.name」フィールドから取得されます。
event.Event.RegKeyDelete.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.RegKeyDelete.source.user.name」フィールドから取得されます。
event.Event.RegValueModified.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.RegValueModified.source.user.name」フィールドから取得されます。
event.Event.SchedTaskDelete.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.SchedTaskDelete.source.user.name」フィールドから取得されます。
event.Event.SchedTaskRegister.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.SchedTaskRegister.source.user.name」フィールドから取得されます。
event.Event.SchedTaskStart.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.SchedTaskStart.source.user.name」フィールドから取得されます。
event.Event.SchedTaskTrigger.source.fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event.SchedTaskTrigger.source.fullPid.pid」フィールドから取得されます。
event.Event.SchedTaskTrigger.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.SchedTaskTrigger.source.user.name」フィールドから取得されます。
event.Event.Tcpv4.source.fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event.Tcpv4.source.fullPid.pid」フィールドから取得されます。
event.Event.Tcpv4.source.user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event.Tcpv4.source.user.name」フィールドから取得されます。
event.Event.Tcpv4Listen.local.address	read_only_udm.principal.ip	この値は、未加工ログの「event.Event.Tcpv4Listen.local.address」フィールドから取得されます。
event.timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.seconds	この値は、未加工ログの「event.timestamp.millisecondsSinceEpoch」フィールドから取得され、秒に変換されます。
event.timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.nanos	この値は、未加工ログの「event.timestamp.millisecondsSinceEpoch」フィールドから取得され、ナノ秒に変換されます。
event.timestamp.millisecondsSinceEpoch	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「event.timestamp.millisecondsSinceEpoch」フィールドから取得され、security_result.about.resource.attribute.labels 配列のラベルの値として使用されます。
event_type	read_only_udm.metadata.product_event_type	この値は、grok パターンを使用して未加工ログの「message」フィールドから抽出されます。
executable.hashes.md5	read_only_udm.principal.process.file.md5	値は、未加工ログの「event.Event...executable.hashes.md5」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報（process、source、parent など）を含むフィールドです。
executable.hashes.sha1	read_only_udm.principal.process.file.sha1	この値は、未加工ログの「event.Event...executable.hashes.sha1」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報を含むフィールド（process、source、parent など）です。
executable.hashes.sha256	read_only_udm.principal.process.file.sha256	この値は、未加工ログの「event.Event...executable.hashes.sha256」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報（process、source、parent など）を含むフィールドです。
executable.path	read_only_udm.principal.process.file.full_path	この値は、未加工ログの「event.Event...executable.path」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報（process、source、parent など）を含むフィールドです。
executable.sizeBytes	read_only_udm.principal.process.file.size	値は、未加工ログの「event.Event...executable.sizeBytes」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報（プロセス、ソース、親など）を含むフィールドです。
fullPid.pid	read_only_udm.principal.process.pid	この値は、未加工ログの「event.Event...fullPid.pid」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報（process、source、parent など）を含むフィールドです。
hashes.md5	read_only_udm.target.file.md5	この値は、未加工ログの「event.Event.ProcessCreation.hashes.md5」フィールドから取得されます。
hashes.sha1	read_only_udm.target.file.sha1	この値は、未加工ログの「event.Event.ProcessCreation.hashes.sha1」フィールドから取得されます。
hashes.sha256	read_only_udm.target.file.sha256	この値は、未加工ログの「event.Event.ProcessCreation.hashes.sha256」フィールドから取得されます。
IpAddress	read_only_udm.target.ip	この値は、未加工ログの「IpAddress」フィールドから取得されます。
local.address	read_only_udm.principal.ip	この値は、未加工ログの「event.Event.Tcpv4Listen.local.address」フィールドから取得されます。
local.port	read_only_udm.principal.port	この値は、未加工ログの「event.Event.Tcpv4Listen.local.port」フィールドから取得されます。
log_type	read_only_udm.metadata.log_type	この値は、未加工ログの「log_type」フィールドから取得されます。
meta.agent_version	read_only_udm.metadata.product_version	この値は、未加工ログの「meta.agent_version」フィールドから取得されます。
meta.computer_name	read_only_udm.principal.hostname	この値は、未加工ログの「meta.computer_name」フィールドから取得されます。
meta.os_family	read_only_udm.principal.platform	この値は、未加工ログの「meta.os_family」フィールドから取得され、対応するプラットフォームにマッピングされます（例: `windows` は WINDOWS、`osx` は MAC、`linux` は LINUX）。
meta.os_name	read_only_udm.principal.platform_version	この値は、未加工ログの「meta.os_name」フィールドから取得されます。
meta.os_revision	read_only_udm.principal.platform_patch_level	この値は、未加工ログの「meta.os_revision」フィールドから取得されます。
meta.uuid	read_only_udm.principal.asset_id	この値は、未加工ログの「meta.uuid」フィールドから取得され、先頭に `SENTINELONE:` が付加されます。
name	read_only_udm.principal.application	この値は、未加工ログの「event.Event...name」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）で、はプロセス情報（プロセス、ソース、親など）を含むフィールドです。
parent.executable.hashes.md5	read_only_udm.target.process.parent_process.file.md5	この値は、未加工ログの「event.Event..parent.executable.hashes.md5」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）です。
parent.executable.hashes.sha1	read_only_udm.target.process.parent_process.file.sha1	この値は、未加工ログの「event.Event..parent.executable.hashes.sha1」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）です。
parent.executable.hashes.sha256	read_only_udm.target.process.parent_process.file.sha256	この値は、未加工ログの「event.Event..parent.executable.hashes.sha256」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）です。
parent.executable.path	read_only_udm.target.process.parent_process.file.full_path	この値は、未加工ログの「event.Event..parent.executable.path」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）です。
parent.fullPid.pid	read_only_udm.target.process.parent_process.pid	この値は、未加工ログの「event.Event..parent.fullPid.pid」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）です。
パス	read_only_udm.principal.process.file.full_path	この値は、未加工ログの「event.Event...path」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報を含むフィールド（process、source、parent など）です。
process.commandLine	read_only_udm.target.process.command_line	この値は、未加工ログの「event.Event.ProcessCreation.process.commandLine」フィールドから取得されます。
process.fullPid.pid	read_only_udm.target.process.pid	この値は、未加工ログの「event.Event.ProcessCreation.process.fullPid.pid」フィールドから取得されます。
process.parent.fullPid.pid	read_only_udm.target.process.parent_process.pid	この値は、未加工ログの「event.Event.ProcessCreation.process.parent.fullPid.pid」フィールドから取得されます。
ProviderGuid	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「ProviderGuid」フィールドから取得されます。中かっこは削除されます。
クエリ	read_only_udm.network.dns.questions.name	この値は、未加工ログの「event.Event.Dns.query」フィールドから取得されます。
RecordNumber	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「RecordNumber」フィールドから取得されます。
regKey.path	read_only_udm.target.registry.registry_key	この値は、未加工ログの「event.Event.RegKeyCreate.regKey.path」フィールドまたは「event.Event.RegKeyDelete.regKey.path」フィールドから取得されます。
regValue.path	read_only_udm.target.registry.registry_key	この値は、未加工ログの「event.Event.RegValueDelete.regValue.path」フィールドまたは「event.Event.RegValueModified.regValue.path」フィールドから取得されます。
結果	read_only_udm.network.dns.answers.data	この値は、未加工ログの「event.Event.Dns.results」フィールドから取得されます。
UpdateServer を送信しました	intermediary.hostname	この値は、未加工ログの「Sent UpdateServer」フィールドから取得されます。
seq_id		このフィールドは UDM に直接マッピングされません。
signature.Status.Signed.identity		このフィールドは UDM に直接マッピングされません。
sizeBytes	read_only_udm.principal.process.file.size	この値は、未加工ログの「event.Event...sizeBytes」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報を含むフィールド（process、source、parent など）です。
sourceAddress.address	read_only_udm.principal.ip	この値は、未加工ログの「event.Event.Tcpv4.sourceAddress.address」フィールドから取得されます。
sourceAddress.port	read_only_udm.principal.port	この値は、未加工ログの「event.Event.Tcpv4.sourceAddress.port」フィールドから取得されます。
SourceName	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「SourceName」フィールドから取得されます。
ステータス		このフィールドは UDM に直接マッピングされません。
taskName	read_only_udm.target.resource.name	この値は、未加工ログの「event.Event.SchedTaskStart.taskName」、「event.Event.SchedTaskTrigger.taskName」、または「event.Event.SchedTaskDelete.taskName」フィールドから取得されます。
targetFile.hashes.md5	read_only_udm.target.file.md5	この値は、未加工ログの「event.Event.FileDeletion.targetFile.hashes.md5」フィールドまたは「event.Event.SchedTaskStart.targetFile.hashes.md5」フィールドから取得されます。
targetFile.hashes.sha1	read_only_udm.target.file.sha1	この値は、未加工ログの「event.Event.FileDeletion.targetFile.hashes.sha1」フィールドまたは「event.Event.SchedTaskStart.targetFile.hashes.sha1」フィールドから取得されます。
targetFile.hashes.sha256	read_only_udm.target.file.sha256	この値は、未加工ログの「event.Event.FileDeletion.targetFile.hashes.sha256」フィールドまたは「event.Event.SchedTaskStart.targetFile.hashes.sha256」フィールドから取得されます。
targetFile.path	read_only_udm.target.file.full_path	この値は、未加工ログの「event.Event.FileDeletion.targetFile.path」フィールドまたは「event.Event.SchedTaskStart.targetFile.path」フィールドから取得されます。
タスク	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「Task」フィールドから取得されます。
timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.seconds	この値は、未加工ログの「event.timestamp.millisecondsSinceEpoch」フィールドから取得され、秒に変換されます。
timestamp.millisecondsSinceEpoch	read_only_udm.metadata.event_timestamp.nanos	この値は、未加工ログの「event.timestamp.millisecondsSinceEpoch」フィールドから取得され、ナノ秒に変換されます。
trace_id		このフィールドは UDM に直接マッピングされません。
triggerType		このフィールドは UDM に直接マッピングされません。
trueContext		このフィールドは UDM に直接マッピングされません。
trueContext.key		このフィールドは UDM に直接マッピングされません。
trueContext.key.value		このフィールドは UDM に直接マッピングされません。
type	read_only_udm.network.dns.answers.type	この値は、未加工ログの「event.Event.Dns.results」フィールドから取得され、正規表現を使用して抽出されます。
URL	read_only_udm.target.url	この値は、未加工ログの「event.Event.Http.url」フィールドから取得されます。
user.name	read_only_udm.principal.user.userid	この値は、未加工ログの「event.Event...user.name」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報を含むフィールド（process、source、parent など）です。
user.sid	read_only_udm.principal.user.windows_sid	この値は、未加工ログの「event.Event...user.sid」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）で、はプロセス情報（プロセス、ソース、親など）を含むフィールドです。
UserID	read_only_udm.target.user.windows_sid	この値は、Windows SID パターンと一致する場合にのみ、未加工ログの「UserID」フィールドから取得されます。
UserSid	read_only_udm.target.user.windows_sid	この値は、Windows SID パターンと一致する場合にのみ、未加工ログの「UserSid」フィールドから取得されます。
valueType		このフィールドは UDM に直接マッピングされません。
winEventLog.channel	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「winEventLog.channel」フィールドから取得されます。
winEventLog.description		このフィールドは UDM に直接マッピングされません。
winEventLog.id	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「winEventLog.id」フィールドから取得されます。
winEventLog.level	security_result.severity	この値は、未加工ログの「winEventLog.level」フィールドから取得され、対応する重大度レベル（例: `Warning` から MEDIUM）にマッピングされます。
winEventLog.providerName	security_result.about.resource.attribute.labels.value	この値は、未加工ログの「winEventLog.providerName」フィールドから取得されます。
winEventLog.xml		このフィールドは UDM に直接マッピングされません。
	read_only_udm.metadata.event_type	値は「event_type」フィールドに基づいて決定され、対応する UDM イベントタイプにマッピングされます。
	read_only_udm.metadata.vendor_name	値は `SentinelOne` に設定されています。
	read_only_udm.metadata.product_name	値は `Deep Visibility` に設定されています。
	read_only_udm.metadata.product_log_id	この値は、未加工ログの「trace.id」フィールドから取得されます。ただし、`PROCESSCREATION` と等しい「meta.event.name」を持つイベントのみが対象です。
	read_only_udm.metadata.product_deployment_id	この値は、未加工ログの「account.id」フィールドから取得されます。ただし、`PROCESSCREATION` と等しい「meta.event.name」を持つイベントのみが対象です。
	read_only_udm.metadata.url_back_to_product	この値は、未加工ログの「mgmt.url」フィールドから取得されます。ただし、「meta.event.name」が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.metadata.ingestion_labels.key	「meta.event.name」が `PROCESSCREATION` と等しいイベントの場合、値は `Process eUserUid` または `Process lUserUid` に設定されます。
	read_only_udm.metadata.ingestion_labels.value	この値は、未加工ログの「src.process.eUserUid」フィールドまたは「src.process.lUserUid」フィールドから取得されます。ただし、「meta.event.name」が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.principal.administrative_domain	未加工ログの「event.Event...user.name」フィールドのドメイン部分。は特定のイベントタイプ（ProcessCreation、ProcessExit など）、はプロセス情報を含むフィールド（process、source、parent など）です。
	read_only_udm.target.process.parent_process.command_line	この値は、未加工ログの「event.Event..parent.commandLine」フィールドから取得されます。ここで、は特定のイベントタイプ（ProcessCreation、ProcessExit など）です。
	read_only_udm.target.file	'event_type' が `FileCreation`、`FileDeletion`、`FileModification`、`SchedTaskStart`、`ProcessCreation` のいずれでもない場合、空のオブジェクトが作成されます。
	read_only_udm.network.ip_protocol	この値は、event_type が `Tcpv4`、`Tcpv4Listen`、`Http` のいずれかであるイベントの場合、TCP に設定されます。
	read_only_udm.network.application_protocol	「event_type」が `Dns` と等しいイベントの場合、値は DNS に設定されます。
	read_only_udm.target.resource.type	「event_type」が `SchedTaskStart`、`SchedTaskTrigger`、`SchedTaskDelete` のいずれかであるイベントの場合、この値は `TASK` に設定されます。
	read_only_udm.target.resource.resource_type	「event_type」が `SchedTaskStart`、`SchedTaskTrigger`、`SchedTaskDelete` のいずれかであるイベントの場合、値は TASK に設定されます。
	read_only_udm.principal.process.product_specific_process_id	未加工ログに「ExecutionThreadID」フィールドが存在する場合、値は `ExecutionThreadID:<ExecutionThreadID>` に設定されます。
	read_only_udm.principal.asset.asset_id	未加工ログに「agent.uuid」フィールドが存在する場合、値は `Device ID:<agent.uuid>` に設定されます。
	read_only_udm.principal.namespace	この値は、未加工ログの「site.id」フィールドから取得されます。ただし、「meta.event.name」が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.principal.location.name	この値は、未加工ログの「site.name」フィールドから取得されます。ただし、「meta.event.name」が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.principal.resource.attribute.labels.key	「meta.event.name」が `PROCESSCREATION` と等しいイベントの場合、値は `src.process.displayName`、`src.process.uid`、`isRedirectCmdProcessor`、`isNative64Bit`、`isStorylineRoot`、`signedStatus`、`src process subsystem`、`src process integrityLevel`、または `childProcCount` に設定されます。
	read_only_udm.principal.resource.attribute.labels.value	この値は、未加工ログの対応するフィールドから取得されます。ただし、'meta.event.name' が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.target.user.userid	この値は、未加工ログの「tgt.process.uid」フィールドから取得されます。ただし、「meta.event.name」が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.target.user.user_display_name	この値は、未加工ログの「tgt.process.displayName」フィールドから取得されます。ただし、「meta.event.name」が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.target.resource.attribute.labels.key	「meta.event.name」が `PROCESSCREATION` と等しいイベントの場合、値は `isRedirectCmdProcessor`、`isNative64Bit`、`isStorylineRoot`、`signedStatus`、`file_isSigned`、`tgt process subsystem`、`tgt process integrityLevel` のいずれかに設定されます。
	read_only_udm.target.resource.attribute.labels.value	この値は、未加工ログの対応するフィールドから取得されます。ただし、'meta.event.name' が `PROCESSCREATION` と等しいイベントのみが対象です。
	read_only_udm.security_result.about.resource.attribute.labels.key	「meta.event.name」が `PROCESSCREATION` と等しいイベントの場合、値は `tgt.process.storyline.id`、`endpoint_type`、`packet_id`、`src.process.storyline.id`、`src.process.parent.storyline.id` のいずれかに設定されます。
	read_only_udm.security_result.about.resource.attribute.labels.value	この値は、未加工ログの対応するフィールドから取得され、ストーリーライン ID の場合は `ID:` が先頭に追加されます。これは、「meta.event.name」が `PROCESSCREATION` と等しいイベントにのみ適用されます。
	read_only_udm.security_result.category_details	「meta.event.name」が `PROCESSCREATION` と等しいイベントの場合、値は `security` に設定されます。
	read_only_udm.target.asset.product_object_id	この値は、未加工ログの「AdapterName」フィールドから取得されます。ただし、`EVENTLOG` と等しい「meta.event.name」を持つイベントのみが対象です。
	security_result.about.resource.attribute.labels.key	「meta.event.name」が `EVENTLOG` と等しいイベントの場合、値は `TimeCreated SystemTime`、`EventID`、`Task`、`Channel`、`ProviderGuid`、`RecordNumber`、`SourceName`、`endpoint_type`、または `packet_id` に設定されます。
	security_result.detection_fields.key	「meta.event.name」が `EVENTLOG` で、「ActivityID」フィールドが空でないイベントの場合、値は `Activity ID` に設定されます。
	security_result.detection_fields.value	この値は、未加工ログの「ActivityID」フィールドから取得されます。ただし、'meta.event.name' が `EVENTLOG` と等しく、'ActivityID' フィールドが空でないイベントのみが対象です。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。