Recopila registros del EDR de SentinelOne

Compatible con:

En este documento, se explica cómo exportar registros de SentinelOne a Google Cloud Storage con SentinelOne Cloud Funnel. Dado que SentinelOne no ofrece una integración integrada para exportar registros directamente a Google Cloud Storage, Cloud Funnel actúa como un servicio intermediario para enviar registros a Cloud Storage.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Acceso con privilegios a la plataforma de Google Cloud
  • Acceso con privilegios a SentinelOne

Configura los permisos para que Cloud Funnel acceda a Cloud Storage

  1. Accede a la consola deGoogle Cloud .
  2. Ve a IAM y administración.
  3. En la página IAM, agrega un rol de IAM nuevo para la cuenta de servicio de Cloud Funnel:
    • Asigna permisos de Creador de objetos de Storage.
    • Opcional: Asigna el rol Visualizador de objetos de Storage si necesitas que Cloud Funnel lea objetos del bucket.
  4. Otorga estos permisos a la cuenta de servicio de Cloud Funnel.

Crea un bucket de Cloud Storage

  1. Accede a la consola deGoogle Cloud .
  2. Ve a Storage > Browser.
  3. Haz clic en Crear bucket.
  4. Proporciona los siguientes parámetros de configuración:
    • Nombre del bucket: Elige un nombre único para tu bucket (por ejemplo, sentinelone-logs).
    • Ubicación de almacenamiento: Selecciona la región en la que residirá el bucket (por ejemplo, US-West1).
    • Clase de almacenamiento: Elige una clase de almacenamiento Estándar.
  5. Haz clic en Crear.

Configura Cloud Funnel en SentinelOne

  1. En la consola de SentinelOne, ve a Settings.
  2. Busca la opción Cloud Funnel (en Integraciones).
  3. Si aún no está habilitada, haz clic en Habilitar Cloud Funnel.
  4. Una vez que la habilites, se te solicitará que configures los parámetros de Destino.
    • Selección de destino: Elige Google Cloud Storage como destino para exportar los registros.
    • Google Cloud Storage: Proporciona las credenciales de Google Cloud Storage.
    • Frecuencia de exportación de registros: Establece la frecuencia para exportar registros (por ejemplo, por hora o por día).

Cómo configurar la exportación de registros de embudos de Cloud

  1. En la sección Cloud Funnel Configuration de la consola de SentinelOne, configura lo siguiente:
    • Frecuencia de exportación de registros: Elige la frecuencia con la que se deben exportar los registros (por ejemplo, cada hora o cada día).
    • Formato de registro: Elige el formato JSON.
    • Nombre del bucket: Ingresa el nombre del bucket de Google Cloud Storage que creaste antes (por ejemplo, sentinelone-logs).
    • Opcional: Prefijo de ruta de acceso del registro: Especifica un prefijo para organizar los registros dentro del bucket (por ejemplo, sentinelone-logs/).
  2. Una vez que se configuren los parámetros, haz clic en Guardar para aplicar los cambios.

Configura feeds

Existen dos puntos de entrada diferentes para configurar feeds en la plataforma de Google SecOps:

  • Configuración de SIEM > Feeds > Agregar feed nuevo
  • Centro de contenido > Paquetes de contenido > Comenzar

Cómo configurar el feed del EDR de SentinelOne

  1. Haz clic en el paquete SentinelOne.
  2. Ubica el feed de SentinelOne EDR.
  3. Especifica los valores para los siguientes campos:
    • Tipo de fuente: Google Cloud Storage V2
    • URI del bucket de Cloud Storage: Es el URI de origen del bucket de Google Cloud Storage.
    • Opción de eliminación del código fuente: Indica si se deben borrar los archivos o directorios después de la transferencia. Selecciona la opción Borrar archivos transferidos en Opción de eliminación del código fuente.
    • Antigüedad máxima del archivo: Incluye los archivos modificados en la cantidad de días más reciente. El valor predeterminado es de 180 días.
    • Cuenta de servicio de Chronicle: Copia la cuenta de servicio. La necesitarás para agregar permisos en el bucket para que esta cuenta de servicio permita que Google SecOps lea o borre datos en el bucket.

Opciones avanzadas

  • Nombre del feed: Es un valor completado previamente que identifica el feed.
  • Espacio de nombres del activo: Es el espacio de nombres asociado con el feed.
  • Etiquetas de transferencia: Son las etiquetas que se aplican a todos los eventos de este feed.
  1. Haz clic en Crear feed.

Para obtener más información sobre cómo configurar varios feeds para diferentes tipos de registros dentro de esta familia de productos, consulta Configura feeds por producto.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
event.contentHash.sha256 target.process.file.sha256 Es el hash SHA-256 del archivo del proceso de destino, que se extrae del campo event.contentHash.sha256 en el registro sin procesar.
event.decodedContent target.labels Es el contenido decodificado de una secuencia de comandos, extraído del campo event.decodedContent en el registro sin procesar. Se agrega como una etiqueta con la clave Decoded Content al objeto de destino.
event.destinationAddress.address target.ip Es la dirección IP del destino, que se extrae del campo event.destinationAddress.address en el registro sin procesar.
event.destinationAddress.port target.port Es el puerto del destino, extraído del campo event.destinationAddress.port en el registro sin procesar.
event.method network.http.method Es el método HTTP del evento, extraído del campo event.method en el registro sin procesar.
event.newValueData target.registry.registry_value_data Son los datos del valor nuevo del registro, extraídos del campo event.newValueData en el registro sin procesar.
event.process.commandLine target.process.command_line Línea de comandos del proceso, extraída del campo event.process.commandLine en el registro sin procesar.
event.process.executable.hashes.md5 target.process.file.md5 Es el hash MD5 del archivo ejecutable del proceso, que se extrae del campo event.process.executable.hashes.md5 en el registro sin procesar.
event.process.executable.hashes.sha1 target.process.file.sha1 Es el hash SHA-1 del archivo ejecutable del proceso, que se extrae del campo event.process.executable.hashes.sha1 en el registro sin procesar.
event.process.executable.hashes.sha256 target.process.file.sha256 Es el hash SHA-256 del ejecutable del proceso, que se extrae del campo event.process.executable.hashes.sha256 en el registro sin procesar.
event.process.executable.path target.process.file.full_path Es la ruta de acceso completa del ejecutable del proceso, que se extrae del campo event.process.executable.path en el registro sin procesar.
event.process.executable.sizeBytes target.process.file.size Tamaño del archivo ejecutable del proceso, extraído del campo event.process.executable.sizeBytes en el registro sin procesar.
event.process.fullPid.pid target.process.pid Es el PID del proceso, que se extrae del campo event.process.fullPid.pid en el registro sin procesar.
event.query network.dns.questions.name Es la consulta de DNS, extraída del campo event.query en el registro sin procesar.
event.regKey.path target.registry.registry_key Es la ruta de acceso a la clave de registro, que se extrae del campo event.regKey.path en el registro sin procesar.
event.regValue.key.value target.registry.registry_name, target.registry.registry_value_name Es el nombre del valor de registro, extraído del campo event.regValue.key.value en el registro sin procesar.
event.regValue.path target.registry.registry_key Es la ruta de acceso del valor del registro, que se extrae del campo event.regValue.path en el registro sin procesar.
event.results network.dns.answers.data Son las respuestas de DNS, extraídas del campo event.results en el registro sin procesar. Los datos se dividen en respuestas individuales con el separador ";".
event.source.commandLine principal.process.command_line Línea de comandos del proceso de origen, extraída del campo event.source.commandLine en el registro sin procesar.
event.source.executable.hashes.md5 principal.process.file.md5 Es el hash MD5 del archivo ejecutable del proceso de origen, que se extrae del campo event.source.executable.hashes.md5 en el registro sin procesar.
event.source.executable.hashes.sha1 principal.process.file.sha1 Es el hash SHA-1 del archivo ejecutable del proceso de origen, que se extrae del campo event.source.executable.hashes.sha1 en el registro sin procesar.
event.source.executable.hashes.sha256 principal.process.file.sha256 Es el hash SHA-256 del archivo ejecutable del proceso de origen, que se extrae del campo event.source.executable.hashes.sha256 en el registro sin procesar.
event.source.executable.path principal.process.file.full_path Es la ruta de acceso completa del archivo ejecutable del proceso de origen, que se extrae del campo event.source.executable.path en el registro sin procesar.
event.source.executable.signature.signed.identity principal.resource.attribute.labels Es la identidad firmada del ejecutable del proceso de origen, que se extrae del campo event.source.executable.signature.signed.identity en el registro sin procesar. Se agrega como una etiqueta con la clave Source Signature Signed Identity a las etiquetas de atributos de recursos principales.
event.source.executable.sizeBytes principal.process.file.size Tamaño del ejecutable del proceso de origen, extraído del campo event.source.executable.sizeBytes en el registro sin procesar.
event.source.fullPid.pid principal.process.pid Es el PID del proceso de origen, que se extrae del campo event.source.fullPid.pid en el registro sin procesar.
event.source.parent.commandLine principal.process.parent_process.command_line Es la línea de comandos del proceso superior de la fuente, que se extrae del campo event.source.parent.commandLine en el registro sin procesar.
event.source.parent.executable.hashes.md5 principal.process.parent_process.file.md5 Es el hash MD5 del archivo ejecutable del proceso principal de la fuente, que se extrae del campo event.source.parent.executable.hashes.md5 en el registro sin procesar.
event.source.parent.executable.hashes.sha1 principal.process.parent_process.file.sha1 Es el hash SHA-1 del archivo ejecutable del proceso principal de la fuente, que se extrae del campo event.source.parent.executable.hashes.sha1 en el registro sin procesar.
event.source.parent.executable.hashes.sha256 principal.process.parent_process.file.sha256 Es el hash SHA-256 del archivo ejecutable del proceso principal de la fuente, que se extrae del campo event.source.parent.executable.hashes.sha256 en el registro sin procesar.
event.source.parent.executable.signature.signed.identity principal.resource.attribute.labels Es la identidad firmada del ejecutable del proceso principal de la fuente, que se extrae del campo event.source.parent.executable.signature.signed.identity en el registro sin procesar. Se agrega como una etiqueta con la clave Source Parent Signature Signed Identity a las etiquetas de atributos de recursos principales.
event.source.parent.fullPid.pid principal.process.parent_process.pid Es el PID del proceso principal de origen, que se extrae del campo event.source.parent.fullPid.pid en el registro sin procesar.
event.source.user.name principal.user.userid Es el nombre de usuario del proceso de origen, que se extrae del campo event.source.user.name en el registro sin procesar.
event.source.user.sid principal.user.windows_sid Es el SID de Windows del usuario del proceso de origen, que se extrae del campo event.source.user.sid en el registro sin procesar.
event.sourceAddress.address principal.ip Es la dirección IP de la fuente, que se extrae del campo event.sourceAddress.address en el registro sin procesar.
event.sourceAddress.port principal.port Es el puerto de la fuente, extraído del campo event.sourceAddress.port en el registro sin procesar.
event.target.executable.hashes.md5 target.process.file.md5 Es el hash MD5 del archivo ejecutable del proceso objetivo, que se extrae del campo event.target.executable.hashes.md5 en el registro sin procesar.
event.target.executable.hashes.sha1 target.process.file.sha1 Es el hash SHA-1 del archivo ejecutable del proceso de destino, que se extrae del campo event.target.executable.hashes.sha1 en el registro sin procesar.
event.target.executable.hashes.sha256 target.process.file.sha256 Es el hash SHA-256 del ejecutable del proceso objetivo, que se extrae del campo event.target.executable.hashes.sha256 en el registro sin procesar.
event.target.executable.path target.process.file.full_path Es la ruta de acceso completa del archivo ejecutable del proceso de destino, que se extrae del campo event.target.executable.path en el registro sin procesar.
event.target.executable.signature.signed.identity target.resource.attribute.labels Es la identidad firmada del ejecutable del proceso de destino, extraída del campo event.target.executable.signature.signed.identity en el registro sin procesar. Se agrega como una etiqueta con la clave Target Signature Signed Identity a las etiquetas de atributos del recurso de destino.
event.target.executable.sizeBytes target.process.file.size Tamaño del ejecutable del proceso de destino, extraído del campo event.target.executable.sizeBytes en el registro sin procesar.
event.target.fullPid.pid target.process.pid Es el PID del proceso de destino, que se extrae del campo event.target.fullPid.pid en el registro sin procesar.
event.targetFile.path target.file.full_path Es la ruta de acceso completa del archivo de destino, que se extrae del campo event.targetFile.path en el registro sin procesar.
event.targetFile.signature.signed.identity target.resource.attribute.labels Identidad firmada del archivo de destino, extraída del campo event.targetFile.signature.signed.identity en el registro sin procesar. Se agrega como una etiqueta con la clave Target File Signature Signed Identity a las etiquetas de atributos del recurso de destino.
event.trueContext.key.value No se asigna al UDM.
event.type metadata.description Es el tipo de evento, extraído del campo event.type en el registro sin procesar.
event.url target.url Es la URL del evento, extraída del campo event.url en el registro sin procesar.
meta.agentVersion metadata.product_version, metadata.product_version Es la versión del agente, extraída del campo meta.agentVersion en el registro sin procesar.
meta.computerName principal.hostname, target.hostname Es el nombre de host de la computadora, que se extrae del campo meta.computerName en el registro sin procesar.
meta.osFamily principal.asset.platform_software.platform, target.asset.platform_software.platform Es la familia del sistema operativo de la computadora, que se extrae del campo meta.osFamily en el registro sin procesar. Se asigna a LINUX para linux y a WINDOWS para windows.
meta.osRevision principal.asset.platform_software.platform_version, target.asset.platform_software.platform_version Revisión del sistema operativo de la computadora, extraída del campo meta.osRevision en el registro sin procesar.
meta.traceId metadata.product_log_id Es el ID de seguimiento del evento, que se extrae del campo meta.traceId en el registro sin procesar.
meta.uuid principal.asset.product_object_id, target.asset.product_object_id Es el UUID de la computadora, que se extrae del campo meta.uuid en el registro sin procesar.
metadata_event_type metadata.event_type Es el tipo de evento, que la lógica del analizador establece según el campo event.type.
metadata_product_name metadata.product_name Es el nombre del producto, establecido en Singularity XDR por la lógica del analizador.
metadata_vendor_name metadata.vendor_name Nombre del proveedor, establecido en SentinelOne por la lógica del analizador.
network_application_protocol network.application_protocol Protocolo de aplicación de la conexión de red, establecido en DNS para los eventos de DNS por la lógica del analizador.
network_dns_questions.name network.dns.questions.name Es el nombre de la pregunta de DNS, que se extrae del campo event.query en el registro sin procesar.
network_direction network.direction Es la dirección de la conexión de red, establecida en OUTBOUND para las conexiones salientes y en INBOUND para las conexiones entrantes por la lógica del analizador.
network_http_method network.http.method Es el método HTTP del evento, extraído del campo event.method en el registro sin procesar.
principal.process.command_line target.process.command_line Es la línea de comandos del proceso principal, que se extrae del campo principal.process.command_line y se asigna a la línea de comandos del proceso de destino.
principal.process.file.full_path target.process.file.full_path Es la ruta de acceso completa del archivo del proceso principal, que se extrae del campo principal.process.file.full_path y se asigna a la ruta de acceso completa del archivo del proceso de destino.
principal.process.file.md5 target.process.file.md5 Es el hash MD5 del archivo del proceso principal, que se extrae del campo principal.process.file.md5 y se asigna al hash MD5 del archivo del proceso de destino.
principal.process.file.sha1 target.process.file.sha1 Es el hash SHA-1 del archivo del proceso principal, que se extrae del campo principal.process.file.sha1 y se asigna al hash SHA-1 del archivo del proceso de destino.
principal.process.file.sha256 target.process.file.sha256 Es el hash SHA-256 del archivo del proceso principal, que se extrae del campo principal.process.file.sha256 y se asigna al hash SHA-256 del archivo del proceso de destino.
principal.process.file.size target.process.file.size Tamaño del archivo del proceso principal, extraído del campo principal.process.file.size y asignado al tamaño del archivo del proceso de destino.
principal.process.pid target.process.pid Es el PID del proceso principal, que se extrae del campo principal.process.pid y se asigna al PID del proceso de destino.
principal.user.userid target.user.userid Es el ID de usuario de la principal, que se extrae del campo principal.user.userid y se asigna al ID de usuario de destino.
principal.user.windows_sid target.user.windows_sid Es el SID de Windows del principal, que se extrae del campo principal.user.windows_sid y se asigna al SID de Windows del usuario objetivo.
metadata.event_type REGISTRY_CREATION Se asignó desde el registro de cambios
agentDetectionInfo.agentOsName target.platform_version Se asignó desde el registro de cambios
agentDetectionInfo.agentLastLoggedInUserName target.user.userid Se asignó desde el registro de cambios
prin_user principal.user.userid Se asignó desde el registro de cambios
suser principal.user.userid Se asignó desde el registro de cambios
accountId target.user.userid Se asignó desde el registro de cambios
MessageSourceAddress principal.ip Se asignó desde el registro de cambios
machine_host principal.hostname Se asignó desde el registro de cambios
event.dns.response network.dns.answers.data Se asignó desde el registro de cambios
osName src.platform Se asignó desde el registro de cambios
site.id:account.id:agent.uuid:tgt.process.uid target.process.product_specific_process_id Se asignó desde el registro de cambios
site.id:account.id:agent.uuid:src.process.uid principal.process.product_specific_process_id Se asignó desde el registro de cambios
site.id:account.id:agent.uuid:src.process.parent.uid principal.process.parent_process.product_specific_process_id Se asignó desde el registro de cambios
tgt.process.user target.user.userid Se asignó desde el registro de cambios
metadata.event_type NETWORK_HTTP Se asignó desde el registro de cambios
indicator.category security_result.category_details Se asignó desde el registro de cambios
module.path target.process.file.full_path Se asignó desde el registro de cambios
module.sha1 target.process.file.sha1 Se asignó desde el registro de cambios
metadata.event_type PROCESS_MODULE_LOAD Se asignó desde el registro de cambios
registry.keyPath target.registry.registry_key Se asignó desde el registro de cambios
registry.value target.registry.registry_value_data Se asignó desde el registro de cambios
event.network.protocolName network.application_protocol Se asignó desde el registro de cambios
principal.platform", "principal.asset.platform_software.platform LINUX Se asignó desde el registro de cambios
event.login.userName target.user.userid Se asignó desde el registro de cambios
osSrc.process.parent.publisher principal.resource.attribute.labels Se asignó desde el registro de cambios
src.process.rUserName/src.process.eUserName/src.process.lUserName principal.user.user_display_name Se asignó desde el registro de cambios
tgt.file.location", "registry.valueFullSize", "registry.valueType target.resource.attribute.labels Se asignó desde el registro de cambios
indicator.description security_result.summary Se asignó desde el registro de cambios
metadata.event_type SCAN_NETWORK Se asignó desde el registro de cambios
metadata.event_type SCAN_UNCATEGORIZED Se asignó desde el registro de cambios
site.name:site.id principal.namespace Se asignó desde el registro de cambios
event.network.direction network.direction Se asignó desde el registro de cambios
meta.event.name metadata.description Se asignó desde el registro de cambios
task.name target.resource.name Se asignó desde el registro de cambios
agent.uuid principal.asset.product_object_id Se asignó desde el registro de cambios
src.process.publisher principal.resource.attribute.labels Se asignó desde el registro de cambios
src.process.cmdline target.process.command_line Se asignó desde el registro de cambios
mgmt.osRevision principal.asset.platform_software.platform_version Se asignó desde el registro de cambios
event.dns.response network.dns.answers Se asignó desde el registro de cambios
event.id target.registry.registry_value_name Se asignó desde el registro de cambios
event.type metadata.product_event_type Se asignó desde el registro de cambios
event.targetFile.signature.signed.identity", "event.target.executable.signature.signed.identity", "event.target.parent.executable.signature.signed.identity target.resource.attribute.labels Se asignó desde el registro de cambios
mgmt.url metadata.url_back_to_product Se asignó desde el registro de cambios
site.name principal.location.name Se asignó desde el registro de cambios
src.process.rUserUid principal.user.userid Se asignó desde el registro de cambios
src.process.eUserId principal.user.userid Se asignó desde el registro de cambios
src.process.lUserId principal.user.userid Se asignó desde el registro de cambios
src.process.parent.rUserUid metadata.ingestion_labels Se asignó desde el registro de cambios
src.process.parent.eUserId metadata.ingestion_labels Se asignó desde el registro de cambios
src.process.parent.lUserId metadata.ingestion_labels Se asignó desde el registro de cambios
tgt.process.rUserUid target.user.userid Se asignó desde el registro de cambios
tgt.process.eUserId target.user.userid Se asignó desde el registro de cambios
tgt.process.lUserId target.user.userid Se asignó desde el registro de cambios
metadata.event_type PROCESS_LAUNCH Se asignó desde el registro de cambios
metadata.event_type PROCESS_OPEN Se asignó desde el registro de cambios
metadata.event_type FILE_UNCATEGORIZED Se asignó desde el registro de cambios
metadata.event_type NETWORK_CONNECTION Se asignó desde el registro de cambios
metadata.event_type NETWORK_UNCATEGORIZED Se asignó desde el registro de cambios
metadata.event_type FILE_MODIfICATION Se asignó desde el registro de cambios
metadata.event_type FILE_CREATION Se asignó desde el registro de cambios
metadata.event_type FILE_DELETION Se asignó desde el registro de cambios
metadata.event_type USER_LOGIN Se asignó desde el registro de cambios
metadata.event_type USER_LOGOUT Se asignó desde el registro de cambios
metadata.event_type STATUS_UNCATEGORIZED Se asignó desde el registro de cambios
metadata.event_type NETWORK_DNS Se asignó desde el registro de cambios
metadata.event_type SCHEDULED_TASK_CREATION Se asignó desde el registro de cambios
metadata.event_type SCHEDULED_TASK_MODIfICATION Se asignó desde el registro de cambios
metadata.event_type SCHEDULED_TASK_UNCATEGORIZED Se asignó desde el registro de cambios
metadata.event_type SCHEDULED_TASK_DELETION Se asignó desde el registro de cambios
metadata.event_type REGISTRY_MODIfICATION Se asignó desde el registro de cambios
metadata.event_type REGISTRY_DELETION Se asignó desde el registro de cambios
metadata.event_type REGISTRY_UNCATEGORIZED Se asignó desde el registro de cambios
metadata.event_type PROCESS_UNCATEGORIZED Se asignó desde el registro de cambios
account.id metadata.product_deployment_id Se asignó desde el registro de cambios
agent.uuid principal.asset.asset_id Se asignó desde el registro de cambios
dst.ip.address target.ip Se asignó desde el registro de cambios
src.ip.address principal.ip Se asignó desde el registro de cambios
src.process.parent.image.sha1 principal.process.parent_process.file.sha1 Se asignó desde el registro de cambios
src.process.parent.image.sha256 principal.process.parent_process.file.sha256 Se asignó desde el registro de cambios
src.process.parent.image.path principal.process.parent_process.file.full_path Se asignó desde el registro de cambios
src.process.parent.cmdline principal.process.parent_process.command_line Se asignó desde el registro de cambios
src.process.parent.image.md5 principal.process.parent_process.file.md5 Se asignó desde el registro de cambios
src.process.parent.pid principal.process.parent_process.pid Se asignó desde el registro de cambios
src.process.image.sha1 principal.process.file.sha1 Se asignó desde el registro de cambios
src.process.image.md5 principal.process.file.md5 Se asignó desde el registro de cambios
src.process.pid principal.process.pid Se asignó desde el registro de cambios
src.process.cmdline principal.process.command_line Se asignó desde el registro de cambios
src.process.image.path principal.process.file.full_path Se asignó desde el registro de cambios
src.process.image.sha256 principal.process.file.sha256 Se asignó desde el registro de cambios
src.process.user principal.user.user_display_name Se asignó desde el registro de cambios
src.process.uid principal.user.userid Se asignó desde el registro de cambios
src.process.storyline.id principal.process.product_specific_process_id Se asignó desde el registro de cambios
src.process.parent.storyline.id principal.process.parent_process.product_specific_process_id Se asignó desde el registro de cambios
mgmt.url target.url Se asignó desde el registro de cambios
site.id principal.namespace Se asignó desde el registro de cambios
src.port.number principal.port Se asignó desde el registro de cambios
dst.port.number target.port Se asignó desde el registro de cambios
event_data.id metadata.product_log_id Se asignó desde el registro de cambios
threatClassification security_result.category_details Se asignó desde el registro de cambios
threatConfidenceLevel" and "threatMitigationStatus security_result.detection_fields Se asignó desde el registro de cambios
Location principal.location.name Se asignó desde el registro de cambios
data.filePath principal.process.parent_process.file.full_path Se asignó desde el registro de cambios
principal_userid principal.user.userid Se asignó desde el registro de cambios
principal_domain principal.administrative_domain Se asignó desde el registro de cambios
threatInfo.threatId security_result.threat_id Se asignó desde el registro de cambios
threatInfo.identifiedAt metadata.event_timestamp Se asignó desde el registro de cambios
threatInfo.threatId metadata.product_log_id Se asignó desde el registro de cambios
security_result.alert_state ALERTING Se asignó desde el registro de cambios
threatInfo.maliciousProcessArguments security_result.description Se asignó desde el registro de cambios
threatInfo.threatName security_result.threat_name Se asignó desde el registro de cambios
threatInfo.classification security_result.category_details Se asignó desde el registro de cambios
security_result.category SOFTWARE_MALICIOUS Se asignó desde el registro de cambios
security_result.action ALLOW Se asignó desde el registro de cambios
threatInfo.mitigationStatus security_result.action_details Se asignó desde el registro de cambios
threatInfo.classification threatInfo.classificationSource threatInfo.analystVerdictDescription threatInfo.threatName security_result.summary Se asignó desde el registro de cambios
threatInfo.createdAt metadata.collected_timestamp Se asignó desde el registro de cambios
agentRealtimeInfo.accountId metadata.product_deployment_id Se asignó desde el registro de cambios
agentRealtimeInfo.agentVersion metadata.product_version Se asignó desde el registro de cambios
indicator.category detection_fields.key Se asignó desde el registro de cambios
detectionEngines.key detection_fields.key Se asignó desde el registro de cambios
event.targetFile.hashes.md5 target.process.file.md5 Se asignó desde el registro de cambios
event.targetFile.hashes.sha1 target.process.file.sha1 Se asignó desde el registro de cambios
event.targetFile.hashes.sha256 target.process.file.sha256 Se asignó desde el registro de cambios
event.file.path target.file.full_path Se asignó desde el registro de cambios
event.file.hashes.md5 target.process.file.md5 Se asignó desde el registro de cambios
event.file.hashes.sha1 target.process.file.sha1 Se asignó desde el registro de cambios
event.file.hashes.sha256 target.process.file.sha256 Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.