收集 SentinelOne EDR 記錄
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 SentinelOne Cloud Funnel，將 SentinelOne 記錄檔匯出至 Google Cloud Storage。由於 SentinelOne 未提供內建整合功能，無法直接將記錄匯出至 Google Cloud Storage，因此 Cloud Funnel 會做為中介服務，將記錄推送至 Cloud Storage。
事前準備
請確認您符合下列必要條件：
- Google SecOps 執行個體
- Google Cloud 平台特殊存取權
- SentinelOne 的特殊存取權
設定 Cloud Funnel 存取 Cloud Storage 的權限
- 登入Google Cloud 控制台。
- 前往「IAM 與管理」。
- 在「IAM」頁面中，為 Cloud Funnel 服務帳戶新增 IAM 角色：
- 指派「Storage 物件建立者」權限。
- 選用：如要讓 Cloud Funnel 從 bucket 讀取物件，請指派「Storage Object Viewer」。
- 將這些權限授予 Cloud Funnel 服務帳戶。
建立 Cloud Storage bucket
- 登入Google Cloud 控制台。
- 依序前往「儲存空間」>「瀏覽器」。
- 按一下「建立值區」。
- 提供下列設定：
- Bucket 名稱：為 bucket 選擇專屬名稱 (例如 sentinelone-logs)。
- 儲存位置：選取儲存水桶的區域 (例如 US-West1)。
- 儲存空間級別：選擇「Standard」儲存空間級別。
- 點選「建立」。
在 SentinelOne 中設定 Cloud Funnel
- 在 SentinelOne 控制台中前往「設定」。
- 找到「Cloud Funnel」選項 (位於「整合」下方)。
- 如果尚未啟用，請點選「啟用 Cloud Funnel」。
- 啟用後，系統會提示您設定「目的地」設定。
- 選取目的地：選擇「Google Cloud Storage」做為匯出記錄的目的地。
- Google Cloud Storage：提供 Google Cloud Storage 憑證。
- 記錄匯出頻率：設定記錄匯出的頻率 (例如每小時或每天)。
如何設定 Cloud Funnel 記錄匯出功能
- 在 SentinelOne 控制台的「Cloud Funnel Configuration」(雲端漏斗設定) 區段中，設定下列項目：
- 記錄匯出頻率：選擇記錄的匯出頻率 (例如每小時或每天)。
- 記錄格式：選擇 JSON 格式。
- Bucket 名稱：輸入您先前建立的 Google Cloud Storage bucket 名稱 (例如 sentinelone-logs)。
- 選用：記錄路徑前置字串：指定前置字串，在值區內整理記錄 (例如
sentinelone-logs/)。
- 設定完成後，按一下「儲存」即可套用變更。
設定動態饋給
在 Google SecOps 平台中設定動態饋給時，有兩種不同的進入點：
- 依序點選「SIEM 設定」>「動態消息」>「新增動態消息」
- 依序點選「內容中心」「內容包」「開始使用」
如何設定 SentinelOne EDR 動態饋給
- 按一下「SentinelOne」SentinelOne套件。
- 找出 SentinelOne EDR 動態消息。
- 指定下列欄位的值：
- 來源類型：Google Cloud Storage V2。
- 儲存空間 bucket URI：Google Cloud Storage bucket 來源 URI。
- 來源刪除選項：是否要在轉移後刪除檔案或目錄。在「來源刪除選項」中選取「刪除已轉移的檔案」選項。
- 檔案存在時間上限：只納入在過去幾天內修改的檔案。預設值為 180 天。
- Chronicle 服務帳戶：複製服務帳戶。您需要這項資訊，才能在值區中為這個服務帳戶新增權限，讓 Google SecOps 讀取或刪除值區中的資料。
進階選項
- 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
- 資產命名空間：與動態饋給相關聯的命名空間。
- 擷取標籤：套用至這個動態饋給所有事件的標籤。
- 點選「建立動態饋給」。
如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
event.contentHash.sha256 |
target.process.file.sha256 |
目標程序檔案的 SHA-256 雜湊值，從原始記錄的 event.contentHash.sha256 欄位擷取。 |
event.decodedContent |
target.labels |
從原始記錄的 event.decodedContent 欄位擷取的指令碼解碼內容。系統會將其新增為目標物件的標籤，並以 Decoded Content 做為鍵。 |
event.destinationAddress.address |
target.ip |
從原始記錄的 event.destinationAddress.address 欄位擷取目的地 IP 位址。 |
event.destinationAddress.port |
target.port |
從原始記錄的 event.destinationAddress.port 欄位擷取的目的地通訊埠。 |
event.method |
network.http.method |
事件的 HTTP 方法，從原始記錄的 event.method 欄位中擷取。 |
event.newValueData |
target.registry.registry_value_data |
從原始記錄的 event.newValueData 欄位擷取的登錄值新值資料。 |
event.process.commandLine |
target.process.command_line |
從原始記錄的 event.process.commandLine 欄位擷取的程序指令列。 |
event.process.executable.hashes.md5 |
target.process.file.md5 |
從原始記錄的 event.process.executable.hashes.md5 欄位擷取的程序可執行檔 MD5 雜湊。 |
event.process.executable.hashes.sha1 |
target.process.file.sha1 |
從原始記錄的 event.process.executable.hashes.sha1 欄位擷取的程序可執行檔 SHA-1 雜湊。 |
event.process.executable.hashes.sha256 |
target.process.file.sha256 |
從原始記錄的 event.process.executable.hashes.sha256 欄位擷取的程序可執行檔 SHA-256 雜湊值。 |
event.process.executable.path |
target.process.file.full_path |
從原始記錄的 event.process.executable.path 欄位擷取的可執行檔完整路徑。 |
event.process.executable.sizeBytes |
target.process.file.size |
從原始記錄的 event.process.executable.sizeBytes 欄位擷取的程序可執行檔大小。 |
event.process.fullPid.pid |
target.process.pid |
從原始記錄的 event.process.fullPid.pid 欄位擷取的程序 PID。 |
event.query |
network.dns.questions.name |
從原始記錄的 event.query 欄位擷取的 DNS 查詢。 |
event.regKey.path |
target.registry.registry_key |
從原始記錄的「event.regKey.path」欄位擷取的登錄機碼路徑。 |
event.regValue.key.value |
target.registry.registry_name、target.registry.registry_value_name |
從原始記錄的 event.regValue.key.value 欄位擷取的登錄值名稱。 |
event.regValue.path |
target.registry.registry_key |
登錄檔值的路徑，從原始記錄的 event.regValue.path 欄位中擷取。 |
event.results |
network.dns.answers.data |
從原始記錄的 event.results 欄位擷取的 DNS 答案。系統會使用「;」分隔符將資料分成個別答案。 |
event.source.commandLine |
principal.process.command_line |
來源程序的指令列，從原始記錄的 event.source.commandLine 欄位中擷取。 |
event.source.executable.hashes.md5 |
principal.process.file.md5 |
從原始記錄的 event.source.executable.hashes.md5 欄位擷取的來源程序可執行檔 MD5 雜湊。 |
event.source.executable.hashes.sha1 |
principal.process.file.sha1 |
從原始記錄的 event.source.executable.hashes.sha1 欄位擷取的來源程序可執行檔 SHA-1 雜湊值。 |
event.source.executable.hashes.sha256 |
principal.process.file.sha256 |
從原始記錄的 event.source.executable.hashes.sha256 欄位擷取的來源程序可執行檔 SHA-256 雜湊。 |
event.source.executable.path |
principal.process.file.full_path |
來源程序可執行檔的完整路徑，從原始記錄的 event.source.executable.path 欄位中擷取。 |
event.source.executable.signature.signed.identity |
principal.resource.attribute.labels |
來源程序可執行檔的已簽署身分，從原始記錄的 event.source.executable.signature.signed.identity 欄位中擷取。系統會將其新增為標籤，並以 Source Signature Signed Identity 做為主體資源屬性標籤的鍵。 |
event.source.executable.sizeBytes |
principal.process.file.size |
來源程序可執行檔的大小，從原始記錄的 event.source.executable.sizeBytes 欄位擷取。 |
event.source.fullPid.pid |
principal.process.pid |
從原始記錄的 event.source.fullPid.pid 欄位擷取的來源程序 PID。 |
event.source.parent.commandLine |
principal.process.parent_process.command_line |
來源父項程序的指令列，從原始記錄的 event.source.parent.commandLine 欄位中擷取。 |
event.source.parent.executable.hashes.md5 |
principal.process.parent_process.file.md5 |
來源父項程序可執行檔的 MD5 雜湊，從原始記錄的 event.source.parent.executable.hashes.md5 欄位中擷取。 |
event.source.parent.executable.hashes.sha1 |
principal.process.parent_process.file.sha1 |
從原始記錄的 event.source.parent.executable.hashes.sha1 欄位中擷取的來源父項程序可執行檔 SHA-1 雜湊值。 |
event.source.parent.executable.hashes.sha256 |
principal.process.parent_process.file.sha256 |
來源父項程序可執行檔的 SHA-256 雜湊值，從原始記錄的 event.source.parent.executable.hashes.sha256 欄位中擷取。 |
event.source.parent.executable.signature.signed.identity |
principal.resource.attribute.labels |
來源父項程序可執行檔的簽署身分，從原始記錄的 event.source.parent.executable.signature.signed.identity 欄位擷取。系統會將其新增為標籤，並以 Source Parent Signature Signed Identity 做為主體資源屬性標籤的鍵。 |
event.source.parent.fullPid.pid |
principal.process.parent_process.pid |
從原始記錄的 event.source.parent.fullPid.pid 欄位擷取的來源父項程序 PID。 |
event.source.user.name |
principal.user.userid |
來源程序使用者的使用者名稱，從原始記錄的 event.source.user.name 欄位中擷取。 |
event.source.user.sid |
principal.user.windows_sid |
來源程序使用者的 Windows SID，從原始記錄的 event.source.user.sid 欄位中擷取。 |
event.sourceAddress.address |
principal.ip |
來源的 IP 位址，從原始記錄的 event.sourceAddress.address 欄位中擷取。 |
event.sourceAddress.port |
principal.port |
來源的通訊埠，從原始記錄的 event.sourceAddress.port 欄位擷取。 |
event.target.executable.hashes.md5 |
target.process.file.md5 |
目標程序可執行檔的 MD5 雜湊值，從原始記錄的 event.target.executable.hashes.md5 欄位中擷取。 |
event.target.executable.hashes.sha1 |
target.process.file.sha1 |
目標程序可執行檔的 SHA-1 雜湊值，從原始記錄的 event.target.executable.hashes.sha1 欄位中擷取。 |
event.target.executable.hashes.sha256 |
target.process.file.sha256 |
目標程序可執行檔的 SHA-256 雜湊，從原始記錄的 event.target.executable.hashes.sha256 欄位中擷取。 |
event.target.executable.path |
target.process.file.full_path |
目標程序可執行檔的完整路徑，從原始記錄的 event.target.executable.path 欄位擷取。 |
event.target.executable.signature.signed.identity |
target.resource.attribute.labels |
目標程序可執行檔的簽署身分，從原始記錄的「event.target.executable.signature.signed.identity」欄位中擷取。系統會將其新增為標籤，並以 Target Signature Signed Identity 做為目標資源屬性標籤的鍵。 |
event.target.executable.sizeBytes |
target.process.file.size |
從原始記錄的 event.target.executable.sizeBytes 欄位擷取目標程序的可執行檔大小。 |
event.target.fullPid.pid |
target.process.pid |
目標程序的 PID，從原始記錄的 event.target.fullPid.pid 欄位擷取。 |
event.targetFile.path |
target.file.full_path |
目標檔案的完整路徑，從原始記錄的 event.targetFile.path 欄位擷取。 |
event.targetFile.signature.signed.identity |
target.resource.attribute.labels |
目標檔案的簽署身分，從原始記錄的 event.targetFile.signature.signed.identity 欄位中擷取。系統會將其新增為標籤，並以 Target File Signature Signed Identity 做為目標資源屬性標籤的鍵。 |
event.trueContext.key.value |
未對應至 UDM。 | |
event.type |
metadata.description |
事件類型，從原始記錄的 event.type 欄位中擷取。 |
event.url |
target.url |
從原始記錄的 event.url 欄位擷取的事件網址。 |
meta.agentVersion |
metadata.product_version，metadata.product_version |
代理程式版本，從原始記錄的 meta.agentVersion 欄位擷取。 |
meta.computerName |
principal.hostname、target.hostname |
電腦的主機名稱，從原始記錄的「meta.computerName」欄位擷取。 |
meta.osFamily |
principal.asset.platform_software.platform、target.asset.platform_software.platform |
從原始記錄的 meta.osFamily 欄位擷取的電腦作業系統系列。這項資料會對應至 linux 的 LINUX，以及 windows 的 WINDOWS。 |
meta.osRevision |
principal.asset.platform_software.platform_version、target.asset.platform_software.platform_version |
電腦的作業系統修訂版本，從原始記錄的 meta.osRevision 欄位擷取。 |
meta.traceId |
metadata.product_log_id |
從原始記錄的 meta.traceId 欄位擷取的事件追蹤記錄 ID。 |
meta.uuid |
principal.asset.product_object_id、target.asset.product_object_id |
電腦的 UUID，從原始記錄的「meta.uuid」欄位擷取。 |
metadata_event_type |
metadata.event_type |
事件類型，由剖析器邏輯根據 event.type 欄位設定。 |
metadata_product_name |
metadata.product_name |
產品名稱，由剖析器邏輯設為 Singularity XDR。 |
metadata_vendor_name |
metadata.vendor_name |
供應商名稱，由剖析器邏輯設為 SentinelOne。 |
network_application_protocol |
network.application_protocol |
網路連線的應用程式通訊協定，由剖析器邏輯設為 DNS 事件的 DNS。 |
network_dns_questions.name |
network.dns.questions.name |
從原始記錄的「event.query」欄位擷取的 DNS 問題名稱。 |
network_direction |
network.direction |
網路連線的方向，由剖析器邏輯設為 OUTBOUND (輸出連線) 和 INBOUND (輸入連線)。 |
network_http_method |
network.http.method |
事件的 HTTP 方法，從原始記錄的 event.method 欄位中擷取。 |
principal.process.command_line |
target.process.command_line |
從 principal.process.command_line 欄位擷取並對應至目標程序指令列的主體程序指令列。 |
principal.process.file.full_path |
target.process.file.full_path |
從 principal.process.file.full_path 欄位擷取，並對應至目標程序檔案完整路徑的主體程序檔案完整路徑。 |
principal.process.file.md5 |
target.process.file.md5 |
從 principal.process.file.md5 欄位擷取並對應至目標程序檔案 MD5 的主程序檔案 MD5 雜湊。 |
principal.process.file.sha1 |
target.process.file.sha1 |
從 principal.process.file.sha1 欄位擷取，並對應至目標程序檔案 SHA-1 的主要程序檔案 SHA-1 雜湊值。 |
principal.process.file.sha256 |
target.process.file.sha256 |
從 principal.process.file.sha256 欄位擷取主程序檔案的 SHA-256 雜湊值，並對應至目標程序檔案的 SHA-256。 |
principal.process.file.size |
target.process.file.size |
從 principal.process.file.size 欄位擷取並對應至目標程序檔案大小的主程序檔案大小。 |
principal.process.pid |
target.process.pid |
從 principal.process.pid 欄位擷取並對應至目標程序 PID 的主體程序 PID。 |
principal.user.userid |
target.user.userid |
主體的使用者 ID，從 principal.user.userid 欄位擷取並對應至目標使用者 ID。 |
principal.user.windows_sid |
target.user.windows_sid |
從 principal.user.windows_sid 欄位擷取主體的 Windows SID，並對應至目標使用者 Windows SID。 |
metadata.event_type |
REGISTRY_CREATION |
從變更記錄對應 |
agentDetectionInfo.agentOsName |
target.platform_version |
從變更記錄對應 |
agentDetectionInfo.agentLastLoggedInUserName |
target.user.userid |
從變更記錄對應 |
prin_user |
principal.user.userid |
從變更記錄對應 |
suser |
principal.user.userid |
從變更記錄對應 |
accountId |
target.user.userid |
從變更記錄對應 |
MessageSourceAddress |
principal.ip |
從變更記錄對應 |
machine_host |
principal.hostname |
從變更記錄對應 |
event.dns.response |
network.dns.answers.data |
從變更記錄對應 |
osName |
src.platform |
從變更記錄對應 |
site.id:account.id:agent.uuid:tgt.process.uid |
target.process.product_specific_process_id |
從變更記錄對應 |
site.id:account.id:agent.uuid:src.process.uid |
principal.process.product_specific_process_id |
從變更記錄對應 |
site.id:account.id:agent.uuid:src.process.parent.uid |
principal.process.parent_process.product_specific_process_id |
從變更記錄對應 |
tgt.process.user |
target.user.userid |
從變更記錄對應 |
metadata.event_type |
NETWORK_HTTP |
從變更記錄對應 |
indicator.category |
security_result.category_details |
從變更記錄對應 |
module.path |
target.process.file.full_path |
從變更記錄對應 |
module.sha1 |
target.process.file.sha1 |
從變更記錄對應 |
metadata.event_type |
PROCESS_MODULE_LOAD |
從變更記錄對應 |
registry.keyPath |
target.registry.registry_key |
從變更記錄對應 |
registry.value |
target.registry.registry_value_data |
從變更記錄對應 |
event.network.protocolName |
network.application_protocol |
從變更記錄對應 |
principal.platform", "principal.asset.platform_software.platform |
LINUX |
從變更記錄對應 |
event.login.userName |
target.user.userid |
從變更記錄對應 |
osSrc.process.parent.publisher |
principal.resource.attribute.labels |
從變更記錄對應 |
src.process.rUserName/src.process.eUserName/src.process.lUserName |
principal.user.user_display_name |
從變更記錄對應 |
tgt.file.location", "registry.valueFullSize", "registry.valueType |
target.resource.attribute.labels |
從變更記錄對應 |
indicator.description |
security_result.summary |
從變更記錄對應 |
metadata.event_type |
SCAN_NETWORK |
從變更記錄對應 |
metadata.event_type |
SCAN_UNCATEGORIZED |
從變更記錄對應 |
site.name:site.id |
principal.namespace |
從變更記錄對應 |
event.network.direction |
network.direction |
從變更記錄對應 |
meta.event.name |
metadata.description |
從變更記錄對應 |
task.name |
target.resource.name |
從變更記錄對應 |
agent.uuid |
principal.asset.product_object_id |
從變更記錄對應 |
src.process.publisher |
principal.resource.attribute.labels |
從變更記錄對應 |
src.process.cmdline |
target.process.command_line |
從變更記錄對應 |
mgmt.osRevision |
principal.asset.platform_software.platform_version |
從變更記錄對應 |
event.dns.response |
network.dns.answers |
從變更記錄對應 |
event.id |
target.registry.registry_value_name |
從變更記錄對應 |
event.type |
metadata.product_event_type |
從變更記錄對應 |
event.targetFile.signature.signed.identity", "event.target.executable.signature.signed.identity", "event.target.parent.executable.signature.signed.identity |
target.resource.attribute.labels |
從變更記錄對應 |
mgmt.url |
metadata.url_back_to_product |
從變更記錄對應 |
site.name |
principal.location.name |
從變更記錄對應 |
src.process.rUserUid |
principal.user.userid |
從變更記錄對應 |
src.process.eUserId |
principal.user.userid |
從變更記錄對應 |
src.process.lUserId |
principal.user.userid |
從變更記錄對應 |
src.process.parent.rUserUid |
metadata.ingestion_labels |
從變更記錄對應 |
src.process.parent.eUserId |
metadata.ingestion_labels |
從變更記錄對應 |
src.process.parent.lUserId |
metadata.ingestion_labels |
從變更記錄對應 |
tgt.process.rUserUid |
target.user.userid |
從變更記錄對應 |
tgt.process.eUserId |
target.user.userid |
從變更記錄對應 |
tgt.process.lUserId |
target.user.userid |
從變更記錄對應 |
metadata.event_type |
PROCESS_LAUNCH |
從變更記錄對應 |
metadata.event_type |
PROCESS_OPEN |
從變更記錄對應 |
metadata.event_type |
FILE_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
NETWORK_CONNECTION |
從變更記錄對應 |
metadata.event_type |
NETWORK_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
FILE_MODIfICATION |
從變更記錄對應 |
metadata.event_type |
FILE_CREATION |
從變更記錄對應 |
metadata.event_type |
FILE_DELETION |
從變更記錄對應 |
metadata.event_type |
USER_LOGIN |
從變更記錄對應 |
metadata.event_type |
USER_LOGOUT |
從變更記錄對應 |
metadata.event_type |
STATUS_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
NETWORK_DNS |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_CREATION |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_MODIfICATION |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_DELETION |
從變更記錄對應 |
metadata.event_type |
REGISTRY_MODIfICATION |
從變更記錄對應 |
metadata.event_type |
REGISTRY_DELETION |
從變更記錄對應 |
metadata.event_type |
REGISTRY_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
PROCESS_UNCATEGORIZED |
從變更記錄對應 |
account.id |
metadata.product_deployment_id |
從變更記錄對應 |
agent.uuid |
principal.asset.asset_id |
從變更記錄對應 |
dst.ip.address |
target.ip |
從變更記錄對應 |
src.ip.address |
principal.ip |
從變更記錄對應 |
src.process.parent.image.sha1 |
principal.process.parent_process.file.sha1 |
從變更記錄對應 |
src.process.parent.image.sha256 |
principal.process.parent_process.file.sha256 |
從變更記錄對應 |
src.process.parent.image.path |
principal.process.parent_process.file.full_path |
從變更記錄對應 |
src.process.parent.cmdline |
principal.process.parent_process.command_line |
從變更記錄對應 |
src.process.parent.image.md5 |
principal.process.parent_process.file.md5 |
從變更記錄對應 |
src.process.parent.pid |
principal.process.parent_process.pid |
從變更記錄對應 |
src.process.image.sha1 |
principal.process.file.sha1 |
從變更記錄對應 |
src.process.image.md5 |
principal.process.file.md5 |
從變更記錄對應 |
src.process.pid |
principal.process.pid |
從變更記錄對應 |
src.process.cmdline |
principal.process.command_line |
從變更記錄對應 |
src.process.image.path |
principal.process.file.full_path |
從變更記錄對應 |
src.process.image.sha256 |
principal.process.file.sha256 |
從變更記錄對應 |
src.process.user |
principal.user.user_display_name |
從變更記錄對應 |
src.process.uid |
principal.user.userid |
從變更記錄對應 |
src.process.storyline.id |
principal.process.product_specific_process_id |
從變更記錄對應 |
src.process.parent.storyline.id |
principal.process.parent_process.product_specific_process_id |
從變更記錄對應 |
mgmt.url |
target.url |
從變更記錄對應 |
site.id |
principal.namespace |
從變更記錄對應 |
src.port.number |
principal.port |
從變更記錄對應 |
dst.port.number |
target.port |
從變更記錄對應 |
event_data.id |
metadata.product_log_id |
從變更記錄對應 |
threatClassification |
security_result.category_details |
從變更記錄對應 |
threatConfidenceLevel" and "threatMitigationStatus |
security_result.detection_fields |
從變更記錄對應 |
Location |
principal.location.name |
從變更記錄對應 |
data.filePath |
principal.process.parent_process.file.full_path |
從變更記錄對應 |
principal_userid |
principal.user.userid |
從變更記錄對應 |
principal_domain |
principal.administrative_domain |
從變更記錄對應 |
threatInfo.threatId |
security_result.threat_id |
從變更記錄對應 |
threatInfo.identifiedAt |
metadata.event_timestamp |
從變更記錄對應 |
threatInfo.threatId |
metadata.product_log_id |
從變更記錄對應 |
security_result.alert_state |
ALERTING |
從變更記錄對應 |
threatInfo.maliciousProcessArguments |
security_result.description |
從變更記錄對應 |
threatInfo.threatName |
security_result.threat_name |
從變更記錄對應 |
threatInfo.classification |
security_result.category_details |
從變更記錄對應 |
security_result.category |
SOFTWARE_MALICIOUS |
從變更記錄對應 |
security_result.action |
ALLOW |
從變更記錄對應 |
threatInfo.mitigationStatus |
security_result.action_details |
從變更記錄對應 |
threatInfo.classification threatInfo.classificationSource threatInfo.analystVerdictDescription threatInfo.threatName |
security_result.summary |
從變更記錄對應 |
threatInfo.createdAt |
metadata.collected_timestamp |
從變更記錄對應 |
agentRealtimeInfo.accountId |
metadata.product_deployment_id |
從變更記錄對應 |
agentRealtimeInfo.agentVersion |
metadata.product_version |
從變更記錄對應 |
indicator.category |
detection_fields.key |
從變更記錄對應 |
detectionEngines.key |
detection_fields.key |
從變更記錄對應 |
event.targetFile.hashes.md5 |
target.process.file.md5 |
從變更記錄對應 |
event.targetFile.hashes.sha1 |
target.process.file.sha1 |
從變更記錄對應 |
event.targetFile.hashes.sha256 |
target.process.file.sha256 |
從變更記錄對應 |
event.file.path |
target.file.full_path |
從變更記錄對應 |
event.file.hashes.md5 |
target.process.file.md5 |
從變更記錄對應 |
event.file.hashes.sha1 |
target.process.file.sha1 |
從變更記錄對應 |
event.file.hashes.sha256 |
target.process.file.sha256 |
從變更記錄對應 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。