Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

SentinelOne のアクティビティログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage V2 を使用して SentinelOne アクティビティログを Google Security Operations に取り込む方法について説明します。

SentinelOne Singularity は、エンドポイント、クラウドワークロード、IoT デバイスにわたってリアルタイムの予防、検出、対応機能を提供する自律型エンドポイント保護プラットフォームです。アクティビティログには、ユーザーログイン、ポリシーの変更、脅威管理アクション、エージェントのインストール、システム構成の変更など、SentinelOne 環境の管理イベントと運用イベントが記録されます。これらのアクティビティログは、SentinelOne REST API を介してエクスポートし、Google SecOps による取り込みのために GCS バケットに書き込むことができます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Cloud Storage API が有効になっている GCP プロジェクト
GCS バケットを作成、管理する権限
Cloud Run サービス、Pub/Sub トピック、Cloud Scheduler ジョブを作成する権限
API アクセス権を持つ SentinelOne Singularity 管理コンソール
閲覧者以上のロールを持つ SentinelOne サービスユーザーアカウント

SentinelOne API トークンを生成する

https://<your-management-url>.sentinelone.net で SentinelOne 管理コンソールにログインします。
[Settings] > [Users] > [Service Users] に移動します。
[Actions] > [Create New Service User] をクリックします。
次の構成情報を指定します。
- 名前: わかりやすい名前を入力します（例: SIEM Activity Log Integration）。
- 有効期限: 有効期限を設定するか、デフォルトのままにします。
- スコープのレベル: 適切なスコープ（アカウントまたはサイト）を選択します。
- ロール: [閲覧者] を選択します（アクティビティログの読み取りに必要な最小限のロール）。
[Create User] をクリックします。
ダイアログに API トークンが表示されます。
API トークンをコピーして安全に保存します。

API アクセスを確認する

統合に進む前に、認証情報をテストします。

S1_BASE_URL="https://your-management-url.sentinelone.net"
S1_API_TOKEN="your-api-token"

curl -s -X GET "${S1_BASE_URL}/web/api/v2.1/activities?limit=2" \
    -H "Authorization: ApiToken ${S1_API_TOKEN}" \
    | python3 -m json.tool

リクエストが成功すると、アクティビティレコードを含む data 配列と pagination オブジェクトを含む JSON オブジェクトが返されます。

{
    "data": [
        {
            "id": "123456789",
            "activityType": 27,
            "activityUuid": "a2c8037c-e6df-436d-b92b-bc09a418717e",
            "createdAt": "2026-03-29T10:30:00.000000Z",
            "primaryDescription": "User logged in",
            "accountId": "123456",
            "accountName": "My Account",
            "siteId": "789012",
            "data": {}
        }
    ],
    "pagination": {
        "nextCursor": "eyJpZCI6...",
        "totalItems": 1500
    }
}

次のエラーが表示された場合:

HTTP 401（Unauthorized）: API トークンが正しく、有効期限が切れていないことを確認します。
HTTP 403（Forbidden）: サービスユーザーに適切なスコープとロールがあることを確認します。

Google Cloud Storage バケットを作成する

Google Cloud コンソールに移動します。
プロジェクトを選択するか、新しいプロジェクトを作成します。
ナビゲーションメニューで、[Cloud Storage] > [バケット] に移動します。
[バケットを作成] をクリックします。

次の構成情報を提供してください。

設定	値
バケットに名前を付ける	グローバルに一意の名前（`sentinelone-activity-logs` など）を入力します。
ロケーションタイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
ロケーション	ロケーションを選択します（例: `us-central1`）。
ストレージクラス	Standard（頻繁にアクセスされるログに推奨）
アクセス制御	均一（推奨）
保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

[作成] をクリックします。

Cloud Run functions のサービスアカウントを作成する

Cloud Run functions の関数には、GCS バケットへの書き込み権限と Pub/Sub による呼び出し権限を持つサービスアカウントが必要です。

サービスアカウントの作成

GCP コンソールで、[IAM と管理] > [サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: 「s1-activity-collector-sa」と入力します。
- サービスアカウントの説明: 「Service account for Cloud Run function to collect SentinelOne Activity logs」と入力します。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、次のロールを追加します。
1. [ロールを選択] をクリックします。
2. [Storage オブジェクト管理者] を検索して選択します。
3. [+ 別のロールを追加] をクリックします。
4. [Cloud Run 起動元] を検索して選択します。
5. [+ 別のロールを追加] をクリックします。
6. [Cloud Functions 起動元] を検索して選択します。
[続行] をクリックします。
[完了] をクリックします。

これらのロールは、次の操作に必要です。

Storage オブジェクト管理者: GCS バケットにログを書き込み、状態ファイルを管理します。
Cloud Run 起動元: Pub/Sub が関数を呼び出せるようにします。
Cloud Functions 起動元: 関数の呼び出しを許可します。

GCS バケットに IAM 権限を付与する

GCS バケットに対する書き込み権限をサービスアカウントに付与します。

[Cloud Storage] > [バケット] に移動します。
バケット名をクリックします。
[権限] タブに移動します。
[アクセス権を付与] をクリックします。
次の構成情報を指定します。
- プリンシパルを追加: サービスアカウントのメールアドレス（例: s1-activity-collector-sa@PROJECT_ID.iam.gserviceaccount.com）を入力します。
- ロールを割り当てる: [Storage オブジェクト管理者] を選択します。
[保存] をクリックします。

Pub/Sub トピックの作成

Cloud Scheduler がパブリッシュし、Cloud Run functions の関数がサブスクライブする Pub/Sub トピックを作成します。

GCP コンソールで、[Pub/Sub] > [トピック] に移動します。
[トピックを作成] をクリックします。
次の構成情報を指定します。
- トピック ID: 「s1-activity-trigger」と入力します。
- その他の設定はデフォルトのままにします。
[作成] をクリックします。

ログを収集する Cloud Run 関数を作成する

Cloud Run 関数は、Cloud Scheduler からの Pub/Sub メッセージによってトリガーされ、SentinelOne REST API からアクティビティログを取得して GCS に書き込みます。

GCP Console で Cloud Run に移動します。
[サービスを作成] をクリックします。
[関数]（インライン編集を使用して関数を作成する）を選択します。

[構成] セクションで、次の構成の詳細を指定します。

設定	値
サービス名	`s1-activity-collector`
リージョン	GCS バケットに一致するリージョンを選択します（例: `us-central1`）。
ランタイム	[Python 3.12] 以降を選択します。

[トリガー（省略可）] セクションで、次の操作を行います。
1. [+ トリガーを追加] をクリックします。
2. [Cloud Pub/Sub] を選択します。
3. [Cloud Pub/Sub トピックを選択してください] で、トピック s1-activity-trigger を選択します。
4. [保存] をクリックします。
[認証] セクションで、次の操作を行います。
1. [認証が必要] を選択します。
2. Identity and Access Management（IAM）を確認します。
注: Pub/Sub は、関数の呼び出し時に認証を自動的に処理します。
下にスクロールして、[コンテナ、ネットワーキング、セキュリティ] を開きます。
[セキュリティ] タブに移動します。
- サービスアカウント: サービスアカウント s1-activity-collector-sa を選択します。

[コンテナ] タブに移動します。

[変数とシークレット] をクリックします。
環境変数ごとに [+ 変数を追加] をクリックします。

変数名	値の例	説明
`GCS_BUCKET`	`sentinelone-activity-logs`	GCS バケット名
`GCS_PREFIX`	`sentinelone-activities`	ログファイルの接頭辞
`STATE_KEY`	`sentinelone-activities/state.json`	状態ファイルのパス
`S1_BASE_URL`	`https://your-mgmt-url.sentinelone.net`	SentinelOne 管理コンソールの URL
`S1_API_TOKEN`	`your-api-token`	SentinelOne API トークン
`PAGE_SIZE`	`1000`	API ページあたりのレコード数（最大 1,000）
`MAX_RECORDS`	`50000`	1 回の実行あたりの最大レコード数
`LOOKBACK_HOURS`	`2`	最初のルックバック期間

[変数とシークレット] セクションで [リクエスト] まで下にスクロールします。
- リクエストタイムアウト: 「540」秒（9 分）と入力します。
[設定] タブに移動します。
- [リソース] セクションで、次の操作を行います。
  - メモリ: 512 MiB 以上を選択します。
  - CPU: 1 を選択します。
[リビジョンスケーリング] セクションで、次の操作を行います。
- [インスタンスの最小数]: 「0」と入力します。
- [インスタンスの最大数]: 「100」と入力します（または、予想される負荷に基づいて調整します）。
[作成] をクリックします。
サービスが作成されるまで待ちます（1 ～ 2 分）。
サービスが作成されると、インラインコードエディタが自動的に開きます。

関数コードを追加する

[エントリポイント] フィールドに「main」と入力します。

インラインコードエディタで、次の 2 つのファイルを作成します。

最初のファイル - main.py:

import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=60.0),
  retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'sentinelone-activities').strip('/')
STATE_KEY = os.environ.get('STATE_KEY') or f"{GCS_PREFIX}/state.json"
S1_BASE_URL = os.environ.get('S1_BASE_URL', '').rstrip('/')
S1_API_TOKEN = os.environ.get('S1_API_TOKEN')
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '50000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '2'))

ACTIVITIES_ENDPOINT = '/web/api/v2.1/activities'

def parse_datetime(value):
  """Parse ISO datetime string to datetime object."""
  if not value:
    return None
  if value.endswith("Z"):
    value = value[:-1] + "+00:00"
  try:
    return datetime.fromisoformat(value)
  except Exception:
    try:
      return datetime.strptime(value, '%Y-%m-%dT%H:%M:%S.%f')
    except Exception:
      return None

@functions_framework.cloud_event
def main(cloud_event):
  """
  Cloud Run function triggered by Pub/Sub to fetch
  SentinelOne Activity records and write to GCS.

  Args:
    cloud_event: CloudEvent object containing Pub/Sub message
  """

  if not all([GCS_BUCKET, S1_BASE_URL, S1_API_TOKEN]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)

    # Load state
    state = load_state(bucket, STATE_KEY)

    # Determine time window
    now = datetime.now(timezone.utc)
    last_time = None

    if isinstance(state, dict) and state.get("last_event_time"):
      try:
        last_time = parse_datetime(state["last_event_time"])
        # Overlap by 2 minutes to catch delayed events
        if last_time:
          last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")

    if last_time is None:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(
      f"Fetching activity logs from "
      f"{last_time.isoformat()} to {now.isoformat()}"
    )

    # Fetch activity logs
    records, newest_event_time = fetch_activity_logs(
      start_time=last_time,
      end_time=now,
    )

    if not records:
      print("No new activity records found.")
      save_state(bucket, STATE_KEY, now.isoformat())
      return

    # Write to GCS as NDJSON
    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join(
      [json.dumps(record, ensure_ascii=False) for record in records]
    ) + '\n'
    blob.upload_from_string(
      ndjson, content_type='application/x-ndjson'
    )

    print(
      f"Wrote {len(records)} records to "
      f"gs://{GCS_BUCKET}/{object_key}"
    )

    # Update state
    if newest_event_time:
      save_state(bucket, STATE_KEY, newest_event_time)
    else:
      save_state(bucket, STATE_KEY, now.isoformat())

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing activity logs: {str(e)}')
    raise

def load_state(bucket, key):
  """Load state from GCS."""
  try:
    blob = bucket.blob(key)
    if blob.exists():
      state_data = blob.download_as_text()
      return json.loads(state_data)
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, key, last_event_time_iso):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {'last_event_time': last_event_time_iso}
    blob = bucket.blob(key)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

def fetch_activity_logs(start_time, end_time):
  """
  Fetch activity logs from SentinelOne REST API with
  cursor-based pagination.

  Args:
    start_time: Start time for log query
    end_time: End time for log query

  Returns:
    Tuple of (records list, newest_event_time ISO string)
  """
  url = f"{S1_BASE_URL}{ACTIVITIES_ENDPOINT}"
  headers = {
    'Authorization': f'ApiToken {S1_API_TOKEN}',
    'Content-Type': 'application/json',
  }

  # Format timestamps for SentinelOne API
  start_str = start_time.strftime('%Y-%m-%dT%H:%M:%S.000000Z')

  records = []
  newest_time = None
  cursor = None
  backoff = 1.0

  while True:
    if len(records) >= MAX_RECORDS:
      print(f"Reached max_records limit ({MAX_RECORDS})")
      break

    params = {
      'createdAt__gt': start_str,
      'limit': str(PAGE_SIZE),
      'sortBy': 'createdAt',
      'sortOrder': 'asc',
    }

    if cursor:
      params['cursor'] = cursor

    try:
      response = http.request(
        'GET', url,
        fields=params,
        headers=headers
      )

      # Handle rate limiting with exponential backoff
      if response.status == 429:
        retry_after = int(
          response.headers.get(
            'Retry-After', str(int(backoff))
          )
        )
        print(
          f"Rate limited (429). "
          f"Retrying after {retry_after}s..."
        )
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      # Handle token expiry
      if response.status == 401:
        print(
          "API token is invalid or expired. "
          "Generate a new token in SentinelOne console."
        )
        return records, newest_time

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return records, newest_time

      data = json.loads(response.data.decode('utf-8'))
      result = data.get('data', [])
      pagination = data.get('pagination', {})
      total_items = pagination.get('totalItems', 0)
      next_cursor = pagination.get('nextCursor')

      if not result:
        print("No more results (empty page)")
        break

      print(
        f"Retrieved {len(result)} events "
        f"(total: {total_items})"
      )
      records.extend(result)

      # Track newest event time
      for event in result:
        try:
          event_time = event.get('createdAt')
          if event_time:
            if newest_time is None:
              newest_time = event_time
            else:
              current_dt = parse_datetime(event_time)
              newest_dt = parse_datetime(newest_time)
              if (
                current_dt and newest_dt
                and current_dt > newest_dt
              ):
                newest_time = event_time
        except Exception as e:
          print(
            f"Warning: Could not parse "
            f"event time: {e}"
          )

      # Check pagination
      if not next_cursor:
        print("Reached last page")
        break

      cursor = next_cursor

    except Exception as e:
      print(f"Error fetching activity logs: {e}")
      return records, newest_time

  print(f"Retrieved {len(records)} total activity records")
  return records, newest_time

2 つ目のファイル - requirements.txt:

functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

[デプロイ] をクリックして関数を保存し、デプロイします。
デプロイが完了するまで待ちます（2 ～ 3 分）。

注: SentinelOne API は、カーソルベースのページネーションを使用します。createdAt__gt パラメータは、指定されたタイムスタンプより後に作成されたアクティビティをフィルタします。API は、1 ページあたり最大 1,000 件のレコードを返します（limit パラメータで制御）。各レスポンスの pagination.nextCursor 値は、次のリクエストの cursor パラメータとして渡され、後続のページが取得されます。

Cloud Scheduler ジョブを作成する

Cloud Scheduler は、定期的に Pub/Sub トピックにメッセージをパブリッシュし、Cloud Run 関数をトリガーします。

GCP Console で、[Cloud Scheduler] に移動します。
[ジョブを作成] をクリックします。

次の構成情報を提供してください。

設定	値
名前	`s1-activity-collector-hourly`
リージョン	Cloud Run functions の関数と同じリージョンを選択します。
周波数	`0 * * * *`（1 時間ごと、毎正時）
タイムゾーン	タイムゾーンを選択（UTC を推奨）
ターゲットタイプ	Pub/Sub
トピック	トピック `s1-activity-trigger` を選択します。
メッセージ本文	`{}`（空の JSON オブジェクト）

[作成] をクリックします。

スケジュール頻度のオプション

ログの量とレイテンシの要件に基づいて頻度を選択します。

頻度	CRON 式	ユースケース
10 分おき	`/10 * * *`	大量、ほぼリアルタイム
1 時間ごと	`0 * * * *`	標準（推奨）
2 時間ごと	`0 /2 * *`	音量を下げる

統合をテストする

Cloud Scheduler コンソールで、ジョブを見つけます。
[強制実行] をクリックして、ジョブを手動でトリガーします。
数秒待ちます。
[Cloud Run] > [サービス] に移動します。
関数名 s1-activity-collector をクリックします。
[ログ] タブをクリックします。

関数が正常に実行されたことを確認します。以下のものを探します。

Fetching activity logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Retrieved X events (total: Y)
Wrote X records to gs://sentinelone-activity-logs/sentinelone-activities/logs_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

[Cloud Storage] > [バケット] に移動します。
バケット名をクリックします。
接頭辞フォルダ sentinelone-activities/ に移動します。
現在のタイムスタンプで新しい .ndjson ファイルが作成されたことを確認します。

ログにエラーが表示される場合:

HTTP 400: SentinelOne 管理コンソールの URL の末尾にスラッシュがないことを確認します。クエリパラメータが正しいことを確認します。
HTTP 401: API トークンが無効であるか、有効期限が切れています。SentinelOne コンソールの [Settings] > [Users] > [Service Users] で新しいトークンを生成します。
HTTP 403: サービスユーザーに十分な権限がありません。ロールとスコープのレベルを確認します。
HTTP 429: レート制限 - 関数は指数バックオフを使用して自動的に再試行します。
環境変数の欠落: 必要な変数がすべて Cloud Run functions の構成に設定されていることを確認します。

SentinelOne のアクティビティログを取り込むように Google SecOps でフィードを構成する

[設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
[単一フィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: SentinelOne Activity Logs）。
[Source type] として [Google Cloud Storage V2] を選択します。
[Log type] として [Sentinelone Activity] を選択します。
[サービスアカウントを取得する] をクリックします。一意のサービスアカウントのメールアドレスが表示されます。例:
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
このメールアドレスをコピーして、次のステップで使用します。

注: Google SecOps インスタンスごとに一意のサービスアカウントがあります。他のドキュメントや例のサービスアカウントは使用しないでください。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- ストレージバケットの URL: 接頭辞パスを含む GCS バケット URI を入力します。
```
gs://sentinelone-activity-logs/sentinelone-activities/
```
  - 次のように置き換えます。
    - sentinelone-activity-logs: GCS バケット名。
    - sentinelone-activities: ログが保存されるオプションの接頭辞 / フォルダパス（ルートの場合は空のままにします）。
注: URI の末尾には必ずスラッシュ（/）を付けてください。
- Source deletion option: 必要に応じて削除オプションを選択します。
  - なし: 転送後にファイルを削除しません（テストに推奨）。
  - 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
  - 転送されたファイルと空のディレクトリを削除する: 転送が成功した後にファイルと空のディレクトリを削除します。
  注: 削除オプションを選択する場合、サービスアカウントには、Storage オブジェクト閲覧者ではなく Storage オブジェクト管理者のロールが必要です。それに応じて IAM 権限を更新します。
- ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます（デフォルトは 180 日）。
- Asset namespace: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

Google SecOps サービスアカウントに IAM 権限を付与する

Google SecOps サービスアカウントには、GCS バケットに対する Storage オブジェクト閲覧者のロールが必要です。

[Cloud Storage] > [バケット] に移動します。
バケット名をクリックします。
[権限] タブに移動します。
[アクセス権を付与] をクリックします。
次の構成情報を指定します。
- プリンシパルを追加: Google SecOps サービスアカウントのメールアドレスを貼り付けます。
- ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。
[保存] をクリックします。

注: 削除オプション「転送されたファイルを削除する」または「転送されたファイルと空のディレクトリを削除する」を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを付与します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`deviceNtDomain`	`about.administrative_domain`	名前変更 / マッピング
`deviceExternalId`	`about.asset.asset_id`	直接マッピングされます。
`device_product`	`about.asset.asset_id`	直接マッピングされます。
`device_vendor`	`about.asset.asset_id`	直接マッピングされます。
`fileHash`	`about.file.full_path`	直接マッピングされます。
`filePath`	`about.file.full_path`	名前変更 / マッピング
`_hash`	`about.file.sha256`	名前変更 / マッピング
`fileHash`	`about.file.sha256`	名前変更 / マッピング
`fsize`	`about.file.size`	名前変更 / マッピング
`dvchost`	`about.hostname`	名前変更 / マッピング
`ips`	`about.ip`	統合済み
`dvc_mac`	`about.mac`	マッピング済み: `slot` → `mac_address`
`dvcmac`	`about.mac`	統合済み
`mac_address`	`about.mac`	統合済み
`deviceTranslatedAddress`	`about.nat_ip`	統合済み
`Emne`	`about.process.command_line`	直接マッピングされます。
`Path`	`about.process.command_line`	直接マッピングされます。
`Subject`	`about.process.command_line`	直接マッピングされます。
`deviceProcessName`	`about.process.command_line`	名前変更 / マッピング
`dvcpid`	`about.process.pid`	名前変更 / マッピング
`permissions`	`about.resource.attribute.permissions`	統合済み
`additional_cfp1`	`additional.fields`	統合済み
`additional_cfp2`	`additional.fields`	統合済み
`additional_cfp3`	`additional.fields`	統合済み
`additional_cfp4`	`additional.fields`	統合済み
`additional_cn1`	`additional.fields`	統合済み
`additional_cn2`	`additional.fields`	統合済み
`additional_cn3`	`additional.fields`	統合済み
`additional_cs1`	`additional.fields`	統合済み
`additional_cs2`	`additional.fields`	統合済み
`additional_cs3`	`additional.fields`	統合済み
`additional_cs4`	`additional.fields`	統合済み
`additional_cs5`	`additional.fields`	統合済み
`additional_cs6`	`additional.fields`	統合済み
`additional_cs7`	`additional.fields`	統合済み
`additional_devicePayloadId`	`additional.fields`	統合済み
`additional_eventId`	`additional.fields`	統合済み
`additional_flexString1`	`additional.fields`	統合済み
`additional_fname`	`additional.fields`	統合済み
`cs2`	`additional.fields`	マッピング済み: `arc_test` → `additional_cs2`
`cs5_label`	`additional.fields`	統合済み
`source_type_label`	`additional.fields`	統合済み
`has_user`	`extensions.auth.type`	マッピング済み: `true` → `AUTHTYPE_UNSPECIFIED`
`event_name`	`metadata.description`	直接マッピングされます。
`msg`	`metadata.description`	名前変更 / マッピング
`primaryDescription`	`metadata.description`	直接マッピングされます。
`Generated`	`metadata.event_timestamp`	`yyyy-MM-ddTHH:mm:ss` として解析
`Received`	`metadata.event_timestamp`	`yyyy-MM-ddTHH:mm:ss` として解析
`createdAt`	`metadata.event_timestamp`	`ISO8601` として解析
`rt`	`metadata.event_timestamp`	`(EEE,ddMMMyyyy,HH:mm:ss)` として解析
`updatedAt`	`metadata.event_timestamp`	`ISO8601` として解析
`event_name`	`metadata.event_type`	マッピング済み: `"LogSpyware","LogPredictiveMachineLearning"` → `SCAN_UNCATEGORIZED`
`has_principal`	`metadata.event_type`	マッピング済み: `true` → `NETWORK_CONNECTION`、`true` → `STATUS_UPDATE`
`has_user`	`metadata.event_type`	マッピング済み: `true` → `USER_LOGIN`
`activityType`	`metadata.product_event_type`	直接マッピングされます。
`device_event_class_id`	`metadata.product_event_type`	直接マッピングされます。
`event_name`	`metadata.product_event_type`	直接マッピングされます。
`activityID`	`metadata.product_log_id`	直接マッピングされます。
`activityUuid`	`metadata.product_log_id`	直接マッピングされます。
`externalId`	`metadata.product_log_id`	直接マッピングされます。
`device_product`	`metadata.product_name`	直接マッピングされます。
`device_version`	`metadata.product_version`	直接マッピングされます。
`device_vendor`	`metadata.vendor_name`	名前変更 / マッピング
`app_protocol_output`	`network.application_protocol`	直接マッピングされます。
`deviceDirection`	`network.direction`	マッピング済み: `0` → `INBOUND`、`1` → `OUTBOUND`
`requestMethod`	`network.http.method`	名前変更 / マッピング
`requestClientApplication`	`network.http.user_agent`	名前変更 / マッピング
`ip_protocol_out`	`network.ip_protocol`	直接マッピングされます。
`in`	`network.received_bytes`	名前変更 / マッピング
`out`	`network.sent_bytes`	名前変更 / マッピング
`sntdom`	`principal.administrative_domain`	名前変更 / マッピング
`sourceServiceName`	`principal.application`	名前変更 / マッピング
`data.ipAddress`	`principal.asset.ip`	統合済み
`Group_name`	`principal.group.group_display_name`	直接マッピングされます。
`Gruppenavn`	`principal.group.group_display_name`	直接マッピングされます。
`Device_name`	`principal.hostname`	直接マッピングされます。
`Enhetsnavn`	`principal.hostname`	直接マッピングされます。
`shost`	`principal.hostname`	名前変更 / マッピング
`data.ipAddress`	`principal.ip`	統合済み
`principal_ip`	`principal.ip`	統合済み
`shost`	`principal.ip`	統合済み
`mac`	`principal.mac`	統合済み
`sourceTranslatedAddress`	`principal.nat_ip`	統合済み
`sourceTranslatedPort`	`principal.nat_port`	名前変更 / マッピング
`spt`	`principal.port`	名前変更 / マッピング
`data.sourceprocesscommandline`	`principal.process.command_line`	直接マッピングされます。
`sproc`	`principal.process.command_line`	名前変更 / マッピング
`data.sourceprocessname`	`principal.process.file.names`	統合済み
`spid`	`principal.process.pid`	名前変更 / マッピング
`principal_role`	`principal.user.attribute.roles`	統合済み
`suser`	`principal.user.user_display_name`	直接マッピングされます。
`suid`	`principal.user.userid`	名前変更 / マッピング
`sec_result`	`security_result`	統合済み
`_action`	`security_result.action`	統合済み
`act`	`security_result.action`	マッピング済み: `accept` → `_action`、`deny` → `_action`
`Action_Taken`	`security_result.action_details`	直接マッピングされます。
`act`	`security_result.action_details`	直接マッピングされます。
`cat`	`security_result.category_details`	統合済み
`Scan_Type`	`security_result.description`	直接マッピングされます。
`Type`	`security_result.description`	直接マッピングされます。
`msg_data_2`	`security_result.description`	直接マッピングされます。
`infection_channel_label`	`security_result.detection_fields`	統合済み
`operasjon_label`	`security_result.detection_fields`	統合済み
`operation_label`	`security_result.detection_fields`	統合済み
`permission_label`	`security_result.detection_fields`	統合済み
`spyware_Grayware_Type_label`	`security_result.detection_fields`	統合済み
`threat_probability_label`	`security_result.detection_fields`	統合済み
`tillatelse_label`	`security_result.detection_fields`	統合済み
`mwProfile`	`security_result.rule_name`	直接マッピングされます。
`severity`	`security_result.severity`	マッピング: `"0", "1", "2", "3", "LOW"` → `LOW`、`"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
`Result`	`security_result.summary`	直接マッピングされます。
`appcategory`	`security_result.summary`	直接マッピングされます。
`reason`	`security_result.summary`	名前変更 / マッピング
`Spyware`	`security_result.threat_name`	直接マッピングされます。
`Unknown_Threat`	`security_result.threat_name`	直接マッピングされます。
`Virus_Malware_Name`	`security_result.threat_name`	直接マッピングされます。
`oldFilePath`	`src.file.full_path`	名前変更 / マッピング
`oldFileSize`	`src.file.size`	名前変更 / マッピング
`old_permissions`	`src.resource.attribute.permissions`	統合済み
`dntdom`	`target.administrative_domain`	名前変更 / マッピング
`destinationServiceName`	`target.application`	名前変更 / マッピング
`agentId`	`target.asset.asset_id`	直接マッピングされます。
`data.computerName`	`target.asset.hostname`	直接マッピングされます。
`data.newGroupName`	`target.group.group_display_name`	直接マッピングされます。
`data.newGroupId`	`target.group.product_object_id`	直接マッピングされます。
`data.computerName`	`target.hostname`	直接マッピングされます。
`temp_dhost`	`target.hostname`	直接マッピングされます。
`IPv6_Address`	`target.ip`	統合済み
`dst_ip`	`target.ip`	統合済み
`ipv6`	`target.ip`	マッピング済み: `-` → `IPv6_Address`
`data.siteName`	`target.location.name`	直接マッピングされます。
`siteName`	`target.location.name`	直接マッピングされます。
`mac_address`	`target.mac`	統合済み
`accountName`	`target.namespace`	直接マッピングされます。
`destination_translated_address`	`target.nat_ip`	統合済み
`destinationTranslatedPort`	`target.nat_port`	名前変更 / マッピング
`dpt`	`target.port`	名前変更 / マッピング
`dproc`	`target.process.command_line`	名前変更 / マッピング
`File_name`	`target.process.file.full_path`	直接マッピングされます。
`Infected_Resource`	`target.process.file.full_path`	直接マッピングされます。
`Object`	`target.process.file.full_path`	直接マッピングされます。
`Objekt`	`target.process.file.full_path`	直接マッピングされます。
`dpid`	`target.process.pid`	名前変更 / マッピング
`full_scope_details_label`	`target.resource.attribute.labels`	統合済み
`notification_scope_label`	`target.resource.attribute.labels`	統合済み
`resource_Type_label`	`target.resource.attribute.labels`	統合済み
`scope_level_label`	`target.resource.attribute.labels`	統合済み
`site_id_label`	`target.resource.attribute.labels`	統合済み
`vendor_activity_id_label`	`target.resource.attribute.labels`	統合済み
`request`	`target.url`	直接マッピングされます。
`target_role`	`target.user.attribute.roles`	統合済み
`CustomerName`	`target.user.user_display_name`	直接マッピングされます。
`data.accountName`	`target.user.user_display_name`	直接マッピングされます。
`temp_duser`	`target.user.user_display_name`	直接マッピングされます。
`Bruker`	`target.user.userid`	直接マッピングされます。
`User_value`	`target.user.userid`	直接マッピングされます。
`accountId`	`target.user.userid`	直接マッピングされます。
`temp_duid`	`target.user.userid`	直接マッピングされます。
なし	`extensions.auth.type`	定数: `AUTHTYPE_UNSPECIFIED`
なし	`metadata.event_type`	定数: `PROCESS_UNCATEGORIZED`
なし	`metadata.vendor_name`	定数: `SentinelOne`
なし	`network.direction`	定数: `INBOUND`
なし	`security_result.severity`	定数: `LOW`
`createdAt`	`event.idm.read_only_udm.metadata.event_timestamp`	変更履歴からマッピング
`updatedAt`	`event.idm.read_only_udm.security_result.last_updated_time`	変更履歴からマッピング
`activityUuid`	`event.idm.read_only_udm.metadata.product_log_id`	変更履歴からマッピング
`activityID`	`event.idm.read_only_udm.metadata.product_log_id`	変更履歴からマッピング
`primaryDescription`	`event.idm.read_only_udm.metadata.description`	変更履歴からマッピング
`rt`	`event.idm.read_only_udm.metadata.event_timestamp`	変更履歴からマッピング
`activityType`	`event.idm.read_only_udm.metadata.product_event_type`	変更履歴からマッピング
`device_product`	`event.idm.read_only_udm.metadata.product_name`	変更履歴からマッピング
`data.ipAddress`	`event.idm.read_only_udm.principal.ip`	変更履歴からマッピング
`data.ipAddress`	`event.idm.read_only_udm.principal.asset.ip`	変更履歴からマッピング
`data.sourceprocesscommandline`	`event.idm.read_only_udm.principal.process.command_line`	変更履歴からマッピング
`data.sourceprocessname`	`event.idm.read_only_udm.principal.process.file.names`	変更履歴からマッピング
`agentId`	`event.idm.read_only_udm.target.asset.asset_id`	変更履歴からマッピング
`data.computerName`	`event.idm.read_only_udm.target.hostname`	変更履歴からマッピング
`data.computerName`	`event.idm.read_only_udm.target.asset.hostname`	変更履歴からマッピング
`accountName`	`event.idm.read_only_udm.target.namespace`	変更履歴からマッピング
`siteName,`	`event.idm.read_only_udm.target.location.name`	変更履歴からマッピング
`accountId`	`event.idm.read_only_udm.target.user.userid`	変更履歴からマッピング
`data.accountName`	`event.idm.read_only_udm.target.user.user_display_name`	変更履歴からマッピング
`data.newGroupId`	`event.idm.read_only_udm.target.group.product_object_id`	変更履歴からマッピング
`data.newGroupName`	`event.idm.read_only_udm.target.group.group_display_name`	変更履歴からマッピング
`data.sourceType`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`data.alertid`	`event.idm.read_only_udm.security_result.rule_id`	変更履歴からマッピング
`data.ruledescription`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`data.oldGroupName`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`data.oldGroupId`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`data.newGroupId`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`data.newGroupName`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`data.fullScopeDetails`	`event.idm.read_only_udm.security_result.description`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。