Trellix EPO ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Trellix ePO ログを Google Security Operations に取り込む方法について説明します。

Trellix ePO（旧称: McAfee ePolicy Orchestrator）は、エンドポイント セキュリティ製品全体でポリシーの適用、リアルタイムの可視化、コンプライアンスの自動化を統合する、一元化されたセキュリティ管理プラットフォームです。管理者は、単一のウェブベースのコンソールからセキュリティ ポリシーの管理、エージェントのデプロイ、脅威のモニタリング、レポートの生成を行うことができます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • 管理者権限を持つ Trellix ePO コンソールへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane Agent を構成する

  1. 構成ファイルにアクセスする:

    • config.yaml ファイルを見つけます。通常、Linux では /opt/observiq-otel-collector/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_EPO'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
    • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
    • YOUR_CUSTOMER_ID_HERE は、実際のお客様 ID に置き換えます。
    • /path/to/ingestion-authentication-file.json を、手順 1 でサービス アカウント キー ファイル（オプション 1）を保存したファイルパスに更新します。
    • <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • <PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_EPO'
    raw_log_field: body
    ingestion_labels:

Bindplane Agent を再起動して変更を適用する

  1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。

    net stop observiq-otel-collector && net start observiq-otel-collector

Trellix ePO syslog 転送を構成する

  1. 管理者認証情報を使用して Trellix ePO コンソールにログインします。
  2. [メニュー] > [構成] > [登録済みサーバー] に移動します。
  3. [新しいサーバー] をクリックします。
  4. [サーバータイプ] プルダウン リストで [Syslog] を選択します。
  5. [名前] フィールドに、わかりやすい名前（例: Chronicle-Bindplane）を入力します。
  6. [次へ] をクリックします。
  7. [Syslog サーバー] フィールドに、Bindplane エージェント ホストの IP アドレス（例: 192.168.1.100）を入力します。
  8. [ポート] フィールドに、「514」（または Bindplane で構成されたポート）と入力します。
  9. [プロトコル] プルダウン リストで [TCP] を選択します。
  10. [Event format] プルダウン リストで、[Common Event Format (CEF)] を選択します。
  11. [接続をテスト] をクリックして、Bindplane エージェントへの接続を確認します。
  12. [保存] をクリックします。
  13. [メニュー] > [自動化] > [自動応答] に移動します。
  14. [New Response] をクリックして、新しい自動応答ルールを作成します。
  15. [名前] フィールドに、わかりやすい名前（例: Syslog-Chronicle）を入力します。
  16. [イベント グループ] プルダウン リストで、転送するイベント グループを選択します。
    • ePO 通知イベント
    • 脅威イベント
    • クライアント イベント
  17. [次へ] をクリックします。
  18. [フィルタ] タブで、必要に応じてイベント フィルタを構成します（または、デフォルトのままにしてすべてのイベントを転送します）。
  19. [次へ] をクリックします。
  20. [Actions] セクションで、[Send Syslog] を選択します。
  21. [Syslog Server] プルダウン リストで、登録済みの syslog サーバー（Chronicle-Bindplane）を選択します。
  22. [次へ] をクリックします。

  23. 構成を確認して、[保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
about_token about 統合済み
additional_token additional 名前変更済み/マッピング済み
ActionID_label additional.fields 統合済み
BadLinkRatingID_label additional.fields 統合済み
ContentID_label additional.fields 統合済み
DownloadRatingID_label additional.fields 統合済み
Error_label additional.fields 統合済み
ExploitRatingID_label additional.fields 統合済み
InitiatorID_label additional.fields 統合済み
InitiatorType_label additional.fields 統合済み
ListID_label additional.fields 統合済み
Locale_label additional.fields 統合済み
PhishingRatingID_label additional.fields 統合済み
PopupRatingID_label additional.fields 統合済み
ProductID_label additional.fields 統合済み
RatingID_label additional.fields 統合済み
ReasonID_label additional.fields 統合済み
SiteName_label additional.fields 統合済み
SourceProcessSigned_label additional.fields 統合済み
SourceProcessSigner_label additional.fields 統合済み
SpamRatingID_label additional.fields 統合済み
TargetDriveType_label additional.fields 統合済み
_field additional.fields 統合済み
analyzer_engine_version_label additional.fields 統合済み
analyzer_ipv4_label additional.fields 統合済み
analyzer_label additional.fields 統合済み
analyzer_name_label additional.fields 統合済み
analyzerengineversion_label additional.fields 統合済み
bps_id_label additional.fields 統合済み
client_labels_ additional.fields 統合済み
description_value_label additional.fields 統合済み
detected_utc_label additional.fields 統合済み
eventType_label additional.fields 統合済み
event_version_label additional.fields 統合済み
extradatnames_label additional.fields 統合済み
machine_agent_version_label additional.fields 統合済み
opg_data_label additional.fields 統合済み
product_family_label additional.fields 統合済み
product_name_label additional.fields 統合済み
server_list_labels additional.fields 統合済み
source_ipv4_label additional.fields 統合済み
sphotfix_label additional.fields 統合済み
target_protocol_label additional.fields 統合済み
targetprotocol_label additional.fields 統合済み
tenant_guid_label additional.fields 統合済み
tenant_id_label additional.fields 統合済み
tenant_node_path_label additional.fields 統合済み
threat_action_taken_label additional.fields 統合済み
time_s_zone_label additional.fields 統合済み
timezone_bias_label additional.fields 統合済み
type_label additional.fields 統合済み
user_info_label additional.fields 統合済み
verbuild_label additional.fields 統合済み
vermin_label additional.fields 統合済み
vermjr_label additional.fields 統合済み
verrev_label additional.fields 統合済み
workflowid_label additional.fields 統合済み
intermediary intermediary 統合済み
intermediary1 intermediary 統合済み
Analyzer intermediary.application 直接マッピングされます。
analyzer intermediary.application 直接マッピングされます。
AnalyzerHostName intermediary.asset.hostname 直接マッピングされます。
AnalyzerMAC intermediary.asset.mac 統合済み
AnalyzerHostName intermediary.hostname 直接マッピングされます。
analyzerhostname intermediary.hostname 直接マッピングされます。
analyzeripv4 intermediary.ip 統合済み
AnalyzerMAC intermediary.mac 統合済み
analyzermac intermediary.mac 統合済み
Name metadata.description 直接マッピングされます。
event_description metadata.description 直接マッピングされます。
eventname metadata.description 直接マッピングされます。
scantype metadata.description 直接マッピングされます。
tvdeventid metadata.description 直接マッピングされます。
event_type metadata.event_type 直接マッピングされます。
TenantId metadata.product_deployment_id 直接マッピングされます。
EventID metadata.product_event_type 直接マッピングされます。
Type metadata.product_event_type 直接マッピングされます。
eventType metadata.product_event_type 直接マッピングされます。
prod_event_type metadata.product_event_type 直接マッピングされます。
product_event_type metadata.product_event_type 名前変更済み/マッピング済み
tvdeventid metadata.product_event_type 直接マッピングされます。
AutoID metadata.product_log_id 直接マッピングされます。
AutoId metadata.product_log_id 直接マッピングされます。
alertId metadata.product_log_id 直接マッピングされます。
autoid metadata.product_log_id 直接マッピングされます。
product_log_id metadata.product_log_id 名前変更済み/マッピング済み
analyzername metadata.product_name 直接マッピングされます。
product_name metadata.product_name 直接マッピングされます。
AnalyzerVersion metadata.product_version 直接マッピングされます。
analyzerversion metadata.product_version 直接マッピングされます。
product_version metadata.product_version 直接マッピングされます。
productversion metadata.product_version 直接マッピングされます。
app_protocol network.application_protocol 直接マッピングされます。
target_protocol network.ip_protocol 直接マッピングされます。
sys_ip observer.ip 統合済み
analyzer_name observer.namespace 直接マッピングされます。
principal_token principal 名前変更済み/マッピング済み
source_user_domain principal.administrative_domain 直接マッピングされます。
application_name principal.application 直接マッピングされます。
host principal.application 直接マッピングされます。
process_name principal.application 直接マッピングされます。
source_process_name principal.application 直接マッピングされます。
agentguid principal.asset.asset_id 直接マッピングされます。
token_new principal.asset.attribute.labels 統合済み
SiteName principal.asset.hostname 直接マッピングされます。
SourceHostName principal.asset.hostname 直接マッピングされます。
host principal.asset.hostname 直接マッピングされます。
principal_hostname principal.asset.hostname 直接マッピングされます。
source principal.asset.hostname 直接マッピングされます。
machine_ip_address principal.asset.ip 統合済み
sourceIP principal.asset.ip 統合済み
src_ip principal.asset.ip 統合済み
SourceMAC principal.asset.mac 統合済み
machine_raw_mac_address principal.asset.mac 統合済み
AutoGUID principal.asset.product_object_id 直接マッピングされます。
autoguid principal.asset.product_object_id 直接マッピングされます。
SiteName principal.hostname 直接マッピングされます。
SourceHostName principal.hostname 直接マッピングされます。
TargetHostName principal.hostname 直接マッピングされます。
analyzer_host_name principal.hostname 直接マッピングされます。
host principal.hostname 直接マッピングされます。
machine_name principal.hostname 直接マッピングされます。
prin_host principal.hostname 直接マッピングされます。
principal_asset_hostname principal.hostname 直接マッピングされます。
principal_machine_name principal.hostname 直接マッピングされます。
source_host_name principal.hostname 直接マッピングされます。
sourcehostname principal.hostname 直接マッピングされます。
machine_ip_address principal.ip 統合済み
normalized_ip_address principal.ip 統合済み
prin_ip principal.ip 統合済み
sourceIP principal.ip 統合済み
source_ip principal.ip 統合済み
sourceipv4 principal.ip 統合済み
src_ip principal.ip 統合済み
srcip principal.ip 統合済み
SourceMAC principal.mac 統合済み
machine_raw_mac_address principal.mac 統合済み
normalized_mac_address principal.mac 統合済み
sourcemac principal.mac 統合済み
source_port principal.port 直接マッピングされます。
cmd_line principal.process.command_line 直接マッピングされます。
eventCommandLine principal.process.command_line 直接マッピングされます。
source_process_cmd principal.process.command_line 直接マッピングされます。
SourceFilePath principal.process.file.full_path 直接マッピングされます。
SourceProcessName principal.process.file.full_path 直接マッピングされます。
eventProgramName principal.process.file.full_path 直接マッピングされます。
process_name principal.process.file.full_path 直接マッピングされます。
prog_name principal.process.file.full_path 直接マッピングされます。
sourceprocessname principal.process.file.full_path 直接マッピングされます。
SourceProcessHash principal.process.file.md5 直接マッピングされます。
Source_FileSize principal.process.file.size 直接マッピングされます。
parent_process_name principal.process.parent_process.file.full_path 直接マッピングされます。
source_parent_process_id principal.process.parent_process.pid 直接マッピングされます。
process_id principal.process.pid 直接マッピングされます。
source_process_id principal.process.pid 直接マッピングされます。
source_device_sn principal.resource.id 直接マッピングされます。
source_product_name principal.resource.name 直接マッピングされます。
SourceURL principal.url 直接マッピングされます。
sourceurl principal.url 直接マッピングされます。
subject principal.user.group_identifiers 統合済み
machine_user_name principal.user.user_display_name 直接マッピングされます。
source_user_name principal.user.user_display_name 直接マッピングされます。
username principal.user.user_display_name 直接マッピングされます。
SourceUserName principal.user.userid 直接マッピングされます。
clientId principal.user.userid 直接マッピングされます。
eventProgramUser principal.user.userid 直接マッピングされます。
sourceusername principal.user.userid 直接マッピングされます。
sec_res security_result 統合済み
security_result security_result 統合済み
security_result_token security_result 統合済み
virus_type_label security_result.about.resource.attribute.labels 統合済み
action security_result.action 統合済み
security_action security_result.action 統合済み
action_taken security_result.action_details 直接マッピングされます。
security_action_details security_result.action_details 直接マッピングされます。
threat_action_taken security_result.action_details 直接マッピングされます。
category security_result.category 統合済み
security_category security_result.category 統合済み
ThreatCategory security_result.category_details 統合済み
category_details security_result.category_details 統合済み
security_category_details security_result.category_details 統合済み
threatcategory security_result.category_details 統合済み
Data security_result.description 直接マッピングされます。
natural_lang_description security_result.description 直接マッピングされます。
security_description security_result.description 直接マッピングされます。
Access_Requested_label security_result.detection_fields 統合済み
Analyzer_ContentVersion_label security_result.detection_fields 統合済み
_field security_result.detection_fields 統合済み
analyzer_dat_version_label security_result.detection_fields 統合済み
analyzer_detection_method_label security_result.detection_fields 統合済み
analyzerdatversion_label security_result.detection_fields 統合済み
analyzerdetectionmethod_label security_result.detection_fields 統合済み
command_executed_label security_result.detection_fields 統合済み
label_agent_guid security_result.detection_fields 統合済み
label_task_name security_result.detection_fields 統合済み
labels0 security_result.detection_fields 統合済み
return_code_label security_result.detection_fields 統合済み
seq_no_label security_result.detection_fields 統合済み
server_id_label security_result.detection_fields 統合済み
task_id_label security_result.detection_fields 統合済み
task_name_label security_result.detection_fields 統合済み
threat_event_id_label security_result.detection_fields 統合済み
threat_handled_label security_result.detection_fields 統合済み
threat_type_label security_result.detection_fields 統合済み
threateventid_label security_result.detection_fields 統合済み
threathandled_label security_result.detection_fields 統合済み
threattype_label security_result.detection_fields 統合済み
total_chunks_label security_result.detection_fields 統合済み
transaction_id_label security_result.detection_fields 統合済み
TVDEventID security_result.rule_id 直接マッピングされます。
event_id security_result.rule_id 直接マッピングされます。
policy_name security_result.rule_name 直接マッピングされます。
rule_name security_result.rule_name 直接マッピングされます。
TVDSeverity security_result.severity_details 直接マッピングされます。
ThreatSeverity security_result.severity_details 直接マッピングされます。
threat_severity security_result.severity_details 直接マッピングされます。
threatseverity security_result.severity_details 直接マッピングされます。
ThreatActionTaken security_result.summary 直接マッピングされます。
ThreatType security_result.summary 直接マッピングされます。
detection_message security_result.summary 直接マッピングされます。
security_result.severity security_result.summary 直接マッピングされます。
security_summary security_result.summary 直接マッピングされます。
threat_type security_result.threat_id 直接マッピングされます。
ThreatName security_result.threat_name 直接マッピングされます。
threat_name security_result.threat_name 直接マッピングされます。
threatname security_result.threat_name 直接マッピングされます。
src_token src 名前変更済み/マッピング済み
src_domain src.administrative_domain 直接マッピングされます。
source_ip src.ip 統合済み
source_port src.port 直接マッピングされます。
src_user src.user.userid 直接マッピングされます。
target_token target 名前変更済み/マッピング済み
ProductCode target.application 直接マッピングされます。
tar_app target.application 直接マッピングされます。
serverid target.asset.asset_id 直接マッピングされます。
token_new target.asset.attribute.labels 統合済み
HostName target.asset.hostname 直接マッピングされます。
TargetHostName target.asset.hostname 直接マッピングされます。
target_hostname target.asset.hostname 直接マッピングされます。
targetIP target.asset.ip 統合済み
TargetMAC target.asset.mac 統合済み
AgentGUID target.asset_id 直接マッピングされます。
TargetFileName target.file.full_path 直接マッピングされます。
target_file_name target.file.full_path 直接マッピングされます。
targetfilename target.file.full_path 直接マッピングされます。
target_file_size target.file.size 名前変更済み/マッピング済み
HostName target.hostname 直接マッピングされます。
TargetHostName target.hostname 直接マッピングされます。
machine_name target.hostname 直接マッピングされます。
target_asset_hostname target.hostname 直接マッピングされます。
target_host_name target.hostname 直接マッピングされます。
targethostname target.hostname 直接マッピングされます。
dstip target.ip 統合済み
normalized_ip_address target.ip 統合済み
targetIP target.ip 統合済み
target_ip target.ip 統合済み
target_ipv4 target.ip 直接マッピングされます。
targetipv4_val target.ip 統合済み
TargetMAC target.mac 統合済み
normalized_mac_address target.mac 統合済み
targetmac target.mac 統合済み
TenantId target.namespace 直接マッピングされます。
tenantid target.namespace 直接マッピングされます。
TargetPort target.port 直接マッピングされます。
target_port target.port 直接マッピングされます。
targetport target.port 直接マッピングされます。
TargetProcessName target.process.file.full_path 直接マッピングされます。
eventObject target.process.file.full_path 直接マッピングされます。
file_name target.process.file.full_path 直接マッピングされます。
process_name target.process.file.full_path 直接マッピングされます。
target_file_name target.process.file.full_path 直接マッピングされます。
target_name target.process.file.full_path 直接マッピングされます。
targetprocessname target.process.file.full_path 直接マッピングされます。
value_data target.process.file.full_path 直接マッピングされます。
hash target.process.file.md5 直接マッピングされます。
md5 target.process.file.md5 直接マッピングされます。
target_hash target.process.file.md5 直接マッピングされます。
sha1 target.process.file.sha1 直接マッピングされます。
target_sha target.process.file.sha1 直接マッピングされます。
sha256 target.process.file.sha256 直接マッピングされます。
file_size target.process.file.size 直接マッピングされます。
target_parent_file_name target.process.parent_process.file.full_path 直接マッピングされます。
LogonSessionID target.process.pid 直接マッピングされます。
tar_pid target.process.pid 直接マッピングされます。
key_name target.registry.registry_key 直接マッピングされます。
ThreatName target.resource.name 直接マッピングされます。
source_url target.url 直接マッピングされます。
nodeid_label target.user.attribute.labels 統合済み
version_label target.user.attribute.labels 統合済み
targetuseremail target.user.email_addresses 統合済み
machine_user_name target.user.user_display_name 直接マッピングされます。
target_user_name target.user.user_display_name 直接マッピングされます。
value target.user.user_display_name 直接マッピングされます。
TargetUserName target.user.userid 直接マッピングされます。
UserName target.user.userid 直接マッピングされます。
UserSID target.user.windows_sid 直接マッピングされます。
なし about 定数: about_token
なし additional.fields 定数: eventType_label
なし intermediary 定数: intermediary1
なし intermediary.asset.mac 定数: AnalyzerMAC
なし intermediary.ip 定数: analyzeripv4
なし intermediary.mac 定数: AnalyzerMAC
なし metadata.description 定数: No raw event available
なし metadata.event_type 定数: GENERIC_EVENT
なし metadata.product_name 定数: McAfee EPO
なし metadata.vendor_name 定数: McAfee
なし observer.ip 定数: sys_ip
なし principal.asset.attribute.labels 定数: token_new
なし principal.asset.ip 定数: src_ip
なし principal.asset.mac 定数: SourceMAC
なし principal.ip 定数: src_ip
なし principal.mac 定数: SourceMAC
なし principal.platform 定数: WINDOWS
なし principal.process.file.size 定数: uinteger
なし principal.user.group_identifiers 定数: subject
なし security_result 定数: sec_res
なし security_result.about.resource.attribute.labels 定数: virus_type_label
なし security_result.action 定数: action
なし security_result.category 定数: category
なし security_result.category_details 定数: ThreatCategory
なし security_result.detection_fields 定数: threat_event_id_label
なし security_result.severity 定数: HIGH
なし src.ip 定数: source_ip
なし target.asset.attribute.labels 定数: token_new
なし target.asset.ip 定数: targetIP
なし target.asset.mac 定数: TargetMAC
なし target.ip 定数: targetIP
なし target.mac 定数: TargetMAC
なし target.process.file.size 定数: uinteger
なし target.user.attribute.labels 定数: version_label
なし target.user.email_addresses 定数: targetuseremail

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。