Windows Netzwerkrichtlinien-Server-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.
Wenn diese Funktion in Ihrer Umgebung nicht sichtbar ist, lesen Sie den Hilfeartikel Funktionen in der Vorabversion verwalten oder wenden Sie sich an Ihren Systemadministrator.

In diesem Dokument wird beschrieben, wie Sie Windows Network Policy Server-Logs (NPS) mit Bindplane in Google Security Operations aufnehmen.

Windows Network Policy Server (NPS) ist ein Microsoft RADIUS-Server, der Authentifizierungs-, Autorisierungs- und Accounting-Logs für die Netzwerkzugriffssteuerung generiert. Der Bindplane-Agent erfasst NPS-Ressourcenerfassungs-Logdateien und exportierte Ereignisprotokolle direkt aus dem lokalen Dateisystem.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher mit observiq-otel-collector-Dienstunterstützung
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Administratorzugriff auf den Windows Server mit der installierten Netzwerkrichtlinienserver-Rolle

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Logs aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    filelog:
      include:
        - C:\Windows\System32\LogFiles\IN*.log
      start_at: beginning
  
  exporters:
    chronicle/windows_nps:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: WINDOWS_NET_POLICY_SERVER
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/nps_to_chronicle:
        receivers:
          - filelog
        exporters:
          - chronicle/windows_nps
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • filelog: Der Empfängertyp zum Erfassen von Logdateien vom Laufwerk
  • include: Liste der zu überwachenden Dateipfade. Legen Sie hier den Speicherort der NPS-Abrechnungsprotokolldateien (z. B. C:\Windows\System32\LogFiles\IN*.log) oder der exportierten Ereignisprotokolle (z. B. C:\Logs\nps\*.evtx) fest.
  • start_at: Wird auf beginning gesetzt, um vorhandene Logs zu lesen, oder auf end, um nur neue Einträge zu lesen.

• Exporter-Konfiguration:

  • windows_nps: Aussagekräftiger Name für den Exporter
  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: Kundennummer aus dem vorherigen Schritt
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • WINDOWS_NET_POLICY_SERVER: Logtyp genau so, wie er in Chronicle angezeigt wird
  • ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production)

• Pipeline-Konfiguration:

  • nps_to_chronicle: Aussagekräftiger Name für die Pipeline

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/windows_nps:
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: WINDOWS_NET_POLICY_SERVER
      raw_log_field: body
      ingestion_labels:
        env: production
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Dienstkonsole:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Rechtsklicken Sie und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Export von Windows NPS-Logs konfigurieren

Windows NPS generiert zwei Arten von Protokollen: NPS-Abrechnungsprotokolldateien (IAS-Format), die auf dem Laufwerk gespeichert werden, und NPS-bezogene Ereignisse im Windows-Ereignisprotokoll. Sie können entweder einen oder beide Typen erfassen.

Option 1: NPS-Abrechnungsprotokolldateien erfassen (Standard)

NPS-Abrechnungs-Logdateien werden standardmäßig unter C:\Windows\System32\LogFiles\` with filenames starting withIN(for example,IN2301.log`) gespeichert.

1. Öffnen Sie Server-Manager > Netzwerkrichtlinienserver.
2. Gehen Sie zu Abrechnung > Abrechnung konfigurieren.
3. Prüfen Sie, ob In Textdatei protokollieren (lokal) aktiviert ist.
4. Notieren Sie sich das Verzeichnis für die Logdateien (Standard: %systemroot%\system32\LogFiles).

5. Achten Sie darauf, dass der Pfad include des Bindplane-Agents in config.yaml mit dem Speicherort der Logdatei übereinstimmt.

   Hinweis: NPS-Ressourcenerfassungslogs verwenden das IAS- oder DTS-Format. Der Standardpfad include C:\Windows\System32\LogFiles\IN*.log entspricht der Standard-Namenskonvention für NPS-Logs.

Option 2: NPS-Ereignisprotokolle exportieren

NPS-Authentifizierungsereignisse (Ereignis-IDs 6272–6280) werden im Windows-Sicherheitsereignisprotokoll protokolliert.

1. Erstellen Sie ein Verzeichnis zum Speichern der exportierten Logdateien:

   mkdir C:\Logs\nps
   

2. Exportieren Sie NPS-bezogene Sicherheitsereignisse mit wevtutil:

   wevtutil epl "Security" /q:"*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID>=6272 and EventID<=6280)]]" C:\Logs\nps\nps-security.evtx
   

3. Optional: Planen Sie regelmäßige Exporte mit dem Windows-Aufgabenplanungsdienst:

   $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" /q:"*[System[Provider[@Name=''Microsoft-Windows-Security-Auditing''] and (EventID>=6272 and EventID<=6280)]]" C:\Logs\nps\nps-security.evtx /ow:true'
   $trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
   Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportNPSLogs" -Description "Export Windows NPS logs for Bindplane agent"
   

4. Aktualisieren Sie den Pfad include des Bindplane-Agents in config.yaml, sodass er mit Folgendem übereinstimmt:

   include:
     - C:\Logs\nps\*.evtx
   

   Hinweis: Das Dienstkonto des Bindplane-Agents muss Lesezugriff auf das Logverzeichnis haben.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
EventID	about	Zugeordnete Werte (insgesamt 5, z.B. 4800, 4801 → session_about, 5137, 5141 → `token_about...)
SourceName	about	Zugeordnete Werte (insgesamt 6, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
about_host	about	Zusammengeführt
about_token	about	Zusammengeführt
jsonPayload_about	about	Zusammengeführt
session_about	about	Zusammengeführt
token_about	about	Zusammengeführt
fqdn	about.administrative_domain	Direkt zugeordnet
param1	about.file.full_path	Direkt zugeordnet
DCDNSName	about.hostname	Direkt zugeordnet
LocalEMPrincipalName	about.hostname	Direkt zugeordnet
EventID	about.ip	Zugeordnet: 4908, 4964 → address
SourceName	about.ip	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
address	about.ip	Zusammengeführt
EventID	about.labels	Zugeordnete Werte (insgesamt 15, z.B. 4625, 4776, 4794 → keywords_label, 4774, 4775 → `map...)
ImpersonationLevel_label	about.labels	Zusammengeführt
RestrictedAdminMode_label	about.labels	Zusammengeführt
SourceName	about.labels	Zugeordnete Werte (insgesamt 23, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec...)
additional_data_label	about.labels	Zusammengeführt
audit_policy_changes_label	about.labels	Zusammengeführt
ca_label	about.labels	Zusammengeführt
category_label	about.labels	Zusammengeführt
keywords_label	about.labels	Zusammengeführt
labels0	about.labels	Zusammengeführt
labels101	about.labels	Zusammengeführt
labels202	about.labels	Zusammengeführt
labels401	about.labels	Zusammengeführt
level_label	about.labels	Zusammengeführt
mapped_name_label	about.labels	Zusammengeführt
mapping_by_label	about.labels	Zusammengeführt
mapping_channel	about.labels	Zusammengeführt
mapping_opcode	about.labels	Zusammengeführt
system_keyword_label	about.labels	Zusammengeführt
task_label	about.labels	Zusammengeführt
thread_id_label	about.labels	Zusammengeführt
value_is_near_0	about.labels	Zugeordnet: true → labels101
value_is_near_1	about.labels	Zugeordnet: true → labels202
version_label	about.labels	Zusammengeführt
param3	about.registry.registry_key	Direkt zugeordnet
EventID	about.resource.attribute.labels	Zugeordnet: 4908, 4964 → label_for_resource_attribute
SourceName	about.resource.attribute.labels	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `l...
label_for_resource_attribute	about.resource.attribute.labels	Zusammengeführt
ProviderName	about.resource.name	Direkt zugeordnet
ProviderKey	about.resource.product_object_id	Direkt zugeordnet
temp	about.resource.product_object_id	Direkt zugeordnet
Url	about.url	Direkt zugeordnet
cacheDenyUrls	about.url	Direkt zugeordnet
EventID	about.user.attribute.labels	Zugeordnet: 4765, 4766 → about_user_label, 4908, 4964 → about_user_label, ` 4908, ...
SourceName	about.user.attribute.labels	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
about_user_label	about.user.attribute.labels	Zusammengeführt
label_for_user_attribute	about.user.attribute.labels	Zusammengeführt
SourceUserName	about.user.userid	Direkt zugeordnet
about_user_windows_sid	about.user.windows_sid	Direkt zugeordnet
EventID	additiona.fields	Zugeordnet: 4908, 4964 → function_label, 4104, 4105 → function_label
SourceName	additiona.fields	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `f...
function_label	additiona.fields	Zusammengeführt
AccountAvailableKeys_label	additional.fields	Zusammengeführt
AccountSupportedEncryptionTypes_label	additional.fields	Zusammengeführt
ActiveProfile_label	additional.fields	Zusammengeführt
AdvancedOptions_label	additional.fields	Zusammengeführt
AppCorrelationID_label	additional.fields	Zusammengeführt
AppId_label	additional.fields	Zusammengeführt
AttributeSyntaxOID_label	additional.fields	Zusammengeführt
AuditResult_label	additional.fields	Zusammengeführt
AuditType_label	additional.fields	Zusammengeführt
AuthProtocol_label	additional.fields	Zusammengeführt
Binding_type_label	additional.fields	Zusammengeführt
Cache_Control_label	additional.fields	Zusammengeführt
ClaimsProvider_label	additional.fields	Zusammengeführt
ClientAdvertizedEncryptionTypes_label	additional.fields	Zusammengeführt
ClientCreationTime_label	additional.fields	Zusammengeführt
CommandName_label	additional.fields	Zusammengeführt
CommandType_label	additional.fields	Zusammengeführt
ConfigAccessPolicy_label	additional.fields	Zusammengeführt
ConfiguredNames_label	additional.fields	Zusammengeführt
Connection_label	additional.fields	Zusammengeführt
Content_Type_label	additional.fields	Zusammengeführt
DCAvailableKeys_label	additional.fields	Zusammengeführt
DCSupportedEncryptionTypes_label	additional.fields	Zusammengeführt
DN_label	additional.fields	Zusammengeführt
DSType_label	additional.fields	Zusammengeführt
DetailSequence_label	additional.fields	Zusammengeführt
DetailTotal_label	additional.fields	Zusammengeführt
Details_label	additional.fields	Zusammengeführt
DeviceAuth_label	additional.fields	Zusammengeführt
DeviceId_label	additional.fields	Zusammengeführt
DirectiveName_label	additional.fields	Zusammengeführt
DisableIntegrityChecks_label	additional.fields	Zusammengeführt
Endpoint_label	additional.fields	Zusammengeführt
EngineVersion_label	additional.fields	Zusammengeführt
ErrorCode_label	additional.fields	Zusammengeführt
EventID	additional.fields	Zugeordnete Werte (insgesamt 420, z.B. 4719 → additional_field_task_category, ` 4692, 4693, 4694... )
FQDN_label	additional.fields	Zusammengeführt
FWLink_label	additional.fields	Zusammengeführt
FailureType_label	additional.fields	Zusammengeführt
FaultingApplicationPath_label	additional.fields	Zusammengeführt
FaultingModulePath_label	additional.fields	Zusammengeführt
FlightSigning_label	additional.fields	Zusammengeführt
ForwardedIpAddress_label	additional.fields	Zusammengeführt
GroupPolicyApplied_label	additional.fields	Zusammengeführt
HandleId_label	additional.fields	Zusammengeführt
HandleId_label_1	additional.fields	Zusammengeführt
HostID_label	additional.fields	Zusammengeführt
HostId_label	additional.fields	Zusammengeführt
HostName_label	additional.fields	Zusammengeführt
HostVersion_label	additional.fields	Zusammengeführt
Host_label	additional.fields	Zusammengeführt
HypervisorDebug_label	additional.fields	Zusammengeführt
HypervisorLaunchType_label	additional.fields	Zusammengeführt
HypervisorLoadOptions_label	additional.fields	Zusammengeführt
ImpersonationLevel_label	additional.fields	Zusammengeführt
IpAddress_label	additional.fields	Zusammengeführt
KernelDebug_label	additional.fields	Zusammengeführt
KeyLength_label	additional.fields	Zusammengeführt
LmPackageName_label	additional.fields	Zusammengeführt
LoadOptions_label	additional.fields	Zusammengeführt
LogDroppedPacketsEnabled_label	additional.fields	Zusammengeführt
LogSuccessfulConnectionsEnabled_label	additional.fields	Zusammengeführt
MandatoryLabel_label	additional.fields	Zusammengeführt
MessageNumber_label	additional.fields	Zusammengeführt
MessageTotal_label	additional.fields	Zusammengeführt
Message_label	additional.fields	Zusammengeführt
MfaMethod_label	additional.fields	Zusammengeführt
MfaPerformed_label	additional.fields	Zusammengeführt
MulticastFlowsEnabled_label	additional.fields	Zusammengeführt
NetworkIpAddress_label	additional.fields	Zusammengeführt
NetworkLocation_label	additional.fields	Zusammengeführt
NewEngineState_label	additional.fields	Zusammengeführt
NewState_label	additional.fields	Zusammengeführt
NotificationInterval_label	additional.fields	Zusammengeführt
OAuthClientId_label	additional.fields	Zusammengeführt
OAuthGrant_label	additional.fields	Zusammengeführt
ObjectServer_label	additional.fields	Zusammengeführt
OpCorrelationID_label	additional.fields	Zusammengeführt
OperationMode_label	additional.fields	Zusammengeführt
OperationType_label	additional.fields	Zusammengeführt
Operation_label	additional.fields	Zusammengeführt
PacketType_label	additional.fields	Zusammengeführt
Payload_label	additional.fields	Zusammengeführt
PipelineID_label	additional.fields	Zusammengeführt
PipelineId_label	additional.fields	Zusammengeführt
PreAuthEncryptionType_label	additional.fields	Zusammengeführt
PreviousEngineState_label	additional.fields	Zusammengeführt
PrimaryAuth_label	additional.fields	Zusammengeführt
Product_Name_label	additional.fields	Zusammengeführt
Product_Version_label	additional.fields	Zusammengeführt
Profile_label	additional.fields	Zusammengeführt
Profiles_label	additional.fields	Zusammengeführt
ProxyIpAddress_label	additional.fields	Zusammengeführt
ProxyServer_label	additional.fields	Zusammengeführt
RelyingParty_label	additional.fields	Zusammengeführt
RemoteAdminEnabled_label	additional.fields	Zusammengeführt
RemoteEventLogging_label	additional.fields	Zusammengeführt
RequestTicketHash_label	additional.fields	Zusammengeführt
ResourceManager_label	additional.fields	Zusammengeführt
ResponseTicketHash_label	additional.fields	Zusammengeführt
RestrictedAdminMode_label	additional.fields	Zusammengeführt
ReturnCode_label	additional.fields	Zusammengeführt
RunspaceID_label	additional.fields	Zusammengeführt
RunspaceId_label	additional.fields	Zusammengeführt
SequenceNumber_label	additional.fields	Zusammengeführt
Server_label	additional.fields	Zusammengeführt
ServiceAvailableKeys_label	additional.fields	Zusammengeführt
ServiceStartType_label	additional.fields	Zusammengeführt
ServiceSupportedEncryptionTypes_label	additional.fields	Zusammengeführt
ServiceType_label	additional.fields	Zusammengeführt
SessionKeyEncryptionType_label	additional.fields	Zusammengeführt
SkuId_label	additional.fields	Zusammengeführt
SourceName	additional.fields	Zugeordnete Werte (insgesamt 564, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows se... )
SsoBindingValidationLevel_label	additional.fields	Zusammengeführt
StartType_label	additional.fields	Zusammengeführt
SubjectLogonId_label	additional.fields	Zusammengeführt
THostName_label	additional.fields	Zusammengeführt
TargetLinkedLogonId_label	additional.fields	Zusammengeführt
TestSigning_label	additional.fields	Zusammengeführt
Ticket_type_label	additional.fields	Zusammengeführt
TokenBindingProvidedId_label	additional.fields	Zusammengeführt
TokenBindingReferredId_label	additional.fields	Zusammengeführt
TokenElevationType_label	additional.fields	Zusammengeführt
TransactionId_label	additional.fields	Zusammengeführt
TransmittedServices_label	additional.fields	Zusammengeführt
Trigger_label	additional.fields	Zusammengeführt
UserAgentString_label	additional.fields	Zusammengeführt
UserId_label	additional.fields	Zusammengeführt
VirtualAccount_label	additional.fields	Zusammengeführt
VsmLaunchType_label	additional.fields	Zusammengeführt
X_MS_Endpoint_Absolute_Path_label1	additional.fields	Zusammengeführt
acc_mask_label	additional.fields	Zusammengeführt
access_mask_label	additional.fields	Zusammengeführt
account_name_label	additional.fields	Zusammengeführt
acct_authentic	additional.fields	Zusammengeführt
acct_input_octets	additional.fields	Zusammengeführt
acct_input_packets	additional.fields	Zusammengeführt
acct_link_count	additional.fields	Zusammengeführt
acct_output_octets	additional.fields	Zusammengeführt
acct_output_packets	additional.fields	Zusammengeführt
acct_session_time	additional.fields	Zusammengeführt
acct_status_type	additional.fields	Zusammengeführt
activity_id_label	additional.fields	Zusammengeführt
add_label	additional.fields	Zusammengeführt
add_labels202	additional.fields	Zusammengeführt
addition_ObjectClass	additional.fields	Zusammengeführt
additional_ClientAdvertizedEncryptionTypes	additional.fields	Zusammengeführt
additional_ParameterBinding_Add-Type	additional.fields	Zusammengeführt
additional_Requested_Operation_Desired_Access	additional.fields	Zusammengeführt
additional_TargetDomainName	additional.fields	Zusammengeführt
additional_The_SSPI_client_process_is_SYSTEM_PID	additional.fields	Zusammengeführt
additional_access_mask	additional.fields	Zusammengeführt
additional_data_label	additional.fields	Zusammengeführt
additional_field	additional.fields	Zusammengeführt
additional_field_subject_domain_name	additional.fields	Zusammengeführt
additional_field_task_category	additional.fields	Zusammengeführt
additional_information_label	additional.fields	Zusammengeführt
additional_member_name	additional.fields	Zusammengeführt
additional_user_data	additional.fields	Zusammengeführt
attribute_label	additional.fields	Zusammengeführt
attribute_ldap_display_name_label	additional.fields	Zusammengeführt
attribute_selection_label	additional.fields	Zusammengeführt
attributes_preventing_optimization_label	additional.fields	Zusammengeführt
audit_policy_changes_label	additional.fields	Zusammengeführt
audit_schema_version_label	additional.fields	Zusammengeführt
authentication_type_label	additional.fields	Zusammengeführt
backup_type_label	additional.fields	Zusammengeführt
ca_label	additional.fields	Zusammengeführt
cab_id_label	additional.fields	Zusammengeführt
caller_identity_label	additional.fields	Zusammengeführt
caller_user_name_label	additional.fields	Zusammengeführt
category_label	additional.fields	Zusammengeführt
certificate_identity_label	additional.fields	Zusammengeführt
charset_label	additional.fields	Zusammengeführt
check_field_server_names	additional.fields	Zusammengeführt
class	additional.fields	Zusammengeführt
class_type_label	additional.fields	Zusammengeführt
clean_pages_modified_label	additional.fields	Zusammengeführt
client_options1_label	additional.fields	Zusammengeführt
client_options_label	additional.fields	Zusammengeführt
client_request_id_label	additional.fields	Zusammengeführt
connect_info	additional.fields	Zusammengeführt
connect_options_label	additional.fields	Zusammengeführt
content_length_label	additional.fields	Zusammengeführt
data_1_label	additional.fields	Zusammengeführt
data_2_label	additional.fields	Zusammengeführt
data_3_label	additional.fields	Zusammengeführt
dirty_pages_modified_label	additional.fields	Zusammengeführt
disposition_label	additional.fields	Zusammengeführt
domain_label	additional.fields	Zusammengeführt
environment_label	additional.fields	Zusammengeführt
event_data_d_word_val_label	additional.fields	Zusammengeführt
event_data_method_label	additional.fields	Zusammengeführt
event_data_p10_label	additional.fields	Zusammengeführt
event_data_p11_label	additional.fields	Zusammengeführt
event_data_p12_label	additional.fields	Zusammengeführt
event_data_p13_label	additional.fields	Zusammengeführt
event_data_p14_label	additional.fields	Zusammengeführt
event_data_p15_label	additional.fields	Zusammengeführt
event_data_p16_label	additional.fields	Zusammengeführt
event_data_p17_label	additional.fields	Zusammengeführt
event_data_p18_label	additional.fields	Zusammengeführt
event_data_p19_label	additional.fields	Zusammengeführt
event_data_p1_label	additional.fields	Zusammengeführt
event_data_p20_label	additional.fields	Zusammengeführt
event_data_p21_label	additional.fields	Zusammengeführt
event_data_p22_label	additional.fields	Zusammengeführt
event_data_p23_label	additional.fields	Zusammengeführt
event_data_p24_label	additional.fields	Zusammengeführt
event_data_p25_label	additional.fields	Zusammengeführt
event_data_p26_label	additional.fields	Zusammengeführt
event_data_p27_label	additional.fields	Zusammengeführt
event_data_p28_label	additional.fields	Zusammengeführt
event_data_p29_label	additional.fields	Zusammengeführt
event_data_p2_label	additional.fields	Zusammengeführt
event_data_p30_label	additional.fields	Zusammengeführt
event_data_p31_label	additional.fields	Zusammengeführt
event_data_p32_label	additional.fields	Zusammengeführt
event_data_p33_label	additional.fields	Zusammengeführt
event_data_p34_label	additional.fields	Zusammengeführt
event_data_p35_label	additional.fields	Zusammengeführt
event_data_p36_label	additional.fields	Zusammengeführt
event_data_p37_label	additional.fields	Zusammengeführt
event_data_p38_label	additional.fields	Zusammengeführt
event_data_p39_label	additional.fields	Zusammengeführt
event_data_p3_label	additional.fields	Zusammengeführt
event_data_p40_label	additional.fields	Zusammengeführt
event_data_p41_label	additional.fields	Zusammengeführt
event_data_p42_label	additional.fields	Zusammengeführt
event_data_p43_label	additional.fields	Zusammengeführt
event_data_p44_label	additional.fields	Zusammengeführt
event_data_p45_label	additional.fields	Zusammengeführt
event_data_p46_label	additional.fields	Zusammengeführt
event_data_p47_label	additional.fields	Zusammengeführt
event_data_p48_label	additional.fields	Zusammengeführt
event_data_p49_label	additional.fields	Zusammengeführt
event_data_p4_label	additional.fields	Zusammengeführt
event_data_p50_label	additional.fields	Zusammengeführt
event_data_p51_label	additional.fields	Zusammengeführt
event_data_p52_label	additional.fields	Zusammengeführt
event_data_p53_label	additional.fields	Zusammengeführt
event_data_p54_label	additional.fields	Zusammengeführt
event_data_p55_label	additional.fields	Zusammengeführt
event_data_p56_label	additional.fields	Zusammengeführt
event_data_p57_label	additional.fields	Zusammengeführt
event_data_p58_label	additional.fields	Zusammengeführt
event_data_p59_label	additional.fields	Zusammengeführt
event_data_p5_label	additional.fields	Zusammengeführt
event_data_p60_label	additional.fields	Zusammengeführt
event_data_p61_label	additional.fields	Zusammengeführt
event_data_p62_label	additional.fields	Zusammengeführt
event_data_p63_label	additional.fields	Zusammengeführt
event_data_p64_label	additional.fields	Zusammengeführt
event_data_p65_label	additional.fields	Zusammengeführt
event_data_p66_label	additional.fields	Zusammengeführt
event_data_p67_label	additional.fields	Zusammengeführt
event_data_p68_label	additional.fields	Zusammengeführt
event_data_p69_label	additional.fields	Zusammengeführt
event_data_p6_label	additional.fields	Zusammengeführt
event_data_p70_label	additional.fields	Zusammengeführt
event_data_p71_label	additional.fields	Zusammengeführt
event_data_p72_label	additional.fields	Zusammengeführt
event_data_p73_label	additional.fields	Zusammengeführt
event_data_p74_label	additional.fields	Zusammengeführt
event_data_p75_label	additional.fields	Zusammengeführt
event_data_p76_label	additional.fields	Zusammengeführt
event_data_p77_label	additional.fields	Zusammengeführt
event_data_p78_label	additional.fields	Zusammengeführt
event_data_p79_label	additional.fields	Zusammengeführt
event_data_p7_label	additional.fields	Zusammengeführt
event_data_p80_label	additional.fields	Zusammengeführt
event_data_p81_label	additional.fields	Zusammengeführt
event_data_p82_label	additional.fields	Zusammengeführt
event_data_p83_label	additional.fields	Zusammengeführt
event_data_p84_label	additional.fields	Zusammengeführt
event_data_p85_label	additional.fields	Zusammengeführt
event_data_p86_label	additional.fields	Zusammengeführt
event_data_p87_label	additional.fields	Zusammengeführt
event_data_p88_label	additional.fields	Zusammengeführt
event_data_p89_label	additional.fields	Zusammengeführt
event_data_p8_label	additional.fields	Zusammengeführt
event_data_p90_label	additional.fields	Zusammengeführt
event_data_p91_label	additional.fields	Zusammengeführt
event_data_p92_label	additional.fields	Zusammengeführt
event_data_p9_label	additional.fields	Zusammengeführt
event_data_param1_label	additional.fields	Zusammengeführt
event_data_param2_label	additional.fields	Zusammengeführt
event_data_param3_label	additional.fields	Zusammengeführt
event_data_param4_label	additional.fields	Zusammengeführt
event_data_param5_label	additional.fields	Zusammengeführt
event_data_param6_label	additional.fields	Zusammengeführt
event_data_param7_label	additional.fields	Zusammengeführt
event_data_processing_mode_label	additional.fields	Zusammengeführt
event_data_processing_time_in_milliseconds_label	additional.fields	Zusammengeführt
event_data_stage_label	additional.fields	Zusammengeführt
event_data_support_info1_label	additional.fields	Zusammengeführt
event_data_support_info2_label	additional.fields	Zusammengeführt
event_data_thumbprint_label	additional.fields	Zusammengeführt
event_id_label	additional.fields	Zusammengeführt
event_in_seq_label	additional.fields	Zusammengeführt
event_time_label	additional.fields	Zusammengeführt
exception_info_label	additional.fields	Zusammengeführt
expensive_search_operations_label	additional.fields	Zusammengeführt
failure_reason_label	additional.fields	Zusammengeführt
framework_version_label	additional.fields	Zusammengeführt
hashed_bucket_label	additional.fields	Zusammengeführt
inefficient_search_operations_label	additional.fields	Zusammengeführt
install_date_label	additional.fields	Zusammengeführt
is_column_permission_label	additional.fields	Zusammengeführt
is_dac_label	additional.fields	Zusammengeführt
keywords_label	additional.fields	Zusammengeführt
label01	additional.fields	Zusammengeführt
label02	additional.fields	Zusammengeführt
label03	additional.fields	Zusammengeführt
label461	additional.fields	Zusammengeführt
label462	additional.fields	Zusammengeführt
label463	additional.fields	Zusammengeführt
label46561	additional.fields	Zusammengeführt
label46562	additional.fields	Zusammengeführt
label46563	additional.fields	Zusammengeführt
label46564	additional.fields	Zusammengeführt
label46565	additional.fields	Zusammengeführt
label46571	additional.fields	Zusammengeführt
label46572	additional.fields	Zusammengeführt
label47681	additional.fields	Zusammengeführt
label47682	additional.fields	Zusammengeführt
label501	additional.fields	Zusammengeführt
label601	additional.fields	Zusammengeführt
label_for_additional_fields	additional.fields	Zusammengeführt
labels0	additional.fields	Zusammengeführt
labels401	additional.fields	Zusammengeführt
labels46411	additional.fields	Zusammengeführt
labels46412	additional.fields	Zusammengeführt
labels46413	additional.fields	Zusammengeführt
labels46414	additional.fields	Zusammengeführt
labels46415	additional.fields	Zusammengeführt
labels46416	additional.fields	Zusammengeführt
labels46417	additional.fields	Zusammengeführt
level_label	additional.fields	Zusammengeführt
logon_guid_label	additional.fields	Zusammengeführt
logon_id_label	additional.fields	Zusammengeführt
mapped_name_label	additional.fields	Zusammengeführt
mapping_by_label	additional.fields	Zusammengeführt
mapping_channel	additional.fields	Zusammengeführt
mapping_opcode	additional.fields	Zusammengeführt
method	additional.fields	Zusammengeführt
method_executed_label	additional.fields	Zusammengeführt
namespace_label	additional.fields	Zusammengeführt
nas_port_type_label	additional.fields	Zusammengeführt
network_information_label	additional.fields	Zusammengeführt
new_obj_dn_label	additional.fields	Zusammengeführt
new_target_user_name_label	additional.fields	Zusammengeführt
number_of_search_operations_label	additional.fields	Zusammengeführt
object_class_label	additional.fields	Zusammengeführt
object_dn_label	additional.fields	Zusammengeführt
operation_type_label	additional.fields	Zusammengeführt
p10_label	additional.fields	Zusammengeführt
p2_label	additional.fields	Zusammengeführt
p3_label	additional.fields	Zusammengeführt
p4_label	additional.fields	Zusammengeführt
p5_label	additional.fields	Zusammengeführt
p6_label	additional.fields	Zusammengeführt
p7_label	additional.fields	Zusammengeführt
p8_label	additional.fields	Zusammengeführt
p9_label	additional.fields	Zusammengeführt
package_label	additional.fields	Zusammengeführt
packet_data_size_label	additional.fields	Zusammengeführt
pages_preread_from_disk_label	additional.fields	Zusammengeführt
pages_read_from_disk_label	additional.fields	Zusammengeführt
pages_referenced_label	additional.fields	Zusammengeführt
parent_id_label	additional.fields	Zusammengeführt
payload_label	additional.fields	Zusammengeführt
perm_consumer_label	additional.fields	Zusammengeführt
permission_bitmask_label	additional.fields	Zusammengeführt
platform_label	additional.fields	Zusammengeführt
pooled_connection_label	additional.fields	Zusammengeführt
problem_signature_label	additional.fields	Zusammengeführt
protocol_seq_label	additional.fields	Zusammengeführt
proxy_dns_name_label	additional.fields	Zusammengeführt
query_string_label	additional.fields	Zusammengeführt
reason_code	additional.fields	Zusammengeführt
reason_code_labels	additional.fields	Zusammengeführt
report_id_label	additional.fields	Zusammengeführt
report_status_label	additional.fields	Zusammengeführt
req_id_label	additional.fields	Zusammengeführt
request_detail_label	additional.fields	Zusammengeführt
request_id_label	additional.fields	Zusammengeführt
request_path_label	additional.fields	Zusammengeführt
requester_label	additional.fields	Zusammengeführt
response_detail_label	additional.fields	Zusammengeführt
response_label	additional.fields	Zusammengeführt
returned_entries_label	additional.fields	Zusammengeführt
search_scope_label	additional.fields	Zusammengeführt
search_time_ms_label	additional.fields	Zusammengeführt
sequence_group_id_label	additional.fields	Zusammengeführt
sequence_number_label	additional.fields	Zusammengeführt
session_label	additional.fields	Zusammengeführt
sidtype_label	additional.fields	Zusammengeführt
source_group_label	additional.fields	Zusammengeführt
source_module_label	additional.fields	Zusammengeführt
span_id_label	additional.fields	Zusammengeführt
stage	additional.fields	Zusammengeführt
starting_node_label	additional.fields	Zusammengeführt
statement_label	additional.fields	Zusammengeführt
subject_key_label	additional.fields	Zusammengeführt
subject_label	additional.fields	Zusammengeführt
subject_logon_id_label	additional.fields	Zusammengeführt
subject_logon_id_label_1	additional.fields	Zusammengeführt
subject_machine_name_label	additional.fields	Zusammengeführt
subject_user_name_label	additional.fields	Zusammengeführt
suppress_count_label	additional.fields	Zusammengeführt
suppress_label	additional.fields	Zusammengeführt
system_keyword_label	additional.fields	Zusammengeführt
target_label	additional.fields	Zusammengeführt
target_labels	additional.fields	Zusammengeführt
target_logon_id_label	additional.fields	Zusammengeführt
target_relying_party_label	additional.fields	Zusammengeführt
target_user_id_label	additional.fields	Zusammengeführt
temp_additional_event_category	additional.fields	Zusammengeführt
temp_additional_event_type	additional.fields	Zusammengeführt
temp_additional_insert_id	additional.fields	Zusammengeführt
temp_additional_log_name	additional.fields	Zusammengeführt
temp_additional_qualifiers	additional.fields	Zusammengeführt
temp_additional_time_gen	additional.fields	Zusammengeführt
temp_additional_time_written	additional.fields	Zusammengeführt
temp_query	additional.fields	Zusammengeführt
these_files_may_be_available_here_label	additional.fields	Zusammengeführt
thread_id_label	additional.fields	Zusammengeführt
through_proxy_label	additional.fields	Zusammengeführt
ticket_options_label	additional.fields	Zusammengeführt
time_interval_hours_label	additional.fields	Zusammengeführt
token_@_xmlns_	additional.fields	Zusammengeführt
token_subject_logon_id	additional.fields	Zusammengeführt
trace_id_label	additional.fields	Zusammengeführt
transaction_id_label	additional.fields	Zusammengeführt
uf_type_label	additional.fields	Zusammengeführt
uf_version_label	additional.fields	Zusammengeführt
used_indexes_label	additional.fields	Zusammengeführt
user_data_0x8000003F_@_xmlns__label	additional.fields	Zusammengeführt
user_data_0x8000003F_process_id_label	additional.fields	Zusammengeführt
user_data_0x8000003F_providers_in_host_label	additional.fields	Zusammengeführt
user_data_0x8000003F_quota_name_label	additional.fields	Zusammengeführt
user_data_0x8000003F_quota_threshold_label	additional.fields	Zusammengeführt
user_data_0x8000003F_quota_value_label	additional.fields	Zusammengeführt
user_defined_event_id_label	additional.fields	Zusammengeführt
user_defined_information_label	additional.fields	Zusammengeführt
user_id_label	additional.fields	Zusammengeführt
value_is_near_1	additional.fields	Zugeordnet: true → add_labels202
var_client_name	additional.fields	Zusammengeführt
var_workstation_name	additional.fields	Zusammengeführt
version_label	additional.fields	Zusammengeführt
visited_entries_label	additional.fields	Zusammengeführt
vsad_label	additional.fields	Zusammengeführt
x_ms_adfs_proxy_client_ip_label	additional.fields	Zusammengeführt
x_ms_client_application_label	additional.fields	Zusammengeführt
x_ms_client_user_agent_label	additional.fields	Zusammengeführt
x_ms_forwarded_client_ip_label	additional.fields	Zusammengeführt
x_ms_proxy_label	additional.fields	Zusammengeführt
xmlns_label1	additional.fields	Zusammengeführt
LogonType	extensions.auth.auth_details	Umbenannt/zugeordnet
EventID	extensions.auth.mechanism	Zugeordnet: 4908, 4964 → auth_mechanism1, 4908, 4964 → auth_mechanism, ` 1202,1203...
SourceName	extensions.auth.mechanism	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
auth_mechanism	extensions.auth.mechanism	Zusammengeführt
auth_mechanism1	extensions.auth.mechanism	Zusammengeführt
auth_type	extensions.auth.type	Umbenannt/zugeordnet
EventID	intermediary	Zugeordnet: 4908, 4964 → intermediary_label, ` 8015, 8018, 8019, 8020, 8027, 8033, 8010, ...
SourceName	intermediary	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `i...
intermediary_label	intermediary	Zusammengeführt
ComputerName	intermediary.hostname	Direkt zugeordnet
HostName	intermediary.hostname	Direkt zugeordnet
Hostname	intermediary.hostname	Direkt zugeordnet
intermediary_ip	intermediary.ip	Zusammengeführt
metadata_description	metadata.description	Direkt zugeordnet
Detection Time	metadata.event_timestamp	Geparst als ISO8601
EventReceivedTime	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss
EventTime	metadata.event_timestamp	Geparst als ISO8601
NewTime	metadata.event_timestamp	Geparst als ISO8601
PasswordLastSet	metadata.event_timestamp	Geparst als M/dd/yyyy H:mm:ss A
PreviousTime	metadata.event_timestamp	Geparst als ISO8601
ValidFrom	metadata.event_timestamp	Geparst als ISO8601
ValidTo	metadata.event_timestamp	Geparst als ISO8601
event_time	metadata.event_timestamp	Geparst als MMM dd HH:mm:ss
event_timestamp	metadata.event_timestamp	Geparst als yyyy-MM-dd HH:mm:ss
eventtime1	metadata.event_timestamp	Geparst als UNIX_MS
receiveTimestamp	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ssZ
syslog_ts	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ss Z
EventID	metadata.event_type	Zugeordnete Werte (insgesamt 18, z.B. 4908, 4964 → STATUS_UPDATE, 4908, 4964 → `GENERIC_... )
SourceName	metadata.event_type	Zugeordnete Werte (insgesamt 9, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
event_type	metadata.event_type	Direkt zugeordnet
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
udm_event_type	metadata.event_type	Umbenannt/zugeordnet
ProviderGuid	metadata.product_deployment_id	Umbenannt/zugeordnet
EventID	metadata.product_event_type	Direkt zugeordnet
product_event_type	metadata.product_event_type	Direkt zugeordnet
RecordNumber	metadata.product_log_id	Umbenannt/zugeordnet
SourceName	metadata.product_name	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `M...
EventID	metadata.vendor_name	Zugeordnet: 4908, 4964 → Microsoft
SourceName	metadata.vendor_name	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `M...
app_protocol	network.application_protocol	Umbenannt/zugeordnet
Direction	network.direction	Umbenannt/zugeordnet
EventID	network.dns.questions	Zugeordnet: 4908, 4964 → questions, 1014, 3008 → questions
SourceName	network.dns.questions	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `q...
questions	network.dns.questions	Zusammengeführt
http_method	network.http.method	Direkt zugeordnet
_userAgentString	network.http.parsed_user_agent	Umbenannt/zugeordnet
_userAgentString	network.http.user_agent	Direkt zugeordnet
ac-user-agent	network.http.user_agent	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Umbenannt/zugeordnet
AcctMultiSsnID	network.session_id	Direkt zugeordnet
SessionID	network.session_id	Direkt zugeordnet
SessionId	network.session_id	Direkt zugeordnet
SessionName	network.session_id	Umbenannt/zugeordnet
session_id	network.session_id	Direkt zugeordnet
CAName	network.tls.client.certificate.issuer	Direkt zugeordnet
Issuer	network.tls.client.certificate.issuer	Umbenannt/zugeordnet
LocalMMIssuingCA	network.tls.client.certificate.issuer	Direkt zugeordnet
CertificateHash	network.tls.client.certificate.md5	Direkt zugeordnet
SerialNumber	network.tls.client.certificate.serial	Direkt zugeordnet
client_certificate_serial	network.tls.client.certificate.serial	Umbenannt/zugeordnet
CertificateHash	network.tls.client.certificate.sha1	Direkt zugeordnet
client_certificate_sha1	network.tls.client.certificate.sha1	Umbenannt/zugeordnet
CertificateHash	network.tls.client.certificate.sha256	Direkt zugeordnet
client_certificate_subject	network.tls.client.certificate.subject	Umbenannt/zugeordnet
RemoteMMIssuingCA	network.tls.server.certificate.issuer	Direkt zugeordnet
server_certificate_subject	network.tls.server.certificate.subject	Umbenannt/zugeordnet
SourceModuleType	observer.application	Umbenannt/zugeordnet
IssuingKDC	observer.asset.asset_id	Direkt zugeordnet
EventID	observer.labels	Zugeordnet: 4908, 4964 → verb_label, 4908, 4964 → source_module_label
SourceName	observer.labels	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
source_module_label	observer.labels	Zusammengeführt
verb_label	observer.labels	Zusammengeführt
AccountDomain	principal.administrative_domain	Umbenannt/zugeordnet
CallerDomainName	principal.administrative_domain	Umbenannt/zugeordnet
Domain	principal.administrative_domain	Umbenannt/zugeordnet
SubjectDomainName	principal.administrative_domain	Umbenannt/zugeordnet
administrative_domain	principal.administrative_domain	Direkt zugeordnet
principal_domain_name	principal.administrative_domain	Umbenannt/zugeordnet
principal_application	principal.application	Umbenannt/zugeordnet
src_application	principal.application	Umbenannt/zugeordnet
device-uid	principal.asset.asset_id	Direkt zugeordnet
EventID	principal.asset.attribute.labels	Zugeordnete Werte (insgesamt 7, z.B. 4908, 4964 → server_principal_id_label, 4908, 4964 ... )
SourceName	principal.asset.attribute.labels	Zugeordnete Werte (insgesamt 7, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
label_for_principal_asset	principal.asset.attribute.labels	Zusammengeführt
server_instance_name_label	principal.asset.attribute.labels	Zusammengeführt
server_principal_id_label	principal.asset.attribute.labels	Zusammengeführt
server_principal_name_label	principal.asset.attribute.labels	Zusammengeführt
server_principal_sid_label	principal.asset.attribute.labels	Zusammengeführt
session_server_principal_name_label	principal.asset.attribute.labels	Zusammengeführt
token_new	principal.asset.attribute.labels	Zusammengeführt
hardware	principal.asset.hardware	Zusammengeführt
Hostname	principal.asset.hostname	Direkt zugeordnet
auth_server_host	principal.asset.hostname	Direkt zugeordnet
hostname	principal.asset.hostname	Direkt zugeordnet
principal_asset_hostname	principal.asset.hostname	Umbenannt/zugeordnet
principal_hostname	principal.asset.hostname	Direkt zugeordnet
FramedIPAddress	principal.asset.ip	Zusammengeführt
SourceName	principal.asset.ip	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `F...
calling_station_id	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
var_domain_name	principal.asset.network_domain	Direkt zugeordnet
MachineInventory	principal.asset.platform_software.platform_version	Umbenannt/zugeordnet
device-platform-version	principal.asset.platform_software.platform_version	Direkt zugeordnet
platform_version	principal.asset.platform_software.platform_version	Umbenannt/zugeordnet
device-uid-global	principal.asset.product_object_id	Direkt zugeordnet
EventID	principal.asset.software	Zugeordnet: 4908, 4964 → software_version
SourceName	principal.asset.software	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `s...
software_version	principal.asset.software	Zusammengeführt
ClientRealm	principal.domain.name	Direkt zugeordnet
Path	principal.file.full_path	Direkt zugeordnet
PrincipalFileName	principal.file.full_path	Umbenannt/zugeordnet
Hostname	principal.hostname	Direkt zugeordnet
auth_server_host	principal.hostname	Direkt zugeordnet
hostname	principal.hostname	Direkt zugeordnet
principal_asset_hostname	principal.hostname	Direkt zugeordnet
principal_hostname	principal.hostname	Direkt zugeordnet
EventID	principal.ip	Zugeordnet: 4625, 4776, 4794 → temp_ip, 4908, 4964 → ip_address, 4908, 4964 → ...
FramedIPAddress	principal.ip	Zusammengeführt
SourceName	principal.ip	Zugeordnete Werte (insgesamt 5, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu...
calling_station_id	principal.ip	Zusammengeführt
ip	principal.ip	Zusammengeführt
ip_address	principal.ip	Zusammengeführt
principal_ip	principal.ip	Zusammengeführt
principal_ip1	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
temp_ip	principal.ip	Zusammengeführt
AdvancedOptions_label	principal.labels	Zusammengeführt
ClientCreationTime_label	principal.labels	Zusammengeführt
ConfigAccessPolicy_label	principal.labels	Zusammengeführt
DisableIntegrityChecks_label	principal.labels	Zusammengeführt
EventID	principal.labels	Zugeordnete Werte (insgesamt 28, z.B. 4692, 4693, 4694, 4695, 4983, 4984 → `subject_logon_id_lab...
FlightSigning_label	principal.labels	Zusammengeführt
HypervisorDebug_label	principal.labels	Zusammengeführt
HypervisorLaunchType_label	principal.labels	Zusammengeführt
HypervisorLoadOptions_label	principal.labels	Zusammengeführt
KernelDebug_label	principal.labels	Zusammengeführt
LoadOptions_label	principal.labels	Zusammengeführt
RemoteEventLogging_label	principal.labels	Zusammengeführt
SourceName	principal.labels	Zugeordnete Werte (insgesamt 36, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
SubjectLogonId_label	principal.labels	Zusammengeführt
TestSigning_label	principal.labels	Zusammengeführt
VsmLaunchType_label	principal.labels	Zusammengeführt
acc_mask_label	principal.labels	Zusammengeführt
account_name_label	principal.labels	Zusammengeführt
caller_user_name_label	principal.labels	Zusammengeführt
data_1_label	principal.labels	Zusammengeführt
data_2_label	principal.labels	Zusammengeführt
data_3_label	principal.labels	Zusammengeführt
label01	principal.labels	Zusammengeführt
label03	principal.labels	Zusammengeführt
label461	principal.labels	Zusammengeführt
label501	principal.labels	Zusammengeführt
logon_id_label	principal.labels	Zusammengeführt
method_executed_label	principal.labels	Zusammengeführt
namespace_label	principal.labels	Zusammengeführt
subject_logon_id_label	principal.labels	Zusammengeführt
subject_machine_name_label	principal.labels	Zusammengeführt
subject_user_name_label	principal.labels	Zusammengeführt
user_id_label	principal.labels	Zusammengeführt
var_client_name	principal.labels	Zusammengeführt
var_workstation	principal.labels	Zusammengeführt
var_workstation_name	principal.labels	Zusammengeführt
CallingStationID	principal.mac	Zugeordnet: (([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$ → CallingStationID
EventID	principal.mac	Zugeordnet: 4908, 4964 → principal_mac
SourceName	principal.mac	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
calling_station_id	principal.mac	Zusammengeführt
device-mac	principal.mac	Zusammengeführt
mac	principal.mac	Zusammengeführt
principal_mac	principal.mac	Zusammengeführt
principal_port	principal.port	Umbenannt/zugeordnet
AccessMask	principal.process.access_mask	Umbenannt/zugeordnet
am	principal.process.access_mask	Umbenannt/zugeordnet
ParentCommandLine	principal.process.command_line	Umbenannt/zugeordnet
ProcessName	principal.process.command_line	Umbenannt/zugeordnet
principal_process_command_line	principal.process.command_line	Umbenannt/zugeordnet
task_arguments	principal.process.command_line	Umbenannt/zugeordnet
CallerProcessName	principal.process.file.full_path	Umbenannt/zugeordnet
ParentImage	principal.process.file.full_path	Umbenannt/zugeordnet
SourceImage	principal.process.file.full_path	Umbenannt/zugeordnet
principal_process_name	principal.process.file.full_path	Umbenannt/zugeordnet
task_command	principal.process.file.full_path	Umbenannt/zugeordnet
SourceName	principal.process.file.names	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
var_process_parent_name	principal.process.file.names	Zusammengeführt
ParentProcessId	principal.process.parent_process.pid	Umbenannt/zugeordnet
principal_process_pid	principal.process.pid	Umbenannt/zugeordnet
process_id	principal.process.pid	Umbenannt/zugeordnet
ObjectPath	principal.registry.registry_key	Umbenannt/zugeordnet
EventID	principal.resource.attribute.permissions	Zugeordnet: 4659, 5140, 5145 → permissions
SourceName	principal.resource.attribute.permissions	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
permissions	principal.resource.attribute.permissions	Zusammengeführt
principal_resource_product_object_id	principal.resource.product_object_id	Umbenannt/zugeordnet
EventID	principal.user.attribute.labels	Zugeordnet: 4908, 4964 → label_for_principal_user, 4908, 4964 → user_label, ` 4908...
SourceName	principal.user.attribute.labels	Zugeordnete Werte (insgesamt 6, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
account_name_label	principal.user.attribute.labels	Zusammengeführt
label_for_principal_user	principal.user.attribute.labels	Zusammengeführt
sam_acc_label	principal.user.attribute.labels	Zusammengeführt
sid_history_label	principal.user.attribute.labels	Zusammengeführt
subject_user_sid_name_label	principal.user.attribute.labels	Zusammengeführt
user_label	principal.user.attribute.labels	Zusammengeführt
EventID	principal.user.attribute.roles	Zugeordnete Werte (insgesamt 20, z.B. 4908, 4964 → roles, ` 7000, 7011, 7022, 7023, 7024, 702... )
SourceName	principal.user.attribute.roles	Zugeordnete Werte (insgesamt 63, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
roles	principal.user.attribute.roles	Zusammengeführt
Subject_Logon_GUID	principal.user.product_object_id	Direkt zugeordnet
principal_user_display_name	principal.user.user_display_name	Umbenannt/zugeordnet
AccountName	principal.user.userid	Umbenannt/zugeordnet
AccountToReset	principal.user.userid	Umbenannt/zugeordnet
CallerUserName	principal.user.userid	Umbenannt/zugeordnet
SubjectMachineName	principal.user.userid	Umbenannt/zugeordnet
SubjectUserName	principal.user.userid	Umbenannt/zugeordnet
principal_user_id	principal.user.userid	Umbenannt/zugeordnet
subject_machine_name	principal.user.userid	Umbenannt/zugeordnet
principal_user_windows_sid	principal.user.windows_sid	Umbenannt/zugeordnet
subject_machine_sid	principal.user.windows_sid	Direkt zugeordnet
EventID	security_result	Zugeordnete Werte (insgesamt 5, z.B. 4953, 4957, 4951, 4952, 4958 → security_result1, ` 4908, ... )
SourceName	security_result	Zugeordnete Werte (insgesamt 11, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
category_details	security_result	Zugeordnete Werte (insgesamt 9, z.B. ` „Security State Change“, „Security System Extension“, „System... )
label_security_result	security_result	Zusammengeführt
security_result1	security_result	Zusammengeführt
security_result2	security_result	Zusammengeführt
security_result_1	security_result	Zusammengeführt
security_result_2	security_result	Zusammengeführt
security_result_3	security_result	Zusammengeführt
security_result_4	security_result	Zusammengeführt
security_result_5	security_result	Zusammengeführt
KeyUserPath	security_result.about.file.full_path	Direkt zugeordnet
EventID	security_result.about.labels	Zugeordnet: 4625, 4776, 4794 → failure_reason_label, 4908, 4964 → `label_for_security...
SourceName	security_result.about.labels	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `f...
failure_reason_label	security_result.about.labels	Zusammengeführt
label_for_security_result_about_label	security_result.about.labels	Zusammengeführt
EventID	security_result.about.resource.attribute.labels	Zugeordnete Werte (insgesamt 14, z.B. 4908, 4964 → label, 4908, 4964 → label1, ` 4908,... )
SourceName	security_result.about.resource.attribute.labels	Zugeordnete Werte (insgesamt 29, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
TicketOptions_label	security_result.about.resource.attribute.labels	Zusammengeführt
label	security_result.about.resource.attribute.labels	Zusammengeführt
label1	security_result.about.resource.attribute.labels	Zusammengeführt
label10	security_result.about.resource.attribute.labels	Zusammengeführt
label11	security_result.about.resource.attribute.labels	Zusammengeführt
label12	security_result.about.resource.attribute.labels	Zusammengeführt
label13	security_result.about.resource.attribute.labels	Zusammengeführt
label2	security_result.about.resource.attribute.labels	Zusammengeführt
label3	security_result.about.resource.attribute.labels	Zusammengeführt
label4	security_result.about.resource.attribute.labels	Zusammengeführt
label5	security_result.about.resource.attribute.labels	Zusammengeführt
label6	security_result.about.resource.attribute.labels	Zusammengeführt
label7	security_result.about.resource.attribute.labels	Zusammengeführt
label8	security_result.about.resource.attribute.labels	Zusammengeführt
label9	security_result.about.resource.attribute.labels	Zusammengeführt
security_result_about_resource_name	security_result.about.resource.name	Umbenannt/zugeordnet
EventID	security_result.action	Zugeordnet: 4908, 4964 → action
SourceName	security_result.action	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
action	security_result.action	Zusammengeführt
security_action	security_result.action	Zusammengeführt
Action Name	security_result.action_details	Direkt zugeordnet
action_details	security_result.action_details	Umbenannt/zugeordnet
action_id	security_result.action_details	Direkt zugeordnet
EventID	security_result.category	Zugeordnet: 4908, 4964 → category
SourceName	security_result.category	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `c...
category	security_result.category	Zusammengeführt
Category	security_result.category_details	Zusammengeführt
CategoryId	security_result.category_details	Zusammengeführt
CategoryName	security_result.category_details	Zusammengeführt
EventID	security_result.category_details	Zugeordnet: 4908, 4964 → Category, 4908, 4964 → CategoryName, ` 102, 103, 300, 301...
SourceName	security_result.category_details	Zugeordnete Werte (insgesamt 9, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
AccessReason	security_result.description	Direkt zugeordnet
AdditionalInfo	security_result.description	Umbenannt/zugeordnet
AuditPolicyChanges	security_result.description	Direkt zugeordnet
Data_2	security_result.description	Direkt zugeordnet
Error Description	security_result.description	Direkt zugeordnet
ErrorContext	security_result.description	Direkt zugeordnet
ErrorMessage	security_result.description	Direkt zugeordnet
Message	security_result.description	Direkt zugeordnet
ReasonForRejection	security_result.description	Umbenannt/zugeordnet
RootCause	security_result.description	Direkt zugeordnet
description	security_result.description	Umbenannt/zugeordnet
security_description	security_result.description	Direkt zugeordnet
status	security_result.description	Direkt zugeordnet
AdditionalInfo2_label	security_result.detection_fields	Zusammengeführt
AppendData_or_AddSubdirectory_or_CreatePipeInstance_label	security_result.detection_fields	Zusammengeführt
ApplicationDomain_label	security_result.detection_fields	Zusammengeführt
ApplicationPath_label	security_result.detection_fields	Zusammengeführt
ApplicationVirtualPath_label	security_result.detection_fields	Zusammengeführt
AuthenticationType_label	security_result.detection_fields	Zusammengeführt
CONTROL_label	security_result.detection_fields	Zusammengeführt
CustomEventDetails_label	security_result.detection_fields	Zusammengeführt
DAC_label	security_result.detection_fields	Zusammengeführt
DELETE_label	security_result.detection_fields	Zusammengeführt
ErrorCode_label	security_result.detection_fields	Zusammengeführt
EventCode_label	security_result.detection_fields	Zusammengeführt
EventDetailCode_label	security_result.detection_fields	Zusammengeführt
EventID	security_result.detection_fields	Zugeordnete Werte (insgesamt 150, z.B. 5158,5159,5154,5153,5155 → labels0, ` 5158,5159,5154,51... )
EventId_label	security_result.detection_fields	Zusammengeführt
EventOccurrence_label	security_result.detection_fields	Zusammengeführt
EventSequence_label	security_result.detection_fields	Zusammengeführt
FailureId_label	security_result.detection_fields	Zusammengeführt
GPOList_label	security_result.detection_fields	Zusammengeführt
IsAuthenticated_label	security_result.detection_fields	Zusammengeführt
IsImpersonating_label	security_result.detection_fields	Zusammengeführt
MasterKeyId_label	security_result.detection_fields	Zusammengeführt
ReadAttributes_label	security_result.detection_fields	Zusammengeführt
RecoveryKeyId_label	security_result.detection_fields	Zusammengeführt
RequestPath_label	security_result.detection_fields	Zusammengeführt
SecurityDescriptor_label	security_result.detection_fields	Zusammengeführt
Sid_Filtering_label	security_result.detection_fields	Zusammengeführt
SourceName	security_result.detection_fields	Zugeordnete Werte (insgesamt 357, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows se... )
StackTrace_label	security_result.detection_fields	Zusammengeführt
ThreadAccountName_label	security_result.detection_fields	Zusammengeführt
ThreadId_label	security_result.detection_fields	Zusammengeführt
TrustLevel_label	security_result.detection_fields	Zusammengeführt
Trust_Attributes_label	security_result.detection_fields	Zusammengeführt
Trust_Direction_label	security_result.detection_fields	Zusammengeführt
Trust_Type_label	security_result.detection_fields	Zusammengeführt
WriteAttributes_label	security_result.detection_fields	Zusammengeführt
WriteData_or_AddFile_label	security_result.detection_fields	Zusammengeführt
WriteEA_label	security_result.detection_fields	Zusammengeführt
account_name_label	security_result.detection_fields	Zusammengeführt
action_id_label	security_result.detection_fields	Zusammengeführt
affected_rows_label	security_result.detection_fields	Zusammengeführt
analysis_symbol_label	security_result.detection_fields	Zusammengeführt
application_information_label	security_result.detection_fields	Zusammengeführt
application_name_label	security_result.detection_fields	Zusammengeführt
audit_event_label	security_result.detection_fields	Zusammengeführt
audit_schema_version_label	security_result.detection_fields	Zusammengeführt
cert_issuer_name_label	security_result.detection_fields	Zusammengeführt
cert_serial_number_label	security_result.detection_fields	Zusammengeführt
cert_thumbprint_label	security_result.detection_fields	Zusammengeführt
class_type_label	security_result.detection_fields	Zusammengeführt
client_ip_label	security_result.detection_fields	Zusammengeführt
client_name_label	security_result.detection_fields	Zusammengeführt
client_name_session_id_label	security_result.detection_fields	Zusammengeführt
client_tls_version_label	security_result.detection_fields	Zusammengeführt
client_tls_version_name_label	security_result.detection_fields	Zusammengeführt
connection_id_label	security_result.detection_fields	Zusammengeführt
database_name_label	security_result.detection_fields	Zusammengeführt
database_principal_id_label	security_result.detection_fields	Zusammengeführt
database_principal_name_label	security_result.detection_fields	Zusammengeführt
database_transaction_id_label	security_result.detection_fields	Zusammengeführt
detect_field	security_result.detection_fields	Zusammengeführt
detection_fields	security_result.detection_fields	Zusammengeführt
detection_label	security_result.detection_fields	Zusammengeführt
device_guid_label	security_result.detection_fields	Zusammengeführt
duration_milliseconds_label	security_result.detection_fields	Zusammengeführt
error_label	security_result.detection_fields	Zusammengeführt
event_detail_code_label	security_result.detection_fields	Zusammengeführt
event_id_label	security_result.detection_fields	Zusammengeführt
event_message_label	security_result.detection_fields	Zusammengeführt
event_name_label	security_result.detection_fields	Zusammengeführt
event_occurrence_label	security_result.detection_fields	Zusammengeführt
event_sequence_label	security_result.detection_fields	Zusammengeführt
event_time_label	security_result.detection_fields	Zusammengeführt
event_time_utc_label	security_result.detection_fields	Zusammengeführt
exce_label	security_result.detection_fields	Zusammengeführt
exception_information_label	security_result.detection_fields	Zusammengeführt
external_policy_permissions_checked_label	security_result.detection_fields	Zusammengeführt
failure_status_label	security_result.detection_fields	Zusammengeführt
host_name_label	security_result.detection_fields	Zusammengeführt
is_column_permission_label	security_result.detection_fields	Zusammengeführt
is_impersonating_label	security_result.detection_fields	Zusammengeführt
is_local_secondary_replica_label	security_result.detection_fields	Zusammengeführt
label	security_result.detection_fields	Zusammengeführt
label_for_security_result_detection	security_result.detection_fields	Zusammengeführt
labels0	security_result.detection_fields	Zusammengeführt
labels1	security_result.detection_fields	Zusammengeführt
labels2	security_result.detection_fields	Zusammengeführt
labels3	security_result.detection_fields	Zusammengeführt
ledger_start_sequence_number_label	security_result.detection_fields	Zusammengeführt
machine_name_label	security_result.detection_fields	Zusammengeführt
nas_port_field	security_result.detection_fields	Zusammengeführt
network_protocol_label	security_result.detection_fields	Zusammengeführt
object_id_label	security_result.detection_fields	Zusammengeführt
object_name_label	security_result.detection_fields	Zusammengeführt
obo_middle_tier_app_id_label	security_result.detection_fields	Zusammengeführt
permission_bitmask_label	security_result.detection_fields	Zusammengeführt
proxy_policy_name	security_result.detection_fields	Zusammengeführt
req_url_label	security_result.detection_fields	Zusammengeführt
response_rows_label	security_result.detection_fields	Zusammengeführt
response_ticket_label	security_result.detection_fields	Zusammengeführt
schema_name_label	security_result.detection_fields	Zusammengeführt
sec_error_label	security_result.detection_fields	Zusammengeführt
security_detection1	security_result.detection_fields	Zusammengeführt
security_detection2	security_result.detection_fields	Zusammengeführt
security_detection3	security_result.detection_fields	Zusammengeführt
security_detection4	security_result.detection_fields	Zusammengeführt
sequence_group_id_label	security_result.detection_fields	Zusammengeführt
sequence_number_label	security_result.detection_fields	Zusammengeführt
server_instance_name_label	security_result.detection_fields	Zusammengeführt
server_principal_id_label	security_result.detection_fields	Zusammengeführt
server_principal_name_label	security_result.detection_fields	Zusammengeführt
server_principal_sid_label	security_result.detection_fields	Zusammengeführt
session_id_label	security_result.detection_fields	Zusammengeführt
session_server_principal_name_label	security_result.detection_fields	Zusammengeführt
statement_label	security_result.detection_fields	Zusammengeführt
succeeded_label	security_result.detection_fields	Zusammengeführt
target_database_principal_id_label	security_result.detection_fields	Zusammengeführt
target_database_principal_name_label	security_result.detection_fields	Zusammengeführt
target_server_principal_id_label	security_result.detection_fields	Zusammengeführt
target_server_principal_name_label	security_result.detection_fields	Zusammengeführt
target_server_principal_sid_label	security_result.detection_fields	Zusammengeführt
transaction_id_label	security_result.detection_fields	Zusammengeführt
type_label	security_result.detection_fields	Zusammengeführt
user_defined_event_id_label	security_result.detection_fields	Zusammengeführt
user_defined_information_label	security_result.detection_fields	Zusammengeführt
var_Action_ID	security_result.detection_fields	Zusammengeführt
var_Additional_Actions_ID	security_result.detection_fields	Zusammengeführt
var_Additional_Actions_String	security_result.detection_fields	Zusammengeführt
var_Category_ID	security_result.detection_fields	Zusammengeführt
var_DetectionOrigin	security_result.detection_fields	Zusammengeführt
var_DetectionSource	security_result.detection_fields	Zusammengeführt
var_DetectionType	security_result.detection_fields	Zusammengeführt
var_Detection_ID	security_result.detection_fields	Zusammengeführt
var_EngineVersion	security_result.detection_fields	Zusammengeführt
var_Error_Code	security_result.detection_fields	Zusammengeführt
var_Execution_ID	security_result.detection_fields	Zusammengeführt
var_Execution_Name	security_result.detection_fields	Zusammengeführt
var_Origin_ID	security_result.detection_fields	Zusammengeführt
var_Post_Clean_Status	security_result.detection_fields	Zusammengeführt
var_Pre_Execution_Status	security_result.detection_fields	Zusammengeführt
var_SecurityintelligenceVersion	security_result.detection_fields	Zusammengeführt
var_SeverityName	security_result.detection_fields	Zusammengeführt
var_Severity_ID	security_result.detection_fields	Zusammengeführt
var_Source_ID	security_result.detection_fields	Zusammengeführt
var_State	security_result.detection_fields	Zusammengeführt
var_Status_Code	security_result.detection_fields	Zusammengeführt
var_Type_ID	security_result.detection_fields	Zusammengeführt
var_process_information	security_result.detection_fields	Zusammengeführt
var_process_name	security_result.detection_fields	Zusammengeführt
var_request_information	security_result.detection_fields	Zusammengeführt
var_stack_trace	security_result.detection_fields	Zusammengeführt
var_thread_account_name	security_result.detection_fields	Zusammengeführt
Priority	security_result.priority_details	Umbenannt/zugeordnet
RuleId	security_result.rule_id	Umbenannt/zugeordnet
EventID	security_result.rule_labels	Zugeordnet: 4908, 4964 → Title_label, 4908, 4964 → `label_for_security_result_rule_l...
SourceName	security_result.rule_labels	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `T...
Title_label	security_result.rule_labels	Zusammengeführt
label_for_security_result_rule_label	security_result.rule_labels	Zusammengeführt
EventID	security_result.rule_name	Direkt zugeordnet
connection_req_policy	security_result.rule_name	Direkt zugeordnet
Severity	security_result.severity	Umbenannt/zugeordnet
BlockReasonErrorCode	security_result.summary	Direkt zugeordnet
CorruptionActionState	security_result.summary	Direkt zugeordnet
CrashOnAuditFailValue	security_result.summary	Direkt zugeordnet
Error	security_result.summary	Direkt zugeordnet
ErrorCode	security_result.summary	Direkt zugeordnet
FailureReason	security_result.summary	Direkt zugeordnet
FinalStatus	security_result.summary	Direkt zugeordnet
QueryResults	security_result.summary	Direkt zugeordnet
Reason	security_result.summary	Direkt zugeordnet
Status	security_result.summary	Direkt zugeordnet
Win32Error	security_result.summary	Direkt zugeordnet
error	security_result.summary	Direkt zugeordnet
hr	security_result.summary	Direkt zugeordnet
param1	security_result.summary	Direkt zugeordnet
sec_summary	security_result.summary	Direkt zugeordnet
security_summary	security_result.summary	Direkt zugeordnet
status	security_result.summary	Direkt zugeordnet
summary	security_result.summary	Umbenannt/zugeordnet
ThreatID	security_result.threat_id	Direkt zugeordnet
ThreatName	security_result.threat_name	Direkt zugeordnet
src_path	src.file.full_path	Umbenannt/zugeordnet
CallerComputerName	src.hostname	Direkt zugeordnet
EventID	src.ip	Mapped: 4908, 4964 → varclientip, ` 1162, 1311, 1535, 1566, 1644, 1865, 1925, 2085, 2...
SourceName	src.ip	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
varclientip	src.ip	Zusammengeführt
varclientport	src.port	Umbenannt/zugeordnet
Service	src.resource.name	Umbenannt/zugeordnet
SourceDRA	src.resource.name	Direkt zugeordnet
SourceHandleId	src.resource.name	Umbenannt/zugeordnet
EventID	target	Zugeordnet: 4908, 4964 → clsid_labels, 10001, 10002, 10100 → clsid_labels
SourceName	target	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `c...
clsid_labels	target	Zusammengeführt
DomainName	target.administrative_domain	Umbenannt/zugeordnet
ServerRealm	target.administrative_domain	Direkt zugeordnet
TargetDomainName	target.administrative_domain	Umbenannt/zugeordnet
subject_domain_name	target.administrative_domain	Umbenannt/zugeordnet
target_domain_name	target.administrative_domain	Umbenannt/zugeordnet
ServiceName	target.application	Direkt zugeordnet
Targetname	target.application	Direkt zugeordnet
event_source	target.application	Direkt zugeordnet
target_application	target.application	Umbenannt/zugeordnet
UserData.InstallDeviceID.DeviceInstanceID	target.asset.asset_id	Direkt zugeordnet
EventID	target.asset.attribute.labels	Zugeordnete Werte (insgesamt 10, z.B. 4741, 4742 → dns_host_label, 4908, 4964 → `user_dat... )
SourceName	target.asset.attribute.labels	Zugeordnete Werte (insgesamt 14, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
dns_host_label	target.asset.attribute.labels	Zusammengeführt
label_for_target_asset	target.asset.attribute.labels	Zusammengeführt
target_server_principal_id_label	target.asset.attribute.labels	Zusammengeführt
target_server_principal_name_label	target.asset.attribute.labels	Zusammengeführt
target_server_principal_sid_label	target.asset.attribute.labels	Zusammengeführt
token_new	target.asset.attribute.labels	Zusammengeführt
user_data_install_device_id_is_driver_oem_label	target.asset.attribute.labels	Zusammengeführt
user_data_install_device_id_reboot_option_label	target.asset.attribute.labels	Zusammengeführt
user_data_install_device_id_setup_class_label	target.asset.attribute.labels	Zusammengeführt
user_data_install_device_id_upgrade_device_label	target.asset.attribute.labels	Zusammengeführt
AccountName	target.asset.hostname	Direkt zugeordnet
NodeName	target.asset.hostname	Direkt zugeordnet
client_name	target.asset.hostname	Direkt zugeordnet
target_hostname	target.asset.hostname	Direkt zugeordnet
ClientIPAddress	target.asset.ip	Zusammengeführt
NASIPAddress	target.asset.ip	Zusammengeführt
SourceName	target.asset.ip	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `N...
called_station_id	target.asset.ip	Zusammengeführt
client_ip	target.asset.ip	Zusammengeführt
nas_ip	target.asset.ip	Zusammengeführt
UserData.InstallDeviceID.DeviceInstanceID	target.asset_id	Direkt zugeordnet
Data_1	target.domain.name	Direkt zugeordnet
TargetName	target.domain.name	Direkt zugeordnet
TargetRealm	target.domain.name	Direkt zugeordnet
param2	target.domain.name	Direkt zugeordnet
AutoBackup.BackupPath	target.file.full_path	Umbenannt/zugeordnet
BackupFileName	target.file.full_path	Umbenannt/zugeordnet
FileName	target.file.full_path	Umbenannt/zugeordnet
FilePath	target.file.full_path	Umbenannt/zugeordnet
KeyFilePath	target.file.full_path	Umbenannt/zugeordnet
KeyUserPath	target.file.full_path	Umbenannt/zugeordnet
Namespace	target.file.full_path	Umbenannt/zugeordnet
PublishURLs	target.file.full_path	Umbenannt/zugeordnet
ServiceFileName	target.file.full_path	Umbenannt/zugeordnet
ShareLocalPath	target.file.full_path	Umbenannt/zugeordnet
target_file_name	target.file.full_path	Umbenannt/zugeordnet
MD5	target.file.md5	Umbenannt/zugeordnet
EventID	target.file.names	Zugeordnet: ` 5049, 5140 , 5145, 5142, 5143, 5144, 4698, 4702, 4699, 4700, 4701, 4946, 4690, 4...
RelativeTargetName	target.file.names	Zusammengeführt
ScriptName	target.file.names	Zusammengeführt
SourceName	target.file.names	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `R...
SHA1	target.file.sha1	Umbenannt/zugeordnet
SHA256	target.file.sha256	Umbenannt/zugeordnet
NewSize	target.file.size	Umbenannt/zugeordnet
target_file_size	target.file.size	Umbenannt/zugeordnet
EventID	target.group.attribute.labels	Zugeordnet: 4908, 4964 → label_for_target_group
SourceName	target.group.attribute.labels	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `l...
label_for_target_group	target.group.attribute.labels	Zusammengeführt
EventID	target.group.attribute.permissions	Zugeordnet: ` 4656, 4704, 4672, 4731, 4720, 4723, 4726, 4728, 4729, 4730, 4732, 4733, 4734, 47...
SourceName	target.group.attribute.permissions	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
privilege_list	target.group.attribute.permissions	Zusammengeführt
target_group_display_name	target.group.group_display_name	Umbenannt/zugeordnet
target_group_product_object_id	target.group.product_object_id	Umbenannt/zugeordnet
target_group_windows_sid	target.group.windows_sid	Umbenannt/zugeordnet
AccountName	target.hostname	Direkt zugeordnet
client_name	target.hostname	Direkt zugeordnet
target_asset_hostname	target.hostname	Direkt zugeordnet
target_hostname	target.hostname	Umbenannt/zugeordnet
ClientIPAddress	target.ip	Zusammengeführt
EventID	target.ip	Zugeordnet: 4908, 4964 → target_ip
NASIPAddress	target.ip	Zusammengeführt
SourceName	target.ip	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
called_station_id	target.ip	Zusammengeführt
client_ip	target.ip	Zusammengeführt
nas_ip	target.ip	Zusammengeführt
target_ip	target.ip	Zusammengeführt
var_valid_ip	target.ip	Zusammengeführt
ActiveProfile_label	target.labels	Zusammengeführt
AppId_label	target.labels	Zusammengeführt
CommandName_label	target.labels	Zusammengeführt
ConfiguredNames_label	target.labels	Zusammengeführt
DN_label	target.labels	Zusammengeführt
DSType_label	target.labels	Zusammengeführt
DirectiveName_label	target.labels	Zusammengeführt
EngineVersion_label	target.labels	Zusammengeführt
EventID	target.labels	Zugeordnete Werte (insgesamt 35, z.B. 4907 , 4817, 4715 → ObjectServer_label, ` 4907 , 4817, 4... )
FQDN_label	target.labels	Zusammengeführt
HandleId_label	target.labels	Zusammengeführt
HostId_label	target.labels	Zusammengeführt
HostVersion_label	target.labels	Zusammengeführt
KeyLength_label	target.labels	Zusammengeführt
LmPackageName_label	target.labels	Zusammengeführt
MandatoryLabel_label	target.labels	Zusammengeführt
NewState_label	target.labels	Zusammengeführt
NotificationInterval_label	target.labels	Zusammengeführt
ObjectServer_label	target.labels	Zusammengeführt
Operation_label	target.labels	Zusammengeführt
PipelineId_label	target.labels	Zusammengeführt
Profiles_label	target.labels	Zusammengeführt
ResourceManager_label	target.labels	Zusammengeführt
ReturnCode_label	target.labels	Zusammengeführt
RunspaceId_label	target.labels	Zusammengeführt
ServiceStartType_label	target.labels	Zusammengeführt
ServiceType_label	target.labels	Zusammengeführt
SkuId_label	target.labels	Zusammengeführt
SourceName	target.labels	Zugeordnete Werte (insgesamt 77, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
TargetLinkedLogonId_label	target.labels	Zusammengeführt
TokenElevationType_label	target.labels	Zusammengeführt
TransactionId_label	target.labels	Zusammengeführt
TransmittedServices_label	target.labels	Zusammengeführt
Trigger_label	target.labels	Zusammengeführt
VirtualAccount_label	target.labels	Zusammengeführt
client_friendly_name_label	target.labels	Zusammengeführt
event_in_seq_label	target.labels	Zusammengeführt
label02	target.labels	Zusammengeführt
label462	target.labels	Zusammengeführt
label463	target.labels	Zusammengeführt
label46561	target.labels	Zusammengeführt
label46562	target.labels	Zusammengeführt
label46563	target.labels	Zusammengeführt
label46564	target.labels	Zusammengeführt
label46565	target.labels	Zusammengeführt
label46571	target.labels	Zusammengeführt
label46572	target.labels	Zusammengeführt
label47681	target.labels	Zusammengeführt
label47682	target.labels	Zusammengeführt
label501	target.labels	Zusammengeführt
label601	target.labels	Zusammengeführt
labels46411	target.labels	Zusammengeführt
labels46412	target.labels	Zusammengeführt
labels46413	target.labels	Zusammengeführt
labels46414	target.labels	Zusammengeführt
labels46415	target.labels	Zusammengeführt
labels46416	target.labels	Zusammengeführt
labels46417	target.labels	Zusammengeführt
nas_port_type	target.labels	Zusammengeführt
new_target_user_name_label	target.labels	Zusammengeführt
object_class_label	target.labels	Zusammengeführt
object_dn_label	target.labels	Zusammengeführt
target_label	target.labels	Zusammengeführt
target_labels	target.labels	Zusammengeführt
target_logon_id_label	target.labels	Zusammengeführt
target_user_id_label	target.labels	Zusammengeführt
EventID	target.mac	Zugeordnet: 4908, 4964 → target_mac
NASIdentifier	target.mac	Zugeordnet: (([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$ → NASIdentifier
SourceName	target.mac	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `t...
mac_address	target.mac	Zusammengeführt
target_mac	target.mac	Zusammengeführt
PeerPrivateAddress	target.nat_ip	Zusammengeführt
SourceName	target.nat_ip	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `P...
NASPort	target.nat_port	Umbenannt/zugeordnet
var_http_method	target.network.http.method	Direkt zugeordnet
target_platform_version	target.platform_version	Umbenannt/zugeordnet
nas_port	target.port	Umbenannt/zugeordnet
targetport	target.port	Umbenannt/zugeordnet
CommandLine	target.process.command_line	Umbenannt/zugeordnet
target_process_command_line	target.process.command_line	Umbenannt/zugeordnet
ImagePath	target.process.file.full_path	Umbenannt/zugeordnet
NewProcessName	target.process.file.full_path	Umbenannt/zugeordnet
TargetProcessName	target.process.file.full_path	Umbenannt/zugeordnet
target_process_file_full_path	target.process.file.full_path	Umbenannt/zugeordnet
MD5	target.process.file.md5	Direkt zugeordnet
SourceName	target.process.file.names	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
var_process_file_name	target.process.file.names	Zusammengeführt
SHA1	target.process.file.sha1	Direkt zugeordnet
SHA256	target.process.file.sha256	Direkt zugeordnet
target_parent_process_command_line	target.process.parent_process.command_line	Umbenannt/zugeordnet
target_parent_process_file_full_path	target.process.parent_process.file.full_path	Umbenannt/zugeordnet
target_parent_process_pid	target.process.parent_process.pid	Umbenannt/zugeordnet
TargetProcessId	target.process.pid	Umbenannt/zugeordnet
target_process_pid	target.process.pid	Umbenannt/zugeordnet
EventOriginId	target.process.product_specific_process_id	Direkt zugeordnet
ObjectName	target.registry.registry_key	Direkt zugeordnet
ObjectVirtualPath	target.registry.registry_key	Umbenannt/zugeordnet
target_registry_key	target.registry.registry_key	Umbenannt/zugeordnet
NewValue	target.registry.registry_value_data	Umbenannt/zugeordnet
target_registry_registry_value_data	target.registry.registry_value_data	Umbenannt/zugeordnet
ObjectValueName	target.registry.registry_value_name	Umbenannt/zugeordnet
registry_value	target.registry.registry_value_name	Umbenannt/zugeordnet
target_registry_registry_value_name	target.registry.registry_value_name	Umbenannt/zugeordnet
AlgorithmName_label	target.resource.attribute.labels	Zusammengeführt
ClassId_label	target.resource.attribute.labels	Zusammengeführt
ClassName_label	target.resource.attribute.labels	Zusammengeführt
CompatibleIds_label	target.resource.attribute.labels	Zusammengeführt
DomainBehaviorVersion_label	target.resource.attribute.labels	Zusammengeführt
ErrorCode_label	target.resource.attribute.labels	Zusammengeführt
EventID	target.resource.attribute.labels	Zugeordnete Werte (insgesamt 101, z.B. 4907 , 4817, 4715 → label0, 4907 , 4817, 4715 → `la... )
ForceLogoff_label	target.resource.attribute.labels	Zusammengeführt
HandleID_label	target.resource.attribute.labels	Zusammengeführt
HardwareIds_label	target.resource.attribute.labels	Zusammengeführt
KeyType_label	target.resource.attribute.labels	Zusammengeführt
LocationInformation_label	target.resource.attribute.labels	Zusammengeführt
LockoutDuration_label	target.resource.attribute.labels	Zusammengeführt
LockoutObservationWindow_label	target.resource.attribute.labels	Zusammengeführt
LockoutThreshold_label	target.resource.attribute.labels	Zusammengeführt
MachineAccountQuota_label	target.resource.attribute.labels	Zusammengeführt
MaxPasswordAge_label	target.resource.attribute.labels	Zusammengeführt
MinPasswordAge_label	target.resource.attribute.labels	Zusammengeführt
MinPasswordLength_label	target.resource.attribute.labels	Zusammengeführt
MixedDomainMode_label	target.resource.attribute.labels	Zusammengeführt
ModifiedObjectProperties_label	target.resource.attribute.labels	Zusammengeführt
ObjectIdentifyingProperties_label	target.resource.attribute.labels	Zusammengeführt
ObjectProperties_label	target.resource.attribute.labels	Zusammengeführt
ObjectServer_label	target.resource.attribute.labels	Zusammengeführt
OemInformation_label	target.resource.attribute.labels	Zusammengeführt
PasswordHistoryLength_label	target.resource.attribute.labels	Zusammengeführt
PasswordProperties_label	target.resource.attribute.labels	Zusammengeführt
ProfileChanged_label	target.resource.attribute.labels	Zusammengeführt
ProfileUsed_label	target.resource.attribute.labels	Zusammengeführt
ProviderName_label	target.resource.attribute.labels	Zusammengeführt
PuaCount_label	target.resource.attribute.labels	Zusammengeführt
ResourceAttributes_label	target.resource.attribute.labels	Zusammengeführt
SettingValue_label	target.resource.attribute.labels	Zusammengeführt
SourceName	target.resource.attribute.labels	Zugeordnete Werte (insgesamt 120, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows se... )
TemplateContent_label	target.resource.attribute.labels	Zusammengeführt
TemplateDSObjectFQDN_label	target.resource.attribute.labels	Zusammengeführt
TemplateSchemaVersion_label	target.resource.attribute.labels	Zusammengeführt
TemplateVersion_label	target.resource.attribute.labels	Zusammengeführt
TransactionId_label	target.resource.attribute.labels	Zusammengeführt
database_principal_id_label	target.resource.attribute.labels	Zusammengeführt
database_principal_name_label	target.resource.attribute.labels	Zusammengeführt
entry_type_label	target.resource.attribute.labels	Zusammengeführt
label0	target.resource.attribute.labels	Zusammengeführt
label00	target.resource.attribute.labels	Zusammengeführt
label01	target.resource.attribute.labels	Zusammengeführt
label02	target.resource.attribute.labels	Zusammengeführt
label03	target.resource.attribute.labels	Zusammengeführt
label04	target.resource.attribute.labels	Zusammengeführt
label05	target.resource.attribute.labels	Zusammengeführt
label06	target.resource.attribute.labels	Zusammengeführt
label07	target.resource.attribute.labels	Zusammengeführt
label08	target.resource.attribute.labels	Zusammengeführt
label09	target.resource.attribute.labels	Zusammengeführt
label1	target.resource.attribute.labels	Zusammengeführt
label2	target.resource.attribute.labels	Zusammengeführt
label3	target.resource.attribute.labels	Zusammengeführt
label4	target.resource.attribute.labels	Zusammengeführt
label4681	target.resource.attribute.labels	Zusammengeführt
label4682	target.resource.attribute.labels	Zusammengeführt
label4683	target.resource.attribute.labels	Zusammengeführt
label4684	target.resource.attribute.labels	Zusammengeführt
label5	target.resource.attribute.labels	Zusammengeführt
label6	target.resource.attribute.labels	Zusammengeführt
label_SessionStateChangeTrigger_Enabled	target.resource.attribute.labels	Zusammengeführt
label_SessionStateChangeTrigger_StateChange	target.resource.attribute.labels	Zusammengeführt
label_for_target_resource	target.resource.attribute.labels	Zusammengeführt
labels0	target.resource.attribute.labels	Zusammengeführt
labels1	target.resource.attribute.labels	Zusammengeführt
labels10	target.resource.attribute.labels	Zusammengeführt
labels11	target.resource.attribute.labels	Zusammengeführt
labels12	target.resource.attribute.labels	Zusammengeführt
labels13	target.resource.attribute.labels	Zusammengeführt
labels14	target.resource.attribute.labels	Zusammengeführt
labels15	target.resource.attribute.labels	Zusammengeführt
labels16	target.resource.attribute.labels	Zusammengeführt
labels17	target.resource.attribute.labels	Zusammengeführt
labels19	target.resource.attribute.labels	Zusammengeführt
labels2	target.resource.attribute.labels	Zusammengeführt
labels21	target.resource.attribute.labels	Zusammengeführt
labels26	target.resource.attribute.labels	Zusammengeführt
labels3	target.resource.attribute.labels	Zusammengeführt
labels35	target.resource.attribute.labels	Zusammengeführt
labels4	target.resource.attribute.labels	Zusammengeführt
labels41	target.resource.attribute.labels	Zusammengeführt
labels5	target.resource.attribute.labels	Zusammengeführt
labels6	target.resource.attribute.labels	Zusammengeführt
labels7	target.resource.attribute.labels	Zusammengeführt
labels8	target.resource.attribute.labels	Zusammengeführt
labels9	target.resource.attribute.labels	Zusammengeführt
nas_port_label	target.resource.attribute.labels	Zusammengeführt
netbios_name_label	target.resource.attribute.labels	Zusammengeführt
object_id_label	target.resource.attribute.labels	Zusammengeführt
object_name_label	target.resource.attribute.labels	Zusammengeführt
operation_id_label	target.resource.attribute.labels	Zusammengeführt
schema_name_label	target.resource.attribute.labels	Zusammengeführt
target_database_principal_id_label	target.resource.attribute.labels	Zusammengeführt
target_database_principal_name_label	target.resource.attribute.labels	Zusammengeführt
top_level_name_label	target.resource.attribute.labels	Zusammengeführt
uac_label	target.resource.attribute.labels	Zusammengeführt
user_data_install_device_id_@_xmlns__label	target.resource.attribute.labels	Zusammengeführt
user_data_install_device_id_driver_description_label	target.resource.attribute.labels	Zusammengeführt
user_data_install_device_id_driver_provider_label	target.resource.attribute.labels	Zusammengeführt
user_data_install_device_id_driver_version_label	target.resource.attribute.labels	Zusammengeführt
user_data_install_device_id_install_status_label	target.resource.attribute.labels	Zusammengeführt
volume_label	target.resource.attribute.labels	Zusammengeführt
EventID	target.resource.attribute.permissions	Zugeordnet: 4663, 4656, 4659 → permissions, 4908, 4964 → permissions
SourceName	target.resource.attribute.permissions	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
permissions	target.resource.attribute.permissions	Zusammengeführt
DeviceId	target.resource.id	Umbenannt/zugeordnet
ContextName	target.resource.name	Direkt zugeordnet
DestinationDRA	target.resource.name	Direkt zugeordnet
DfsNamespace	target.resource.name	Umbenannt/zugeordnet
DomainPolicyChanged	target.resource.name	Umbenannt/zugeordnet
ExtensionName	target.resource.name	Umbenannt/zugeordnet
HiveName	target.resource.name	Umbenannt/zugeordnet
SecurityPackageName	target.resource.name	Umbenannt/zugeordnet
TicketOptions	target.resource.name	Direkt zugeordnet
attribute_value	target.resource.name	Umbenannt/zugeordnet
target_resource_name	target.resource.name	Umbenannt/zugeordnet
updateTitle	target.resource.name	Umbenannt/zugeordnet
ObjectServer	target.resource.parent	Umbenannt/zugeordnet
AppInstance	target.resource.product_object_id	Umbenannt/zugeordnet
AuthenticationSetId	target.resource.product_object_id	Umbenannt/zugeordnet
ConnectionSecurityRuleId	target.resource.product_object_id	Umbenannt/zugeordnet
CryptographicSetId	target.resource.product_object_id	Umbenannt/zugeordnet
DeviceId	target.resource.product_object_id	Direkt zugeordnet
ExtensionId	target.resource.product_object_id	Umbenannt/zugeordnet
FilterId	target.resource.product_object_id	Umbenannt/zugeordnet
IpSecSecurityAssociationId	target.resource.product_object_id	Umbenannt/zugeordnet
ObjectGUID	target.resource.product_object_id	Umbenannt/zugeordnet
PuaPolicyId	target.resource.product_object_id	Umbenannt/zugeordnet
TargetJobId	target.resource.product_object_id	Umbenannt/zugeordnet
TemplateOID	target.resource.product_object_id	Umbenannt/zugeordnet
target_resource_product_object_id	target.resource.product_object_id	Umbenannt/zugeordnet
updateGuid	target.resource.product_object_id	Umbenannt/zugeordnet
val_instance_id	target.resource.product_object_id	Direkt zugeordnet
KeyType	target.resource.resource_subtype	Umbenannt/zugeordnet
ObjectType	target.resource.resource_subtype	Direkt zugeordnet
TicketEncryptionType	target.resource.resource_subtype	Direkt zugeordnet
resource_subtype	target.resource.resource_subtype	Umbenannt/zugeordnet
EventID	target.resource.resource_type	Zugeordnet: 4908, 4964 → SETTING, 4908, 4964 → TASK
SourceName	target.resource.resource_type	Zugeordnete Werte (insgesamt 6, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
resource_type	target.resource.resource_type	Umbenannt/zugeordnet
EventID	target.resource.type	Zugeordnet: 4908, 4964 → DATABASE
SourceName	target.resource.type	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `D...
SourceName	target.resource_ancestors	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `r...
resource_ancestors	target.resource_ancestors	Zusammengeführt
SubscriptionManagerAddress	target.url	Umbenannt/zugeordnet
target_url	target.url	Umbenannt/zugeordnet
fileLength	target.url_metadata.last_http_response_content_length	Umbenannt/zugeordnet
EventID	target.user.attribute.labels	Zugeordnet: 4908, 4964 → label_for_target_user, 4908, 4964 → user_label1
MembershipExpirationTime_label	target.user.attribute.labels	Zusammengeführt
SourceName	target.user.attribute.labels	Zugeordnete Werte (insgesamt 7, z.B. `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
TargetOutboundDomainName_label	target.user.attribute.labels	Zusammengeführt
label_for_target_user	target.user.attribute.labels	Zusammengeführt
target_group_membership_name_label	target.user.attribute.labels	Zusammengeführt
target_user_sid_name_label	target.user.attribute.labels	Zusammengeführt
user_att	target.user.attribute.labels	Zusammengeführt
user_label1	target.user.attribute.labels	Zusammengeführt
EventID	target.user.attribute.permissions	Zugeordnet: ` 4656, 4704, 4672, 4731, 4720, 4723, 4726, 4728, 4729, 4730, 4732, 4733, 4734, 47...
SourceName	target.user.attribute.permissions	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
access_granted	target.user.attribute.permissions	Zusammengeführt
access_removed_list	target.user.attribute.permissions	Zusammengeführt
privilege_list	target.user.attribute.permissions	Zusammengeführt
EventID	target.user.group_identifiers	Zugeordnet: 4908, 4964 → new_sid
SourceName	target.user.group_identifiers	Zugeordnet: "Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `i...
input_sid	target.user.group_identifiers	Zusammengeführt
new_sid	target.user.group_identifiers	Zusammengeführt
DisplayName	target.user.user_display_name	Umbenannt/zugeordnet
FullName	target.user.user_display_name	Direkt zugeordnet
target_user_display_name	target.user.user_display_name	Umbenannt/zugeordnet
DetectionUser	target.user.userid	Direkt zugeordnet
NewTargetUserName	target.user.userid	Umbenannt/zugeordnet
UserName	target.user.userid	Direkt zugeordnet
subject_user_name	target.user.userid	Umbenannt/zugeordnet
target_user_id	target.user.userid	Umbenannt/zugeordnet
subject_user_sid	target.user.windows_sid	Direkt zugeordnet
target_user_windows_sid	target.user.windows_sid	Umbenannt/zugeordnet
–	metadata.event_type	Konstante: STATUS_UPDATE
–	metadata.product_name	Konstante: Microsoft-Windows-Security-Auditing
–	metadata.vendor_name	Konstante: Microsoft
–	principal.asset.platform_software.platform	Konstante: WINDOWS
–	target.resource.resource_type	Konstante: BACKEND_SERVICE
–	target.resource.type	Konstante: DATABASE

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten