Recopila registros de eventos de Windows (formato XML)

Compatible con:

En este documento, se explica cómo transferir registros de eventos de Windows en formato XML a Google Security Operations con el agente de Bindplane.

El registro de eventos de Windows (formato XML) contiene eventos de seguridad, del sistema y de las aplicaciones generados por el sistema operativo Windows. El agente de Bindplane recopila los archivos de registro de eventos de Windows exportados directamente desde el sistema de archivos local.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o posterior con compatibilidad con el servicio observiq-otel-collector
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane
  • Acceso de administrador a los hosts de Windows que generan registros de eventos

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

  • Implementaciones nuevas: Usa la API de Chronicle (opción 1).
  • Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.
  1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
  2. Ve a IAM y administración > Cuentas de servicio.
  3. Haga clic en Crear cuenta de servicio.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
    • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
  5. Haz clic en Crear y continuar.
  6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
  7. Haz clic en Continuar y, luego, en Listo.
  8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
  9. Haz clic en Agregar clave > Crear clave nueva.
  10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
  11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
  12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración > Administración de datos > Agentes de recopilación. Si estás en una plataforma solo de SIEM, ve a Configuración > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración > Administración > Perfil. Si estás en una plataforma solo de SIEM, ve a Configuración > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debería mostrarse como RUNNING.

Recursos de instalación adicionales

Para obtener más opciones de instalación y solución de problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir registros y enviarlos a Google SecOps

Ubica el archivo de configuración

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
  filelog:
    include:
      - C:\Logs\winevtlog\*.evtx
    start_at: beginning

exporters:
  chronicle/winevtlog_xml:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: WINEVTLOG_XML
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/winevtlog_xml_to_chronicle:
      receivers:
        - filelog
      exporters:
        - chronicle/winevtlog_xml

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • filelog: Es el tipo de receptor para recopilar archivos de registro del disco.
    • include: Es la lista de rutas de acceso de archivos que se supervisarán. Establece esta opción en la ubicación en la que exportas los registros de eventos de Windows (por ejemplo, C:\Logs\winevtlog\*.evtx).
    • start_at: Configúralo como beginning para leer los registros existentes o como end para leer solo las entradas nuevas.

  • Configuración del exportador:

    • winevtlog_xml: Es el nombre descriptivo del exportador.
    • creds_file_path: Ruta de acceso completa al archivo de claves JSON de la cuenta de servicio (opción 1):
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: Es el ID de cliente del paso anterior.
    • location: Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador agrega el prefijo chronicle.googleapis.com con este valor. Consulta Extremos regionales para obtener la lista completa.
    • project: Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
    • endpoint: Mantén la configuración como chronicle.googleapis.com.
    • WINEVTLOG_XML: Es el tipo de registro tal como aparece en Chronicle.
    • ingestion_labels: Son etiquetas opcionales en formato YAML (por ejemplo, env: production).

  • Configuración de la canalización:

    • winevtlog_xml_to_chronicle: Es el nombre descriptivo de la canalización.

Exportador de la API de transferencia heredada

  • Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/winevtlog_xml:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: WINEVTLOG_XML
    raw_log_field: body
    ingestion_labels:
      env: production

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:

    Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios.

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de servicios

      1. Presiona Win + R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Restart.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura la exportación de registros de eventos de Windows

Los registros de eventos de Windows se almacenan en canales como Seguridad, Sistema y Aplicación. Debes exportar estos registros a archivos en el disco para que el agente de BindPlane pueda recopilarlos.

  1. Crea un directorio para almacenar los archivos de registro exportados:

    mkdir C:\Logs\winevtlog

  2. Exporta los registros de eventos de Windows con wevtutil. Puedes exportar cualquier combinación de canales de registro de eventos:

    wevtutil epl "Security" C:\Logs\winevtlog\security.evtx

    wevtutil epl "System" C:\Logs\winevtlog\system.evtx

    wevtutil epl "Application" C:\Logs\winevtlog\application.evtx

  3. (Opcional) Programa exportaciones periódicas con el Programador de tareas de Windows:

    $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" C:\Logs\winevtlog\security.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportWinEvtLogs" -Description "Export Windows Event logs for Bindplane agent"

  4. Verifica que los archivos de registro exportados se creen en "C:\Logs\winevtlog".

  5. Asegúrate de que la ruta de acceso include del agente de Bindplane en config.yaml coincida con el directorio de exportación.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
EventID metadata.product_event_type El valor se copia directamente.
RecordNumber metadata.product_log_id El valor se copia directamente.
Mensaje, Descripción, msg metadata.description El valor se copia directamente.
metadata.event_type Se establece de forma dinámica según el contenido del evento (por ejemplo, NETWORK_CONNECTION, STATUS_UPDATE, NETWORK_DNS, GENERIC_EVENT)
metadata.product_name Establece el valor en "Windows".
metadata.vendor_name Establece el valor en "Microsoft".
ModuleVersion, ProductVersion metadata.product_version El valor se copia directamente.
ProviderGuid metadata.product_deployment_id El valor se copia directamente.
Computer, Host, Workstation, WorkstationName principal.asset.hostname El valor se copia directamente.
IpAddress, SourceAddress, client_ip principal.asset.ip El valor se copia directamente.
Computer, Host, Workstation, WorkstationName principal.hostname El valor se copia directamente.
IpAddress, SourceAddress, client_ip principal.ip El valor se copia directamente.
SourcePort, LocalPort, Client_port principal.port El valor se copia directamente y se convierte en un número entero
SubjectUserName, AccountName principal.user.userid El valor se copia directamente.
SubjectUserSid principal.user.windows_sid El valor se copia directamente.
AccountDomain, SubjectDomainName, Domain principal.administrative_domain El valor se copia directamente.
Source, SourceName, EventSourceName principal.application El valor se copia directamente.
ProviderGuid principal.asset_id Tiene el prefijo "Provider_GUID:"
SubjectLogonId principal.labels Se agregó como etiqueta con la clave "SubjectLogonId"
TargetUserName target.user.userid El valor se copia directamente.
TargetUserSid target.user.windows_sid El valor se copia directamente.
TargetDomainName target.hostname El valor se copia directamente.
DestAddress, Destination target.ip El valor se copia directamente.
NewProcessName, ProcessName, ObjectName target.process.file.full_path El valor se copia directamente.
NewProcessId, ProcessId, TargetProcessId target.process.pid El valor se copia directamente.
HostApplication, ServiceName target.process.command_line El valor se copia directamente.
MD5 target.process.file.md5 El valor se copia directamente.
SHA1 target.process.file.sha1 El valor se copia directamente.
SHA256 target.process.file.sha256 El valor se copia directamente.
ObjectName, TargetObject target.registry.registry_value_name Valor copiado directamente (para eventos de registro)
Detalles target.registry.registry_value_data Valor copiado directamente (para eventos de registro)
ObjectType, Task target.resource.type El valor se copia directamente.
ObjectName, RuleName target.resource.name El valor se copia directamente.
TargetSid, ObjectGUID target.resource.id El valor se copia directamente.
ObjectClass target.resource.resource_subtype El valor se copia directamente.
LogonType extensions.auth.auth_details Con el prefijo "Logon Type:"
extensions.auth.type Se establece según el tipo de acceso (MACHINE, SSO, AUTHTYPE_UNSPECIFIED)
HTTPMethod network.http.method El valor se copia directamente.
StatusCode network.http.response_code El valor se copia directamente y se convierte en un número entero
UserAgent network.http.user_agent El valor se copia directamente.
network.application_protocol Se establece en "DNS" para los eventos de DNS.
network.direction Se establece en INBOUND o OUTBOUND según el contexto del evento
network.ip_protocol Establecer según el protocolo (TCP, UDP, ICMP)
Canal additional.fields Se agregó como etiqueta con la clave "Canal"
ActivityID additional.fields Se agregó como etiqueta con la clave "ActivityID"
LogonType additional.fields Se agregó como etiqueta con la clave "LogonType"
Nivel additional.fields Se agregó como etiqueta con la clave "level"
SourceModuleType observer.application El valor se copia directamente.
AuthenticationPackageName event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
Status event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
agent_eventid event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
column4 event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
Logon Account event.idm.read_only_udm.target.user.userid Asignado desde el registro de cambios
prod_event_type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
EventSourceName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
EventIDQualifiers event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ipv6_zone_index event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
FQDN event.idm.read_only_udm.target.hostname Asignado desde el registro de cambios
FQDN event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
ServiceSid event.idm.read_only_udm.extensions.auth.auth_details Asignado desde el registro de cambios
details.Object.Handle ID event.idm.read_only_udm.target.resource.id Asignado desde el registro de cambios
details.New Logon.Logon ID event.idm.read_only_udm.target.resource.product_object_id Asignado desde el registro de cambios
details.Account Information.Account Domain event.idm.read_only_udm.target.administrative_domain Asignado desde el registro de cambios
details.Operation.Accesses event.idm.read_only_udm.security_result.description Asignado desde el registro de cambios
ElevatedToken event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
elevated_token event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
ReadOperation event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details_Subject_Read_Operation event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
TargetName event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
AccessList event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
ClientProcessStartKey event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
RpcCallClientLocality event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
ServiceName event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
CountOfCredentialsReturned event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
PrivilegeList event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
TargetLinkedLogonId event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
TaskName event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
TaskContentNew event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
details_Logon_Process_Name event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
details_Object_Object_Type event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
details_Object_Object_Server event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
details_Access_Mask event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
details_Object_Object_Name event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
details_Service_Information_Available_Keys event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
ProcessCreationTime event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AdditionalInfo2 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ObjectName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Additional_Information_Parameter_2 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
VirtualAccount event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ReturnCode event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ImpersonationLevel event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TargetLogonId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TicketOptions event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TicketEncryptionType event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
SessionKeyEncryptionType event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Status event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
RequestTicketHash event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ResponseTicketHash event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ServiceSupportedEncryptionTypes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ServiceAvailableKeys event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
DCSupportedEncryptionTypes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
DCAvailableKeys event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ClientAdvertizedEncryptionTypes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details.Privileges event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_New_Logon_Security_ID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Additional_Information_Parameter_1 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_New_Logon_Account_Name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_New_Logon_Linked_Logon_ID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
impersonation_level event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
correlation_activity_id event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Account_Information_Account_Name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Account_Information_Logon_GUID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Operation_Operation_Type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_additional_information_failure_code event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Additional_Information_Ticket_Options event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Additional_Information_Ticket_Encryption_Type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Additional_Information_Session_Encryption_Type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Domain_Controller_Information_Available_Keys event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Domain_Controller_Information_MSDS_SupportedEncryptionTypes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Service_Information_Service_ID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
network_information_client_port event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details.Network_Information.Advertized_Etypes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
response_ticket_hash event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
request_ticket_hash event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details_Subject_Logon_ID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
network_information_client_address event.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
network_information_client_address event.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
ClientProcessId event.idm.read_only_udm.target.process.pid Asignado desde el registro de cambios
ParentProcessId event.idm.read_only_udm.principal.process.pid Asignado desde el registro de cambios
details_Service_Information_Service_Name event.idm.read_only_udm.target.application Asignado desde el registro de cambios
SourceName event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
Source event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
provider.name event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
prod_name event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
EventSourceName event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
NewProcessId event.idm.read_only_udm.target.process.pid Asignado desde el registro de cambios
details.Network Information.Source Network Address event.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
details.Network Information.Source Network Address event.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
details.Account For Which Logon Failed.Security ID event.idm.read_only_udm.target.user.product_object_id Asignado desde el registro de cambios
details.Detailed Authentication Information.Logon Process event.idm.read_only_udm.principal.process.file.full_path Asignado desde el registro de cambios
details.Failure Information.Failure Reason event.idm.read_only_udm.security_result.description Asignado desde el registro de cambios
event_id.qualifiers event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TargetUserSid event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
WorkstationName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
LogonType event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AuthenticationPackageName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
KeyLength event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
LogonProcessName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details.Network Information.Source Port event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details.Account For Which Logon Failed.Account Name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Msg_1 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
details.Account For Which Logon Failed.Account Domain event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
version event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Detailed Authentication Information.Key Length event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
keywords event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Detailed Authentication Information.Authentication Package event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Failure Information.Status event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Failure Information.Sub Status event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Process Information.Caller Process ID event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Subject.Security ID event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
details.Network Information.Workstation Name event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
SamAccountName event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
UserPrincipalName event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
HomeDirectory event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
HomePath event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
ScriptPath event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
ProfilePath event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
UserWorkstations event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
PasswordLastSet event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
AccountExpires event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
PrimaryGroupId event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
AllowedToDelegateTo event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
OldUacValue event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
NewUacValue event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
UserAccountControl event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
UserParameters event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
LogonHours event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
ServicePrincipalNames event.idm.read_only_udm.target.user.attribute.labels Asignado desde el registro de cambios
DisplayName event.idm.read_only_udm.target.user.user_display_name Asignado desde el registro de cambios
UserPrincipalName event.idm.read_only_udm.target.user.email_addresses Asignado desde el registro de cambios
DnsHostName event.idm.read_only_udm.target.hostname Asignado desde el registro de cambios
DnsHostName event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
EventReceivedTime event.idm.read_only_udm.metadata.collected_timestamp Asignado desde el registro de cambios
SourceModuleName event.idm.read_only_udm.principal.resource.name Asignado desde el registro de cambios
Opcode event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
ComputerAccountChange event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
ProcessID event.idm.read_only_udm.principal.process.pid Asignado desde el registro de cambios
ThreadID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
SeverityValue event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Category event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
PrivilegeList event.idm.read_only_udm.principal.user.attribute.labels Asignado desde el registro de cambios
SourceName event.idm.read_only_udm.principal.application Asignado desde el registro de cambios
EventIdx event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
EventCountTotal event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
record.owner event.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
record.logGroup event.idm.read_only_udm.security_result.about.resource.name Asignado desde el registro de cambios
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels Asignado desde el registro de cambios
Provider event.idm.read_only_udm.security_result.about.resource.attribute.labels Asignado desde el registro de cambios
record.messageType event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
OldSd event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
NewSd event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
logEvent.id event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
Address event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AddressLength event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Keyword event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
BinaryId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Opcode event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
param1 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
param2 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
PrivilegeList event.idm.read_only_udm.target.resource.resource_subtype Asignado desde el registro de cambios
Version event.idm.read_only_udm.metadata.product_version Asignado desde el registro de cambios
Channel_type event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Asignado desde el registro de cambios
SystemProcessId event.idm.read_only_udm.principal.process.pid Asignado desde el registro de cambios
EventRecordId event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
SourceComputerId event.idm.read_only_udm.principal.asset.asset_id Asignado desde el registro de cambios
ManagementGroupName event.idm.read_only_udm.principal.group.group_display_name Asignado desde el registro de cambios
SystemThreadId event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
EventLevelName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TenantId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
LogonTypeName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Activity event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
MG event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
_SubscriptionId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
_ItemId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
_IsBillable event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
_BilledSize event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
_Internal_WorkspaceResourceId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TimeCollected event.idm.read_only_udm.metadata.collected_timestamp Asignado desde el registro de cambios
SystemUserId event.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
_ResourceId event.idm.read_only_udm.principal.resource.product_object_id Asignado desde el registro de cambios
EventSourceName event.idm.read_only_udm.target.application Asignado desde el registro de cambios
EventOriginId event.idm.read_only_udm.target.process.product_specific_process_id Asignado desde el registro de cambios
SourceSystem event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
OldTargetUserName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
NewTargetUserName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
NewTargetUserName event.idm.read_only_udm.target.user.userid Asignado desde el registro de cambios
SAM Account Name event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
Display Name event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
User Workstations event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
Account Expires event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
Primary Group ID event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
DNS Host Name event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
User Principal Name event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
Service Principal Names event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
Home Directory event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Home Drive event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Script Path event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Profile Path event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AllowedToDelegateTo event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Old UAC Value event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
New UAC Value event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
User Account Control event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
User Parameters event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
SID History event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Logon Hours event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
additional_information event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Description_data event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Version event1.idm.read_only_udm.metadata.product_version Asignado desde el registro de cambios
UserName event.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
param1 event.idm.read_only_udm.target.application Asignado desde el registro de cambios
param3 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
param4 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
sourceHealthServiceId event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
/Event[%{index}]/TaskName event.idm.read_only_udm.target.resource.name Asignado desde el registro de cambios
computer event.idm.read_only_udm.principal.hostname Asignado desde el registro de cambios
computer event.idm.read_only_udm.principal.asset.hostname Asignado desde el registro de cambios
SubjectUserSid event.idm.read_only_udm.principal.user.windows_sid Asignado desde el registro de cambios
IpAddress event.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
IpAddress event.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
IpPort event.idm.read_only_udm.principal.port Asignado desde el registro de cambios
LogonGuid event.idm.read_only_udm.principal.resource.product_object_id Asignado desde el registro de cambios
ProcessId event.idm.read_only_udm.target.process.pid Asignado desde el registro de cambios
ProcessName event.idm.read_only_udm.target.process.file.full_path Asignado desde el registro de cambios
SubjectDomainName event.idm.read_only_udm.principal.administrative_domain Asignado desde el registro de cambios
SubjectUserName event.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
SubjectLogonId event.idm.read_only_udm.principal.labels Asignado desde el registro de cambios
TargetDomainName event.idm.read_only_udm.target.administrative_domain Asignado desde el registro de cambios
TargetUserName event.idm.read_only_udm.target.user.userid Asignado desde el registro de cambios
TargetServerName event.idm.read_only_udm.target.hostname Asignado desde el registro de cambios
TargetLogonGuid event.idm.read_only_udm.target.resource.product_object_id Asignado desde el registro de cambios
TargetInfo event.idm.read_only_udm.target.labels Asignado desde el registro de cambios
execution.process_id event.idm.read_only_udm.principal.process.pid Asignado desde el registro de cambios
provider.guid event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
system_time event.idm.read_only_udm.metadata.event_timestamp Asignado desde el registro de cambios
execution.thread_id event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
provider.name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
record_id event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
task event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
opcode event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ServiceFileName event1.idm.read_only_udm.target.file.full_path Asignado desde el registro de cambios
Computer event1.idm.read_only_udm.principal.hostname y event1.idm.read_only_udm.principal.asset.hostname Asignado desde el registro de cambios
OriginatingComputer event1.idm.read_only_udm.principal.ip y event1.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
AccountName event1.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
ServiceAccount event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ProviderName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
loggingSourceName event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Pid event.idm.read_only_udm.principal.process.pid Asignado desde el registro de cambios
Description event.idm.read_only_udm.metadata.description Asignado desde el registro de cambios
EventTickCount event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ProductVersion event.idm.read_only_udm.metadata.product_version Asignado desde el registro de cambios
ActivityID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ModuleVersion event.idm.read_only_udm.metadata.product_version Asignado desde el registro de cambios
AppPath event.idm.read_only_udm.target.file.full_path Asignado desde el registro de cambios
QXID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
GUID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Flags event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
CacheScope event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
RecursionScope event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
RD event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Port event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Source event.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
Source event.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
InterfaceIP event.idm.read_only_udm.intermediary.ip Asignado desde el registro de cambios
cat event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
SecurityId event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AccountName event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
LogonId event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
HandleId event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
OperationType event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
NewValueType event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
OldValueType event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
OldValue event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
application event1.idm.read_only_udm.principal.application Asignado desde el registro de cambios
message event1.idm.read_only_udm.metadata.description Asignado desde el registro de cambios
AccountDomain event1.idm.read_only_udm.principal.administrative_domain Asignado desde el registro de cambios
ProcessName event1.idm.read_only_udm.principal.process.file.full_path Asignado desde el registro de cambios
xmlns event1.idm.read_only_udm.principal.url Asignado desde el registro de cambios
SourceName event1.idm.read_only_udm.principal.application Asignado desde el registro de cambios
ProviderGuid event1.idm.read_only_udm.principal.asset_id Asignado desde el registro de cambios
powershell_command event.idm.read_only_udm.security_result.about.process.command_line Asignado desde el registro de cambios
scriptblock_id event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
Destination event1.idm.read_only_udm.target.ip Asignado desde el registro de cambios
Destination event1.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
qname event1.idm.read_only_udm.network.dns.questions.name Asignado desde el registro de cambios
qtype event1.idm.read_only_udm.network.dns.questions.type Asignado desde el registro de cambios
InterfaceIP event1.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
InterfaceIP event1.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
Flags event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
zone event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
xid event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
dnssec event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
PacketData event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
BufferSize event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
rcode event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AA event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
TCP event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ElapsedTime event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AD event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
AdditionalInfo event1.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
port event1.idm.read_only_udm.target.port Asignado desde el registro de cambios
rcode event1.idm.read_only_udm.network.dns.response_code Asignado desde el registro de cambios
SECURITY_ID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ingestion_source metadata.ingestion_labels Asignado desde el registro de cambios
details.Creator Subject.Account Domain principal.administrative_domain Asignado desde el registro de cambios
details.Creator Subject.Logon ID additional.fields Asignado desde el registro de cambios
details.Creator Subject.Account Name principal.user.userid Asignado desde el registro de cambios
details.Creator Subject.Security ID principal.user.windows_sid Asignado desde el registro de cambios
details.Process Information.Creator Process ID principal.process.pid Asignado desde el registro de cambios
details.Process Information.Creator Process Name principal.process.file.full_path Asignado desde el registro de cambios
details.Process Information.Mandatory Label target.labels Asignado desde el registro de cambios
details.Process Information.New Process ID target.process.pid Asignado desde el registro de cambios
details.Process Information.New Process Name target.process.file.full_path Asignado desde el registro de cambios
details.Process Information.Process Command Line target.process.command_line Asignado desde el registro de cambios
details.Process Information.Token Elevation Type security_result.detection_fields Asignado desde el registro de cambios
details.Target Subject.Account Domain target.administrative_domain Asignado desde el registro de cambios
details.Target Subject.Account Name target.user.userid Asignado desde el registro de cambios
details.Target Subject.Logon ID target.user.windows_sid Asignado desde el registro de cambios
details.Target Subject.Security ID target.user.windows_sid Asignado desde el registro de cambios
details.Process Information.Process ID principal.process.pid Asignado desde el registro de cambios
details.Process Information.Process Name principal.process.file.full_path Asignado desde el registro de cambios
details.Subject.Account Domain principal.administrative_domain Asignado desde el registro de cambios
details.Subject.Account Name principal.user.userid Asignado desde el registro de cambios
details.Subject.Logon ID additional.fields Asignado desde el registro de cambios
details.Subject.Security ID principal.user.windows_sid Asignado desde el registro de cambios
details.Transaction Information.New State sec_result.detection_fields Asignado desde el registro de cambios
details.Transaction Information.RM Transaction ID network.session_id Asignado desde el registro de cambios
details.Transaction Information.Resource Manager target.resource.name Asignado desde el registro de cambios
details.Additional_Context security_result.detection_fields Asignado desde el registro de cambios
event_id.id security_result.rule_name Asignado desde el registro de cambios
computer intermediary.hostname Asignado desde el registro de cambios
channel security_result.summary Asignado desde el registro de cambios
Library target.file.full_path Asignado desde el registro de cambios
ServiceName target.application Asignado desde el registro de cambios
ServiceFileName target.process.file.full_path Asignado desde el registro de cambios
ServiceType", "ServiceStartType security_result.detection_fields Asignado desde el registro de cambios
ServiceAccount target.user.userid Asignado desde el registro de cambios
IpAddress1 principal.ip Asignado desde el registro de cambios
hostname_prin principal.hostname Asignado desde el registro de cambios
Account Name target.yser.userid Asignado desde el registro de cambios
AttributeSyntaxOID" and "OperationType additional.fields Asignado desde el registro de cambios
DomainPolicyChanged security_result.detection_fields Asignado desde el registro de cambios
MemberSid principal.resource.attribute.labels Asignado desde el registro de cambios
source about.process.command_line Asignado desde el registro de cambios
task_command principal.process.file.full_path Asignado desde el registro de cambios
Param1 target.user.userid Asignado desde el registro de cambios
Param2 principal.administrative_domain Asignado desde el registro de cambios
Param3 principal.ip Asignado desde el registro de cambios
SubjectUserName" and "SubjectUserSid additional.fields Asignado desde el registro de cambios
Hostname additional.fields Asignado desde el registro de cambios
UserRight", and "AuditSourceName security_result.detection_fields Asignado desde el registro de cambios
PackageName security_result.detection_fields Asignado desde el registro de cambios
AgentLogFile additional.fields Asignado desde el registro de cambios
SubjectAccountName principal.user.userid Asignado desde el registro de cambios
TargetServerName additional.fields Asignado desde el registro de cambios
Privileges security_result.detection_fields Asignado desde el registro de cambios
AccessRight additional.fields Asignado desde el registro de cambios
ShareName target.file.names Asignado desde el registro de cambios
LmPackageName target.labels Asignado desde el registro de cambios
Hostname principal.asset.hostname Asignado desde el registro de cambios
WorkstationName", "TargetAccountDomain", "SourceAddress", "DSName", "database_name", and "target_hostname target.asset.hostname Asignado desde el registro de cambios
Properties target.resource.attribute.labels Asignado desde el registro de cambios
TargetLogonId", "AccessMask", "CertIssuerName", "TicketOptions", "TargetUserName", "AttributeLDAPDisplayName", "AttributeValues", "ObjectDN additional.fields Asignado desde el registro de cambios
UserID principal.user.userid Asignado desde el registro de cambios
UserID target.user.userid Asignado desde el registro de cambios
Event.System.Provider@Name event1.principal.application Asignado desde el registro de cambios
Event.System.Correlation@ActivityID event1.security_result.detection_fields Asignado desde el registro de cambios
Event.System.Execution@ProcessID event1.principal.process.pid Asignado desde el registro de cambios
Event.EventData.Data@SubjectUserName event1.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
Event.EventData.Data@SubjectDomainName event1.idm.read_only_udm.principal.administrative_domain Asignado desde el registro de cambios
Event.EventData.Data@Workstation event1.idm.read_only_udm.target.hostname Asignado desde el registro de cambios
Event.EventData.Data@TargetUserName event1.idm.read_only_udm.target.user.userid Asignado desde el registro de cambios
Event.EventData.Data@TargetDomainName event1.idm.read_only_udm.target.administrative_domain Asignado desde el registro de cambios
Keywords additional.fields Asignado desde el registro de cambios
AttributeLDAPDisplayName target.resource.attribute.labels Asignado desde el registro de cambios
PrincipalDomain principal.administrative_domain Asignado desde el registro de cambios
PrincipalAccountName principal.user.userid Asignado desde el registro de cambios
TargetAccountName target.user.userid Asignado desde el registro de cambios
TargetDomain target.administrative_domain Asignado desde el registro de cambios
Logon GUID principal.resource.id Asignado desde el registro de cambios
ProcessID target.process.pid Asignado desde el registro de cambios
Security_ID", "VirtualAccount", "EventCategory", "ImpersonationLevel", "LinkedLogonID", "NetworkAccountName", "NetworkAccountDomain",and "RestrictedAdminMode security_result.detection_fields Asignado desde el registro de cambios
LogonID" and "TargetLogonID about.labels Asignado desde el registro de cambios
AgentDevice additional.fields Asignado desde el registro de cambios
EventType target.registry.registry_key Asignado desde el registro de cambios
ProcessId principal.process.pid Asignado desde el registro de cambios
SourceName target.application Asignado desde el registro de cambios
ProviderGuid target.resource.product_object_id Asignado desde el registro de cambios
Account Name principal.user.userid Asignado desde el registro de cambios
Account Domain principal.administrative_domain Asignado desde el registro de cambios
Workstation Name principal.hostname Asignado desde el registro de cambios
Caller Process Id principal.process.pid Asignado desde el registro de cambios
Source Network Address principal.ip Asignado desde el registro de cambios
Source Port principal.port Asignado desde el registro de cambios
Logon Process additional.fields Asignado desde el registro de cambios
Opcode about.labels Asignado desde el registro de cambios
ImpersonationLevel about.labels Asignado desde el registro de cambios
TargetHandleId about.labels Asignado desde el registro de cambios
RestrictedAdminMode about.labels Asignado desde el registro de cambios
TargetOutboundDomainName target.user.attribute.labels Asignado desde el registro de cambios
KeyLength target.labels Asignado desde el registro de cambios
TargetLogonId target.labels Asignado desde el registro de cambios
TransmittedServices target.labels Asignado desde el registro de cambios
TargetLinkedLogonId target.labels Asignado desde el registro de cambios
VirtualAccount target.labels Asignado desde el registro de cambios
OldSd target.resource.attribute.labels Asignado desde el registro de cambios
NewSd target.resource.attribute.labels Asignado desde el registro de cambios
Channel", "SubjectLogonId", and "ThreadId additional.labels Asignado desde el registro de cambios
TargetDomainName target.administrative_domain Asignado desde el registro de cambios
Keywords","Channel","Level","SChannelName","SChannelType","Opcode `` Asignado desde el registro de cambios
ThreadID target.resource.attribute.labels Asignado desde el registro de cambios
UserID target.user.windows_sid Asignado desde el registro de cambios
ProductName" and "ProductVersion metadata.product_version Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.