איסוף יומני אירועים של Windows (פורמט XML)

נתמך ב:

Google SecOps SIEM

הערה: התכונה הזו כפופה לתנאי השימוש במוצרים בשלב טרום-GA, בתנאים הספציפיים לשירות Google Security Operations. יכול להיות שהתמיכה בתכונות בגרסת טרום-GA תהיה מוגבלת, ושינויים בתכונות בגרסת טרום-GA לא יהיו תואמים לגרסאות אחרות של טרום-GA. מידע נוסף מופיע במאמר הנחיות לשירותי התמיכה הטכנית של Google SecOps ובמאמר התנאים הספציפיים לשירות Google SecOps.
אם התכונה הזו לא מוצגת בסביבה שלכם, אפשר לעיין במאמר בנושא ניהול תכונות בגרסת טרום-השקה או לפנות לאדמין.

במאמר הזה מוסבר איך להטמיע יומני אירועים של Windows בפורמט XML ב-Google Security Operations באמצעות סוכן Bindplane.

יומן האירועים של Windows (בפורמט XML) מכיל אירועי אבטחה, אירועי מערכת ואירועים של אפליקציות שנוצרו על ידי מערכת ההפעלה Windows. סוכן Bindplane אוסף קבצים מיוצאים של יומן האירועים של Windows ישירות ממערכת הקבצים המקומית.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ומעלה עם תמיכה בשירות observiq-otel-collector
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישת אדמין למארחי Windows שמייצרים יומני אירועים

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.

3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

כדי להתקין את סוכן Bindplane במערכת ההפעלה Windows, פועלים לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת יומנים ושליחה שלהם ל-Google SecOps

איתור קובץ ההגדרות

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      filelog:
          include:
              - C:\Logs\winevtlog\*.evtx
          start_at: beginning
  
  exporters:
      chronicle/winevtlog_xml:
          compression: gzip
          creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: WINEVTLOG_XML
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/winevtlog_xml_to_chronicle:
              receivers:
                  - filelog
              exporters:
                  - chronicle/winevtlog_xml
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • filelog: סוג המקלט לאיסוף קובצי יומן מהדיסק
  • ‫include: רשימה של נתיבי קבצים למעקב. מגדירים את המיקום שאליו מייצאים את יומני האירועים של Windows (לדוגמה, C:\Logs\winevtlog\*.evtx)
  • ‫start_at: מגדירים את הערך beginning כדי לקרוא יומנים קיימים, או את הערך end כדי לקרוא רק רשומות חדשות

• הגדרת כלי הייצוא:

  • ‫winevtlog_xml: שם תיאורי של הכלי לייצוא
  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<customer_id>: מספר הלקוח מהשלב הקודם
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
  • ‫WINEVTLOG_XML: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

• הגדרת צינור עיבוד נתונים:

  • ‫winevtlog_xml_to_chronicle: שם תיאורי לצינור עיבוד הנתונים

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:

  ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות Restart.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת ייצוא של יומן האירועים ב-Windows

יומני האירועים של Windows מאוחסנים בערוצים כמו אבטחה, מערכת ואפליקציה. צריך לייצא את היומנים האלה לקבצים בדיסק כדי שסוכן Bindplane יוכל לאסוף אותם.

1. יוצרים ספרייה לאחסון קובצי היומן המיוצאים:

   mkdir C:\Logs\winevtlog
   

2. מייצאים יומני אירועים של Windows באמצעות wevtutil. אפשר לייצא כל שילוב של ערוצים ביומן האירועים:

   wevtutil epl "Security" C:\Logs\winevtlog\security.evtx
   

   wevtutil epl "System" C:\Logs\winevtlog\system.evtx
   

   wevtutil epl "Application" C:\Logs\winevtlog\application.evtx
   

3. (אופציונלי) תזמון ייצוא קבוע באמצעות מתזמן המשימות של Windows:

   $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" C:\Logs\winevtlog\security.evtx /ow:true'
   $trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
   Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportWinEvtLogs" -Description "Export Windows Event logs for Bindplane agent"
   

4. מוודאים שקובצי היומן שיוצאו נוצרים בנתיב `C:\Logs\winevtlog`.

5. מוודאים שהנתיב של סוכן Bindplane include ב-config.yaml תואם לספריית הייצוא.

   הערה: אפשר להשתמש ב-wevtutil el כדי להציג רשימה של כל הערוצים הזמינים ביומן האירועים במארח Windows. הדגל /ow:true מחליף את קובץ הייצוא הקיים. כדאי להתאים את אסטרטגיית הייצוא בהתאם לדרישות שלכם לגבי שמירת היומנים. לחשבון השירות של סוכן Bindplane צריכה להיות הרשאת קריאה לספריית הייצוא.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
EventID	metadata.product_event_type	הערך הועתק ישירות
RecordNumber	metadata.product_log_id	הערך הועתק ישירות
הודעה, תיאור, msg	metadata.description	הערך הועתק ישירות
	metadata.event_type	הגדרה דינמית על סמך תוכן האירוע (לדוגמה, NETWORK_CONNECTION, ‏ STATUS_UPDATE, ‏ NETWORK_DNS, ‏ GENERIC_EVENT)
	metadata.product_name	ההגדרה היא 'Windows'
	metadata.vendor_name	הגדרה כ-Microsoft
ModuleVersion, ‏ ProductVersion	metadata.product_version	הערך הועתק ישירות
ProviderGuid	metadata.product_deployment_id	הערך הועתק ישירות
Computer, Host, Workstation, WorkstationName	principal.asset.hostname	הערך הועתק ישירות
IpAddress, SourceAddress, client_ip	principal.asset.ip	הערך הועתק ישירות
Computer, Host, Workstation, WorkstationName	principal.hostname	הערך הועתק ישירות
IpAddress, SourceAddress, client_ip	principal.ip	הערך הועתק ישירות
SourcePort, LocalPort, Client_port	principal.port	הערך הועתק ישירות והומר למספר שלם
SubjectUserName, AccountName	principal.user.userid	הערך הועתק ישירות
SubjectUserSid	principal.user.windows_sid	הערך הועתק ישירות
‫AccountDomain, ‏ SubjectDomainName, ‏ Domain	principal.administrative_domain	הערך הועתק ישירות
מקור, שם מקור, שם מקור האירוע	principal.application	הערך הועתק ישירות
ProviderGuid	principal.asset_id	עם הקידומת "Provider_GUID:"
SubjectLogonId	principal.labels	נוסף כתווית עם מפתח SubjectLogonId
TargetUserName	target.user.userid	הערך הועתק ישירות
TargetUserSid	target.user.windows_sid	הערך הועתק ישירות
TargetDomainName	target.hostname	הערך הועתק ישירות
כתובת יעד, יעד	target.ip	הערך הועתק ישירות
NewProcessName, ‏ ProcessName, ‏ ObjectName	target.process.file.full_path	הערך הועתק ישירות
NewProcessId, ProcessId, TargetProcessId	target.process.pid	הערך הועתק ישירות
HostApplication, ServiceName	target.process.command_line	הערך הועתק ישירות
MD5	target.process.file.md5	הערך הועתק ישירות
SHA1	target.process.file.sha1	הערך הועתק ישירות
SHA256	target.process.file.sha256	הערך הועתק ישירות
ObjectName, TargetObject	target.registry.registry_value_name	הערך הועתק ישירות (לאירועי רישום)
פרטים	target.registry.registry_value_data	הערך הועתק ישירות (לאירועי רישום)
ObjectType, Task	target.resource.type	הערך הועתק ישירות
ObjectName, RuleName	target.resource.name	הערך הועתק ישירות
TargetSid, ‏ ObjectGUID	target.resource.id	הערך הועתק ישירות
ObjectClass	target.resource.resource_subtype	הערך הועתק ישירות
LogonType	extensions.auth.auth_details	הקידומת היא 'סוג הכניסה:'
	extensions.auth.type	הגדרה לפי סוג הכניסה (מחשב, SSO, ‏ AUTHTYPE_UNSPECIFIED)
HTTPMethod	network.http.method	הערך הועתק ישירות
StatusCode	network.http.response_code	הערך הועתק ישירות והומר למספר שלם
UserAgent	network.http.user_agent	הערך הועתק ישירות
	network.application_protocol	מגדירים את הערך DNS לאירועי DNS
	network.direction	הגדרה לערך INBOUND או OUTBOUND בהתאם להקשר של האירוע
	network.ip_protocol	הגדרה לפי פרוטוקול (TCP, ‏ UDP, ‏ ICMP)
ערוץ	additional.fields	נוסף כתווית עם מפתח 'ערוץ'
ActivityID	additional.fields	נוספה כתווית עם המפתח ActivityID
LogonType	additional.fields	נוסף כתווית עם מפתח 'LogonType'
רמה	additional.fields	נוסף כתווית עם מילת המפתח 'רמה'
SourceModuleType	observer.application	הערך הועתק ישירות
AuthenticationPackageName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
Status	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
agent_eventid	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
column4	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
Logon Account	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
prod_event_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
EventSourceName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
EventIDQualifiers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ipv6_zone_index	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
FQDN	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
FQDN	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
ServiceSid	event.idm.read_only_udm.extensions.auth.auth_details	מופה מיומן השינויים
details.Object.Handle ID	event.idm.read_only_udm.target.resource.id	מופה מיומן השינויים
details.New Logon.Logon ID	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
details.Account Information.Account Domain	event.idm.read_only_udm.target.administrative_domain	מופה מיומן השינויים
details.Operation.Accesses	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
ElevatedToken	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
elevated_token	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
ReadOperation	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details_Subject_Read_Operation	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
TargetName	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
AccessList	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
ClientProcessStartKey	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
RpcCallClientLocality	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
ServiceName	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
CountOfCredentialsReturned	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
PrivilegeList	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
TargetLinkedLogonId	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
TaskName	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
TaskContentNew	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
details_Logon_Process_Name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
details_Object_Object_Type	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
details_Object_Object_Server	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
details_Access_Mask	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
details_Object_Object_Name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
details_Service_Information_Available_Keys	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
ProcessCreationTime	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AdditionalInfo2	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ObjectName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Additional_Information_Parameter_2	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
VirtualAccount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ReturnCode	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ImpersonationLevel	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TargetLogonId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TicketOptions	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TicketEncryptionType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SessionKeyEncryptionType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RequestTicketHash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ResponseTicketHash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ServiceSupportedEncryptionTypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ServiceAvailableKeys	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
DCSupportedEncryptionTypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
DCAvailableKeys	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ClientAdvertizedEncryptionTypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details.Privileges	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_New_Logon_Security_ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Additional_Information_Parameter_1	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_New_Logon_Account_Name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_New_Logon_Linked_Logon_ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
impersonation_level	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
correlation_activity_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Account_Information_Account_Name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Account_Information_Logon_GUID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Operation_Operation_Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_additional_information_failure_code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Additional_Information_Ticket_Options	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Additional_Information_Ticket_Encryption_Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Additional_Information_Session_Encryption_Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Domain_Controller_Information_Available_Keys	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Domain_Controller_Information_MSDS_SupportedEncryptionTypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Service_Information_Service_ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
network_information_client_port	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details.Network_Information.Advertized_Etypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
response_ticket_hash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_ticket_hash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details_Subject_Logon_ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
network_information_client_address	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
network_information_client_address	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
ClientProcessId	event.idm.read_only_udm.target.process.pid	מופה מיומן השינויים
ParentProcessId	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
details_Service_Information_Service_Name	event.idm.read_only_udm.target.application	מופה מיומן השינויים
SourceName	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
Source	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
provider.name	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
prod_name	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
EventSourceName	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
NewProcessId	event.idm.read_only_udm.target.process.pid	מופה מיומן השינויים
details.Network Information.Source Network Address	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
details.Network Information.Source Network Address	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
details.Account For Which Logon Failed.Security ID	event.idm.read_only_udm.target.user.product_object_id	מופה מיומן השינויים
details.Detailed Authentication Information.Logon Process	event.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
details.Failure Information.Failure Reason	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
event_id.qualifiers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TargetUserSid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
WorkstationName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
LogonType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AuthenticationPackageName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
KeyLength	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
LogonProcessName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details.Network Information.Source Port	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details.Account For Which Logon Failed.Account Name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Msg_1	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
details.Account For Which Logon Failed.Account Domain	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
version	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Detailed Authentication Information.Key Length	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
keywords	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Detailed Authentication Information.Authentication Package	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Failure Information.Status	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Failure Information.Sub Status	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Process Information.Caller Process ID	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Subject.Security ID	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details.Network Information.Workstation Name	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
SamAccountName	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
UserPrincipalName	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
HomeDirectory	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
HomePath	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
ScriptPath	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
ProfilePath	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
UserWorkstations	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
PasswordLastSet	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
AccountExpires	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
PrimaryGroupId	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
AllowedToDelegateTo	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
OldUacValue	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
NewUacValue	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
UserAccountControl	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
UserParameters	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
LogonHours	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
ServicePrincipalNames	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
DisplayName	event.idm.read_only_udm.target.user.user_display_name	מופה מיומן השינויים
UserPrincipalName	event.idm.read_only_udm.target.user.email_addresses	מופה מיומן השינויים
DnsHostName	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
DnsHostName	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
EventReceivedTime	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
SourceModuleName	event.idm.read_only_udm.principal.resource.name	מופה מיומן השינויים
Opcode	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
ComputerAccountChange	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
ProcessID	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
ThreadID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SeverityValue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Category	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
PrivilegeList	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
SourceName	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
EventIdx	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
EventCountTotal	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
record.owner	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
record.logGroup	event.idm.read_only_udm.security_result.about.resource.name	מופה מיומן השינויים
record.logStream	event.idm.read_only_udm.security_result.about.resource.attribute.labels	מופה מיומן השינויים
Provider	event.idm.read_only_udm.security_result.about.resource.attribute.labels	מופה מיומן השינויים
record.messageType	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
OldSd	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
NewSd	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
logEvent.id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
Address	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AddressLength	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Keyword	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
BinaryId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Opcode	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param1	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param2	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
PrivilegeList	event.idm.read_only_udm.target.resource.resource_subtype	מופה מיומן השינויים
Version	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
Channel_type	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
TimeGenerated	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
SystemProcessId	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
EventRecordId	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
SourceComputerId	event.idm.read_only_udm.principal.asset.asset_id	מופה מיומן השינויים
ManagementGroupName	event.idm.read_only_udm.principal.group.group_display_name	מופה מיומן השינויים
SystemThreadId	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
EventLevelName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TenantId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
LogonTypeName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Activity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
MG	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_SubscriptionId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_ItemId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_IsBillable	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_BilledSize	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_Internal_WorkspaceResourceId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TimeCollected	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
SystemUserId	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
_ResourceId	event.idm.read_only_udm.principal.resource.product_object_id	מופה מיומן השינויים
EventSourceName	event.idm.read_only_udm.target.application	מופה מיומן השינויים
EventOriginId	event.idm.read_only_udm.target.process.product_specific_process_id	מופה מיומן השינויים
SourceSystem	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
OldTargetUserName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
NewTargetUserName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
NewTargetUserName	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
SAM Account Name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
Display Name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
User Workstations	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
Account Expires	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
Primary Group ID	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
DNS Host Name	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
User Principal Name	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
Service Principal Names	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
Home Directory	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Home Drive	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Script Path	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Profile Path	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AllowedToDelegateTo	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Old UAC Value	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
New UAC Value	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
User Account Control	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
User Parameters	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SID History	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Logon Hours	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
additional_information	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Description_data	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Version	event1.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
UserName	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
param1	event.idm.read_only_udm.target.application	מופה מיומן השינויים
param3	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
param4	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceHealthServiceId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
/Event[%{index}]/TaskName	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
computer	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
computer	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
SubjectUserSid	event.idm.read_only_udm.principal.user.windows_sid	מופה מיומן השינויים
IpAddress	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
IpAddress	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
IpPort	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
LogonGuid	event.idm.read_only_udm.principal.resource.product_object_id	מופה מיומן השינויים
ProcessId	event.idm.read_only_udm.target.process.pid	מופה מיומן השינויים
ProcessName	event.idm.read_only_udm.target.process.file.full_path	מופה מיומן השינויים
SubjectDomainName	event.idm.read_only_udm.principal.administrative_domain	מופה מיומן השינויים
SubjectUserName	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
SubjectLogonId	event.idm.read_only_udm.principal.labels	מופה מיומן השינויים
TargetDomainName	event.idm.read_only_udm.target.administrative_domain	מופה מיומן השינויים
TargetUserName	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
TargetServerName	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
TargetLogonGuid	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
TargetInfo	event.idm.read_only_udm.target.labels	מופה מיומן השינויים
execution.process_id	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
provider.guid	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
system_time	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
execution.thread_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
provider.name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
task	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
opcode	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ServiceFileName	event1.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
Computer	event1.idm.read_only_udm.principal.hostname וגם event1.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
OriginatingComputer	event1.idm.read_only_udm.principal.ip וגם event1.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
AccountName	event1.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
ServiceAccount	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ProviderName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
loggingSourceName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Pid	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
Description	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
EventTickCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ProductVersion	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
ActivityID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ModuleVersion	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
AppPath	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
QXID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
GUID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Flags	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
CacheScope	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RecursionScope	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RD	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Port	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Source	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
Source	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
InterfaceIP	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
cat	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SecurityId	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AccountName	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
LogonId	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
HandleId	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OperationType	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
NewValueType	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OldValueType	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
OldValue	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
application	event1.idm.read_only_udm.principal.application	מופה מיומן השינויים
message	event1.idm.read_only_udm.metadata.description	מופה מיומן השינויים
AccountDomain	event1.idm.read_only_udm.principal.administrative_domain	מופה מיומן השינויים
ProcessName	event1.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
xmlns	event1.idm.read_only_udm.principal.url	מופה מיומן השינויים
SourceName	event1.idm.read_only_udm.principal.application	מופה מיומן השינויים
ProviderGuid	event1.idm.read_only_udm.principal.asset_id	מופה מיומן השינויים
powershell_command	event.idm.read_only_udm.security_result.about.process.command_line	מופה מיומן השינויים
scriptblock_id	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
Destination	event1.idm.read_only_udm.target.ip	מופה מיומן השינויים
Destination	event1.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
qname	event1.idm.read_only_udm.network.dns.questions.name	מופה מיומן השינויים
qtype	event1.idm.read_only_udm.network.dns.questions.type	מופה מיומן השינויים
InterfaceIP	event1.idm.read_only_udm.principal.ip	מופה מיומן השינויים
InterfaceIP	event1.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
Flags	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
zone	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
xid	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dnssec	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
PacketData	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
BufferSize	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
rcode	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AA	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
TCP	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ElapsedTime	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AD	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
AdditionalInfo	event1.idm.read_only_udm.additional.fields	מופה מיומן השינויים
port	event1.idm.read_only_udm.target.port	מופה מיומן השינויים
rcode	event1.idm.read_only_udm.network.dns.response_code	מופה מיומן השינויים
SECURITY_ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ingestion_source	metadata.ingestion_labels	מופה מיומן השינויים
details.Creator Subject.Account Domain	principal.administrative_domain	מופה מיומן השינויים
details.Creator Subject.Logon ID	additional.fields	מופה מיומן השינויים
details.Creator Subject.Account Name	principal.user.userid	מופה מיומן השינויים
details.Creator Subject.Security ID	principal.user.windows_sid	מופה מיומן השינויים
details.Process Information.Creator Process ID	principal.process.pid	מופה מיומן השינויים
details.Process Information.Creator Process Name	principal.process.file.full_path	מופה מיומן השינויים
details.Process Information.Mandatory Label	target.labels	מופה מיומן השינויים
details.Process Information.New Process ID	target.process.pid	מופה מיומן השינויים
details.Process Information.New Process Name	target.process.file.full_path	מופה מיומן השינויים
details.Process Information.Process Command Line	target.process.command_line	מופה מיומן השינויים
details.Process Information.Token Elevation Type	security_result.detection_fields	מופה מיומן השינויים
details.Target Subject.Account Domain	target.administrative_domain	מופה מיומן השינויים
details.Target Subject.Account Name	target.user.userid	מופה מיומן השינויים
details.Target Subject.Logon ID	target.user.windows_sid	מופה מיומן השינויים
details.Target Subject.Security ID	target.user.windows_sid	מופה מיומן השינויים
details.Process Information.Process ID	principal.process.pid	מופה מיומן השינויים
details.Process Information.Process Name	principal.process.file.full_path	מופה מיומן השינויים
details.Subject.Account Domain	principal.administrative_domain	מופה מיומן השינויים
details.Subject.Account Name	principal.user.userid	מופה מיומן השינויים
details.Subject.Logon ID	additional.fields	מופה מיומן השינויים
details.Subject.Security ID	principal.user.windows_sid	מופה מיומן השינויים
details.Transaction Information.New State	sec_result.detection_fields	מופה מיומן השינויים
details.Transaction Information.RM Transaction ID	network.session_id	מופה מיומן השינויים
details.Transaction Information.Resource Manager	target.resource.name	מופה מיומן השינויים
details.Additional_Context	security_result.detection_fields	מופה מיומן השינויים
event_id.id	security_result.rule_name	מופה מיומן השינויים
computer	intermediary.hostname	מופה מיומן השינויים
channel	security_result.summary	מופה מיומן השינויים
Library	target.file.full_path	מופה מיומן השינויים
ServiceName	target.application	מופה מיומן השינויים
ServiceFileName	target.process.file.full_path	מופה מיומן השינויים
ServiceType", "ServiceStartType	security_result.detection_fields	מופה מיומן השינויים
ServiceAccount	target.user.userid	מופה מיומן השינויים
IpAddress1	principal.ip	מופה מיומן השינויים
hostname_prin	principal.hostname	מופה מיומן השינויים
Account Name	target.yser.userid	מופה מיומן השינויים
AttributeSyntaxOID" and "OperationType	additional.fields	מופה מיומן השינויים
DomainPolicyChanged	security_result.detection_fields	מופה מיומן השינויים
MemberSid	principal.resource.attribute.labels	מופה מיומן השינויים
source	about.process.command_line	מופה מיומן השינויים
task_command	principal.process.file.full_path	מופה מיומן השינויים
Param1	target.user.userid	מופה מיומן השינויים
Param2	principal.administrative_domain	מופה מיומן השינויים
Param3	principal.ip	מופה מיומן השינויים
SubjectUserName" and "SubjectUserSid	additional.fields	מופה מיומן השינויים
Hostname	additional.fields	מופה מיומן השינויים
UserRight", and "AuditSourceName	security_result.detection_fields	מופה מיומן השינויים
PackageName	security_result.detection_fields	מופה מיומן השינויים
AgentLogFile	additional.fields	מופה מיומן השינויים
SubjectAccountName	principal.user.userid	מופה מיומן השינויים
TargetServerName	additional.fields	מופה מיומן השינויים
Privileges	security_result.detection_fields	מופה מיומן השינויים
AccessRight	additional.fields	מופה מיומן השינויים
ShareName	target.file.names	מופה מיומן השינויים
LmPackageName	target.labels	מופה מיומן השינויים
Hostname	principal.asset.hostname	מופה מיומן השינויים
WorkstationName", "TargetAccountDomain", "SourceAddress", "DSName", "database_name", and "target_hostname	target.asset.hostname	מופה מיומן השינויים
Properties	target.resource.attribute.labels	מופה מיומן השינויים
TargetLogonId", "AccessMask", "CertIssuerName", "TicketOptions", "TargetUserName", "AttributeLDAPDisplayName", "AttributeValues", "ObjectDN	additional.fields	מופה מיומן השינויים
UserID	principal.user.userid	מופה מיומן השינויים
UserID	target.user.userid	מופה מיומן השינויים
Event.System.Provider@Name	event1.principal.application	מופה מיומן השינויים
Event.System.Correlation@ActivityID	event1.security_result.detection_fields	מופה מיומן השינויים
Event.System.Execution@ProcessID	event1.principal.process.pid	מופה מיומן השינויים
Event.EventData.Data@SubjectUserName	event1.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
Event.EventData.Data@SubjectDomainName	event1.idm.read_only_udm.principal.administrative_domain	מופה מיומן השינויים
Event.EventData.Data@Workstation	event1.idm.read_only_udm.target.hostname	מופה מיומן השינויים
Event.EventData.Data@TargetUserName	event1.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
Event.EventData.Data@TargetDomainName	event1.idm.read_only_udm.target.administrative_domain	מופה מיומן השינויים
Keywords	additional.fields	מופה מיומן השינויים
AttributeLDAPDisplayName	target.resource.attribute.labels	מופה מיומן השינויים
PrincipalDomain	principal.administrative_domain	מופה מיומן השינויים
PrincipalAccountName	principal.user.userid	מופה מיומן השינויים
TargetAccountName	target.user.userid	מופה מיומן השינויים
TargetDomain	target.administrative_domain	מופה מיומן השינויים
Logon GUID	principal.resource.id	מופה מיומן השינויים
ProcessID	target.process.pid	מופה מיומן השינויים
Security_ID", "VirtualAccount", "EventCategory", "ImpersonationLevel", "LinkedLogonID", "NetworkAccountName", "NetworkAccountDomain",and "RestrictedAdminMode	security_result.detection_fields	מופה מיומן השינויים
LogonID" and "TargetLogonID	about.labels	מופה מיומן השינויים
AgentDevice	additional.fields	מופה מיומן השינויים
EventType	target.registry.registry_key	מופה מיומן השינויים
ProcessId	principal.process.pid	מופה מיומן השינויים
SourceName	target.application	מופה מיומן השינויים
ProviderGuid	target.resource.product_object_id	מופה מיומן השינויים
Account Name	principal.user.userid	מופה מיומן השינויים
Account Domain	principal.administrative_domain	מופה מיומן השינויים
Workstation Name	principal.hostname	מופה מיומן השינויים
Caller Process Id	principal.process.pid	מופה מיומן השינויים
Source Network Address	principal.ip	מופה מיומן השינויים
Source Port	principal.port	מופה מיומן השינויים
Logon Process	additional.fields	מופה מיומן השינויים
Opcode	about.labels	מופה מיומן השינויים
ImpersonationLevel	about.labels	מופה מיומן השינויים
TargetHandleId	about.labels	מופה מיומן השינויים
RestrictedAdminMode	about.labels	מופה מיומן השינויים
TargetOutboundDomainName	target.user.attribute.labels	מופה מיומן השינויים
KeyLength	target.labels	מופה מיומן השינויים
TargetLogonId	target.labels	מופה מיומן השינויים
TransmittedServices	target.labels	מופה מיומן השינויים
TargetLinkedLogonId	target.labels	מופה מיומן השינויים
VirtualAccount	target.labels	מופה מיומן השינויים
OldSd	target.resource.attribute.labels	מופה מיומן השינויים
NewSd	target.resource.attribute.labels	מופה מיומן השינויים
Channel", "SubjectLogonId", and "ThreadId	additional.labels	מופה מיומן השינויים
TargetDomainName	target.administrative_domain	מופה מיומן השינויים
Keywords","Channel","Level","SChannelName","SChannelType","Opcode	""	מופה מיומן השינויים
ThreadID	target.resource.attribute.labels	מופה מיומן השינויים
UserID	target.user.windows_sid	מופה מיומן השינויים
ProductName" and "ProductVersion	metadata.product_version	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.