Windows 이벤트 로그 수집 (XML 형식)

다음에서 지원:

이 문서에서는 Bindplane 에이전트를 사용하여 XML 형식의 Windows 이벤트 로그를 Google Security Operations에 수집하는 방법을 설명합니다.

Windows 이벤트 로그 (XML 형식)에는 Windows 운영체제에서 생성된 보안, 시스템, 애플리케이션 이벤트가 포함됩니다. Bindplane 에이전트는 내보낸 Windows 이벤트 로그 파일을 로컬 파일 시스템에서 직접 수집합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • observiq-otel-collector 서비스 지원이 포함된 Windows Server 2016 이상
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • 이벤트 로그를 생성하는 Windows 호스트에 대한 관리자 액세스 권한

Google SecOps 수집 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.

  3. 데이터 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.

  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sc query observiq-otel-collector

    서비스가 실행 중으로 표시되어야 합니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

로그를 수집하여 Google SecOps에 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

  • config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.

    receivers:
    filelog:
        include:
            - C:\Logs\winevtlog\*.evtx
        start_at: beginning

exporters:
    chronicle/winevtlog_xml:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINEVTLOG_XML
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/winevtlog_xml_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/winevtlog_xml

구성 매개변수

다음 자리표시자를 바꿉니다.

  • 수신기 구성:

    • filelog: 디스크에서 로그 파일을 수집하는 수신자 유형
    • include: 모니터링할 파일 경로 목록입니다. Windows 이벤트 로그를 내보내는 위치로 설정합니다 (예: C:\Logs\winevtlog\*.evtx).
    • start_at: 기존 로그를 읽으려면 beginning로 설정하고 새 항목만 읽으려면 end로 설정합니다.

  • 내보내기 도구 구성:

    • winevtlog_xml: 내보내기 도구의 설명이 포함된 이름
    • creds_file_path: 수집 인증 파일의 전체 경로입니다.
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: 이전 단계의 고객 ID
    • endpoint: 지역 엔드포인트 URL:
      • 미국: malachiteingestion-pa.googleapis.com
      • 유럽: europe-malachiteingestion-pa.googleapis.com
      • 아시아: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 전체 목록은 리전 엔드포인트를 참고하세요.
    • WINEVTLOG_XML: Chronicle에 표시되는 로그 유형
    • ingestion_labels: YAML 형식의 선택적 라벨 (예: env: production)

  • 파이프라인 구성:

    • winevtlog_xml_to_chronicle: 파이프라인의 설명 이름

구성 파일 저장

  • 수정 후 파일을 저장합니다.

    Windows: 파일 > 저장을 클릭합니다.

변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 옵션 중 하나를 선택하세요.

    • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 서비스 콘솔

      1. Win+R을 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
      2. observIQ OpenTelemetry Collector를 찾습니다.
      3. 마우스 오른쪽 버튼을 클릭하고 Restart를 선택합니다.

      4. 서비스가 실행 중인지 확인합니다.

        sc query observiq-otel-collector

      5. 로그에서 오류를 확인합니다.

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Windows 이벤트 로그 내보내기 구성

Windows 이벤트 로그는 보안, 시스템, 애플리케이션과 같은 채널에 저장됩니다. Bindplane 에이전트가 수집할 수 있도록 이러한 로그를 디스크의 파일로 내보내야 합니다.

  1. 내보낸 로그 파일을 저장할 디렉터리를 만듭니다.

    mkdir C:\Logs\winevtlog

  2. wevtutil를 사용하여 Windows 이벤트 로그를 내보냅니다. 다음과 같은 이벤트 로그 채널의 조합을 내보낼 수 있습니다.

    wevtutil epl "Security" C:\Logs\winevtlog\security.evtx

    wevtutil epl "System" C:\Logs\winevtlog\system.evtx

    wevtutil epl "Application" C:\Logs\winevtlog\application.evtx

  3. (선택사항) Windows 작업 스케줄러를 사용하여 정기 내보내기를 예약합니다.

    $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" C:\Logs\winevtlog\security.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportWinEvtLogs" -Description "Export Windows Event logs for Bindplane agent"

  4. 내보낸 로그 파일이 `C:\Logs\winevtlog`에 생성되는지 확인합니다.

  5. config.yaml의 Bindplane 에이전트 include 경로가 내보내기 디렉터리와 일치하는지 확인합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
EventID metadata.product_event_type 값이 직접 복사됨
RecordNumber metadata.product_log_id 값이 직접 복사됨
메시지, 설명, msg metadata.description 값이 직접 복사됨
metadata.event_type 이벤트 콘텐츠 (예: NETWORK_CONNECTION, STATUS_UPDATE, NETWORK_DNS, GENERIC_EVENT)에 따라 동적으로 설정됩니다.
metadata.product_name 'Windows'로 설정
metadata.vendor_name 'Microsoft'로 설정
ModuleVersion, ProductVersion metadata.product_version 값이 직접 복사됨
ProviderGuid metadata.product_deployment_id 값이 직접 복사됨
Computer, Host, Workstation, WorkstationName principal.asset.hostname 값이 직접 복사됨
IpAddress, SourceAddress, client_ip principal.asset.ip 값이 직접 복사됨
Computer, Host, Workstation, WorkstationName principal.hostname 값이 직접 복사됨
IpAddress, SourceAddress, client_ip principal.ip 값이 직접 복사됨
SourcePort, LocalPort, Client_port principal.port 값이 직접 복사되어 정수로 변환됨
SubjectUserName, AccountName principal.user.userid 값이 직접 복사됨
SubjectUserSid principal.user.windows_sid 값이 직접 복사됨
AccountDomain, SubjectDomainName, Domain principal.administrative_domain 값이 직접 복사됨
Source, SourceName, EventSourceName principal.application 값이 직접 복사됨
ProviderGuid principal.asset_id 'Provider_GUID:' 접두사가 붙습니다.
SubjectLogonId principal.labels 키가 'SubjectLogonId'인 라벨로 추가됨
TargetUserName target.user.userid 값이 직접 복사됨
TargetUserSid target.user.windows_sid 값이 직접 복사됨
TargetDomainName target.hostname 값이 직접 복사됨
DestAddress, Destination target.ip 값이 직접 복사됨
NewProcessName, ProcessName, ObjectName target.process.file.full_path 값이 직접 복사됨
NewProcessId, ProcessId, TargetProcessId target.process.pid 값이 직접 복사됨
HostApplication, ServiceName target.process.command_line 값이 직접 복사됨
MD5 target.process.file.md5 값이 직접 복사됨
SHA1 target.process.file.sha1 값이 직접 복사됨
SHA256 target.process.file.sha256 값이 직접 복사됨
ObjectName, TargetObject target.registry.registry_value_name 직접 복사된 값 (레지스트리 이벤트의 경우)
세부정보 target.registry.registry_value_data 직접 복사된 값 (레지스트리 이벤트의 경우)
ObjectType, Task target.resource.type 값이 직접 복사됨
ObjectName, RuleName target.resource.name 값이 직접 복사됨
TargetSid, ObjectGUID target.resource.id 값이 직접 복사됨
ObjectClass target.resource.resource_subtype 값이 직접 복사됨
LogonType extensions.auth.auth_details '로그온 유형:'으로 시작합니다.
extensions.auth.type 로그온 유형 (MACHINE, SSO, AUTHTYPE_UNSPECIFIED)에 따라 설정됩니다.
HTTPMethod network.http.method 값이 직접 복사됨
StatusCode network.http.response_code 값이 직접 복사되어 정수로 변환됨
UserAgent network.http.user_agent 값이 직접 복사됨
network.application_protocol DNS 이벤트의 경우 'DNS'로 설정됩니다.
network.direction 이벤트 컨텍스트에 따라 INBOUND 또는 OUTBOUND로 설정됩니다.
network.ip_protocol 프로토콜 (TCP, UDP, ICMP)을 기준으로 설정
채널 additional.fields '채널' 키가 있는 라벨로 추가됨
ActivityID additional.fields 'ActivityID' 키가 있는 라벨로 추가됨
LogonType additional.fields 'LogonType' 키가 있는 라벨로 추가됨
수준 additional.fields 키가 'level'인 라벨로 추가됨
SourceModuleType observer.application 값이 직접 복사됨
AuthenticationPackageName event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
Status event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
agent_eventid event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
column4 event.idm.read_only_udm.metadata.product_log_id 변경 로그에서 매핑됨
Logon Account event.idm.read_only_udm.target.user.userid 변경 로그에서 매핑됨
prod_event_type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
EventSourceName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
EventIDQualifiers event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ipv6_zone_index event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
FQDN event.idm.read_only_udm.target.hostname 변경 로그에서 매핑됨
FQDN event.idm.read_only_udm.target.asset.hostname 변경 로그에서 매핑됨
ServiceSid event.idm.read_only_udm.extensions.auth.auth_details 변경 로그에서 매핑됨
details.Object.Handle ID event.idm.read_only_udm.target.resource.id 변경 로그에서 매핑됨
details.New Logon.Logon ID event.idm.read_only_udm.target.resource.product_object_id 변경 로그에서 매핑됨
details.Account Information.Account Domain event.idm.read_only_udm.target.administrative_domain 변경 로그에서 매핑됨
details.Operation.Accesses event.idm.read_only_udm.security_result.description 변경 로그에서 매핑됨
ElevatedToken event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
elevated_token event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
ReadOperation event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details_Subject_Read_Operation event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
TargetName event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
AccessList event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
ClientProcessStartKey event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
RpcCallClientLocality event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
ServiceName event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
CountOfCredentialsReturned event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
PrivilegeList event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
TargetLinkedLogonId event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
TaskName event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
TaskContentNew event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
details_Logon_Process_Name event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
details_Object_Object_Type event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
details_Object_Object_Server event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
details_Access_Mask event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
details_Object_Object_Name event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
details_Service_Information_Available_Keys event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
ProcessCreationTime event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AdditionalInfo2 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ObjectName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Additional_Information_Parameter_2 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
VirtualAccount event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ReturnCode event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ImpersonationLevel event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TargetLogonId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TicketOptions event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TicketEncryptionType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
SessionKeyEncryptionType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Status event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RequestTicketHash event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ResponseTicketHash event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ServiceSupportedEncryptionTypes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ServiceAvailableKeys event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
DCSupportedEncryptionTypes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
DCAvailableKeys event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ClientAdvertizedEncryptionTypes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details.Privileges event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_New_Logon_Security_ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Additional_Information_Parameter_1 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_New_Logon_Account_Name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_New_Logon_Linked_Logon_ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
impersonation_level event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
correlation_activity_id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Account_Information_Account_Name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Account_Information_Logon_GUID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Operation_Operation_Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_additional_information_failure_code event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Additional_Information_Ticket_Options event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Additional_Information_Ticket_Encryption_Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Additional_Information_Session_Encryption_Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Domain_Controller_Information_Available_Keys event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Domain_Controller_Information_MSDS_SupportedEncryptionTypes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Service_Information_Service_ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
network_information_client_port event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details.Network_Information.Advertized_Etypes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
response_ticket_hash event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
request_ticket_hash event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details_Subject_Logon_ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
network_information_client_address event.idm.read_only_udm.principal.ip 변경 로그에서 매핑됨
network_information_client_address event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
ClientProcessId event.idm.read_only_udm.target.process.pid 변경 로그에서 매핑됨
ParentProcessId event.idm.read_only_udm.principal.process.pid 변경 로그에서 매핑됨
details_Service_Information_Service_Name event.idm.read_only_udm.target.application 변경 로그에서 매핑됨
SourceName event.idm.read_only_udm.metadata.product_name 변경 로그에서 매핑됨
Source event.idm.read_only_udm.metadata.product_name 변경 로그에서 매핑됨
provider.name event.idm.read_only_udm.metadata.product_name 변경 로그에서 매핑됨
prod_name event.idm.read_only_udm.metadata.product_name 변경 로그에서 매핑됨
EventSourceName event.idm.read_only_udm.metadata.product_name 변경 로그에서 매핑됨
NewProcessId event.idm.read_only_udm.target.process.pid 변경 로그에서 매핑됨
details.Network Information.Source Network Address event.idm.read_only_udm.principal.ip 변경 로그에서 매핑됨
details.Network Information.Source Network Address event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
details.Account For Which Logon Failed.Security ID event.idm.read_only_udm.target.user.product_object_id 변경 로그에서 매핑됨
details.Detailed Authentication Information.Logon Process event.idm.read_only_udm.principal.process.file.full_path 변경 로그에서 매핑됨
details.Failure Information.Failure Reason event.idm.read_only_udm.security_result.description 변경 로그에서 매핑됨
event_id.qualifiers event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TargetUserSid event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
WorkstationName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
LogonType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AuthenticationPackageName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
KeyLength event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
LogonProcessName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details.Network Information.Source Port event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details.Account For Which Logon Failed.Account Name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Msg_1 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
details.Account For Which Logon Failed.Account Domain event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
version event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Detailed Authentication Information.Key Length event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
keywords event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Detailed Authentication Information.Authentication Package event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Failure Information.Status event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Failure Information.Sub Status event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Process Information.Caller Process ID event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Subject.Security ID event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
details.Network Information.Workstation Name event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
SamAccountName event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
UserPrincipalName event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
HomeDirectory event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
HomePath event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
ScriptPath event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
ProfilePath event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
UserWorkstations event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
PasswordLastSet event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
AccountExpires event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
PrimaryGroupId event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
AllowedToDelegateTo event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
OldUacValue event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
NewUacValue event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
UserAccountControl event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
UserParameters event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
LogonHours event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
ServicePrincipalNames event.idm.read_only_udm.target.user.attribute.labels 변경 로그에서 매핑됨
DisplayName event.idm.read_only_udm.target.user.user_display_name 변경 로그에서 매핑됨
UserPrincipalName event.idm.read_only_udm.target.user.email_addresses 변경 로그에서 매핑됨
DnsHostName event.idm.read_only_udm.target.hostname 변경 로그에서 매핑됨
DnsHostName event.idm.read_only_udm.target.asset.hostname 변경 로그에서 매핑됨
EventReceivedTime event.idm.read_only_udm.metadata.collected_timestamp 변경 로그에서 매핑됨
SourceModuleName event.idm.read_only_udm.principal.resource.name 변경 로그에서 매핑됨
Opcode event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
ComputerAccountChange event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
ProcessID event.idm.read_only_udm.principal.process.pid 변경 로그에서 매핑됨
ThreadID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
SeverityValue event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Category event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
PrivilegeList event.idm.read_only_udm.principal.user.attribute.labels 변경 로그에서 매핑됨
SourceName event.idm.read_only_udm.principal.application 변경 로그에서 매핑됨
EventIdx event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
EventCountTotal event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
record.owner event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
record.logGroup event.idm.read_only_udm.security_result.about.resource.name 변경 로그에서 매핑됨
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels 변경 로그에서 매핑됨
Provider event.idm.read_only_udm.security_result.about.resource.attribute.labels 변경 로그에서 매핑됨
record.messageType event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
OldSd event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
NewSd event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
logEvent.id event.idm.read_only_udm.metadata.product_log_id 변경 로그에서 매핑됨
Address event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AddressLength event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Keyword event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
BinaryId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Opcode event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
param1 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
param2 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
PrivilegeList event.idm.read_only_udm.target.resource.resource_subtype 변경 로그에서 매핑됨
Version event.idm.read_only_udm.metadata.product_version 변경 로그에서 매핑됨
Channel_type event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
TimeGenerated event.idm.read_only_udm.metadata.event_timestamp 변경 로그에서 매핑됨
SystemProcessId event.idm.read_only_udm.principal.process.pid 변경 로그에서 매핑됨
EventRecordId event.idm.read_only_udm.metadata.product_log_id 변경 로그에서 매핑됨
SourceComputerId event.idm.read_only_udm.principal.asset.asset_id 변경 로그에서 매핑됨
ManagementGroupName event.idm.read_only_udm.principal.group.group_display_name 변경 로그에서 매핑됨
SystemThreadId event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
EventLevelName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TenantId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
LogonTypeName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Activity event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
MG event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_SubscriptionId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_ItemId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_IsBillable event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_BilledSize event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_Internal_WorkspaceResourceId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TimeCollected event.idm.read_only_udm.metadata.collected_timestamp 변경 로그에서 매핑됨
SystemUserId event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
_ResourceId event.idm.read_only_udm.principal.resource.product_object_id 변경 로그에서 매핑됨
EventSourceName event.idm.read_only_udm.target.application 변경 로그에서 매핑됨
EventOriginId event.idm.read_only_udm.target.process.product_specific_process_id 변경 로그에서 매핑됨
SourceSystem event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
OldTargetUserName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
NewTargetUserName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
NewTargetUserName event.idm.read_only_udm.target.user.userid 변경 로그에서 매핑됨
SAM Account Name event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
Display Name event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
User Workstations event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
Account Expires event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
Primary Group ID event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
DNS Host Name event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
User Principal Name event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
Service Principal Names event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
Home Directory event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Home Drive event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Script Path event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Profile Path event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AllowedToDelegateTo event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Old UAC Value event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
New UAC Value event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
User Account Control event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
User Parameters event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
SID History event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Logon Hours event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
additional_information event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Description_data event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Version event1.idm.read_only_udm.metadata.product_version 변경 로그에서 매핑됨
UserName event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
param1 event.idm.read_only_udm.target.application 변경 로그에서 매핑됨
param3 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
param4 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
sourceHealthServiceId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
/Event[%{index}]/TaskName event.idm.read_only_udm.target.resource.name 변경 로그에서 매핑됨
computer event.idm.read_only_udm.principal.hostname 변경 로그에서 매핑됨
computer event.idm.read_only_udm.principal.asset.hostname 변경 로그에서 매핑됨
SubjectUserSid event.idm.read_only_udm.principal.user.windows_sid 변경 로그에서 매핑됨
IpAddress event.idm.read_only_udm.principal.ip 변경 로그에서 매핑됨
IpAddress event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
IpPort event.idm.read_only_udm.principal.port 변경 로그에서 매핑됨
LogonGuid event.idm.read_only_udm.principal.resource.product_object_id 변경 로그에서 매핑됨
ProcessId event.idm.read_only_udm.target.process.pid 변경 로그에서 매핑됨
ProcessName event.idm.read_only_udm.target.process.file.full_path 변경 로그에서 매핑됨
SubjectDomainName event.idm.read_only_udm.principal.administrative_domain 변경 로그에서 매핑됨
SubjectUserName event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
SubjectLogonId event.idm.read_only_udm.principal.labels 변경 로그에서 매핑됨
TargetDomainName event.idm.read_only_udm.target.administrative_domain 변경 로그에서 매핑됨
TargetUserName event.idm.read_only_udm.target.user.userid 변경 로그에서 매핑됨
TargetServerName event.idm.read_only_udm.target.hostname 변경 로그에서 매핑됨
TargetLogonGuid event.idm.read_only_udm.target.resource.product_object_id 변경 로그에서 매핑됨
TargetInfo event.idm.read_only_udm.target.labels 변경 로그에서 매핑됨
execution.process_id event.idm.read_only_udm.principal.process.pid 변경 로그에서 매핑됨
provider.guid event.idm.read_only_udm.metadata.product_log_id 변경 로그에서 매핑됨
system_time event.idm.read_only_udm.metadata.event_timestamp 변경 로그에서 매핑됨
execution.thread_id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
provider.name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
record_id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
task event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
opcode event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ServiceFileName event1.idm.read_only_udm.target.file.full_path 변경 로그에서 매핑됨
Computer event1.idm.read_only_udm.principal.hostname 및 event1.idm.read_only_udm.principal.asset.hostname 변경 로그에서 매핑됨
OriginatingComputer event1.idm.read_only_udm.principal.ip 및 event1.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
AccountName event1.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
ServiceAccount event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ProviderName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
loggingSourceName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Pid event.idm.read_only_udm.principal.process.pid 변경 로그에서 매핑됨
Description event.idm.read_only_udm.metadata.description 변경 로그에서 매핑됨
EventTickCount event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ProductVersion event.idm.read_only_udm.metadata.product_version 변경 로그에서 매핑됨
ActivityID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ModuleVersion event.idm.read_only_udm.metadata.product_version 변경 로그에서 매핑됨
AppPath event.idm.read_only_udm.target.file.full_path 변경 로그에서 매핑됨
QXID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
GUID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Flags event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
CacheScope event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RecursionScope event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RD event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Port event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Source event.idm.read_only_udm.principal.ip 변경 로그에서 매핑됨
Source event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
InterfaceIP event.idm.read_only_udm.intermediary.ip 변경 로그에서 매핑됨
cat event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
SecurityId event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AccountName event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
LogonId event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
HandleId event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
OperationType event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
NewValueType event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
OldValueType event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
OldValue event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
application event1.idm.read_only_udm.principal.application 변경 로그에서 매핑됨
message event1.idm.read_only_udm.metadata.description 변경 로그에서 매핑됨
AccountDomain event1.idm.read_only_udm.principal.administrative_domain 변경 로그에서 매핑됨
ProcessName event1.idm.read_only_udm.principal.process.file.full_path 변경 로그에서 매핑됨
xmlns event1.idm.read_only_udm.principal.url 변경 로그에서 매핑됨
SourceName event1.idm.read_only_udm.principal.application 변경 로그에서 매핑됨
ProviderGuid event1.idm.read_only_udm.principal.asset_id 변경 로그에서 매핑됨
powershell_command event.idm.read_only_udm.security_result.about.process.command_line 변경 로그에서 매핑됨
scriptblock_id event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
Destination event1.idm.read_only_udm.target.ip 변경 로그에서 매핑됨
Destination event1.idm.read_only_udm.target.asset.ip 변경 로그에서 매핑됨
qname event1.idm.read_only_udm.network.dns.questions.name 변경 로그에서 매핑됨
qtype event1.idm.read_only_udm.network.dns.questions.type 변경 로그에서 매핑됨
InterfaceIP event1.idm.read_only_udm.principal.ip 변경 로그에서 매핑됨
InterfaceIP event1.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
Flags event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
zone event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
xid event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
dnssec event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
PacketData event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
BufferSize event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
rcode event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AA event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TCP event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ElapsedTime event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AD event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AdditionalInfo event1.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
port event1.idm.read_only_udm.target.port 변경 로그에서 매핑됨
rcode event1.idm.read_only_udm.network.dns.response_code 변경 로그에서 매핑됨
SECURITY_ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ingestion_source metadata.ingestion_labels 변경 로그에서 매핑됨
details.Creator Subject.Account Domain principal.administrative_domain 변경 로그에서 매핑됨
details.Creator Subject.Logon ID additional.fields 변경 로그에서 매핑됨
details.Creator Subject.Account Name principal.user.userid 변경 로그에서 매핑됨
details.Creator Subject.Security ID principal.user.windows_sid 변경 로그에서 매핑됨
details.Process Information.Creator Process ID principal.process.pid 변경 로그에서 매핑됨
details.Process Information.Creator Process Name principal.process.file.full_path 변경 로그에서 매핑됨
details.Process Information.Mandatory Label target.labels 변경 로그에서 매핑됨
details.Process Information.New Process ID target.process.pid 변경 로그에서 매핑됨
details.Process Information.New Process Name target.process.file.full_path 변경 로그에서 매핑됨
details.Process Information.Process Command Line target.process.command_line 변경 로그에서 매핑됨
details.Process Information.Token Elevation Type security_result.detection_fields 변경 로그에서 매핑됨
details.Target Subject.Account Domain target.administrative_domain 변경 로그에서 매핑됨
details.Target Subject.Account Name target.user.userid 변경 로그에서 매핑됨
details.Target Subject.Logon ID target.user.windows_sid 변경 로그에서 매핑됨
details.Target Subject.Security ID target.user.windows_sid 변경 로그에서 매핑됨
details.Process Information.Process ID principal.process.pid 변경 로그에서 매핑됨
details.Process Information.Process Name principal.process.file.full_path 변경 로그에서 매핑됨
details.Subject.Account Domain principal.administrative_domain 변경 로그에서 매핑됨
details.Subject.Account Name principal.user.userid 변경 로그에서 매핑됨
details.Subject.Logon ID additional.fields 변경 로그에서 매핑됨
details.Subject.Security ID principal.user.windows_sid 변경 로그에서 매핑됨
details.Transaction Information.New State sec_result.detection_fields 변경 로그에서 매핑됨
details.Transaction Information.RM Transaction ID network.session_id 변경 로그에서 매핑됨
details.Transaction Information.Resource Manager target.resource.name 변경 로그에서 매핑됨
details.Additional_Context security_result.detection_fields 변경 로그에서 매핑됨
event_id.id security_result.rule_name 변경 로그에서 매핑됨
computer intermediary.hostname 변경 로그에서 매핑됨
channel security_result.summary 변경 로그에서 매핑됨
Library target.file.full_path 변경 로그에서 매핑됨
ServiceName target.application 변경 로그에서 매핑됨
ServiceFileName target.process.file.full_path 변경 로그에서 매핑됨
ServiceType", "ServiceStartType security_result.detection_fields 변경 로그에서 매핑됨
ServiceAccount target.user.userid 변경 로그에서 매핑됨
IpAddress1 principal.ip 변경 로그에서 매핑됨
hostname_prin principal.hostname 변경 로그에서 매핑됨
Account Name target.yser.userid 변경 로그에서 매핑됨
AttributeSyntaxOID" and "OperationType additional.fields 변경 로그에서 매핑됨
DomainPolicyChanged security_result.detection_fields 변경 로그에서 매핑됨
MemberSid principal.resource.attribute.labels 변경 로그에서 매핑됨
source about.process.command_line 변경 로그에서 매핑됨
task_command principal.process.file.full_path 변경 로그에서 매핑됨
Param1 target.user.userid 변경 로그에서 매핑됨
Param2 principal.administrative_domain 변경 로그에서 매핑됨
Param3 principal.ip 변경 로그에서 매핑됨
SubjectUserName" and "SubjectUserSid additional.fields 변경 로그에서 매핑됨
Hostname additional.fields 변경 로그에서 매핑됨
UserRight", and "AuditSourceName security_result.detection_fields 변경 로그에서 매핑됨
PackageName security_result.detection_fields 변경 로그에서 매핑됨
AgentLogFile additional.fields 변경 로그에서 매핑됨
SubjectAccountName principal.user.userid 변경 로그에서 매핑됨
TargetServerName additional.fields 변경 로그에서 매핑됨
Privileges security_result.detection_fields 변경 로그에서 매핑됨
AccessRight additional.fields 변경 로그에서 매핑됨
ShareName target.file.names 변경 로그에서 매핑됨
LmPackageName target.labels 변경 로그에서 매핑됨
Hostname principal.asset.hostname 변경 로그에서 매핑됨
WorkstationName", "TargetAccountDomain", "SourceAddress", "DSName", "database_name", and "target_hostname target.asset.hostname 변경 로그에서 매핑됨
Properties target.resource.attribute.labels 변경 로그에서 매핑됨
TargetLogonId", "AccessMask", "CertIssuerName", "TicketOptions", "TargetUserName", "AttributeLDAPDisplayName", "AttributeValues", "ObjectDN additional.fields 변경 로그에서 매핑됨
UserID principal.user.userid 변경 로그에서 매핑됨
UserID target.user.userid 변경 로그에서 매핑됨
Event.System.Provider@Name event1.principal.application 변경 로그에서 매핑됨
Event.System.Correlation@ActivityID event1.security_result.detection_fields 변경 로그에서 매핑됨
Event.System.Execution@ProcessID event1.principal.process.pid 변경 로그에서 매핑됨
Event.EventData.Data@SubjectUserName event1.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
Event.EventData.Data@SubjectDomainName event1.idm.read_only_udm.principal.administrative_domain 변경 로그에서 매핑됨
Event.EventData.Data@Workstation event1.idm.read_only_udm.target.hostname 변경 로그에서 매핑됨
Event.EventData.Data@TargetUserName event1.idm.read_only_udm.target.user.userid 변경 로그에서 매핑됨
Event.EventData.Data@TargetDomainName event1.idm.read_only_udm.target.administrative_domain 변경 로그에서 매핑됨
Keywords additional.fields 변경 로그에서 매핑됨
AttributeLDAPDisplayName target.resource.attribute.labels 변경 로그에서 매핑됨
PrincipalDomain principal.administrative_domain 변경 로그에서 매핑됨
PrincipalAccountName principal.user.userid 변경 로그에서 매핑됨
TargetAccountName target.user.userid 변경 로그에서 매핑됨
TargetDomain target.administrative_domain 변경 로그에서 매핑됨
Logon GUID principal.resource.id 변경 로그에서 매핑됨
ProcessID target.process.pid 변경 로그에서 매핑됨
Security_ID", "VirtualAccount", "EventCategory", "ImpersonationLevel", "LinkedLogonID", "NetworkAccountName", "NetworkAccountDomain",and "RestrictedAdminMode security_result.detection_fields 변경 로그에서 매핑됨
LogonID" and "TargetLogonID about.labels 변경 로그에서 매핑됨
AgentDevice additional.fields 변경 로그에서 매핑됨
EventType target.registry.registry_key 변경 로그에서 매핑됨
ProcessId principal.process.pid 변경 로그에서 매핑됨
SourceName target.application 변경 로그에서 매핑됨
ProviderGuid target.resource.product_object_id 변경 로그에서 매핑됨
Account Name principal.user.userid 변경 로그에서 매핑됨
Account Domain principal.administrative_domain 변경 로그에서 매핑됨
Workstation Name principal.hostname 변경 로그에서 매핑됨
Caller Process Id principal.process.pid 변경 로그에서 매핑됨
Source Network Address principal.ip 변경 로그에서 매핑됨
Source Port principal.port 변경 로그에서 매핑됨
Logon Process additional.fields 변경 로그에서 매핑됨
Opcode about.labels 변경 로그에서 매핑됨
ImpersonationLevel about.labels 변경 로그에서 매핑됨
TargetHandleId about.labels 변경 로그에서 매핑됨
RestrictedAdminMode about.labels 변경 로그에서 매핑됨
TargetOutboundDomainName target.user.attribute.labels 변경 로그에서 매핑됨
KeyLength target.labels 변경 로그에서 매핑됨
TargetLogonId target.labels 변경 로그에서 매핑됨
TransmittedServices target.labels 변경 로그에서 매핑됨
TargetLinkedLogonId target.labels 변경 로그에서 매핑됨
VirtualAccount target.labels 변경 로그에서 매핑됨
OldSd target.resource.attribute.labels 변경 로그에서 매핑됨
NewSd target.resource.attribute.labels 변경 로그에서 매핑됨
Channel", "SubjectLogonId", and "ThreadId additional.labels 변경 로그에서 매핑됨
TargetDomainName target.administrative_domain 변경 로그에서 매핑됨
Keywords","Channel","Level","SChannelName","SChannelType","Opcode `` 변경 로그에서 매핑됨
ThreadID target.resource.attribute.labels 변경 로그에서 매핑됨
UserID target.user.windows_sid 변경 로그에서 매핑됨
ProductName" and "ProductVersion metadata.product_version 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.