Coletar logs de eventos do Windows (formato XML)

Compatível com:

Google SecOps SIEM

Observação: esse recurso é coberto pelos Termos de produtos e recursos em pré-GA dos Termos específicos de serviço do Google Security Operations. Os recursos pré-GA podem ter suporte limitado, e as mudanças realizadas podem não ser compatíveis com outras versões pré-GA. Para mais informações, consulte as diretrizes do serviço de suporte técnico do Google SecOps e os Termos específicos de serviço do Google SecOps.
Se esse recurso em fase de pré-lançamento não estiver visível no seu ambiente, consulte Gerenciar recursos em fase de pré-lançamento ou entre em contato com o administrador do sistema.

Neste documento, explicamos como ingerir logs de eventos do Windows no formato XML no Google Security Operations usando o agente do Bindplane.

O log de eventos do Windows (formato XML) contém eventos de segurança, sistema e aplicativos gerados pelo sistema operacional Windows. O agente do BindPlane coleta arquivos de log de eventos do Windows exportados diretamente do sistema de arquivos local.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente com suporte ao serviço observiq-otel-collector
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso de administrador aos hosts do Windows que geram logs de eventos

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja descontinuada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para configurar o exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do Bindplane e gire a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para o fim da vida útil em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.

3. Copie e salve o ID de cliente na seção Detalhes da organização.

   Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço precisa aparecer como RUNNING.

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação atual, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir registros e enviá-los ao Google SecOps

Localize o arquivo de configuração.

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
    filelog:
      include:
        - C:\Logs\winevtlog\*.evtx
      start_at: beginning
  
  exporters:
    chronicle/winevtlog_xml:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: WINEVTLOG_XML
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/winevtlog_xml_to_chronicle:
        receivers:
          - filelog
        exporters:
          - chronicle/winevtlog_xml
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • filelog: o tipo de receptor para coletar arquivos de registro do disco.
  • include: lista de caminhos de arquivo a serem monitorados. Defina como o local em que você exporta os logs de eventos do Windows (por exemplo, C:\Logs\winevtlog\*.evtx).
  • start_at: defina como beginning para ler os registros atuais ou end para ler apenas as novas entradas.

• Configuração do exportador:

  • winevtlog_xml: nome descritivo do exportador.
  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: ID de cliente da etapa anterior.
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.
  • WINEVTLOG_XML: tipo de registro exatamente como aparece no Chronicle
  • ingestion_labels: rótulos opcionais no formato YAML (por exemplo, env: production)

• Configuração do pipeline:

  • winevtlog_xml_to_chronicle: nome descritivo do pipeline.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/winevtlog_xml:
      compression: gzip
      creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: WINEVTLOG_XML
      raw_log_field: body
      ingestion_labels:
        env: production
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for desativada em 20 de julho de 2027.

Salve o arquivo de configuração.

• Depois de editar, salve o arquivo:

  Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças:

• Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize observIQ OpenTelemetry Collector.
    3. Clique com o botão direito do mouse e selecione Restart.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurar a exportação de logs de eventos do Windows

Os logs de eventos do Windows são armazenados em canais como Segurança, Sistema e Aplicativo. É preciso exportar esses registros para arquivos no disco para que o agente do Bindplane possa coletá-los.

1. Crie um diretório para armazenar os arquivos de registro exportados:

   mkdir C:\Logs\winevtlog
   

2. Exporte os logs de eventos do Windows usando wevtutil. É possível exportar qualquer combinação de canais de log de eventos:

   wevtutil epl "Security" C:\Logs\winevtlog\security.evtx
   

   wevtutil epl "System" C:\Logs\winevtlog\system.evtx
   

   wevtutil epl "Application" C:\Logs\winevtlog\application.evtx
   

3. (Opcional) Programe exportações regulares usando o Agendador de Tarefas do Windows:

   $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" C:\Logs\winevtlog\security.evtx /ow:true'
   $trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
   Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportWinEvtLogs" -Description "Export Windows Event logs for Bindplane agent"
   

4. Verifique se os arquivos de registro exportados estão sendo criados em "C:\Logs\winevtlog".

5. Verifique se o caminho do agente do Bindplane include em config.yaml corresponde ao diretório de exportação.

   Observação :use wevtutil el para listar todos os canais de log de eventos disponíveis no host do Windows. A flag /ow:true substitui o arquivo de exportação atual. Ajuste a estratégia de exportação com base nos requisitos de retenção de registros. A conta de serviço do agente do Bindplane precisa ter acesso de leitura ao diretório de exportação.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
EventID	metadata.product_event_type	Valor copiado diretamente
RecordNumber	metadata.product_log_id	Valor copiado diretamente
Mensagem, Descrição, msg	metadata.description	Valor copiado diretamente
	metadata.event_type	Definido dinamicamente com base no conteúdo do evento (por exemplo, NETWORK_CONNECTION, STATUS_UPDATE, NETWORK_DNS, GENERIC_EVENT)
	metadata.product_name	Defina como "Windows".
	metadata.vendor_name	Defina como "Microsoft".
ModuleVersion, ProductVersion	metadata.product_version	Valor copiado diretamente
ProviderGuid	metadata.product_deployment_id	Valor copiado diretamente
Computador, Host, Estação de trabalho, Nome da estação de trabalho	principal.asset.hostname	Valor copiado diretamente
IpAddress, SourceAddress, client_ip	principal.asset.ip	Valor copiado diretamente
Computador, Host, Estação de trabalho, Nome da estação de trabalho	principal.hostname	Valor copiado diretamente
IpAddress, SourceAddress, client_ip	principal.ip	Valor copiado diretamente
SourcePort, LocalPort, Client_port	principal.port	Valor copiado diretamente, convertido em número inteiro
SubjectUserName, AccountName	principal.user.userid	Valor copiado diretamente
SubjectUserSid	principal.user.windows_sid	Valor copiado diretamente
AccountDomain, SubjectDomainName, Domain	principal.administrative_domain	Valor copiado diretamente
Source, SourceName, EventSourceName	principal.application	Valor copiado diretamente
ProviderGuid	principal.asset_id	Prefixo "Provider_GUID:"
SubjectLogonId	principal.labels	Adicionado como rótulo com a chave "SubjectLogonId"
TargetUserName	target.user.userid	Valor copiado diretamente
TargetUserSid	target.user.windows_sid	Valor copiado diretamente
TargetDomainName	target.hostname	Valor copiado diretamente
DestAddress, Destination	target.ip	Valor copiado diretamente
NewProcessName, ProcessName, ObjectName	target.process.file.full_path	Valor copiado diretamente
NewProcessId, ProcessId, TargetProcessId	target.process.pid	Valor copiado diretamente
HostApplication, ServiceName	target.process.command_line	Valor copiado diretamente
MD5	target.process.file.md5	Valor copiado diretamente
SHA1	target.process.file.sha1	Valor copiado diretamente
SHA256	target.process.file.sha256	Valor copiado diretamente
ObjectName, TargetObject	target.registry.registry_value_name	Valor copiado diretamente (para eventos de registro)
Detalhes	target.registry.registry_value_data	Valor copiado diretamente (para eventos de registro)
ObjectType, Task	target.resource.type	Valor copiado diretamente
ObjectName, RuleName	target.resource.name	Valor copiado diretamente
TargetSid, ObjectGUID	target.resource.id	Valor copiado diretamente
ObjectClass	target.resource.resource_subtype	Valor copiado diretamente
LogonType	extensions.auth.auth_details	Prefixo "Tipo de logon:"
	extensions.auth.type	Definido com base no tipo de login (MACHINE, SSO, AUTHTYPE_UNSPECIFIED)
HTTPMethod	network.http.method	Valor copiado diretamente
StatusCode	network.http.response_code	Valor copiado diretamente, convertido em número inteiro
UserAgent	network.http.user_agent	Valor copiado diretamente
	network.application_protocol	Definido como "DNS" para eventos de DNS
	network.direction	Definido como INBOUND ou OUTBOUND com base no contexto do evento
	network.ip_protocol	Definido com base no protocolo (TCP, UDP, ICMP)
Canal	additional.fields	Adicionado como rótulo com a chave "Canal"
ActivityID	additional.fields	Adicionado como rótulo com a chave "ActivityID"
LogonType	additional.fields	Adicionado como rótulo com a chave "LogonType"
Nível	additional.fields	Adicionado como rótulo com a chave "level"
SourceModuleType	observer.application	Valor copiado diretamente
AuthenticationPackageName	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
Status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
agent_eventid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
column4	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de alterações
Logon Account	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
prod_event_type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
EventSourceName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
EventIDQualifiers	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ipv6_zone_index	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
FQDN	event.idm.read_only_udm.target.hostname	Mapeado do registro de alterações
FQDN	event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de alterações
ServiceSid	event.idm.read_only_udm.extensions.auth.auth_details	Mapeado do registro de alterações
details.Object.Handle ID	event.idm.read_only_udm.target.resource.id	Mapeado do registro de alterações
details.New Logon.Logon ID	event.idm.read_only_udm.target.resource.product_object_id	Mapeado do registro de alterações
details.Account Information.Account Domain	event.idm.read_only_udm.target.administrative_domain	Mapeado do registro de alterações
details.Operation.Accesses	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
ElevatedToken	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
elevated_token	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
ReadOperation	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details_Subject_Read_Operation	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
TargetName	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
AccessList	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
ClientProcessStartKey	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
RpcCallClientLocality	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
ServiceName	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
CountOfCredentialsReturned	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
PrivilegeList	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
TargetLinkedLogonId	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
TaskName	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
TaskContentNew	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
details_Logon_Process_Name	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
details_Object_Object_Type	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
details_Object_Object_Server	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
details_Access_Mask	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
details_Object_Object_Name	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
details_Service_Information_Available_Keys	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
ProcessCreationTime	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AdditionalInfo2	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ObjectName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Additional_Information_Parameter_2	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
VirtualAccount	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ReturnCode	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ImpersonationLevel	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TargetLogonId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TicketOptions	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TicketEncryptionType	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
SessionKeyEncryptionType	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Status	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
RequestTicketHash	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ResponseTicketHash	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ServiceSupportedEncryptionTypes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ServiceAvailableKeys	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
DCSupportedEncryptionTypes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
DCAvailableKeys	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ClientAdvertizedEncryptionTypes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details.Privileges	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_New_Logon_Security_ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Additional_Information_Parameter_1	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_New_Logon_Account_Name	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_New_Logon_Linked_Logon_ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
impersonation_level	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
correlation_activity_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Account_Information_Account_Name	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Account_Information_Logon_GUID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Operation_Operation_Type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_additional_information_failure_code	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Additional_Information_Ticket_Options	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Additional_Information_Ticket_Encryption_Type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Additional_Information_Session_Encryption_Type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Domain_Controller_Information_Available_Keys	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Domain_Controller_Information_MSDS_SupportedEncryptionTypes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Service_Information_Service_ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
network_information_client_port	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details.Network_Information.Advertized_Etypes	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
response_ticket_hash	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
request_ticket_hash	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details_Subject_Logon_ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
network_information_client_address	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
network_information_client_address	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
ClientProcessId	event.idm.read_only_udm.target.process.pid	Mapeado do registro de alterações
ParentProcessId	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
details_Service_Information_Service_Name	event.idm.read_only_udm.target.application	Mapeado do registro de alterações
SourceName	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de alterações
Source	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de alterações
provider.name	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de alterações
prod_name	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de alterações
EventSourceName	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de alterações
NewProcessId	event.idm.read_only_udm.target.process.pid	Mapeado do registro de alterações
details.Network Information.Source Network Address	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
details.Network Information.Source Network Address	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
details.Account For Which Logon Failed.Security ID	event.idm.read_only_udm.target.user.product_object_id	Mapeado do registro de alterações
details.Detailed Authentication Information.Logon Process	event.idm.read_only_udm.principal.process.file.full_path	Mapeado do registro de alterações
details.Failure Information.Failure Reason	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
event_id.qualifiers	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TargetUserSid	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
WorkstationName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
LogonType	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AuthenticationPackageName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
KeyLength	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
LogonProcessName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details.Network Information.Source Port	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details.Account For Which Logon Failed.Account Name	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Msg_1	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
details.Account For Which Logon Failed.Account Domain	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
version	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Detailed Authentication Information.Key Length	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
keywords	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Detailed Authentication Information.Authentication Package	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Failure Information.Status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Failure Information.Sub Status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Process Information.Caller Process ID	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Subject.Security ID	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
details.Network Information.Workstation Name	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
SamAccountName	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
UserPrincipalName	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
HomeDirectory	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
HomePath	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
ScriptPath	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
ProfilePath	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
UserWorkstations	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
PasswordLastSet	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
AccountExpires	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
PrimaryGroupId	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
AllowedToDelegateTo	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
OldUacValue	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
NewUacValue	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
UserAccountControl	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
UserParameters	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
LogonHours	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
ServicePrincipalNames	event.idm.read_only_udm.target.user.attribute.labels	Mapeado do registro de alterações
DisplayName	event.idm.read_only_udm.target.user.user_display_name	Mapeado do registro de alterações
UserPrincipalName	event.idm.read_only_udm.target.user.email_addresses	Mapeado do registro de alterações
DnsHostName	event.idm.read_only_udm.target.hostname	Mapeado do registro de alterações
DnsHostName	event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de alterações
EventReceivedTime	event.idm.read_only_udm.metadata.collected_timestamp	Mapeado do registro de alterações
SourceModuleName	event.idm.read_only_udm.principal.resource.name	Mapeado do registro de alterações
Opcode	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
ComputerAccountChange	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
ProcessID	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
ThreadID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
SeverityValue	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Category	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PrivilegeList	event.idm.read_only_udm.principal.user.attribute.labels	Mapeado do registro de alterações
SourceName	event.idm.read_only_udm.principal.application	Mapeado do registro de alterações
EventIdx	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
EventCountTotal	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
record.owner	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
record.logGroup	event.idm.read_only_udm.security_result.about.resource.name	Mapeado do registro de alterações
record.logStream	event.idm.read_only_udm.security_result.about.resource.attribute.labels	Mapeado do registro de alterações
Provider	event.idm.read_only_udm.security_result.about.resource.attribute.labels	Mapeado do registro de alterações
record.messageType	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
OldSd	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
NewSd	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
logEvent.id	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de alterações
Address	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AddressLength	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Keyword	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
BinaryId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Opcode	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
param1	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
param2	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PrivilegeList	event.idm.read_only_udm.target.resource.resource_subtype	Mapeado do registro de alterações
Version	event.idm.read_only_udm.metadata.product_version	Mapeado do registro de alterações
Channel_type	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
TimeGenerated	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
SystemProcessId	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
EventRecordId	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de alterações
SourceComputerId	event.idm.read_only_udm.principal.asset.asset_id	Mapeado do registro de alterações
ManagementGroupName	event.idm.read_only_udm.principal.group.group_display_name	Mapeado do registro de alterações
SystemThreadId	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
EventLevelName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TenantId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
LogonTypeName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Activity	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
MG	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
_SubscriptionId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
_ItemId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
_IsBillable	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
_BilledSize	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
_Internal_WorkspaceResourceId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TimeCollected	event.idm.read_only_udm.metadata.collected_timestamp	Mapeado do registro de alterações
SystemUserId	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
_ResourceId	event.idm.read_only_udm.principal.resource.product_object_id	Mapeado do registro de alterações
EventSourceName	event.idm.read_only_udm.target.application	Mapeado do registro de alterações
EventOriginId	event.idm.read_only_udm.target.process.product_specific_process_id	Mapeado do registro de alterações
SourceSystem	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
OldTargetUserName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
NewTargetUserName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
NewTargetUserName	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
SAM Account Name	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
Display Name	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
User Workstations	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
Account Expires	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
Primary Group ID	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
DNS Host Name	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de alterações
User Principal Name	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Service Principal Names	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
Home Directory	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Home Drive	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Script Path	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Profile Path	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AllowedToDelegateTo	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Old UAC Value	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
New UAC Value	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
User Account Control	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
User Parameters	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
SID History	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Logon Hours	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
additional_information	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Description_data	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Version	event1.idm.read_only_udm.metadata.product_version	Mapeado do registro de alterações
UserName	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
param1	event.idm.read_only_udm.target.application	Mapeado do registro de alterações
param3	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
param4	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
sourceHealthServiceId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
/Event[%{index}]/TaskName	event.idm.read_only_udm.target.resource.name	Mapeado do registro de alterações
computer	event.idm.read_only_udm.principal.hostname	Mapeado do registro de alterações
computer	event.idm.read_only_udm.principal.asset.hostname	Mapeado do registro de alterações
SubjectUserSid	event.idm.read_only_udm.principal.user.windows_sid	Mapeado do registro de alterações
IpAddress	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
IpAddress	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
IpPort	event.idm.read_only_udm.principal.port	Mapeado do registro de alterações
LogonGuid	event.idm.read_only_udm.principal.resource.product_object_id	Mapeado do registro de alterações
ProcessId	event.idm.read_only_udm.target.process.pid	Mapeado do registro de alterações
ProcessName	event.idm.read_only_udm.target.process.file.full_path	Mapeado do registro de alterações
SubjectDomainName	event.idm.read_only_udm.principal.administrative_domain	Mapeado do registro de alterações
SubjectUserName	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
SubjectLogonId	event.idm.read_only_udm.principal.labels	Mapeado do registro de alterações
TargetDomainName	event.idm.read_only_udm.target.administrative_domain	Mapeado do registro de alterações
TargetUserName	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
TargetServerName	event.idm.read_only_udm.target.hostname	Mapeado do registro de alterações
TargetLogonGuid	event.idm.read_only_udm.target.resource.product_object_id	Mapeado do registro de alterações
TargetInfo	event.idm.read_only_udm.target.labels	Mapeado do registro de alterações
execution.process_id	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
provider.guid	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de alterações
system_time	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
execution.thread_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
provider.name	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
record_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
task	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
opcode	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ServiceFileName	event1.idm.read_only_udm.target.file.full_path	Mapeado do registro de alterações
Computer	event1.idm.read_only_udm.principal.hostname e event1.idm.read_only_udm.principal.asset.hostname	Mapeado do registro de mudanças
OriginatingComputer	event1.idm.read_only_udm.principal.ip e event1.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
AccountName	event1.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
ServiceAccount	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ProviderName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
loggingSourceName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Pid	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
Description	event.idm.read_only_udm.metadata.description	Mapeado do registro de alterações
EventTickCount	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ProductVersion	event.idm.read_only_udm.metadata.product_version	Mapeado do registro de alterações
ActivityID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ModuleVersion	event.idm.read_only_udm.metadata.product_version	Mapeado do registro de alterações
AppPath	event.idm.read_only_udm.target.file.full_path	Mapeado do registro de alterações
QXID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
GUID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Flags	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
CacheScope	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
RecursionScope	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
RD	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Port	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Source	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
Source	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
InterfaceIP	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de alterações
cat	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
SecurityId	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AccountName	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
LogonId	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
HandleId	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
OperationType	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
NewValueType	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
OldValueType	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
OldValue	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
application	event1.idm.read_only_udm.principal.application	Mapeado do registro de alterações
message	event1.idm.read_only_udm.metadata.description	Mapeado do registro de alterações
AccountDomain	event1.idm.read_only_udm.principal.administrative_domain	Mapeado do registro de alterações
ProcessName	event1.idm.read_only_udm.principal.process.file.full_path	Mapeado do registro de alterações
xmlns	event1.idm.read_only_udm.principal.url	Mapeado do registro de alterações
SourceName	event1.idm.read_only_udm.principal.application	Mapeado do registro de alterações
ProviderGuid	event1.idm.read_only_udm.principal.asset_id	Mapeado do registro de alterações
powershell_command	event.idm.read_only_udm.security_result.about.process.command_line	Mapeado do registro de alterações
scriptblock_id	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
Destination	event1.idm.read_only_udm.target.ip	Mapeado do registro de alterações
Destination	event1.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
qname	event1.idm.read_only_udm.network.dns.questions.name	Mapeado do registro de alterações
qtype	event1.idm.read_only_udm.network.dns.questions.type	Mapeado do registro de alterações
InterfaceIP	event1.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
InterfaceIP	event1.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
Flags	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
zone	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
xid	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
dnssec	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
PacketData	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
BufferSize	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
rcode	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AA	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
TCP	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ElapsedTime	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AD	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
AdditionalInfo	event1.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
port	event1.idm.read_only_udm.target.port	Mapeado do registro de alterações
rcode	event1.idm.read_only_udm.network.dns.response_code	Mapeado do registro de alterações
SECURITY_ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ingestion_source	metadata.ingestion_labels	Mapeado do registro de alterações
details.Creator Subject.Account Domain	principal.administrative_domain	Mapeado do registro de alterações
details.Creator Subject.Logon ID	additional.fields	Mapeado do registro de alterações
details.Creator Subject.Account Name	principal.user.userid	Mapeado do registro de alterações
details.Creator Subject.Security ID	principal.user.windows_sid	Mapeado do registro de alterações
details.Process Information.Creator Process ID	principal.process.pid	Mapeado do registro de alterações
details.Process Information.Creator Process Name	principal.process.file.full_path	Mapeado do registro de alterações
details.Process Information.Mandatory Label	target.labels	Mapeado do registro de alterações
details.Process Information.New Process ID	target.process.pid	Mapeado do registro de alterações
details.Process Information.New Process Name	target.process.file.full_path	Mapeado do registro de alterações
details.Process Information.Process Command Line	target.process.command_line	Mapeado do registro de alterações
details.Process Information.Token Elevation Type	security_result.detection_fields	Mapeado do registro de alterações
details.Target Subject.Account Domain	target.administrative_domain	Mapeado do registro de alterações
details.Target Subject.Account Name	target.user.userid	Mapeado do registro de alterações
details.Target Subject.Logon ID	target.user.windows_sid	Mapeado do registro de alterações
details.Target Subject.Security ID	target.user.windows_sid	Mapeado do registro de alterações
details.Process Information.Process ID	principal.process.pid	Mapeado do registro de alterações
details.Process Information.Process Name	principal.process.file.full_path	Mapeado do registro de alterações
details.Subject.Account Domain	principal.administrative_domain	Mapeado do registro de alterações
details.Subject.Account Name	principal.user.userid	Mapeado do registro de alterações
details.Subject.Logon ID	additional.fields	Mapeado do registro de alterações
details.Subject.Security ID	principal.user.windows_sid	Mapeado do registro de alterações
details.Transaction Information.New State	sec_result.detection_fields	Mapeado do registro de alterações
details.Transaction Information.RM Transaction ID	network.session_id	Mapeado do registro de alterações
details.Transaction Information.Resource Manager	target.resource.name	Mapeado do registro de alterações
details.Additional_Context	security_result.detection_fields	Mapeado do registro de alterações
event_id.id	security_result.rule_name	Mapeado do registro de alterações
computer	intermediary.hostname	Mapeado do registro de alterações
channel	security_result.summary	Mapeado do registro de alterações
Library	target.file.full_path	Mapeado do registro de alterações
ServiceName	target.application	Mapeado do registro de alterações
ServiceFileName	target.process.file.full_path	Mapeado do registro de alterações
ServiceType", "ServiceStartType	security_result.detection_fields	Mapeado do registro de alterações
ServiceAccount	target.user.userid	Mapeado do registro de alterações
IpAddress1	principal.ip	Mapeado do registro de alterações
hostname_prin	principal.hostname	Mapeado do registro de alterações
Account Name	target.yser.userid	Mapeado do registro de alterações
AttributeSyntaxOID" and "OperationType	additional.fields	Mapeado do registro de alterações
DomainPolicyChanged	security_result.detection_fields	Mapeado do registro de alterações
MemberSid	principal.resource.attribute.labels	Mapeado do registro de alterações
source	about.process.command_line	Mapeado do registro de alterações
task_command	principal.process.file.full_path	Mapeado do registro de alterações
Param1	target.user.userid	Mapeado do registro de alterações
Param2	principal.administrative_domain	Mapeado do registro de alterações
Param3	principal.ip	Mapeado do registro de alterações
SubjectUserName" and "SubjectUserSid	additional.fields	Mapeado do registro de alterações
Hostname	additional.fields	Mapeado do registro de alterações
UserRight", and "AuditSourceName	security_result.detection_fields	Mapeado do registro de alterações
PackageName	security_result.detection_fields	Mapeado do registro de alterações
AgentLogFile	additional.fields	Mapeado do registro de alterações
SubjectAccountName	principal.user.userid	Mapeado do registro de alterações
TargetServerName	additional.fields	Mapeado do registro de alterações
Privileges	security_result.detection_fields	Mapeado do registro de alterações
AccessRight	additional.fields	Mapeado do registro de alterações
ShareName	target.file.names	Mapeado do registro de alterações
LmPackageName	target.labels	Mapeado do registro de alterações
Hostname	principal.asset.hostname	Mapeado do registro de alterações
WorkstationName", "TargetAccountDomain", "SourceAddress", "DSName", "database_name", and "target_hostname	target.asset.hostname	Mapeado do registro de alterações
Properties	target.resource.attribute.labels	Mapeado do registro de alterações
TargetLogonId", "AccessMask", "CertIssuerName", "TicketOptions", "TargetUserName", "AttributeLDAPDisplayName", "AttributeValues", "ObjectDN	additional.fields	Mapeado do registro de alterações
UserID	principal.user.userid	Mapeado do registro de alterações
UserID	target.user.userid	Mapeado do registro de alterações
Event.System.Provider@Name	event1.principal.application	Mapeado do registro de alterações
Event.System.Correlation@ActivityID	event1.security_result.detection_fields	Mapeado do registro de alterações
Event.System.Execution@ProcessID	event1.principal.process.pid	Mapeado do registro de alterações
Event.EventData.Data@SubjectUserName	event1.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
Event.EventData.Data@SubjectDomainName	event1.idm.read_only_udm.principal.administrative_domain	Mapeado do registro de alterações
Event.EventData.Data@Workstation	event1.idm.read_only_udm.target.hostname	Mapeado do registro de alterações
Event.EventData.Data@TargetUserName	event1.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
Event.EventData.Data@TargetDomainName	event1.idm.read_only_udm.target.administrative_domain	Mapeado do registro de alterações
Keywords	additional.fields	Mapeado do registro de alterações
AttributeLDAPDisplayName	target.resource.attribute.labels	Mapeado do registro de alterações
PrincipalDomain	principal.administrative_domain	Mapeado do registro de alterações
PrincipalAccountName	principal.user.userid	Mapeado do registro de alterações
TargetAccountName	target.user.userid	Mapeado do registro de alterações
TargetDomain	target.administrative_domain	Mapeado do registro de alterações
Logon GUID	principal.resource.id	Mapeado do registro de alterações
ProcessID	target.process.pid	Mapeado do registro de alterações
Security_ID", "VirtualAccount", "EventCategory", "ImpersonationLevel", "LinkedLogonID", "NetworkAccountName", "NetworkAccountDomain",and "RestrictedAdminMode	security_result.detection_fields	Mapeado do registro de alterações
LogonID" and "TargetLogonID	about.labels	Mapeado do registro de alterações
AgentDevice	additional.fields	Mapeado do registro de alterações
EventType	target.registry.registry_key	Mapeado do registro de alterações
ProcessId	principal.process.pid	Mapeado do registro de alterações
SourceName	target.application	Mapeado do registro de alterações
ProviderGuid	target.resource.product_object_id	Mapeado do registro de alterações
Account Name	principal.user.userid	Mapeado do registro de alterações
Account Domain	principal.administrative_domain	Mapeado do registro de alterações
Workstation Name	principal.hostname	Mapeado do registro de alterações
Caller Process Id	principal.process.pid	Mapeado do registro de alterações
Source Network Address	principal.ip	Mapeado do registro de alterações
Source Port	principal.port	Mapeado do registro de alterações
Logon Process	additional.fields	Mapeado do registro de alterações
Opcode	about.labels	Mapeado do registro de alterações
ImpersonationLevel	about.labels	Mapeado do registro de alterações
TargetHandleId	about.labels	Mapeado do registro de alterações
RestrictedAdminMode	about.labels	Mapeado do registro de alterações
TargetOutboundDomainName	target.user.attribute.labels	Mapeado do registro de alterações
KeyLength	target.labels	Mapeado do registro de alterações
TargetLogonId	target.labels	Mapeado do registro de alterações
TransmittedServices	target.labels	Mapeado do registro de alterações
TargetLinkedLogonId	target.labels	Mapeado do registro de alterações
VirtualAccount	target.labels	Mapeado do registro de alterações
OldSd	target.resource.attribute.labels	Mapeado do registro de alterações
NewSd	target.resource.attribute.labels	Mapeado do registro de alterações
Channel", "SubjectLogonId", and "ThreadId	additional.labels	Mapeado do registro de alterações
TargetDomainName	target.administrative_domain	Mapeado do registro de alterações
Keywords","Channel","Level","SChannelName","SChannelType","Opcode	``	Mapeado do registro de alterações
ThreadID	target.resource.attribute.labels	Mapeado do registro de alterações
UserID	target.user.windows_sid	Mapeado do registro de alterações
ProductName" and "ProductVersion	metadata.product_version	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.