检测事件抽样

支持的平台：

多事件规则的检测结果包含事件样本，这些样本提供了触发提醒的事件的相关背景信息。规则中定义的每个事件变量最多可包含 10 个事件样本。例如，如果某条规则定义了 2 个事件变量，则每次检测最多可以有 20 个事件样本。此限制分别适用于每个事件变量。如果一个事件变量在此检测中有 2 个适用事件，而另一个事件变量有 10 个适用事件，则生成的检测包含 12 个事件样本（2 + 10）。

系统会在检测中忽略超出限额的所有事件样本。

如果您想详细了解导致检测的事件，可以使用结果部分中的聚合功能在检测中输出更多信息。

如果您在界面中查看检测结果，则可以下载检测结果的所有事件样本。如需了解详情，请参阅下载事件。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。