检测事件抽样

支持的平台：

多事件规则的检测结果包含事件样本，这些样本可提供有关触发提醒的事件的背景信息。规则中定义的每个事件变量最多可包含 10 个事件样本。例如，如果某条规则定义了 2 个事件变量，则每次检测最多可以有 20 个事件样本。此限制分别适用于每个事件变量。如果一个事件变量在此检测中有 2 个适用事件，而另一个事件变量有 10 个适用事件，则检测结果包含 12 个事件样本（2 + 10）。

检测时会忽略任何超出限制的事件样本。

如果您想详细了解导致检测结果的事件，可以使用结果部分中的聚合功能在检测结果中输出更多信息。

如果您在界面中查看检测结果，可以下载检测结果的所有事件样本。如需了解详情，请参阅下载活动。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。