收集 Cisco Secure Email Gateway (舊稱 Email Security Appliance) 記錄

剖析器版本：12.0

支援的服務：

本文說明如何使用 Bindplane，將 Cisco Secure Email Gateway (舊稱 Email Security Appliance) 記錄擷取至 Google Security Operations。

剖析器會從 Cisco Secure Email Gateway syslog、鍵/值和 JSON 格式的記錄中擷取欄位。它會使用 grok 和/或 kv 剖析記錄訊息，然後將這些值對應至統合式資料模型 (UDM)。並設定事件來源和類型的預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
  • 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
  • Cisco Secure Email Gateway 網頁介面的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

  • 新部署作業：使用 Chronicle API (選項 1)。
  • 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。
  1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
  2. 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  3. 按一下「建立服務帳戶」。
  4. 提供下列設定詳細資料：
    • 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
    • 服務帳戶說明：輸入說明 (例如 Bindplane agent log ingestion)。
  5. 點按「Create and continue」(建立並繼續)。
  6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
  7. 依序點選「繼續」和「完成」。
  8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
  9. 依序點選「新增金鑰」>「建立新的金鑰」。
  10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
  11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 為 /opt/observiq-otel-collector/ingestion-auth.json，Windows 為 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存檔案的路徑相符。
  12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。
  3. 下載擷取驗證檔案。
  4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」 > 「設定檔」。
  3. 複製並儲存「機構詳細資料」部分的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟命令提示字元或 PowerShell。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

服務應顯示為「RUNNING」。

安裝 Linux

  1. 開啟具有根層級或 sudo 權限的終端機。

  2. 執行下列指令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sudo systemctl status observiq-otel-collector

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理，擷取系統記錄檔並傳送至 Google SecOps

找出設定檔

  • 根據作業系統找出設定檔，方法如下：

    • Linux：
    sudo nano /opt/observiq-otel-collector/config.yaml
    • Windows：
    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的全部內容替換為下列設定：

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

設定參數

替換下列預留位置：

  • 接收器設定：

    • tcplog：使用 udplog (適用於 UDP 系統記錄) 或 tcplog (適用於 TCP 系統記錄)
    • 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
    • 514：要監聽的通訊埠編號 (標準 syslog 通訊埠)

  • Exporter 設定：

    • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID：取得客戶 ID 一節中的客戶 ID
    • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
    • project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
    • endpoint：維持設為 chronicle.googleapis.com。
    • log_type：記錄類型，與 Google SecOps (CISCO_EMAIL_SECURITY) 中顯示的完全相同

舊版擷取 API 匯出工具

  • 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

儲存設定檔

  • 編輯完畢後，請儲存檔案：
    • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 執行下列指令：

    sudo systemctl restart observiq-otel-collector

  2. 確認服務是否正在執行：

    sudo systemctl status observiq-otel-collector

  3. 檢查記錄是否有錯誤：

    sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出「observIQ OpenTelemetry Collector」。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務是否正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Cisco Secure Email Gateway 上設定 Syslog 轉送

  1. 登入 Cisco Secure Email Gateway 網頁介面。
  2. 依序前往「系統管理」>「記錄訂閱」。
  3. 按一下「Add Log Subscription」(新增記錄訂閱項目)。
  4. 請提供下列設定詳細資料：
    • Log Type：選取要轉送的記錄類型，例如「Consolidated Event Logs」、「Mail Logs」、「Text Mail Logs」。
    • 名稱：輸入描述性名稱 (例如 Google-SecOps-Syslog)。
    • 擷取方法：選取「Syslog Push」。
    • Hostname：輸入 Bindplane 代理程式主機的 IP 位址。
    • 「通訊協定」：選取「TCP」。
    • 「Port」(通訊埠)：輸入 514。
    • Facility：選取「LOG_MAIL」 (或偏好的設施)。
  5. 按一下「提交」。
  6. 如要轉送其他記錄類型，請重複執行步驟 3 到 5。建議的記錄類型：
    • 整合事件記錄
    • 文字郵件記錄
    • 防垃圾郵件記錄
    • 防毒記錄
    • AMP 引擎記錄
    • 內容篩選器記錄
  7. 按一下「Commit Changes」，套用設定。
  8. 檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位 UDM 對應 邏輯
acl_decision_tag read_only_udm.security_result.detection_fields.value 如果不是空白、「-」或「NONE」，則直接對應。鍵為「ACL Decision Tag」。
access_or_decryption_policy_group read_only_udm.security_result.detection_fields.value 如果不是空白、"-" 或「NONE」，則直接對應。金鑰為「AccessOrDecryptionPolicyGroup」。
act read_only_udm.security_result.action_details 直接對應。
authenticated_user read_only_udm.principal.user.userid 如果不是空白、「-」或「NONE」，則直接對應。
cache_hierarchy_retrieval read_only_udm.security_result.detection_fields.value 如果不是空白、「-」或「NONE」，則直接對應。鍵為「Cache Hierarchy Retrieval」。
cipher read_only_udm.network.tls.cipher 直接對應。
國家/地區 read_only_udm.principal.location.country_or_region 直接對應。
data_security_policy_group read_only_udm.security_result.detection_fields.value 如果不是空白、"-" 或「NONE」，則直接對應。機碼為「DataSecurityPolicyGroup」。
說明 read_only_udm.metadata.description 直接對應 syslog 訊息。如果是 CEF 訊息，則會成為整體產品說明。各種 grok 模式會根據 product_event 擷取特定說明。部分說明會由 gsub 修改，移除開頭/結尾的空格和冒號。
deviceDirection read_only_udm.network.direction 如果為「0」，則對應至「INBOUND」。如果為「1」，則對應至「OUTBOUND」。用於判斷要直接對應哪些 TLS 加密和通訊協定，以及要將哪些對應為標籤。
deviceExternalId read_only_udm.principal.asset.asset_id 對應為「裝置 ID：」。
網域 read_only_udm.target.administrative_domain 直接從 JSON 記錄對應。
domain_age read_only_udm.security_result.about.labels.value 直接對應。鍵為「YoungestDomainAge」。
duser read_only_udm.target.user.email_addresses, read_only_udm.network.email.to 如果包含「;」，請分割成多個電子郵件地址，並將每個地址對應至兩個 UDM 欄位。否則，如果電子郵件地址有效，請直接對應至這兩個 UDM 欄位。如果 network_to 為空白，也會用於填入 network_to。
dvc read_only_udm.target.ip 直接對應。
entries.collection_time.nanos、entries.collection_time.seconds read_only_udm.metadata.event_timestamp.nanos, read_only_udm.metadata.event_timestamp.seconds 用於建構事件時間戳記。
env-from read_only_udm.additional.fields.value.string_value 直接對應。金鑰為「Env-From」。
ESAAttachmentDetails read_only_udm.security_result.about.file.full_path, read_only_udm.security_result.about.file.sha256 並剖析以擷取檔案名稱和 SHA256 雜湊。可擷取多個檔案和雜湊。
ESADCID read_only_udm.security_result.about.labels.value 直接對應。鍵為「ESADCID」。
ESAFriendlyFrom read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from 系統會剖析這項資訊，擷取顯示名稱和電子郵件地址。
ESAHeloDomain read_only_udm.intermediary.administrative_domain 直接對應。
ESAHeloIP read_only_udm.intermediary.ip 直接對應。
ESAICID read_only_udm.security_result.about.labels.value 直接對應。金鑰為「ESAICID」。
ESAMailFlowPolicy read_only_udm.security_result.rule_name 直接對應。
ESAMID read_only_udm.security_result.about.labels.value 直接對應。金鑰為「ESAMID」。
ESAReplyTo read_only_udm.network.email.reply_to 如果電子郵件地址有效，則直接對應。也用於填入 network_to。
ESASDRDomainAge read_only_udm.security_result.about.labels.value 直接對應。金鑰為「ESASDRDomainAge」。
ESASenderGroup read_only_udm.principal.group.group_display_name 直接對應。
ESAStatus read_only_udm.security_result.about.labels.value 直接對應。鍵為「ESAStatus」。
ESATLSInCipher read_only_udm.network.tls.cipher 或 read_only_udm.security_result.about.labels.value 如果 deviceDirection 為「0」，則直接對應至密碼。否則，系統會將其對應為鍵為「ESATLSInCipher」的標籤。
ESATLSInProtocol read_only_udm.network.tls.version 或 read_only_udm.security_result.about.labels.value 如果 deviceDirection 為「0」，系統會直接擷取並對應 TLS 版本。否則會對應為鍵為「ESATLSInProtocol」的標籤。
ESATLSOutCipher read_only_udm.network.tls.cipher 或 read_only_udm.security_result.about.labels.value 如果 deviceDirection 為「1」，則直接對應至密碼。否則，系統會將其對應為鍵為「ESATLSOutCipher」的標籤。
ESATLSOutProtocol read_only_udm.network.tls.version 或 read_only_udm.security_result.about.labels.value 如果 deviceDirection 為「1」，系統會直接擷取並對應 TLS 版本。否則，系統會將其對應為鍵為「ESATLSOutProtocol」的標籤。
ESAURLDetails read_only_udm.target.url 系統會剖析並擷取網址。由於欄位不會重複，因此只會對應第一個網址。
external_dlp_policy_group read_only_udm.security_result.detection_fields.value 如果不是空白、「-」或「NONE」，則會直接對應。鍵為「ExternalDlpPolicyGroup」。
ExternalMsgID read_only_udm.security_result.about.labels.value 移除單引號和角括號後直接對應。鍵為「ExternalMsgID」。
來自 read_only_udm.network.email.from 如果電子郵件地址有效，則直接對應。也用於填入 network_from。
host.hostname read_only_udm.principal.hostname 或 read_only_udm.intermediary.hostname 如果主機欄位無效，則會對應至主體主機名稱。也會對應至中介主機名稱。
host.ip read_only_udm.principal.ip 或 read_only_udm.intermediary.ip 如果 JSON 記錄中未設定 ip 欄位，則會對應至主體 IP。也會對應至中介 IP。
主機名稱 read_only_udm.target.hostname 直接對應。
http_method read_only_udm.network.http.method 直接對應。
http_response_code read_only_udm.network.http.response_code 直接對應並轉換為整數。
identity_policy_group read_only_udm.security_result.detection_fields.value 如果不是空白、「-」或「NONE」，則會直接對應。鍵為「IdentityPolicyGroup」。
ip read_only_udm.principal.ip 直接對應。如有 source_ip，則會覆寫此值。
kv_msg 多項政策 使用 kv 篩選器剖析。預先處理包括將鍵前面的空格替換為「#」，以及交換 csLabel 值。
log_type read_only_udm.metadata.log_type 硬式編碼為「CISCO_EMAIL_SECURITY」。
loglevel read_only_udm.security_result.severity, read_only_udm.security_result.action 用來判斷嚴重程度和採取行動。「Info」、「」、「Debug」、「Trace」會對應至「INFORMATIONAL」和「ALLOW」。「警告」對應至「中」和「允許」。「高」對應至「HIGH」和「BLOCK」。「Critical」和「Alert」對應至「CRITICAL」、「BLOCK」。
mail_id read_only_udm.network.email.mail_id 直接從 JSON 記錄對應。
mailto read_only_udm.target.user.email_addresses, read_only_udm.network.email.to 如果電子郵件地址有效，則直接對應至兩個 UDM 欄位。
MailPolicy read_only_udm.security_result.about.labels.value 直接對應。機碼為「MailPolicy」。
訊息 多項政策 如果可以，系統會剖析為 JSON。否則，系統會將其視為 syslog 訊息處理。
message_id read_only_udm.network.email.mail_id 直接對應。也用於填入 network_data。
msg read_only_udm.network.email.subject 在 UTF-8 解碼並移除歸位元、換行符號和多餘引號後，直接對應。也用於填入 network_data。
msg1 多項政策 使用 kv 篩選器剖析。用於擷取主機名稱、helo、env-from 和 reply-to。
outbound_malware_scanning_policy_group read_only_udm.security_result.detection_fields.value 如果不是空白、"-" 或「NONE」，則直接對應。機碼為「DataSecurityPolicyGroup」。
通訊埠 read_only_udm.target.port 直接對應並轉換為整數。
principalMail read_only_udm.principal.user.email_addresses 直接對應。
principalUrl read_only_udm.principal.url 直接對應。
product_event read_only_udm.metadata.product_event_type 直接對應。用於判斷要套用哪些 grok 模式。系統會移除開頭的「%」字元。「amp」已取代為「SIEM_AMPenginelogs」。
product_version read_only_udm.metadata.product_version 直接對應。
通訊協定 read_only_udm.network.tls.version 直接對應。
received_bytes read_only_udm.network.received_bytes 直接對應並轉換為不帶正負號的整數。
回覆 read_only_udm.additional.fields.value.string_value 直接對應。鍵為「Reply-To」。
信譽 read_only_udm.security_result.confidence_details 直接對應。
request_method_uri read_only_udm.target.url 直接對應。
result_code read_only_udm.security_result.detection_fields.value 直接對應。鍵為「Result Code」。
routing_policy_group read_only_udm.security_result.detection_fields.value 如果不是空白、"-" 或「NONE」，則直接對應。金鑰為「RoutingPolicyGroup」。
規則 read_only_udm.security_result.detection_fields.value 直接對應。鍵為「符合的條件」。
SDRThreatCategory read_only_udm.security_result.threat_name 如果不是空白或「不適用」，則直接對應。
SenderCountry read_only_udm.principal.location.country_or_region 直接對應。
senderGroup read_only_udm.principal.group.group_display_name 直接對應。
security_description read_only_udm.security_result.description 直接對應。
security_email read_only_udm.security_result.about.email 或 read_only_udm.principal.hostname 如果電子郵件地址有效，則會對應至電子郵件。否則，系統會使用 grok 擷取，然後對應至主機名稱。
來源 read_only_udm.network.ip_protocol 如果包含「tcp」，則對應至「TCP」。
sourceAddress read_only_udm.principal.ip 直接對應。
sourceHostName read_only_udm.principal.administrative_domain 如果不是「unknown」，則直接對應。
source_ip read_only_udm.principal.ip 直接對應。如有 IP，則會覆寫。
主旨 read_only_udm.network.email.subject 移除結尾句號後直接對應。也用於填入 network_data。
suser read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address 如果電子郵件地址有效，則直接對應至兩個 UDM 欄位。
target_ip read_only_udm.target.ip 直接對應。
至 read_only_udm.network.email.to 如果電子郵件地址有效，則直接對應。也用於填入 network_to。
total_bytes read_only_udm.network.sent_bytes 直接對應並轉換為不帶正負號的整數。
trackerHeader read_only_udm.additional.fields.value.string_value 直接對應。金鑰為「追蹤器標頭」。
ts、ts1、year read_only_udm.metadata.event_timestamp.seconds 用於建構事件時間戳記。如果 ts1 存在，則會與 year 合併。系統支援各種格式，包括有年份和沒有年份的格式。如未提供年份，則會使用當前年份。硬式編碼為「Cisco」。硬式編碼為「Cisco Email Security」。預設為「ALLOW」。根據記錄層級或說明設為「BLOCK」。如果存在 application_protocol，則預設為「INBOUND」。根據 CEF 訊息的 deviceDirection 設定。根據多個欄位組合決定，包括 network_from、network_to、target_ip、ip、description、event_type、principal_host、Hostname、user_id 和 sourceAddress。預設為「GENERIC_EVENT」。如果 application_protocol 為「SMTP」或「smtp」，或如果 target_ip 和 ip 存在，則設為「SMTP」。如果 sshd 記錄中含有 login_status 和 user_id，請設為「AUTHTYPE_UNSPECIFIED」。如果記錄層級為「Critical」或「Alert」，請設為 true。
deviceInboundInterface event.idm.read_only_udm.additional.fields 從變更記錄對應
dvc event.idm.read_only_udm.intermediary.ip 和 event.idm.read_only_udm.intermediary.asset.ip 從變更記錄對應
ESAHeloIP event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
startTime event.idm.read_only_udm.metadata.collected_timestamp 從變更記錄對應
endTime event.idm.read_only_udm.additional.fields 從變更記錄對應
deviceDirection event.idm.read_only_udm.additional.fields 從變更記錄對應
ESAOFVerdict event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
ESADLPVerdict event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
ESAMFVerdict event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
ESATLSOutConnStatus event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
host event.idm.read_only_udm.principal.hostname 從變更記錄對應
host event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
ts_year event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
start event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
src event.idm.read_only_udm.principal.ip 從變更記錄對應
src event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
shost event.idm.read_only_udm.principal.hostname 從變更記錄對應
shost event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
ESAMailFlowPolicy event.idm.read_only_udm.security_result.rule_name 從變更記錄對應
ESAAMPVerdict event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
ESAASVerdict event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
ESAAVVerdict event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
ESACFVerdict event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
ESAGMVerdict event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
deviceOutboundInterface event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
end event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
ESAMsgSize event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
cfp1Label event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
cfp1 event.idm.read_only_udm.metadata.additional.fields 從變更記錄對應
urls" and "WbrsScore security_result.detection_fields 從變更記錄對應
message_id2 network.email.mail_id 從變更記錄對應
injection_connection_id network.session_id 從變更記錄對應
address_clean network.email.to 從變更記錄對應
receiver network.email.to 從變更記錄對應
inner_message metadata.description 從變更記錄對應
host_msg intermediary.ip 從變更記錄對應
host_msg principal.hostname 從變更記錄對應
attack security_result.category_details 從變更記錄對應
from_user principal.user.user_display_name 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。