收集 Cisco Secure Email 和 Web 記錄

剖析器版本：19.0

本文說明如何使用 Bindplane 代理程式，將 Cisco Secure Email and Web (舊稱 IronPort) 記錄檔擷取至 Google Security Operations。

Cisco Secure Email and Web 是安全閘道解決方案，可保護組織免受垃圾郵件、網路釣魚、惡意軟體和資料遺失等電子郵件威脅。這項服務提供進階威脅防護、內容篩選、加密和網址防禦功能，可保護內送和外寄電子郵件及網站流量。閘道會執行 Cisco AsyncOS，並支援集中化記錄，可透過多種方法擷取記錄，包括 syslog 推送。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
• 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
• Cisco Secure Email and Web 管理控制台的特殊存取權 (管理員角色)
• Cisco Secure Email and Web 設備與 Bindplane 代理程式主機之間的網路連線，位於設定的 syslog 連接埠

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

• 新部署作業：使用 Chronicle API (選項 1)。
• 舊版部署作業：在 2027 年 7 月 20 日停用 Ingestion API 前，請繼續使用擷取驗證檔案 (選項 2)。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

1. 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
2. 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
3. 按一下「建立服務帳戶」。
4. 請提供下列設定詳細資料：
   • 服務帳戶名稱：輸入帳戶名稱 (例如 bindplane-ingest)。
   • 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
5. 點按「Create and continue」(建立並繼續)。
6. 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
7. 依序點選「繼續」和「完成」。
8. 按一下您建立的服務帳戶，然後前往「金鑰」分頁標籤。
9. 依序點選「新增金鑰」>「建立新的金鑰」。
10. 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
11. 將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
12. 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。

方法 2：下載擷取驗證檔案 (舊版)

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM Settings」 > 「Collection Agents」。
3. 下載擷取驗證檔案。
4. 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

1. 登入 Google SecOps 控制台。
2. 依序前往「SIEM 設定」 > 「設定檔」。

3. 複製並儲存「機構詳細資料」專區中的「客戶 ID」。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

1. 以管理員身分開啟命令提示字元或 PowerShell。

2. 執行下列指令：

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sc query observiq-otel-collector
   

   服務應顯示為「RUNNING」。

安裝 Linux

1. 開啟具有 root 或 sudo 權限的終端機。

2. 執行下列指令：

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. 等待安裝完成。

4. 執行下列指令，確認安裝成功：

   sudo systemctl status observiq-otel-collector
   

   服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

找出設定檔

• Linux：

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows：

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

編輯設定檔

• 將 config.yaml 的全部內容替換為下列設定：

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_ironport:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'CISCO_IRONPORT'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/cisco_ironport_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/cisco_ironport
  

設定參數

替換下列預留位置：

• 接收器設定：

  • tcplog：使用 tcplog 進行 TCP 系統記錄 (建議用於 Cisco Secure Email and Web)，或使用 udplog 進行 UDP 系統記錄
  • 0.0.0.0：要監聽的 IP 位址 (0.0.0.0 表示監聽所有介面)
  • 514：要監聽的通訊埠編號 (標準 syslog 通訊埠)

• Exporter 設定：

  • creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
    • Linux：/opt/observiq-otel-collector/ingestion-auth.json
    • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID：取得客戶 ID 一節中的客戶 ID
  • location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會以這個值做為 chronicle.googleapis.com 的前置字元。如需完整清單，請參閱「區域性端點」。
  • project：依序前往「IAM 與管理」>「設定」，然後將 <PROJECT_NUMBER> 替換為專案編號。
  • endpoint：請將此值設為 chronicle.googleapis.com。
  • log_type：記錄類型，與 Chronicle 中顯示的完全相同 (CISCO_IRONPORT)

舊版 Ingestion API 匯出工具

• 如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

  exporters:
    chronicle/cisco_ironport:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'CISCO_IRONPORT'
      raw_log_field: body
      ingestion_labels:
  

儲存設定檔

• 編輯完畢後，請儲存檔案：
  • Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
  • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，套用變更

• 如要在 Linux 重新啟動 Bindplane 代理程式，請執行下列指令：

  sudo systemctl restart observiq-otel-collector
  

  1. 確認服務正在執行：

     sudo systemctl status observiq-otel-collector
     

  2. 檢查記錄是否有錯誤：

     sudo journalctl -u observiq-otel-collector -f
     

• 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：

  • 以管理員身分開啟命令提示字元或 PowerShell：

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • 服務控制台：

    1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
    2. 找出「observIQ OpenTelemetry Collector」。
    3. 按一下滑鼠右鍵，然後選取「重新啟動」。

    4. 確認服務正在執行：

       sc query observiq-otel-collector
       

    5. 查看記錄檔是否有錯誤：

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

設定 Cisco Secure Email and Web 系統記錄轉送

1. 登入 Cisco Secure Email and Web 管理控制台。
2. 依序前往 「System Administration」 >「Log Subscriptions」。
3. 按一下「Add Log Subscription」(新增記錄訂閱項目)。
4. 請提供下列設定詳細資料：
   • 記錄類型：選取要轉寄的記錄類型 (例如「文字郵件記錄」)。
   • 記錄檔名稱：輸入描述性名稱 (例如 secops-mail-logs)。
   • 「記錄層級」：選取「資訊」。
   • Retrieval Method (擷取方法)：選取「Syslog Push」。
   • 主機名稱：輸入 Bindplane 代理程式主機的 IP 位址或主機名稱。
   • Port：輸入 514 (或 Bindplane 代理程式中設定的通訊埠)。
   • 「Protocol」(通訊協定)：選取「TCP」。注意：請選取在 Bindplane 代理程式接收器中設定的通訊協定 (TCP 為 tcplog，UDP 為 udplog)。
   • 設施：如要查看郵件相關記錄，請選取「LOG_MAIL」；如要查看其他記錄類型，請選取「LOG_LOCAL0」到「LOG_LOCAL7」。
5. 按一下「提交」。
6. 針對要轉送的每種記錄類型，重複步驟 3 到 5。可用的記錄類型包括：
   • 文字郵件記錄
   • 系統記錄
   • 反垃圾郵件記錄
   • 防毒記錄
   • AMP Engine 記錄
   • 內容篩選器記錄
   • 郵件追蹤記錄
   • LDAP 偵錯記錄
   • 安全名單/封鎖清單記錄
   • 回報記錄
   • 更新記錄 注意：驗證記錄和退信記錄不支援 Syslog 推送擷取方法。
7. 按一下「Commit Changes」套用設定。
8. 檢查 Bindplane 代理程式記錄，確認記錄是否已傳送。

詳情請參閱 Cisco Secure Email Gateway 使用手冊。

UDM 對應表

記錄欄位	UDM 對應	邏輯
about	about	已合併
about1	about	已合併
deviceNtDomain	about.administrative_domain	已重新命名/對應
deviceExternalId	about.asset.asset_id	直接對應
device_product	about.asset.asset_id	直接對應
device_vendor	about.asset.asset_id	直接對應
fileHash	about.file.full_path	直接對應
filePath	about.file.full_path	已重新命名/對應
file_name	about.file.full_path	直接對應
AMP.fileHash	about.file.sha256	直接對應
_hash	about.file.sha256	已重新命名/對應
fileHash	about.file.sha256	已重新命名/對應
fsize	about.file.size	已重新命名/對應
dvchost	about.hostname	已重新命名/對應
ips	about.ip	已合併
dvcmac	about.mac	已合併
mac_address	about.mac	已合併
deviceTranslatedAddress	about.nat_ip	已合併
Emne	about.process.command_line	直接對應
Path	about.process.command_line	直接對應
Subject	about.process.command_line	直接對應
deviceProcessName	about.process.command_line	已重新命名/對應
dvcpid	about.process.pid	已重新命名/對應
permissions	about.resource.attribute.permissions	已合併
ESAURLDetails	about.url	直接對應
_field	additional.fields	已合併
additional_cfp1	additional.fields	已合併
additional_cfp2	additional.fields	已合併
additional_cfp3	additional.fields	已合併
additional_cfp4	additional.fields	已合併
additional_cn1	additional.fields	已合併
additional_cn2	additional.fields	已合併
additional_cn3	additional.fields	已合併
additional_cs1	additional.fields	已合併
additional_cs2	additional.fields	已合併
additional_cs3	additional.fields	已合併
additional_cs4	additional.fields	已合併
additional_cs5	additional.fields	已合併
additional_cs6	additional.fields	已合併
additional_cs7	additional.fields	已合併
additional_devicePayloadId	additional.fields	已合併
additional_eventId	additional.fields	已合併
additional_flexString1	additional.fields	已合併
additional_fname	additional.fields	已合併
cs5_label	additional.fields	已合併
cs_uri_label	additional.fields	已合併
internal_id_label	additional.fields	已合併
s_hierarchy_label	additional.fields	已合併
sc_bytes_label	additional.fields	已合併
intermediary	intermediary	已合併
ESAHeloDomain	intermediary.administrative_domain	直接對應
syslog_program	intermediary.application	直接對應
hostname	intermediary.asset.hostname	直接對應
column3	intermediary.hostname	直接對應
hostname	intermediary.hostname	直接對應
s_computerName	intermediary.hostname	直接對應
intermediary_ip	intermediary.ip	已合併
msg	metadata.description	已重新命名/對應
msg2	metadata.description	直接對應
device_event_class_id	metadata.product_event_type	直接對應
event_name	metadata.product_event_type	直接對應
product_event	metadata.product_event_type	直接對應
externalId	metadata.product_log_id	直接對應
device_product	metadata.product_name	直接對應
device_product_name	metadata.product_name	直接對應
device_version	metadata.product_version	直接對應
device_vendor	metadata.vendor_name	已重新命名/對應
network	network	已重新命名/對應
app_protocol_output	network.application_protocol	直接對應
from	network.email.from	直接對應
mailfrom.sender	network.email.from	直接對應
message_id	network.email.mail_id	直接對應
subject	network.email.subject	已合併
to	network.email.to	已合併
cs_method	network.http.method	直接對應
http_method	network.http.method	直接對應
requestMethod	network.http.method	已重新命名/對應
cs_user_agent	network.http.parsed_user_agent	已重新命名/對應
http_response_code	network.http.response_code	直接對應
response_code	network.http.response_code	直接對應
cs_user_agent	network.http.user_agent	直接對應
requestClientApplication	network.http.user_agent	已重新命名/對應
useragent	network.http.user_agent	直接對應
ip_protocol_out	network.ip_protocol	直接對應
in	network.received_bytes	已重新命名/對應
received_bytes	network.received_bytes	直接對應
out	network.sent_bytes	已重新命名/對應
total_bytes	network.sent_bytes	已重新命名/對應
ESATLSInCipher	network.tls.cipher	直接對應
sntdom	principal.administrative_domain	已重新命名/對應
sourceServiceName	principal.application	已重新命名/對應
principal_host	principal.asset.hostname	直接對應
c_ip	principal.asset.ip	已合併
cs_x_forwarded_for	principal.asset.ip	已合併
source_ip	principal.asset.ip	已合併
src_ip	principal.asset.ip	已合併
Group_name	principal.group.group_display_name	直接對應
Gruppenavn	principal.group.group_display_name	直接對應
Device_name	principal.hostname	直接對應
Enhetsnavn	principal.hostname	直接對應
principal_host	principal.hostname	直接對應
shost	principal.hostname	已重新命名/對應
c_ip	principal.ip	已合併
cs_x_forwarded_for	principal.ip	已合併
principal_ip	principal.ip	已合併
shost	principal.ip	已合併
source_ip	principal.ip	已合併
src_ip	principal.ip	已合併
mac	principal.mac	已合併
sourceTranslatedAddress	principal.nat_ip	已合併
sourceTranslatedPort	principal.nat_port	已重新命名/對應
c_port	principal.port	直接對應
spt	principal.port	已重新命名/對應
src_port	principal.port	直接對應
sproc	principal.process.command_line	已重新命名/對應
processName	principal.process.file.full_path	直接對應
spid	principal.process.pid	已重新命名/對應
principalUrl	principal.url	直接對應
principal_role	principal.user.attribute.roles	已合併
email	principal.user.email_addresses	已合併
helo.sender	principal.user.email_addresses	已合併
suser	principal.user.user_display_name	直接對應
authenticated_user	principal.user.userid	直接對應
cs_username	principal.user.userid	直接對應
suid	principal.user.userid	已重新命名/對應
sec_result	security_result	已合併
security_result	security_result	已合併
_action	security_result.action	已合併
tempaction	security_result.action	已合併
Action_Taken	security_result.action_details	直接對應
act	security_result.action_details	直接對應
cat	security_result.category_details	已合併
Scan_Type	security_result.description	直接對應
Type	security_result.description	直接對應
msg_data_2	security_result.description	直接對應
field1	security_result.detection_fields	已合併
infection_channel_label	security_result.detection_fields	已合併
operasjon_label	security_result.detection_fields	已合併
operation_label	security_result.detection_fields	已合併
permission_label	security_result.detection_fields	已合併
spyware_Grayware_Type_label	security_result.detection_fields	已合併
threat_probability_label	security_result.detection_fields	已合併
tillatelse_label	security_result.detection_fields	已合併
mwProfile	security_result.rule_name	直接對應
Result	security_result.summary	直接對應
appcategory	security_result.summary	直接對應
reason	security_result.summary	已重新命名/對應
Spyware	security_result.threat_name	直接對應
Unknown_Threat	security_result.threat_name	直接對應
Virus_Malware_Name	security_result.threat_name	直接對應
oldFilePath	src.file.full_path	已重新命名/對應
oldFileSize	src.file.size	已重新命名/對應
old_permissions	src.resource.attribute.permissions	已合併
target	target	已重新命名/對應
dntdom	target.administrative_domain	已重新命名/對應
destinationServiceName	target.application	已重新命名/對應
host	target.asset.hostname	直接對應
dst_ip1	target.asset.ip	已合併
ip	target.asset.ip	已合併
target_ip	target.asset.ip	已合併
host	target.hostname	直接對應
s_computerName	target.hostname	直接對應
s_hostname	target.hostname	直接對應
target_host	target.hostname	直接對應
temp_dhost	target.hostname	直接對應
IPv6_Address	target.ip	已合併
dst_ip	target.ip	已合併
dst_ip1	target.ip	已合併
ip	target.ip	已合併
target_ip	target.ip	已合併
mac_address	target.mac	已合併
destination_translated_address	target.nat_ip	已合併
destinationTranslatedPort	target.nat_port	已重新命名/對應
dpt	target.port	已重新命名/對應
dst_port	target.port	直接對應
s_port	target.port	直接對應
dproc	target.process.command_line	已重新命名/對應
File_name	target.process.file.full_path	直接對應
Infected_Resource	target.process.file.full_path	直接對應
Object	target.process.file.full_path	直接對應
Objekt	target.process.file.full_path	直接對應
dpid	target.process.pid	已重新命名/對應
resource_Type_label	target.resource.attribute.labels	已合併
request	target.url	直接對應
target_url	target.url	直接對應
url1	target.url	直接對應
url2	target.url	直接對應
target_role	target.user.attribute.roles	已合併
CustomerName	target.user.user_display_name	直接對應
temp_duser	target.user.user_display_name	直接對應
Bruker	target.user.userid	直接對應
User_value	target.user.userid	直接對應
target_user	target.user.userid	直接對應
temp_duid	target.user.userid	直接對應
不適用	about	常數：about
不適用	about.ip	常數：ips
不適用	about.mac	常數：mac_address
不適用	about.nat_ip	常數：deviceTranslatedAddress
不適用	about.resource.attribute.permissions	常數：permissions
不適用	additional.fields	常數：additional_eventId
不適用	extensions.auth.type	常數：AUTHTYPE_UNSPECIFIED
不適用	intermediary	常數：intermediary
不適用	intermediary.ip	常數：intermediary_ip
不適用	metadata.event_type	常數：PROCESS_UNCATEGORIZED
不適用	metadata.product_name	常數：Cisco Ironport
不適用	metadata.vendor_name	常數：Cisco
不適用	network.application_protocol	常數：SMTP
不適用	network.direction	常數：INBOUND
不適用	network.email.subject	常數：subject
不適用	network.email.to	常數：to
不適用	network.received_bytes	常數：uinteger
不適用	principal.asset.ip	常數：src_ip
不適用	principal.ip	常數：principal_ip
不適用	principal.mac	常數：mac
不適用	principal.nat_ip	常數：sourceTranslatedAddress
不適用	principal.user.attribute.roles	常數：principal_role
不適用	principal.user.email_addresses	常數：email
不適用	security_result	常數：security_result
不適用	security_result.action	常數：_action
不適用	security_result.category_details	常數：cat
不適用	security_result.detection_fields	常數：field1
不適用	security_result.severity	常數：LOW
不適用	src.resource.attribute.permissions	常數：old_permissions
不適用	target.asset.ip	常數：dst_ip1
不適用	target.ip	常數：dst_ip
不適用	target.mac	常數：mac_address
不適用	target.nat_ip	常數：destination_translated_address
不適用	target.resource.attribute.labels	常數：resource_Type_label
不適用	target.user.attribute.roles	常數：target_role
column2	event.idm.read_only_udm.security_result.risk_score	從變更記錄對應
column20	event.idm.read_only_udm.security_result.category_details	從變更記錄對應
column23	event.idm.read_only_udm.security_result.threat_name	從變更記錄對應
file_name	event.idm.read_only_udm.about.file.full_path	從變更記錄對應
AMP.fileHash	event.idm.read_only_udm.about.file.sha256	從變更記錄對應
ESAURLDetails	event.idm.read_only_udm.about.url	從變更記錄對應
ESASenderGroup	event.idm.read_only_udm.security_result.detection_fields	從變更記錄對應
ESAAMPVerdict	event.idm.read_only_udm.security_result.detection_fields	從變更記錄對應
ESAASVerdict	event.idm.read_only_udm.security_result.detection_fields	從變更記錄對應
ESAAVVerdict	event.idm.read_only_udm.security_result.detection_fields	從變更記錄對應
Verdict	event.idm.read_only_udm.security_result.detection_fields	從變更記錄對應
column2	event.idm.read_only_udm.intermediary.ip	從變更記錄對應
column3	event.idm.read_only_udm.intermediary.hostname	從變更記錄對應
column1	event.idm.read_only_udm.metadata.event_timestamp	從變更記錄對應
mailfrom.sender	event.idm.read_only_udm.network.email.from	從變更記錄對應
ESAAttachmentDetails	event.idm.read_only_udm.additional.fields	從變更記錄對應
result	event.idm.read_only_udm.additional.fields	從變更記錄對應
ESADCID	event.idm.read_only_udm.additional.fields	從變更記錄對應
ESAICID	event.idm.read_only_udm.additional.fields	從變更記錄對應
ESAMID	event.idm.read_only_udm.additional.fields	從變更記錄對應
sc_bytes	event.idm.read_only_udm.additional.fields	從變更記錄對應
uritype	event.idm.read_only_udm.additional.fields	從變更記錄對應
proto	event.idm.read_only_udm.additional.fields	從變更記錄對應
vendorid	event.idm.read_only_udm.additional.fields	從變更記錄對應
varianttype	event.idm.read_only_udm.additional.fields	從變更記錄對應
uriidvalue	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_url	event.idm.read_only_udm.target.url	從變更記錄對應
cs_user_agent	event.idm.read_only_udm.network.http.parsed_user_agent	從變更記錄對應
hostname	event.idm.read_only_udm.intermediary.hostname 和 event.idm.read_only_udm.intermediary.asset.hostname	從變更記錄對應
dst_port	event.idm.read_only_udm.target.port	從變更記錄對應
useragent	event.idm.read_only_udm.network.http.user_agent	從變更記錄對應
response_code	event.idm.read_only_udm.network.http.response_code	從變更記錄對應
cs_x_forwarded_for	event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
target_host	event.idm.read_only_udm.target.hostname	從變更記錄對應
about_hostname	event.idm.read_only_udm.about.hostname	從變更記錄對應
cs_user_agent	event.idm.read_only_udm.network.http.user_agent	從變更記錄對應
cs_method	event.idm.read_only_udm.network.http.method	從變更記錄對應
cs_url	event.idm.read_only_udm.network.http.referral_url	從變更記錄對應
c_ip	event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip	從變更記錄對應
c_port	event.idm.read_only_udm.principal.port	從變更記錄對應
cs_username	event.idm.read_only_udm.principal.user.userid	從變更記錄對應
s_ip	event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip	從變更記錄對應
s_port	event.idm.read_only_udm.target.port	從變更記錄對應
time	event.idm.read_only_udm.metadata.event_timestamp	從變更記錄對應
session_time	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webcat_code_full	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_result_code	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_version	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_x_forwarded_for	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_mime_type	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_referer	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_req_dvs_scanverdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_sophos_file_name	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_elapsed_time	event.idm.read_only_udm.additional.fields	從變更記錄對應
s_hierarchy	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_auth_group	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_bytes	event.idm.read_only_udm.additional.fields	從變更記錄對應
cs_uri	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_acltag	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_ids_verdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_resp_dvs_canverdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_resp_dvs_threat_name	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_resp_dvs_verdictname	event.idm.read_only_udm.additional.fields	從變更記錄對應
user_type	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_suspect_user_agent	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_wbrs_threat_type	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webcat_req_code_abbr	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webroot_scanverdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webroot_threat_name	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webroot_trace_id	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webroot_trr	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_webcat_resp_code_abbr	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_wbrs_score	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_sophos_virus_name	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_sophos_scanverdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_sophos_scanerror	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_mcafee_av_virustype	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_mcafee_av_virusname	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_mcafee_av_scanerror	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_req_dvs_verdictname	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_mcafee_av_scanverdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_mcafee_filename	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_mcafee_av_detecttype	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_icap_server	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_avc_behaviour	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_app_type	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_app	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_amp_verdict	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_amp_upload_indicator	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_amp_sha	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_amp_score	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_amp_malware_name	event.idm.read_only_udm.additional.fields	從變更記錄對應
x_amp_filename	event.idm.read_only_udm.additional.fields	從變更記錄對應
sc_result_code_denial	event.idm.read_only_udm.additional.fields	從變更記錄對應
dkim	security_result.summary	從變更記錄對應
antivirus	security_result.detection_fields	從變更記錄對應
threat_level	security_result.detection_fields	從變更記錄對應
threat_category	security_result.detection_fields	從變更記錄對應
suspected_domain	security_result.detection_fields	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。