Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 CrowdStrike Falcon 日志

解析器版本：33.0

本文档介绍了如何将 CrowdStrike Falcon 日志注入 Google Security Operations。您可以注入多种类型的 CrowdStrike Falcon 日志，本文档概述了每种日志的具体配置。

如需大致了解 Google Security Operations 中的数据注入，请参阅将数据注入到 Google Security Operations。

支持的 CrowdStrike Falcon 日志类型

Google Security Operations 通过具有以下注入标签的解析器支持以下 CrowdStrike Falcon 日志类型：

端点检测和响应 (EDR)：CS_EDR。此解析器会解析来自 CrowdStrike Falcon Data Replicator (FDR) 的近乎实时的遥测数据，例如文件访问和注册表修改。数据通常从 S3 或 Cloud Storage 存储桶中提取。
检测：CS_DETECTS。此解析器使用 Detect API 解析来自 CrowdStrike 的检测摘要事件。虽然与端点活动相关，但与使用 CS_EDR 解析的原始遥测数据相比，CS_DETECTS 提供了更高级别的检测摘要。

注意：CrowdStrike 已弃用“Detects”端点。我们建议您改用 CS_ALERTS 来注入检测日志。
提醒：CS_ALERTS。此解析器使用 Alerts API 解析来自 CrowdStrike 的提醒。 CrowdStrike Alerts 解析器支持以下产品类型：
- epp
- idp
- overwatch
- xdr
- mobile
- cwpp
- ngsiem
- automated-lead
- automated-lead-context
- thirdparty
- data-protection
- fcs
失陷指标 (IoC)：CS_IOC。此解析器使用 CrowdStrike Chronicle Intel Bridge 解析 CrowdStrike 威胁情报中的 IoC 和攻击指标 (IOA)。CrowdStrike 失陷指标 (IoC) 解析器支持以下指标类型：
- domain
- email_address
- file_name
- file_path
- hash_md5
- hash_sha1
- hash_sha256
- ip_address
- mutex_name
- url

Google SecOps 建议使用 CS_EDR、CS_DETECTS 和 CS_IOC 的 Feed，以便从 CrowdStrike 全面数据注入。

准备工作

确保您满足以下前提条件：

CrowdStrike 实例上的管理员权限，用于安装 CrowdStrike Falcon Host 传感器
部署架构中的所有系统都使用世界协调时间 (UTC) 时区进行配置。
目标设备运行的是受支持的操作系统
- 必须是 64 位服务器
- CrowdStrike Falcon Host 传感器 6.51 版或更高版本支持 Microsoft Windows Server 2008 R2 SP1。
- 旧版操作系统必须支持 SHA-2 代码签名。
Google SecOps 服务账号文件和您的客户 ID（由 Google SecOps 支持团队提供）

设置 Feed

在 Google SecOps 平台中，您可以通过两个不同的入口点设置 Feed：

SIEM Settings（SIEM 设置）> Feeds（Feed）> Add New Feed（添加新 Feed）
内容中心 > 内容包 > 开始使用

如需详细了解如何为此产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

注入 CrowdStrike Falcon 日志

本部分介绍了如何为不同类型的 CrowdStrike Falcon 日志配置提取。

提取 EDR 日志 (`CS_EDR`)

您可以使用以下方法之一注入 CrowdStrike Falcon EDR 日志，具体取决于您要从 CrowdStrike 发送日志的位置：

Amazon SQS：使用 Falcon Data Replicator Feed。
Amazon S3：使用为 S3 存储桶配置的 Google Security Operations Feed。
Google Cloud Storage：让 CrowdStrike 将日志推送到 Cloud Storage 存储桶。

选择以下任一过程。

方法 1：从 Amazon SQS 提取 EDR 日志

此方法使用 CrowdStrike Falcon Data Replicator 将 EDR 日志发送到 Amazon SQS 队列，然后 Google Security Operations 会轮询该队列。

点击 CrowdStrike 软件包。
在 CrowdStrike Falcon 日志类型中，为以下字段指定值：
- 来源：Amazon SQS
- 区域：与 URI 关联的 S3 区域。
- 队列名称：要从中读取日志数据的 SQS 队列的名称。
- S3 URI：S3 存储桶来源 URI。
- 账号：SQS 账号。
- 队列访问密钥 ID：20 个字符的账号访问密钥 ID。例如 AKIAOSFOODNN7EXAMPLE。
- 队列私有访问密钥：40 个字符的私有访问密钥。例如 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY。
- 源删除选项：用于在转移数据后删除文件和目录的选项。
高级选项
- Feed 名称：用于标识 Feed 的预填充值。
- 资产命名空间：与 Feed 关联的命名空间。
- 提取标签 - 应用于此 Feed 中所有事件的标签。
点击创建 Feed。

如需详细了解如何为此产品系列中的不同日志类型配置多个 Feed，请参阅按产品配置 Feed。

方法 2：从 Amazon S3 存储桶中提取 EDR 日志

此方法涉及设置 Google Security Operations Feed，以直接从 Amazon S3 存储桶拉取 EDR 日志。

如需使用 S3 存储桶设置提取 Feed，请按以下步骤操作：

前往 SIEM 设置 > Feed。
点击添加新 Feed。
在下一页上，点击配置单个 Feed。
在 Feed 名称字段中，输入 Feed 的名称，例如 Crowdstrike Falcon Logs。
在来源类型中，选择 Amazon S3。
在日志类型中，选择 CrowdStrike Falcon。

根据您创建的服务账号和 Amazon S3 存储桶配置，为以下字段指定值：

字段	说明
`region`	S3 区域 URI。
`S3 uri`	S3 存储桶来源 URI。
`uri is a`	URI 指向的对象类型（例如文件或文件夹）。
`source deletion option`	用于在转移数据后删除文件和目录的选项。
`access key id`	访问密钥（20 个字符的字母数字字符串）。例如 `AKIAOSFOODNN7EXAMPLE`。
`secret access key`	私有访问密钥（40 位字母数字字符串）。例如 `wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY`。
`oauth client id`	公开 OAuth 客户端 ID。
`oauth client secret`	OAuth 2.0 客户端密钥。
`oauth secret refresh uri`	OAuth 2.0 客户端密钥刷新 URI。
`asset namespace`	与 Feed 关联的命名空间。

点击下一步，然后点击提交。

选项 3：从 Cloud Storage 注入 EDR 日志

您可以将 CrowdStrike 配置为将 EDR 日志发送到 Cloud Storage 存储桶，然后使用 Feed 将这些日志注入 Google Security Operations。此流程需要与 CrowdStrike 支持团队协调。

联系 CrowdStrike 支持团队：向 CrowdStrike 提交支持服务工单，以启用和配置将 EDR 日志推送到 Cloud Storage 存储桶的功能。他们会就所需配置提供指导。
创建 Cloud Storage 存储桶并为其授予权限：
1. 在 Google Cloud 控制台中，创建一个新的 Cloud Storage 存储桶。记下存储桶名称（例如 gs://my-crowdstrike-edr-logs/）。
2. 向 CrowdStrike 提供的服务账号授予写入权限。按照 CrowdStrike 支持团队提供的说明操作。
配置 Google SecOps Feed：
1. 在 Google SecOps 实例中，前往设置 > Feed，然后点击新增。
2. 输入一个描述性 Feed 名称（例如 CS-EDR-GCS）。
3. 在来源类型部分，选择 Google Cloud Storage V2。
  
  注意：您可以使用 Google Cloud Storage 事件驱动型 V2 作为来源类型，以最大限度地缩短延迟时间。
  注意：对于 Cloud Storage 事件驱动型 Feed 类型，请按照配置 Pub/Sub 中的说明为 Cloud Storage 设置 Pub/Sub 订阅。
4. 在日志类型部分，选择 CrowdStrike Falcon。
5. 在服务账号部分，点击获取服务账号。复制显示的唯一服务账号邮箱。
6. 在 Google Cloud 控制台中，前往您的 Cloud Storage 存储桶，然后向您复制的服务账号电子邮件地址授予 Storage Object Viewer IAM 角色。这样，Feed 就可以读取日志文件。
7. 返回 Google SecOps Feed 配置页面。
8. 输入存储桶网址（例如 gs://my-crowdstrike-edr-logs/）。此网址必须以正斜杠 (/) 结尾。
9. 对于事件驱动的 Feed 类型，请提供 Pub/Sub 订阅名称（例如 projects/myproject/subscriptions/crowdstrike-edr-sub）。
10. 选择来源删除选项。建议选择永不删除文件。
11. 点击下一步，检查设置，然后点击提交。
验证日志注入：在 CrowdStrike 确认日志正在推送后，在 Google SecOps 中检查日志类型为 CS_EDR 的传入日志。

注入提醒日志 (`CS_ALERTS`)

如需注入 CrowdStrike Falcon 提醒，您需要配置一个使用 CrowdStrike API 的 Feed。

在 CrowdStrike Falcon 控制台中：
1. 登录 CrowdStrike Falcon 控制台。
2. 依次前往支持和资源 > 资源和工具 > API 客户端和密钥，然后点击创建 API 客户端。
3. 输入客户端名称和说明。
4. 在 API 范围部分，选中提醒对应的读取复选框。
5. 点击创建。记下生成的客户端 ID、客户端密钥和基础网址。
在 Google Security Operations 中：
1. 前往设置 > Feed，然后点击新增。
2. 在来源类型部分选择第三方 API。
3. 对于日志类型，选择 CrowdStrike Alerts API。
4. 点击下一步，然后使用 CrowdStrike API 客户端中的值填充以下字段：
  - OAuth 令牌端点：例如 https://api.us-2.crowdstrike.com/oauth2/token。
  - OAuth 客户端 ID
  - OAuth 客户端密钥
  - 基础网址：例如 api.us-2.crowdstrike.com。
  - 提取类型：选择以下选项之一：
    - 提取所有提醒：提取新提醒和已更新的现有提醒。
    - 仅提取新提醒：仅提取新提醒。
  注意：您的令牌端点网址中可能不包含“us-2”。这取决于您所在的 CrowdStrike 区域。请使用 CrowdStrike 控制台中的正确基础网址。
5. 点击下一步，然后点击提交。

注入检测日志 (`CS_DETECTS`)

如需注入 CrowdStrike Falcon 检测日志，您还需要使用 CrowdStrike API。

在 CrowdStrike Falcon 控制台中：
1. 登录 CrowdStrike Falcon 控制台。
2. 前往支持应用 > API 客户端和密钥。
3. 创建新的 API 客户端密钥对。此密钥对必须具有 Detections 的 READ 权限。
在 Google Security Operations 中：
1. 前往设置 > Feed，然后点击新增。
2. 在来源类型部分选择第三方 API。
3. 对于日志类型，选择 CrowdStrike 检测监控。
4. 点击下一步，然后点击提交。系统会提示您输入您创建的 API 凭证。

注入 IoC 日志 (`CS_IOC`)

如需从 CrowdStrike 注入失陷指标 (IoC) 日志，您可以使用 Google SecOps Intel Bridge。

在 CrowdStrike Falcon 控制台中，创建新的 API 客户端密钥对。此密钥对必须具有 Indicators (Falcon Intelligence) 的 READ 权限。
按照 CrowdStrike to Google SecOps Intel Bridge（CrowdStrike 到 Google SecOps Intel Bridge）中的说明设置 Google SecOps Intel Bridge。

运行以下 Docker 命令，将日志从 CrowdStrike 发送到 Google SecOps。sa.json 是您的 Google SecOps 服务账号文件。

docker build . -t ccib:latest
docker run -it --rm \
      -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
      -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
      -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
      -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
      -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
      -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
      ccib:latest

容器运行后，IoC 日志将开始流式传输到 Google SecOps。

如果您在进行上述任何配置时遇到问题，请与 Google SecOps 支持团队联系。

支持的 CrowdStrike 日志格式

CrowdStrike 解析器支持 JSON 格式的日志。

更新日志

查看此解析器的更新日志

CS_ALERTS UDM 映射增量

下表列出了 CrowdStrike 提醒 (CS_ALERTS) 解析器的旧 UDM 映射与新 UDM 映射之间的差异。

日志字段	旧 UDM 字段名称	新 UDM 字段名称
`source_account_domain, device.machine_domain, logon_domain`	`principal.domain.name` 如果 `source_account_domain` 日志字段值不为空，则 `source_account_domain` 日志字段会映射到 `principal.domain.name` UDM 字段。否则，如果 `logon_domain` 日志字段值不为空，则 `logon_domain` 日志字段会映射到 `principal.domain.name` UDM 字段。否则，如果 `device.machine_domain` 日志字段值不为空，则 `device.machine_domain` 日志字段会映射到 `principal.domain.name` UDM 字段。	`principal.domain.name` 如果 `source_account_domain` 日志字段值不为空，则 `source_account_domain` 日志字段会映射到 `principal.domain.name` UDM 字段。如果 `device.machine_domain` 日志字段值不为空，则 `device.machine_domain` 日志字段会映射到 `principal.user.attribute.labels.device_machine_domain` UDM 字段。如果 `logon_domain` 日志字段值不为空，则 `logon_domain` 日志字段会映射到 `principal.user.attribute.labels.logon_domain` UDM 字段。否则，如果 `device.machine_domain` 日志字段值不为空，则 `device.machine_domain` 日志字段会映射到 `principal.domain.name` UDM 字段。如果 `logon_domain` 日志字段值不为空，则 `logon_domain` 日志字段会映射到 `principal.user.attribute.labels.logon_domain` UDM 字段。否则，如果 `logon_domain` 日志字段值不为空，则 `logon_domain` 日志字段会映射到 `principal.domain.name` UDM 字段。
`source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host`	`principal.hostname` 如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `principal.hostname` UDM 字段。否则，如果 `computer_name` 日志字段值不为空，则 `computer_name` 日志字段会映射到 `principal.hostname` UDM 字段。否则，如果 `host_name` 日志字段值不为空，则 `host_name` 日志字段会映射到 `principal.hostname` UDM 字段。否则，如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.hostname` UDM 字段。否则，如果 `device.hostname` 日志字段值不为空，则 `device.hostname` 日志字段会映射到 `principal.hostname` UDM 字段。	`principal.hostname` 如果 `hostname` 日志字段值不为空，则 `hostname` 日志字段会映射到 `principal.hostname` UDM 字段。如果 `computer_name` 日志字段值不为空，则 `computer_name` 日志字段会映射到 `principal.asset.attribute.labels.computer_name` UDM 字段。如果 `host_name` 日志字段值不为空，则 `host_name` 日志字段会映射到 `principal.asset.attribute.labels.host_name` UDM 字段。如果 `host` 日志字段值不为空，则 `host` 日志字段会映射到 `principal.asset.attribute.labels.host` UDM 字段。如果 `device.hostname` 日志字段值不为空，则 `device_hostname` 日志字段会映射到 `principal.asset.attribute.labels.device_hostname` UDM 字段。如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.attribute.labels.source_endpoint_host_name` UDM 字段。如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_hostname` UDM 字段。否则，如果 `host_name` 日志字段值不为空，则 `host_name` 日志字段会映射到 `principal.hostname` UDM 字段。如果 `computer_name` 日志字段值不为空，则 `computer_name` 日志字段会映射到 `principal.asset.attribute.labels.computer_name` UDM 字段。如果 `host` 日志字段值不为空，则 `host` 日志字段会映射到 `principal.asset.attribute.labels.host` UDM 字段。如果 `device.hostname` 日志字段值不为空，则 `device_hostname` 日志字段会映射到 `principal.asset.attribute.labels.device_hostname` UDM 字段。如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.attribute.labels.source_endpoint_host_name` UDM 字段。如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `security_result.detection_fields[threatgraph_indicator_hostname]` UDM 字段。否则，如果 `computer_name` 日志字段值不为空，则 `computer_name` 日志字段会映射到 `principal.hostname` UDM 字段。如果 `host` 日志字段值不为空，则 `host` 日志字段会映射到 `principal.asset.attribute.labels.host` UDM 字段。如果 `device.hostname` 日志字段值不为空，则 `device.hostname` 日志字段会映射到 `principal.asset.attribute.labels.device_hostname` UDM 字段。如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.attribute.labels.source_endpoint_host_name` UDM 字段。如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_hostname` UDM 字段。否则，如果 `host` 日志字段值不为空，则 `host` 日志字段会映射到 `principal.hostname` UDM 字段。如果 `device.hostname` 日志字段值不为空，则 `device.hostname` 日志字段会映射到 `principal.asset.attribute.labels.device_hostname` UDM 字段。如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.attribute.labels.source_endpoint_host_name` UDM 字段。如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_hostname` UDM 字段。否则，如果 `device.hostname` 日志字段值不为空，则 `device.hostname` 日志字段会映射到 `principal.hostname` UDM 字段。如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.attribute.labels.source_endpoint_host_name` UDM 字段。如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_hostname` UDM 字段。否则，如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.hostname` UDM 字段。如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_hostname` UDM 字段。否则，如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `principal.hostname` UDM 字段。
`source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host`	`principal.asset.hostname` 如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `computer_name` 日志字段值不为空，则 `computer_name` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `host_name` 日志字段值不为空，则 `host_name` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `device.hostname` 日志字段值不为空，则 `device.hostname` 日志字段会映射到 `principal.asset.hostname` UDM 字段。	`principal.asset.hostname` 如果 `hostname` 日志字段值不为空，则 `hostname` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `host_name` 日志字段值不为空，则 `host_name` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `computer_name` 日志字段值不为空，则 `computer_name` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `host` 日志字段值不为空，则 `host` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `device.hostname` 日志字段值不为空，则 `device.hostname` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `source_endpoint_host_name` 日志字段值不为空，则 `source_endpoint_host_name` 日志字段会映射到 `principal.asset.hostname` UDM 字段。否则，如果 `threatgraph_indicators.0.hostname` 日志字段值不为空，则 `threatgraph_indicators.0.hostname` 日志字段会映射到 `principal.asset.hostname` UDM 字段。
`device.machine_domain`	`principal.asset.attribute.labels[device_machine_domain]`
`location_country_code, device_geo_location.country_name`	`principal.location.country_or_region` `location_country_code` 日志字段会映射到 `principal.location.country_or_region` UDM 字段。	`principal.location.country_or_region` 如果 `device_geo_location.country_name` 日志字段值不为空，则 `device_geo_location.country_name` 日志字段会映射到 `principal.location.country_or_region` UDM 字段。如果 `location_country_code` 日志字段值不为空，则 `location_country_code` 日志字段会映射到 `security_result.detection_fields.location_country_code` UDM 字段。否则，如果 `location_country_code` 日志字段值不为空，则 `location_country_code` 日志字段会映射到 `principal.location.country_or_region` UDM 字段。
`source_account_upn`	`principal.user.attribute.labels[source_account_upn]`	`principal.user.email_addresses`
`user_name`	`principal.user.attribute.labels[user_name]`
`user_name, source_account_name, encrypted_by_username, user_display_name`	`principal.user.user_display_name` 如果 `user_name` 日志字段值不为空，则 `user_name` 日志字段会映射到 `principal.user.user_display_name` UDM 字段。否则，如果 `source_account_name` 日志字段值不为空，则 `source_account_name` 日志字段会映射到 `principal.user.user_display_name` UDM 字段。	`principal.user.user_display_name` 如果 `user_name` 日志字段值不为空，则 `user_name` 日志字段会映射到 `principal.user.user_display_name` UDM 字段。如果 `source_account_name` 日志字段值不为空，则 `source_account_name` 日志字段会映射到 `principal.user.attribute.labels.source_account_name` UDM 字段。如果 `encrypted_by_username` 日志字段值不为空，则 `encrypted_by_username` 日志字段会映射到 `principal.user.attribute.labels.encrypted_by_username` UDM 字段。如果 `user_display_name` 日志字段值不为空，则 `user_display_name` 日志字段会映射到 `principal.user.attribute.labels.user_display_name` UDM 字段。否则，如果 `source_account_name` 日志字段值不为空，则 `source_account_name` 日志字段会映射到 `principal.user.user_display_name` UDM 字段。如果 `encrypted_by_username` 日志字段值不为空，则 `encrypted_by_username` 日志字段会映射到 `principal.user.attribute.labels.encrypted_by_username` UDM 字段。如果 `user_display_name` 日志字段值不为空，则 `user_display_name` 日志字段会映射到 `principal.user.attribute.labels.user_display_name` UDM 字段。否则，如果 `encrypted_by_username` 日志字段值不为空，则 `encrypted_by_username` 日志字段会映射到 `principal.user.user_display_name` UDM 字段。如果 `user_display_name` 日志字段值不为空，则 `user_display_name` 日志字段会映射到 `principal.user.attribute.labels.user_display_name` UDM 字段。否则，如果 `user_display_name` 日志字段值不为空，则 `user_display_name` 日志字段会映射到 `principal.user.user_display_name` UDM 字段。
`source_account_object_sid, sid`	`principal.user.windows_sid`	`principal.user.windows_sid` 如果 `sid` 日志字段值不为空，则 `sid` 日志字段会映射到 `principal.user.windows_sid` UDM 字段。如果 `source_account_object_sid` 日志字段值不为空，则 `source_account_object_sid` 日志字段会映射到 `principal.user.attribute.labels[source_account_object_sid]` UDM 字段。否则，如果 `source_account_object_sid` 日志字段值不为空，则 `source_account_object_sid` 日志字段会映射到 `principal.user.windows_sid` UDM 字段。
`assigned_to_uuid`	`security_result.about.user.product_object_id`	`additional.fields[assigned_to_uuid]`
`assigned_to_name`	`security_result.about.user.user_display_name`	`additional.fields[assigned_to_name]`
`agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id`	`principal.asset_id` 如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{threatgraph_indicators.0.host_id}` 生成的值，其中 `%{threatgraph_indicators.0.host_id}` 会替换为 `threatgraph_indicators.0.host_id` 日志字段的值。否则，如果 `host_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段将设置为根据模板 `CS:%{host_id}` 生成的值，其中 `%{host_id}` 将替换为 `host_id` 日志字段的值。否则，如果 `agent_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{agent_id}` 生成的值，其中 `%{agent_id}` 会替换为 `agent_id` 日志字段的值。否则，如果 `mdm_device_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{mdm_device_id}` 生成的值，其中 `%{mdm_device_id}` 会替换为 `mdm_device_id` 日志字段的值。否则，如果 `device.device_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{device.device_id}` 生成的值，其中 `%{device.device_id}` 会替换为 `device.device_id` 日志字段的值。	`principal.asset_id, about.asset_id` 如果 `agent_id` 日志字段值不为空，则使用 `\|` 分隔符将 `agent_id` 日志字段值拆分为多个值。遍历拆分的 `agent_id` 值：如果 `index` 值等于 `"0"`，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{agent_id}` 生成的值，其中 `%{agent_id}` 会替换为拆分的 `agent_id` 值。否则，`about.asset_id` UDM 字段会设置为根据模板 `CS:%{agent_id}` 生成的值，其中 `%{agent_id}` 会替换为拆分的 `agent_id` 值。如果 `source_asset.id` 日志字段值不为空，则 `source_asset.id` 日志字段会映射到 `principal.asset.attribute.labels.source_asset_id` UDM 字段。如果 `host_id` 日志字段值不为空，则 `host_id` 日志字段会映射到 `principal.asset.attribute.labels.host_id` UDM 字段。如果 `device.device_id` 日志字段值不为空，则 `device.device_id` 日志字段会映射到 `principal.asset.attribute.labels.device_id` UDM 字段。如果 `mdm_device_id` 日志字段值不为空，则 `mdm_device_id` 日志字段会映射到 `principal.asset.attribute.labels.mdm_device_id` UDM 字段。如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `threatgraph_indicators.0.host_id` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_host_id` UDM 字段。否则，如果 `source_asset.id` 日志字段值不为空，则 `principal.asset_id` UDM 字段将设置为根据模板 `CS:%{source_asset.id}` 生成的值，其中 `%{source_asset.id}` 将替换为 `source_asset.id` 日志字段的值。如果 `host_id` 日志字段值不为空，则 `host_id` 日志字段会映射到 `principal.asset.attribute.labels.host_id` UDM 字段。如果 `device.device_id` 日志字段值不为空，则 `device.device_id` 日志字段会映射到 `principal.asset.attribute.labels.device_id` UDM 字段。如果 `mdm_device_id` 日志字段值不为空，则 `mdm_device_id` 日志字段会映射到 `principal.asset.attribute.labels.mdm_device_id` UDM 字段。如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `threatgraph_indicators.0.host_id` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_host_id` UDM 字段。否则，如果 `host_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段将设置为根据模板 `CS:%{host_id}` 生成的值，其中 `%{host_id}` 将替换为 `host_id` 日志字段的值。如果 `device.device_id` 日志字段值不为空，则 `device.device_id` 日志字段会映射到 `principal.asset.attribute.labels.device_id` UDM 字段。如果 `mdm_device_id` 日志字段值不为空，则 `mdm_device_id` 日志字段会映射到 `principal.asset.attribute.labels.mdm_device_id` UDM 字段。如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `threatgraph_indicators.0.host_id` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_host_id` UDM 字段。否则，如果 `device.device_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段将设置为根据模板 `CS:%{device.device_id}` 生成的值，其中 `%{device.device_id}` 将替换为 `device.device_id` 日志字段的值。如果 `mdm_device_id` 日志字段值不为空，则 `mdm_device_id` 日志字段会映射到 `principal.asset.attribute.labels.mdm_device_id` UDM 字段。如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `threatgraph_indicators.0.host_id` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_host_id` UDM 字段。否则，如果 `mdm_device_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{mdm_device_id}` 生成的值，其中 `%{mdm_device_id}` 会替换为 `mdm_device_id` 日志字段的值。如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `threatgraph_indicators.0.host_id` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicator_host_id` UDM 字段。否则，如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `principal.asset_id` UDM 字段会设置为根据模板 `CS:%{threatgraph_indicators.0.host_id}` 生成的值，其中 `%{threatgraph_indicators.0.host_id}` 会替换为 `threatgraph_indicators.0.host_id` 日志字段的值。
`agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id`	`principal.asset.asset_id` 如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{threatgraph_indicators.0.host_id}` 生成的值，其中 `%{threatgraph_indicators.0.host_id}` 会替换为 `threatgraph_indicators.0.host_id` 日志字段的值。否则，如果 `host_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段将设置为根据模板 `CS:%{host_id}` 生成的值，其中 `%{host_id}` 将替换为 `host_id` 日志字段的值。否则，如果 `agent_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{agent_id}` 生成的值，其中 `%{agent_id}` 会替换为 `agent_id` 日志字段的值。否则，如果 `mdm_device_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{mdm_device_id}` 生成的值，其中 `%{mdm_device_id}` 会替换为 `mdm_device_id` 日志字段的值。否则，如果 `device.device_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{device.device_id}` 生成的值，其中 `%{device.device_id}` 会替换为 `device.device_id` 日志字段的值。	`principal.asset.asset_id, about.asset.asset_id` 如果 `agent_id` 日志字段值不为空，则使用 `\|` 分隔符将 `agent_id` 日志字段值拆分为多个值。遍历拆分的 `agent_id` 值：如果 `index` 值等于 `"0"`，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{agent_id}` 生成的值，其中 `%{agent_id}` 会替换为拆分的 `agent_id` 值。否则，`about.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{agent_id}` 生成的值，其中 `%{agent_id}` 会替换为拆分后的 `agent_id` 值。否则，如果 `source_asset.id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{source_asset.id}` 生成的值，其中 `%{source_asset.id}` 会替换为 `source_asset.id` 日志字段的值。否则，如果 `host_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{host_id}` 生成的值，其中 `%{host_id}` 会替换为 `host_id` 日志字段的值。否则，如果 `device.device_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段将设置为根据模板 `CS:%{device.device_id}` 生成的值，其中 `%{device.device_id}` 将替换为 `device.device_id` 日志字段的值。否则，如果 `mdm_device_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{mdm_device_id}` 生成的值，其中 `%{mdm_device_id}` 会替换为 `mdm_device_id` 日志字段的值。否则，如果 `threatgraph_indicators.0.host_id` 日志字段值不为空，则 `principal.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{threatgraph_indicators.0.host_id}` 生成的值，其中 `%{threatgraph_indicators.0.host_id}` 会替换为 `threatgraph_indicators.0.host_id` 日志字段的值。
`cid, agent_id, process_id`	`target.process.product_specific_process_id` 如果 `cid` 日志字段值不为空，`agent_id` 日志字段值不为空，且 `process_id` 日志字段值不为空，则 `target.process.product_specific_process_id` UDM 字段会设置为根据模板 `PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}` 生成的值，其中 `%{cid}`、`%{agent_id}` 和 `%{process_id}` 分别替换为 `cid`、`agent_id` 和 `process_id` 日志字段的值。	`target.process.product_specific_process_id, about.process.product_specific_process_id` 如果 `agent_id` 日志字段值不为空，则使用 `\|` 分隔符将 `agent_id` 日志字段值拆分为多个值。遍历拆分的 `agent_id` 值：如果 `index` 值等于 `"0"`，那么如果 `cid` 日志字段值不为空，拆分的 `agent_id` 值不为空，且 `process_id` 日志字段值不为空，则 `target.process.product_specific_process_id` UDM 字段会设置为根据模板 `PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}` 生成的值，其中 `%{agent_id}` 会替换为拆分的 `agent_id` 值，`%{cid}` 和 `%{process_id}` 会分别替换为 `cid` 和 `process_id` 日志字段的值。否则，如果 `cid` 日志字段值不为空，拆分 `agent_id` 值不为空，且 `process_id` 日志字段值不为空，则 `about.process.product_specific_process_id` UDM 字段会设置为根据模板 `PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id}` 生成的值，其中 `%{agent_id}` 会替换为拆分 `agent_id` 值，`%{cid}` 和 `%{process_id}` 会分别替换为 `cid` 和 `process_id` 日志字段的值。
`isp_domain`	`security_result.detection_fields[isp_domain]`	`principal.asset.network_domain`
`target_endpoint_address_ip4`	`security_result.detection_fields[target_endpoint_address_ip4]`	`target.ip`
`target_endpoint_address_ip4`	`security_result.detection_fields[target_endpoint_address_ip4]`	`target.asset.ip`
`target_endpoint_address_ip6`	`security_result.detection_fields[target_endpoint_address_ip6]`	`target.ip`
`target_endpoint_address_ip6`	`security_result.detection_fields[target_endpoint_address_ip6]`	`target.asset.ip`
`start_time`	`security_result.first_discovered_time`	`security_result.detection_fields[start_time]`
`end_time`	`security_result.last_discovered_time`	`security_result.detection_fields[end_time]`
`severity, incident.score`	`security_result.severity_details` 如果 `product` 日志字段值等于 `"epp"`，并且 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `incident.score` 日志字段值不为空，则 `incident.score` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `product` 日志字段值等于 `"mobile"`，则如果 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `incident.score` 日志字段值不为空，则 `incident.score` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `product` 日志字段值等于 `"xdr"`，则如果 `incident.score` 日志字段值不为空，则 `incident.score` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。	`security_result.severity_details` 如果 `product` 日志字段值等于 `"epp"`，并且 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `incident.score` 日志字段值不为空，则 `incident.score` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `product` 日志字段值等于 `"mobile"`，则如果 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `incident.score` 日志字段值不为空，则 `incident.score` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `product` 日志字段值包含以下值之一： `xdr` `automated-lead-context` ，那么如果 `incident.score` 日志字段值不为空，则 `incident.score` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。否则，如果 `severity` 日志字段值不为空，则 `severity` 日志字段会映射到 `security_result.severity_details` UDM 字段。
`target_account_domain, entities.domain, domain_name, saas_domain`	`target.domain.name` 遍历日志字段 `entities.domain` ，如果 `index` 值等于 `0`，则 `entities.domain` 日志字段会映射到 `target.domain.name` UDM 字段。否则，`entities.domain` 日志字段会映射到 `security_result.detection_fields.entities_domain` UDM 字段。	`target.domain.name` 如果 `saas_domain` 日志字段值不为空，则 `saas_domain` 日志字段会映射到 `target.domain.name` UDM 字段。如果 `target_account_domain` 日志字段值不为空，则 `target_account_domain` 日志字段会映射到 `target.user.attribute.labels.target_account_domain` UDM 字段。如果 `entities.domain.0` 日志字段值不为空，则 `entities.domain.0` 日志字段会映射到 `target.user.attribute.labels.entities_domain` UDM 字段。如果 `domain_name` 日志字段值不为空，则 `domain_name` 日志字段会映射到 `target.user.attribute.labels.domain_name` UDM 字段。否则，如果 `target_account_domain` 日志字段值不为空，则 `target_account_domain` 日志字段会映射到 `target.domain.name` UDM 字段。如果 `entities.domain.0` 日志字段值不为空，则 `entities.domain.0` 日志字段会映射到 `target.user.attribute.labels.entities_domain` UDM 字段。如果 `domain_name` 日志字段值不为空，则 `domain_name` 日志字段会映射到 `target.user.attribute.labels.domain_name` UDM 字段。否则，如果 `entities.domain.0` 日志字段值不为空，则 `entities.domain.0` 日志字段会映射到 `target.domain.name` UDM 字段。如果 `domain_name` 日志字段值不为空，则 `domain_name` 日志字段会映射到 `target.user.attribute.labels.domain_name` UDM 字段。否则，如果 `domain_name` 日志字段值不为空，则 `domain_name` 日志字段会映射到 `target.domain.name` UDM 字段。
`entities.domain`	`security_result.detection_fields[entities_domain]` 遍历日志字段 `entities.domain` 如果 `index` 值不等于 `"0"`，则 `entities.domain` 日志字段会映射到 `security_result.detection_fields.entities_domain` UDM 字段。	`target.user.attribute.labels[entities_domain]` 遍历日志字段 `entities.domain` 如果 `index` 值不等于 `"0"`，则 `entities.domain` 日志字段会映射到 `target.user.attribute.labels.entities_domain` UDM 字段。
`target_account_upn`	`target.user.attribute.labels[target_account_upn]`	`target.user.email_addresses` 如果 `target_account_upn` 日志字段值不为空，并且 `target_account_upn` 日志字段值与正则表达式模式 `(^.+@.+$)` 匹配，则 `target_account_upn` 日志字段会映射到 `target.user.email_addresses` UDM 字段。否则，`target_account_upn` 日志字段会映射到 `target.user.attribute.labels.target_account_upn` UDM 字段。
`documents_accessed.filename`	`security_result.about.process.file.names`	`security_result.about.file.names`
`documents_accessed.filepath`	`security_result.about.process.file.full_path`	`security_result.about.file.full_path`
`documents_accessed.timestamp`	`security_result.about.process.file.first_seen_time`	`security_result.about.file.last_access_time`
`executables_written.filename`	`security_result.about.process.file.names`	`security_result.about.file.names`
`executables_written.filepath`	`security_result.about.process.file.full_path`	`security_result.about.file.full_path`
`executables_written.timestamp`	`security_result.about.process.file.last_modification_time`	`security_result.about.file.last_modification_time`
`network_accesses.local_address`	`security_result.detection_fields[network_accesses_local_address]`	`principal.ip, target.ip` 如果 `network_accesses.local_address` 日志字段值不为空，则遍历日志字段 `network_accesses` ，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_accesses.local_address` 日志字段会映射到 `target.ip` UDM 字段。否则，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_accesses.local_address` 日志字段会映射到 `principal.ip` UDM 字段。否则，`network_accesses.local_address` 日志字段会映射到 `security_result.detection_fields.network_accesses_local_address` UDM 字段。
`network_accesses.local_address`	`security_result.detection_fields[network_accesses_local_address]`	`principal.asset.ip, target.asset.ip` 如果 `network_accesses.local_address` 日志字段值不为空，则遍历日志字段 `network_accesses` ，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_accesses.local_address` 日志字段会映射到 `target.asset.ip` UDM 字段。否则，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_accesses.local_address` 日志字段会映射到 `principal.asset.ip` UDM 字段。否则，`network_accesses.local_address` 日志字段会映射到 `security_result.detection_fields.network_accesses_local_address` UDM 字段。
`network_accesses.local_port`	`security_result.detection_fields[network_accesses_local_port]`	`principal.port, target.port` 遍历日志字段 `network_accesses` ，如果 `index` 值等于 `"0"`，则如果 `network_accesses.local_port` 日志字段值不为空，则如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_accesses.local_port` 日志字段会映射到 `target.port` UDM 字段。否则，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_accesses.local_port` 日志字段会映射到 `principal.port` UDM 字段。否则，`network_accesses.local_port` 日志字段会映射到 `security_result.detection_fields.network_accesses_local_port` UDM 字段。否则，如果 `network_accesses.local_port` 日志字段值不为空，则如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_accesses.local_port` 日志字段会映射到 `target.asset.attribute.labels.network_accesses_local_port` UDM 字段。否则，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_accesses.local_port` 日志字段会映射到 `principal.asset.attribute.labels.network_accesses_local_port` UDM 字段。否则，`network_accesses.local_port` 日志字段会映射到 `security_result.detection_fields.network_accesses_local_port` UDM 字段。
`network_accesses.protocol`	`security_result.detection_fields[network_accesses_protocol]`	`network.ip_protocol` 遍历日志字段 `network_accesses.protocol` ，如果 `index` 值等于 `"0"`，则 `network_accesses.protocol` 日志字段会映射到 `network.ip_protocol` UDM 字段。否则，`network_accesses.protocol` 日志字段会映射到 `security_result.detection_fields.network_accesses_protocol` UDM 字段。
`network_accesses.remote_address`	`security_result.detection_fields[network_accesses_remote_address]`	`principal.ip, target.ip` 如果 `network_accesses.remote_address` 日志字段值不为空，则遍历日志字段 `network_accesses` ，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_accesses.remote_address` 日志字段会映射到 `principal.ip` UDM 字段。否则，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_accesses.remote_address` 日志字段会映射到 `target.ip` UDM 字段。否则，`network_accesses.remote_address` 日志字段会映射到 `security_result.detection_fields.network_accesses_remote_address` UDM 字段。
`network_accesses.remote_address`	`security_result.detection_fields[network_accesses_remote_address]`	`principal.asset.ip, target.asset.ip` 如果 `network_accesses.remote_address` 日志字段值不为空，则遍历日志字段 `network_accesses` ，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_accesses.remote_address` 日志字段会映射到 `principal.asset.ip` UDM 字段。否则，如果 `network_accesses` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_accesses.remote_address` 日志字段会映射到 `target.asset.ip` UDM 字段。否则，`network_accesses.remote_address` 日志字段会映射到 `security_result.detection_fields.network_accesses_remote_address` UDM 字段。
`resource_name, bucket_name`	`target.resource.name`	`target.resource.name` 如果 `resource_name` 日志字段值不为空，则 `resource_name` 日志字段会映射到 `target.resource.name` UDM 字段。如果 `bucket_name` 日志字段值不为空，则 `bucket_name` 日志字段会映射到 `target.resource.attribute.labels[bucket_name]` UDM 字段。否则，如果 `bucket_name` 日志字段值不为空，则 `bucket_name` 日志字段会映射到 `target.resource.name` UDM 字段。
`image_id`	`target.resource.product_object_id`	`target.resource.attribute.labels[image_id]`
`image_file_name`	`target.process.file.full_path`	`security_result.detection_fields[image_file_name]`
`incident.host_ids, destination_asset.id, destination.usb_combined_id`	`target.asset_id` 遍历日志字段 `incident.host_ids` ，如果 `index` 值等于 `"0"`，则 `target.asset_id` UDM 字段设置为根据模板 `CS:%{incident.host_ids}` 生成的值，其中 `%{incident.host_ids}` 替换为 `incident.host_ids` 日志字段的值。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"incident_host_id"`，`incident.host_ids` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`target.asset_id` 如果 `destination_asset.id` 日志字段值不为空，则 `target.asset_id` UDM 字段会设置为根据模板 `CS:%{destination_asset.id}` 生成的值，其中 `%{destination_asset.id}` 会替换为 `destination_asset.id` 日志字段的值。如果 `incident.host_ids.0` 日志字段值不为空，则 `incident.host_ids.0` 日志字段会映射到 `security_result.detection_fields.incident_host_id` UDM 字段。如果 `destination.usb_combined_id` 日志字段值不为空，则 `destination.usb_combined_id` 日志字段会映射到 `target.asset.attribute.labels.destination_usb_combined_id` UDM 字段。否则，如果 `incident.host_ids.0` 日志字段值不为空，则 `target.asset_id` UDM 字段将设置为根据模板 `CS:%{incident.host_ids.0}` 生成的值，其中 `%{incident.host_ids.0}` 将替换为 `incident.host_ids.0` 日志字段的值。如果 `destination.usb_combined_id` 日志字段值不为空，则 `destination.usb_combined_id` 日志字段会映射到 `target.asset.attribute.labels.destination_usb_combined_id` UDM 字段。否则，如果 `destination.usb_combined_id` 日志字段值不为空，则 `target.asset_id` UDM 字段会设置为根据模板 `CS:%{destination.usb_combined_id}` 生成的值，其中 `%{destination.usb_combined_id}` 会替换为 `destination.usb_combined_id` 日志字段的值。遍历日志字段 `incident.host_ids` 如果 `index` 值不等于 `"0"`，则 `security_result.detection_fields.key` UDM 字段会设置为 `"incident_host_ids"`，并且 `incident.host_ids` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。
`incident.host_ids, destination_asset.id, destination.usb_combined_id`	`target.asset.asset_id` 遍历日志字段 `incident.host_ids` ，如果 `index` 值等于 `"0"`，则 `target.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{incident.host_ids}` 生成的值，其中 `%{incident.host_ids}` 会替换为 `incident.host_ids` 日志字段的值。	`target.asset.asset_id` 如果 `destination_asset.id` 日志字段值不为空，则 `target.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{destination_asset.id}` 生成的值，其中 `%{destination_asset.id}` 会替换为 `destination_asset.id` 日志字段的值。否则，如果 `incident.host_ids.0` 日志字段值不为空，则 `target.asset.asset_id` UDM 字段将设置为根据模板 `CS:%{incident.host_ids.0}` 生成的值，其中 `%{incident.host_ids.0}` 将替换为 `incident.host_ids.0` 日志字段的值。否则，如果 `destination.usb_combined_id` 日志字段值不为空，则 `target.asset.asset_id` UDM 字段会设置为根据模板 `CS:%{destination.usb_combined_id}` 生成的值，其中 `%{destination.usb_combined_id}` 会替换为 `destination.usb_combined_id` 日志字段的值。
`entities.file_name`	`target.process.file.names` 遍历日志字段 `entities.file_name` `entities.file_name` 日志字段会映射到 `target.process.file.names` UDM 字段。	`security_result.detection_fields[entities_file_name]` 遍历日志字段 `entities.file_name` 如果 `entities.file_name` 日志字段值不为空，则 `entities.file_name` 日志字段会映射到 `security_result.detection_fields.entities_file_name` UDM 字段。
`entities.image_file_name`	`target.process.file.full_path` 遍历日志字段 `entities.image_file_name` 如果 `index` 值等于 `0`，则 `entities.image_file_name` 日志字段会映射到 `target.process.file.full_path` UDM 字段。否则，`entities.image_file_name` 日志字段会映射到 `security_result.detection_fields.entities_image_file_name` UDM 字段。	`security_result.detection_fields[entities_image_file_name]` 遍历日志字段 `entities.image_file_name` 如果 `entities.image_file_name` 日志字段值不为空，则 `entities.image_file_name` 日志字段会映射到 `security_result.detection_fields.entities_image_file_name` UDM 字段。
`entities.process`	`target.process.pid` 遍历日志字段 `entities.process` ，如果 `index` 值等于 `0`，则 `entities.process` 日志字段会映射到 `target.process.pid` UDM 字段。否则，`entities.process` 日志字段会映射到 `security_result.detection_fields.entities_process` UDM 字段。	`security_result.detection_fields[entities_process]` 遍历日志字段 `entities.process` 如果 `entities.process` 日志字段值不为空，则 `entities.process` 日志字段会映射到 `security_result.detection_fields.entities_process` UDM 字段。
`entities.sha256`	`target.process.file.sha256` 遍历日志字段 `entities.sha256` ，如果 `index` 值等于 `0`，则 `entities.sha256` 日志字段会映射到 `target.process.file.sha256` UDM 字段。否则，`entities.sha256` 日志字段会映射到 `security_result.detection_fields.entities_sha256` UDM 字段。	`security_result.detection_fields[entities_sha256]` 遍历日志字段 `entities.sha256` 如果 `entities.sha256` 日志字段值不为空，则 `entities.sha256` 日志字段会映射到 `security_result.detection_fields.entities_sha256` UDM 字段。
`entities.username`	`target.user.user_display_name` 遍历日志字段 `entities.username` ，如果 `index` 值等于 `0`，则 `entities.username` 日志字段会映射到 `target.user.user_display_name` UDM 字段。否则，`entities.username` 日志字段会映射到 `security_result.detection_fields.entities_username` UDM 字段。	`security_result.detection_fields[entities_username]` 遍历日志字段 `entities.username` 如果 `entities.username` 日志字段值不为空，则 `entities.username` 日志字段会映射到 `security_result.detection_fields.entities_username` UDM 字段。
`application_name, destination.name`	`target.application`	`target.application` 如果 `destination.name` 日志字段值不为空，则 `destination.name` 日志字段会映射到 `target.application` UDM 字段。如果 `application_name` 日志字段值不为空，则 `application_name` 日志字段会映射到 `security_result.detection_fields[application_name]` UDM 字段。否则，如果 `application_name` 日志字段值不为空，则 `application_name` 日志字段会映射到 `target.application` UDM 字段。
`network_info.local_address`	`security_result.detection_fields[network_info_local_address]`	`principal.ip, target.ip` 如果 `network_info.local_address` 日志字段值不为空，则遍历日志字段 `network_info` ，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_info.local_address` 日志字段会映射到 `target.ip` UDM 字段。否则，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_info.local_address` 日志字段会映射到 `principal.ip` UDM 字段。否则，`network_info.local_address` 日志字段会映射到 `security_result.detection_fields.network_info_local_address` UDM 字段。
`network_info.local_address`	`security_result.detection_fields[network_info_local_address]`	`principal.asset.ip, target.asset.ip` 如果 `network_info.local_address` 日志字段值不为空，则遍历日志字段 `network_info` ，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_info.local_address` 日志字段会映射到 `target.asset.ip` UDM 字段。否则，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_info.local_address` 日志字段会映射到 `principal.asset.ip` UDM 字段。否则，`network_info.local_address` 日志字段会映射到 `security_result.detection_fields.network_info_local_address` UDM 字段。
`network_info.protocol`	`security_result.detection_fields[network_info_protocol]`	`network.ip_protocol` 遍历日志字段 `network_info.protocol` ，如果 `index` 值等于 `"0"`，则 `network_info.protocol` 日志字段会映射到 `network.ip_protocol` UDM 字段。否则，`network_info.protocol` 日志字段会映射到 `security_result.detection_fields.network_info_protocol` UDM 字段。
`app_certificate_thumbprints_sha1`	`target.file.sha1`	`security_result.detection_fields[app_certificate_thumbprints_sha1]`
`app_certificate_thumbprints_sha256`	`target.file.sha256`	`security_result.detection_fields[app_certificate_thumbprints_sha256]`
`app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files`	`target.file.full_path`	`target.file.full_path` 如果 `unexpected_dynamic_library_loaded.0.target_file_name` 日志字段值不为空，则 `unexpected_dynamic_library_loaded.0.target_file_name` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `harmful_app_image_filename` 日志字段值不为空，则 `harmful_app_image_filename` 日志字段会映射到 `security_result.detection_fields.harmful_app_image_filename` UDM 字段。如果 `sideloaded_app_image_filename` 日志字段值不为空，则 `sideloaded_app_image_filename` 日志字段会映射到 `security_result.detection_fields.sideloaded_app_image_filename` UDM 字段。如果 `duplicated_app_image_filename` 日志字段值不为空，则 `duplicated_app_image_filename` 日志字段会映射到 `security_result.detection_fields.duplicated_app_image_filename` UDM 字段。如果 `debuggable_app_image_filename` 日志字段值不为空，则 `debuggable_app_image_filename` 日志字段会映射到 `security_result.detection_fields.debuggable_app_image_filename` UDM 字段。如果 `unexpected_files.0` 日志字段值不为空，则 `unexpected_files.0` 日志字段会映射到 `security_result.detection_fields.unexpected_files` UDM 字段。如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `security_result.detection_fields.app_image_filename` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `harmful_app_image_filename` 日志字段值不为空，则 `harmful_app_image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `sideloaded_app_image_filename` 日志字段值不为空，则 `sideloaded_app_image_filename` 日志字段会映射到 `security_result.detection_fields.sideloaded_app_image_filename` UDM 字段。如果 `duplicated_app_image_filename` 日志字段值不为空，则 `duplicated_app_image_filename` 日志字段会映射到 `security_result.detection_fields.duplicated_app_image_filename` UDM 字段。如果 `debuggable_app_image_filename` 日志字段值不为空，则 `debuggable_app_image_filename` 日志字段会映射到 `security_result.detection_fields.debuggable_app_image_filename` UDM 字段。如果 `unexpected_files.0` 日志字段值不为空，则 `unexpected_files.0` 日志字段会映射到 `security_result.detection_fields.unexpected_files` UDM 字段。如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `security_result.detection_fields.app_image_filename` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `sideloaded_app_image_filename` 日志字段值不为空，则 `sideloaded_app_image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `duplicated_app_image_filename` 日志字段值不为空，则 `duplicated_app_image_filename` 日志字段会映射到 `security_result.detection_fields.duplicated_app_image_filename` UDM 字段。如果 `debuggable_app_image_filename` 日志字段值不为空，则 `debuggable_app_image_filename` 日志字段会映射到 `security_result.detection_fields.debuggable_app_image_filename` UDM 字段。如果 `unexpected_files.0` 日志字段值不为空，则 `unexpected_files.0` 日志字段会映射到 `security_result.detection_fields.unexpected_files` UDM 字段。如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `security_result.detection_fields.app_image_filename` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `duplicated_app_image_filename` 日志字段值不为空，则 `duplicated_app_image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `debuggable_app_image_filename` 日志字段值不为空，则 `debuggable_app_image_filename` 日志字段会映射到 `security_result.detection_fields.debuggable_app_image_filename` UDM 字段。如果 `unexpected_files.0` 日志字段值不为空，则 `unexpected_files.0` 日志字段会映射到 `security_result.detection_fields.unexpected_files` UDM 字段。如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `security_result.detection_fields.app_image_filename` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `debuggable_app_image_filename` 日志字段值不为空，则 `debuggable_app_image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `unexpected_files.0` 日志字段值不为空，则 `unexpected_files.0` 日志字段会映射到 `security_result.detection_fields.unexpected_files` UDM 字段。如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `security_result.detection_fields.app_image_filename` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `unexpected_files.0` 日志字段值不为空，则 `unexpected_files.0` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `security_result.detection_fields.app_image_filename` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `app_image_filename` 日志字段值不为空，则 `app_image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_apps_image_filename` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `suspicious_apps.0.image_filename` 日志字段值不为空，则 `suspicious_apps.0.image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `security_result.detection_fields.suspicious_activities_apps_image_filename` UDM 字段。否则，如果 `suspicious_activities_apps.0.image_filename` 日志字段值不为空，则 `suspicious_activities_apps.0.image_filename` 日志字段会映射到 `target.file.full_path` UDM 字段。
`app_label`	`target.application`	`security_result.detection_fields[app_label]`
`correlation_rule_user_id`	`security_result.rule_author`	`security_result.rule_labels[correlation_rule_user_id]`
`debuggable_app_label`	`target.application`	`security_result.detection_fields[debuggable_app_label]`
`debuggable_certificate_thumbprints_sha1`	`target.file.sha1`	`security_result.detection_fields[debuggable_certificate_thumbprints_sha1]`
`debuggable_certificate_thumbprints_sha256`	`target.file.sha256`	`security_result.detection_fields[debuggable_certificate_thumbprints_sha256]`
`duplicated_app_label`	`target.application`	`security_result.detection_fields[duplicated_app_label]`
`harmful_app_certificate_thumbprints_sha1`	`target.file.sha1`	`security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]`
`harmful_app_certificate_thumbprints_sha256`	`target.file.sha256`	`security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]`
`harmful_app_label`	`target.application`	`security_result.detection_fields[harmful_app_label]`
`indicator_process_id`	`target.process.pid`	`security_result.detection_fields[indicator_process_id]`
`intrusive_package.target_package_name`	`target.application` 遍历日志字段 `intrusive_package` ，如果 `index` 值等于 `"0"`，则 `intrusive_package.target_package_name` 日志字段会映射到 `target.application` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"intrusive_package_target_package_name"`，`intrusive_package.target_package_name` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`security_result.detection_fields[intrusive_package_target_package_name]` 如果 `intrusive_package.target_package_name` 日志字段值不为空，则遍历日志字段 `intrusive_package` ，然后将 `intrusive_package.target_package_name` 日志字段映射到 `security_result.detection_fields.intrusive_package_target_package_name` UDM 字段。
`intrusive_process.target_process_name`	`target.process.file.names` 遍历日志字段 `intrusive_process` ，如果 `index` 值等于 `"0"`，则 `intrusive_process.target_process_name` 日志字段会映射到 `target.process.file.names` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"intrusive_process_target_process_name"`，`intrusive_process.target_process_name` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`security_result.detection_fields[intrusive_process_target_process_name]` 遍历日志字段 `intrusive_process` ，如果 `intrusive_process.target_process_name` 日志字段值不为空，则 `intrusive_process.target_process_name` 日志字段会映射到 `security_result.detection_fields.intrusive_process_target_process_name` UDM 字段。
`intrusive_process.target_process_path`	`target.process.file.full_path` 遍历日志字段 `intrusive_process` ，如果 `index` 值等于 `"0"`，则 `intrusive_process.target_process_path` 日志字段会映射到 `target.process.file.full_path` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"intrusive_process_target_process_path"`，`intrusive_process.target_process_path` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`security_result.detection_fields[intrusive_process_target_process_path]` 遍历日志字段 `intrusive_process` 如果 `intrusive_process.target_process_path` 日志字段值不为空，则 `intrusive_process.target_process_path` 日志字段会映射到 `security_result.detection_fields.intrusive_process_target_process_path` UDM 字段。
`network_info.local_port`	`security_result.detection_fields[network_info_local_port]`	`principal.port, target.port` 遍历日志字段 `network_info` ，如果 `index` 值等于 `"0"`，则如果 `network_info.local_port` 日志字段值不为空，则如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_info.local_port` 日志字段会映射到 `target.port` UDM 字段。否则，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_info.local_port` 日志字段会映射到 `principal.port` UDM 字段。否则，`network_info.local_port` 日志字段会映射到 `security_result.detection_fields.network_info_local_port` UDM 字段。否则，如果 `network_info.local_port` 日志字段值不为空，则如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_info.local_port` 日志字段会映射到 `target.asset.attribute.labels.network_info_local_port` UDM 字段。否则，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_info.local_port` 日志字段会映射到 `principal.asset.attribute.labels.network_info_local_port` UDM 字段。否则，`network_info.local_port` 日志字段会映射到 `security_result.detection_fields.network_info_local_port` UDM 字段。
`network_info.remote_address`	`security_result.detection_fields[network_info_remote_address]`	`principal.ip, target.ip` 如果 `network_info.remote_address` 日志字段值不为空，则遍历日志字段 `network_info` ，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_info.remote_address` 日志字段会映射到 `principal.ip` UDM 字段。否则，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_info.remote_address` 日志字段会映射到 `target.ip` UDM 字段。否则，`network_info.remote_address` 日志字段会映射到 `security_result.detection_fields.network_info_remote_address` UDM 字段。
`network_info.remote_address`	`security_result.detection_fields[network_info_remote_address]`	`principal.asset.ip, target.asset.ip` 如果 `network_info.remote_address` 日志字段值不为空，则遍历日志字段 `network_info` ，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)inbound` 匹配，则 `network_info.remote_address` 日志字段会映射到 `principal.asset.ip` UDM 字段。否则，如果 `network_info` 日志字段值 `connection_direction` 日志字段值与正则表达式模式 `(?i)outbound` 匹配，则 `network_info.remote_address` 日志字段会映射到 `target.asset.ip` UDM 字段。否则，`network_info.remote_address` 日志字段会映射到 `security_result.detection_fields.network_info_remote_address` UDM 字段。
`sideloaded_app_certificate_thumbprints_sha1`	`target.file.sha1`	`security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]`
`sideloaded_app_certificate_thumbprints_sha256`	`target.file.sha256`	`security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]`
`sideloaded_app_label`	`target.application`	`security_result.detection_fields[sideloaded_app_label]`
`suspicious_activities_apps.app_label`	`target.application` 遍历日志字段 `suspicious_activities_apps` ，如果 `index` 值等于 `"0"`，则 `suspicious_activities_apps.app_label` 日志字段会映射到 `target.application` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"suspicious_activities_apps_app_label"`，`suspicious_activities_apps.app_label` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`target.resource.attribute.labels[suspicious_activities_apps_app_label]`
`suspicious_apps.app_label`	`target.application` 遍历日志字段 `suspicious_apps` ，如果 `index` 值等于 `"0"`，则 `suspicious_apps.app_label` 日志字段会映射到 `target.application` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"suspicious_apps_app_label"`，`suspicious_apps.app_label` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`target.resource.attribute.labels[suspicious_apps_app_label]`
`suspicious_apps.certificate_thumbprints_sha1`	`target.file.sha1` 遍历日志字段 `suspicious_apps` ，如果 `index` 值等于 `"0"`，则 `suspicious_apps.certificate_thumbprints_sha1` 日志字段会映射到 `target.file.sha1` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"suspicious_apps_certificate_thumbprints_sha1"`，`suspicious_apps.certificate_thumbprints_sha1` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]`
`suspicious_apps.certificate_thumbprints_sha256`	`target.file.sha256` 遍历日志字段 `suspicious_apps` ，如果 `index` 值等于 `"0"`，则 `suspicious_apps.certificate_thumbprints_sha256` 日志字段会映射到 `target.file.sha256` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"suspicious_apps_certificate_thumbprints_sha256"`，`suspicious_apps.certificate_thumbprints_sha256` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]`
`system_partition_altered.volume_mount_point`	`target.resource.name` 遍历日志字段 `system_partition_altered` ，如果 `index` 值等于 `"0"`，则 `system_partition_altered.volume_mount_point` 日志字段会映射到 `target.resource.name` UDM 字段。否则，`system_partition_altered.volume_mount_point` 日志字段会映射到 `target.resource_ancestors.name` UDM 字段。	`target.resource.attribute.labels[system_partition_altered_volume_mount_point]`
	`target.resource.resource_type` 遍历日志字段 `system_partition_altered` 如果 `system_partition_altered.volume_mount_point` 日志字段值不为空，则如果 `index` 值等于 `"0"`，则 `target.resource.resource_type` UDM 字段设置为 `"VOLUME"`。否则，`target.resource_ancestors.resource_type` UDM 字段会设置为 `"VOLUME"`。
`system_partition_altered.volume_type`	`target.resource.resource_subtype` 遍历日志字段 `system_partition_altered` 如果 `index` 值等于 `"0"`，则 `system_partition_altered.volume_type` 日志字段会映射到 `target.resource.resource_subtype` UDM 字段。否则，`system_partition_altered.volume_type` 日志字段会映射到 `target.resource_ancestors.resource_subtype` UDM 字段。	`target.resource.attribute.labels[system_partition_altered_volume_type]`
`system_updates_blocked_by_dns.domain_name`	`network.dns.questions.name` 遍历日志字段 `system_updates_blocked_by_dns` `system_updates_blocked_by_dns.domain_name` 日志字段映射到 `network.dns.questions.name` UDM 字段。	`about.domain.name` 遍历日志字段 `system_updates_blocked_by_dns` `system_updates_blocked_by_dns.domain_name` 日志字段映射到 `about.domain.name` UDM 字段。
`system_updates_blocked_by_filesystem.file_name`	`target.file.names` 遍历日志字段 `system_updates_blocked_by_filesystem` `system_updates_blocked_by_filesystem.file_name` 日志字段会映射到 `target.file.names` UDM 字段。	`about.file.full_path` 遍历日志字段 `system_updates_blocked_by_filesystem` `system_updates_blocked_by_filesystem.file_name` 日志字段映射到 `about.file.full_path` UDM 字段。
`system_updates_blocked_by_http.url`	`target.url` 如果 `url` 日志字段值为空，则遍历日志字段 `system_updates_blocked_by_http` 如果 `index` 值等于 `"0"`，则 `system_updates_blocked_by_http.url` 日志字段会映射到 `target.url` UDM 字段。否则，`security_result.detection_fields.key` UDM 字段会设置为 `"system_updates_blocked_by_http_url"`，`system_updates_blocked_by_http.url` 日志字段会映射到 `security_result.detection_fields.value` UDM 字段。	`about.url` 遍历日志字段 `system_updates_blocked_by_http` `system_updates_blocked_by_http.url` 日志字段会映射到 `about.url` UDM 字段。
`threatgraph_indicators.process_id`	`target.process.pid` 遍历日志字段 `threatgraph_indicators` ，如果 `index` 值等于 `"0"`，则 `threatgraph_indicators.process_id` 日志字段会映射到 `target.process.pid` UDM 字段。否则，如果 `threatgraph_indicators.process_id` 日志字段值不为空，则 `threatgraph_indicators.process_id` 日志字段会映射到 `security_result.detection_fields.threatgraph_indicators_process_id` UDM 字段。	`security_result.detection_fields[threatgraph_indicators_process_id]` 如果 `threatgraph_indicators.process_id` 日志字段值不为空，则遍历日志字段 `threatgraph_indicators` ，然后将 `threatgraph_indicators.process_id` 日志字段映射到 `security_result.detection_fields.threatgraph_indicators_process_id` UDM 字段。
`agent_id`	`principal.asset.attribute.labels[agent_id]` 如果 `device.device_id` 日志字段值不为空，或者 `mdm_device_id` 日志字段值不为空，或者 `host_id` 日志字段值不为空，那么如果 `agent_id` 日志字段值不为空，则 `agent_id` 日志字段会映射到 `principal.asset.attribute.labels.agent_id` UDM 字段。
`event_timestamp, timestamp`	`metadata.event_timestamp` 如果 `timestamp` 日志字段值不为空，则 `timestamp` 日志字段会映射到 `metadata.event_timestamp` UDM 字段。	`metadata.event_timestamp` 如果 `event_timestamp` 日志字段值不为空，则 `event_timestamp` 日志字段会映射到 `metadata.event_timestamp` UDM 字段。否则，如果 `timestamp` 日志字段值不为空，则 `timestamp` 日志字段会映射到 `metadata.event_timestamp` UDM 字段。