收集 CrowdStrike Falcon 記錄

剖析器版本：33.0

本文說明如何將 CrowdStrike Falcon 記錄檔擷取至 Google Security Operations。您可以擷取多種 CrowdStrike Falcon 記錄，本文將說明各項記錄的具體設定。

如要概略瞭解 Google Security Operations 的資料擷取功能，請參閱「將資料擷取至 Google Security Operations」。

支援的 CrowdStrike Falcon 記錄類型

Google Security Operations 支援下列 CrowdStrike Falcon 記錄類型，剖析器會使用下列擷取標籤：

• 端點偵測與應變 (EDR)：CS_EDR。這個剖析器會剖析 CrowdStrike Falcon Data Replicator (FDR) 的近乎即時遙測資料，例如檔案存取和登錄檔修改。資料通常是從 S3 或 Cloud Storage bucket 擷取。

• 偵測結果：CS_DETECTS。這個剖析器會使用 Detect API，剖析 CrowdStrike 的偵測摘要事件。雖然與端點活動相關，但相較於使用 CS_EDR 剖析的原始遙測資料，CS_DETECTS 提供更高層級的偵測摘要。

• 快訊：CS_ALERTS。這個剖析器會使用 Alerts API 剖析 CrowdStrike 的快訊。CrowdStrike 快訊剖析器支援下列產品類型：

  • epp
  • idp
  • overwatch
  • xdr
  • mobile
  • cwpp
  • ngsiem
  • automated-lead
  • automated-lead-context
  • thirdparty
  • data-protection
  • fcs

• 入侵指標 (IoC)：CS_IOC。這個剖析器會使用 CrowdStrike Chronicle Intel Bridge，剖析 CrowdStrike 威脅情報的 IoC 和攻擊指標 (IOA)。CrowdStrike 入侵指標 (IoC) 剖析器支援下列指標類型：

  • domain
  • email_address
  • file_name
  • file_path
  • hash_md5
  • hash_sha1
  • hash_sha256
  • ip_address
  • mutex_name
  • url

Google SecOps 建議使用 CS_EDR、CS_DETECTS 和 CS_IOC 的動態饋給，從 CrowdStrike 擷取完整資料。

事前準備

請確認您已完成下列事前準備：

• CrowdStrike 執行個體的管理員權限，以便安裝 CrowdStrike Falcon Host 感應器
• 部署架構中的所有系統都設為世界標準時間 (UTC) 時區。
• 目標裝置搭載支援的作業系統
  • 必須是 64 位元伺服器
  • CrowdStrike Falcon Host 感應器 6.51 以上版本支援 Microsoft Windows Server 2008 R2 SP1。
  • 舊版 OS 必須支援 SHA-2 程式碼簽署。
• Google SecOps 服務帳戶檔案和 Google SecOps 支援團隊提供的客戶 ID

設定動態饋給

在 Google SecOps 平台中，有兩種不同的動態饋給設定進入點：

• SIEM 設定 > 資訊提供 > 新增資訊提供
• Content Hub > Content Packs > Get Started

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

擷取 CrowdStrike Falcon 記錄

本節說明如何設定不同類型 CrowdStrike Falcon 記錄的擷取作業。

擷取 EDR 記錄 (CS_EDR)

您可以根據要從 CrowdStrike 傳送記錄的位置，使用下列其中一種方法擷取 CrowdStrike Falcon EDR 記錄：

• Amazon SQS：使用 Falcon Data Replicator 動態饋給。
• Amazon S3：使用為 S3 bucket 設定的 Google Security Operations 動態饋給。
• Google Cloud Storage：讓 CrowdStrike 將記錄檔推送至 Cloud Storage bucket。

請選擇下列其中一項程序。

方法 1：從 Amazon SQS 擷取 EDR 記錄

這個方法會使用 CrowdStrike Falcon Data Replicator，將 EDR 記錄傳送至 Amazon SQS 佇列，再由 Google Security Operations 輪詢。

1. 按一下「CrowdStrike」CrowdStrike套件。

2. 在「CrowdStrike Falcon」記錄類型中，指定下列欄位的值：

   • 來源：Amazon SQS
   • 區域：與 URI 相關聯的 S3 區域。
   • 佇列名稱：要讀取記錄資料的 SQS 佇列名稱。
   • S3 URI：S3 bucket 來源 URI。
   • Account Number：SQS 帳號。
   • 佇列存取金鑰 ID：20 個字元的帳戶存取金鑰 ID。例如：AKIAOSFOODNN7EXAMPLE。
   • Queue Secret Access Key：40 個字元的私密存取金鑰。例如：wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY。
   • 來源刪除選項：可選擇在移轉資料後刪除檔案和目錄。

   進階選項

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 資產命名空間：與動態饋給相關聯的命名空間。
   • 擷取標籤：套用至這個動態饋給所有事件的標籤。

3. 按一下「建立動態饋給」。

如要進一步瞭解如何為這個產品系列中的不同記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。

方法 2：從 Amazon S3 bucket 擷取 EDR 記錄

這個方法涉及設定 Google Security Operations 動態饋給，直接從 Amazon S3 bucket 提取 EDR 記錄。

如要使用 S3 bucket 設定攝入動態饋給，請按照下列步驟操作：

1. 依序前往「SIEM Settings」>「Feeds」。
2. 按一下「Add New Feed」。
3. 在下一頁，點按「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱，例如 Crowdstrike Falcon Logs。
5. 在「Source type」(來源類型) 中，選取「Amazon S3」。
6. 在「Log type」(記錄類型) 中，選取「CrowdStrike Falcon」。
7. 根據您建立的服務帳戶和 Amazon S3 bucket 設定，指定下列欄位的值：

   欄位	說明
   region	S3 區域 URI。
   S3 uri	S3 bucket 來源 URI。
   uri is a	URI 指向的物件類型 (例如檔案或資料夾)。
   source deletion option	可選擇在移轉資料後刪除檔案和目錄。
   access key id	存取金鑰 (20 個英數字元的字串)。例如 AKIAOSFOODNN7EXAMPLE。
   secret access key	私密存取金鑰 (40 個英數字元的字串)。例如 wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY。
   oauth client id	公開 OAuth 用戶端 ID。
   oauth client secret	OAuth 2.0 用戶端密鑰。
   oauth secret refresh uri	OAuth 2.0 用戶端密鑰更新 URI。
   asset namespace	與動態饋給相關聯的命名空間。

8. 依序點按「繼續」和「提交」。

選項 3：從 Cloud Storage 擷取 EDR 記錄

您可以設定 CrowdStrike，將 EDR 記錄傳送至 Cloud Storage bucket，然後使用動態饋給將這些記錄擷取至 Google Security Operations。這項程序需要與 CrowdStrike 支援團隊協調。

1. 聯絡 CrowdStrike 支援團隊：向 CrowdStrike 提交支援單，啟用並設定將 EDR 記錄推送至 Cloud Storage bucket。他們會提供必要設定的相關指引。

2. 建立 Cloud Storage bucket 並設定權限：

   1. 在 Google Cloud 控制台建立新的 Cloud Storage bucket。請記下 bucket 名稱 (例如 gs://my-crowdstrike-edr-logs/)。
   2. 將寫入權限授予 CrowdStrike 提供的服務帳戶。按照 CrowdStrike 支援團隊的指示操作。

3. 設定 Google SecOps 動態饋給：

   1. 在 Google SecOps 執行個體中，依序前往「Settings」>「Feeds」，然後點選「Add New」。
   2. 輸入描述性的動態饋給名稱 (例如 CS-EDR-GCS)。

   3. 在「來源類型」部分，選取「Google Cloud Storage V2」。

   4. 在「Log type」(記錄類型) 部分，選取「CrowdStrike Falcon」。

   5. 在「服務帳戶」部分，按一下「取得服務帳戶」。複製畫面上顯示的專屬服務帳戶電子郵件地址。

   6. 在 Google Cloud 控制台中，前往 Cloud Storage bucket，並將 Storage Object Viewer IAM 角色授予您複製的服務帳戶電子郵件地址。這樣一來，動態饋給就能讀取記錄檔。

   7. 返回 Google SecOps 動態饋給設定頁面。

   8. 輸入儲存空間 bucket 網址 (例如 gs://my-crowdstrike-edr-logs/)。這個網址結尾必須是正斜線 (/)。

   9. 如果是「以事件為依據」動態饋給類型，請提供 Pub/Sub 訂閱項目名稱 (例如 projects/myproject/subscriptions/crowdstrike-edr-sub)。

   10. 選取「Source Deletion Option」(來源刪除選項)。建議選取「一律不刪除檔案」。

   11. 點選「下一步」，檢查設定後按一下「提交」。

4. 驗證記錄擷取：CrowdStrike 確認記錄已推送後，請在 Google SecOps 中檢查傳入的記錄，記錄類型為 CS_EDR。

擷取快訊記錄 (CS_ALERTS)

如要擷取 CrowdStrike Falcon 警告，請設定使用 CrowdStrike API 的動態饋給。

1. 在 CrowdStrike Falcon 控制台中：

   1. 登入 CrowdStrike Falcon 控制台。
   2. 依序前往「支援與資源」 >「資源與工具」 >「API 用戶端和金鑰」，然後點選「建立 API 用戶端」。
   3. 輸入「Client Name」(用戶端名稱) 和「Description」(說明)。
   4. 在「API 範圍」部分，勾選「快訊」的「讀取」方塊。
   5. 點選「建立」。記下系統產生的用戶端 ID、用戶端密鑰和基準網址。

2. 在 Google Security Operations 中：

   1. 依序前往「設定」>「動態饋給」，然後點選「新增」。
   2. 在「Source type」部分選取「Third Party API」。
   3. 在「記錄類型」部分，選取「CrowdStrike Alerts API」。

   4. 按一下「下一步」，然後使用 CrowdStrike API 用戶端的值填入下列欄位：

      • OAuth 權杖端點：例如 https://api.us-2.crowdstrike.com/oauth2/token。
      • OAuth 用戶端 ID
      • OAuth 用戶端密鑰
      • 基準網址：例如 api.us-2.crowdstrike.com。
      • Ingestion Type (擷取類型)：選取下列其中一個選項：
        • 擷取所有快訊：擷取新快訊和已更新的現有快訊。
        • Bring only new alerts：僅擷取新快訊。

   5. 依序點按「繼續」和「提交」。

擷取偵測記錄 (CS_DETECTS)

如要擷取 CrowdStrike Falcon 偵測記錄，您也需要使用 CrowdStrike API。

1. 在 CrowdStrike Falcon 控制台中：

   1. 登入 CrowdStrike Falcon 控制台。
   2. 依序前往「Support Apps」 >「API Clients and Keys」。
   3. 建立新的 API 用戶端金鑰組。這個金鑰組必須具備 Detections 的 READ 權限。

2. 在 Google Security Operations 中：

   1. 依序前往「設定」>「動態饋給」，然後點選「新增」。
   2. 在「Source type」部分選取「Third Party API」。
   3. 在「記錄類型」部分，選取「CrowdStrike Detection Monitoring」。
   4. 依序點按「繼續」和「提交」。系統會提示您輸入建立的 API 憑證。

擷取 IoC 記錄 (CS_IOC)

如要從 CrowdStrike 擷取入侵指標 (IoC) 記錄，請使用 Google SecOps Intel Bridge。

1. 在 CrowdStrike Falcon 控制台中，建立新的 API 用戶端金鑰組。這個金鑰組必須具備 Indicators (Falcon Intelligence) 的 READ 權限。
2. 按照「CrowdStrike 至 Google SecOps Intel Bridge」中的操作說明，設定 Google SecOps Intel Bridge。

3. 執行下列 Docker 指令，將 CrowdStrike 的記錄傳送至 Google SecOps。sa.json 是 Google SecOps 服務帳戶檔案。

   docker build . -t ccib:latest
   docker run -it --rm \
         -e FALCON_CLIENT_ID="$FALCON_CLIENT_ID"  \
         -e FALCON_CLIENT_SECRET="$FALCON_CLIENT_SECRET"  \
         -e FALCON_CLOUD_REGION="$FALCON_CLOUD"  \
         -e CHRONICLE_CUSTOMER_ID="$CHRONICLE_CUSTOMER_ID"  \
         -e GOOGLE_APPLICATION_CREDENTIALS=/ccib/sa.json  \
         -v  ~/my/path/to/service/account/filer/sa.json:/ccib/sa.json  \
         ccib:latest
   

4. 容器執行後，IoC 記錄就會開始串流至 Google SecOps。

如果設定時遇到問題，請與 Google SecOps 支援團隊聯絡。

支援的 CrowdStrike 記錄格式

CrowdStrike 剖析器支援 JSON 格式的記錄。

變更記錄

查看這個剖析器的變更記錄

CS_ALERTS UDM 對應差異

下表列出 CrowdStrike 警示 (CS_ALERTS) 剖析器舊 UDM 對應與新 UDM 對應之間的差異。

記錄欄位	舊 UDM 欄位名稱	新 UDM 欄位名稱
source_account_domain, device.machine_domain, logon_domain	principal.domain.name 如果 source_account_domain 記錄欄位值「不是」空白，source_account_domain 記錄欄位會對應至 principal.domain.name UDM 欄位。 否則，如果 logon_domain 記錄欄位值「不是」空白，則 logon_domain 記錄欄位會對應至 principal.domain.name UDM 欄位。 否則，如果 device.machine_domain 記錄欄位值「不是」空白，則 device.machine_domain 記錄欄位會對應至 principal.domain.name UDM 欄位。	principal.domain.name 如果 source_account_domain 記錄欄位值「不是」空白，source_account_domain 記錄欄位會對應至 principal.domain.name UDM 欄位。如果 device.machine_domain 記錄欄位值「不是」空白，則 device.machine_domain 記錄欄位會對應至 principal.user.attribute.labels.device_machine_domain UDM 欄位。如果 logon_domain 記錄欄位值「不是」空白，logon_domain 記錄欄位會對應至 principal.user.attribute.labels.logon_domain UDM 欄位。 否則，如果 device.machine_domain 記錄欄位值「不是」空白，則 device.machine_domain 記錄欄位會對應至 principal.domain.name UDM 欄位。如果 logon_domain 記錄欄位值「不是」空白，則 logon_domain 記錄欄位會對應至 principal.user.attribute.labels.logon_domain UDM 欄位。 否則，如果 logon_domain 記錄欄位值「不是」空白，則 logon_domain 記錄欄位會對應至 principal.domain.name UDM 欄位。
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.hostname 如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 principal.hostname UDM 欄位。 否則，如果 computer_name 記錄欄位值「不是」空白，則 computer_name 記錄欄位會對應至 principal.hostname UDM 欄位。 否則，如果 host_name 記錄欄位值「不是」空白，則 host_name 記錄欄位會對應至 principal.hostname UDM 欄位。 否則，如果 source_endpoint_host_name 記錄欄位值「不」為空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.hostname UDM 欄位。 否則，如果 device.hostname 記錄欄位值「不」為空白，則 device.hostname 記錄欄位會對應至 principal.hostname UDM 欄位。	principal.hostname 如果 hostname 記錄欄位值「不是」空白，則 hostname 記錄欄位會對應至 principal.hostname UDM 欄位。如果 computer_name 記錄欄位值「不」為空白，則 computer_name 記錄欄位會對應至 principal.asset.attribute.labels.computer_name UDM 欄位。如果 host_name 記錄欄位值「不」為空白，則 host_name 記錄欄位會對應至 principal.asset.attribute.labels.host_name UDM 欄位。如果 host 記錄欄位值「不是」空白，則 host 記錄欄位會對應至 principal.asset.attribute.labels.host UDM 欄位。如果 device.hostname 記錄欄位值「不是」空白，device_hostname 記錄欄位會對應至 principal.asset.attribute.labels.device_hostname UDM 欄位。如果 source_endpoint_host_name 記錄欄位值「不是」空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.attribute.labels.source_endpoint_host_name UDM 欄位。如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_hostname UDM 欄位。 否則，如果 host_name 記錄欄位值「不是」空白，host_name 記錄欄位會對應至 principal.hostname UDM 欄位。如果 computer_name 記錄欄位值「不」為空白，則 computer_name 記錄欄位會對應至 principal.asset.attribute.labels.computer_name UDM 欄位。如果 host 記錄欄位值「不是」空白，host 記錄欄位會對應至 principal.asset.attribute.labels.host UDM 欄位。如果 device.hostname 記錄欄位值「不是」空白，device_hostname 記錄欄位會對應至 principal.asset.attribute.labels.device_hostname UDM 欄位。如果 source_endpoint_host_name 記錄欄位值「不」為空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.attribute.labels.source_endpoint_host_name UDM 欄位。如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 security_result.detection_fields[threatgraph_indicator_hostname] UDM 欄位。 否則，如果 computer_name 記錄欄位值「不」為空白，則 computer_name 記錄欄位會對應至 principal.hostname UDM 欄位。如果 host 記錄欄位值「不是」空白，host 記錄欄位會對應至 principal.asset.attribute.labels.host UDM 欄位。如果 device.hostname 記錄欄位值「不是」空白，則 device.hostname 記錄欄位會對應至 principal.asset.attribute.labels.device_hostname UDM 欄位。如果 source_endpoint_host_name 記錄欄位值「不是」空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.attribute.labels.source_endpoint_host_name UDM 欄位。如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_hostname UDM 欄位。 否則，如果 host 記錄欄位值「不是」空白，則 host 記錄欄位會對應至 principal.hostname UDM 欄位。如果 device.hostname 記錄欄位值「不是」空白，則 device.hostname 記錄欄位會對應至 principal.asset.attribute.labels.device_hostname UDM 欄位。如果 source_endpoint_host_name 記錄欄位值「不是」空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.attribute.labels.source_endpoint_host_name UDM 欄位。如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_hostname UDM 欄位。 否則，如果 device.hostname 記錄欄位值「不是」空白，則 device.hostname 記錄欄位會對應至 principal.hostname UDM 欄位。如果 source_endpoint_host_name 記錄欄位值「不是」空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.attribute.labels.source_endpoint_host_name UDM 欄位。如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_hostname UDM 欄位。 否則，如果 source_endpoint_host_name 記錄欄位值「不是」空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.hostname UDM 欄位。如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_hostname UDM 欄位。 否則，如果 threatgraph_indicators.0.hostname 記錄欄位值「不」為空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 principal.hostname UDM 欄位。
source_endpoint_host_name, device.hostname, hostname, host_name, computer_name, threatgraph_indicators.hostname, host	principal.asset.hostname 如果 threatgraph_indicators.0.hostname 記錄欄位值「不」為空白，則 threatgraph_indicators.0.hostname 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 computer_name 記錄欄位值「不是」空白，則 computer_name 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 host_name 記錄欄位值「不是」空白，則 host_name 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 source_endpoint_host_name 記錄欄位值「不」為空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 device.hostname 記錄欄位值「不」為空白，則 device.hostname 記錄欄位會對應至 principal.asset.hostname UDM 欄位。	principal.asset.hostname 如果 hostname 記錄欄位值「不是」空白，則 hostname 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 host_name 記錄欄位值「不」為空白，則 host_name 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 computer_name 記錄欄位值「不」為空白，則 computer_name 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 host 記錄欄位值「不是」空白，則 host 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 device.hostname 記錄欄位值「不是」空白，則 device.hostname 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 source_endpoint_host_name 記錄欄位值「不是」空白，則 source_endpoint_host_name 記錄欄位會對應至 principal.asset.hostname UDM 欄位。 否則，如果 threatgraph_indicators.0.hostname 記錄欄位值「不是」空白，threatgraph_indicators.0.hostname 記錄欄位會對應至 principal.asset.hostname UDM 欄位。
device.machine_domain	principal.asset.attribute.labels[device_machine_domain]
location_country_code, device_geo_location.country_name	principal.location.country_or_region location_country_code 記錄欄位會對應至 principal.location.country_or_region UDM 欄位。	principal.location.country_or_region 如果 device_geo_location.country_name 記錄欄位值「不是」空白，則 device_geo_location.country_name 記錄欄位會對應至 principal.location.country_or_region UDM 欄位。如果 location_country_code 記錄欄位值「不是」空白，則 location_country_code 記錄欄位會對應至 security_result.detection_fields.location_country_code UDM 欄位。 否則，如果 location_country_code 記錄欄位值「不是」空白，則 location_country_code 記錄欄位會對應至 principal.location.country_or_region UDM 欄位。
source_account_upn	principal.user.attribute.labels[source_account_upn]	principal.user.email_addresses
user_name	principal.user.attribute.labels[user_name]
user_name, source_account_name, encrypted_by_username, user_display_name	principal.user.user_display_name 如果 user_name 記錄欄位值「不是」空白，則 user_name 記錄欄位會對應至 principal.user.user_display_name UDM 欄位。 否則，如果 source_account_name 記錄欄位值「不」為空白，則 source_account_name 記錄欄位會對應至 principal.user.user_display_name UDM 欄位。	principal.user.user_display_name 如果 user_name 記錄欄位值「不是」空白，則 user_name 記錄欄位會對應至 principal.user.user_display_name UDM 欄位。如果 source_account_name 記錄欄位值「不是」空白，source_account_name 記錄欄位會對應至 principal.user.attribute.labels.source_account_name UDM 欄位。如果 encrypted_by_username 記錄欄位值「不是」空白，則 encrypted_by_username 記錄欄位會對應至 principal.user.attribute.labels.encrypted_by_username UDM 欄位。如果 user_display_name 記錄欄位值「不是」空白，則 user_display_name 記錄欄位會對應至 principal.user.attribute.labels.user_display_name UDM 欄位。 否則，如果 source_account_name 記錄欄位值「不是」空白，則 source_account_name 記錄欄位會對應至 principal.user.user_display_name UDM 欄位。如果 encrypted_by_username 記錄欄位值「不是」空白，encrypted_by_username 記錄欄位會對應至 principal.user.attribute.labels.encrypted_by_username UDM 欄位。如果 user_display_name 記錄欄位值「不是」空白，則 user_display_name 記錄欄位會對應至 principal.user.attribute.labels.user_display_name UDM 欄位。 否則，如果 encrypted_by_username 記錄欄位值「不」為空白，則 encrypted_by_username 記錄欄位會對應至 principal.user.user_display_name UDM 欄位。如果 user_display_name 記錄欄位值「不是」空白，則 user_display_name 記錄欄位會對應至 principal.user.attribute.labels.user_display_name UDM 欄位。 否則，如果 user_display_name 記錄欄位值「不是」空白，則 user_display_name 記錄欄位會對應至 principal.user.user_display_name UDM 欄位。
source_account_object_sid, sid	principal.user.windows_sid	principal.user.windows_sid 如果 sid 記錄欄位值「不是」空白，則 sid 記錄欄位會對應至 principal.user.windows_sid UDM 欄位。如果 source_account_object_sid 記錄欄位值「不是」空白，則 source_account_object_sid 記錄欄位會對應至 principal.user.attribute.labels[source_account_object_sid] UDM 欄位。 否則，如果 source_account_object_sid 記錄欄位值「不是」空白，則 source_account_object_sid 記錄欄位會對應至 principal.user.windows_sid UDM 欄位。
assigned_to_uuid	security_result.about.user.product_object_id	additional.fields[assigned_to_uuid]
assigned_to_name	security_result.about.user.user_display_name	additional.fields[assigned_to_name]
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset_id 如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，principal.asset_id UDM 欄位會設為從範本 CS:%{threatgraph_indicators.0.host_id} 產生的值，其中 %{threatgraph_indicators.0.host_id} 會替換為 threatgraph_indicators.0.host_id 記錄欄位的值。 否則，如果 host_id 記錄欄位值「不是」空白，principal.asset_id UDM 欄位會設為從範本 CS:%{host_id} 產生的值，其中 %{host_id} 會替換為 host_id 記錄欄位的值。 否則，如果 agent_id 記錄欄位值「不是」空白，則 principal.asset_id UDM 欄位會設為從範本 CS:%{agent_id} 產生的值，其中 %{agent_id} 會替換為 agent_id 記錄欄位的值。 否則，如果 mdm_device_id 記錄欄位值「不是」空白，principal.asset_id UDM 欄位會設為從範本 CS:%{mdm_device_id} 產生的值，其中 %{mdm_device_id} 會替換為 mdm_device_id 記錄欄位的值。 否則，如果 device.device_id 記錄欄位值「不是」空白，principal.asset_id UDM 欄位會設為從範本 CS:%{device.device_id} 產生的值，其中 %{device.device_id} 會替換為 device.device_id 記錄欄位的值。	principal.asset_id, about.asset_id 如果 agent_id 記錄欄位值「不是」空白，則會使用 | 分隔符號將 agent_id 記錄欄位值分割為多個值。反覆檢查分割的 agent_id 值： 如果 index 值等於 "0"，則 principal.asset_id UDM 欄位會設為從範本 CS:%{agent_id} 產生的值，其中 %{agent_id} 會替換為分割的 agent_id 值。 否則，about.asset_id UDM 欄位會設為從範本 CS:%{agent_id} 產生的值，其中 %{agent_id} 會替換為分割的 agent_id 值。 如果 source_asset.id 記錄欄位值「不是」空白，則 source_asset.id 記錄欄位會對應至 principal.asset.attribute.labels.source_asset_id UDM 欄位。如果 host_id 記錄欄位值「不是」空白，則 host_id 記錄欄位會對應至 principal.asset.attribute.labels.host_id UDM 欄位。如果 device.device_id 記錄欄位值「不是」空白，則 device.device_id 記錄欄位會對應至 principal.asset.attribute.labels.device_id UDM 欄位。如果 mdm_device_id 記錄欄位值「不是」空白，則 mdm_device_id 記錄欄位會對應至 principal.asset.attribute.labels.mdm_device_id UDM 欄位。如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，則 threatgraph_indicators.0.host_id 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_host_id UDM 欄位。 否則，如果 source_asset.id 記錄欄位值「不是」空白，principal.asset_id UDM 欄位會設為從範本 CS:%{source_asset.id} 產生的值，其中 %{source_asset.id} 會替換為 source_asset.id 記錄欄位的值。如果 host_id 記錄欄位值「不是」空白，則 host_id 記錄欄位會對應至 principal.asset.attribute.labels.host_id UDM 欄位。如果 device.device_id 記錄欄位值「不是」空白，則 device.device_id 記錄欄位會對應至 principal.asset.attribute.labels.device_id UDM 欄位。如果 mdm_device_id 記錄欄位值「不是」空白，mdm_device_id 記錄欄位會對應至 principal.asset.attribute.labels.mdm_device_id UDM 欄位。如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，則 threatgraph_indicators.0.host_id 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_host_id UDM 欄位。 否則，如果 host_id 記錄欄位值「不是」空白，則 principal.asset_id UDM 欄位會設為從範本 CS:%{host_id} 產生的值，其中 %{host_id} 會替換為 host_id 記錄欄位的值。如果 device.device_id 記錄欄位值「不是」空白，device.device_id 記錄欄位會對應至 principal.asset.attribute.labels.device_id UDM 欄位。如果 mdm_device_id 記錄欄位值「不是」空白，則 mdm_device_id 記錄欄位會對應至 principal.asset.attribute.labels.mdm_device_id UDM 欄位。如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，則 threatgraph_indicators.0.host_id 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_host_id UDM 欄位。 否則，如果 device.device_id 記錄欄位值「不是」空白，則 principal.asset_id UDM 欄位會設為從範本 CS:%{device.device_id} 產生的值，其中 %{device.device_id} 會替換為 device.device_id 記錄欄位的值。如果 mdm_device_id 記錄欄位值「不是」空白，則 mdm_device_id 記錄欄位會對應至 principal.asset.attribute.labels.mdm_device_id UDM 欄位。如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，則 threatgraph_indicators.0.host_id 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_host_id UDM 欄位。 否則，如果 mdm_device_id 記錄欄位值「不是」空白，則 principal.asset_id UDM 欄位會設為從範本 CS:%{mdm_device_id} 產生的值，其中 %{mdm_device_id} 會替換為 mdm_device_id 記錄欄位的值。如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，則 threatgraph_indicators.0.host_id 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicator_host_id UDM 欄位。 否則，如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，principal.asset_id UDM 欄位會設為從範本 CS:%{threatgraph_indicators.0.host_id} 產生的值，其中 %{threatgraph_indicators.0.host_id} 會替換為 threatgraph_indicators.0.host_id 記錄欄位的值。
agent_id, threatgraph_indicators.host_id, host_id, mdm_device_id, device.device_id, source_asset.id	principal.asset.asset_id 如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{threatgraph_indicators.0.host_id} 產生的值，其中 %{threatgraph_indicators.0.host_id} 會替換為 threatgraph_indicators.0.host_id 記錄欄位的值。 否則，如果 host_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{host_id} 產生的值，其中 %{host_id} 會替換為 host_id 記錄欄位的值。 否則，如果 agent_id 記錄欄位值「不是」空白，則 principal.asset.asset_id UDM 欄位會設為從範本 CS:%{agent_id} 產生的值，其中 %{agent_id} 會替換為 agent_id 記錄欄位的值。 否則，如果 mdm_device_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{mdm_device_id} 產生的值，其中 %{mdm_device_id} 會替換為 mdm_device_id 記錄欄位的值。 否則，如果 device.device_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{device.device_id} 產生的值，其中 %{device.device_id} 會替換為 device.device_id 記錄欄位的值。	principal.asset.asset_id, about.asset.asset_id 如果 agent_id 記錄欄位值「不是」空白，系統會使用 | 分隔符號將 agent_id 記錄欄位值分割成多個值。反覆檢查分割的 agent_id 值： 如果 index 值等於 "0"，則 principal.asset.asset_id UDM 欄位會設為從範本 CS:%{agent_id} 產生的值，其中 %{agent_id} 會替換為分割的 agent_id 值。 否則，about.asset.asset_id UDM 欄位會設為從範本 CS:%{agent_id} 產生的值，其中 %{agent_id} 會替換為分割的 agent_id 值。 否則，如果 source_asset.id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{source_asset.id} 產生的值，其中 %{source_asset.id} 會替換為 source_asset.id 記錄欄位的值。 否則，如果 host_id 記錄欄位值「不是」空白，則 principal.asset.asset_id UDM 欄位會設為從範本 CS:%{host_id} 產生的值，其中 %{host_id} 會替換為 host_id 記錄欄位的值。 否則，如果 device.device_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為根據範本 CS:%{device.device_id} 產生的值，其中 %{device.device_id} 會替換為 device.device_id 記錄欄位的值。 否則，如果 mdm_device_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{mdm_device_id} 產生的值，其中 %{mdm_device_id} 會替換為 mdm_device_id 記錄欄位的值。 否則，如果 threatgraph_indicators.0.host_id 記錄欄位值「不是」空白，principal.asset.asset_id UDM 欄位會設為從範本 CS:%{threatgraph_indicators.0.host_id} 產生的值，其中 %{threatgraph_indicators.0.host_id} 會替換為 threatgraph_indicators.0.host_id 記錄欄位的值。
cid, agent_id, process_id	target.process.product_specific_process_id 如果 cid 記錄欄位值「不是」空白，且 agent_id 記錄欄位值「不是」空白，且 process_id 記錄欄位值「不是」空白，則 target.process.product_specific_process_id UDM 欄位會設為從範本 PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} 產生的值，其中 %{cid}、%{agent_id} 和 %{process_id} 會分別替換為 cid、agent_id 和 process_id 記錄欄位的值。	target.process.product_specific_process_id, about.process.product_specific_process_id 如果 agent_id 記錄欄位值「不是」空白，系統會使用 | 分隔符號，將 agent_id 記錄欄位值分割成多個值。反覆檢查分割的 agent_id 值： 如果 index 值等於 "0"，且 cid 記錄欄位值「不是」空白、分割的 agent_id 值「不是」空白，且 process_id 記錄欄位值「不是」空白，則 target.process.product_specific_process_id UDM 欄位會設為從範本 PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} 產生的值，其中 %{agent_id} 會替換為分割的 agent_id 值，而 %{cid} 和 %{process_id} 則分別替換為 cid 和 process_id 記錄欄位的值。 否則，如果 cid 記錄欄位值不為空白，且分割 agent_id 值不為空白，且 process_id 記錄欄位值不為空白，則 about.process.product_specific_process_id UDM 欄位會設為從範本 PRODUCT_SPECIFIC_PROCESS_ID: %{cid}:%{agent_id}:%{process_id} 產生的值，其中 %{agent_id} 會替換為分割 agent_id 值，而 %{cid} 和 %{process_id} 會分別替換為 cid 和 process_id 記錄欄位的值。
isp_domain	security_result.detection_fields[isp_domain]	principal.asset.network_domain
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.ip
target_endpoint_address_ip4	security_result.detection_fields[target_endpoint_address_ip4]	target.asset.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.ip
target_endpoint_address_ip6	security_result.detection_fields[target_endpoint_address_ip6]	target.asset.ip
start_time	security_result.first_discovered_time	security_result.detection_fields[start_time]
end_time	security_result.last_discovered_time	security_result.detection_fields[end_time]
severity, incident.score	security_result.severity_details 如果 product 記錄欄位值等於 "epp"，且 severity 記錄欄位值「不」為空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。否則，如果 incident.score 記錄欄位值「不」為空白，則 incident.score 記錄欄位會對應至 security_result.severity_details UDM 欄位。 否則，如果 product 記錄欄位值等於 "mobile"，且 severity 記錄欄位值「不」為空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。否則，如果 incident.score 記錄欄位值「不是」空白，則 incident.score 記錄欄位會對應至 security_result.severity_details UDM 欄位。 否則，如果 product 記錄欄位值等於 "xdr"，且 incident.score 記錄欄位值「不」為空白，則 incident.score 記錄欄位會對應至 security_result.severity_details UDM 欄位。如果 severity 記錄欄位值「不」為空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。 否則，如果 severity 記錄欄位值「不是」空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。	security_result.severity_details 如果 product 記錄欄位值等於 "epp"，且 severity 記錄欄位值「不」為空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。否則，如果 incident.score 記錄欄位值「不是」空白，則 incident.score 記錄欄位會對應至 security_result.severity_details UDM 欄位。 否則，如果 product 記錄欄位值等於 "mobile"，且 severity 記錄欄位值「不」為空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。否則，如果 incident.score 記錄欄位值「不是」空白，則 incident.score 記錄欄位會對應至 security_result.severity_details UDM 欄位。 否則，如果 product 記錄欄位值包含下列其中一個值： xdr automated-lead-context ，如果 incident.score 記錄欄位值「不是」空白，則 incident.score 記錄欄位會對應至 security_result.severity_details UDM 欄位。 如果 severity 記錄欄位值「不是」空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。 否則，如果 severity 記錄欄位值「不是」空白，則 severity 記錄欄位會對應至 security_result.severity_details UDM 欄位。
target_account_domain, entities.domain, domain_name, saas_domain	target.domain.name 如果 index 值等於 0，則疊代記錄欄位 entities.domain ，然後將 entities.domain 記錄欄位對應至 target.domain.name UDM 欄位。 否則，entities.domain 記錄欄位會對應至 security_result.detection_fields.entities_domain UDM 欄位。	target.domain.name 如果 saas_domain 記錄欄位值「不是」空白，則 saas_domain 記錄欄位會對應至 target.domain.name UDM 欄位。如果 target_account_domain 記錄欄位值「不是」空白，則 target_account_domain 記錄欄位會對應至 target.user.attribute.labels.target_account_domain UDM 欄位。如果 entities.domain.0 記錄欄位值「不是」空白，entities.domain.0 記錄欄位會對應至 target.user.attribute.labels.entities_domain UDM 欄位。如果 domain_name 記錄欄位值「不是」空白，則 domain_name 記錄欄位會對應至 target.user.attribute.labels.domain_name UDM 欄位。 否則，如果 target_account_domain 記錄欄位值「不是」空白，則 target_account_domain 記錄欄位會對應至 target.domain.name UDM 欄位。如果 entities.domain.0 記錄欄位值「不是」空白，則 entities.domain.0 記錄欄位會對應至 target.user.attribute.labels.entities_domain UDM 欄位。如果 domain_name 記錄欄位值「不是」空白，則 domain_name 記錄欄位會對應至 target.user.attribute.labels.domain_name UDM 欄位。 否則，如果 entities.domain.0 記錄欄位值「不是」空白，則 entities.domain.0 記錄欄位會對應至 target.domain.name UDM 欄位。如果 domain_name 記錄欄位值「不是」空白，則 domain_name 記錄欄位會對應至 target.user.attribute.labels.domain_name UDM 欄位。 否則，如果 domain_name 記錄欄位值「不是」空白，則 domain_name 記錄欄位會對應至 target.domain.name UDM 欄位。
entities.domain	security_result.detection_fields[entities_domain] 如果 index 值「不」等於 "0"，則疊代記錄欄位 entities.domain ，然後將 entities.domain 記錄欄位對應至 security_result.detection_fields.entities_domain UDM 欄位。	target.user.attribute.labels[entities_domain] 如果 index 值「不」等於 "0"，則疊代記錄欄位 entities.domain ，然後將 entities.domain 記錄欄位對應至 target.user.attribute.labels.entities_domain UDM 欄位。
target_account_upn	target.user.attribute.labels[target_account_upn]	target.user.email_addresses 如果 target_account_upn 記錄欄位值「不是」空白，且 target_account_upn 記錄欄位值符合規則運算式模式：(^.+@.+$)，則 target_account_upn 記錄欄位會對應至 target.user.email_addresses UDM 欄位。否則，target_account_upn 記錄欄位會對應至 target.user.attribute.labels.target_account_upn UDM 欄位。
documents_accessed.filename	security_result.about.process.file.names	security_result.about.file.names
documents_accessed.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
documents_accessed.timestamp	security_result.about.process.file.first_seen_time	security_result.about.file.last_access_time
executables_written.filename	security_result.about.process.file.names	security_result.about.file.names
executables_written.filepath	security_result.about.process.file.full_path	security_result.about.file.full_path
executables_written.timestamp	security_result.about.process.file.last_modification_time	security_result.about.file.last_modification_time
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.ip, target.ip 如果 network_accesses.local_address 記錄欄位值「不是」空白，則疊代記錄欄位 network_accesses ，然後如果 network_accesses 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_accesses.local_address 記錄欄位會對應至 target.ip UDM 欄位。否則，如果 network_accessesconnection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_accesses.local_address 記錄欄位會對應至 principal.ip UDM 欄位。否則，network_accesses.local_address 記錄欄位會對應至 security_result.detection_fields.network_accesses_local_address UDM 欄位。
network_accesses.local_address	security_result.detection_fields[network_accesses_local_address]	principal.asset.ip, target.asset.ip 如果 network_accesses.local_address 記錄欄位值「不是」空白，則逐一查看記錄欄位 network_accesses ，然後如果 network_accesses 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_accesses.local_address 記錄欄位會對應至 target.asset.ip UDM 欄位。否則，如果 network_accessesconnection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_accesses.local_address 記錄欄位會對應至 principal.asset.ip UDM 欄位。否則，network_accesses.local_address 記錄欄位會對應至 security_result.detection_fields.network_accesses_local_address UDM 欄位。
network_accesses.local_port	security_result.detection_fields[network_accesses_local_port]	principal.port, target.port 如果 index 值等於 "0"，則疊代記錄欄位 network_accesses ，如果 network_accesses.local_port 記錄欄位值「不」為空白，則如果 network_accesses 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_accesses.local_port 記錄欄位會對應至 target.port UDM 欄位。否則，如果 network_accesses 記錄欄位值connection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_accesses.local_port 記錄欄位會對應至 principal.port UDM 欄位。否則，network_accesses.local_port 記錄欄位會對應至 security_result.detection_fields.network_accesses_local_port UDM 欄位。 否則，如果 network_accesses.local_port 記錄欄位值「不」為空白，且 network_accesses 記錄欄位值connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_accesses.local_port 記錄欄位會對應至 target.asset.attribute.labels.network_accesses_local_port UDM 欄位。否則，如果 network_accesses 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_accesses.local_port 記錄欄位會對應至 principal.asset.attribute.labels.network_accesses_local_port UDM 欄位。否則，network_accesses.local_port 記錄欄位會對應至 security_result.detection_fields.network_accesses_local_port UDM 欄位。
network_accesses.protocol	security_result.detection_fields[network_accesses_protocol]	network.ip_protocol 如果 index 值等於 "0"，則疊代記錄欄位 network_accesses.protocol ，然後將 network_accesses.protocol 記錄欄位對應至 network.ip_protocol UDM 欄位。 否則，network_accesses.protocol 記錄欄位會對應至 security_result.detection_fields.network_accesses_protocol UDM 欄位。
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.ip, target.ip 如果 network_accesses.remote_address 記錄欄位值「不是」空白，則逐一查看記錄欄位 network_accesses ，然後如果 network_accesses 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_accesses.remote_address 記錄欄位會對應至 principal.ip UDM 欄位。否則，如果 network_accessesconnection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_accesses.remote_address 記錄欄位會對應至 target.ip UDM 欄位。否則，network_accesses.remote_address 記錄欄位會對應至 security_result.detection_fields.network_accesses_remote_address UDM 欄位。
network_accesses.remote_address	security_result.detection_fields[network_accesses_remote_address]	principal.asset.ip, target.asset.ip 如果 network_accesses.remote_address 記錄欄位值「不是」空白，則逐一查看記錄欄位 network_accesses ，然後如果 network_accesses 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_accesses.remote_address 記錄欄位會對應至 principal.asset.ip UDM 欄位。否則，如果 network_accessesconnection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_accesses.remote_address 記錄欄位會對應至 target.asset.ip UDM 欄位。否則，network_accesses.remote_address 記錄欄位會對應至 security_result.detection_fields.network_accesses_remote_address UDM 欄位。
resource_name, bucket_name	target.resource.name	target.resource.name 如果 resource_name 記錄欄位值「不是」空白，則 resource_name 記錄欄位會對應至 target.resource.name UDM 欄位。如果 bucket_name 記錄欄位值「不是」空白，則 bucket_name 記錄欄位會對應至 target.resource.attribute.labels[bucket_name] UDM 欄位。 否則，如果 bucket_name 記錄欄位值「不」為空白，則 bucket_name 記錄欄位會對應至 target.resource.name UDM 欄位。
image_id	target.resource.product_object_id	target.resource.attribute.labels[image_id]
image_file_name	target.process.file.full_path	security_result.detection_fields[image_file_name]
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset_id 如果 index 值等於 "0"，則疊代記錄欄位 incident.host_ids ，然後將 target.asset_id UDM 欄位設為從範本 CS:%{incident.host_ids} 產生的值，其中 %{incident.host_ids} 會替換為 incident.host_ids 記錄欄位的值。 否則，security_result.detection_fields.key UDM 欄位會設為 "incident_host_id"，incident.host_ids 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	target.asset_id 如果 destination_asset.id 記錄欄位值「不是」空白，target.asset_id UDM 欄位會設為從範本 CS:%{destination_asset.id} 產生的值，其中 %{destination_asset.id} 會替換為 destination_asset.id 記錄欄位的值。如果 incident.host_ids.0 記錄欄位值「不是」空白，則 incident.host_ids.0 記錄欄位會對應至 security_result.detection_fields.incident_host_id UDM 欄位。如果 destination.usb_combined_id 記錄欄位值「不是」空白，則 destination.usb_combined_id 記錄欄位會對應至 target.asset.attribute.labels.destination_usb_combined_id UDM 欄位。 否則，如果 incident.host_ids.0 記錄欄位值「不是」空白，target.asset_id UDM 欄位會設為從範本 CS:%{incident.host_ids.0} 產生的值，其中 %{incident.host_ids.0} 會替換為 incident.host_ids.0 記錄欄位的值。如果 destination.usb_combined_id 記錄欄位值「不是」空白，destination.usb_combined_id 記錄欄位會對應至 target.asset.attribute.labels.destination_usb_combined_id UDM 欄位。 否則，如果 destination.usb_combined_id 記錄欄位值「不」為空白，則 target.asset_id UDM 欄位會設為從範本 CS:%{destination.usb_combined_id} 產生的值，其中 %{destination.usb_combined_id} 會替換為 destination.usb_combined_id 記錄欄位的值。 疊代記錄欄位 incident.host_ids 如果 index 值「不」等於 "0"，則 security_result.detection_fields.key UDM 欄位會設為 "incident_host_ids"，且 incident.host_ids 記錄欄位會對應至 security_result.detection_fields.value UDM 欄位。
incident.host_ids, destination_asset.id, destination.usb_combined_id	target.asset.asset_id 如果 index 值等於 "0"，則疊代記錄欄位 incident.host_ids ，然後將 target.asset.asset_id UDM 欄位設為從範本 CS:%{incident.host_ids} 產生的值，其中 %{incident.host_ids} 會替換為 incident.host_ids 記錄欄位的值。	target.asset.asset_id 如果 destination_asset.id 記錄欄位值「不是」空白，target.asset.asset_id UDM 欄位會設為根據範本 CS:%{destination_asset.id} 產生的值，其中 %{destination_asset.id} 會替換為 destination_asset.id 記錄欄位的值。 否則，如果 incident.host_ids.0 記錄欄位值「不是」空白，target.asset.asset_id UDM 欄位會設為從範本 CS:%{incident.host_ids.0} 產生的值，其中 %{incident.host_ids.0} 會替換為 incident.host_ids.0 記錄欄位的值。 。否則，如果 destination.usb_combined_id 記錄欄位值「不是」空白，target.asset.asset_id UDM 欄位會設為從範本 CS:%{destination.usb_combined_id} 產生的值，其中 %{destination.usb_combined_id} 會替換為 destination.usb_combined_id 記錄欄位的值。
entities.file_name	target.process.file.names 疊代記錄欄位 entities.file_name entities.file_name 記錄欄位會對應至 target.process.file.names UDM 欄位。	security_result.detection_fields[entities_file_name] 疊代記錄欄位 entities.file_name 如果 entities.file_name 記錄欄位值「不是」空白，則 entities.file_name 記錄欄位會對應至 security_result.detection_fields.entities_file_name UDM 欄位。
entities.image_file_name	target.process.file.full_path 如果 index 值等於 0，則疊代記錄欄位 entities.image_file_name ，然後將 entities.image_file_name 記錄欄位對應至 target.process.file.full_path UDM 欄位。 否則，entities.image_file_name 記錄欄位會對應至 security_result.detection_fields.entities_image_file_name UDM 欄位。	security_result.detection_fields[entities_image_file_name] 疊代記錄欄位 entities.image_file_name 如果 entities.image_file_name 記錄欄位值「不是」空白，則 entities.image_file_name 記錄欄位會對應至 security_result.detection_fields.entities_image_file_name UDM 欄位。
entities.process	target.process.pid 如果 index 值等於 0，則疊代記錄欄位 entities.process ，然後將 entities.process 記錄欄位對應至 target.process.pid UDM 欄位。 否則，entities.process 記錄欄位會對應至 security_result.detection_fields.entities_process UDM 欄位。	security_result.detection_fields[entities_process] 疊代記錄欄位 entities.process 如果 entities.process 記錄欄位值「不是」空白，則 entities.process 記錄欄位會對應至 security_result.detection_fields.entities_process UDM 欄位。
entities.sha256	target.process.file.sha256 如果 index 值等於 0，則疊代記錄欄位 entities.sha256 ，然後將 entities.sha256 記錄欄位對應至 target.process.file.sha256 UDM 欄位。 否則，entities.sha256 記錄欄位會對應至 security_result.detection_fields.entities_sha256 UDM 欄位。	security_result.detection_fields[entities_sha256] 如果 entities.sha256 記錄欄位值「不是」空白，則疊代記錄欄位 entities.sha256 ，然後將 entities.sha256 記錄欄位對應至 security_result.detection_fields.entities_sha256 UDM 欄位。
entities.username	target.user.user_display_name 如果 index 值等於 0，則疊代記錄欄位 entities.username ，然後將 entities.username 記錄欄位對應至 target.user.user_display_name UDM 欄位。 否則，entities.username 記錄欄位會對應至 security_result.detection_fields.entities_username UDM 欄位。	security_result.detection_fields[entities_username] 疊代記錄欄位 entities.username 如果 entities.username 記錄欄位值「不是」空白，則 entities.username 記錄欄位會對應至 security_result.detection_fields.entities_username UDM 欄位。
application_name, destination.name	target.application	target.application 如果 destination.name 記錄欄位值「不是」空白，則 destination.name 記錄欄位會對應至 target.application UDM 欄位。如果 application_name 記錄欄位值「不是」空白，application_name 記錄欄位會對應至 security_result.detection_fields[application_name] UDM 欄位。 否則，如果 application_name 記錄欄位值「不是」空白，則 application_name 記錄欄位會對應至 target.application UDM 欄位。
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.ip, target.ip 如果 network_info.local_address 記錄欄位值「不是」空白，則逐一檢查記錄欄位 network_info ，然後如果 network_info 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_info.local_address 記錄欄位會對應至 target.ip UDM 欄位。否則，如果 network_info 記錄欄位值connection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_info.local_address 記錄欄位會對應至 principal.ip UDM 欄位。否則，network_info.local_address 記錄欄位會對應至 security_result.detection_fields.network_info_local_address UDM 欄位。
network_info.local_address	security_result.detection_fields[network_info_local_address]	principal.asset.ip, target.asset.ip 如果 network_info.local_address 記錄欄位值「不是」空白，則逐一檢查記錄欄位 network_info ，然後如果 network_info 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_info.local_address 記錄欄位會對應至 target.asset.ip UDM 欄位。否則，如果 network_info 記錄欄位值connection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_info.local_address 記錄欄位會對應至 principal.asset.ip UDM 欄位。否則，network_info.local_address 記錄欄位會對應至 security_result.detection_fields.network_info_local_address UDM 欄位。
network_info.protocol	security_result.detection_fields[network_info_protocol]	network.ip_protocol 如果 index 值等於 "0"，則疊代記錄欄位 network_info.protocol ，然後將 network_info.protocol 記錄欄位對應至 network.ip_protocol UDM 欄位。 否則，network_info.protocol 記錄欄位會對應至 security_result.detection_fields.network_info_protocol UDM 欄位。
app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[app_certificate_thumbprints_sha1]
app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[app_certificate_thumbprints_sha256]
app_image_filename, debuggable_app_image_filename, duplicated_app_image_filename, harmful_app_image_filename, sideloaded_app_image_filename, suspicious_activities_apps.image_filename, suspicious_apps.image_filename, unexpected_dynamic_library_loaded.target_file_name, unexpected_files	target.file.full_path	target.file.full_path 如果 unexpected_dynamic_library_loaded.0.target_file_name 記錄欄位值「不是」空白，unexpected_dynamic_library_loaded.0.target_file_name 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 harmful_app_image_filename 記錄欄位值「不是」空白，則 harmful_app_image_filename 記錄欄位會對應至 security_result.detection_fields.harmful_app_image_filename UDM 欄位。如果 sideloaded_app_image_filename 記錄欄位值「不是」空白，則 sideloaded_app_image_filename 記錄欄位會對應至 security_result.detection_fields.sideloaded_app_image_filename UDM 欄位。如果 duplicated_app_image_filename 記錄欄位值「不是」空白，則 duplicated_app_image_filename 記錄欄位會對應至 security_result.detection_fields.duplicated_app_image_filename UDM 欄位。如果 debuggable_app_image_filename 記錄欄位值「不是」空白，則 debuggable_app_image_filename 記錄欄位會對應至 security_result.detection_fields.debuggable_app_image_filename UDM 欄位。如果 unexpected_files.0 記錄欄位值「不是」空白，則 unexpected_files.0 記錄欄位會對應至 security_result.detection_fields.unexpected_files UDM 欄位。如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 security_result.detection_fields.app_image_filename UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 harmful_app_image_filename 記錄欄位值「不是」空白，則 harmful_app_image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 sideloaded_app_image_filename 記錄欄位值「不是」空白，sideloaded_app_image_filename 記錄欄位會對應至 security_result.detection_fields.sideloaded_app_image_filename UDM 欄位。如果 duplicated_app_image_filename 記錄欄位值「不」為空白，則 duplicated_app_image_filename 記錄欄位會對應至 security_result.detection_fields.duplicated_app_image_filename UDM 欄位。如果 debuggable_app_image_filename 記錄欄位值「不是」空白，則 debuggable_app_image_filename 記錄欄位會對應至 security_result.detection_fields.debuggable_app_image_filename UDM 欄位。如果 unexpected_files.0 記錄欄位值「不是」空白，則 unexpected_files.0 記錄欄位會對應至 security_result.detection_fields.unexpected_files UDM 欄位。如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 security_result.detection_fields.app_image_filename UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 sideloaded_app_image_filename 記錄欄位值「不是」空白，則 sideloaded_app_image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 duplicated_app_image_filename 記錄欄位值「不是」空白，則 duplicated_app_image_filename 記錄欄位會對應至 security_result.detection_fields.duplicated_app_image_filename UDM 欄位。如果 debuggable_app_image_filename 記錄欄位值「不是」空白，則 debuggable_app_image_filename 記錄欄位會對應至 security_result.detection_fields.debuggable_app_image_filename UDM 欄位。如果 unexpected_files.0 記錄欄位值「不是」空白，則 unexpected_files.0 記錄欄位會對應至 security_result.detection_fields.unexpected_files UDM 欄位。如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 security_result.detection_fields.app_image_filename UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 duplicated_app_image_filename 記錄欄位值「不是」空白，則 duplicated_app_image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 debuggable_app_image_filename 記錄欄位值「不」為空白，則 debuggable_app_image_filename 記錄欄位會對應至 security_result.detection_fields.debuggable_app_image_filename UDM 欄位。如果 unexpected_files.0 記錄欄位值「不是」空白，則 unexpected_files.0 記錄欄位會對應至 security_result.detection_fields.unexpected_files UDM 欄位。如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 security_result.detection_fields.app_image_filename UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不」為空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 debuggable_app_image_filename 記錄欄位值「不是」空白，則 debuggable_app_image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 unexpected_files.0 記錄欄位值「不是」空白，則 unexpected_files.0 記錄欄位會對應至 security_result.detection_fields.unexpected_files UDM 欄位。如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 security_result.detection_fields.app_image_filename UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 unexpected_files.0 記錄欄位值「不是」空白，則 unexpected_files.0 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 security_result.detection_fields.app_image_filename UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 app_image_filename 記錄欄位值「不是」空白，則 app_image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_apps_image_filename UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不」為空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 suspicious_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_apps.0.image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 security_result.detection_fields.suspicious_activities_apps_image_filename UDM 欄位。 否則，如果 suspicious_activities_apps.0.image_filename 記錄欄位值「不是」空白，則 suspicious_activities_apps.0.image_filename 記錄欄位會對應至 target.file.full_path UDM 欄位。
app_label	target.application	security_result.detection_fields[app_label]
correlation_rule_user_id	security_result.rule_author	security_result.rule_labels[correlation_rule_user_id]
debuggable_app_label	target.application	security_result.detection_fields[debuggable_app_label]
debuggable_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[debuggable_certificate_thumbprints_sha1]
debuggable_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[debuggable_certificate_thumbprints_sha256]
duplicated_app_label	target.application	security_result.detection_fields[duplicated_app_label]
harmful_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[harmful_app_certificate_thumbprints_sha1]
harmful_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[harmful_app_certificate_thumbprints_sha256]
harmful_app_label	target.application	security_result.detection_fields[harmful_app_label]
indicator_process_id	target.process.pid	security_result.detection_fields[indicator_process_id]
intrusive_package.target_package_name	target.application 如果 index 值等於 "0"，則疊代記錄欄位 intrusive_package ，然後將 intrusive_package.target_package_name 記錄欄位對應至 target.application UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "intrusive_package_target_package_name"，intrusive_package.target_package_name 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	security_result.detection_fields[intrusive_package_target_package_name] 如果 intrusive_package.target_package_name 記錄欄位值「不是」空白，則疊代記錄欄位 intrusive_package ，然後將 intrusive_package.target_package_name 記錄欄位對應至 security_result.detection_fields.intrusive_package_target_package_name UDM 欄位。
intrusive_process.target_process_name	target.process.file.names 如果 index 值等於 "0"，則疊代記錄欄位 intrusive_process ，然後將 intrusive_process.target_process_name 記錄欄位對應至 target.process.file.names UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "intrusive_process_target_process_name"，intrusive_process.target_process_name 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	security_result.detection_fields[intrusive_process_target_process_name] 如果 intrusive_process.target_process_name 記錄欄位值「不是」空白，則疊代記錄欄位 intrusive_process ，然後將 intrusive_process.target_process_name 記錄欄位對應至 security_result.detection_fields.intrusive_process_target_process_name UDM 欄位。
intrusive_process.target_process_path	target.process.file.full_path 如果 index 值等於 "0"，則疊代記錄欄位 intrusive_process ，然後將 intrusive_process.target_process_path 記錄欄位對應至 target.process.file.full_path UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "intrusive_process_target_process_path"，intrusive_process.target_process_path 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	security_result.detection_fields[intrusive_process_target_process_path] 如果 intrusive_process.target_process_path 記錄欄位值「不是」空白，則疊代記錄欄位 intrusive_process ，然後將 intrusive_process.target_process_path 記錄欄位對應至 security_result.detection_fields.intrusive_process_target_process_path UDM 欄位。
network_info.local_port	security_result.detection_fields[network_info_local_port]	principal.port, target.port 如果 index 值等於 "0"，則疊代記錄欄位 network_info ，如果 network_info.local_port 記錄欄位值「不是」空白，則如果 network_info 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_info.local_port 記錄欄位會對應至 target.port UDM 欄位。否則，如果 network_info 記錄欄位值connection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_info.local_port 記錄欄位會對應至 principal.port UDM 欄位。否則，network_info.local_port 記錄欄位會對應至 security_result.detection_fields.network_info_local_port UDM 欄位。 否則，如果 network_info.local_port 記錄欄位值「不」為空白，且 network_info 記錄欄位值connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_info.local_port 記錄欄位會對應至 target.asset.attribute.labels.network_info_local_port UDM 欄位。否則，如果 network_info 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)outbound，則 network_info.local_port 記錄欄位會對應至 principal.asset.attribute.labels.network_info_local_port UDM 欄位。否則，network_info.local_port 記錄欄位會對應至 security_result.detection_fields.network_info_local_port UDM 欄位。
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.ip, target.ip 如果 network_info.remote_address 記錄欄位值「不是」空白，則逐一檢查記錄欄位 network_info ，然後如果 network_info 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_info.remote_address 記錄欄位會對應至 principal.ip UDM 欄位。否則，如果 network_info 記錄欄位connection_direction值符合規則運算式模式：(?i)outbound，則 network_info.remote_address 記錄欄位會對應至 target.ip UDM 欄位。否則，network_info.remote_address 記錄欄位會對應至 security_result.detection_fields.network_info_remote_address UDM 欄位。
network_info.remote_address	security_result.detection_fields[network_info_remote_address]	principal.asset.ip, target.asset.ip 如果 network_info.remote_address 記錄欄位值「不是」空白，則逐一查看記錄欄位 network_info ，然後如果 network_info 記錄欄位值 connection_direction 記錄欄位值符合規則運算式模式：(?i)inbound，則 network_info.remote_address 記錄欄位會對應至 principal.asset.ip UDM 欄位。否則，如果 network_info 記錄欄位connection_direction值符合規則運算式模式：(?i)outbound，則 network_info.remote_address 記錄欄位會對應至 target.asset.ip UDM 欄位。否則，network_info.remote_address 記錄欄位會對應至 security_result.detection_fields.network_info_remote_address UDM 欄位。
sideloaded_app_certificate_thumbprints_sha1	target.file.sha1	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha1]
sideloaded_app_certificate_thumbprints_sha256	target.file.sha256	security_result.detection_fields[sideloaded_app_certificate_thumbprints_sha256]
sideloaded_app_label	target.application	security_result.detection_fields[sideloaded_app_label]
suspicious_activities_apps.app_label	target.application 如果 index 值等於 "0"，則疊代記錄欄位 suspicious_activities_apps ，然後將 suspicious_activities_apps.app_label 記錄欄位對應至 target.application UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "suspicious_activities_apps_app_label"，suspicious_activities_apps.app_label 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	target.resource.attribute.labels[suspicious_activities_apps_app_label]
suspicious_apps.app_label	target.application 如果 index 值等於 "0"，則疊代記錄欄位 suspicious_apps ，然後將 suspicious_apps.app_label 記錄欄位對應至 target.application UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "suspicious_apps_app_label"，suspicious_apps.app_label 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	target.resource.attribute.labels[suspicious_apps_app_label]
suspicious_apps.certificate_thumbprints_sha1	target.file.sha1 如果 index 值等於 "0"，則疊代記錄欄位 suspicious_apps ，然後將 suspicious_apps.certificate_thumbprints_sha1 記錄欄位對應至 target.file.sha1 UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "suspicious_apps_certificate_thumbprints_sha1"，suspicious_apps.certificate_thumbprints_sha1 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha1]
suspicious_apps.certificate_thumbprints_sha256	target.file.sha256 如果 index 值等於 "0"，則疊代記錄欄位 suspicious_apps ，然後將 suspicious_apps.certificate_thumbprints_sha256 記錄欄位對應至 target.file.sha256 UDM 欄位。 否則，security_result.detection_fields.key UDM 欄位會設為 "suspicious_apps_certificate_thumbprints_sha256"，suspicious_apps.certificate_thumbprints_sha256 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	security_result.detection_fields[suspicious_apps_certificate_thumbprints_sha256]
system_partition_altered.volume_mount_point	target.resource.name 如果 index 值等於 "0"，則疊代記錄欄位 system_partition_altered ，然後將 system_partition_altered.volume_mount_point 記錄欄位對應至 target.resource.name UDM 欄位。 否則，system_partition_altered.volume_mount_point 記錄欄位會對應至 target.resource_ancestors.name UDM 欄位。	target.resource.attribute.labels[system_partition_altered_volume_mount_point]
	target.resource.resource_type 如果 system_partition_altered.volume_mount_point 記錄欄位值「不是」空白，則逐一查看記錄欄位 system_partition_altered ，如果 index 值等於 "0"，則 target.resource.resource_type UDM 欄位會設為 "VOLUME"。否則，target.resource_ancestors.resource_type UDM 欄位會設為 "VOLUME"。
system_partition_altered.volume_type	target.resource.resource_subtype 如果 index 值等於 "0"，則疊代記錄欄位 system_partition_altered ，然後將 system_partition_altered.volume_type 記錄欄位對應至 target.resource.resource_subtype UDM 欄位。 否則，system_partition_altered.volume_type 記錄欄位會對應至 target.resource_ancestors.resource_subtype UDM 欄位。	target.resource.attribute.labels[system_partition_altered_volume_type]
system_updates_blocked_by_dns.domain_name	network.dns.questions.name 疊代記錄欄位 system_updates_blocked_by_dns system_updates_blocked_by_dns.domain_name 記錄欄位會對應至 network.dns.questions.name UDM 欄位。	about.domain.name 疊代記錄欄位 system_updates_blocked_by_dns system_updates_blocked_by_dns.domain_name 記錄欄位會對應至 about.domain.name UDM 欄位。
system_updates_blocked_by_filesystem.file_name	target.file.names 疊代記錄欄位 system_updates_blocked_by_filesystem system_updates_blocked_by_filesystem.file_name 記錄欄位會對應至 target.file.names UDM 欄位。	about.file.full_path 疊代記錄欄位 system_updates_blocked_by_filesystem system_updates_blocked_by_filesystem.file_name 記錄欄位會對應至 about.file.full_path UDM 欄位。
system_updates_blocked_by_http.url	target.url 如果 url 記錄欄位值為空白，則 疊代記錄欄位 system_updates_blocked_by_http 如果 index 值等於 "0"，則 system_updates_blocked_by_http.url 記錄欄位會對應至 target.url UDM 欄位。否則，security_result.detection_fields.key UDM 欄位會設為 "system_updates_blocked_by_http_url"，system_updates_blocked_by_http.url 記錄欄位則會對應至 security_result.detection_fields.value UDM 欄位。	about.url 疊代記錄欄位 system_updates_blocked_by_http system_updates_blocked_by_http.url 記錄欄位會對應至 about.url UDM 欄位。
threatgraph_indicators.process_id	target.process.pid 如果 index 值等於 "0"，則疊代記錄欄位 threatgraph_indicators ，然後將 threatgraph_indicators.process_id 記錄欄位對應至 target.process.pid UDM 欄位。 否則，如果 threatgraph_indicators.process_id 記錄欄位值「不是」空白，則 threatgraph_indicators.process_id 記錄欄位會對應至 security_result.detection_fields.threatgraph_indicators_process_id UDM 欄位。	security_result.detection_fields[threatgraph_indicators_process_id] 如果 threatgraph_indicators.process_id 記錄欄位值「不是」空白，則疊代記錄欄位 threatgraph_indicators ，然後將 threatgraph_indicators.process_id 記錄欄位對應至 security_result.detection_fields.threatgraph_indicators_process_id UDM 欄位。
agent_id	principal.asset.attribute.labels[agent_id] 如果 device.device_id 記錄欄位值「不是」空白，或 mdm_device_id 記錄欄位值「不是」空白，或 host_id 記錄欄位值「不是」空白，則如果 agent_id 記錄欄位值「不是」空白，則 agent_id 記錄欄位會對應至 principal.asset.attribute.labels.agent_id UDM 欄位。
event_timestamp, timestamp	metadata.event_timestamp 如果 timestamp 記錄欄位值「不是」空白，則 timestamp 記錄欄位會對應至 metadata.event_timestamp UDM 欄位。	metadata.event_timestamp 如果 event_timestamp 記錄欄位值「不是」空白，則 event_timestamp 記錄欄位會對應至 metadata.event_timestamp UDM 欄位。 否則，如果 timestamp 記錄欄位值「不是」空白，則 timestamp 記錄欄位會對應至 metadata.event_timestamp UDM 欄位。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。