收集 SentinelOne EDR 記錄
支援的國家/地區：
Google SecOps
SIEM
本文說明如何使用 SentinelOne Cloud Funnel，將 SentinelOne 記錄檔匯出至 Google Cloud Storage。由於 SentinelOne 未提供內建整合功能，無法直接將記錄匯出至 Google Cloud Storage，因此 Cloud Funnel 會做為中介服務，將記錄推送至 Cloud Storage。
事前準備
請確認您符合下列必要條件：
- Google SecOps 執行個體
- 特殊權限存取 Google Cloud 平台
- SentinelOne 的特殊存取權
設定 Cloud Funnel 存取 Cloud Storage 的權限
- 登入 Google Cloud 控制台。
- 前往「IAM 與管理」。
- 在「IAM」頁面中，為 Cloud Funnel 服務帳戶新增 IAM 角色：
- 指派「Storage 物件建立者」權限。
- 選用：如要讓 Cloud Funnel 從 bucket 讀取物件，請指派「Storage 物件檢視者」。
- 將這些權限授予 Cloud Funnel 服務帳戶。
建立 Cloud Storage bucket
- 登入 Google Cloud 控制台。
- 依序前往「儲存空間」>「瀏覽器」。
- 按一下「建立值區」。
- 請提供下列設定：
- Bucket 名稱：為 bucket 選擇專屬名稱 (例如 sentinelone-logs)。
- 儲存位置：選取 bucket 所在的區域 (例如 US-West1)。
- 儲存空間級別：選擇「Standard」儲存空間級別。
- 點選「建立」。
在 SentinelOne 中設定 Cloud Funnel
- 在 SentinelOne 控制台中，前往「設定」。
- 找到「Cloud Funnel」選項 (位於「整合」下方)。
- 如果尚未啟用，請點選「啟用 Cloud Funnel」。
- 啟用後，系統會提示您設定「目的地」設定。
- 選取目的地：選擇「Google Cloud Storage」做為匯出記錄的目的地。
- Google Cloud Storage：提供 Google Cloud Storage 憑證。
- 記錄檔匯出頻率：設定記錄檔的匯出頻率 (例如每小時或每天)。
如何設定 Cloud Funnel 記錄匯出功能
- 在 SentinelOne 控制台的「Cloud Funnel Configuration」(雲端漏斗設定) 部分，設定下列項目：
- 記錄匯出頻率：選擇記錄的匯出頻率 (例如每小時或每天)。
- 記錄格式：選擇 JSON 格式。
- Bucket 名稱：輸入您先前建立的 Google Cloud Storage bucket 名稱 (例如 sentinelone-logs)。
- 選用：記錄檔路徑前置字元：指定前置字元，在 bucket 中整理記錄檔 (例如
sentinelone-logs/)。
- 設定完成後，按一下「儲存」即可套用變更。
設定動態饋給
在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：
- SIEM 設定 > 摘要 > 新增摘要
- 依序點選「內容中心」「內容包」「開始使用」
如何設定 SentinelOne EDR 動態饋給
- 按一下「SentinelOne」SentinelOne套件。
- 找出 SentinelOne EDR 動態消息。
- 指定下列欄位的值：
- 來源類型：Google Cloud Storage V2。
- 儲存空間 bucket URI：Google Cloud Storage bucket 來源 URI。
- 來源刪除選項：是否要在轉移後刪除檔案或目錄。在「來源刪除選項」中選取「刪除已轉移的檔案」選項。
- 檔案存在時間上限：納入在過去天數內修改的檔案。預設值為 180 天。
- Chronicle 服務帳戶：複製服務帳戶。您需要這個 ID，才能在 bucket 中為這個服務帳戶新增權限，讓 Google SecOps 讀取或刪除 bucket 中的資料。
進階選項
- 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
- 資產命名空間：與動態饋給相關聯的命名空間。
- 擷取標籤：套用至這個動態饋給所有事件的標籤。
- 點選「建立動態饋給」。
如要進一步瞭解如何為這個產品系列的各種記錄類型設定多個動態饋給，請參閱「依產品設定動態饋給」。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
event.contentHash.sha256 |
target.process.file.sha256 |
目標程序檔案的 SHA-256 雜湊，從原始記錄的 event.contentHash.sha256 欄位擷取。 |
event.decodedContent |
target.labels |
從原始記錄的 event.decodedContent 欄位擷取的指令碼解碼內容。系統會將其新增為目標物件的標籤，並以 Decoded Content 做為鍵。 |
event.destinationAddress.address |
target.ip |
從原始記錄的 event.destinationAddress.address 欄位擷取的目的地 IP 位址。 |
event.destinationAddress.port |
target.port |
從原始記錄的 event.destinationAddress.port 欄位擷取的目的地通訊埠。 |
event.method |
network.http.method |
從原始記錄的 event.method 欄位擷取的事件 HTTP 方法。 |
event.newValueData |
target.registry.registry_value_data |
從原始記錄的 event.newValueData 欄位擷取的登錄值新值資料。 |
event.process.commandLine |
target.process.command_line |
從原始記錄的 event.process.commandLine 欄位擷取的程序指令列。 |
event.process.executable.hashes.md5 |
target.process.file.md5 |
從原始記錄的 event.process.executable.hashes.md5 欄位擷取，程序可執行檔的 MD5 雜湊。 |
event.process.executable.hashes.sha1 |
target.process.file.sha1 |
從原始記錄的 event.process.executable.hashes.sha1 欄位擷取的可執行檔程序 SHA-1 雜湊值。 |
event.process.executable.hashes.sha256 |
target.process.file.sha256 |
從原始記錄的 event.process.executable.hashes.sha256 欄位擷取的程序可執行檔 SHA-256 雜湊。 |
event.process.executable.path |
target.process.file.full_path |
從原始記錄的 event.process.executable.path 欄位擷取的程序可執行檔完整路徑。 |
event.process.executable.sizeBytes |
target.process.file.size |
從原始記錄的 event.process.executable.sizeBytes 欄位擷取的程序可執行檔大小。 |
event.process.fullPid.pid |
target.process.pid |
從原始記錄的「event.process.fullPid.pid」欄位擷取的程序 PID。 |
event.query |
network.dns.questions.name |
從原始記錄的 event.query 欄位擷取的 DNS 查詢。 |
event.regKey.path |
target.registry.registry_key |
從原始記錄的「event.regKey.path」欄位擷取的登錄機碼路徑。 |
event.regValue.key.value |
target.registry.registry_name、target.registry.registry_value_name |
從原始記錄的 event.regValue.key.value 欄位擷取的登錄值名稱。 |
event.regValue.path |
target.registry.registry_key |
從原始記錄的 event.regValue.path 欄位中擷取的登錄值路徑。 |
event.results |
network.dns.answers.data |
從原始記錄的 event.results 欄位擷取的 DNS 答案。資料會使用「;」分隔符號，分成個別答案。 |
event.source.commandLine |
principal.process.command_line |
來源程序的指令列，從原始記錄的 event.source.commandLine 欄位中擷取。 |
event.source.executable.hashes.md5 |
principal.process.file.md5 |
來源程序可執行檔的 MD5 雜湊，從原始記錄的 event.source.executable.hashes.md5 欄位擷取。 |
event.source.executable.hashes.sha1 |
principal.process.file.sha1 |
從原始記錄的 event.source.executable.hashes.sha1 欄位擷取的來源程序可執行檔 SHA-1 雜湊值。 |
event.source.executable.hashes.sha256 |
principal.process.file.sha256 |
從原始記錄的 event.source.executable.hashes.sha256 欄位擷取的來源程序可執行檔 SHA-256 雜湊。 |
event.source.executable.path |
principal.process.file.full_path |
來源程序可執行檔的完整路徑，從原始記錄的 event.source.executable.path 欄位中擷取。 |
event.source.executable.signature.signed.identity |
principal.resource.attribute.labels |
從原始記錄的 event.source.executable.signature.signed.identity 欄位擷取的來源程序可執行檔簽署身分。系統會將其新增為標籤，並將鍵 Source Signature Signed Identity 設為主要資源屬性標籤。 |
event.source.executable.sizeBytes |
principal.process.file.size |
來源程序可執行檔的大小，從原始記錄的 event.source.executable.sizeBytes 欄位擷取。 |
event.source.fullPid.pid |
principal.process.pid |
來源程序的 PID，從原始記錄的 event.source.fullPid.pid 欄位擷取。 |
event.source.parent.commandLine |
principal.process.parent_process.command_line |
來源父項程序的指令列，從原始記錄的 event.source.parent.commandLine 欄位擷取。 |
event.source.parent.executable.hashes.md5 |
principal.process.parent_process.file.md5 |
來源父項程序可執行檔的 MD5 雜湊，從原始記錄的 event.source.parent.executable.hashes.md5 欄位擷取。 |
event.source.parent.executable.hashes.sha1 |
principal.process.parent_process.file.sha1 |
來源父項程序可執行檔的 SHA-1 雜湊值，從原始記錄的 event.source.parent.executable.hashes.sha1 欄位中擷取。 |
event.source.parent.executable.hashes.sha256 |
principal.process.parent_process.file.sha256 |
來源父項程序可執行檔的 SHA-256 雜湊，從原始記錄的 event.source.parent.executable.hashes.sha256 欄位中擷取。 |
event.source.parent.executable.signature.signed.identity |
principal.resource.attribute.labels |
來源父項程序可執行檔的簽署身分，從原始記錄的 event.source.parent.executable.signature.signed.identity 欄位中擷取。系統會將其新增為標籤，並將鍵 Source Parent Signature Signed Identity 設為主要資源屬性標籤。 |
event.source.parent.fullPid.pid |
principal.process.parent_process.pid |
從原始記錄的 event.source.parent.fullPid.pid 欄位擷取的來源父項程序 PID。 |
event.source.user.name |
principal.user.userid |
來源程序使用者的使用者名稱，從原始記錄的 event.source.user.name 欄位中擷取。 |
event.source.user.sid |
principal.user.windows_sid |
來源程序使用者的 Windows SID，從原始記錄的 event.source.user.sid 欄位中擷取。 |
event.sourceAddress.address |
principal.ip |
來源的 IP 位址，從原始記錄的 event.sourceAddress.address 欄位中擷取。 |
event.sourceAddress.port |
principal.port |
來源的通訊埠，從原始記錄的 event.sourceAddress.port 欄位擷取。 |
event.target.executable.hashes.md5 |
target.process.file.md5 |
目標程序可執行檔的 MD5 雜湊值，從原始記錄的 event.target.executable.hashes.md5 欄位中擷取。 |
event.target.executable.hashes.sha1 |
target.process.file.sha1 |
目標程序可執行檔的 SHA-1 雜湊，從原始記錄的 event.target.executable.hashes.sha1 欄位中擷取。 |
event.target.executable.hashes.sha256 |
target.process.file.sha256 |
從原始記錄的 event.target.executable.hashes.sha256 欄位擷取目標程序的執行檔，並計算 SHA-256 雜湊。 |
event.target.executable.path |
target.process.file.full_path |
目標程序可執行檔的完整路徑，從原始記錄的 event.target.executable.path 欄位擷取。 |
event.target.executable.signature.signed.identity |
target.resource.attribute.labels |
目標程序可執行檔的已簽署身分，從原始記錄的 event.target.executable.signature.signed.identity 欄位中擷取。系統會將其新增為標籤，並將鍵 Target Signature Signed Identity 指派給目標資源屬性標籤。 |
event.target.executable.sizeBytes |
target.process.file.size |
目標程序可執行檔的大小，從原始記錄的 event.target.executable.sizeBytes 欄位擷取。 |
event.target.fullPid.pid |
target.process.pid |
目標程序的 PID，從原始記錄的「event.target.fullPid.pid」欄位擷取。 |
event.targetFile.path |
target.file.full_path |
目標檔案的完整路徑，從原始記錄的 event.targetFile.path 欄位擷取。 |
event.targetFile.signature.signed.identity |
target.resource.attribute.labels |
目標檔案的簽署身分，從原始記錄的「event.targetFile.signature.signed.identity」欄位擷取。系統會將其新增為標籤，並將鍵 Target File Signature Signed Identity 指派給目標資源屬性標籤。 |
event.trueContext.key.value |
未對應至 UDM。 | |
event.type |
metadata.description |
事件類型，從原始記錄的 event.type 欄位擷取。 |
event.url |
target.url |
從原始記錄的 event.url 欄位擷取的活動網址。 |
meta.agentVersion |
metadata.product_version、metadata.product_version |
代理程式版本，從原始記錄的 meta.agentVersion 欄位擷取。 |
meta.computerName |
principal.hostname、target.hostname |
電腦的主機名稱，從原始記錄的「meta.computerName」欄位擷取。 |
meta.osFamily |
principal.asset.platform_software.platform、target.asset.platform_software.platform |
電腦的作業系統系列，從原始記錄的 meta.osFamily 欄位擷取。linux 對應至 LINUX，windows 對應至 WINDOWS。 |
meta.osRevision |
principal.asset.platform_software.platform_version、target.asset.platform_software.platform_version |
電腦的作業系統修訂版本，從原始記錄的 meta.osRevision 欄位擷取。 |
meta.traceId |
metadata.product_log_id |
事件的追蹤記錄 ID，從原始記錄的「meta.traceId」欄位擷取。 |
meta.uuid |
principal.asset.product_object_id、target.asset.product_object_id |
從原始記錄的「meta.uuid」欄位擷取的電腦 UUID。 |
metadata_event_type |
metadata.event_type |
事件類型，由剖析器邏輯根據 event.type 欄位設定。 |
metadata_product_name |
metadata.product_name |
產品名稱，由剖析器邏輯設為 Singularity XDR。 |
metadata_vendor_name |
metadata.vendor_name |
供應商名稱，由剖析器邏輯設為 SentinelOne。 |
network_application_protocol |
network.application_protocol |
網路連線的應用程式通訊協定，由剖析器邏輯針對 DNS 事件設為 DNS。 |
network_dns_questions.name |
network.dns.questions.name |
從原始記錄的「event.query」欄位擷取的 DNS 問題名稱。 |
network_direction |
network.direction |
網路連線的方向，由剖析器邏輯設為 OUTBOUND (輸出連線) 和 INBOUND (輸入連線)。 |
network_http_method |
network.http.method |
從原始記錄的 event.method 欄位擷取的事件 HTTP 方法。 |
principal.process.command_line |
target.process.command_line |
從 principal.process.command_line 欄位擷取並對應至目標程序指令列的主體程序指令列。 |
principal.process.file.full_path |
target.process.file.full_path |
從 principal.process.file.full_path 欄位擷取的主體程序檔案完整路徑，並對應至目標程序檔案完整路徑。 |
principal.process.file.md5 |
target.process.file.md5 |
從 principal.process.file.md5 欄位擷取並對應至目標程序檔案 MD5 的主程序檔案 MD5 雜湊。 |
principal.process.file.sha1 |
target.process.file.sha1 |
從 principal.process.file.sha1 欄位擷取，並對應至目標程序檔案 SHA-1 的主程序檔案 SHA-1 雜湊值。 |
principal.process.file.sha256 |
target.process.file.sha256 |
從 principal.process.file.sha256 欄位擷取，並對應至目標程序檔案 SHA-256 的主程序檔案 SHA-256 雜湊。 |
principal.process.file.size |
target.process.file.size |
從 principal.process.file.size 欄位擷取並對應至目標程序檔案大小的主程序檔案大小。 |
principal.process.pid |
target.process.pid |
從 principal.process.pid 欄位擷取的主體程序 PID，並對應至目標程序 PID。 |
principal.user.userid |
target.user.userid |
從 principal.user.userid 欄位擷取主體的使用者 ID，並對應至目標使用者 ID。 |
principal.user.windows_sid |
target.user.windows_sid |
主體的 Windows SID，從 principal.user.windows_sid 欄位擷取並對應至目標使用者 Windows SID。 |
metadata.event_type |
REGISTRY_CREATION |
從變更記錄對應 |
agentDetectionInfo.agentOsName |
target.platform_version |
從變更記錄對應 |
agentDetectionInfo.agentLastLoggedInUserName |
target.user.userid |
從變更記錄對應 |
prin_user |
principal.user.userid |
從變更記錄對應 |
suser |
principal.user.userid |
從變更記錄對應 |
accountId |
target.user.userid |
從變更記錄對應 |
MessageSourceAddress |
principal.ip |
從變更記錄對應 |
machine_host |
principal.hostname |
從變更記錄對應 |
event.dns.response |
network.dns.answers.data |
從變更記錄對應 |
osName |
src.platform |
從變更記錄對應 |
site.id:account.id:agent.uuid:tgt.process.uid |
target.process.product_specific_process_id |
從變更記錄對應 |
site.id:account.id:agent.uuid:src.process.uid |
principal.process.product_specific_process_id |
從變更記錄對應 |
site.id:account.id:agent.uuid:src.process.parent.uid |
principal.process.parent_process.product_specific_process_id |
從變更記錄對應 |
tgt.process.user |
target.user.userid |
從變更記錄對應 |
metadata.event_type |
NETWORK_HTTP |
從變更記錄對應 |
indicator.category |
security_result.category_details |
從變更記錄對應 |
module.path |
target.process.file.full_path |
從變更記錄對應 |
module.sha1 |
target.process.file.sha1 |
從變更記錄對應 |
metadata.event_type |
PROCESS_MODULE_LOAD |
從變更記錄對應 |
registry.keyPath |
target.registry.registry_key |
從變更記錄對應 |
registry.value |
target.registry.registry_value_data |
從變更記錄對應 |
event.network.protocolName |
network.application_protocol |
從變更記錄對應 |
principal.platform", "principal.asset.platform_software.platform |
LINUX |
從變更記錄對應 |
event.login.userName |
target.user.userid |
從變更記錄對應 |
osSrc.process.parent.publisher |
principal.resource.attribute.labels |
從變更記錄對應 |
src.process.rUserName/src.process.eUserName/src.process.lUserName |
principal.user.user_display_name |
從變更記錄對應 |
tgt.file.location", "registry.valueFullSize", "registry.valueType |
target.resource.attribute.labels |
從變更記錄對應 |
indicator.description |
security_result.summary |
從變更記錄對應 |
metadata.event_type |
SCAN_NETWORK |
從變更記錄對應 |
metadata.event_type |
SCAN_UNCATEGORIZED |
從變更記錄對應 |
site.name:site.id |
principal.namespace |
從變更記錄對應 |
event.network.direction |
network.direction |
從變更記錄對應 |
meta.event.name |
metadata.description |
從變更記錄對應 |
task.name |
target.resource.name |
從變更記錄對應 |
agent.uuid |
principal.asset.product_object_id |
從變更記錄對應 |
src.process.publisher |
principal.resource.attribute.labels |
從變更記錄對應 |
src.process.cmdline |
target.process.command_line |
從變更記錄對應 |
mgmt.osRevision |
principal.asset.platform_software.platform_version |
從變更記錄對應 |
event.dns.response |
network.dns.answers |
從變更記錄對應 |
event.id |
target.registry.registry_value_name |
從變更記錄對應 |
event.type |
metadata.product_event_type |
從變更記錄對應 |
event.targetFile.signature.signed.identity", "event.target.executable.signature.signed.identity", "event.target.parent.executable.signature.signed.identity |
target.resource.attribute.labels |
從變更記錄對應 |
mgmt.url |
metadata.url_back_to_product |
從變更記錄對應 |
site.name |
principal.location.name |
從變更記錄對應 |
src.process.rUserUid |
principal.user.userid |
從變更記錄對應 |
src.process.eUserId |
principal.user.userid |
從變更記錄對應 |
src.process.lUserId |
principal.user.userid |
從變更記錄對應 |
src.process.parent.rUserUid |
metadata.ingestion_labels |
從變更記錄對應 |
src.process.parent.eUserId |
metadata.ingestion_labels |
從變更記錄對應 |
src.process.parent.lUserId |
metadata.ingestion_labels |
從變更記錄對應 |
tgt.process.rUserUid |
target.user.userid |
從變更記錄對應 |
tgt.process.eUserId |
target.user.userid |
從變更記錄對應 |
tgt.process.lUserId |
target.user.userid |
從變更記錄對應 |
metadata.event_type |
PROCESS_LAUNCH |
從變更記錄對應 |
metadata.event_type |
PROCESS_OPEN |
從變更記錄對應 |
metadata.event_type |
FILE_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
NETWORK_CONNECTION |
從變更記錄對應 |
metadata.event_type |
NETWORK_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
FILE_MODIfICATION |
從變更記錄對應 |
metadata.event_type |
FILE_CREATION |
從變更記錄對應 |
metadata.event_type |
FILE_DELETION |
從變更記錄對應 |
metadata.event_type |
USER_LOGIN |
從變更記錄對應 |
metadata.event_type |
USER_LOGOUT |
從變更記錄對應 |
metadata.event_type |
STATUS_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
NETWORK_DNS |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_CREATION |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_MODIfICATION |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
SCHEDULED_TASK_DELETION |
從變更記錄對應 |
metadata.event_type |
REGISTRY_MODIfICATION |
從變更記錄對應 |
metadata.event_type |
REGISTRY_DELETION |
從變更記錄對應 |
metadata.event_type |
REGISTRY_UNCATEGORIZED |
從變更記錄對應 |
metadata.event_type |
PROCESS_UNCATEGORIZED |
從變更記錄對應 |
account.id |
metadata.product_deployment_id |
從變更記錄對應 |
agent.uuid |
principal.asset.asset_id |
從變更記錄對應 |
dst.ip.address |
target.ip |
從變更記錄對應 |
src.ip.address |
principal.ip |
從變更記錄對應 |
src.process.parent.image.sha1 |
principal.process.parent_process.file.sha1 |
從變更記錄對應 |
src.process.parent.image.sha256 |
principal.process.parent_process.file.sha256 |
從變更記錄對應 |
src.process.parent.image.path |
principal.process.parent_process.file.full_path |
從變更記錄對應 |
src.process.parent.cmdline |
principal.process.parent_process.command_line |
從變更記錄對應 |
src.process.parent.image.md5 |
principal.process.parent_process.file.md5 |
從變更記錄對應 |
src.process.parent.pid |
principal.process.parent_process.pid |
從變更記錄對應 |
src.process.image.sha1 |
principal.process.file.sha1 |
從變更記錄對應 |
src.process.image.md5 |
principal.process.file.md5 |
從變更記錄對應 |
src.process.pid |
principal.process.pid |
從變更記錄對應 |
src.process.cmdline |
principal.process.command_line |
從變更記錄對應 |
src.process.image.path |
principal.process.file.full_path |
從變更記錄對應 |
src.process.image.sha256 |
principal.process.file.sha256 |
從變更記錄對應 |
src.process.user |
principal.user.user_display_name |
從變更記錄對應 |
src.process.uid |
principal.user.userid |
從變更記錄對應 |
src.process.storyline.id |
principal.process.product_specific_process_id |
從變更記錄對應 |
src.process.parent.storyline.id |
principal.process.parent_process.product_specific_process_id |
從變更記錄對應 |
mgmt.url |
target.url |
從變更記錄對應 |
site.id |
principal.namespace |
從變更記錄對應 |
src.port.number |
principal.port |
從變更記錄對應 |
dst.port.number |
target.port |
從變更記錄對應 |
event_data.id |
metadata.product_log_id |
從變更記錄對應 |
threatClassification |
security_result.category_details |
從變更記錄對應 |
threatConfidenceLevel" and "threatMitigationStatus |
security_result.detection_fields |
從變更記錄對應 |
Location |
principal.location.name |
從變更記錄對應 |
data.filePath |
principal.process.parent_process.file.full_path |
從變更記錄對應 |
principal_userid |
principal.user.userid |
從變更記錄對應 |
principal_domain |
principal.administrative_domain |
從變更記錄對應 |
threatInfo.threatId |
security_result.threat_id |
從變更記錄對應 |
threatInfo.identifiedAt |
metadata.event_timestamp |
從變更記錄對應 |
threatInfo.threatId |
metadata.product_log_id |
從變更記錄對應 |
security_result.alert_state |
ALERTING |
從變更記錄對應 |
threatInfo.maliciousProcessArguments |
security_result.description |
從變更記錄對應 |
threatInfo.threatName |
security_result.threat_name |
從變更記錄對應 |
threatInfo.classification |
security_result.category_details |
從變更記錄對應 |
security_result.category |
SOFTWARE_MALICIOUS |
從變更記錄對應 |
security_result.action |
ALLOW |
從變更記錄對應 |
threatInfo.mitigationStatus |
security_result.action_details |
從變更記錄對應 |
threatInfo.classification threatInfo.classificationSource threatInfo.analystVerdictDescription threatInfo.threatName |
security_result.summary |
從變更記錄對應 |
threatInfo.createdAt |
metadata.collected_timestamp |
從變更記錄對應 |
agentRealtimeInfo.accountId |
metadata.product_deployment_id |
從變更記錄對應 |
agentRealtimeInfo.agentVersion |
metadata.product_version |
從變更記錄對應 |
indicator.category |
detection_fields.key |
從變更記錄對應 |
detectionEngines.key |
detection_fields.key |
從變更記錄對應 |
event.targetFile.hashes.md5 |
target.process.file.md5 |
從變更記錄對應 |
event.targetFile.hashes.sha1 |
target.process.file.sha1 |
從變更記錄對應 |
event.targetFile.hashes.sha256 |
target.process.file.sha256 |
從變更記錄對應 |
event.file.path |
target.file.full_path |
從變更記錄對應 |
event.file.hashes.md5 |
target.process.file.md5 |
從變更記錄對應 |
event.file.hashes.sha1 |
target.process.file.sha1 |
從變更記錄對應 |
event.file.hashes.sha256 |
target.process.file.sha256 |
從變更記錄對應 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。