收集 Windows 網路政策伺服器記錄

支援的國家/地區：

本文說明如何使用 Bindplane，將 Windows 網路原則伺服器 (NPS) 記錄檔擷取至 Google Security Operations。

Windows 網路政策伺服器 (NPS) 是 Microsoft RADIUS 伺服器，可產生網路存取控管的驗證、授權和帳戶記錄。Bindplane 代理程式會直接從本機檔案系統收集 NPS 會計記錄檔和匯出的事件記錄。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 支援 observiq-otel-collector 服務的 Windows Server 2016 以上版本
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • 具備 Windows Server 的管理員存取權，且已安裝網路原則伺服器角色

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。

  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

服務應顯示為「RUNNING」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    filelog:
        include:
            - C:\Windows\System32\LogFiles\IN*.log
        start_at: beginning

exporters:
    chronicle/windows_nps:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_NET_POLICY_SERVER
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/nps_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/windows_nps

設定參數

替換下列預留位置：

  • 接收器設定：

    • filelog：從磁碟收集記錄檔的接收器類型
    • include：要監控的檔案路徑清單。將此設定為 NPS 帳戶記錄檔的位置 (例如 C:\Windows\System32\LogFiles\IN*.log)，或匯出的事件記錄 (例如 C:\Logs\nps\*.evtx)
    • start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目

  • 匯出工具設定：

    • windows_nps：匯出工具的說明名稱
    • creds_file_path：擷取驗證檔案的完整路徑：
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>：上一步中的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」
    • WINDOWS_NET_POLICY_SERVER：記錄類型，與 Chronicle 中顯示的完全相同
    • ingestion_labels：YAML 格式的選用標籤 (例如 env: production)

  • 管道設定：

    • nps_to_chronicle：管道的說明名稱

儲存設定檔

  • 編輯完成後，請儲存檔案：
    • Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

  1. 您可以選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：
    net stop observiq-otel-collector && net start observiq-otel-collector
    • 服務控制台：
      1. 按下 Win+R，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取「重新啟動」。

  2. 確認服務正在執行：

    sc query observiq-otel-collector

  3. 檢查記錄中是否有錯誤：

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Windows NPS 記錄匯出作業

Windows NPS 會產生兩種記錄：儲存在磁碟上的 NPS 帳戶記錄檔 (IAS 格式)，以及 Windows 事件記錄中的 NPS 相關事件。您可以收集其中一項或兩項資訊。

方法 1：收集 NPS 會計記錄檔 (預設)

根據預設，NPS 帳戶記錄檔會儲存在 C:\Windows\System32\LogFiles\` with filenames starting withIN(for example,IN2301.log`)。

  1. 開啟「伺服器管理員」>「網路政策伺服器」。
  2. 依序前往「會計」>「設定會計」。
  3. 確認已啟用「Log to a text file (local)」。
  4. 請注意記錄檔目錄 (預設為 %systemroot%\system32\LogFiles)。

  5. 確認 config.yaml 中的 Bindplane 代理程式 include 路徑與記錄檔位置相符。

方法 2：匯出 NPS 事件記錄

Windows 安全性事件記錄檔會記錄 NPS 驗證事件 (事件 ID 6272-6280)。

  1. 建立目錄來儲存匯出的記錄檔：

    mkdir C:\Logs\nps

  2. 使用 wevtutil 匯出與 NPS 相關的安全性事件：

    wevtutil epl "Security" /q:"*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID>=6272 and EventID<=6280)]]" C:\Logs\nps\nps-security.evtx

  3. (選用) 使用 Windows 工作排程器排定定期匯出作業：

    $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" /q:"*[System[Provider[@Name=''Microsoft-Windows-Security-Auditing''] and (EventID>=6272 and EventID<=6280)]]" C:\Logs\nps\nps-security.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportNPSLogs" -Description "Export Windows NPS logs for Bindplane agent"

  4. 更新 config.yaml 中的 Bindplane 代理程式 include 路徑，使其符合下列條件：

    include:
    - C:\Logs\nps\*.evtx

UDM 對應表

記錄欄位 UDM 對應 邏輯
EventID about 對應值 (共 5 個，例如 4800, 4801 → session_about、5137, 5141 → `token_about...)
SourceName about 對應值 (共 6 個，例如 `"Microsoft-Windows-Security-Auditing"、"Microsoft Windows secu... )
about_host about 已合併
about_token about 已合併
jsonPayload_about about 已合併
session_about about 已合併
token_about about 已合併
fqdn about.administrative_domain 直接對應
param1 about.file.full_path 直接對應
DCDNSName about.hostname 直接對應
LocalEMPrincipalName about.hostname 直接對應
EventID about.ip 已對應：4908, 4964 → address
SourceName about.ip 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
address about.ip 已合併
EventID about.labels 對應值 (共 15 個，例如 4625, 4776, 4794 → keywords_label、4774, 4775 → `map...)
ImpersonationLevel_label about.labels 已合併
RestrictedAdminMode_label about.labels 已合併
SourceName about.labels 對應的值 (共 23 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec...)
additional_data_label about.labels 已合併
audit_policy_changes_label about.labels 已合併
ca_label about.labels 已合併
category_label about.labels 已合併
keywords_label about.labels 已合併
labels0 about.labels 已合併
labels101 about.labels 已合併
labels202 about.labels 已合併
labels401 about.labels 已合併
level_label about.labels 已合併
mapped_name_label about.labels 已合併
mapping_by_label about.labels 已合併
mapping_channel about.labels 已合併
mapping_opcode about.labels 已合併
system_keyword_label about.labels 已合併
task_label about.labels 已合併
thread_id_label about.labels 已合併
value_is_near_0 about.labels 已對應：true → labels101
value_is_near_1 about.labels 已對應：true → labels202
version_label about.labels 已合併
param3 about.registry.registry_key 直接對應
EventID about.resource.attribute.labels 已對應：4908, 4964 → label_for_resource_attribute
SourceName about.resource.attribute.labels 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `l...
label_for_resource_attribute about.resource.attribute.labels 已合併
ProviderName about.resource.name 直接對應
ProviderKey about.resource.product_object_id 直接對應
temp about.resource.product_object_id 直接對應
Url about.url 直接對應
cacheDenyUrls about.url 直接對應
EventID about.user.attribute.labels 已對應：4765, 4766 → about_user_label、4908, 4964 → about_user_label、` 4908 等
SourceName about.user.attribute.labels 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
about_user_label about.user.attribute.labels 已合併
label_for_user_attribute about.user.attribute.labels 已合併
SourceUserName about.user.userid 直接對應
about_user_windows_sid about.user.windows_sid 直接對應
EventID additiona.fields 已對應：4908, 4964 → function_label、4104, 4105 → function_label
SourceName additiona.fields 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `f...
function_label additiona.fields 已合併
AccountAvailableKeys_label additional.fields 已合併
AccountSupportedEncryptionTypes_label additional.fields 已合併
ActiveProfile_label additional.fields 已合併
AdvancedOptions_label additional.fields 已合併
AppCorrelationID_label additional.fields 已合併
AppId_label additional.fields 已合併
AttributeSyntaxOID_label additional.fields 已合併
AuditResult_label additional.fields 已合併
AuditType_label additional.fields 已合併
AuthProtocol_label additional.fields 已合併
Binding_type_label additional.fields 已合併
Cache_Control_label additional.fields 已合併
ClaimsProvider_label additional.fields 已合併
ClientAdvertizedEncryptionTypes_label additional.fields 已合併
ClientCreationTime_label additional.fields 已合併
CommandName_label additional.fields 已合併
CommandType_label additional.fields 已合併
ConfigAccessPolicy_label additional.fields 已合併
ConfiguredNames_label additional.fields 已合併
Connection_label additional.fields 已合併
Content_Type_label additional.fields 已合併
DCAvailableKeys_label additional.fields 已合併
DCSupportedEncryptionTypes_label additional.fields 已合併
DN_label additional.fields 已合併
DSType_label additional.fields 已合併
DetailSequence_label additional.fields 已合併
DetailTotal_label additional.fields 已合併
Details_label additional.fields 已合併
DeviceAuth_label additional.fields 已合併
DeviceId_label additional.fields 已合併
DirectiveName_label additional.fields 已合併
DisableIntegrityChecks_label additional.fields 已合併
Endpoint_label additional.fields 已合併
EngineVersion_label additional.fields 已合併
ErrorCode_label additional.fields 已合併
EventID additional.fields 對應的值 (共 420 個，例如 4719 → additional_field_task_category、` 4692、4693、4694... )
FQDN_label additional.fields 已合併
FWLink_label additional.fields 已合併
FailureType_label additional.fields 已合併
FaultingApplicationPath_label additional.fields 已合併
FaultingModulePath_label additional.fields 已合併
FlightSigning_label additional.fields 已合併
ForwardedIpAddress_label additional.fields 已合併
GroupPolicyApplied_label additional.fields 已合併
HandleId_label additional.fields 已合併
HandleId_label_1 additional.fields 已合併
HostID_label additional.fields 已合併
HostId_label additional.fields 已合併
HostName_label additional.fields 已合併
HostVersion_label additional.fields 已合併
Host_label additional.fields 已合併
HypervisorDebug_label additional.fields 已合併
HypervisorLaunchType_label additional.fields 已合併
HypervisorLoadOptions_label additional.fields 已合併
ImpersonationLevel_label additional.fields 已合併
IpAddress_label additional.fields 已合併
KernelDebug_label additional.fields 已合併
KeyLength_label additional.fields 已合併
LmPackageName_label additional.fields 已合併
LoadOptions_label additional.fields 已合併
LogDroppedPacketsEnabled_label additional.fields 已合併
LogSuccessfulConnectionsEnabled_label additional.fields 已合併
MandatoryLabel_label additional.fields 已合併
MessageNumber_label additional.fields 已合併
MessageTotal_label additional.fields 已合併
Message_label additional.fields 已合併
MfaMethod_label additional.fields 已合併
MfaPerformed_label additional.fields 已合併
MulticastFlowsEnabled_label additional.fields 已合併
NetworkIpAddress_label additional.fields 已合併
NetworkLocation_label additional.fields 已合併
NewEngineState_label additional.fields 已合併
NewState_label additional.fields 已合併
NotificationInterval_label additional.fields 已合併
OAuthClientId_label additional.fields 已合併
OAuthGrant_label additional.fields 已合併
ObjectServer_label additional.fields 已合併
OpCorrelationID_label additional.fields 已合併
OperationMode_label additional.fields 已合併
OperationType_label additional.fields 已合併
Operation_label additional.fields 已合併
PacketType_label additional.fields 已合併
Payload_label additional.fields 已合併
PipelineID_label additional.fields 已合併
PipelineId_label additional.fields 已合併
PreAuthEncryptionType_label additional.fields 已合併
PreviousEngineState_label additional.fields 已合併
PrimaryAuth_label additional.fields 已合併
Product_Name_label additional.fields 已合併
Product_Version_label additional.fields 已合併
Profile_label additional.fields 已合併
Profiles_label additional.fields 已合併
ProxyIpAddress_label additional.fields 已合併
ProxyServer_label additional.fields 已合併
RelyingParty_label additional.fields 已合併
RemoteAdminEnabled_label additional.fields 已合併
RemoteEventLogging_label additional.fields 已合併
RequestTicketHash_label additional.fields 已合併
ResourceManager_label additional.fields 已合併
ResponseTicketHash_label additional.fields 已合併
RestrictedAdminMode_label additional.fields 已合併
ReturnCode_label additional.fields 已合併
RunspaceID_label additional.fields 已合併
RunspaceId_label additional.fields 已合併
SequenceNumber_label additional.fields 已合併
Server_label additional.fields 已合併
ServiceAvailableKeys_label additional.fields 已合併
ServiceStartType_label additional.fields 已合併
ServiceSupportedEncryptionTypes_label additional.fields 已合併
ServiceType_label additional.fields 已合併
SessionKeyEncryptionType_label additional.fields 已合併
SkuId_label additional.fields 已合併
SourceName additional.fields 對應值 (共 564 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows se... )
SsoBindingValidationLevel_label additional.fields 已合併
StartType_label additional.fields 已合併
SubjectLogonId_label additional.fields 已合併
THostName_label additional.fields 已合併
TargetLinkedLogonId_label additional.fields 已合併
TestSigning_label additional.fields 已合併
Ticket_type_label additional.fields 已合併
TokenBindingProvidedId_label additional.fields 已合併
TokenBindingReferredId_label additional.fields 已合併
TokenElevationType_label additional.fields 已合併
TransactionId_label additional.fields 已合併
TransmittedServices_label additional.fields 已合併
Trigger_label additional.fields 已合併
UserAgentString_label additional.fields 已合併
UserId_label additional.fields 已合併
VirtualAccount_label additional.fields 已合併
VsmLaunchType_label additional.fields 已合併
X_MS_Endpoint_Absolute_Path_label1 additional.fields 已合併
acc_mask_label additional.fields 已合併
access_mask_label additional.fields 已合併
account_name_label additional.fields 已合併
acct_authentic additional.fields 已合併
acct_input_octets additional.fields 已合併
acct_input_packets additional.fields 已合併
acct_link_count additional.fields 已合併
acct_output_octets additional.fields 已合併
acct_output_packets additional.fields 已合併
acct_session_time additional.fields 已合併
acct_status_type additional.fields 已合併
activity_id_label additional.fields 已合併
add_label additional.fields 已合併
add_labels202 additional.fields 已合併
addition_ObjectClass additional.fields 已合併
additional_ClientAdvertizedEncryptionTypes additional.fields 已合併
additional_ParameterBinding_Add-Type additional.fields 已合併
additional_Requested_Operation_Desired_Access additional.fields 已合併
additional_TargetDomainName additional.fields 已合併
additional_The_SSPI_client_process_is_SYSTEM_PID additional.fields 已合併
additional_access_mask additional.fields 已合併
additional_data_label additional.fields 已合併
additional_field additional.fields 已合併
additional_field_subject_domain_name additional.fields 已合併
additional_field_task_category additional.fields 已合併
additional_information_label additional.fields 已合併
additional_member_name additional.fields 已合併
additional_user_data additional.fields 已合併
attribute_label additional.fields 已合併
attribute_ldap_display_name_label additional.fields 已合併
attribute_selection_label additional.fields 已合併
attributes_preventing_optimization_label additional.fields 已合併
audit_policy_changes_label additional.fields 已合併
audit_schema_version_label additional.fields 已合併
authentication_type_label additional.fields 已合併
backup_type_label additional.fields 已合併
ca_label additional.fields 已合併
cab_id_label additional.fields 已合併
caller_identity_label additional.fields 已合併
caller_user_name_label additional.fields 已合併
category_label additional.fields 已合併
certificate_identity_label additional.fields 已合併
charset_label additional.fields 已合併
check_field_server_names additional.fields 已合併
class additional.fields 已合併
class_type_label additional.fields 已合併
clean_pages_modified_label additional.fields 已合併
client_options1_label additional.fields 已合併
client_options_label additional.fields 已合併
client_request_id_label additional.fields 已合併
connect_info additional.fields 已合併
connect_options_label additional.fields 已合併
content_length_label additional.fields 已合併
data_1_label additional.fields 已合併
data_2_label additional.fields 已合併
data_3_label additional.fields 已合併
dirty_pages_modified_label additional.fields 已合併
disposition_label additional.fields 已合併
domain_label additional.fields 已合併
environment_label additional.fields 已合併
event_data_d_word_val_label additional.fields 已合併
event_data_method_label additional.fields 已合併
event_data_p10_label additional.fields 已合併
event_data_p11_label additional.fields 已合併
event_data_p12_label additional.fields 已合併
event_data_p13_label additional.fields 已合併
event_data_p14_label additional.fields 已合併
event_data_p15_label additional.fields 已合併
event_data_p16_label additional.fields 已合併
event_data_p17_label additional.fields 已合併
event_data_p18_label additional.fields 已合併
event_data_p19_label additional.fields 已合併
event_data_p1_label additional.fields 已合併
event_data_p20_label additional.fields 已合併
event_data_p21_label additional.fields 已合併
event_data_p22_label additional.fields 已合併
event_data_p23_label additional.fields 已合併
event_data_p24_label additional.fields 已合併
event_data_p25_label additional.fields 已合併
event_data_p26_label additional.fields 已合併
event_data_p27_label additional.fields 已合併
event_data_p28_label additional.fields 已合併
event_data_p29_label additional.fields 已合併
event_data_p2_label additional.fields 已合併
event_data_p30_label additional.fields 已合併
event_data_p31_label additional.fields 已合併
event_data_p32_label additional.fields 已合併
event_data_p33_label additional.fields 已合併
event_data_p34_label additional.fields 已合併
event_data_p35_label additional.fields 已合併
event_data_p36_label additional.fields 已合併
event_data_p37_label additional.fields 已合併
event_data_p38_label additional.fields 已合併
event_data_p39_label additional.fields 已合併
event_data_p3_label additional.fields 已合併
event_data_p40_label additional.fields 已合併
event_data_p41_label additional.fields 已合併
event_data_p42_label additional.fields 已合併
event_data_p43_label additional.fields 已合併
event_data_p44_label additional.fields 已合併
event_data_p45_label additional.fields 已合併
event_data_p46_label additional.fields 已合併
event_data_p47_label additional.fields 已合併
event_data_p48_label additional.fields 已合併
event_data_p49_label additional.fields 已合併
event_data_p4_label additional.fields 已合併
event_data_p50_label additional.fields 已合併
event_data_p51_label additional.fields 已合併
event_data_p52_label additional.fields 已合併
event_data_p53_label additional.fields 已合併
event_data_p54_label additional.fields 已合併
event_data_p55_label additional.fields 已合併
event_data_p56_label additional.fields 已合併
event_data_p57_label additional.fields 已合併
event_data_p58_label additional.fields 已合併
event_data_p59_label additional.fields 已合併
event_data_p5_label additional.fields 已合併
event_data_p60_label additional.fields 已合併
event_data_p61_label additional.fields 已合併
event_data_p62_label additional.fields 已合併
event_data_p63_label additional.fields 已合併
event_data_p64_label additional.fields 已合併
event_data_p65_label additional.fields 已合併
event_data_p66_label additional.fields 已合併
event_data_p67_label additional.fields 已合併
event_data_p68_label additional.fields 已合併
event_data_p69_label additional.fields 已合併
event_data_p6_label additional.fields 已合併
event_data_p70_label additional.fields 已合併
event_data_p71_label additional.fields 已合併
event_data_p72_label additional.fields 已合併
event_data_p73_label additional.fields 已合併
event_data_p74_label additional.fields 已合併
event_data_p75_label additional.fields 已合併
event_data_p76_label additional.fields 已合併
event_data_p77_label additional.fields 已合併
event_data_p78_label additional.fields 已合併
event_data_p79_label additional.fields 已合併
event_data_p7_label additional.fields 已合併
event_data_p80_label additional.fields 已合併
event_data_p81_label additional.fields 已合併
event_data_p82_label additional.fields 已合併
event_data_p83_label additional.fields 已合併
event_data_p84_label additional.fields 已合併
event_data_p85_label additional.fields 已合併
event_data_p86_label additional.fields 已合併
event_data_p87_label additional.fields 已合併
event_data_p88_label additional.fields 已合併
event_data_p89_label additional.fields 已合併
event_data_p8_label additional.fields 已合併
event_data_p90_label additional.fields 已合併
event_data_p91_label additional.fields 已合併
event_data_p92_label additional.fields 已合併
event_data_p9_label additional.fields 已合併
event_data_param1_label additional.fields 已合併
event_data_param2_label additional.fields 已合併
event_data_param3_label additional.fields 已合併
event_data_param4_label additional.fields 已合併
event_data_param5_label additional.fields 已合併
event_data_param6_label additional.fields 已合併
event_data_param7_label additional.fields 已合併
event_data_processing_mode_label additional.fields 已合併
event_data_processing_time_in_milliseconds_label additional.fields 已合併
event_data_stage_label additional.fields 已合併
event_data_support_info1_label additional.fields 已合併
event_data_support_info2_label additional.fields 已合併
event_data_thumbprint_label additional.fields 已合併
event_id_label additional.fields 已合併
event_in_seq_label additional.fields 已合併
event_time_label additional.fields 已合併
exception_info_label additional.fields 已合併
expensive_search_operations_label additional.fields 已合併
failure_reason_label additional.fields 已合併
framework_version_label additional.fields 已合併
hashed_bucket_label additional.fields 已合併
inefficient_search_operations_label additional.fields 已合併
install_date_label additional.fields 已合併
is_column_permission_label additional.fields 已合併
is_dac_label additional.fields 已合併
keywords_label additional.fields 已合併
label01 additional.fields 已合併
label02 additional.fields 已合併
label03 additional.fields 已合併
label461 additional.fields 已合併
label462 additional.fields 已合併
label463 additional.fields 已合併
label46561 additional.fields 已合併
label46562 additional.fields 已合併
label46563 additional.fields 已合併
label46564 additional.fields 已合併
label46565 additional.fields 已合併
label46571 additional.fields 已合併
label46572 additional.fields 已合併
label47681 additional.fields 已合併
label47682 additional.fields 已合併
label501 additional.fields 已合併
label601 additional.fields 已合併
label_for_additional_fields additional.fields 已合併
labels0 additional.fields 已合併
labels401 additional.fields 已合併
labels46411 additional.fields 已合併
labels46412 additional.fields 已合併
labels46413 additional.fields 已合併
labels46414 additional.fields 已合併
labels46415 additional.fields 已合併
labels46416 additional.fields 已合併
labels46417 additional.fields 已合併
level_label additional.fields 已合併
logon_guid_label additional.fields 已合併
logon_id_label additional.fields 已合併
mapped_name_label additional.fields 已合併
mapping_by_label additional.fields 已合併
mapping_channel additional.fields 已合併
mapping_opcode additional.fields 已合併
method additional.fields 已合併
method_executed_label additional.fields 已合併
namespace_label additional.fields 已合併
nas_port_type_label additional.fields 已合併
network_information_label additional.fields 已合併
new_obj_dn_label additional.fields 已合併
new_target_user_name_label additional.fields 已合併
number_of_search_operations_label additional.fields 已合併
object_class_label additional.fields 已合併
object_dn_label additional.fields 已合併
operation_type_label additional.fields 已合併
p10_label additional.fields 已合併
p2_label additional.fields 已合併
p3_label additional.fields 已合併
p4_label additional.fields 已合併
p5_label additional.fields 已合併
p6_label additional.fields 已合併
p7_label additional.fields 已合併
p8_label additional.fields 已合併
p9_label additional.fields 已合併
package_label additional.fields 已合併
packet_data_size_label additional.fields 已合併
pages_preread_from_disk_label additional.fields 已合併
pages_read_from_disk_label additional.fields 已合併
pages_referenced_label additional.fields 已合併
parent_id_label additional.fields 已合併
payload_label additional.fields 已合併
perm_consumer_label additional.fields 已合併
permission_bitmask_label additional.fields 已合併
platform_label additional.fields 已合併
pooled_connection_label additional.fields 已合併
problem_signature_label additional.fields 已合併
protocol_seq_label additional.fields 已合併
proxy_dns_name_label additional.fields 已合併
query_string_label additional.fields 已合併
reason_code additional.fields 已合併
reason_code_labels additional.fields 已合併
report_id_label additional.fields 已合併
report_status_label additional.fields 已合併
req_id_label additional.fields 已合併
request_detail_label additional.fields 已合併
request_id_label additional.fields 已合併
request_path_label additional.fields 已合併
requester_label additional.fields 已合併
response_detail_label additional.fields 已合併
response_label additional.fields 已合併
returned_entries_label additional.fields 已合併
search_scope_label additional.fields 已合併
search_time_ms_label additional.fields 已合併
sequence_group_id_label additional.fields 已合併
sequence_number_label additional.fields 已合併
session_label additional.fields 已合併
sidtype_label additional.fields 已合併
source_group_label additional.fields 已合併
source_module_label additional.fields 已合併
span_id_label additional.fields 已合併
stage additional.fields 已合併
starting_node_label additional.fields 已合併
statement_label additional.fields 已合併
subject_key_label additional.fields 已合併
subject_label additional.fields 已合併
subject_logon_id_label additional.fields 已合併
subject_logon_id_label_1 additional.fields 已合併
subject_machine_name_label additional.fields 已合併
subject_user_name_label additional.fields 已合併
suppress_count_label additional.fields 已合併
suppress_label additional.fields 已合併
system_keyword_label additional.fields 已合併
target_label additional.fields 已合併
target_labels additional.fields 已合併
target_logon_id_label additional.fields 已合併
target_relying_party_label additional.fields 已合併
target_user_id_label additional.fields 已合併
temp_additional_event_category additional.fields 已合併
temp_additional_event_type additional.fields 已合併
temp_additional_insert_id additional.fields 已合併
temp_additional_log_name additional.fields 已合併
temp_additional_qualifiers additional.fields 已合併
temp_additional_time_gen additional.fields 已合併
temp_additional_time_written additional.fields 已合併
temp_query additional.fields 已合併
these_files_may_be_available_here_label additional.fields 已合併
thread_id_label additional.fields 已合併
through_proxy_label additional.fields 已合併
ticket_options_label additional.fields 已合併
time_interval_hours_label additional.fields 已合併
token_@_xmlns_ additional.fields 已合併
token_subject_logon_id additional.fields 已合併
trace_id_label additional.fields 已合併
transaction_id_label additional.fields 已合併
uf_type_label additional.fields 已合併
uf_version_label additional.fields 已合併
used_indexes_label additional.fields 已合併
user_data_0x8000003F_@_xmlns__label additional.fields 已合併
user_data_0x8000003F_process_id_label additional.fields 已合併
user_data_0x8000003F_providers_in_host_label additional.fields 已合併
user_data_0x8000003F_quota_name_label additional.fields 已合併
user_data_0x8000003F_quota_threshold_label additional.fields 已合併
user_data_0x8000003F_quota_value_label additional.fields 已合併
user_defined_event_id_label additional.fields 已合併
user_defined_information_label additional.fields 已合併
user_id_label additional.fields 已合併
value_is_near_1 additional.fields 已對應：true → add_labels202
var_client_name additional.fields 已合併
var_workstation_name additional.fields 已合併
version_label additional.fields 已合併
visited_entries_label additional.fields 已合併
vsad_label additional.fields 已合併
x_ms_adfs_proxy_client_ip_label additional.fields 已合併
x_ms_client_application_label additional.fields 已合併
x_ms_client_user_agent_label additional.fields 已合併
x_ms_forwarded_client_ip_label additional.fields 已合併
x_ms_proxy_label additional.fields 已合併
xmlns_label1 additional.fields 已合併
LogonType extensions.auth.auth_details 已重新命名/對應
EventID extensions.auth.mechanism 已對應：4908, 4964 → auth_mechanism1、4908, 4964 → auth_mechanism、` 1202,1203...
SourceName extensions.auth.mechanism 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
auth_mechanism extensions.auth.mechanism 已合併
auth_mechanism1 extensions.auth.mechanism 已合併
auth_type extensions.auth.type 已重新命名/對應
EventID intermediary 已對應：4908, 4964 → intermediary_label、` 8015、8018、8019、8020、8027、8033、8010 等
SourceName intermediary 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `i...
intermediary_label intermediary 已合併
ComputerName intermediary.hostname 直接對應
HostName intermediary.hostname 直接對應
Hostname intermediary.hostname 直接對應
intermediary_ip intermediary.ip 已合併
metadata_description metadata.description 直接對應
Detection Time metadata.event_timestamp 已剖析為 ISO8601
EventReceivedTime metadata.event_timestamp 已剖析為 yyyy-MM-dd HH:mm:ss
EventTime metadata.event_timestamp 已剖析為 ISO8601
NewTime metadata.event_timestamp 已剖析為 ISO8601
PasswordLastSet metadata.event_timestamp 已剖析為 M/dd/yyyy H:mm:ss A
PreviousTime metadata.event_timestamp 已剖析為 ISO8601
ValidFrom metadata.event_timestamp 已剖析為 ISO8601
ValidTo metadata.event_timestamp 已剖析為 ISO8601
event_time metadata.event_timestamp 已剖析為 MMM dd HH:mm:ss
event_timestamp metadata.event_timestamp 已剖析為 yyyy-MM-dd HH:mm:ss
eventtime1 metadata.event_timestamp 已剖析為 UNIX_MS
receiveTimestamp metadata.event_timestamp 已剖析為 yyyy-MM-ddTHH:mm:ssZ
syslog_ts metadata.event_timestamp 已剖析為 yyyy-MM-ddTHH:mm:ss Z
EventID metadata.event_type 對應的值 (共 18 個，例如 4908, 4964 → STATUS_UPDATE、4908, 4964 → `GENERIC_... )
SourceName metadata.event_type 對應值 (共 9 個，例如「Microsoft-Windows-Security-Auditing」、「Microsoft Windows secu... )
event_type metadata.event_type 直接對應
has_principal metadata.event_type 已對應：true → NETWORK_CONNECTION、true → STATUS_UPDATE
udm_event_type metadata.event_type 已重新命名/對應
ProviderGuid metadata.product_deployment_id 已重新命名/對應
EventID metadata.product_event_type 直接對應
product_event_type metadata.product_event_type 直接對應
RecordNumber metadata.product_log_id 已重新命名/對應
SourceName metadata.product_name 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `M...
EventID metadata.vendor_name 已對應：4908, 4964 → Microsoft
SourceName metadata.vendor_name 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `M...
app_protocol network.application_protocol 已重新命名/對應
Direction network.direction 已重新命名/對應
EventID network.dns.questions 已對應：4908, 4964 → questions、1014, 3008 → questions
SourceName network.dns.questions 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `q...
questions network.dns.questions 已合併
http_method network.http.method 直接對應
_userAgentString network.http.parsed_user_agent 已重新命名/對應
_userAgentString network.http.user_agent 直接對應
ac-user-agent network.http.user_agent 直接對應
ip_protocol_out network.ip_protocol 已重新命名/對應
AcctMultiSsnID network.session_id 直接對應
SessionID network.session_id 直接對應
SessionId network.session_id 直接對應
SessionName network.session_id 已重新命名/對應
session_id network.session_id 直接對應
CAName network.tls.client.certificate.issuer 直接對應
Issuer network.tls.client.certificate.issuer 已重新命名/對應
LocalMMIssuingCA network.tls.client.certificate.issuer 直接對應
CertificateHash network.tls.client.certificate.md5 直接對應
SerialNumber network.tls.client.certificate.serial 直接對應
client_certificate_serial network.tls.client.certificate.serial 已重新命名/對應
CertificateHash network.tls.client.certificate.sha1 直接對應
client_certificate_sha1 network.tls.client.certificate.sha1 已重新命名/對應
CertificateHash network.tls.client.certificate.sha256 直接對應
client_certificate_subject network.tls.client.certificate.subject 已重新命名/對應
RemoteMMIssuingCA network.tls.server.certificate.issuer 直接對應
server_certificate_subject network.tls.server.certificate.subject 已重新命名/對應
SourceModuleType observer.application 已重新命名/對應
IssuingKDC observer.asset.asset_id 直接對應
EventID observer.labels 已對應：4908, 4964 → verb_label、4908, 4964 → source_module_label
SourceName observer.labels 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
source_module_label observer.labels 已合併
verb_label observer.labels 已合併
AccountDomain principal.administrative_domain 已重新命名/對應
CallerDomainName principal.administrative_domain 已重新命名/對應
Domain principal.administrative_domain 已重新命名/對應
SubjectDomainName principal.administrative_domain 已重新命名/對應
administrative_domain principal.administrative_domain 直接對應
principal_domain_name principal.administrative_domain 已重新命名/對應
principal_application principal.application 已重新命名/對應
src_application principal.application 已重新命名/對應
device-uid principal.asset.asset_id 直接對應
EventID principal.asset.attribute.labels 對應值 (共 7 個，例如 4908, 4964 → server_principal_id_label、4908, 4964...)
SourceName principal.asset.attribute.labels 對應值 (共 7 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
label_for_principal_asset principal.asset.attribute.labels 已合併
server_instance_name_label principal.asset.attribute.labels 已合併
server_principal_id_label principal.asset.attribute.labels 已合併
server_principal_name_label principal.asset.attribute.labels 已合併
server_principal_sid_label principal.asset.attribute.labels 已合併
session_server_principal_name_label principal.asset.attribute.labels 已合併
token_new principal.asset.attribute.labels 已合併
hardware principal.asset.hardware 已合併
Hostname principal.asset.hostname 直接對應
auth_server_host principal.asset.hostname 直接對應
hostname principal.asset.hostname 直接對應
principal_asset_hostname principal.asset.hostname 已重新命名/對應
principal_hostname principal.asset.hostname 直接對應
FramedIPAddress principal.asset.ip 已合併
SourceName principal.asset.ip 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `F...
calling_station_id principal.asset.ip 已合併
src_ip principal.asset.ip 已合併
var_domain_name principal.asset.network_domain 直接對應
MachineInventory principal.asset.platform_software.platform_version 已重新命名/對應
device-platform-version principal.asset.platform_software.platform_version 直接對應
platform_version principal.asset.platform_software.platform_version 已重新命名/對應
device-uid-global principal.asset.product_object_id 直接對應
EventID principal.asset.software 已對應：4908, 4964 → software_version
SourceName principal.asset.software 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `s...
software_version principal.asset.software 已合併
ClientRealm principal.domain.name 直接對應
Path principal.file.full_path 直接對應
PrincipalFileName principal.file.full_path 已重新命名/對應
Hostname principal.hostname 直接對應
auth_server_host principal.hostname 直接對應
hostname principal.hostname 直接對應
principal_asset_hostname principal.hostname 直接對應
principal_hostname principal.hostname 直接對應
EventID principal.ip 已對應：4625, 4776, 4794 → temp_ip、4908, 4964 → ip_address、4908, 4964 → ...
FramedIPAddress principal.ip 已合併
SourceName principal.ip 對應值 (共 5 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu...
calling_station_id principal.ip 已合併
ip principal.ip 已合併
ip_address principal.ip 已合併
principal_ip principal.ip 已合併
principal_ip1 principal.ip 已合併
src_ip principal.ip 已合併
temp_ip principal.ip 已合併
AdvancedOptions_label principal.labels 已合併
ClientCreationTime_label principal.labels 已合併
ConfigAccessPolicy_label principal.labels 已合併
DisableIntegrityChecks_label principal.labels 已合併
EventID principal.labels 對應的值 (共 28 個，例如 4692, 4693, 4694, 4695, 4983, 4984 → `subject_logon_id_lab...
FlightSigning_label principal.labels 已合併
HypervisorDebug_label principal.labels 已合併
HypervisorLaunchType_label principal.labels 已合併
HypervisorLoadOptions_label principal.labels 已合併
KernelDebug_label principal.labels 已合併
LoadOptions_label principal.labels 已合併
RemoteEventLogging_label principal.labels 已合併
SourceName principal.labels 對應值 (共 36 個，例如 `"Microsoft-Windows-Security-Auditing"、"Microsoft Windows sec... )
SubjectLogonId_label principal.labels 已合併
TestSigning_label principal.labels 已合併
VsmLaunchType_label principal.labels 已合併
acc_mask_label principal.labels 已合併
account_name_label principal.labels 已合併
caller_user_name_label principal.labels 已合併
data_1_label principal.labels 已合併
data_2_label principal.labels 已合併
data_3_label principal.labels 已合併
label01 principal.labels 已合併
label03 principal.labels 已合併
label461 principal.labels 已合併
label501 principal.labels 已合併
logon_id_label principal.labels 已合併
method_executed_label principal.labels 已合併
namespace_label principal.labels 已合併
subject_logon_id_label principal.labels 已合併
subject_machine_name_label principal.labels 已合併
subject_user_name_label principal.labels 已合併
user_id_label principal.labels 已合併
var_client_name principal.labels 已合併
var_workstation principal.labels 已合併
var_workstation_name principal.labels 已合併
CallingStationID principal.mac 已對應：(([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$ → CallingStationID
EventID principal.mac 已對應：4908, 4964 → principal_mac
SourceName principal.mac 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
calling_station_id principal.mac 已合併
device-mac principal.mac 已合併
mac principal.mac 已合併
principal_mac principal.mac 已合併
principal_port principal.port 已重新命名/對應
AccessMask principal.process.access_mask 已重新命名/對應
am principal.process.access_mask 已重新命名/對應
ParentCommandLine principal.process.command_line 已重新命名/對應
ProcessName principal.process.command_line 已重新命名/對應
principal_process_command_line principal.process.command_line 已重新命名/對應
task_arguments principal.process.command_line 已重新命名/對應
CallerProcessName principal.process.file.full_path 已重新命名/對應
ParentImage principal.process.file.full_path 已重新命名/對應
SourceImage principal.process.file.full_path 已重新命名/對應
principal_process_name principal.process.file.full_path 已重新命名/對應
task_command principal.process.file.full_path 已重新命名/對應
SourceName principal.process.file.names 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
var_process_parent_name principal.process.file.names 已合併
ParentProcessId principal.process.parent_process.pid 已重新命名/對應
principal_process_pid principal.process.pid 已重新命名/對應
process_id principal.process.pid 已重新命名/對應
ObjectPath principal.registry.registry_key 已重新命名/對應
EventID principal.resource.attribute.permissions 已對應：4659, 5140, 5145 → permissions
SourceName principal.resource.attribute.permissions 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
permissions principal.resource.attribute.permissions 已合併
principal_resource_product_object_id principal.resource.product_object_id 已重新命名/對應
EventID principal.user.attribute.labels 已對應：4908, 4964 → label_for_principal_user、4908, 4964 → user_label、` 4908...
SourceName principal.user.attribute.labels 對應值 (共 6 個，例如 `"Microsoft-Windows-Security-Auditing"、"Microsoft Windows secu... )
account_name_label principal.user.attribute.labels 已合併
label_for_principal_user principal.user.attribute.labels 已合併
sam_acc_label principal.user.attribute.labels 已合併
sid_history_label principal.user.attribute.labels 已合併
subject_user_sid_name_label principal.user.attribute.labels 已合併
user_label principal.user.attribute.labels 已合併
EventID principal.user.attribute.roles 對應的值 (總共 20 個，例如 4908, 4964 → roles、` 7000、7011、7022、7023、7024、702... )
SourceName principal.user.attribute.roles 對應值 (共 63 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
roles principal.user.attribute.roles 已合併
Subject_Logon_GUID principal.user.product_object_id 直接對應
principal_user_display_name principal.user.user_display_name 已重新命名/對應
AccountName principal.user.userid 已重新命名/對應
AccountToReset principal.user.userid 已重新命名/對應
CallerUserName principal.user.userid 已重新命名/對應
SubjectMachineName principal.user.userid 已重新命名/對應
SubjectUserName principal.user.userid 已重新命名/對應
principal_user_id principal.user.userid 已重新命名/對應
subject_machine_name principal.user.userid 已重新命名/對應
principal_user_windows_sid principal.user.windows_sid 已重新命名/對應
subject_machine_sid principal.user.windows_sid 直接對應
EventID security_result 對應值 (共 5 個，例如 4953, 4957, 4951, 4952, 4958 → security_result1、` 4908 等)
SourceName security_result 對應的值 (共 11 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows sec... )
category_details security_result 對應值 (共 9 個，例如 ` "Security State Change"、"Security System Extension"、"System... )
label_security_result security_result 已合併
security_result1 security_result 已合併
security_result2 security_result 已合併
security_result_1 security_result 已合併
security_result_2 security_result 已合併
security_result_3 security_result 已合併
security_result_4 security_result 已合併
security_result_5 security_result 已合併
KeyUserPath security_result.about.file.full_path 直接對應
EventID security_result.about.labels 對應：4625, 4776, 4794 → failure_reason_label、4908, 4964 → `label_for_security...
SourceName security_result.about.labels 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `f...
failure_reason_label security_result.about.labels 已合併
label_for_security_result_about_label security_result.about.labels 已合併
EventID security_result.about.resource.attribute.labels 對應值 (共 14 個，例如 4908, 4964 → label、4908, 4964 → label1、` 4908,... )
SourceName security_result.about.resource.attribute.labels 對應值 (共 29 個，例如 `"Microsoft-Windows-Security-Auditing"、"Microsoft Windows sec... )
TicketOptions_label security_result.about.resource.attribute.labels 已合併
label security_result.about.resource.attribute.labels 已合併
label1 security_result.about.resource.attribute.labels 已合併
label10 security_result.about.resource.attribute.labels 已合併
label11 security_result.about.resource.attribute.labels 已合併
label12 security_result.about.resource.attribute.labels 已合併
label13 security_result.about.resource.attribute.labels 已合併
label2 security_result.about.resource.attribute.labels 已合併
label3 security_result.about.resource.attribute.labels 已合併
label4 security_result.about.resource.attribute.labels 已合併
label5 security_result.about.resource.attribute.labels 已合併
label6 security_result.about.resource.attribute.labels 已合併
label7 security_result.about.resource.attribute.labels 已合併
label8 security_result.about.resource.attribute.labels 已合併
label9 security_result.about.resource.attribute.labels 已合併
security_result_about_resource_name security_result.about.resource.name 已重新命名/對應
EventID security_result.action 已對應：4908, 4964 → action
SourceName security_result.action 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
action security_result.action 已合併
security_action security_result.action 已合併
Action Name security_result.action_details 直接對應
action_details security_result.action_details 已重新命名/對應
action_id security_result.action_details 直接對應
EventID security_result.category 已對應：4908, 4964 → category
SourceName security_result.category 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `c...
category security_result.category 已合併
Category security_result.category_details 已合併
CategoryId security_result.category_details 已合併
CategoryName security_result.category_details 已合併
EventID security_result.category_details 已對應：4908, 4964 → Category、4908, 4964 → CategoryName、` 102、103、300、301...
SourceName security_result.category_details 對應值 (共 9 個，例如「Microsoft-Windows-Security-Auditing」、「Microsoft Windows secu... )
AccessReason security_result.description 直接對應
AdditionalInfo security_result.description 已重新命名/對應
AuditPolicyChanges security_result.description 直接對應
Data_2 security_result.description 直接對應
Error Description security_result.description 直接對應
ErrorContext security_result.description 直接對應
ErrorMessage security_result.description 直接對應
Message security_result.description 直接對應
ReasonForRejection security_result.description 已重新命名/對應
RootCause security_result.description 直接對應
description security_result.description 已重新命名/對應
security_description security_result.description 直接對應
status security_result.description 直接對應
AdditionalInfo2_label security_result.detection_fields 已合併
AppendData_or_AddSubdirectory_or_CreatePipeInstance_label security_result.detection_fields 已合併
ApplicationDomain_label security_result.detection_fields 已合併
ApplicationPath_label security_result.detection_fields 已合併
ApplicationVirtualPath_label security_result.detection_fields 已合併
AuthenticationType_label security_result.detection_fields 已合併
CONTROL_label security_result.detection_fields 已合併
CustomEventDetails_label security_result.detection_fields 已合併
DAC_label security_result.detection_fields 已合併
DELETE_label security_result.detection_fields 已合併
ErrorCode_label security_result.detection_fields 已合併
EventCode_label security_result.detection_fields 已合併
EventDetailCode_label security_result.detection_fields 已合併
EventID security_result.detection_fields 對應值 (共 150 個，例如 5158,5159,5154,5153,5155 → labels0、` 5158,5159,5154,51... )
EventId_label security_result.detection_fields 已合併
EventOccurrence_label security_result.detection_fields 已合併
EventSequence_label security_result.detection_fields 已合併
FailureId_label security_result.detection_fields 已合併
GPOList_label security_result.detection_fields 已合併
IsAuthenticated_label security_result.detection_fields 已合併
IsImpersonating_label security_result.detection_fields 已合併
MasterKeyId_label security_result.detection_fields 已合併
ReadAttributes_label security_result.detection_fields 已合併
RecoveryKeyId_label security_result.detection_fields 已合併
RequestPath_label security_result.detection_fields 已合併
SecurityDescriptor_label security_result.detection_fields 已合併
Sid_Filtering_label security_result.detection_fields 已合併
SourceName security_result.detection_fields 對應值 (共 357 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows se... )
StackTrace_label security_result.detection_fields 已合併
ThreadAccountName_label security_result.detection_fields 已合併
ThreadId_label security_result.detection_fields 已合併
TrustLevel_label security_result.detection_fields 已合併
Trust_Attributes_label security_result.detection_fields 已合併
Trust_Direction_label security_result.detection_fields 已合併
Trust_Type_label security_result.detection_fields 已合併
WriteAttributes_label security_result.detection_fields 已合併
WriteData_or_AddFile_label security_result.detection_fields 已合併
WriteEA_label security_result.detection_fields 已合併
account_name_label security_result.detection_fields 已合併
action_id_label security_result.detection_fields 已合併
affected_rows_label security_result.detection_fields 已合併
analysis_symbol_label security_result.detection_fields 已合併
application_information_label security_result.detection_fields 已合併
application_name_label security_result.detection_fields 已合併
audit_event_label security_result.detection_fields 已合併
audit_schema_version_label security_result.detection_fields 已合併
cert_issuer_name_label security_result.detection_fields 已合併
cert_serial_number_label security_result.detection_fields 已合併
cert_thumbprint_label security_result.detection_fields 已合併
class_type_label security_result.detection_fields 已合併
client_ip_label security_result.detection_fields 已合併
client_name_label security_result.detection_fields 已合併
client_name_session_id_label security_result.detection_fields 已合併
client_tls_version_label security_result.detection_fields 已合併
client_tls_version_name_label security_result.detection_fields 已合併
connection_id_label security_result.detection_fields 已合併
database_name_label security_result.detection_fields 已合併
database_principal_id_label security_result.detection_fields 已合併
database_principal_name_label security_result.detection_fields 已合併
database_transaction_id_label security_result.detection_fields 已合併
detect_field security_result.detection_fields 已合併
detection_fields security_result.detection_fields 已合併
detection_label security_result.detection_fields 已合併
device_guid_label security_result.detection_fields 已合併
duration_milliseconds_label security_result.detection_fields 已合併
error_label security_result.detection_fields 已合併
event_detail_code_label security_result.detection_fields 已合併
event_id_label security_result.detection_fields 已合併
event_message_label security_result.detection_fields 已合併
event_name_label security_result.detection_fields 已合併
event_occurrence_label security_result.detection_fields 已合併
event_sequence_label security_result.detection_fields 已合併
event_time_label security_result.detection_fields 已合併
event_time_utc_label security_result.detection_fields 已合併
exce_label security_result.detection_fields 已合併
exception_information_label security_result.detection_fields 已合併
external_policy_permissions_checked_label security_result.detection_fields 已合併
failure_status_label security_result.detection_fields 已合併
host_name_label security_result.detection_fields 已合併
is_column_permission_label security_result.detection_fields 已合併
is_impersonating_label security_result.detection_fields 已合併
is_local_secondary_replica_label security_result.detection_fields 已合併
label security_result.detection_fields 已合併
label_for_security_result_detection security_result.detection_fields 已合併
labels0 security_result.detection_fields 已合併
labels1 security_result.detection_fields 已合併
labels2 security_result.detection_fields 已合併
labels3 security_result.detection_fields 已合併
ledger_start_sequence_number_label security_result.detection_fields 已合併
machine_name_label security_result.detection_fields 已合併
nas_port_field security_result.detection_fields 已合併
network_protocol_label security_result.detection_fields 已合併
object_id_label security_result.detection_fields 已合併
object_name_label security_result.detection_fields 已合併
obo_middle_tier_app_id_label security_result.detection_fields 已合併
permission_bitmask_label security_result.detection_fields 已合併
proxy_policy_name security_result.detection_fields 已合併
req_url_label security_result.detection_fields 已合併
response_rows_label security_result.detection_fields 已合併
response_ticket_label security_result.detection_fields 已合併
schema_name_label security_result.detection_fields 已合併
sec_error_label security_result.detection_fields 已合併
security_detection1 security_result.detection_fields 已合併
security_detection2 security_result.detection_fields 已合併
security_detection3 security_result.detection_fields 已合併
security_detection4 security_result.detection_fields 已合併
sequence_group_id_label security_result.detection_fields 已合併
sequence_number_label security_result.detection_fields 已合併
server_instance_name_label security_result.detection_fields 已合併
server_principal_id_label security_result.detection_fields 已合併
server_principal_name_label security_result.detection_fields 已合併
server_principal_sid_label security_result.detection_fields 已合併
session_id_label security_result.detection_fields 已合併
session_server_principal_name_label security_result.detection_fields 已合併
statement_label security_result.detection_fields 已合併
succeeded_label security_result.detection_fields 已合併
target_database_principal_id_label security_result.detection_fields 已合併
target_database_principal_name_label security_result.detection_fields 已合併
target_server_principal_id_label security_result.detection_fields 已合併
target_server_principal_name_label security_result.detection_fields 已合併
target_server_principal_sid_label security_result.detection_fields 已合併
transaction_id_label security_result.detection_fields 已合併
type_label security_result.detection_fields 已合併
user_defined_event_id_label security_result.detection_fields 已合併
user_defined_information_label security_result.detection_fields 已合併
var_Action_ID security_result.detection_fields 已合併
var_Additional_Actions_ID security_result.detection_fields 已合併
var_Additional_Actions_String security_result.detection_fields 已合併
var_Category_ID security_result.detection_fields 已合併
var_DetectionOrigin security_result.detection_fields 已合併
var_DetectionSource security_result.detection_fields 已合併
var_DetectionType security_result.detection_fields 已合併
var_Detection_ID security_result.detection_fields 已合併
var_EngineVersion security_result.detection_fields 已合併
var_Error_Code security_result.detection_fields 已合併
var_Execution_ID security_result.detection_fields 已合併
var_Execution_Name security_result.detection_fields 已合併
var_Origin_ID security_result.detection_fields 已合併
var_Post_Clean_Status security_result.detection_fields 已合併
var_Pre_Execution_Status security_result.detection_fields 已合併
var_SecurityintelligenceVersion security_result.detection_fields 已合併
var_SeverityName security_result.detection_fields 已合併
var_Severity_ID security_result.detection_fields 已合併
var_Source_ID security_result.detection_fields 已合併
var_State security_result.detection_fields 已合併
var_Status_Code security_result.detection_fields 已合併
var_Type_ID security_result.detection_fields 已合併
var_process_information security_result.detection_fields 已合併
var_process_name security_result.detection_fields 已合併
var_request_information security_result.detection_fields 已合併
var_stack_trace security_result.detection_fields 已合併
var_thread_account_name security_result.detection_fields 已合併
Priority security_result.priority_details 已重新命名/對應
RuleId security_result.rule_id 已重新命名/對應
EventID security_result.rule_labels 對應：4908, 4964 → Title_label、4908, 4964 → `label_for_security_result_rule_l...
SourceName security_result.rule_labels 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `T...
Title_label security_result.rule_labels 已合併
label_for_security_result_rule_label security_result.rule_labels 已合併
EventID security_result.rule_name 直接對應
connection_req_policy security_result.rule_name 直接對應
Severity security_result.severity 已重新命名/對應
BlockReasonErrorCode security_result.summary 直接對應
CorruptionActionState security_result.summary 直接對應
CrashOnAuditFailValue security_result.summary 直接對應
Error security_result.summary 直接對應
ErrorCode security_result.summary 直接對應
FailureReason security_result.summary 直接對應
FinalStatus security_result.summary 直接對應
QueryResults security_result.summary 直接對應
Reason security_result.summary 直接對應
Status security_result.summary 直接對應
Win32Error security_result.summary 直接對應
error security_result.summary 直接對應
hr security_result.summary 直接對應
param1 security_result.summary 直接對應
sec_summary security_result.summary 直接對應
security_summary security_result.summary 直接對應
status security_result.summary 直接對應
summary security_result.summary 已重新命名/對應
ThreatID security_result.threat_id 直接對應
ThreatName security_result.threat_name 直接對應
src_path src.file.full_path 已重新命名/對應
CallerComputerName src.hostname 直接對應
EventID src.ip 已對應：4908, 4964 → varclientip、` 1162, 1311, 1535, 1566, 1644, 1865, 1925, 2085, 2...
SourceName src.ip 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
varclientip src.ip 已合併
varclientport src.port 已重新命名/對應
Service src.resource.name 已重新命名/對應
SourceDRA src.resource.name 直接對應
SourceHandleId src.resource.name 已重新命名/對應
EventID target 已對應：4908, 4964 → clsid_labels、10001, 10002, 10100 → clsid_labels
SourceName target 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `c...
clsid_labels target 已合併
DomainName target.administrative_domain 已重新命名/對應
ServerRealm target.administrative_domain 直接對應
TargetDomainName target.administrative_domain 已重新命名/對應
subject_domain_name target.administrative_domain 已重新命名/對應
target_domain_name target.administrative_domain 已重新命名/對應
ServiceName target.application 直接對應
Targetname target.application 直接對應
event_source target.application 直接對應
target_application target.application 已重新命名/對應
UserData.InstallDeviceID.DeviceInstanceID target.asset.asset_id 直接對應
EventID target.asset.attribute.labels 對應值 (共 10 個，例如 4741, 4742 → dns_host_label、4908, 4964 → `user_dat... )
SourceName target.asset.attribute.labels 對應的值 (共 14 個，例如「Microsoft-Windows-Security-Auditing」、「Microsoft Windows sec... )
dns_host_label target.asset.attribute.labels 已合併
label_for_target_asset target.asset.attribute.labels 已合併
target_server_principal_id_label target.asset.attribute.labels 已合併
target_server_principal_name_label target.asset.attribute.labels 已合併
target_server_principal_sid_label target.asset.attribute.labels 已合併
token_new target.asset.attribute.labels 已合併
user_data_install_device_id_is_driver_oem_label target.asset.attribute.labels 已合併
user_data_install_device_id_reboot_option_label target.asset.attribute.labels 已合併
user_data_install_device_id_setup_class_label target.asset.attribute.labels 已合併
user_data_install_device_id_upgrade_device_label target.asset.attribute.labels 已合併
AccountName target.asset.hostname 直接對應
NodeName target.asset.hostname 直接對應
client_name target.asset.hostname 直接對應
target_hostname target.asset.hostname 直接對應
ClientIPAddress target.asset.ip 已合併
NASIPAddress target.asset.ip 已合併
SourceName target.asset.ip 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `N...
called_station_id target.asset.ip 已合併
client_ip target.asset.ip 已合併
nas_ip target.asset.ip 已合併
UserData.InstallDeviceID.DeviceInstanceID target.asset_id 直接對應
Data_1 target.domain.name 直接對應
TargetName target.domain.name 直接對應
TargetRealm target.domain.name 直接對應
param2 target.domain.name 直接對應
AutoBackup.BackupPath target.file.full_path 已重新命名/對應
BackupFileName target.file.full_path 已重新命名/對應
FileName target.file.full_path 已重新命名/對應
FilePath target.file.full_path 已重新命名/對應
KeyFilePath target.file.full_path 已重新命名/對應
KeyUserPath target.file.full_path 已重新命名/對應
Namespace target.file.full_path 已重新命名/對應
PublishURLs target.file.full_path 已重新命名/對應
ServiceFileName target.file.full_path 已重新命名/對應
ShareLocalPath target.file.full_path 已重新命名/對應
target_file_name target.file.full_path 已重新命名/對應
MD5 target.file.md5 已重新命名/對應
EventID target.file.names 已對應：` 5049, 5140 , 5145, 5142, 5143, 5144, 4698, 4702, 4699, 4700, 4701, 4946, 4690, 4...
RelativeTargetName target.file.names 已合併
ScriptName target.file.names 已合併
SourceName target.file.names 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `R...
SHA1 target.file.sha1 已重新命名/對應
SHA256 target.file.sha256 已重新命名/對應
NewSize target.file.size 已重新命名/對應
target_file_size target.file.size 已重新命名/對應
EventID target.group.attribute.labels 已對應：4908, 4964 → label_for_target_group
SourceName target.group.attribute.labels 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `l...
label_for_target_group target.group.attribute.labels 已合併
EventID target.group.attribute.permissions 已對應：` 4656, 4704, 4672, 4731, 4720, 4723, 4726, 4728, 4729, 4730, 4732, 4733, 4734, 47...
SourceName target.group.attribute.permissions 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
privilege_list target.group.attribute.permissions 已合併
target_group_display_name target.group.group_display_name 已重新命名/對應
target_group_product_object_id target.group.product_object_id 已重新命名/對應
target_group_windows_sid target.group.windows_sid 已重新命名/對應
AccountName target.hostname 直接對應
client_name target.hostname 直接對應
target_asset_hostname target.hostname 直接對應
target_hostname target.hostname 已重新命名/對應
ClientIPAddress target.ip 已合併
EventID target.ip 已對應：4908, 4964 → target_ip
NASIPAddress target.ip 已合併
SourceName target.ip 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
called_station_id target.ip 已合併
client_ip target.ip 已合併
nas_ip target.ip 已合併
target_ip target.ip 已合併
var_valid_ip target.ip 已合併
ActiveProfile_label target.labels 已合併
AppId_label target.labels 已合併
CommandName_label target.labels 已合併
ConfiguredNames_label target.labels 已合併
DN_label target.labels 已合併
DSType_label target.labels 已合併
DirectiveName_label target.labels 已合併
EngineVersion_label target.labels 已合併
EventID target.labels 對應值 (共 35 個，例如 4907 , 4817, 4715 → ObjectServer_label、` 4907、4817、4... )
FQDN_label target.labels 已合併
HandleId_label target.labels 已合併
HostId_label target.labels 已合併
HostVersion_label target.labels 已合併
KeyLength_label target.labels 已合併
LmPackageName_label target.labels 已合併
MandatoryLabel_label target.labels 已合併
NewState_label target.labels 已合併
NotificationInterval_label target.labels 已合併
ObjectServer_label target.labels 已合併
Operation_label target.labels 已合併
PipelineId_label target.labels 已合併
Profiles_label target.labels 已合併
ResourceManager_label target.labels 已合併
ReturnCode_label target.labels 已合併
RunspaceId_label target.labels 已合併
ServiceStartType_label target.labels 已合併
ServiceType_label target.labels 已合併
SkuId_label target.labels 已合併
SourceName target.labels 對應值 (共 77 個，例如「Microsoft-Windows-Security-Auditing」、「Microsoft Windows sec... )
TargetLinkedLogonId_label target.labels 已合併
TokenElevationType_label target.labels 已合併
TransactionId_label target.labels 已合併
TransmittedServices_label target.labels 已合併
Trigger_label target.labels 已合併
VirtualAccount_label target.labels 已合併
client_friendly_name_label target.labels 已合併
event_in_seq_label target.labels 已合併
label02 target.labels 已合併
label462 target.labels 已合併
label463 target.labels 已合併
label46561 target.labels 已合併
label46562 target.labels 已合併
label46563 target.labels 已合併
label46564 target.labels 已合併
label46565 target.labels 已合併
label46571 target.labels 已合併
label46572 target.labels 已合併
label47681 target.labels 已合併
label47682 target.labels 已合併
label501 target.labels 已合併
label601 target.labels 已合併
labels46411 target.labels 已合併
labels46412 target.labels 已合併
labels46413 target.labels 已合併
labels46414 target.labels 已合併
labels46415 target.labels 已合併
labels46416 target.labels 已合併
labels46417 target.labels 已合併
nas_port_type target.labels 已合併
new_target_user_name_label target.labels 已合併
object_class_label target.labels 已合併
object_dn_label target.labels 已合併
target_label target.labels 已合併
target_labels target.labels 已合併
target_logon_id_label target.labels 已合併
target_user_id_label target.labels 已合併
EventID target.mac 已對應：4908, 4964 → target_mac
NASIdentifier target.mac 已對應：(([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$ → NASIdentifier
SourceName target.mac 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `t...
mac_address target.mac 已合併
target_mac target.mac 已合併
PeerPrivateAddress target.nat_ip 已合併
SourceName target.nat_ip 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `P...
NASPort target.nat_port 已重新命名/對應
var_http_method target.network.http.method 直接對應
target_platform_version target.platform_version 已重新命名/對應
nas_port target.port 已重新命名/對應
targetport target.port 已重新命名/對應
CommandLine target.process.command_line 已重新命名/對應
target_process_command_line target.process.command_line 已重新命名/對應
ImagePath target.process.file.full_path 已重新命名/對應
NewProcessName target.process.file.full_path 已重新命名/對應
TargetProcessName target.process.file.full_path 已重新命名/對應
target_process_file_full_path target.process.file.full_path 已重新命名/對應
MD5 target.process.file.md5 直接對應
SourceName target.process.file.names 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `v...
var_process_file_name target.process.file.names 已合併
SHA1 target.process.file.sha1 直接對應
SHA256 target.process.file.sha256 直接對應
target_parent_process_command_line target.process.parent_process.command_line 已重新命名/對應
target_parent_process_file_full_path target.process.parent_process.file.full_path 已重新命名/對應
target_parent_process_pid target.process.parent_process.pid 已重新命名/對應
TargetProcessId target.process.pid 已重新命名/對應
target_process_pid target.process.pid 已重新命名/對應
EventOriginId target.process.product_specific_process_id 直接對應
ObjectName target.registry.registry_key 直接對應
ObjectVirtualPath target.registry.registry_key 已重新命名/對應
target_registry_key target.registry.registry_key 已重新命名/對應
NewValue target.registry.registry_value_data 已重新命名/對應
target_registry_registry_value_data target.registry.registry_value_data 已重新命名/對應
ObjectValueName target.registry.registry_value_name 已重新命名/對應
registry_value target.registry.registry_value_name 已重新命名/對應
target_registry_registry_value_name target.registry.registry_value_name 已重新命名/對應
AlgorithmName_label target.resource.attribute.labels 已合併
ClassId_label target.resource.attribute.labels 已合併
ClassName_label target.resource.attribute.labels 已合併
CompatibleIds_label target.resource.attribute.labels 已合併
DomainBehaviorVersion_label target.resource.attribute.labels 已合併
ErrorCode_label target.resource.attribute.labels 已合併
EventID target.resource.attribute.labels 對應值 (共 101 個，例如 4907 , 4817, 4715 → label0、4907 , 4817, 4715 → `la... )
ForceLogoff_label target.resource.attribute.labels 已合併
HandleID_label target.resource.attribute.labels 已合併
HardwareIds_label target.resource.attribute.labels 已合併
KeyType_label target.resource.attribute.labels 已合併
LocationInformation_label target.resource.attribute.labels 已合併
LockoutDuration_label target.resource.attribute.labels 已合併
LockoutObservationWindow_label target.resource.attribute.labels 已合併
LockoutThreshold_label target.resource.attribute.labels 已合併
MachineAccountQuota_label target.resource.attribute.labels 已合併
MaxPasswordAge_label target.resource.attribute.labels 已合併
MinPasswordAge_label target.resource.attribute.labels 已合併
MinPasswordLength_label target.resource.attribute.labels 已合併
MixedDomainMode_label target.resource.attribute.labels 已合併
ModifiedObjectProperties_label target.resource.attribute.labels 已合併
ObjectIdentifyingProperties_label target.resource.attribute.labels 已合併
ObjectProperties_label target.resource.attribute.labels 已合併
ObjectServer_label target.resource.attribute.labels 已合併
OemInformation_label target.resource.attribute.labels 已合併
PasswordHistoryLength_label target.resource.attribute.labels 已合併
PasswordProperties_label target.resource.attribute.labels 已合併
ProfileChanged_label target.resource.attribute.labels 已合併
ProfileUsed_label target.resource.attribute.labels 已合併
ProviderName_label target.resource.attribute.labels 已合併
PuaCount_label target.resource.attribute.labels 已合併
ResourceAttributes_label target.resource.attribute.labels 已合併
SettingValue_label target.resource.attribute.labels 已合併
SourceName target.resource.attribute.labels 對應值 (共 120 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows se... )
TemplateContent_label target.resource.attribute.labels 已合併
TemplateDSObjectFQDN_label target.resource.attribute.labels 已合併
TemplateSchemaVersion_label target.resource.attribute.labels 已合併
TemplateVersion_label target.resource.attribute.labels 已合併
TransactionId_label target.resource.attribute.labels 已合併
database_principal_id_label target.resource.attribute.labels 已合併
database_principal_name_label target.resource.attribute.labels 已合併
entry_type_label target.resource.attribute.labels 已合併
label0 target.resource.attribute.labels 已合併
label00 target.resource.attribute.labels 已合併
label01 target.resource.attribute.labels 已合併
label02 target.resource.attribute.labels 已合併
label03 target.resource.attribute.labels 已合併
label04 target.resource.attribute.labels 已合併
label05 target.resource.attribute.labels 已合併
label06 target.resource.attribute.labels 已合併
label07 target.resource.attribute.labels 已合併
label08 target.resource.attribute.labels 已合併
label09 target.resource.attribute.labels 已合併
label1 target.resource.attribute.labels 已合併
label2 target.resource.attribute.labels 已合併
label3 target.resource.attribute.labels 已合併
label4 target.resource.attribute.labels 已合併
label4681 target.resource.attribute.labels 已合併
label4682 target.resource.attribute.labels 已合併
label4683 target.resource.attribute.labels 已合併
label4684 target.resource.attribute.labels 已合併
label5 target.resource.attribute.labels 已合併
label6 target.resource.attribute.labels 已合併
label_SessionStateChangeTrigger_Enabled target.resource.attribute.labels 已合併
label_SessionStateChangeTrigger_StateChange target.resource.attribute.labels 已合併
label_for_target_resource target.resource.attribute.labels 已合併
labels0 target.resource.attribute.labels 已合併
labels1 target.resource.attribute.labels 已合併
labels10 target.resource.attribute.labels 已合併
labels11 target.resource.attribute.labels 已合併
labels12 target.resource.attribute.labels 已合併
labels13 target.resource.attribute.labels 已合併
labels14 target.resource.attribute.labels 已合併
labels15 target.resource.attribute.labels 已合併
labels16 target.resource.attribute.labels 已合併
labels17 target.resource.attribute.labels 已合併
labels19 target.resource.attribute.labels 已合併
labels2 target.resource.attribute.labels 已合併
labels21 target.resource.attribute.labels 已合併
labels26 target.resource.attribute.labels 已合併
labels3 target.resource.attribute.labels 已合併
labels35 target.resource.attribute.labels 已合併
labels4 target.resource.attribute.labels 已合併
labels41 target.resource.attribute.labels 已合併
labels5 target.resource.attribute.labels 已合併
labels6 target.resource.attribute.labels 已合併
labels7 target.resource.attribute.labels 已合併
labels8 target.resource.attribute.labels 已合併
labels9 target.resource.attribute.labels 已合併
nas_port_label target.resource.attribute.labels 已合併
netbios_name_label target.resource.attribute.labels 已合併
object_id_label target.resource.attribute.labels 已合併
object_name_label target.resource.attribute.labels 已合併
operation_id_label target.resource.attribute.labels 已合併
schema_name_label target.resource.attribute.labels 已合併
target_database_principal_id_label target.resource.attribute.labels 已合併
target_database_principal_name_label target.resource.attribute.labels 已合併
top_level_name_label target.resource.attribute.labels 已合併
uac_label target.resource.attribute.labels 已合併
user_data_install_device_id_@_xmlns__label target.resource.attribute.labels 已合併
user_data_install_device_id_driver_description_label target.resource.attribute.labels 已合併
user_data_install_device_id_driver_provider_label target.resource.attribute.labels 已合併
user_data_install_device_id_driver_version_label target.resource.attribute.labels 已合併
user_data_install_device_id_install_status_label target.resource.attribute.labels 已合併
volume_label target.resource.attribute.labels 已合併
EventID target.resource.attribute.permissions 已對應：4663, 4656, 4659 → permissions、4908, 4964 → permissions
SourceName target.resource.attribute.permissions 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `p...
permissions target.resource.attribute.permissions 已合併
DeviceId target.resource.id 已重新命名/對應
ContextName target.resource.name 直接對應
DestinationDRA target.resource.name 直接對應
DfsNamespace target.resource.name 已重新命名/對應
DomainPolicyChanged target.resource.name 已重新命名/對應
ExtensionName target.resource.name 已重新命名/對應
HiveName target.resource.name 已重新命名/對應
SecurityPackageName target.resource.name 已重新命名/對應
TicketOptions target.resource.name 直接對應
attribute_value target.resource.name 已重新命名/對應
target_resource_name target.resource.name 已重新命名/對應
updateTitle target.resource.name 已重新命名/對應
ObjectServer target.resource.parent 已重新命名/對應
AppInstance target.resource.product_object_id 已重新命名/對應
AuthenticationSetId target.resource.product_object_id 已重新命名/對應
ConnectionSecurityRuleId target.resource.product_object_id 已重新命名/對應
CryptographicSetId target.resource.product_object_id 已重新命名/對應
DeviceId target.resource.product_object_id 直接對應
ExtensionId target.resource.product_object_id 已重新命名/對應
FilterId target.resource.product_object_id 已重新命名/對應
IpSecSecurityAssociationId target.resource.product_object_id 已重新命名/對應
ObjectGUID target.resource.product_object_id 已重新命名/對應
PuaPolicyId target.resource.product_object_id 已重新命名/對應
TargetJobId target.resource.product_object_id 已重新命名/對應
TemplateOID target.resource.product_object_id 已重新命名/對應
target_resource_product_object_id target.resource.product_object_id 已重新命名/對應
updateGuid target.resource.product_object_id 已重新命名/對應
val_instance_id target.resource.product_object_id 直接對應
KeyType target.resource.resource_subtype 已重新命名/對應
ObjectType target.resource.resource_subtype 直接對應
TicketEncryptionType target.resource.resource_subtype 直接對應
resource_subtype target.resource.resource_subtype 已重新命名/對應
EventID target.resource.resource_type 已對應：4908, 4964 → SETTING、4908, 4964 → TASK
SourceName target.resource.resource_type 對應值 (共 6 個，例如 `"Microsoft-Windows-Security-Auditing"、"Microsoft Windows secu... )
resource_type target.resource.resource_type 已重新命名/對應
EventID target.resource.type 已對應：4908, 4964 → DATABASE
SourceName target.resource.type 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `D...
SourceName target.resource_ancestors 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `r...
resource_ancestors target.resource_ancestors 已合併
SubscriptionManagerAddress target.url 已重新命名/對應
target_url target.url 已重新命名/對應
fileLength target.url_metadata.last_http_response_content_length 已重新命名/對應
EventID target.user.attribute.labels 已對應：4908, 4964 → label_for_target_user、4908, 4964 → user_label1
MembershipExpirationTime_label target.user.attribute.labels 已合併
SourceName target.user.attribute.labels 對應值 (共 7 個，例如 `"Microsoft-Windows-Security-Auditing", "Microsoft Windows secu... )
TargetOutboundDomainName_label target.user.attribute.labels 已合併
label_for_target_user target.user.attribute.labels 已合併
target_group_membership_name_label target.user.attribute.labels 已合併
target_user_sid_name_label target.user.attribute.labels 已合併
user_att target.user.attribute.labels 已合併
user_label1 target.user.attribute.labels 已合併
EventID target.user.attribute.permissions 已對應：` 4656, 4704, 4672, 4731, 4720, 4723, 4726, 4728, 4729, 4730, 4732, 4733, 4734, 47...
SourceName target.user.attribute.permissions 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `a...
access_granted target.user.attribute.permissions 已合併
access_removed_list target.user.attribute.permissions 已合併
privilege_list target.user.attribute.permissions 已合併
EventID target.user.group_identifiers 已對應：4908, 4964 → new_sid
SourceName target.user.group_identifiers 已對應："Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing." → `i...
input_sid target.user.group_identifiers 已合併
new_sid target.user.group_identifiers 已合併
DisplayName target.user.user_display_name 已重新命名/對應
FullName target.user.user_display_name 直接對應
target_user_display_name target.user.user_display_name 已重新命名/對應
DetectionUser target.user.userid 直接對應
NewTargetUserName target.user.userid 已重新命名/對應
UserName target.user.userid 直接對應
subject_user_name target.user.userid 已重新命名/對應
target_user_id target.user.userid 已重新命名/對應
subject_user_sid target.user.windows_sid 直接對應
target_user_windows_sid target.user.windows_sid 已重新命名/對應
不適用 metadata.event_type 常數：STATUS_UPDATE
不適用 metadata.product_name 常數：Microsoft-Windows-Security-Auditing
不適用 metadata.vendor_name 常數：Microsoft
不適用 principal.asset.platform_software.platform 常數：WINDOWS
不適用 target.resource.resource_type 常數：BACKEND_SERVICE
不適用 target.resource.type 常數：DATABASE

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。