收集 Windows 事件記錄 (XML 格式)

支援的國家/地區：

本文說明如何使用 Bindplane 代理程式，以 XML 格式將 Windows 事件記錄檔擷取至 Google Security Operations。

Windows 事件記錄 (XML 格式) 包含 Windows 作業系統產生的安全性、系統和應用程式事件。Bindplane 代理程式會直接從本機檔案系統收集匯出的 Windows 事件記錄檔。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 支援 observiq-otel-collector 服務的 Windows Server 2016 以上版本
  • 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
  • 產生事件記錄的 Windows 主機管理員存取權

取得 Google SecOps 擷取驗證檔案

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「收集代理程式」。

  3. 下載擷取驗證檔案。將檔案安全地儲存在要安裝 Bindplane 的系統上。

取得 Google SecOps 客戶 ID

  1. 登入 Google SecOps 控制台。
  2. 依序前往「SIEM 設定」>「設定檔」。

  3. 複製並儲存「機構詳細資料」部分中的客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

  1. 以管理員身分開啟「命令提示字元」或「PowerShell」。

  2. 執行下列指令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安裝完成。

  4. 執行下列指令，確認安裝成功：

    sc query observiq-otel-collector

    服務應顯示為「RUNNING」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取記錄並傳送至 Google SecOps

找出設定檔

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

  • 將 config.yaml 的所有內容替換為下列設定：

    receivers:
    filelog:
        include:
            - C:\Logs\winevtlog\*.evtx
        start_at: beginning

exporters:
    chronicle/winevtlog_xml:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINEVTLOG_XML
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/winevtlog_xml_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/winevtlog_xml

設定參數

替換下列預留位置：

  • 接收器設定：

    • filelog：從磁碟收集記錄檔的接收器類型
    • include：要監控的檔案路徑清單。將此設定為匯出 Windows 事件記錄的位置 (例如 C:\Logs\winevtlog\*.evtx)
    • start_at：設為 beginning 可讀取現有記錄，設為 end 則只會讀取新項目

  • 匯出工具設定：

    • winevtlog_xml：匯出工具的說明名稱
    • creds_file_path：擷取驗證檔案的完整路徑：
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>：上一步中的客戶 ID
    • endpoint：區域端點網址：
      • 美國：malachiteingestion-pa.googleapis.com
      • 歐洲：europe-malachiteingestion-pa.googleapis.com
      • 亞洲：asia-southeast1-malachiteingestion-pa.googleapis.com
      • 如需完整清單，請參閱「區域端點」
    • WINEVTLOG_XML：記錄類型，與 Chronicle 中顯示的完全相同
    • ingestion_labels：YAML 格式的選用標籤 (例如 env: production)

  • 管道設定：

    • winevtlog_xml_to_chronicle：管道的說明名稱

儲存設定檔

  • 編輯完成後，請儲存檔案：

    Windows：依序點選「檔案」>「儲存」

重新啟動 Bindplane 代理程式，以套用變更

  • 如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：

    • 以管理員身分開啟命令提示字元或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服務控制台

      1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
      2. 找出 observIQ OpenTelemetry Collector。
      3. 按一下滑鼠右鍵，然後選取 Restart。

      4. 確認服務正在執行：

        sc query observiq-otel-collector

      5. 檢查記錄中是否有錯誤：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Windows 事件記錄匯出作業

Windows 事件記錄會儲存在安全性、系統和應用程式等管道中。您必須將這些記錄匯出至磁碟上的檔案，Bindplane 代理程式才能收集這些記錄。

  1. 建立目錄來儲存匯出的記錄檔：

    mkdir C:\Logs\winevtlog

  2. 使用 wevtutil 匯出 Windows 事件記錄。您可以匯出任何事件記錄管道組合：

    wevtutil epl "Security" C:\Logs\winevtlog\security.evtx

    wevtutil epl "System" C:\Logs\winevtlog\system.evtx

    wevtutil epl "Application" C:\Logs\winevtlog\application.evtx

  3. (選用) 使用 Windows 工作排程器排定定期匯出作業：

    $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" C:\Logs\winevtlog\security.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportWinEvtLogs" -Description "Export Windows Event logs for Bindplane agent"

  4. 確認匯出的記錄檔是否建立在 `C:\Logs\winevtlog`。

  5. 確認 config.yaml 中的 Bindplane 代理程式 include 路徑與匯出目錄相符。

UDM 對應表

記錄欄位 UDM 對應 邏輯
EventID metadata.product_event_type 直接複製值
RecordNumber metadata.product_log_id 直接複製值
Message、Description、msg metadata.description 直接複製值
metadata.event_type 根據事件內容動態設定 (例如 NETWORK_CONNECTION、STATUS_UPDATE、NETWORK_DNS、GENERIC_EVENT)
metadata.product_name 設為「Windows」
metadata.vendor_name 設為「Microsoft」
ModuleVersion、ProductVersion metadata.product_version 直接複製值
ProviderGuid metadata.product_deployment_id 直接複製值
電腦、主機、工作站、工作站名稱 principal.asset.hostname 直接複製值
IpAddress、SourceAddress、client_ip principal.asset.ip 直接複製值
電腦、主機、工作站、工作站名稱 principal.hostname 直接複製值
IpAddress、SourceAddress、client_ip principal.ip 直接複製值
SourcePort、LocalPort、Client_port principal.port 直接複製值，並轉換為整數
SubjectUserName、AccountName principal.user.userid 直接複製值
SubjectUserSid principal.user.windows_sid 直接複製值
AccountDomain、SubjectDomainName、Domain principal.administrative_domain 直接複製值
來源、SourceName、EventSourceName principal.application 直接複製值
ProviderGuid principal.asset_id 前置字元為「Provider_GUID:」
SubjectLogonId principal.labels 以「SubjectLogonId」鍵新增為標籤
TargetUserName target.user.userid 直接複製值
TargetUserSid target.user.windows_sid 直接複製值
TargetDomainName target.hostname 直接複製值
DestAddress、Destination target.ip 直接複製值
NewProcessName、ProcessName、ObjectName target.process.file.full_path 直接複製值
NewProcessId、ProcessId、TargetProcessId target.process.pid 直接複製值
HostApplication、ServiceName target.process.command_line 直接複製值
MD5 target.process.file.md5 直接複製值
SHA1 target.process.file.sha1 直接複製值
SHA256 target.process.file.sha256 直接複製值
ObjectName、TargetObject target.registry.registry_value_name 直接複製值 (適用於登錄事件)
詳細資料 target.registry.registry_value_data 直接複製值 (適用於登錄事件)
ObjectType、Task target.resource.type 直接複製值
ObjectName、RuleName target.resource.name 直接複製值
TargetSid、ObjectGUID target.resource.id 直接複製值
ObjectClass target.resource.resource_subtype 直接複製值
LogonType extensions.auth.auth_details 開頭為「登入類型：」
extensions.auth.type 根據登入類型 (MACHINE、SSO、AUTHTYPE_UNSPECIFIED) 設定
HTTPMethod network.http.method 直接複製值
StatusCode network.http.response_code 直接複製值，並轉換為整數
UserAgent network.http.user_agent 直接複製值
network.application_protocol 如果是 DNS 事件，請設為「DNS」
network.direction 根據事件內容設為 INBOUND 或 OUTBOUND
network.ip_protocol 根據通訊協定 (TCP、UDP、ICMP) 設定
管道 additional.fields 已新增為標籤，索引鍵為「Channel」
ActivityID additional.fields 以「ActivityID」鍵新增為標籤
LogonType additional.fields 已新增為標籤，索引鍵為「LogonType」
等級 additional.fields 已新增為標籤，索引鍵為「level」
SourceModuleType observer.application 直接複製值
AuthenticationPackageName event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
Status event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
agent_eventid event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
column4 event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
Logon Account event.idm.read_only_udm.target.user.userid 從變更記錄對應
prod_event_type event.idm.read_only_udm.additional.fields 從變更記錄對應
EventSourceName event.idm.read_only_udm.additional.fields 從變更記錄對應
EventIDQualifiers event.idm.read_only_udm.additional.fields 從變更記錄對應
ipv6_zone_index event.idm.read_only_udm.additional.fields 從變更記錄對應
FQDN event.idm.read_only_udm.target.hostname 從變更記錄對應
FQDN event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
ServiceSid event.idm.read_only_udm.extensions.auth.auth_details 從變更記錄對應
details.Object.Handle ID event.idm.read_only_udm.target.resource.id 從變更記錄對應
details.New Logon.Logon ID event.idm.read_only_udm.target.resource.product_object_id 從變更記錄對應
details.Account Information.Account Domain event.idm.read_only_udm.target.administrative_domain 從變更記錄對應
details.Operation.Accesses event.idm.read_only_udm.security_result.description 從變更記錄對應
ElevatedToken event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
elevated_token event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
ReadOperation event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details_Subject_Read_Operation event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
TargetName event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
AccessList event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
ClientProcessStartKey event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
RpcCallClientLocality event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
ServiceName event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
CountOfCredentialsReturned event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
PrivilegeList event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
TargetLinkedLogonId event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
TaskName event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
TaskContentNew event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
details_Logon_Process_Name event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
details_Object_Object_Type event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
details_Object_Object_Server event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
details_Access_Mask event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
details_Object_Object_Name event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
details_Service_Information_Available_Keys event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
ProcessCreationTime event.idm.read_only_udm.additional.fields 從變更記錄對應
AdditionalInfo2 event.idm.read_only_udm.additional.fields 從變更記錄對應
ObjectName event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Additional_Information_Parameter_2 event.idm.read_only_udm.additional.fields 從變更記錄對應
VirtualAccount event.idm.read_only_udm.additional.fields 從變更記錄對應
Type event.idm.read_only_udm.additional.fields 從變更記錄對應
ReturnCode event.idm.read_only_udm.additional.fields 從變更記錄對應
ImpersonationLevel event.idm.read_only_udm.additional.fields 從變更記錄對應
TargetLogonId event.idm.read_only_udm.additional.fields 從變更記錄對應
TicketOptions event.idm.read_only_udm.additional.fields 從變更記錄對應
TicketEncryptionType event.idm.read_only_udm.additional.fields 從變更記錄對應
SessionKeyEncryptionType event.idm.read_only_udm.additional.fields 從變更記錄對應
Status event.idm.read_only_udm.additional.fields 從變更記錄對應
RequestTicketHash event.idm.read_only_udm.additional.fields 從變更記錄對應
ResponseTicketHash event.idm.read_only_udm.additional.fields 從變更記錄對應
ServiceSupportedEncryptionTypes event.idm.read_only_udm.additional.fields 從變更記錄對應
ServiceAvailableKeys event.idm.read_only_udm.additional.fields 從變更記錄對應
DCSupportedEncryptionTypes event.idm.read_only_udm.additional.fields 從變更記錄對應
DCAvailableKeys event.idm.read_only_udm.additional.fields 從變更記錄對應
ClientAdvertizedEncryptionTypes event.idm.read_only_udm.additional.fields 從變更記錄對應
details.Privileges event.idm.read_only_udm.additional.fields 從變更記錄對應
details_New_Logon_Security_ID event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Additional_Information_Parameter_1 event.idm.read_only_udm.additional.fields 從變更記錄對應
details_New_Logon_Account_Name event.idm.read_only_udm.additional.fields 從變更記錄對應
details_New_Logon_Linked_Logon_ID event.idm.read_only_udm.additional.fields 從變更記錄對應
impersonation_level event.idm.read_only_udm.additional.fields 從變更記錄對應
correlation_activity_id event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Account_Information_Account_Name event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Account_Information_Logon_GUID event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Operation_Operation_Type event.idm.read_only_udm.additional.fields 從變更記錄對應
details_additional_information_failure_code event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Additional_Information_Ticket_Options event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Additional_Information_Ticket_Encryption_Type event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Additional_Information_Session_Encryption_Type event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Domain_Controller_Information_Available_Keys event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Domain_Controller_Information_MSDS_SupportedEncryptionTypes event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Service_Information_Service_ID event.idm.read_only_udm.additional.fields 從變更記錄對應
network_information_client_port event.idm.read_only_udm.additional.fields 從變更記錄對應
details.Network_Information.Advertized_Etypes event.idm.read_only_udm.additional.fields 從變更記錄對應
response_ticket_hash event.idm.read_only_udm.additional.fields 從變更記錄對應
request_ticket_hash event.idm.read_only_udm.additional.fields 從變更記錄對應
details_Subject_Logon_ID event.idm.read_only_udm.additional.fields 從變更記錄對應
network_information_client_address event.idm.read_only_udm.principal.ip 從變更記錄對應
network_information_client_address event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
ClientProcessId event.idm.read_only_udm.target.process.pid 從變更記錄對應
ParentProcessId event.idm.read_only_udm.principal.process.pid 從變更記錄對應
details_Service_Information_Service_Name event.idm.read_only_udm.target.application 從變更記錄對應
SourceName event.idm.read_only_udm.metadata.product_name 從變更記錄對應
Source event.idm.read_only_udm.metadata.product_name 從變更記錄對應
provider.name event.idm.read_only_udm.metadata.product_name 從變更記錄對應
prod_name event.idm.read_only_udm.metadata.product_name 從變更記錄對應
EventSourceName event.idm.read_only_udm.metadata.product_name 從變更記錄對應
NewProcessId event.idm.read_only_udm.target.process.pid 從變更記錄對應
details.Network Information.Source Network Address event.idm.read_only_udm.principal.ip 從變更記錄對應
details.Network Information.Source Network Address event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
details.Account For Which Logon Failed.Security ID event.idm.read_only_udm.target.user.product_object_id 從變更記錄對應
details.Detailed Authentication Information.Logon Process event.idm.read_only_udm.principal.process.file.full_path 從變更記錄對應
details.Failure Information.Failure Reason event.idm.read_only_udm.security_result.description 從變更記錄對應
event_id.qualifiers event.idm.read_only_udm.additional.fields 從變更記錄對應
TargetUserSid event.idm.read_only_udm.additional.fields 從變更記錄對應
WorkstationName event.idm.read_only_udm.additional.fields 從變更記錄對應
LogonType event.idm.read_only_udm.additional.fields 從變更記錄對應
AuthenticationPackageName event.idm.read_only_udm.additional.fields 從變更記錄對應
KeyLength event.idm.read_only_udm.additional.fields 從變更記錄對應
LogonProcessName event.idm.read_only_udm.additional.fields 從變更記錄對應
details.Network Information.Source Port event.idm.read_only_udm.additional.fields 從變更記錄對應
details.Account For Which Logon Failed.Account Name event.idm.read_only_udm.additional.fields 從變更記錄對應
Msg_1 event.idm.read_only_udm.additional.fields 從變更記錄對應
details.Account For Which Logon Failed.Account Domain event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
version event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Detailed Authentication Information.Key Length event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
keywords event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Detailed Authentication Information.Authentication Package event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Failure Information.Status event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Failure Information.Sub Status event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Process Information.Caller Process ID event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Subject.Security ID event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
details.Network Information.Workstation Name event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
SamAccountName event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
UserPrincipalName event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
HomeDirectory event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
HomePath event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
ScriptPath event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
ProfilePath event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
UserWorkstations event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
PasswordLastSet event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
AccountExpires event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
PrimaryGroupId event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
AllowedToDelegateTo event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
OldUacValue event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
NewUacValue event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
UserAccountControl event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
UserParameters event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
LogonHours event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
ServicePrincipalNames event.idm.read_only_udm.target.user.attribute.labels 從變更記錄對應
DisplayName event.idm.read_only_udm.target.user.user_display_name 從變更記錄對應
UserPrincipalName event.idm.read_only_udm.target.user.email_addresses 從變更記錄對應
DnsHostName event.idm.read_only_udm.target.hostname 從變更記錄對應
DnsHostName event.idm.read_only_udm.target.asset.hostname 從變更記錄對應
EventReceivedTime event.idm.read_only_udm.metadata.collected_timestamp 從變更記錄對應
SourceModuleName event.idm.read_only_udm.principal.resource.name 從變更記錄對應
Opcode event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
ComputerAccountChange event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
ProcessID event.idm.read_only_udm.principal.process.pid 從變更記錄對應
ThreadID event.idm.read_only_udm.additional.fields 從變更記錄對應
SeverityValue event.idm.read_only_udm.additional.fields 從變更記錄對應
Category event.idm.read_only_udm.additional.fields 從變更記錄對應
PrivilegeList event.idm.read_only_udm.principal.user.attribute.labels 從變更記錄對應
SourceName event.idm.read_only_udm.principal.application 從變更記錄對應
EventIdx event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
EventCountTotal event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
record.owner event.idm.read_only_udm.principal.user.userid 從變更記錄對應
record.logGroup event.idm.read_only_udm.security_result.about.resource.name 從變更記錄對應
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels 從變更記錄對應
Provider event.idm.read_only_udm.security_result.about.resource.attribute.labels 從變更記錄對應
record.messageType event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
OldSd event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
NewSd event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
logEvent.id event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
Address event.idm.read_only_udm.additional.fields 從變更記錄對應
AddressLength event.idm.read_only_udm.additional.fields 從變更記錄對應
Keyword event.idm.read_only_udm.additional.fields 從變更記錄對應
BinaryId event.idm.read_only_udm.additional.fields 從變更記錄對應
Opcode event.idm.read_only_udm.additional.fields 從變更記錄對應
param1 event.idm.read_only_udm.additional.fields 從變更記錄對應
param2 event.idm.read_only_udm.additional.fields 從變更記錄對應
PrivilegeList event.idm.read_only_udm.target.resource.resource_subtype 從變更記錄對應
Version event.idm.read_only_udm.metadata.product_version 從變更記錄對應
Channel_type event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
TimeGenerated event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
SystemProcessId event.idm.read_only_udm.principal.process.pid 從變更記錄對應
EventRecordId event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
SourceComputerId event.idm.read_only_udm.principal.asset.asset_id 從變更記錄對應
ManagementGroupName event.idm.read_only_udm.principal.group.group_display_name 從變更記錄對應
SystemThreadId event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
EventLevelName event.idm.read_only_udm.additional.fields 從變更記錄對應
TenantId event.idm.read_only_udm.additional.fields 從變更記錄對應
LogonTypeName event.idm.read_only_udm.additional.fields 從變更記錄對應
Activity event.idm.read_only_udm.additional.fields 從變更記錄對應
MG event.idm.read_only_udm.additional.fields 從變更記錄對應
_SubscriptionId event.idm.read_only_udm.additional.fields 從變更記錄對應
_ItemId event.idm.read_only_udm.additional.fields 從變更記錄對應
_IsBillable event.idm.read_only_udm.additional.fields 從變更記錄對應
_BilledSize event.idm.read_only_udm.additional.fields 從變更記錄對應
_Internal_WorkspaceResourceId event.idm.read_only_udm.additional.fields 從變更記錄對應
TimeCollected event.idm.read_only_udm.metadata.collected_timestamp 從變更記錄對應
SystemUserId event.idm.read_only_udm.principal.user.userid 從變更記錄對應
_ResourceId event.idm.read_only_udm.principal.resource.product_object_id 從變更記錄對應
EventSourceName event.idm.read_only_udm.target.application 從變更記錄對應
EventOriginId event.idm.read_only_udm.target.process.product_specific_process_id 從變更記錄對應
SourceSystem event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
OldTargetUserName event.idm.read_only_udm.additional.fields 從變更記錄對應
NewTargetUserName event.idm.read_only_udm.additional.fields 從變更記錄對應
NewTargetUserName event.idm.read_only_udm.target.user.userid 從變更記錄對應
SAM Account Name event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Display Name event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
User Workstations event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Account Expires event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
Primary Group ID event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
DNS Host Name event.idm.read_only_udm.target.resource.attribute.labels 從變更記錄對應
User Principal Name event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Service Principal Names event.idm.read_only_udm.principal.resource.attribute.labels 從變更記錄對應
Home Directory event.idm.read_only_udm.additional.fields 從變更記錄對應
Home Drive event.idm.read_only_udm.additional.fields 從變更記錄對應
Script Path event.idm.read_only_udm.additional.fields 從變更記錄對應
Profile Path event.idm.read_only_udm.additional.fields 從變更記錄對應
AllowedToDelegateTo event.idm.read_only_udm.additional.fields 從變更記錄對應
Old UAC Value event.idm.read_only_udm.additional.fields 從變更記錄對應
New UAC Value event.idm.read_only_udm.additional.fields 從變更記錄對應
User Account Control event.idm.read_only_udm.additional.fields 從變更記錄對應
User Parameters event.idm.read_only_udm.additional.fields 從變更記錄對應
SID History event.idm.read_only_udm.additional.fields 從變更記錄對應
Logon Hours event.idm.read_only_udm.additional.fields 從變更記錄對應
additional_information event.idm.read_only_udm.additional.fields 從變更記錄對應
Description_data event.idm.read_only_udm.additional.fields 從變更記錄對應
Version event1.idm.read_only_udm.metadata.product_version 從變更記錄對應
UserName event.idm.read_only_udm.principal.user.userid 從變更記錄對應
param1 event.idm.read_only_udm.target.application 從變更記錄對應
param3 event.idm.read_only_udm.additional.fields 從變更記錄對應
param4 event.idm.read_only_udm.additional.fields 從變更記錄對應
sourceHealthServiceId event.idm.read_only_udm.additional.fields 從變更記錄對應
/Event[%{index}]/TaskName event.idm.read_only_udm.target.resource.name 從變更記錄對應
computer event.idm.read_only_udm.principal.hostname 從變更記錄對應
computer event.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
SubjectUserSid event.idm.read_only_udm.principal.user.windows_sid 從變更記錄對應
IpAddress event.idm.read_only_udm.principal.ip 從變更記錄對應
IpAddress event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
IpPort event.idm.read_only_udm.principal.port 從變更記錄對應
LogonGuid event.idm.read_only_udm.principal.resource.product_object_id 從變更記錄對應
ProcessId event.idm.read_only_udm.target.process.pid 從變更記錄對應
ProcessName event.idm.read_only_udm.target.process.file.full_path 從變更記錄對應
SubjectDomainName event.idm.read_only_udm.principal.administrative_domain 從變更記錄對應
SubjectUserName event.idm.read_only_udm.principal.user.userid 從變更記錄對應
SubjectLogonId event.idm.read_only_udm.principal.labels 從變更記錄對應
TargetDomainName event.idm.read_only_udm.target.administrative_domain 從變更記錄對應
TargetUserName event.idm.read_only_udm.target.user.userid 從變更記錄對應
TargetServerName event.idm.read_only_udm.target.hostname 從變更記錄對應
TargetLogonGuid event.idm.read_only_udm.target.resource.product_object_id 從變更記錄對應
TargetInfo event.idm.read_only_udm.target.labels 從變更記錄對應
execution.process_id event.idm.read_only_udm.principal.process.pid 從變更記錄對應
provider.guid event.idm.read_only_udm.metadata.product_log_id 從變更記錄對應
system_time event.idm.read_only_udm.metadata.event_timestamp 從變更記錄對應
execution.thread_id event.idm.read_only_udm.additional.fields 從變更記錄對應
provider.name event.idm.read_only_udm.additional.fields 從變更記錄對應
record_id event.idm.read_only_udm.additional.fields 從變更記錄對應
task event.idm.read_only_udm.additional.fields 從變更記錄對應
opcode event.idm.read_only_udm.additional.fields 從變更記錄對應
ServiceFileName event1.idm.read_only_udm.target.file.full_path 從變更記錄對應
Computer event1.idm.read_only_udm.principal.hostname 和 event1.idm.read_only_udm.principal.asset.hostname 從變更記錄對應
OriginatingComputer event1.idm.read_only_udm.principal.ip 和 event1.idm.read_only_udm.principal.asset.ip 從變更記錄對應
AccountName event1.idm.read_only_udm.principal.user.userid 從變更記錄對應
ServiceAccount event1.idm.read_only_udm.additional.fields 從變更記錄對應
ProviderName event.idm.read_only_udm.additional.fields 從變更記錄對應
loggingSourceName event.idm.read_only_udm.additional.fields 從變更記錄對應
Pid event.idm.read_only_udm.principal.process.pid 從變更記錄對應
Description event.idm.read_only_udm.metadata.description 從變更記錄對應
EventTickCount event.idm.read_only_udm.additional.fields 從變更記錄對應
ProductVersion event.idm.read_only_udm.metadata.product_version 從變更記錄對應
ActivityID event.idm.read_only_udm.additional.fields 從變更記錄對應
ModuleVersion event.idm.read_only_udm.metadata.product_version 從變更記錄對應
AppPath event.idm.read_only_udm.target.file.full_path 從變更記錄對應
QXID event.idm.read_only_udm.additional.fields 從變更記錄對應
GUID event.idm.read_only_udm.additional.fields 從變更記錄對應
Flags event.idm.read_only_udm.additional.fields 從變更記錄對應
CacheScope event.idm.read_only_udm.additional.fields 從變更記錄對應
RecursionScope event.idm.read_only_udm.additional.fields 從變更記錄對應
RD event.idm.read_only_udm.additional.fields 從變更記錄對應
Port event.idm.read_only_udm.additional.fields 從變更記錄對應
Source event.idm.read_only_udm.principal.ip 從變更記錄對應
Source event.idm.read_only_udm.principal.asset.ip 從變更記錄對應
InterfaceIP event.idm.read_only_udm.intermediary.ip 從變更記錄對應
cat event1.idm.read_only_udm.additional.fields 從變更記錄對應
SecurityId event1.idm.read_only_udm.additional.fields 從變更記錄對應
AccountName event1.idm.read_only_udm.additional.fields 從變更記錄對應
LogonId event1.idm.read_only_udm.additional.fields 從變更記錄對應
HandleId event1.idm.read_only_udm.additional.fields 從變更記錄對應
OperationType event1.idm.read_only_udm.additional.fields 從變更記錄對應
NewValueType event1.idm.read_only_udm.additional.fields 從變更記錄對應
OldValueType event1.idm.read_only_udm.additional.fields 從變更記錄對應
OldValue event1.idm.read_only_udm.additional.fields 從變更記錄對應
application event1.idm.read_only_udm.principal.application 從變更記錄對應
message event1.idm.read_only_udm.metadata.description 從變更記錄對應
AccountDomain event1.idm.read_only_udm.principal.administrative_domain 從變更記錄對應
ProcessName event1.idm.read_only_udm.principal.process.file.full_path 從變更記錄對應
xmlns event1.idm.read_only_udm.principal.url 從變更記錄對應
SourceName event1.idm.read_only_udm.principal.application 從變更記錄對應
ProviderGuid event1.idm.read_only_udm.principal.asset_id 從變更記錄對應
powershell_command event.idm.read_only_udm.security_result.about.process.command_line 從變更記錄對應
scriptblock_id event.idm.read_only_udm.security_result.detection_fields 從變更記錄對應
Destination event1.idm.read_only_udm.target.ip 從變更記錄對應
Destination event1.idm.read_only_udm.target.asset.ip 從變更記錄對應
qname event1.idm.read_only_udm.network.dns.questions.name 從變更記錄對應
qtype event1.idm.read_only_udm.network.dns.questions.type 從變更記錄對應
InterfaceIP event1.idm.read_only_udm.principal.ip 從變更記錄對應
InterfaceIP event1.idm.read_only_udm.principal.asset.ip 從變更記錄對應
Flags event1.idm.read_only_udm.additional.fields 從變更記錄對應
zone event1.idm.read_only_udm.additional.fields 從變更記錄對應
xid event1.idm.read_only_udm.additional.fields 從變更記錄對應
dnssec event1.idm.read_only_udm.additional.fields 從變更記錄對應
PacketData event1.idm.read_only_udm.additional.fields 從變更記錄對應
BufferSize event1.idm.read_only_udm.additional.fields 從變更記錄對應
rcode event1.idm.read_only_udm.additional.fields 從變更記錄對應
AA event1.idm.read_only_udm.additional.fields 從變更記錄對應
TCP event1.idm.read_only_udm.additional.fields 從變更記錄對應
ElapsedTime event1.idm.read_only_udm.additional.fields 從變更記錄對應
AD event1.idm.read_only_udm.additional.fields 從變更記錄對應
AdditionalInfo event1.idm.read_only_udm.additional.fields 從變更記錄對應
port event1.idm.read_only_udm.target.port 從變更記錄對應
rcode event1.idm.read_only_udm.network.dns.response_code 從變更記錄對應
SECURITY_ID event.idm.read_only_udm.additional.fields 從變更記錄對應
ingestion_source metadata.ingestion_labels 從變更記錄對應
details.Creator Subject.Account Domain principal.administrative_domain 從變更記錄對應
details.Creator Subject.Logon ID additional.fields 從變更記錄對應
details.Creator Subject.Account Name principal.user.userid 從變更記錄對應
details.Creator Subject.Security ID principal.user.windows_sid 從變更記錄對應
details.Process Information.Creator Process ID principal.process.pid 從變更記錄對應
details.Process Information.Creator Process Name principal.process.file.full_path 從變更記錄對應
details.Process Information.Mandatory Label target.labels 從變更記錄對應
details.Process Information.New Process ID target.process.pid 從變更記錄對應
details.Process Information.New Process Name target.process.file.full_path 從變更記錄對應
details.Process Information.Process Command Line target.process.command_line 從變更記錄對應
details.Process Information.Token Elevation Type security_result.detection_fields 從變更記錄對應
details.Target Subject.Account Domain target.administrative_domain 從變更記錄對應
details.Target Subject.Account Name target.user.userid 從變更記錄對應
details.Target Subject.Logon ID target.user.windows_sid 從變更記錄對應
details.Target Subject.Security ID target.user.windows_sid 從變更記錄對應
details.Process Information.Process ID principal.process.pid 從變更記錄對應
details.Process Information.Process Name principal.process.file.full_path 從變更記錄對應
details.Subject.Account Domain principal.administrative_domain 從變更記錄對應
details.Subject.Account Name principal.user.userid 從變更記錄對應
details.Subject.Logon ID additional.fields 從變更記錄對應
details.Subject.Security ID principal.user.windows_sid 從變更記錄對應
details.Transaction Information.New State sec_result.detection_fields 從變更記錄對應
details.Transaction Information.RM Transaction ID network.session_id 從變更記錄對應
details.Transaction Information.Resource Manager target.resource.name 從變更記錄對應
details.Additional_Context security_result.detection_fields 從變更記錄對應
event_id.id security_result.rule_name 從變更記錄對應
computer intermediary.hostname 從變更記錄對應
channel security_result.summary 從變更記錄對應
Library target.file.full_path 從變更記錄對應
ServiceName target.application 從變更記錄對應
ServiceFileName target.process.file.full_path 從變更記錄對應
ServiceType", "ServiceStartType security_result.detection_fields 從變更記錄對應
ServiceAccount target.user.userid 從變更記錄對應
IpAddress1 principal.ip 從變更記錄對應
hostname_prin principal.hostname 從變更記錄對應
Account Name target.yser.userid 從變更記錄對應
AttributeSyntaxOID" and "OperationType additional.fields 從變更記錄對應
DomainPolicyChanged security_result.detection_fields 從變更記錄對應
MemberSid principal.resource.attribute.labels 從變更記錄對應
source about.process.command_line 從變更記錄對應
task_command principal.process.file.full_path 從變更記錄對應
Param1 target.user.userid 從變更記錄對應
Param2 principal.administrative_domain 從變更記錄對應
Param3 principal.ip 從變更記錄對應
SubjectUserName" and "SubjectUserSid additional.fields 從變更記錄對應
Hostname additional.fields 從變更記錄對應
UserRight", and "AuditSourceName security_result.detection_fields 從變更記錄對應
PackageName security_result.detection_fields 從變更記錄對應
AgentLogFile additional.fields 從變更記錄對應
SubjectAccountName principal.user.userid 從變更記錄對應
TargetServerName additional.fields 從變更記錄對應
Privileges security_result.detection_fields 從變更記錄對應
AccessRight additional.fields 從變更記錄對應
ShareName target.file.names 從變更記錄對應
LmPackageName target.labels 從變更記錄對應
Hostname principal.asset.hostname 從變更記錄對應
WorkstationName", "TargetAccountDomain", "SourceAddress", "DSName", "database_name", and "target_hostname target.asset.hostname 從變更記錄對應
Properties target.resource.attribute.labels 從變更記錄對應
TargetLogonId", "AccessMask", "CertIssuerName", "TicketOptions", "TargetUserName", "AttributeLDAPDisplayName", "AttributeValues", "ObjectDN additional.fields 從變更記錄對應
UserID principal.user.userid 從變更記錄對應
UserID target.user.userid 從變更記錄對應
Event.System.Provider@Name event1.principal.application 從變更記錄對應
Event.System.Correlation@ActivityID event1.security_result.detection_fields 從變更記錄對應
Event.System.Execution@ProcessID event1.principal.process.pid 從變更記錄對應
Event.EventData.Data@SubjectUserName event1.idm.read_only_udm.principal.user.userid 從變更記錄對應
Event.EventData.Data@SubjectDomainName event1.idm.read_only_udm.principal.administrative_domain 從變更記錄對應
Event.EventData.Data@Workstation event1.idm.read_only_udm.target.hostname 從變更記錄對應
Event.EventData.Data@TargetUserName event1.idm.read_only_udm.target.user.userid 從變更記錄對應
Event.EventData.Data@TargetDomainName event1.idm.read_only_udm.target.administrative_domain 從變更記錄對應
Keywords additional.fields 從變更記錄對應
AttributeLDAPDisplayName target.resource.attribute.labels 從變更記錄對應
PrincipalDomain principal.administrative_domain 從變更記錄對應
PrincipalAccountName principal.user.userid 從變更記錄對應
TargetAccountName target.user.userid 從變更記錄對應
TargetDomain target.administrative_domain 從變更記錄對應
Logon GUID principal.resource.id 從變更記錄對應
ProcessID target.process.pid 從變更記錄對應
Security_ID", "VirtualAccount", "EventCategory", "ImpersonationLevel", "LinkedLogonID", "NetworkAccountName", "NetworkAccountDomain",and "RestrictedAdminMode security_result.detection_fields 從變更記錄對應
LogonID" and "TargetLogonID about.labels 從變更記錄對應
AgentDevice additional.fields 從變更記錄對應
EventType target.registry.registry_key 從變更記錄對應
ProcessId principal.process.pid 從變更記錄對應
SourceName target.application 從變更記錄對應
ProviderGuid target.resource.product_object_id 從變更記錄對應
Account Name principal.user.userid 從變更記錄對應
Account Domain principal.administrative_domain 從變更記錄對應
Workstation Name principal.hostname 從變更記錄對應
Caller Process Id principal.process.pid 從變更記錄對應
Source Network Address principal.ip 從變更記錄對應
Source Port principal.port 從變更記錄對應
Logon Process additional.fields 從變更記錄對應
Opcode about.labels 從變更記錄對應
ImpersonationLevel about.labels 從變更記錄對應
TargetHandleId about.labels 從變更記錄對應
RestrictedAdminMode about.labels 從變更記錄對應
TargetOutboundDomainName target.user.attribute.labels 從變更記錄對應
KeyLength target.labels 從變更記錄對應
TargetLogonId target.labels 從變更記錄對應
TransmittedServices target.labels 從變更記錄對應
TargetLinkedLogonId target.labels 從變更記錄對應
VirtualAccount target.labels 從變更記錄對應
OldSd target.resource.attribute.labels 從變更記錄對應
NewSd target.resource.attribute.labels 從變更記錄對應
Channel", "SubjectLogonId", and "ThreadId additional.labels 從變更記錄對應
TargetDomainName target.administrative_domain 從變更記錄對應
Keywords","Channel","Level","SChannelName","SChannelType","Opcode `` 從變更記錄對應
ThreadID target.resource.attribute.labels 從變更記錄對應
UserID target.user.windows_sid 從變更記錄對應
ProductName" and "ProductVersion metadata.product_version 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。