收集 Netskope Web 代理日志

支持的平台：

本文档介绍了如何使用 Google Cloud Storage V2 将 Netskope 网络代理日志注入到 Google Security Operations。

Netskope 提供了一个云原生安全 Web 网关，可实时检查和控制 Web 流量。Web 事务 (WebTx) 日志会捕获 Netskope 代理处理的每个 HTTP 和 HTTPS 会话的详细记录，包括用户身份、应用、网址类别、威胁和 DLP 判定结果以及网络元数据。

准备工作

确保您满足以下前提条件：

  • Google SecOps 实例
  • 已启用 Cloud Storage API 的 GCP 项目
  • 创建和管理 GCS 存储分区的权限
  • 管理 GCS 存储分区的 IAM 政策的权限
  • 使用管理员凭据对 Netskope 租户进行特权访问

选项 - 将 Netskope 日志流式传输到 Google Cloud Storage

如果您的租户已启用 Netskope 日志流式传输订阅，请使用此选项。Netskope Log Streaming 会以 240 秒的固定间隔将 WebTx 日志文件以压缩的 .gzip 文件形式直接推送到您的 GCS 存储桶。

创建 Google Cloud Storage 存储桶

  1. 前往 Google Cloud 控制台。
  2. 选择您的项目或创建新项目。
  3. 在导航菜单中，依次前往 Cloud Storage > 存储分区。
  4. 点击创建存储分区。

  5. 提供以下配置详细信息：

    设置 值
    为存储桶命名 输入一个全局唯一的名称（例如 netskope-webtx-logs）
    位置类型 根据您的需求进行选择（区域级、双区域、多区域）
    位置 选择离您的组织最近的地点（例如 us-central1）
    存储类别 标准（建议用于经常访问的日志）
    访问权限控制 均匀（推荐）
    保护工具 可选：启用对象版本控制或保留政策

  6. 点击创建。

创建 GCP 服务账号

Netskope 日志流式传输需要一个具有 GCS 存储桶写入权限的 GCP 服务账号。Netskope 在推送日志文件时会使用此服务账号的私钥进行身份验证。

  1. 在 GCP 控制台中，依次前往 IAM 和管理 > 服务账号。
  2. 点击创建服务账号。
  3. 提供以下配置详细信息：
    • 服务账号名称：输入 netskope-log-streaming
    • 服务账号说明：输入 Service account for Netskope Log Streaming to push WebTx logs to GCS
  4. 点击创建并继续。
  5. 在向此服务账号授予对项目的访问权限部分：
    1. 点击选择角色。
    2. 搜索并选择 Storage Object Creator。
  6. 点击继续。
  7. 点击完成。

生成 JSON 密钥

  1. 在 IAM 和管理 > 服务账号中，点击相应服务账号 netskope-log-streaming。
  2. 选择密钥标签页。
  3. 点击添加密钥 > 创建新密钥。
  4. 选择 JSON 作为密钥类型。
  5. 点击创建。
  6. 系统会自动下载 JSON 密钥文件。请妥善保存此文件。
  7. 在文本编辑器中打开 JSON 密钥文件，然后找到 private_key 字段。您将在下一部分中用到此值。

授予对 GCS 存储桶的写入权限

  1. 前往 Cloud Storage > 存储分区。
  2. 点击您的存储桶名称（例如 netskope-webtx-logs）。
  3. 前往权限标签页。
  4. 点击授予访问权限。
  5. 提供以下配置详细信息：
    • 添加主账号：输入服务账号电子邮件地址（例如 netskope-log-streaming@YOUR_PROJECT_ID.iam.gserviceaccount.com）
    • 分配角色：选择 Storage Object Creator
  6. 点击保存。

创建日志流

  1. 使用管理员凭证登录 Netskope 租户。
  2. 依次前往设置> 工具 > 日志串流。
  3. 点击创建数据流。
  4. 在名称字段中，输入易于理解的流名称（例如 Chronicle WebTx GCS）。
  5. 选择 GCP Cloud Storage 作为目标类型。

  6. 提供以下配置详细信息：

    • 存储桶：输入 GCS 存储桶的名称（例如 netskope-webtx-logs）。

    • 路径（可选）：输入存储桶中将存储日志的文件夹路径（例如 netskope/webtx/{%Y}）。

    • 私钥：输入在上一部分中生成的 JSON 密钥文件中的 private_key 值。以 PEM 格式输入密钥，并使用换行符 (\n) 符号：

      -----BEGIN PRIVATE KEY-----\nprivate_key_content\n-----END PRIVATE KEY-----\n

  7. 查看交付选项：推送频率为持续的 240 秒。

  8. 点击保存（或创建）以启用数据流。

在 Google SecOps 中配置 Feed 以从 GCS 注入 Netskope WebTx 日志

检索 Google SecOps 服务账号

Google SecOps 使用唯一的服务账号从您的 GCS 存储桶中读取数据。您必须授予此服务账号对您的存储桶的访问权限。

  1. 依次前往 SIEM 设置 > Feed。
  2. 点击添加新 Feed。
  3. 点击配置单个 Feed。
  4. 在 Feed 名称字段中，输入 Feed 的名称（例如 Netskope WebTx Logs）。
  5. 选择 Google Cloud Storage V2 作为来源类型。
  6. 选择 Netskope Web 代理作为日志类型。

  7. 点击获取服务账号。系统会显示一个唯一的服务账号电子邮件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. 复制此电子邮件地址，以便在下一步中使用。

  9. 点击下一步。

  10. 为以下输入参数指定值：

    • 存储桶网址：输入带有前缀路径的 GCS 存储桶 URI：

      gs://netskope-webtx-logs/netskope/webtx/
      • 替换：
        • netskope-webtx-logs：您的 GCS 存储桶名称。
        • netskope/webtx/：在 Netskope 日志流式传输中配置的路径前缀（根目录留空）。

    • 来源删除选项：根据您的偏好选择删除选项：

      • 永不：转移后永不删除任何文件（建议用于测试）。
      • 删除已转移的文件：在成功转移后删除文件。

      • 删除已转移的文件和空目录：成功转移后删除文件和空目录。

    • 文件存在时间上限：包含在过去指定天数内修改的文件（默认值为 180 天）

    • 资产命名空间：资产命名空间

    • 注入标签：要应用于此 Feed 中事件的标签

  11. 点击下一步。

  12. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

向 Google SecOps 服务账号授予 IAM 权限

Google SecOps 服务账号需要您的 GCS 存储桶的 Storage Object Viewer 角色。

  1. 前往 Cloud Storage > 存储分区。
  2. 点击您的存储桶名称（例如 netskope-webtx-logs）。
  3. 前往权限标签页。
  4. 点击授予访问权限。
  5. 提供以下配置详细信息：
    • 添加主账号：粘贴 Google SecOps 服务账号电子邮件地址（例如 chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com）
    • 分配角色：选择 Storage Object Viewer
  6. 点击保存。

选项 - Cloud Exchange Log Shipper 到 Google Cloud Storage

如果您已部署 Netskope Cloud Exchange 平台并配置了 Log Shipper 模块，请使用此选项。Log Shipper 会从您的 Netskope 租户拉取 WebTx 日志，并以压缩的 .gzip 文件形式将其推送到 GCS 存储桶，然后 Google SecOps 通过 Google Cloud Storage V2 Feed 读取这些文件。

开始之前（Cloud Exchange）

确保您满足此选项的以下额外前提条件：

配置 GCS 目标插件

  1. 在 Cloud Exchange 中，依次前往设置 > 插件商店。
  2. 搜索并选择 Google Cloud SCC (Google GCS) 插件框。
  3. 点击 Configure New Plugin（或添加新的插件配置）。
  4. 提供以下配置详细信息：
    • 配置名称：输入一个描述性名称（例如 GCS WebTx Destination）。
    • 映射：选择一个映射文件。对于以原始 .gzip 文件推送的 WebTx 日志，系统不会应用任何映射转换。
    • 存储桶：输入 GCS 存储桶的名称（例如 netskope-webtx-logs）。
    • 路径（可选）：输入文件夹路径（例如 netskope/webtx/）。
    • 私钥：输入服务账号的 JSON 密钥文件中的 private_key 值。
  5. 点击保存。
  6. 新插件配置将显示在日志传送程序 > 插件页面上。

配置业务规则（可选）

默认情况下，所有业务规则会过滤所有提醒和事件。如果您想专门过滤 WebTx 日志，请创建新的业务规则：

  1. 在 Log Shipper 中，前往 Business Rules。
  2. 点击创建新规则。
  3. 输入规则名称（例如 WebTx Only）。
  4. 配置所需的过滤条件，以仅包含 WebTx 数据。
  5. 点击保存。

配置日志传送

  1. 在 Log Shipper 中，前往 Log Delivery。
  2. 点击 Add Log Delivery Configuration。
  3. 提供以下配置详细信息：
    • Source Configuration（来源配置）：选择 Netskope CLS 源插件（例如 WebTxCLS 或 Netskope CLS）。
    • 目的地配置：选择您配置的 GCS 目的地插件（例如 GCS WebTx Destination）。
    • 业务规则：选择一项业务规则（例如 All 或 WebTx Only）。

  4. 点击保存。

  5. 如需获取更多历史数据，请点击日志传送操作中的提取历史数据图标。

  6. 选择历史记录起始和结束日期范围，然后点击提取。

在 Google SecOps 中配置 Feed 以从 GCS 注入 Netskope WebTx 日志

按照“Netskope 日志流式传输”选项中的相同步骤创建 Google SecOps Feed 并授予 IAM 权限：

  1. 检索 Google SecOps 服务账号 - 创建以 Google Cloud Storage V2 为来源类型、以 Netskope Web 代理为日志类型的 Feed。
  2. 向 Google SecOps 服务账号授予 IAM 权限 - 向 Google SecOps 服务账号授予 GCS 存储桶的 Storage Object Viewer 角色（如果使用删除选项，则授予 Storage Object Admin 角色）。

验证日志传送

如需验证 WebTx 日志是否已传送到 GCS 存储桶，请执行以下操作：

  1. 在 Cloud Exchange 中，依次前往 Log Shipper > Log Delivery。
  2. 检查发送到外部接收器的日志/WebTx 总数和发送到存储分区的 WebTx 总数列，确认数据是否正在推送到目标位置。
  3. 在 GCS 存储桶中，确认 Log Shipper 正在写入 .gzip 文件。

配置日志传送器全局设置（可选）

只有管理员可以更改 Log Shipper 全局设置。依次前往设置 > Log Shipper。有两个标签页：“常规”和“映射”。

在常规标签页中，您可以配置日志传送的重试策略：

  • 默认（3 次重试）：如果日志传送失败，Log Shipper 将尝试 3 次将日志推送到目标位置。如果 3 次重试尝试均失败，系统会舍弃相应批次的日志。

  • 重试直至成功传送：无限次重试，直至成功传送日志。

您还可以为提醒、事件和 WebTx 启用 UTF-8 编码，以确保无缝处理 UTF-8 编码的数据。此功能默认处于停用状态。

UDM 映射表

交易事件

列号 日志字段 UDM 映射
1 bytes additional.fields
2 c-ip principal.ip
principal.asset.ip
3 cs-bytes network.sent_bytes
4 cs-content-type additional.fields
5 cs-dns target.hostname
target.asset.hostname
6 cs-host target.hostname
target.asset.hostname（如果 cs-dns 为空）
7 cs-method network.http.method
8 cs-referer network.http.referral_url
9 cs-uri additional.fields
10 cs-uri-port additional.fields
target.port（如果 x-cs-dst-port 为空）
11 cs-uri-query additional.fields
12 cs-uri-scheme network.application_protocol
13 cs-user-agent network.http.user_agent
14 cs-username principal.user.email_addresses（当电子邮件地址有效时）
principal.user.userid（当电子邮件地址无效时）
15 date metadata.event_timestamp
16 rs-status additional.fields
17 s-ip target.ip
target.asset.ip
18 sc-bytes network.received_bytes
19 sc-content-type additional.fields
20 sc-status network.http.response_code
21 time metadata.event_timestamp
22 time-taken network.session_duration
23 x-c-browser principal.browser.browser_type
24 x-c-browser-version principal.browser.browser_version
25 x-c-country principal.location.country_or_region
26 x-c-device additional.fields
27 x-c-latitude principal.location.region_coordinates.latitude
28 x-c-local-time security_result.detection_fields
29 x-c-location principal.location.city
30 x-c-longitude principal.location.region_coordinates.longitude
31 x-c-os principal.platform
32 x-c-region principal.location.state
33 x-c-zipcode additional.fields
34 x-category additional.fields
35 x-category-id additional.fields
36 x-client-ssl-err additional.fields
37 x-cs-access-method additional.fields
38 x-cs-app principal.application
39 x-cs-app-activity additional.fields
40 x-cs-app-category additional.fields
41 x-cs-app-cci additional.fields
42 x-cs-app-ccl additional.fields
43 x-cs-app-from-user principal.user.email_address（当电子邮件地址有效时）
principal.user.userid（当电子邮件地址无效时）
44 x-cs-app-instance-id principal.resource.product_object_id
45 x-cs-app-instance-name principal.resource.name
46 x-cs-app-instance-tag additional.fields
47 x-cs-app-object-id additional.fields
48 x-cs-app-object-name additional.fields
49 x-cs-app-object-type additional.fields
50 x-cs-app-suite additional.fields
51 x-cs-app-tags additional.fields
52 x-cs-app-to-user additional.fields
53 x-cs-connect-host additional.fields
54 x-cs-connect-port additional.fields
55 x-cs-connect-user-agent network.http.user_agent
network.http.parsed_user_agent
56 x-cs-domain-fronted-sni additional.fields
57 x-cs-dst-ip target.ip
58 x-cs-dst-port target.port
59 x-cs-http-version network.application_protocol_version
60 x-cs-ip-connect-xff principal.ip
principal.asset.ip
61 x-cs-ip-xff principal.ip
principal.asset.ip
62 x-cs-page-id additional.fields
63 x-cs-session-id network.session_id
64 x-cs-site additional.fields
65 x-cs-sni network.tls.client.server_name
66 x-cs-src-ip principal.ip
principal.asset.ip
67 x-cs-src-ip-egress principal.ip
principal.asset.ip
68 x-cs-src-port principal.port
69 x-cs-ssl-cipher network.tls.cipher
70 x-cs-ssl-engine-action additional.fields
71 x-cs-ssl-engine-action-reason additional.fields
72 x-cs-ssl-fronting-error security_result.detection_fields
73 x-cs-ssl-handshake-error security_result.detection_fields
74 x-cs-ssl-ja3 network.tls.client.ja3
75 x-cs-ssl-version network.tls.version
76 x-cs-timestamp metadata.event_timestamp
77 x-cs-traffic-type additional.fields
78 x-cs-tunnel-id additional.fields
79 x-cs-uri-path additional.fields
80 x-cs-url target.url
81 x-cs-userip principal.ip
principal.asset.ip
82 x-error additional.fields
83 x-other-category security_result.category_details
84 x-other-category-id security_result.detection_fields
85 x-policy-action security_result.action
security_result.action_details
86 x-policy-dst-host security_result.detection_fields
87 x-policy-dst-host-source security_result.detection_fields
88 x-policy-dst-ip security_result.detection_fields
89 x-policy-justification-reason additional.fields
90 x-policy-justification-type additional.fields
91 x-policy-name security_result.rule_name
92 x-policy-src-ip security_result.detection_fields
93 x-r-cert-enddate network.tls.server.certificate.not_after
94 x-r-cert-expired additional.fields
95 x-r-cert-incomplete-chain additional.fields
96 x-r-cert-issuer-cn network.tls.server.certificate.issuer
97 x-r-cert-mismatch additional.fields
98 x-r-cert-revocation-check additional.fields
99 x-r-cert-revoked additional.fields
100 x-r-cert-self-signed additional.fields
101 x-r-cert-startdate network.tls.server.certificate.not_before
102 x-r-cert-subject-cn network.tls.server.certificate.subject
103 x-r-cert-untrusted-root additional.fields
104 x-r-cert-valid additional.fields
105 x-request-id additional.fields
106 x-rs-file-category additional.fields
107 x-rs-file-language additional.fields
108 x-rs-file-md5 principal.file.md5
109 x-rs-file-sha256 principal.file.sha256
110 x-rs-file-size principal.file.size
111 x-rs-file-type additional.fields
112 x-s-country target.location.country_or_region
113 x-s-custom-signing-ca-error security_result.detection_fields
114 x-s-dp-name additional.fields
115 x-s-latitude target.location.region_coordinates.latitude
116 x-s-location target.location.city
117 x-s-longitude target.location.region_coordinates.longitude
118 x-s-region target.location.state
119 x-s-zipcode additional.fields
120 x-sc-notification-name additional.fields
121 x-server-ssl-err additional.fields
122 x-sr-dst-ip security_result.detection_fields
123 x-sr-dst-port security_result.detection_fields
124 x-sr-headers-name additional.fields
125 x-sr-headers-value additional.fields
126 x-sr-src-ip intermediary.ip
127 x-sr-src-port intermediary.port
128 x-sr-ssl-cipher security_result.detection_fields
129 x-sr-ssl-client-certificate-error security_result.detection_fields
130 x-sr-ssl-engine-action security_result.detection_fields
131 x-sr-ssl-engine-action-reason security_result.detection_fields
132 x-sr-ssl-handshake-error security_result.detection_fields
133 x-sr-ssl-ja3s network.tls.server.ja3s
134 x-sr-ssl-malformed-ssl security_result.detection_fields
135 x-sr-ssl-version security_result.detection_fields
136 x-ssl-bypass security_result.detection_fields
137 x-ssl-bypass-reason security_result.summary
138 x-ssl-policy-action security_result.detection_fields
139 x-ssl-policy-categories security_result.category_details
140 x-ssl-policy-dst-host security_result.detection_fields
141 x-ssl-policy-dst-host-source security_result.detection_fields
142 x-ssl-policy-dst-ip security_result.detection_fields
143 x-ssl-policy-name security_result.detection_fields
144 x-ssl-policy-src-ip security_result.detection_fields
145 x-transaction-id additional.fields
146 x-type metadata.product_event_type
x_rs_file_size event.idm.read_only_udm.principal.process.file.size 从变更日志映射
x_rs_file_type event.idm.read_only_udm.principal.process.file.mime_type 从变更日志映射
x_r_cert_start event.idm.read_only_udm.network.tls.server.certificate.not_before 从变更日志映射
x_r_cert_end event.idm.read_only_udm.network.tls.server.certificate.not_after 从变更日志映射
x_tenant_id event.idm.read_only_udm.additional 从变更日志映射
x_r_country event.idm.read_only_udm.additional 从变更日志映射
x_r_latitude event.idm.read_only_udm.additional 从变更日志映射
x_r_longitude event.idm.read_only_udm.additional 从变更日志映射
x_r_location event.idm.read_only_udm.additional 从变更日志映射
x_r_region event.idm.read_only_udm.additional 从变更日志映射
x_r_zipcode event.idm.read_only_udm.additional 从变更日志映射
x_c_authz_source event.idm.read_only_udm.additional 从变更日志映射
x_cs_app_instance_tags event.idm.read_only_udm.additional 从变更日志映射
x_cs_ssl_malformed_ssl event.idm.read_only_udm.additional 从变更日志映射
x_cs_access_proxy event.idm.read_only_udm.additional 从变更日志映射
x_c_local_timestamp event.idm.read_only_udm.additional 从变更日志映射
s_ip event.idm.read_only_udm.target.ip 从变更日志映射
file_md5 event.idm.read_only_udm.principal.file.md5 从变更日志映射
device_sn event.idm.read_only_udm.principal.resource.product_object_id 从变更日志映射
act_user event.idm.read_only_udm.principal.user.email_addresses 从变更日志映射
from_user event.idm.read_only_udm.principal.user.email_addresses 从变更日志映射
userkey event.idm.read_only_udm.principal.user.email_addresses 从变更日志映射
act_user event.idm.read_only_udm.principal.user.userid 从变更日志映射
cs_app event.idm.read_only_udm.principal.application 从变更日志映射
bcc event.idm.read_only_udm.network.email.bcc 从变更日志映射
cc event.idm.read_only_udm.network.email.cc 从变更日志映射
source_ip event.idm.read_only_udm.principal.ip 从变更日志映射
hostname event.idm.read_only_udm.principal.hostname 从变更日志映射
pid event.idm.read_only_udm.principal.process.pid 从变更日志映射
process_path event.idm.read_only_udm.principal.process.file.full_path 从变更日志映射
process_name event.idm.read_only_udm.principal.process.file.names 从变更日志映射
file_path event.idm.read_only_udm.principal.file.full_path 从变更日志映射
src_file_type event.idm.read_only_udm.principal.file.mime_type 从变更日志映射
src_sha256 event.idm.read_only_udm.principal.file.sha256 从变更日志映射
x_rs_file_sha256 event.idm.read_only_udm.principal.process.file.sha256 从变更日志映射
destination_file_name event.idm.read_only_udm.target.file.names 从变更日志映射
x_cs_timestamp event.idm.read_only_udm.metadata.event_timestamp 从变更日志映射
dst_location event.idm.read_only_udm.target.location.city 从变更日志映射
assignee event.idm.read_only_udm.target.user.userid 从变更日志映射
connection_id event.idm.read_only_udm.network.session_id 从变更日志映射
network_session_id event.idm.read_only_udm.network.session_id 从变更日志映射
policy event.idm.read_only_udm.security_result.rule_name 从变更日志映射
policy_name event.idm.read_only_udm.security_result.rule_name 从变更日志映射
action_data event.idm.read_only_udm.security_result.action_details 从变更日志映射
column2 event.idm.read_only_udm.additional.fields 从变更日志映射
access_method event.idm.read_only_udm.additional.fields 从变更日志映射
column5 event.idm.read_only_udm.additional.fields 从变更日志映射
activity event.idm.read_only_udm.additional.fields 从变更日志映射
column6 event.idm.read_only_udm.additional.fields 从变更日志映射
alert event.idm.read_only_udm.additional.fields 从变更日志映射
column7 event.idm.read_only_udm.additional.fields 从变更日志映射
alert_name event.idm.read_only_udm.additional.fields 从变更日志映射
column8 event.idm.read_only_udm.additional.fields 从变更日志映射
alert_type event.idm.read_only_udm.additional.fields 从变更日志映射
column10 event.idm.read_only_udm.additional.fields 从变更日志映射
app-gdpr-level event.idm.read_only_udm.additional.fields 从变更日志映射
column11 event.idm.read_only_udm.additional.fields 从变更日志映射
app_session_id event.idm.read_only_udm.additional.fields 从变更日志映射
column12 event.idm.read_only_udm.additional.fields 从变更日志映射
appact event.idm.read_only_udm.additional.fields 从变更日志映射
column14 event.idm.read_only_udm.additional.fields 从变更日志映射
appsuite event.idm.read_only_udm.additional.fields 从变更日志映射
column15 event.idm.read_only_udm.additional.fields 从变更日志映射
audit_type event.idm.read_only_udm.additional.fields 从变更日志映射
column18 event.idm.read_only_udm.additional.fields 从变更日志映射
browser_session_id event.idm.read_only_udm.additional.fields 从变更日志映射
column24 event.idm.read_only_udm.additional.fields 从变更日志映射
cloud_provider event.idm.read_only_udm.additional.fields 从变更日志映射
column26 event.idm.read_only_udm.additional.fields 从变更日志映射
conn_duration event.idm.read_only_udm.additional.fields 从变更日志映射
column27 event.idm.read_only_udm.additional.fields 从变更日志映射
conn_endtime event.idm.read_only_udm.additional.fields 从变更日志映射
column28 event.idm.read_only_udm.additional.fields 从变更日志映射
conn_starttime event.idm.read_only_udm.additional.fields 从变更日志映射
column30 event.idm.read_only_udm.additional.fields 从变更日志映射
connection_type event.idm.read_only_udm.additional.fields 从变更日志映射
column32 event.idm.read_only_udm.additional.fields 从变更日志映射
destination_file_directory event.idm.read_only_udm.additional.fields 从变更日志映射
column35 event.idm.read_only_udm.additional.fields 从变更日志映射
device event.idm.read_only_udm.additional.fields 从变更日志映射
column36 event.idm.read_only_udm.additional.fields 从变更日志映射
device_classification event.idm.read_only_udm.additional.fields 从变更日志映射
column37 event.idm.read_only_udm.additional.fields 从变更日志映射
dinsid event.idm.read_only_udm.additional.fields 从变更日志映射
column76 event.idm.read_only_udm.additional.fields 从变更日志映射
filepath event.idm.read_only_udm.additional.fields 从变更日志映射
column82 event.idm.read_only_udm.additional.fields 从变更日志映射
instance event.idm.read_only_udm.additional.fields 从变更日志映射
column83 event.idm.read_only_udm.additional.fields 从变更日志映射
instance_id event.idm.read_only_udm.additional.fields 从变更日志映射
column137 event.idm.read_only_udm.additional.fields 从变更日志映射
shared_with event.idm.read_only_udm.additional.fields 从变更日志映射
column138 event.idm.read_only_udm.additional.fields 从变更日志映射
site event.idm.read_only_udm.additional.fields 从变更日志映射
column139 event.idm.read_only_udm.additional.fields 从变更日志映射
smtp_to event.idm.read_only_udm.additional.fields 从变更日志映射
column140 event.idm.read_only_udm.additional.fields 从变更日志映射
spet event.idm.read_only_udm.additional.fields 从变更日志映射
column141 event.idm.read_only_udm.additional.fields 从变更日志映射
spst event.idm.read_only_udm.additional.fields 从变更日志映射
column109 event.idm.read_only_udm.additional.fields 从变更日志映射
page event.idm.read_only_udm.additional.fields 从变更日志映射
column196 event.idm.read_only_udm.additional.fields 从变更日志映射
violation event.idm.read_only_udm.additional.fields 从变更日志映射
column197 event.idm.read_only_udm.additional.fields 从变更日志映射
account_id event.idm.read_only_udm.additional.fields 从变更日志映射
column198 event.idm.read_only_udm.additional.fields 从变更日志映射
account_name event.idm.read_only_udm.additional.fields 从变更日志映射
column199 event.idm.read_only_udm.additional.fields 从变更日志映射
acked event.idm.read_only_udm.additional.fields 从变更日志映射
column200 event.idm.read_only_udm.additional.fields 从变更日志映射
alert_id event.idm.read_only_udm.additional.fields 从变更日志映射
column201 event.idm.read_only_udm.additional.fields 从变更日志映射
alert_source event.idm.read_only_udm.additional.fields 从变更日志映射
column202 event.idm.read_only_udm.additional.fields 从变更日志映射
breach_date event.idm.read_only_udm.additional.fields 从变更日志映射
column203 event.idm.read_only_udm.additional.fields 从变更日志映射
breach_id event.idm.read_only_udm.additional.fields 从变更日志映射
column204 event.idm.read_only_udm.additional.fields 从变更日志映射
breach_score event.idm.read_only_udm.additional.fields 从变更日志映射
column205 event.idm.read_only_udm.additional.fields 从变更日志映射
detection_engine event.idm.read_only_udm.additional.fields 从变更日志映射
column206 event.idm.read_only_udm.additional.fields 从变更日志映射
dlp_fingerprint_match event.idm.read_only_udm.additional.fields 从变更日志映射
column207 event.idm.read_only_udm.additional.fields 从变更日志映射
dlp_rule_score event.idm.read_only_udm.additional.fields 从变更日志映射
column208 event.idm.read_only_udm.additional.fields 从变更日志映射
email_title event.idm.read_only_udm.additional.fields 从变更日志映射
column209 event.idm.read_only_udm.additional.fields 从变更日志映射
event_uuid event.idm.read_only_udm.additional.fields 从变更日志映射
column210 event.idm.read_only_udm.additional.fields 从变更日志映射
file_category event.idm.read_only_udm.additional.fields 从变更日志映射
column211 event.idm.read_only_udm.additional.fields 从变更日志映射
file_cls_encrypted event.idm.read_only_udm.additional.fields 从变更日志映射
column212 event.idm.read_only_udm.additional.fields 从变更日志映射
file_exposure event.idm.read_only_udm.additional.fields 从变更日志映射
column213 event.idm.read_only_udm.additional.fields 从变更日志映射
file_id event.idm.read_only_udm.additional.fields 从变更日志映射
column214 event.idm.read_only_udm.additional.fields 从变更日志映射
filename event.idm.read_only_udm.additional.fields 从变更日志映射
column215 event.idm.read_only_udm.additional.fields 从变更日志映射
iaas_remediated event.idm.read_only_udm.additional.fields 从变更日志映射
column216 event.idm.read_only_udm.additional.fields 从变更日志映射
iaas_remediated_by event.idm.read_only_udm.additional.fields 从变更日志映射
column217 event.idm.read_only_udm.additional.fields 从变更日志映射
iaas_remediated_on event.idm.read_only_udm.additional.fields 从变更日志映射
column218 event.idm.read_only_udm.additional.fields 从变更日志映射
iaas_remediation_action event.idm.read_only_udm.additional.fields 从变更日志映射
column219 event.idm.read_only_udm.additional.fields 从变更日志映射
instance_name event.idm.read_only_udm.additional.fields 从变更日志映射
column220 event.idm.read_only_udm.additional.fields 从变更日志映射
loc event.idm.read_only_udm.additional.fields 从变更日志映射
column221 event.idm.read_only_udm.additional.fields 从变更日志映射
local_md5 event.idm.read_only_udm.additional.fields 从变更日志映射
column222 event.idm.read_only_udm.additional.fields 从变更日志映射
local_sha1 event.idm.read_only_udm.additional.fields 从变更日志映射
column223 event.idm.read_only_udm.additional.fields 从变更日志映射
local_sha256 event.idm.read_only_udm.additional.fields 从变更日志映射
column224 event.idm.read_only_udm.additional.fields 从变更日志映射
mal_id event.idm.read_only_udm.additional.fields 从变更日志映射
column225 event.idm.read_only_udm.additional.fields 从变更日志映射
mal_type event.idm.read_only_udm.additional.fields 从变更日志映射
column226 event.idm.read_only_udm.additional.fields 从变更日志映射
malware_id event.idm.read_only_udm.additional.fields 从变更日志映射
column227 event.idm.read_only_udm.additional.fields 从变更日志映射
malware_severity event.idm.read_only_udm.additional.fields 从变更日志映射
column228 event.idm.read_only_udm.additional.fields 从变更日志映射
malware_type event.idm.read_only_udm.additional.fields 从变更日志映射
column229 event.idm.read_only_udm.additional.fields 从变更日志映射
message_id event.idm.read_only_udm.additional.fields 从变更日志映射
column230 event.idm.read_only_udm.additional.fields 从变更日志映射
modified_date event.idm.read_only_udm.additional.fields 从变更日志映射
column231 event.idm.read_only_udm.additional.fields 从变更日志映射
pop_id event.idm.read_only_udm.additional.fields 从变更日志映射
column232 event.idm.read_only_udm.additional.fields 从变更日志映射
redirect_url event.idm.read_only_udm.additional.fields 从变更日志映射
column233 event.idm.read_only_udm.additional.fields 从变更日志映射
region_id event.idm.read_only_udm.additional.fields 从变更日志映射
column234 event.idm.read_only_udm.additional.fields 从变更日志映射
region_name event.idm.read_only_udm.additional.fields 从变更日志映射
column235 event.idm.read_only_udm.additional.fields 从变更日志映射
resource_category event.idm.read_only_udm.additional.fields 从变更日志映射
column236 event.idm.read_only_udm.additional.fields 从变更日志映射
resource_group event.idm.read_only_udm.additional.fields 从变更日志映射
column237 event.idm.read_only_udm.additional.fields 从变更日志映射
risk_level_id event.idm.read_only_udm.additional.fields 从变更日志映射
column238 event.idm.read_only_udm.additional.fields 从变更日志映射
sa_profile_name event.idm.read_only_udm.additional.fields 从变更日志映射
column239 event.idm.read_only_udm.additional.fields 从变更日志映射
sa_rule_name event.idm.read_only_udm.additional.fields 从变更日志映射
column240 event.idm.read_only_udm.additional.fields 从变更日志映射
sa_rule_severity event.idm.read_only_udm.additional.fields 从变更日志映射
column241 event.idm.read_only_udm.additional.fields 从变更日志映射
sender event.idm.read_only_udm.additional.fields 从变更日志映射
column242 event.idm.read_only_udm.additional.fields 从变更日志映射
severity_id event.idm.read_only_udm.additional.fields 从变更日志映射
column243 event.idm.read_only_udm.additional.fields 从变更日志映射
severity_level event.idm.read_only_udm.additional.fields 从变更日志映射
column244 event.idm.read_only_udm.additional.fields 从变更日志映射
shared_credential_user event.idm.read_only_udm.additional.fields 从变更日志映射
column245 event.idm.read_only_udm.additional.fields 从变更日志映射
shared_domains event.idm.read_only_udm.additional.fields 从变更日志映射
column246 event.idm.read_only_udm.additional.fields 从变更日志映射
sharedType event.idm.read_only_udm.additional.fields 从变更日志映射
column247 event.idm.read_only_udm.additional.fields 从变更日志映射
smtp_status event.idm.read_only_udm.additional.fields 从变更日志映射
column248 event.idm.read_only_udm.additional.fields 从变更日志映射
subject event.idm.read_only_udm.additional.fields 从变更日志映射
column249 event.idm.read_only_udm.additional.fields 从变更日志映射
suppression_count event.idm.read_only_udm.additional.fields 从变更日志映射
column250 event.idm.read_only_udm.additional.fields 从变更日志映射
tss_license event.idm.read_only_udm.additional.fields 从变更日志映射
column251 event.idm.read_only_udm.additional.fields 从变更日志映射
two_factor_auth event.idm.read_only_udm.additional.fields 从变更日志映射
column252 event.idm.read_only_udm.additional.fields 从变更日志映射
usergroup event.idm.read_only_udm.additional.fields 从变更日志映射
column253 event.idm.read_only_udm.additional.fields 从变更日志映射
watchlist_name event.idm.read_only_udm.additional.fields 从变更日志映射
column254 event.idm.read_only_udm.additional.fields 从变更日志映射
web_url event.idm.read_only_udm.additional.fields 从变更日志映射
column13 event.idm.read_only_udm.additional.fields 从变更日志映射
appcategory event.idm.read_only_udm.additional.fields 从变更日志映射
column31 event.idm.read_only_udm.additional.fields 从变更日志映射
custom_attr event.idm.read_only_udm.additional.fields 从变更日志映射
column86 event.idm.read_only_udm.additional.fields 从变更日志映射
location event.idm.read_only_udm.additional.fields 从变更日志映射
column90 event.idm.read_only_udm.additional.fields 从变更日志映射
md5 event.idm.read_only_udm.additional.fields 从变更日志映射
column91 event.idm.read_only_udm.additional.fields 从变更日志映射
mime_type event.idm.read_only_udm.additional.fields 从变更日志映射
column113 event.idm.read_only_udm.additional.fields 从变更日志映射
policy_action event.idm.read_only_udm.additional.fields 从变更日志映射
column57 (x-cs-dst-ip) event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从变更日志映射
column58 (x-cs-dst-port) event.idm.read_only_udm.target.port 从变更日志映射
column66 (x-cs-src-ip) event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column68 (x-cs-src-port) event.idm.read_only_udm.principal.port 从变更日志映射
column108 (x-rs-file-md5) event.idm.read_only_udm.principal.file.md5 从变更日志映射
column6 (cs-host) event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
column11 (cs-uri-query) event.idm.read_only_udm.additional.fields 从变更日志映射
column34 (x-category) event.idm.read_only_udm.additional.fields 从变更日志映射
column35 (x-category-id) event.idm.read_only_udm.additional.fields 从变更日志映射
column36 (x-client-ssl-err) event.idm.read_only_udm.additional.fields 从变更日志映射
column37 (x-cs-access-method) event.idm.read_only_udm.additional.fields 从变更日志映射
column40 (x-cs-app-category) event.idm.read_only_udm.additional.fields 从变更日志映射
column46 (x-cs-app-instance-tag) event.idm.read_only_udm.additional.fields 从变更日志映射
column47 (x-cs-app-object-id) event.idm.read_only_udm.additional.fields 从变更日志映射
column50 (x-cs-app-suite) event.idm.read_only_udm.additional.fields 从变更日志映射
column52 (x-cs-app-to-user) event.idm.read_only_udm.additional.fields 从变更日志映射
column53 (x-cs-connect-host) event.idm.read_only_udm.additional.fields 从变更日志映射
column54 (x-cs-connect-port) event.idm.read_only_udm.additional.fields 从变更日志映射
column56 (x-cs-domain-fronted-sni) event.idm.read_only_udm.additional.fields 从变更日志映射
column71 (x-cs-ssl-engine-action-reason) event.idm.read_only_udm.additional.fields 从变更日志映射
column78 (x-cs-tunnel-id) event.idm.read_only_udm.additional.fields 从变更日志映射
column79 (x-cs-uri-path) event.idm.read_only_udm.additional.fields 从变更日志映射
column89 (x-policy-justification-reason) event.idm.read_only_udm.additional.fields 从变更日志映射
column90 (x-policy-justification-type) event.idm.read_only_udm.additional.fields 从变更日志映射
column107 (x-rs-file-language) event.idm.read_only_udm.additional.fields 从变更日志映射
column119 (x-s-zipcode) event.idm.read_only_udm.additional.fields 从变更日志映射
column120 (x-sc-notification-name) event.idm.read_only_udm.additional.fields 从变更日志映射
column121 (x-server-ssl-err) event.idm.read_only_udm.additional.fields 从变更日志映射
column124 (x-sr-headers-name) event.idm.read_only_udm.additional.fields 从变更日志映射
column125 (x-sr-headers-value) event.idm.read_only_udm.additional.fields 从变更日志映射
column14 (cs-username) event.idm.read_only_udm.principal.user.userid 从变更日志映射
column23 (x-c-browser) event.idm.read_only_udm.principal.browser.browser_type 从变更日志映射
column24 (x-c-browser-version) event.idm.read_only_udm.principal.browser.browser_version 从变更日志映射
column28 (x-c-local-time) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column84 (x-other-category-id) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column88 (x-policy-dst-ip) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column92 (x-policy-src-ip) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column123 (x-sr-dst-port) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column144 (x-ssl-policy-src-ip) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column31 (x-c-os) event.idm.read_only_udm.principal.platform 从变更日志映射
column38 (x-cs-app) event.idm.read_only_udm.principal.application 从变更日志映射
column43 (x-cs-app-from-user) event.idm.read_only_udm.principal.user.email_address 从变更日志映射
column43 (x-cs-app-from-user) event.idm.read_only_udm.principal.user.userid 从变更日志映射
column44 (x-cs-app-instance-id) event.idm.read_only_udm.principal.resource.product_object_id 从变更日志映射
column45 (x-cs-app-instance-name) event.idm.read_only_udm.principal.resource.name 从变更日志映射
column55 (x-cs-connect-user-agent) event.idm.read_only_udm.network.http.user_agent和event.idm.read_only_udm.network.http.parsed_user_agent之间 从变更日志映射
column60 (x-cs-ip-connect-xff) event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column61 (x-cs-ip-xff) event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column81 (x-cs-userip) event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column63 (x-cs-session-id) event.idm.read_only_udm.network.session_id 从变更日志映射
column69 (x-cs-ssl-cipher) event.idm.read_only_udm.network.tls.cipher 从变更日志映射
column75 (x-cs-ssl-version) event.idm.read_only_udm.network.tls.version 从变更日志映射
column109 (x-rs-file-sha256) event.idm.read_only_udm.principal.file.sha256 从变更日志映射
column126 (x-sr-src-ip) event.idm.read_only_udm.intermediary.ip 从变更日志映射
column127 (x-sr-src-port) event.idm.read_only_udm.intermediary.port 从变更日志映射
column70 (x-cs-ssl-engine-action) event.idm.read_only_udm.additional.fields 从变更日志映射
column19 (sc-content-type) event.idm.read_only_udm.additional.fields 从变更日志映射
column26 (x-c-device) event.idm.read_only_udm.additional.fields 从变更日志映射
column39 (x-cs-app-activity) event.idm.read_only_udm.additional.fields 从变更日志映射
column41 (x-cs-app-cci) event.idm.read_only_udm.additional.fields 从变更日志映射
column42 (x-cs-app-ccl) event.idm.read_only_udm.additional.fields 从变更日志映射
column51 (x-cs-app-tags) event.idm.read_only_udm.additional.fields 从变更日志映射
column64 (x-cs-site) event.idm.read_only_udm.additional.fields 从变更日志映射
column48 (x-cs-app-object-name) event.idm.read_only_udm.additional.fields 从变更日志映射
column49 (x-cs-app-object-type) event.idm.read_only_udm.additional.fields 从变更日志映射
column106 (x-rs-file-category) event.idm.read_only_udm.additional.fields 从变更日志映射
column111 (x-rs-file-type) event.idm.read_only_udm.additional.fields 从变更日志映射
column9 (cs-uri) event.idm.read_only_udm.additional.fields 从变更日志映射
column4 (cs-content-type) event.idm.read_only_udm.additional.fields 从变更日志映射
column108 (x-rs-file-md5) event.idm.read_only_udm.principal.process.file.md5 从变更日志映射
column110 (x-rs-file-size) event.idm.read_only_udm.principal.file.size 从变更日志映射
column85 (x-policy-action) event.idm.read_only_udm.security_result.action_details 从变更日志映射
column20 (http_response_code) event.idm.read_only_udm.network.http.response_code 从变更日志映射
column1 (bytes) event.idm.read_only_udm.additional.fields 从变更日志映射
column3 (cs-bytes) event.idm.read_only_udm.network.sent_bytes 从变更日志映射
column18 (sc-bytes) event.idm.read_only_udm.network.received_bytes 从变更日志映射
column22 (time-taken) event.idm.read_only_udm.network.session_duration 从变更日志映射
column27 (x-c-latitude) event.idm.read_only_udm.principal.location.region_coordinates.latitude 从变更日志映射
column30 (x-c-longitude) event.idm.read_only_udm.principal.location.region_coordinates.longitude 从变更日志映射
column32 (x-c-region) event.idm.read_only_udm.principal.location.state 从变更日志映射
column57 (x-cs-dst-ip) event.idm.read_only_udm.intermediary.ip和event.idm.read_only_udm.intermediary.asset.ip之间 从变更日志映射
column74 (x-cs-ssl-ja3) event.idm.read_only_udm.network.tls.client.ja3 从变更日志映射
column115 (x-s-latitude) event.idm.read_only_udm.target.location.region_coordinates.latitude 从变更日志映射
column117 (x-s-longitude) event.idm.read_only_udm.target.location.region_coordinates.longitude 从变更日志映射
column118 (x-s-region) event.idm.read_only_udm.target.location.state 从变更日志映射
column7 (method) event.idm.read_only_udm.network.http.method 从变更日志映射
column12 (app_protocol) event.idm.read_only_udm.network.application_protocol 从变更日志映射
column13 (network_http_user_agent) event.idm.read_only_udm.network.http.user_agent 从变更日志映射
column17 (server_ip) event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从变更日志映射
column58 (intermediary_port) event.idm.read_only_udm.intermediary.port 从变更日志映射
column65 (x-cs-sni) event.idm.read_only_udm.network.tls.client.server_name 从变更日志映射
column70 (engine_action) event.idm.read_only_udm.security_result.action_details 从变更日志映射
column70 (engine_action) event.idm.read_only_udm.security_result.action 从变更日志映射
column76 (generated_timestamp) event.idm.read_only_udm.metadata.event_timestamp 从变更日志映射
column80 (x-cs-url) event.idm.read_only_udm.target.url 从变更日志映射
column83 (other_categories) event.idm.read_only_udm.security_result.category_details 从变更日志映射
column139 (x-ssl-policy-categories) event.idm.read_only_udm.security_result.category_details 从变更日志映射
column85 (x-policy-action) event.idm.read_only_udm.security_result.action 从变更日志映射
column91 (x-policy-name) event.idm.read_only_udm.security_result.rule_name 从变更日志映射
column96 (x-r-cert-issuer-cn) event.idm.read_only_udm.network.tls.server.certificate.issuer 从变更日志映射
column102 (x-r-cert-subject-cn) event.idm.read_only_udm.network.tls.server.certificate.subject 从变更日志映射
column112 (x-s-country) event.idm.read_only_udm.target.location.country_or_region 从变更日志映射
column133 (x-sr-ssl-ja3s) event.idm.read_only_udm.network.tls.server.ja3s 从变更日志映射
column136 (x-ssl-bypass) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column143 (x-ssl-policy-name) event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
column137 (x-ssl-bypass-reason) event.idm.read_only_udm.security_result.summary 从变更日志映射
column146 (x-type) event.idm.read_only_udm.metadata.product_event_type 从变更日志映射
column62 (x-cs-page-id) event.idm.read_only_udm.additional.fields 从变更日志映射
column63 (x-cs-session-id) event.idm.read_only_udm.additional.fields 从变更日志映射
column66 (x-cs-src-ip) event.idm.read_only_udm.additional.fields 从变更日志映射
column72 (x-cs-ssl-fronting-error) event.idm.read_only_udm.additional.fields 从变更日志映射
column73 (x-cs-ssl-handshake-error) event.idm.read_only_udm.additional.fields 从变更日志映射
column77 (x-cs-traffic-type) event.idm.read_only_udm.additional.fields 从变更日志映射
column82 (x-error) event.idm.read_only_udm.additional.fields 从变更日志映射
column86 (x-policy-dst-host) event.idm.read_only_udm.additional.fields 从变更日志映射
column87 (x-policy-dst-host-source) event.idm.read_only_udm.additional.fields 从变更日志映射
column94 (x-r-cert-expired) event.idm.read_only_udm.additional.fields 从变更日志映射
column95 (x-r-cert-incomplete-chain) event.idm.read_only_udm.additional.fields 从变更日志映射
column97 (x-r-cert-mismatch) event.idm.read_only_udm.additional.fields 从变更日志映射
column98 (x-r-cert-revocation-check) event.idm.read_only_udm.additional.fields 从变更日志映射
column99 (x-r-cert-revoked) event.idm.read_only_udm.additional.fields 从变更日志映射
column100 (x-r-cert-self-signed) event.idm.read_only_udm.additional.fields 从变更日志映射
column103 (x-r-cert-untrusted-root) event.idm.read_only_udm.additional.fields 从变更日志映射
column104 (x-r-cert-valid) event.idm.read_only_udm.additional.fields 从变更日志映射
column105 (x-request-id) event.idm.read_only_udm.additional.fields 从变更日志映射
column113 (x-s-custom-signing-ca-error) event.idm.read_only_udm.additional.fields 从变更日志映射
column114 (x-s-dp-name) event.idm.read_only_udm.additional.fields 从变更日志映射
column122 (x-sr-dst-ip) event.idm.read_only_udm.additional.fields 从变更日志映射
column128 (x-sr-ssl-cipher) event.idm.read_only_udm.additional.fields 从变更日志映射
column129 (x-sr-ssl-client-certificate-error) event.idm.read_only_udm.additional.fields 从变更日志映射
column130 (x-sr-ssl-engine-action) event.idm.read_only_udm.additional.fields 从变更日志映射
column131 (x-sr-ssl-engine-action-reason) event.idm.read_only_udm.additional.fields 从变更日志映射
column132 (x-sr-ssl-handshake-error) event.idm.read_only_udm.additional.fields 从变更日志映射
column134 (x-sr-ssl-malformed-ssl) event.idm.read_only_udm.additional.fields 从变更日志映射
column135 (x-sr-ssl-version) event.idm.read_only_udm.additional.fields 从变更日志映射
column138 (x-ssl-policy-action) event.idm.read_only_udm.additional.fields 从变更日志映射
column140 (x-ssl-policy-dst-host) event.idm.read_only_udm.additional.fields 从变更日志映射
column141 (x-ssl-policy-dst-host-source) event.idm.read_only_udm.additional.fields 从变更日志映射
column142 (x-ssl-policy-dst-ip) event.idm.read_only_udm.additional.fields 从变更日志映射
column8 (cs-referer) event.idm.read_only_udm.network.http.referral_url 从变更日志映射
column16 (http_response_code) event.idm.read_only_udm.network.http.response_code 从变更日志映射
column101 (x-r-cert-startdate) event.idm.read_only_udm.network.tls.server.certificate.not_before 从变更日志映射
column93 (x-r-cert-enddate) event.idm.read_only_udm.network.tls.server.certificate.not_after 从变更日志映射
column2 event.idm.read_only_udm.network.sent_bytes 从变更日志映射
cs_dns event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
cs_host event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 从变更日志映射
cs_method event.idm.read_only_udm.network.http.method 从变更日志映射
cs_referer event.idm.read_only_udm.network.http.referral_url 从变更日志映射
cs_uri_scheme event.idm.read_only_udm.network.application_protocol 从变更日志映射
cs-username event.idm.read_only_udm.principal.user.userid 从变更日志映射
timestamp event.idm.read_only_udm.metadata.event_timestamp 从变更日志映射
sc-status event.idm.read_only_udm.network.http.response_code 从变更日志映射
rs-status event.idm.read_only_udm.network.http.response_code 从变更日志映射
s-ip event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从变更日志映射
sc-bytes event.idm.read_only_udm.network.received_bytes 从变更日志映射
x-c-country event.idm.read_only_udm.principal.location.country_or_region 从变更日志映射
x-c-location event.idm.read_only_udm.principal.location.name 从变更日志映射
x-c-region event.idm.read_only_udm.principal.location.state 从变更日志映射
column49 event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 从变更日志映射
x_cs_dst_port event.idm.read_only_udm.target.port 从变更日志映射
x-cs-session-id event.idm.read_only_udm.network.session_id 从变更日志映射
column56 event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
column57 event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 从变更日志映射
x-cs-src-port event.idm.read_only_udm.principal.port 从变更日志映射
x-cs-ssl-ja3 event.idm.read_only_udm.network.tls.client.ja3 从变更日志映射
x-cs-ssl-version event.idm.read_only_udm.network.tls.version 从变更日志映射
column71 event.idm.read_only_udm.security_result.category_details 从变更日志映射
x-policy-action event.idm.read_only_udm.security_result.action_details 从变更日志映射
x-policy-name event.idm.read_only_udm.security_result.rule_name 从变更日志映射
x-ssl-policy-name event.idm.read_only_udm.security_result.rule_name 从变更日志映射
x-r-cert-subject-cn event.idm.read_only_udm.network.tls.server.certificate.subject 从变更日志映射
x-rs-file-sha256 event.idm.read_only_udm.principal.process.file.sha256 从变更日志映射
x-rs-file-size event.idm.read_only_udm.principal.file.size 从变更日志映射
x-s-country event.idm.read_only_udm.target.location.country_or_region 从变更日志映射
x-s-location event.idm.read_only_udm.target.location.name 从变更日志映射
x-sr-ssl-ja3s event.idm.read_only_udm.network.tls.server.ja3s 从变更日志映射
x_cs_connect_host event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_connect_port event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_connect_user_agent event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_ip_xff event.idm.read_only_udm.additional.fields 从变更日志映射
x-policy-justification-type event.idm.read_only_udm.additional.fields 从变更日志映射
x-sr-src-port event.idm.read_only_udm.additional.fields 从变更日志映射
cs-uri-port event.idm.read_only_udm.additional.fields 从变更日志映射
cs_uri event.idm.read_only_udm.additional.fields 从变更日志映射
cs_uri_query event.idm.read_only_udm.additional.fields 从变更日志映射
time_taken event.idm.read_only_udm.additional.fields 从变更日志映射
x-category event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-access-method event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-app event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-app-activity event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-app-category event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-app-cci event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-app-ccl event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-page-id event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-site event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-traffic-type event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-uri-path event.idm.read_only_udm.additional.fields 从变更日志映射
x-error event.idm.read_only_udm.additional.fields 从变更日志映射
x-request-id event.idm.read_only_udm.additional.fields 从变更日志映射
x-s-dp-name event.idm.read_only_udm.additional.fields 从变更日志映射
x-sc-notification-name event.idm.read_only_udm.additional.fields 从变更日志映射
x-transaction-id event.idm.read_only_udm.additional.fields 从变更日志映射
x-type event.idm.read_only_udm.additional.fields 从变更日志映射
x-cs-http-version event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-cs-ssl-engine-action event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-cs-ssl-engine-action-reason event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-cs-ssl-fronting-error event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-cs-ssl-handshake-error event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-cs-userip event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-policy-dst-host event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-policy-dst-host-source event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-policy-dst-ip event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-policy-src-ip event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-sr-ssl-engine-action event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-sr-ssl-engine-action-reason event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-ssl-policy-action event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-ssl-policy-dst-host event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-ssl-policy-dst-host-source event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-ssl-policy-dst-ip event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-ssl-policy-src-ip event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x-ssl-bypass-reason event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
SSL BYPASS REASON event.idm.read_only_udm.security_result.detection_fields 从变更日志映射
x_policy_name event.idm.read_only_udm.additional.fields 从变更日志映射
bytes event.idm.read_only_udm.additional.fields 从变更日志映射
x_s_dp_name event.idm.read_only_udm.additional.fields 从变更日志映射
rs_status event.idm.read_only_udm.additional.fields 从变更日志映射
postal_code event.idm.read_only_udm.additional.fields 从变更日志映射
internal_category event.idm.read_only_udm.additional.fields 从变更日志映射
accessMethod event.idm.read_only_udm.additional.fields 从变更日志映射
postal_code_num event.idm.read_only_udm.additional.fields 从变更日志映射
log_id event.idm.read_only_udm.metadata.product_log_id 从变更日志映射
http_version event.idm.read_only_udm.network.application_protocol_version 从变更日志映射
method event.idm.read_only_udm.network.http.method 从变更日志映射
int2 event.idm.read_only_udm.network.received_bytes 从变更日志映射
server_bytes event.idm.read_only_udm.network.received_bytes 从变更日志映射
bytes_received event.idm.read_only_udm.network.received_bytes 从变更日志映射
sent_bytes event.idm.read_only_udm.network.sent_bytes 从变更日志映射
int3 event.idm.read_only_udm.network.sent_bytes 从变更日志映射
cs-bytes event.idm.read_only_udm.network.sent_bytes 从变更日志映射
client_bytes event.idm.read_only_udm.network.sent_bytes 从变更日志映射
int1 event.idm.read_only_udm.network.session_duration.seconds 从变更日志映射
prin_ip event.idm.read_only_udm.principal.asset.ip 从变更日志映射
prin_ip event.idm.read_only_udm.principal.ip 从变更日志映射
city event.idm.read_only_udm.principal.location.city 从变更日志映射
location event.idm.read_only_udm.principal.location.country_or_region 从变更日志映射
src_latitude event.idm.read_only_udm.principal.location.region_coordinates.latitude 从变更日志映射
src_longitude event.idm.read_only_udm.principal.location.region_coordinates.longitude 从变更日志映射
latitude_region event.idm.read_only_udm.principal.location.region_coordinates.latitude 从变更日志映射
longitude_region event.idm.read_only_udm.principal.location.region_coordinates.longitude 从变更日志映射
p_application event.idm.read_only_udm.principal.application 从变更日志映射
state event.idm.read_only_udm.principal.location.state 从变更日志映射
state_location event.idm.read_only_udm.target.location.state 从变更日志映射
t_ip event.idm.read_only_udm.principal.nat_ip 从变更日志映射
p_port event.idm.read_only_udm.principal.nat_port 从变更日志映射
prin_port event.idm.read_only_udm.principal.port 从变更日志映射
target_host event.idm.read_only_udm.target.asset.hostname 从变更日志映射
target_ip event.idm.read_only_udm.target.asset.ip 从变更日志映射
tar_ip event.idm.read_only_udm.target.asset.ip 从变更日志映射
target_ip event.idm.read_only_udm.target.ip 从变更日志映射
tar_ip event.idm.read_only_udm.target.ip 从变更日志映射
target_host event.idm.read_only_udm.target.hostname 从变更日志映射
location_name event.idm.read_only_udm.target.location.city 从变更日志映射
dst_latitude event.idm.read_only_udm.target.location.region_coordinates.latitude 从变更日志映射
dst_longitude event.idm.read_only_udm.target.location.region_coordinates.longitude 从变更日志映射
latitude event.idm.read_only_udm.target.location.region_latitude 从变更日志映射
longitude event.idm.read_only_udm.target.location.region_longitude 从变更日志映射
name event.idm.read_only_udm.security_result.rule_name 从变更日志映射
summary_res event.idm.read_only_udm.security_result.summary 从变更日志映射
target_port event.idm.read_only_udm.target.port 从变更日志映射
dstport event.idm.read_only_udm.target.port 从变更日志映射
_id event.idm.read_only_udm.metadata.product_log_id 从变更日志映射
product_id event.idm.read_only_udm.metadata.product_log_id 从变更日志映射
url event.idm.read_only_udm.target.url 从变更日志映射
referer event.idm.read_only_udm.network.http.referral_url 从变更日志映射
organization_unit event.idm.read_only_udm.principal.administrative_domain 从变更日志映射
user_id event.idm.read_only_udm.principal.user.userid 从变更日志映射
cs_username event.idm.read_only_udm.principal.user.userid 从变更日志映射
useragent event.idm.read_only_udm.network.http.user_agent 从变更日志映射
cs_user_agent event.idm.read_only_udm.network.http.user_agent 从变更日志映射
useragent event.idm.read_only_udm.network.http.parsed_user_agent 从变更日志映射
cs_user_agent event.idm.read_only_udm.network.http.parsed_user_agent 从变更日志映射
session_duration event.idm.read_only_udm.network.session_duration.seconds 从变更日志映射
os_version event.idm.read_only_udm.principal.platform_version 从变更日志映射
os event.idm.read_only_udm.principal.platform 从变更日志映射
x_c_os event.idm.read_only_udm.principal.platform 从变更日志映射
ur_normalized event.idm.read_only_udm.target.user.email_addresses 从变更日志映射
browser_session_id event.idm.read_only_udm.network.session_id 从变更日志映射
x_cs_session_id event.idm.read_only_udm.network.session_id 从变更日志映射
malware_id event.idm.read_only_udm..threat_id 从变更日志映射
src_location event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
src_zipcode event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
src_geoip_src event.idm.read_only_udm.principal.resource.attribute.labels 从变更日志映射
ip_protocol event.idm.read_only_udm.network.ip_protocol 从变更日志映射
file_size event.idm.read_only_udm.principal.file.size 从变更日志映射
x_rs_file_size event.idm.read_only_udm.principal.file.size 从变更日志映射
file_type event.idm.read_only_udm.target.file.mime_type 从变更日志映射
srcip event.idm.read_only_udm.principal.ip 从变更日志映射
s_ip event.idm.read_only_udm.principal.ip 从变更日志映射
c_ip event.idm.read_only_udm.principal.ip 从变更日志映射
x_cs_src_ip event.idm.read_only_udm.principal.ip 从变更日志映射
srcip event.idm.read_only_udm.principal.asset.ip 从变更日志映射
s_ip event.idm.read_only_udm.principal.asset.ip 从变更日志映射
c_ip event.idm.read_only_udm.principal.asset.ip 从变更日志映射
x_cs_src_ip event.idm.read_only_udm.principal.asset.ip 从变更日志映射
srcport event.idm.read_only_udm.principal.port 从变更日志映射
x_cs_src_port event.idm.read_only_udm.principal.port 从变更日志映射
file_md5 event.idm.read_only_udm.principal.process.file.md5 从变更日志映射
x_rs_file_md5 event.idm.read_only_udm.principal.process.file.md5 从变更日志映射
computer_name event.idm.read_only_udm.principal.hostname 从变更日志映射
computer_name event.idm.read_only_udm.principal.asset.hostname 从变更日志映射
cs_dns event.idm.read_only_udm.principal.asset.hostname 从变更日志映射
cs_host event.idm.read_only_udm.principal.asset.hostname 从变更日志映射
device event.idm.read_only_udm.principal.resource.type 从变更日志映射
device event.idm.read_only_udm.principal.resource.resource_subtype 从变更日志映射
device_sn event.idm.read_only_udm.principal.resource.id 从变更日志映射
src_region event.idm.read_only_udm.principal.location.name 从变更日志映射
x_c_location event.idm.read_only_udm.principal.location.name 从变更日志映射
src_country event.idm.read_only_udm.principal.location.country_or_region 从变更日志映射
x_c_country event.idm.read_only_udm.principal.location.country_or_region 从变更日志映射
x_c_latitude event.idm.read_only_udm.principal.location.region_coordinates.latitude 从变更日志映射
x_c_longitude event.idm.read_only_udm.principal.location.region_coordinates.longitude 从变更日志映射
x_s_latitude event.idm.read_only_udm.target.location.region_coordinates.latitude 从变更日志映射
x_s_longitude event.idm.read_only_udm.target.location.region_coordinates.longitude 从变更日志映射
destination_file_path event.idm.read_only_udm.target.file.full_path 从变更日志映射
dlp_file event.idm.read_only_udm.target.file.full_path 从变更日志映射
sha256 event.idm.read_only_udm.target.file.sha256 从变更日志映射
md5 event.idm.read_only_udm.target.file.md5 从变更日志映射
dst_country event.idm.read_only_udm.target.location.country_or_region 从变更日志映射
x_s_country event.idm.read_only_udm.target.location.country_or_region 从变更日志映射
x_s_region event.idm.read_only_udm.target.location.state 从变更日志映射
dst_region event.idm.read_only_udm.target.location.name 从变更日志映射
x_s_location event.idm.read_only_udm.target.location.name 从变更日志映射
dst_zipcode event.idm.read_only_udm.target.resource.attribute.labels 从变更日志映射
dsthost event.idm.read_only_udm.target.ip 从变更日志映射
dstip event.idm.read_only_udm.target.ip 从变更日志映射
x_cs_dst_ip event.idm.read_only_udm.target.ip 从变更日志映射
dsthost event.idm.read_only_udm.target.asset.ip 从变更日志映射
dstip event.idm.read_only_udm.target.asset.ip 从变更日志映射
x_cs_dst_ip event.idm.read_only_udm.target.asset.ip 从变更日志映射
cci event.idm.read_only_udm..detection_fields 从变更日志映射
alert_type event.idm.read_only_udm..detection_fields 从变更日志映射
x_other_category_id event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_userip event.idm.read_only_udm..detection_fields 从变更日志映射
x_ssl_bypass event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_ssl_fronting_error event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_ssl_handshake_error event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_handshake_error event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_client_certificate_error event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_malformed_ssl event.idm.read_only_udm..detection_fields 从变更日志映射
x_s_custom_signing_ca_error event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_ssl_engine_action event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_ssl_engine_action_reason event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_engine_action event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_engine_action_reason event.idm.read_only_udm..detection_fields 从变更日志映射
x_ssl_policy_src_ip event.idm.read_only_udm..detection_fields 从变更日志映射
x_ssl_policy_dst_ip event.idm.read_only_udm..detection_fields 从变更日志映射
x_ssl_policy_dst_host event.idm.read_only_udm..detection_fields 从变更日志映射
x_ssl_policy_dst_host_source event.idm.read_only_udm..detection_fields 从变更日志映射
x_ssl_policy_action event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_version event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_ssl_cipher event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_src_ip_egress event.idm.read_only_udm..detection_fields 从变更日志映射
x_policy_src_ip event.idm.read_only_udm..detection_fields 从变更日志映射
x_policy_dst_ip event.idm.read_only_udm..detection_fields 从变更日志映射
x_policy_dst_host event.idm.read_only_udm..detection_fields 从变更日志映射
x_policy_dst_host_source event.idm.read_only_udm..detection_fields 从变更日志映射
x_policy_justification_type event.idm.read_only_udm..detection_fields 从变更日志映射
x_policy_justification_reason event.idm.read_only_udm..detection_fields 从变更日志映射
x_sc_notification_name event.idm.read_only_udm..detection_fields 从变更日志映射
x_cs_http_version event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_dst_ip event.idm.read_only_udm..detection_fields 从变更日志映射
x_sr_dst_port event.idm.read_only_udm..detection_fields 从变更日志映射
ccl event.idm.read_only_udm..confidence_details 从变更日志映射
ccl event.idm.read_only_udm..confidence 从变更日志映射
dlp_profile_name event.idm.read_only_udm..rule_type 从变更日志映射
policy_name event.idm.read_only_udm.additional.fields 从变更日志映射
dlp_fingerprint_classification event.idm.read_only_udm.additional.fields 从变更日志映射
dlp_fingerprint_score event.idm.read_only_udm.additional.fields 从变更日志映射
dlp_unique_count event.idm.read_only_udm.additional.fields 从变更日志映射
x_type event.idm.read_only_udm.additional.fields 从变更日志映射
x_transaction_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_client_ssl_err event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_domain_fronted_sni event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_tunnel_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_request_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_s_zipcode event.idm.read_only_udm.additional.fields 从变更日志映射
x_c_zipcode event.idm.read_only_udm.additional.fields 从变更日志映射
x_c_browser event.idm.read_only_udm.additional.fields 从变更日志映射
x_c_browser_version event.idm.read_only_udm.additional.fields 从变更日志映射
x_c_device event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_site event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_page_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_traffic_type event.idm.read_only_udm.additional.fields 从变更日志映射
x_category_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_category event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_valid event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_expired event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_untrusted_root event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_incomplete_chain event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_self_signed event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_revoked event.idm.read_only_udm.additional.fields 从变更日志映射
x_rs_file_type event.idm.read_only_udm.additional.fields 从变更日志映射
x_rs_file_category event.idm.read_only_udm.additional.fields 从变更日志映射
x_rs_file_language event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_revocation_check event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_category event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_cci event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_ccl event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_tags event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_suite event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_instance_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_instance_name event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_instance_tag event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_activity event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_from_user event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_to_user event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_object_type event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_object_name event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_app_object_id event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_uri_path event.idm.read_only_udm.additional.fields 从变更日志映射
x_r_cert_mismatch event.idm.read_only_udm.additional.fields 从变更日志映射
x_cs_access_method event.idm.read_only_udm.additional.fields 从变更日志映射
cs_uri_port event.idm.read_only_udm.additional.fields 从变更日志映射
cs_content_type event.idm.read_only_udm.additional.fields 从变更日志映射
sc_content_type event.idm.read_only_udm.additional.fields 从变更日志映射
app event.idm.read_only_udm.target.application 从变更日志映射
access_method event.idm.read_only_udm.extensions.auth.auth_details 从变更日志映射
action event.idm.read_only_udm..action 从变更日志映射
x_policy_action event.idm.read_only_udm..action 从变更日志映射
alert_name event.idm.read_only_udm..rule_name 从变更日志映射
x_ssl_policy_name event.idm.read_only_udm..rule_name 从变更日志映射
severity event.idm.read_only_udm..severity 从变更日志映射
activity event.idm.read_only_udm..description 从变更日志映射
appcategory event.idm.read_only_udm..category_details 从变更日志映射
x_ssl_policy_categories event.idm.read_only_udm..category_details 从变更日志映射
x_other_category event.idm.read_only_udm..category_details 从变更日志映射
sc_bytes event.idm.read_only_udm.network.received_bytes 从变更日志映射
cs_bytes event.idm.read_only_udm.network.sent_bytes 从变更日志映射
client_packets event.idm.read_only_udm.network.sent_packets 从变更日志映射
server_packets event.idm.read_only_udm.network.received_packets 从变更日志映射
appSessionId network.session_id 从变更日志映射
clientBytes network.sent_bytes 从变更日志映射
serverBytes network.received_bytes 从变更日志映射
ccl security_result.confidence_details 从变更日志映射
IncidentID", "applicationType", "browser", and "cci security_result.detection_fields 从变更日志映射
x-cs-app-ccl","x-cs-app-instance-id","x-cs-app-tags" ,"x-cs-app-instance-name" ,"x-cs-app-instance-tag", "x-cs-app-to-user","x-cs-app-object-id" and "x-cs-app-from-user additional.fields 从变更日志映射
dvchost target.hostname 从变更日志映射
duser target.user.email_addresses 从变更日志映射
requestClientApplication network.http.parsed_user_agent 从变更日志映射
Domain principal.administrative_domain 从变更日志映射

提醒事件

列号 日志字段 UDM 映射
1 _id metadata.product_log_id
2 access_method additional.fields
3 act_user principal.user.email_addresses
userid
4 action security_result.action
action_details
5 activity additional.fields
6 alert additional.fields
7 alert_name security_result.detection_fields
8 alert_type security_result.detection_fields
9 app principal.application
10 app-gdpr-level additional.fields
11 app_session_id additional.fields
12 appact additional.fields
13 appcategory additional.fields
14 appsuite additional.fields
15 audit_type additional.fields
16 bcc network.email.bcc
additional.fields
17 browser principal.browser.browser_type
18 browser_session_id additional.fields
19 cc network.email.cc
additional.fields
20 cci additional.fields
21 ccl additional.fields
22 client_bytes network.sent_bytes
23 client_packets network.sent_packets
24 cloud_provider additional.fields
25 computer_name principal.hostname
26 conn_duration additional.fields
27 conn_endtime additional.fields
28 conn_starttime additional.fields
29 connection_id network.session_id
30 connection_type additional.fields
31 custom_attr additional.fields
32 destination_file_directory additional.fields
33 destination_file_name target.file.names
34 destination_file_path target.file.full_path
35 device principal.platform
additional.fields
36 device_classification additional.fields
37 dinsid additional.fields
38 dlp_file target.file.full_path
39 dlp_fingerprint_classification additional.fields
40 dlp_fingerprint_score additional.fields
41 dlp_incident_id additional.fields
42 dlp_is_unique_count additional.fields
43 dlp_parent_id additional.fields
44 dlp_profile additional.fields
45 dlp_rule additional.fields
46 dlp_rule_count additional.fields
47 dlp_rule_severity additional.fields
48 dlp_unique_count additional.fields
49 dns_profile additional.fields
50 domain network.tls.client.server_name
51 domain_ip principal.ip
52 driver additional.fields
53 dst_country target.location.country_or_region
54 dst_geoip_src additional.fields
55 dst_latitude target.location.region_coordinates.latitude
56 dst_location target.location.city
57 dst_longitude target.location.region_coordinates.longitude
58 dst_region target.location.name
59 dst_timezone additional.fields
60 dst_zipcode target.resource.attribute.labels
61 dsthost target.hostname
62 dstip target.ip
63 dstport target.port
64 eeml additional.fields
65 email_from_user additional.fields
66 email_modified additional.fields
67 email_user additional.fields
68 encryption_status additional.fields
69 end_time additional.fields
70 file_md5 principal.file.md5
71 file_owner additional.fields
72 file_path principal.file.full_path
73 file_pdl additional.fields
74 file_size principal.file.size
75 file_type principal.file.mime_type
76 filepath additional.fields
77 fllg additional.fields
78 flpp additional.fields
79 from_user principal.user.email_addresses
additional.fields
80 hostname principal.hostname
81 incident_id additional.fields
82 instance additional.fields
83 instance_id additional.fields
84 ip_protocol network.ip_protocol
85 local_source_time additional.fields
86 location additional.fields
87 mal_sev additional.fields
88 managed_app additional.fields
89 managementID additional.fields
90 md5 additional.fields
91 mime_type additional.fields
92 netskope_pop additional.fields
93 network_session_id network.session_id
94 nsdeviceuid principal.asset.asset_id
95 num_users additional.fields
96 numbytes additional.fields
97 object additional.fields
98 object_id additional.fields
99 object_type additional.fields
100 org additional.fields
101 organization_unit principal.administrative_domain
102 os principal.platform
103 os_details additional.fields
104 os_family additional.fields
105 os_user_name additional.fields
106 os_version principal.platform_version
107 owner additional.fields
108 owner_pdl additional.fields
109 page additional.fields
110 parent_id additional.fields
111 pid principal.process.pid
112 policy security_result.rule_name
113 policy_action additional.fields
114 policy_name security_result.rule_name
115 policy_name_enforced additional.fields
116 process_cert_subject additional.fields
117 process_name principal.process.file.names
118 process_path principal.process.file.full_path
119 publisher_cn additional.fields
120 record_type additional.fields
121 referer network.http.referral_url
122 req additional.fields
123 req_cnt additional.fields
124 request_id additional.fields
125 resp additional.fields
126 resp_cnt additional.fields
127 risk_score additional.fields
128 sa_rule_compliance additional.fields
129 sanctioned_instance additional.fields
130 server_bytes network.received_bytes
131 server_packets network.received_packets
132 severity security_result.severity
133 session_duration network.session_duration
134 session_number_unique additional.fields
135 severity security_result.severity
136 sha256 principal.file.sha256
137 shared_with additional.fields
138 site additional.fields
139 smtp_to additional.fields
140 spet additional.fields
141 spst additional.fields
142 src_country principal.location.country_or_region
143 src_geoip_src principal.resource.attribute.labels
144 src_latitude principal.location.region_coordinates.latitude
145 src_location principal.location.city
146 src_longitude principal.location.region_coordinates.longitude
147 src_network additional.fields
148 src_region principal.location.state
149 src_timezone additional.fields
150 src_zipcode principal.resource.attribute.labels
151 srcip principal.ip
152 srcport principal.port
153 start_time additional.fields
154 subtype additional.fields
155 tags additional.fields
156 telemetry_app additional.fields
157 thr additional.fields
158 threat_type additional.fields
159 timestamp additional.fields
160 to_user additional.fields
161 total_packets additional.fields
162 traffic_type additional.fields
163 transaction_id additional.fields
164 tss_mode additional.fields
165 tunnel_id additional.fields
166 tur additional.fields
167 type additional.fields
168 ur_normalized additional.fields
169 url target.url
170 user additional.fields
171 user_confidence_index additional.fields
172 user_confidence_level additional.fields
173 user_id additional.fields
174 useragent network.http.user_agent
network.http.parsed_user_agent
175 userip additional.fields
176 userkey principal.user.email_addresses
177 oauth additional.fields
178 response_time additional.fields
179 device_sn principal.resource.product_object_id
180 device_type additional.fields
181 dlp_profile_name security_result.rule_type
182 executable_hash additional.fields
183 executable_signed additional.fields
184 file_origin additional.fields
185 policy_version additional.fields
186 port additional.fields
187 product_id metadata.product_log_id
188 unc_path additional.fields
189 vendor_id additional.fields
190 acting_user additional.fields
191 assignee target.user.userid
192 dlp_match_info additional.fields
193 inline_dlp_match_info additional.fields
194 latest_incident_id additional.fields
195 status additional.fields
196 violation additional.fields
197 account_id additional.fields
198 account_name additional.fields
199 acked additional.fields
200 alert_id additional.fields
201 alert_source additional.fields
202 breach_date additional.fields
203 breach_id additional.fields
204 breach_score additional.fields
205 detection_engine additional.fields
206 dlp_fingerprint_match additional.fields
207 dlp_rule_score additional.fields
208 email_title additional.fields
209 event_uuid additional.fields
210 file_category additional.fields
211 file_cls_encrypted additional.fields
212 file_exposure additional.fields
213 file_id additional.fields
214 filename additional.fields
215 iaas_remediated additional.fields
216 iaas_remediated_by additional.fields
217 iaas_remediated_on additional.fields
218 iaas_remediation_action additional.fields
219 instance_name additional.fields
220 loc additional.fields
221 local_md5 additional.fields
222 local_sha1 additional.fields
223 local_sha256 additional.fields
224 mal_id additional.fields
225 mal_type additional.fields
226 malware_id additional.fields
227 malware_severity additional.fields
228 malware_type additional.fields
229 message_id additional.fields
230 modified_date additional.fields
231 pop_id additional.fields
232 redirect_url additional.fields
233 region_id additional.fields
234 region_name additional.fields
235 resource_category additional.fields
236 resource_group additional.fields
237 risk_level_id additional.fields
238 sa_profile_name additional.fields
239 sa_rule_name additional.fields
240 sa_rule_severity additional.fields
241 sender additional.fields
242 severity_id additional.fields
243 severity_level additional.fields
244 shared_credential_user additional.fields
245 shared_domains additional.fields
246 sharedType additional.fields
247 smtp_status additional.fields
248 subject additional.fields
249 suppression_count additional.fields
250 tss_license additional.fields
251 two_factor_auth additional.fields
252 usergroup additional.fields
253 watchlist_name additional.fields
254 web_url additional.fields

Web 交易

第 1-146 列也可以用作其他架构。

列号 日志字段 UDM 映射
1 date metadata.timestamp
2 time metadata.timestamp
3 time-taken additional.fields
4 cs-bytes network.sent_bytes
5 sc-bytes network.received_bytes
6 bytes additional.fields
7 c-ip principal.ip
principal.asset.ip
8 s-ip target.ip
target.asset.ip
9 cs-username principal.user.userid
10 cs-method network.http.method
11 cs-uri-scheme network.application_protocol
12 cs-uri-query additional.fields
13 cs-user-agent network.http.user_agent
14 cs-content-type additional.fields
15 sc-status network.http.response_code
16 sc-content-type additional.fields
17 cs-dns target.hostname
18 cs-host target.hostname
19 cs-uri additional.fields
20 cs-uri-port additional.fields
21 cs-referer network.http.referral_url
22 x-cs-session-id network.session_id
23 x-cs-access-method additional.fields
24 x-cs-app principal.application
25 x-s-country target.location.country_or_region
26 x-s-latitude target.location.region_coordinates.latitude
27 x-s-longitude target.location.region_coordinates.longitude
28 x-s-location target.location.name
29 x-s-region target.location.state
30 x-s-zipcode additional.fields
31 x-c-country principal.location.country_or_region
32 x-c-latitude principal.location.region_coordinates.latitude
33 x-c-longitude principal.location.region_coordinates.longitude
34 x-c-location principal.location.name
35 x-c-region principal.location.state
36 x-c-zipcode additional.fields
37 x-c-os principal.platform
38 x-c-browser additional.fields
39 x-c-browser-version additional.fields
40 x-c-device additional.fields
41 x-cs-site additional.fields
42 x-cs-timestamp metadata.event_timestamp
43 x-cs-page-id additional.fields
44 x-cs-userip security_result.detection_fields
45 x-cs-traffic-type additional.fields
46 x-cs-tunnel-id additional.fields
47 x-category additional.fields
48 x-other-category security_resul.category_details
49 x-type additional.fields
50 x-server-ssl-err additional.fields
51 x-client-ssl-err additional.fields
52 x-transaction-id additional.fields
53 x-request-id additional.fields
54 x-cs-sni network.tls.client.server_name
55 x-cs-domain-fronted-sni additional.fields
56 x-category-id additional.fields
57 x-other-category-id security_result.detection_fields
58 x-sr-headers-name additional.fields
59 x-sr-headers-value additional.fields
60 x-cs-ssl-ja3 network.tls.client.ja3
61 x-sr-ssl-ja3s network.tls.server.ja3s
62 x-ssl-bypass additional.fields
63 x-ssl-bypass-reason additional.fields
64 x-r-cert-subject-cn network.tls.server.certificate.subject
65 x-r-cert-issuer-cn network.tls.server.certificate.issuer
66 x-r-cert-startdate network.tls.server.certificate.not_before
67 x-r-cert-enddate network.tls.server.certificate.not_after
68 x-r-cert-valid additional.fields
69 x-r-cert-expired additional.fields
70 x-r-cert-untrusted-root additional.fields
71 x-r-cert-incomplete-chain additional.fields
72 x-r-cert-self-signed additional.fields
73 x-r-cert-revoked additional.fields
74 x-r-cert-revocation-check additional.fields
75 x-r-cert-mismatch additional.fields
76 x-cs-ssl-fronting-error security_result.detection_fields
77 x-cs-ssl-handshake-error security_result.detection_fields
78 x-sr-ssl-handshake-error security_result.detection_fields
79 x-sr-ssl-client-certificate-error security_result.detection_fields
80 x-sr-ssl-malformed-ssl security_result.detection_fields
81 x-s-custom-signing-ca-error security_result.detection_fields
82 x-cs-ssl-engine-action security_result.detection_fields
83 x-cs-ssl-engine-action-reason security_result.detection_fields
84 x-sr-ssl-engine-action security_result.detection_fields
85 x-sr-ssl-engine-action-reason security_result.detection_fields
86 x-ssl-policy-src-ip security_result.detection_fields
87 x-ssl-policy-dst-ip security_result.detection_fields
88 x-ssl-policy-dst-host security_result.detection_fields
89 x-ssl-policy-dst-host-source security_result.detection_fields
90 x-ssl-policy-categories security_result.category_details
91 x-ssl-policy-action security_result.detection_fields
92 x-ssl-policy-name security_result.rule_name
93 x-cs-ssl-version network.tls.version
94 x-cs-ssl-cipher network.tls.cipher
95 x-sr-ssl-version security_result.detection_fields
96 x-sr-ssl-cipher security_result.detection_fields
97 x-cs-src-ip-egress security_result.detection_fields
98 x-s-dp-name additional.fields
99 x-cs-src-ip principal.ip
principal.asset.ip
100 x-cs-src-port principal.port
101 x-cs-dst-ip target.ip
102 x-cs-dst-port target.port
103 x-sr-src-ip security_result.detection_fields
104 x-sr-src-port additional.fields
105 x-sr-dst-ip security_result.detection_fields
106 x-sr-dst-port security_result.detection_fields
107 x-cs-ip-connect-xff additional.fields
108 x-cs-ip-xff additional.fields
109 x-cs-connect-host additional.fields
110 x-cs-connect-port additional.fields
111 x-cs-connect-user-agent additional.fields
112 x-cs-url target.url
113 x-cs-uri-path additional.fields
114 x-cs-http-version security_result.detection_fields
115 rs-status additional.fields
116 x-cs-app-category additional.fields
117 x-cs-app-cci additional.fields
118 x-cs-app-ccl additional.fields
119 x-cs-app-tags additional.fields
120 x-cs-app-suite additional.fields
121 x-cs-app-instance-id additional.fields
122 x-cs-app-instance-name additional.fields
123 x-cs-app-instance-tag additional.fields
124 x-cs-app-activity additional.fields
125 x-cs-app-from-user additional.fields
126 x-cs-app-to-user additional.fields
127 x-cs-app-object-type additional.fields
128 x-cs-app-object-name additional.fields
129 x-cs-app-object-id additional.fields
130 x-rs-file-type principal.process.file.mime_type
131 x-rs-file-category additional.fields
132 x-rs-file-language additional.fields
133 x-rs-file-size principal.process.size
134 x-rs-file-md5 principal.process.file.md5
135 x-rs-file-sha256 principal.process.file.sha256
136 x-error additional.fields
137 x-c-local-time additional.fields
138 x-policy-action security_result.action
action_details
139 x-policy-name additional.fields
140 x-policy-src-ip security_result.detection_fields
141 x-policy-dst-ip security_result.detection_fields
142 x-policy-dst-host security_result.detection_fields
143 x-policy-dst-host-source security_result.detection_fields
144 x-policy-justification-type security_result.detection_fields
145 x-policy-justification-reason security_result.detection_fields
146 x-sc-notification-name security_result.detection_fields
147 sr-bytes additional.fields
148 rs-bytes additional.fields
149 x-action additional.fields
150 x-action-reason additional.fields
151 x-c-authn-user additional.fields
152 x-c-authn-source additional.fields
153 x-c-authn-surrogate additional.fields
154 x-c-authn-surrogate-status additional.fields
155 x-c-authz-groups additional.fields
156 x-c-authz-ou additional.fields
157 x-cs-xau additional.fields
158 x-cs-connect-xau additional.fields
159 x-c-user-confidence-index additional.fields
160 x-c-hostname additional.fields
161 x-c-device-uid principal.asset.asset_id
162 x-c-os-family additional.fields
163 x-c-os-version principal.platform_version
164 x-c-nsclient-version metadata.product_version
165 x-c-nsclient-client-profile additional.fields
166 x-c-nsclient-steering-profile additional.fields
167 x-c-device-classification additional.fields
168 x-cs-nsclient-tunnel-type additional.fields
169 x-cs-process principal.process.file.full_path
170 x-cs-pid principal.process.pid
171 x-cs-parent-process principal.process.parent_process.file.full_path
172 x-cs-ppid principal.process.parent_process.pid
173 x-tp-result additional.fields
174 x-tp-engine additional.fields
175 x-tp-malware-name additional.fields
176 x-tp-severity additional.fields
177 x-sr-forward-dest additional.fields
178 x-ssl-policy-issuer additional.fields
179 x-eip-policy-name additional.fields
180 x-eip-policy-footprint additional.fields
181 x-policy-categories additional.fields
182 x-c-timezone additional.fields
183 x-support additional.fields
184 x-r-country additional.fields
185 x-r-latitude additional.fields
186 x-r-longitude additional.fields
187 x-r-location additional.fields
188 x-r-region additional.fields
189 x-r-zipcode additional.fields
190 x-c-authz-source additional.fields
191 x-cs-app-instance-tags additional.fields
192 x-cs-ssl-malformed-ssl additional.fields
193 x-cs-access-proxy additional.fields
194 x-c-local-timestamp additional.fields
195 x-r-cert-start network.tls.server.certificate.not_before
196 x-r-cert-end network.tls.server.certificate.not_after
197 x-tenant-id additional.fields

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。