收集 Trend Micro Vision One 日志

支持的平台：

本文档介绍了如何通过设置 Google Security Operations Feed 来收集 Trend Micro Vision One 日志。解析器会将提醒、事件数据、容器漏洞、活动数据和审核日志推送到由趋势科技管理的 AWS S3 存储分区。Google SecOps 大约每 15 分钟使用一次数据 Feed 来检索此数据。S3 存储分区中未检索的数据会保留 7 天，然后会被清除。

您可以在 Google SecOps 中创建多个 Feed，并单独配置使用这些 Feed 获取的数据。

准备工作

  • 确保您拥有 Google SecOps 实例。
  • 确保您拥有 Trend Micro Vision One 的特权访问权限。

将 Trend Vision One 数据导出到 Google SecOps

  1. 在 Trend Vision One 控制台中，生成访问密钥并指定要发送给 Google SecOps 的数据。
  2. 依次前往工作流和 Automation> 第三方集成。
  3. 在集成列中，点击 Google Security Operations。
  4. 在访问密钥下，点击生成密钥以生成访问密钥 ID 和私有访问密钥。保存访问密钥 ID 和私有访问密钥以供日后使用。
  5. 在数据转移下，开启您要发送到 S3 存储分区的数据旁边的开关。每次启用数据转移时，系统都会生成一个 S3 URI，并开始将数据发送到相应的 S3 存储桶。复制并存储 S3 URI 以备后用。
  6. 对于活动和活动数据，点击修改可修改数据范围。
  7. 如需停止向 Google SecOps 发送某种类型的数据，请关闭相应数据旁边的切换开关。 重新启用数据转移功能会生成新的 S3 URI。您需要在 Google SecOps 中配置新的 Feed。

在 Google SecOps 中配置 Feed 以注入 Trend Micro Vision One 日志

  1. 依次前往 SIEM 设置 > Feed。
  2. 点击新增。
  3. 在Feed 名称字段中，输入 Feed 的名称，例如 Trend Micro Vision One Workbench Logs。
  4. 选择 Amazon S3 V2 作为来源类型。
  5. 选择您希望 Google SecOps 注入的 Trend Vision One 数据作为日志类型。可用的选项包括：
    • Trend Micro Vision One
    • Trend Micro Vision One 活动
    • Trend Micro Vision One Audit
    • Trend Micro Vision One Container Vulnerabilities
    • Trend Micro Vision One 检测
    • Trend Micro Vision One 观察到的攻击技术
    • Trend Micro Vision One Workbench
  6. 点击下一步。
  7. 为以下输入参数指定值：
    • S3 URI：输入在上一部分中获取的 S3 URI。
    • 源删除选项：选择永不删除文件。
    • 文件存在时间上限：包含在过去指定天数内修改的文件。默认值为 180 天。
    • 访问密钥 ID：输入在上一部分中获取的用户访问密钥。
    • 私有访问密钥：输入在上一部分中获取的具有 S3 存储桶访问权限的用户私有密钥。
    • 资源命名空间：资源命名空间。
    • 注入标签：要应用于此 Feed 中事件的标签。
  8. 点击下一步。
  9. 在最终确定界面中查看新的 Feed 配置，然后点击提交。

重复此流程，为要注入到 Google SecOps 中的所有 Trend Vision One 数据类型添加多个 Feed。

UDM 映射表

日志字段 UDM 映射 逻辑
message about 已映射：CEF: → about
deviceNtDomain about.administrative_domain 已重命名/已映射
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name 直接映射
sslCertSerialNumber about.artifact.last_https_certificate.serial_number 直接映射
sslCertFingerprint about.artifact.last_https_certificate.thumbprint 直接映射
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time 直接映射
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time 已合并
deviceExternalId about.asset.asset_id 直接映射
device_product about.asset.asset_id 直接映射
device_vendor about.asset.asset_id 直接映射
fileHash about.file.full_path 直接映射
filePath about.file.full_path 已重命名/已映射
_hash about.file.sha256 已重命名/已映射
fileHash about.file.sha256 已重命名/已映射
fileSize about.file.size 已重命名/已映射
fsize about.file.size 已重命名/已映射
dvchost about.hostname 已重命名/已映射
ips about.ip 已合并
message about.ip 已映射：CEF: → ips
dvc_mac about.mac 已映射：slot → mac_address
dvcmac about.mac 已合并
mac_address about.mac 已合并
message about.mac 已映射：CEF: → mac_address、CEF: → dvcmac
deviceTranslatedAddress about.nat_ip 已合并
message about.nat_ip 已映射：CEF: → deviceTranslatedAddress
Emne about.process.command_line 直接映射
Path about.process.command_line 直接映射
Subject about.process.command_line 直接映射
deviceProcessName about.process.command_line 已重命名/已映射
dvcpid about.process.pid 已重命名/已映射
message about.resource.attribute.permissions 已映射：CEF: → permissions
permissions about.resource.attribute.permissions 已合并
_field additional.fields 已合并
accountCount_label additional.fields 已合并
additional_cfp1 additional.fields 已合并
additional_cfp2 additional.fields 已合并
additional_cfp3 additional.fields 已合并
additional_cfp4 additional.fields 已合并
additional_cn1 additional.fields 已合并
additional_cn2 additional.fields 已合并
additional_cn3 additional.fields 已合并
additional_cs1 additional.fields 已合并
additional_cs2 additional.fields 已合并
additional_cs3 additional.fields 已合并
additional_cs4 additional.fields 已合并
additional_cs5 additional.fields 已合并
additional_cs6 additional.fields 已合并
additional_cs7 additional.fields 已合并
additional_devicePayloadId additional.fields 已合并
additional_eventId additional.fields 已合并
additional_eventSourceType additional.fields 已合并
additional_eventSubId additional.fields 已合并
additional_flexString1 additional.fields 已合并
additional_fname additional.fields 已合并
additional_integrityLevel additional.fields 已合并
additional_objectFileHashId additional.fields 已合并
additional_objectFirstSeen additional.fields 已合并
additional_objectHashId additional.fields 已合并
additional_objectLastSeen additional.fields 已合并
additional_objectLaunchTime additional.fields 已合并
additional_objectName additional.fields 已合并
additional_objectRunAsLocalAccount additional.fields 已合并
additional_objectSigner additional.fields 已合并
additional_objectSignerValid additional.fields 已合并
additional_objectUser additional.fields 已合并
additional_objectUserDomain additional.fields 已合并
additional_osType additional.fields 已合并
additional_parentName additional.fields 已合并
additional_parentSigner additional.fields 已合并
additional_parentSignerValid additional.fields 已合并
additional_parentUser additional.fields 已合并
additional_parentUserDomain additional.fields 已合并
additional_plang additional.fields 已合并
additional_pplat additional.fields 已合并
additional_processHashId additional.fields 已合并
additional_processLaunchTime additional.fields 已合并
additional_processTrueType additional.fields 已合并
additional_processUser additional.fields 已合并
additional_processUserDomain additional.fields 已合并
additional_productCode additional.fields 已合并
additional_searchDL additional.fields 已合并
additional_srcFirstSeen additional.fields 已合并
additional_srcHashId additional.fields 已合并
additional_srcLastSeen additional.fields 已合并
additional_uuid additional.fields 已合并
alertProvider_label additional.fields 已合并
caseId_label additional.fields 已合并
clientIp_label additional.fields 已合并
cloudIdentityCount_label additional.fields 已合并
containerCount_label additional.fields 已合并
cs2 additional.fields 已映射：arc_test → additional_cs2
cs5_label additional.fields 已合并
desktopCount_label additional.fields 已合并
detail_channel_label additional.fields 已合并
detail_engineOperation_label additional.fields 已合并
detail_objectLaunchTime_label additional.fields 已合并
detectionTime_label additional.fields 已合并
emailAddressCount_label additional.fields 已合并
endpoint_ip_label additional.fields 已合并
endpoint_object_guid_label additional.fields 已合并
engVer_label additional.fields 已合并
entity_entityValue_label additional.fields 已合并
entity_guid_value_label additional.fields 已合并
entity_managementScopeGroupId_label additional.fields 已合并
entity_managementScopeInstanceId_label additional.fields 已合并
entity_managementScopePartitionKey_label additional.fields 已合并
entity_type_label additional.fields 已合并
eventSourceType_label additional.fields 已合并
eventSubName_label additional.fields 已合并
filePathName_label additional.fields 已合并
incidentId_label additional.fields 已合并
ingestionTime_label additional.fields 已合并
instance_id_label additional.fields 已合并
key additional.fields 已映射："device_Facility", "ApexCentral_Host" → _field
level_label additional.fields 已合并
logKey_label additional.fields 已合并
logReceivedTime_label additional.fields 已合并
matchedDateTime_label additional.fields 已合并
matched_filter_id_label additional.fields 已合并
message additional.fields 映射值（总共 109 个，例如 CEF: → _field、CEF: → additional_eventId、CEF: → `a...
modelId_label additional.fields 已合并
modelType_label additional.fields 已合并
model_label additional.fields 已合并
object_guid_label additional.fields 已合并
objects_label additional.fields 已合并
pname_additional_label additional.fields 已合并
process_cmd_label additional.fields 已合并
process_file_hash_sha1_label additional.fields 已合并
process_file_hash_sha256_label additional.fields 已合并
process_file_path_label additional.fields 已合并
process_file_size_label additional.fields 已合并
process_hash_id_label additional.fields 已合并
process_launch_time_label additional.fields 已合并
process_pid_label additional.fields 已合并
process_user_label additional.fields 已合并
provenance_data additional.fields 已合并
reportLink_label additional.fields 已合并
rtHour_label additional.fields 已合并
rtWeekDay_label additional.fields 已合并
schema_version_label additional.fields 已合并
senderGUID_label additional.fields 已合并
serverCount_label additional.fields 已合并
serverIp_label additional.fields 已合并
status_label additional.fields 已合并
has_user extensions.auth.type 已映射：true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type 已映射：CEF: → AUTHTYPE_UNSPECIFIED
message intermediary 已映射：CEF: → intermediary
inter_host intermediary.hostname 直接映射
Model metadata.description 直接映射
description metadata.description 直接映射
eventSubName metadata.description 直接映射
msg metadata.description 已重命名/已映射
Generated metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss
createdDateTime metadata.event_timestamp 解析为 ISO8601
detail.eventTime metadata.event_timestamp 解析为 UNIX_MS
detectedDateTime metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ssZ
detectionTime metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ssZ
firstSeen metadata.event_timestamp 解析为 UNIX_MS
ingestedDateTime metadata.event_timestamp 解析为 ISO8601
lastSeen metadata.event_timestamp 解析为 UNIX_MS
loggedDateTime metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ssZ
processFileModifiedTime metadata.event_timestamp 解析为 UNIX_MS
rt metadata.event_timestamp 解析为 UNIX_MS
sslCertValidFrom metadata.event_timestamp 解析为 ISO8601
sslCertValidUntil metadata.event_timestamp 解析为 ISO8601
unix_logReceivedTime metadata.event_timestamp 解析为 UNIX_MS
updatedDateTime metadata.event_timestamp 解析为 ISO8601
utc metadata.event_timestamp 解析为 yyyy-MM-ddTHH:mm:ss.SSSZ
event_name metadata.event_type 已映射："LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type 已映射：true → USER_LOGIN、true → USER_UNCATEGORIZED
message metadata.event_type 映射值（共 8 个，例如 CEF: → SCAN_UNCATEGORIZED、CEF: → STATUS_UPDATE、CEF:...
principal_present metadata.event_type 已映射：true → PROCESS_UNCATEGORIZED、true → NETWORK_CONNECTION、true → `PROCESS_L...
activity metadata.product_event_type 直接映射
device_event_class_id metadata.product_event_type 直接映射
event_name metadata.product_event_type 直接映射
type metadata.product_event_type 直接映射
WorkbenchID metadata.product_log_id 直接映射
detail.uuid metadata.product_log_id 直接映射
e_ID metadata.product_log_id 直接映射
externalId metadata.product_log_id 直接映射
id metadata.product_log_id 直接映射
detail.mpname metadata.product_name 直接映射
device_product metadata.product_name 直接映射
message metadata.product_name 已映射：CEF: → Vision One
detail.mpver metadata.product_version 直接映射
device_version metadata.product_version 直接映射
device_vendor metadata.vendor_name 已重命名/已映射
message metadata.vendor_name 已映射：CEF: → Trend Micro
app_protocol_output network.application_protocol 直接映射
deviceDirection network.direction 已映射：0 → INBOUND，1 → OUTBOUND
message network.direction 已映射：CEF: → INBOUND、CEF: → OUTBOUND
object.CustomValue network.email.from 直接映射
message network.email.subject 已映射：CEF: → title
title network.email.subject 已合并
message network.email.to 已映射：CEF: → object.CustomValue
object.CustomValue network.email.to 已合并
objecttype network.email.to 已映射：email_forward → object.CustomValue
requestMethod network.http.method 已重命名/已映射
Link network.http.referral_url 直接映射
requestClientApplication network.http.user_agent 已重命名/已映射
userAgent network.http.user_agent 直接映射
ip_protocol_out network.ip_protocol 直接映射
in network.received_bytes 已重命名/已映射
out network.sent_bytes 已重命名/已映射
sessionId network.session_id 直接映射
tlsSelectedCipher network.tls.cipher 直接映射
ja3Hash network.tls.client.ja3 直接映射
ja3sHash network.tls.server.ja3s 直接映射
detail.mDeviceGUID observer.asset.asset_id 直接映射
detail.dvchost observer.hostname 直接映射
ip observer.ip 已合并
message observer.ip 已映射：CEF: → ip
account_domain principal.administrative_domain 直接映射
sntdom principal.administrative_domain 已重命名/已映射
userDomain principal.administrative_domain 直接映射
userDomain.0 principal.administrative_domain 直接映射
application principal.application 已重命名/已映射
sourceServiceName principal.application 已重命名/已映射
detail.endpointGuid principal.asset.asset_id 直接映射
endpoint.agentGuid principal.asset.asset_id 直接映射
mDeviceGUID principal.asset.asset_id 直接映射
entityName_label principal.asset.attribute.labels 已合并
message principal.asset.attribute.labels 已映射：CEF: → entityName_label
endpoint.name principal.asset.hostname 直接映射
endpointHostName principal.asset.hostname 直接映射
object_hostname principal.asset.hostname 直接映射
shost principal.asset.hostname 直接映射
Appliance_IP_address principal.asset.ip 已合并
IP_address principal.asset.ip 已合并
ip principal.asset.ip 已合并
ip_src_value principal.asset.ip 已合并
message principal.asset.ip 映射的值（总共 7 个，例如 CEF: → IP_address、CEF: → Appliance_IP_address、CEF: ...
object_field principal.asset.ip 已映射：src → ip_src_value
shost principal.asset.ip 已合并
src principal.asset.ip 已合并
src_ip principal.asset.ip 已合并
endpointGuid principal.asset_id 直接映射
object_guid principal.asset_id 直接映射
detail.fullPath principal.file.full_path 直接映射
requestMimeType principal.file.mime_type 直接映射
indicator.value principal.file.sha1 直接映射
Group_name principal.group.group_display_name 直接映射
Gruppenavn principal.group.group_display_name 直接映射
clientGroup principal.group.group_display_name 直接映射
detail.groupId principal.group.product_object_id 直接映射
Device_name principal.hostname 直接映射
Enhetsnavn principal.hostname 直接映射
endpoint.name principal.hostname 直接映射
endpointHostName principal.hostname 直接映射
object_hostname principal.hostname 直接映射
shost principal.hostname 直接映射
Appliance_IP_address principal.ip 已合并
IP_address principal.ip 已合并
ip principal.ip 已合并
ip_src_value principal.ip 已合并
message principal.ip 映射值（共 8 个，例如 CEF: → IP_address、CEF: → Appliance_IP_address、CEF: ...
object_field principal.ip 已映射：src → ip_src_value
principal_ip principal.ip 已合并
shost principal.ip 已合并
src principal.ip 已合并
src_ip principal.ip 已合并
mac principal.mac 已合并
message principal.mac 已映射：CEF: → mac
message principal.nat_ip 已映射：CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip 已合并
sourceTranslatedPort principal.nat_port 已重命名/已映射
message principal.platform 已映射：CEF: → WINDOWS、CEF: → MAC、CEF: → LINUX
osName principal.platform 映射：(?i)windows → WINDOWS、(?i)Mac/iOS → MAC、(?)Lin → LINUX
osVer principal.platform_version 直接映射
platform_version principal.platform_version 直接映射
spt principal.port 已重命名/已映射
object.value principal.process.command_line 直接映射
processCmd principal.process.command_line 直接映射
process_cmd principal.process.command_line 直接映射
sproc principal.process.command_line 已重命名/已映射
detail.processName principal.process.file.full_path 直接映射
object.value principal.process.file.full_path 直接映射
processFilePath principal.process.file.full_path 直接映射
process_file_path principal.process.file.full_path 直接映射
processFileModifiedTime principal.process.file.last_modification_time 已重命名/已映射
detail.processFileHashMd5 principal.process.file.md5 直接映射
processFileHashMd5 principal.process.file.md5 直接映射
fileHash principal.process.file.sha1 直接映射
object.value principal.process.file.sha1 直接映射
processFileHashSha1 principal.process.file.sha1 直接映射
process_file_hash_sha1 principal.process.file.sha1 直接映射
fileHashSha256 principal.process.file.sha256 直接映射
processFileHashSha256 principal.process.file.sha256 直接映射
process_file_hash_sha256 principal.process.file.sha256 直接映射
processFileSize principal.process.file.size 已重命名/已映射
parentFilePath principal.process.parent_process.file.full_path 直接映射
parentFileHashMd5 principal.process.parent_process.file.md5 直接映射
parentFileHashSha1 principal.process.parent_process.file.sha1 直接映射
parentFileHashSha256 principal.process.parent_process.file.sha256 直接映射
parentPid principal.process.parent_process.pid 直接映射
processPid principal.process.pid 直接映射
process_pid principal.process.pid 直接映射
spid principal.process.pid 已重命名/已映射
message principal.resource.attribute.labels 已映射：CEF: → sourceLabel、CEF: → pname_label、CEF: → senderGUID_label
pname_label principal.resource.attribute.labels 已合并
senderGUID_label principal.resource.attribute.labels 已合并
sourceLabel principal.resource.attribute.labels 已合并
uuid principal.resource.product_object_id 直接映射
customer_name_label principal.user.attribute.labels 已合并
message principal.user.attribute.labels 已映射：CEF: → customer_name_label
message principal.user.attribute.roles 已映射：CEF: → principal_role、CEF: → roles
principal_role principal.user.attribute.roles 已合并
roles principal.user.attribute.roles 已合并
message principal.user.department 已映射：CEF: → userDepartment
userDepartment principal.user.department 已合并
details.identifier.email principal.user.email_addresses 已合并
entity.entityValue principal.user.email_addresses 已合并
message principal.user.email_addresses 映射：CEF: → details.identifier.email、CEF: → entity.entityValue、CEF: → `princi...
principalName principal.user.email_addresses 已合并
entity_entityValue principal.user.user_display_name 直接映射
loggedUser principal.user.user_display_name 直接映射
suser principal.user.user_display_name 直接映射
account principal.user.userid 直接映射
account_name principal.user.userid 直接映射
detail.suid principal.user.userid 直接映射
details.identifier.id principal.user.userid 直接映射
loggedUser principal.user.userid 直接映射
logonUser.0 principal.user.userid 直接映射
object.CustomValue principal.user.userid 直接映射
process_user principal.user.userid 直接映射
suid principal.user.userid 已重命名/已映射
security_id principal.user.windows_sid 直接映射
message security_result 映射的值（总共 5 个，例如 CEF: → security_result、CEF: → task_sec_res、CEF: → `...
sec security_result 已合并
sec_isEntity security_result 已合并
sec_res security_result 已合并
task_sec_res security_result 已合并
wasEntity.key security_result.about.file.full_path 直接映射
investigationResult security_result.about.investigation.comments 已合并
message security_result.about.investigation.comments 已映射：CEF: → investigationResult
investigationStatus security_result.about.investigation.status 映射：New → NEW、Closed → CLOSED、Open → OPEN、Reviewed → REVIEWED
message security_result.about.investigation.status 映射的值（总共 5 个，例如 CEF: → NEW、CEF: → CLOSED、CEF: → OPEN）
attr_value security_result.about.process.command_line 直接映射
_action security_result.action 已合并
act security_result.action 映射：accept → _action，deny → _action
action_data security_result.action 已合并
message security_result.action 已映射：CEF: → _action、CEF: → action_data、CEF: → security_result_action
object_field security_result.action 已映射：actResult → security_result_action
result security_result.action 映射：Successful → action_data，Unsuccess → action_data
security_result_action security_result.action 已合并
Action_Taken security_result.action_details 直接映射
act security_result.action_details 直接映射
actResult security_result.action_details 直接映射
detail.accessPermission security_result.action_details 直接映射
result security_result.action_details 直接映射
message security_result.attack_details.tactics 已映射：CEF: → tactics、CEF: → tactic
tactic security_result.attack_details.tactics 已合并
tactics security_result.attack_details.tactics 已合并
message security_result.attack_details.techniques 已映射：CEF: → techniques
techniques security_result.attack_details.techniques 已合并
act security_result.category 已映射：Block → event_category
event_category security_result.category 已合并
message security_result.category 已映射：CEF: → event_category
cat security_result.category_details 已合并
category security_result.category_details 已合并
detail.behaviorCat security_result.category_details 已合并
message security_result.category_details 已映射：CEF: → cat、CEF: → category、CEF: → detail.behaviorCat
Scan_Type security_result.description 直接映射
Type security_result.description 直接映射
filters.0.description security_result.description 直接映射
msg_data_2 security_result.description 直接映射
LogonID_label security_result.detection_fields 已合并
accessType_label security_result.detection_fields 已合并
access_right_label security_result.detection_fields 已合并
account_modified_name_label security_result.detection_fields 已合并
account_type_label security_result.detection_fields 已合并
activity_label security_result.detection_fields 已合并
attr_name security_result.detection_fields 映射：sha256 → sha256_label、startType → startType_label、state → state_label
evt_type_label security_result.detection_fields 已合并
filepath_label security_result.detection_fields 已合并
highlighted_field_label security_result.detection_fields 已合并
highlighted_type_label security_result.detection_fields 已合并
indicator_label security_result.detection_fields 已合并
infection_channel_label security_result.detection_fields 已合并
matched_event_uuid_label security_result.detection_fields 已合并
message security_result.detection_fields 映射的值（总共 30 个，例如 CEF: → operation_label、CEF: → operasjon_label、CEF:...）
mpver_label security_result.detection_fields 已合并
objecttype security_result.detection_fields 已映射：text → text_label
operasjon_label security_result.detection_fields 已合并
operation_label security_result.detection_fields 已合并
permission_label security_result.detection_fields 已合并
policy_id_label security_result.detection_fields 已合并
sha256_label security_result.detection_fields 已合并
spyware_Grayware_Type_label security_result.detection_fields 已合并
startType_label security_result.detection_fields 已合并
state_label security_result.detection_fields 已合并
subRuleId_label security_result.detection_fields 已合并
subRuleName_label security_result.detection_fields 已合并
tag_label security_result.detection_fields 已合并
text_label security_result.detection_fields 已合并
threat_probability_label security_result.detection_fields 已合并
tillatelse_label security_result.detection_fields 已合并
was_key_label security_result.detection_fields 已合并
winEventId_label security_result.detection_fields 已合并
createdDateTime security_result.first_discovered_time 已重命名/已映射
firstSeen security_result.first_discovered_time 已重命名/已映射
lastSeen security_result.last_discovered_time 已重命名/已映射
updatedDateTime security_result.last_updated_time 已重命名/已映射
Score security_result.risk_score 已重命名/已映射
score security_result.risk_score 已重命名/已映射
detail.ruleId security_result.rule_id 已重命名/已映射
detail.uuid security_result.rule_id 直接映射
filters.0.unique_id security_result.rule_id 直接映射
ruleUuid security_result.rule_id 已重命名/已映射
detail.ruleName security_result.rule_name 已重命名/已映射
filters.0.id security_result.rule_name 直接映射
mwProfile security_result.rule_name 直接映射
object.CustomValue security_result.rule_name 直接映射
ruleName security_result.rule_name 直接映射
filter.type security_result.rule_type 直接映射
ruleType security_result.rule_type 直接映射
message security_result.severity 映射的值（总共 5 个，例如 CEF: → LOW、CEF: → MEDIUM、CEF: → HIGH）
severity security_result.severity 映射的值（共 6 个，例如 "0", "1", "2", "3", "LOW" → LOW、`"4"、"5"、"6"、"MEDIUM"…）
filter.riskLevel security_result.severity_details 直接映射
Result security_result.summary 直接映射
appcategory security_result.summary 直接映射
filters.0.name security_result.summary 直接映射
reason security_result.summary 已重命名/已映射
Spyware security_result.threat_name 直接映射
Unknown_Threat security_result.threat_name 直接映射
Virus_Malware_Name security_result.threat_name 直接映射
object.value security_result.threat_name 直接映射
workbenchLink security_result.url_back_to_product 已重命名/已映射
oldFilePath src.file.full_path 已重命名/已映射
oldFileSize src.file.size 已重命名/已映射
message src.resource.attribute.permissions 已映射：CEF: → old_permissions
old_permissions src.resource.attribute.permissions 已合并
dntdom target.administrative_domain 已重命名/已映射
destinationServiceName target.application 已重命名/已映射
detail.deviceGUID target.asset.asset_id 直接映射
dst target.asset.ip 已合并
ip_dst_value target.asset.ip 已合并
message target.asset.ip 已映射：CEF: → dst、CEF: → ip_dst_value
object_field target.asset.ip 已映射：dst → ip_dst_value
object.CustomValue target.file.full_path 直接映射
object.value target.file.full_path 直接映射
value target.file.full_path 直接映射
object.CustomValue target.file.sha1 直接映射
object.value target.file.sha1 直接映射
detail.objectFileSize target.file.size 直接映射
message target.file.size 已映射：CEF: → uinteger
temp_dhost target.hostname 直接映射
IPv6_Address target.ip 已合并
dst target.ip 已合并
dst_ip target.ip 已合并
ip_dst_value target.ip 已合并
ipv6 target.ip 已映射：- → IPv6_Address
message target.ip 已映射：CEF: → dst_ip、CEF: → IPv6_Address、CEF: → dst、CEF: → ip_dst_value
object_field target.ip 已映射：dst → ip_dst_value
mac_address target.mac 已合并
message target.mac 已映射：CEF: → mac_address
destination_translated_address target.nat_ip 已合并
message target.nat_ip 已映射：CEF: → destination_translated_address
destinationTranslatedPort target.nat_port 已重命名/已映射
dpt target.port 已重命名/已映射
dproc target.process.command_line 已重命名/已映射
object.CustomValue target.process.command_line 直接映射
object.value target.process.command_line 直接映射
objectCmd target.process.command_line 直接映射
File_name target.process.file.full_path 直接映射
Infected_Resource target.process.file.full_path 直接映射
Object target.process.file.full_path 直接映射
Objekt target.process.file.full_path 直接映射
fileName target.process.file.full_path 直接映射
object.CustomValue target.process.file.full_path 直接映射
object.value target.process.file.full_path 直接映射
objectFilePath target.process.file.full_path 直接映射
objectFileHashMd5 target.process.file.md5 直接映射
object.CustomValue target.process.file.sha1 直接映射
object.value target.process.file.sha1 直接映射
objectFileHashSha1 target.process.file.sha1 直接映射
objectFileHashSha256 target.process.file.sha256 直接映射
object.CustomValue target.process.parent_process.command_line 直接映射
object.CustomValue target.process.parent_process.file.full_path 直接映射
object.CustomValue target.process.parent_process.file.sha1 直接映射
object.value target.process.parent_process.file.sha1 直接映射
dpid target.process.pid 已重命名/已映射
objectPid target.process.pid 直接映射
command_line_label target.resource.attribute.labels 已合并
dacDeviceType_label target.resource.attribute.labels 已合并
endpointGUID_label target.resource.attribute.labels 已合并
file_path_label target.resource.attribute.labels 已合并
file_sha1_label target.resource.attribute.labels 已合并
message target.resource.attribute.labels 映射值（总共 6 个，例如 CEF: → resource_Type_label、CEF: → dacDeviceType_label 等）
objecttype target.resource.attribute.labels 映射：command_line → command_line_label、file_sha1 → file_sha1_label、fullpath →...
resource_Type_label target.resource.attribute.labels 已合并
request target.url 直接映射
message target.user.attribute.roles 已映射：CEF: → target_role
target_role target.user.attribute.roles 已合并
CustomerName target.user.user_display_name 直接映射
temp_duser target.user.user_display_name 直接映射
Bruker target.user.userid 直接映射
User_value target.user.userid 直接映射
temp_duid target.user.userid 直接映射
不适用 extensions.auth.type 常量：AUTHTYPE_UNSPECIFIED
不适用 metadata.event_type 常量：SCAN_UNCATEGORIZED
不适用 metadata.product_name 常量：Vision One
不适用 metadata.vendor_name 常量：Trend Micro
不适用 network.direction 常量：INBOUND
不适用 principal.platform 常量：WINDOWS
不适用 security_result.about.investigation.status 常量：NEW
不适用 security_result.severity 常量：LOW

更新日志

查看相应解析器的更改日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。