我们已重新整理文档导航结构，使其与您的运营工作流程直接保持一致。如需了解详情，请参阅版本说明和演示视频。

Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。

收集 Windows Network Policy Server 日志

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 将 Windows 网络策略服务器 (NPS) 日志注入到 Google Security Operations。

Windows 网络策略服务器 (NPS) 是一种 Microsoft RADIUS 服务器，可为网络访问权限控制生成身份验证、授权和账号记录日志。Bindplane 代理直接从本地文件系统收集 NPS 账号日志文件和导出的事件日志。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，支持 observiq-otel-collector 服务
如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
对安装了网络策略服务器角色的 Windows Server 的管理员访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件。将该文件安全地保存在将要安装 Bindplane 的系统上。

注意：此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```

该服务应显示为 正在运行。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入日志并将其发送到 Google SecOps

找到配置文件

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
    filelog:
        include:
            - C:\Windows\System32\LogFiles\IN*.log
        start_at: beginning

exporters:
    chronicle/windows_nps:
        compression: gzip
        creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: WINDOWS_NET_POLICY_SERVER
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/nps_to_chronicle:
            receivers:
                - filelog
            exporters:
                - chronicle/windows_nps

配置参数

替换以下占位符：

接收器配置：
- filelog：用于从磁盘收集日志文件的接收器类型
- include：要监控的文件路径列表。将此属性设置为 NPS 统计日志文件（例如 C:\Windows\System32\LogFiles\IN*.log）或导出的事件日志（例如 C:\Logs\nps\*.evtx）的位置
- start_at：设置为 beginning 可读取现有日志，设置为 end 可仅读取新条目
导出器配置：
- windows_nps：导出器的描述性名称
- creds_file_path：提取身份验证文件的完整路径：
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>：上一步中的客户 ID
- endpoint：区域端点网址：
  - 美国：malachiteingestion-pa.googleapis.com
  - 欧洲：europe-malachiteingestion-pa.googleapis.com
  - 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需查看完整列表，请参阅区域级端点
- WINDOWS_NET_POLICY_SERVER：日志类型，与在 Chronicle 中显示的完全一致
- ingestion_labels：YAML 格式的可选标签（例如 env: production）
流水线配置：
- nps_to_chronicle：流水线的描述性名称

保存配置文件

修改后，保存文件：
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Windows 中重启 Bindplane 代理，请执行以下操作：

请从下列选项中选择一项：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击并选择重新启动。
验证服务是否正在运行：
```
sc query observiq-otel-collector
```

检查日志是否存在错误：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 Windows NPS 日志导出

Windows NPS 会生成两种类型的日志：存储在磁盘上的 NPS 统计信息日志文件（IAS 格式）和 Windows 事件日志中与 NPS 相关的事件。您可以收集其中一种数据，也可以同时收集这两种数据。

方法 1：收集 NPS 统计日志文件（默认）

默认情况下，NPS 结算日志文件存储在 C:\Windows\System32\LogFiles\` with filenames starting withIN(for example,IN2301.log 中。

依次打开服务器管理器 > 网络策略服务器。
依次前往会计> 配置会计。
验证是否已启用记录到文本文件（本地）。
请注意日志文件目录（默认：%systemroot%\system32\LogFiles）。
确保 config.yaml 中的 Bindplane 代理 include 路径与日志文件位置一致。

注意： NPS 结算日志使用 IAS 或 DTS 格式。默认 include 路径 C:\Windows\System32\LogFiles\IN*.log 符合标准 NPS 日志命名惯例。

方法 2：导出 NPS 事件日志

NPS 身份验证事件（事件 ID 为 6272-6280）会记录在 Windows 安全事件日志中。

创建一个目录来存储导出的日志文件：
```
mkdir C:\Logs\nps
```

使用 wevtutil 导出与 NPS 相关的安全事件：

wevtutil epl "Security" /q:"*[System[Provider[@Name='Microsoft-Windows-Security-Auditing'] and (EventID>=6272 and EventID<=6280)]]" C:\Logs\nps\nps-security.evtx

（可选）使用 Windows 任务计划程序安排定期导出：

$action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" /q:"*[System[Provider[@Name=''Microsoft-Windows-Security-Auditing''] and (EventID>=6272 and EventID<=6280)]]" C:\Logs\nps\nps-security.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportNPSLogs" -Description "Export Windows NPS logs for Bindplane agent"

更新 config.yaml 中的 Bindplane 代理 include 路径，使其匹配：
```
include:
    - C:\Logs\nps\*.evtx
```
注意： Bindplane 代理服务账号必须具有对日志目录的读取权限。

UDM 映射表

日志字段	UDM 映射	逻辑
`EventID`	`about`	映射的值（共 5 个，例如 `4800, 4801` → `session_about`、`5137, 5141` → `token_about...）
`SourceName`	`about`	映射的值（总共 6 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`about_host`	`about`	已合并
`about_token`	`about`	已合并
`jsonPayload_about`	`about`	已合并
`session_about`	`about`	已合并
`token_about`	`about`	已合并
`fqdn`	`about.administrative_domain`	直接映射
`param1`	`about.file.full_path`	直接映射
`DCDNSName`	`about.hostname`	直接映射
`LocalEMPrincipalName`	`about.hostname`	直接映射
`EventID`	`about.ip`	已映射：`4908, 4964` → `address`
`SourceName`	`about.ip`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `a...
`address`	`about.ip`	已合并
`EventID`	`about.labels`	映射的值（共 15 个，例如 `4625, 4776, 4794` → `keywords_label`、`4774, 4775` → `map...）
`ImpersonationLevel_label`	`about.labels`	已合并
`RestrictedAdminMode_label`	`about.labels`	已合并
`SourceName`	`about.labels`	映射的值（总共 23 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...”）
`additional_data_label`	`about.labels`	已合并
`audit_policy_changes_label`	`about.labels`	已合并
`ca_label`	`about.labels`	已合并
`category_label`	`about.labels`	已合并
`keywords_label`	`about.labels`	已合并
`labels0`	`about.labels`	已合并
`labels101`	`about.labels`	已合并
`labels202`	`about.labels`	已合并
`labels401`	`about.labels`	已合并
`level_label`	`about.labels`	已合并
`mapped_name_label`	`about.labels`	已合并
`mapping_by_label`	`about.labels`	已合并
`mapping_channel`	`about.labels`	已合并
`mapping_opcode`	`about.labels`	已合并
`system_keyword_label`	`about.labels`	已合并
`task_label`	`about.labels`	已合并
`thread_id_label`	`about.labels`	已合并
`value_is_near_0`	`about.labels`	已映射：`true` → `labels101`
`value_is_near_1`	`about.labels`	已映射：`true` → `labels202`
`version_label`	`about.labels`	已合并
`param3`	`about.registry.registry_key`	直接映射
`EventID`	`about.resource.attribute.labels`	已映射：`4908, 4964` → `label_for_resource_attribute`
`SourceName`	`about.resource.attribute.labels`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `l...
`label_for_resource_attribute`	`about.resource.attribute.labels`	已合并
`ProviderName`	`about.resource.name`	直接映射
`ProviderKey`	`about.resource.product_object_id`	直接映射
`temp`	`about.resource.product_object_id`	直接映射
`Url`	`about.url`	直接映射
`cacheDenyUrls`	`about.url`	直接映射
`EventID`	`about.user.attribute.labels`	已映射：`4765, 4766` → `about_user_label`、`4908, 4964` → `about_user_label`、` 4908, ...
`SourceName`	`about.user.attribute.labels`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `a...
`about_user_label`	`about.user.attribute.labels`	已合并
`label_for_user_attribute`	`about.user.attribute.labels`	已合并
`SourceUserName`	`about.user.userid`	直接映射
`about_user_windows_sid`	`about.user.windows_sid`	直接映射
`EventID`	`additiona.fields`	映射：`4908, 4964` → `function_label`，`4104, 4105` → `function_label`
`SourceName`	`additiona.fields`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `f...
`function_label`	`additiona.fields`	已合并
`AccountAvailableKeys_label`	`additional.fields`	已合并
`AccountSupportedEncryptionTypes_label`	`additional.fields`	已合并
`ActiveProfile_label`	`additional.fields`	已合并
`AdvancedOptions_label`	`additional.fields`	已合并
`AppCorrelationID_label`	`additional.fields`	已合并
`AppId_label`	`additional.fields`	已合并
`AttributeSyntaxOID_label`	`additional.fields`	已合并
`AuditResult_label`	`additional.fields`	已合并
`AuditType_label`	`additional.fields`	已合并
`AuthProtocol_label`	`additional.fields`	已合并
`Binding_type_label`	`additional.fields`	已合并
`Cache_Control_label`	`additional.fields`	已合并
`ClaimsProvider_label`	`additional.fields`	已合并
`ClientAdvertizedEncryptionTypes_label`	`additional.fields`	已合并
`ClientCreationTime_label`	`additional.fields`	已合并
`CommandName_label`	`additional.fields`	已合并
`CommandType_label`	`additional.fields`	已合并
`ConfigAccessPolicy_label`	`additional.fields`	已合并
`ConfiguredNames_label`	`additional.fields`	已合并
`Connection_label`	`additional.fields`	已合并
`Content_Type_label`	`additional.fields`	已合并
`DCAvailableKeys_label`	`additional.fields`	已合并
`DCSupportedEncryptionTypes_label`	`additional.fields`	已合并
`DN_label`	`additional.fields`	已合并
`DSType_label`	`additional.fields`	已合并
`DetailSequence_label`	`additional.fields`	已合并
`DetailTotal_label`	`additional.fields`	已合并
`Details_label`	`additional.fields`	已合并
`DeviceAuth_label`	`additional.fields`	已合并
`DeviceId_label`	`additional.fields`	已合并
`DirectiveName_label`	`additional.fields`	已合并
`DisableIntegrityChecks_label`	`additional.fields`	已合并
`Endpoint_label`	`additional.fields`	已合并
`EngineVersion_label`	`additional.fields`	已合并
`ErrorCode_label`	`additional.fields`	已合并
`EventID`	`additional.fields`	映射的值（总共 420 个，例如 `4719` → `additional_field_task_category`、4692、4693、4694...)
`FQDN_label`	`additional.fields`	已合并
`FWLink_label`	`additional.fields`	已合并
`FailureType_label`	`additional.fields`	已合并
`FaultingApplicationPath_label`	`additional.fields`	已合并
`FaultingModulePath_label`	`additional.fields`	已合并
`FlightSigning_label`	`additional.fields`	已合并
`ForwardedIpAddress_label`	`additional.fields`	已合并
`GroupPolicyApplied_label`	`additional.fields`	已合并
`HandleId_label`	`additional.fields`	已合并
`HandleId_label_1`	`additional.fields`	已合并
`HostID_label`	`additional.fields`	已合并
`HostId_label`	`additional.fields`	已合并
`HostName_label`	`additional.fields`	已合并
`HostVersion_label`	`additional.fields`	已合并
`Host_label`	`additional.fields`	已合并
`HypervisorDebug_label`	`additional.fields`	已合并
`HypervisorLaunchType_label`	`additional.fields`	已合并
`HypervisorLoadOptions_label`	`additional.fields`	已合并
`ImpersonationLevel_label`	`additional.fields`	已合并
`IpAddress_label`	`additional.fields`	已合并
`KernelDebug_label`	`additional.fields`	已合并
`KeyLength_label`	`additional.fields`	已合并
`LmPackageName_label`	`additional.fields`	已合并
`LoadOptions_label`	`additional.fields`	已合并
`LogDroppedPacketsEnabled_label`	`additional.fields`	已合并
`LogSuccessfulConnectionsEnabled_label`	`additional.fields`	已合并
`MandatoryLabel_label`	`additional.fields`	已合并
`MessageNumber_label`	`additional.fields`	已合并
`MessageTotal_label`	`additional.fields`	已合并
`Message_label`	`additional.fields`	已合并
`MfaMethod_label`	`additional.fields`	已合并
`MfaPerformed_label`	`additional.fields`	已合并
`MulticastFlowsEnabled_label`	`additional.fields`	已合并
`NetworkIpAddress_label`	`additional.fields`	已合并
`NetworkLocation_label`	`additional.fields`	已合并
`NewEngineState_label`	`additional.fields`	已合并
`NewState_label`	`additional.fields`	已合并
`NotificationInterval_label`	`additional.fields`	已合并
`OAuthClientId_label`	`additional.fields`	已合并
`OAuthGrant_label`	`additional.fields`	已合并
`ObjectServer_label`	`additional.fields`	已合并
`OpCorrelationID_label`	`additional.fields`	已合并
`OperationMode_label`	`additional.fields`	已合并
`OperationType_label`	`additional.fields`	已合并
`Operation_label`	`additional.fields`	已合并
`PacketType_label`	`additional.fields`	已合并
`Payload_label`	`additional.fields`	已合并
`PipelineID_label`	`additional.fields`	已合并
`PipelineId_label`	`additional.fields`	已合并
`PreAuthEncryptionType_label`	`additional.fields`	已合并
`PreviousEngineState_label`	`additional.fields`	已合并
`PrimaryAuth_label`	`additional.fields`	已合并
`Product_Name_label`	`additional.fields`	已合并
`Product_Version_label`	`additional.fields`	已合并
`Profile_label`	`additional.fields`	已合并
`Profiles_label`	`additional.fields`	已合并
`ProxyIpAddress_label`	`additional.fields`	已合并
`ProxyServer_label`	`additional.fields`	已合并
`RelyingParty_label`	`additional.fields`	已合并
`RemoteAdminEnabled_label`	`additional.fields`	已合并
`RemoteEventLogging_label`	`additional.fields`	已合并
`RequestTicketHash_label`	`additional.fields`	已合并
`ResourceManager_label`	`additional.fields`	已合并
`ResponseTicketHash_label`	`additional.fields`	已合并
`RestrictedAdminMode_label`	`additional.fields`	已合并
`ReturnCode_label`	`additional.fields`	已合并
`RunspaceID_label`	`additional.fields`	已合并
`RunspaceId_label`	`additional.fields`	已合并
`SequenceNumber_label`	`additional.fields`	已合并
`Server_label`	`additional.fields`	已合并
`ServiceAvailableKeys_label`	`additional.fields`	已合并
`ServiceStartType_label`	`additional.fields`	已合并
`ServiceSupportedEncryptionTypes_label`	`additional.fields`	已合并
`ServiceType_label`	`additional.fields`	已合并
`SessionKeyEncryptionType_label`	`additional.fields`	已合并
`SkuId_label`	`additional.fields`	已合并
`SourceName`	`additional.fields`	映射的值（总共 564 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows se...)
`SsoBindingValidationLevel_label`	`additional.fields`	已合并
`StartType_label`	`additional.fields`	已合并
`SubjectLogonId_label`	`additional.fields`	已合并
`THostName_label`	`additional.fields`	已合并
`TargetLinkedLogonId_label`	`additional.fields`	已合并
`TestSigning_label`	`additional.fields`	已合并
`Ticket_type_label`	`additional.fields`	已合并
`TokenBindingProvidedId_label`	`additional.fields`	已合并
`TokenBindingReferredId_label`	`additional.fields`	已合并
`TokenElevationType_label`	`additional.fields`	已合并
`TransactionId_label`	`additional.fields`	已合并
`TransmittedServices_label`	`additional.fields`	已合并
`Trigger_label`	`additional.fields`	已合并
`UserAgentString_label`	`additional.fields`	已合并
`UserId_label`	`additional.fields`	已合并
`VirtualAccount_label`	`additional.fields`	已合并
`VsmLaunchType_label`	`additional.fields`	已合并
`X_MS_Endpoint_Absolute_Path_label1`	`additional.fields`	已合并
`acc_mask_label`	`additional.fields`	已合并
`access_mask_label`	`additional.fields`	已合并
`account_name_label`	`additional.fields`	已合并
`acct_authentic`	`additional.fields`	已合并
`acct_input_octets`	`additional.fields`	已合并
`acct_input_packets`	`additional.fields`	已合并
`acct_link_count`	`additional.fields`	已合并
`acct_output_octets`	`additional.fields`	已合并
`acct_output_packets`	`additional.fields`	已合并
`acct_session_time`	`additional.fields`	已合并
`acct_status_type`	`additional.fields`	已合并
`activity_id_label`	`additional.fields`	已合并
`add_label`	`additional.fields`	已合并
`add_labels202`	`additional.fields`	已合并
`addition_ObjectClass`	`additional.fields`	已合并
`additional_ClientAdvertizedEncryptionTypes`	`additional.fields`	已合并
`additional_ParameterBinding_Add-Type`	`additional.fields`	已合并
`additional_Requested_Operation_Desired_Access`	`additional.fields`	已合并
`additional_TargetDomainName`	`additional.fields`	已合并
`additional_The_SSPI_client_process_is_SYSTEM_PID`	`additional.fields`	已合并
`additional_access_mask`	`additional.fields`	已合并
`additional_data_label`	`additional.fields`	已合并
`additional_field`	`additional.fields`	已合并
`additional_field_subject_domain_name`	`additional.fields`	已合并
`additional_field_task_category`	`additional.fields`	已合并
`additional_information_label`	`additional.fields`	已合并
`additional_member_name`	`additional.fields`	已合并
`additional_user_data`	`additional.fields`	已合并
`attribute_label`	`additional.fields`	已合并
`attribute_ldap_display_name_label`	`additional.fields`	已合并
`attribute_selection_label`	`additional.fields`	已合并
`attributes_preventing_optimization_label`	`additional.fields`	已合并
`audit_policy_changes_label`	`additional.fields`	已合并
`audit_schema_version_label`	`additional.fields`	已合并
`authentication_type_label`	`additional.fields`	已合并
`backup_type_label`	`additional.fields`	已合并
`ca_label`	`additional.fields`	已合并
`cab_id_label`	`additional.fields`	已合并
`caller_identity_label`	`additional.fields`	已合并
`caller_user_name_label`	`additional.fields`	已合并
`category_label`	`additional.fields`	已合并
`certificate_identity_label`	`additional.fields`	已合并
`charset_label`	`additional.fields`	已合并
`check_field_server_names`	`additional.fields`	已合并
`class`	`additional.fields`	已合并
`class_type_label`	`additional.fields`	已合并
`clean_pages_modified_label`	`additional.fields`	已合并
`client_options1_label`	`additional.fields`	已合并
`client_options_label`	`additional.fields`	已合并
`client_request_id_label`	`additional.fields`	已合并
`connect_info`	`additional.fields`	已合并
`connect_options_label`	`additional.fields`	已合并
`content_length_label`	`additional.fields`	已合并
`data_1_label`	`additional.fields`	已合并
`data_2_label`	`additional.fields`	已合并
`data_3_label`	`additional.fields`	已合并
`dirty_pages_modified_label`	`additional.fields`	已合并
`disposition_label`	`additional.fields`	已合并
`domain_label`	`additional.fields`	已合并
`environment_label`	`additional.fields`	已合并
`event_data_d_word_val_label`	`additional.fields`	已合并
`event_data_method_label`	`additional.fields`	已合并
`event_data_p10_label`	`additional.fields`	已合并
`event_data_p11_label`	`additional.fields`	已合并
`event_data_p12_label`	`additional.fields`	已合并
`event_data_p13_label`	`additional.fields`	已合并
`event_data_p14_label`	`additional.fields`	已合并
`event_data_p15_label`	`additional.fields`	已合并
`event_data_p16_label`	`additional.fields`	已合并
`event_data_p17_label`	`additional.fields`	已合并
`event_data_p18_label`	`additional.fields`	已合并
`event_data_p19_label`	`additional.fields`	已合并
`event_data_p1_label`	`additional.fields`	已合并
`event_data_p20_label`	`additional.fields`	已合并
`event_data_p21_label`	`additional.fields`	已合并
`event_data_p22_label`	`additional.fields`	已合并
`event_data_p23_label`	`additional.fields`	已合并
`event_data_p24_label`	`additional.fields`	已合并
`event_data_p25_label`	`additional.fields`	已合并
`event_data_p26_label`	`additional.fields`	已合并
`event_data_p27_label`	`additional.fields`	已合并
`event_data_p28_label`	`additional.fields`	已合并
`event_data_p29_label`	`additional.fields`	已合并
`event_data_p2_label`	`additional.fields`	已合并
`event_data_p30_label`	`additional.fields`	已合并
`event_data_p31_label`	`additional.fields`	已合并
`event_data_p32_label`	`additional.fields`	已合并
`event_data_p33_label`	`additional.fields`	已合并
`event_data_p34_label`	`additional.fields`	已合并
`event_data_p35_label`	`additional.fields`	已合并
`event_data_p36_label`	`additional.fields`	已合并
`event_data_p37_label`	`additional.fields`	已合并
`event_data_p38_label`	`additional.fields`	已合并
`event_data_p39_label`	`additional.fields`	已合并
`event_data_p3_label`	`additional.fields`	已合并
`event_data_p40_label`	`additional.fields`	已合并
`event_data_p41_label`	`additional.fields`	已合并
`event_data_p42_label`	`additional.fields`	已合并
`event_data_p43_label`	`additional.fields`	已合并
`event_data_p44_label`	`additional.fields`	已合并
`event_data_p45_label`	`additional.fields`	已合并
`event_data_p46_label`	`additional.fields`	已合并
`event_data_p47_label`	`additional.fields`	已合并
`event_data_p48_label`	`additional.fields`	已合并
`event_data_p49_label`	`additional.fields`	已合并
`event_data_p4_label`	`additional.fields`	已合并
`event_data_p50_label`	`additional.fields`	已合并
`event_data_p51_label`	`additional.fields`	已合并
`event_data_p52_label`	`additional.fields`	已合并
`event_data_p53_label`	`additional.fields`	已合并
`event_data_p54_label`	`additional.fields`	已合并
`event_data_p55_label`	`additional.fields`	已合并
`event_data_p56_label`	`additional.fields`	已合并
`event_data_p57_label`	`additional.fields`	已合并
`event_data_p58_label`	`additional.fields`	已合并
`event_data_p59_label`	`additional.fields`	已合并
`event_data_p5_label`	`additional.fields`	已合并
`event_data_p60_label`	`additional.fields`	已合并
`event_data_p61_label`	`additional.fields`	已合并
`event_data_p62_label`	`additional.fields`	已合并
`event_data_p63_label`	`additional.fields`	已合并
`event_data_p64_label`	`additional.fields`	已合并
`event_data_p65_label`	`additional.fields`	已合并
`event_data_p66_label`	`additional.fields`	已合并
`event_data_p67_label`	`additional.fields`	已合并
`event_data_p68_label`	`additional.fields`	已合并
`event_data_p69_label`	`additional.fields`	已合并
`event_data_p6_label`	`additional.fields`	已合并
`event_data_p70_label`	`additional.fields`	已合并
`event_data_p71_label`	`additional.fields`	已合并
`event_data_p72_label`	`additional.fields`	已合并
`event_data_p73_label`	`additional.fields`	已合并
`event_data_p74_label`	`additional.fields`	已合并
`event_data_p75_label`	`additional.fields`	已合并
`event_data_p76_label`	`additional.fields`	已合并
`event_data_p77_label`	`additional.fields`	已合并
`event_data_p78_label`	`additional.fields`	已合并
`event_data_p79_label`	`additional.fields`	已合并
`event_data_p7_label`	`additional.fields`	已合并
`event_data_p80_label`	`additional.fields`	已合并
`event_data_p81_label`	`additional.fields`	已合并
`event_data_p82_label`	`additional.fields`	已合并
`event_data_p83_label`	`additional.fields`	已合并
`event_data_p84_label`	`additional.fields`	已合并
`event_data_p85_label`	`additional.fields`	已合并
`event_data_p86_label`	`additional.fields`	已合并
`event_data_p87_label`	`additional.fields`	已合并
`event_data_p88_label`	`additional.fields`	已合并
`event_data_p89_label`	`additional.fields`	已合并
`event_data_p8_label`	`additional.fields`	已合并
`event_data_p90_label`	`additional.fields`	已合并
`event_data_p91_label`	`additional.fields`	已合并
`event_data_p92_label`	`additional.fields`	已合并
`event_data_p9_label`	`additional.fields`	已合并
`event_data_param1_label`	`additional.fields`	已合并
`event_data_param2_label`	`additional.fields`	已合并
`event_data_param3_label`	`additional.fields`	已合并
`event_data_param4_label`	`additional.fields`	已合并
`event_data_param5_label`	`additional.fields`	已合并
`event_data_param6_label`	`additional.fields`	已合并
`event_data_param7_label`	`additional.fields`	已合并
`event_data_processing_mode_label`	`additional.fields`	已合并
`event_data_processing_time_in_milliseconds_label`	`additional.fields`	已合并
`event_data_stage_label`	`additional.fields`	已合并
`event_data_support_info1_label`	`additional.fields`	已合并
`event_data_support_info2_label`	`additional.fields`	已合并
`event_data_thumbprint_label`	`additional.fields`	已合并
`event_id_label`	`additional.fields`	已合并
`event_in_seq_label`	`additional.fields`	已合并
`event_time_label`	`additional.fields`	已合并
`exception_info_label`	`additional.fields`	已合并
`expensive_search_operations_label`	`additional.fields`	已合并
`failure_reason_label`	`additional.fields`	已合并
`framework_version_label`	`additional.fields`	已合并
`hashed_bucket_label`	`additional.fields`	已合并
`inefficient_search_operations_label`	`additional.fields`	已合并
`install_date_label`	`additional.fields`	已合并
`is_column_permission_label`	`additional.fields`	已合并
`is_dac_label`	`additional.fields`	已合并
`keywords_label`	`additional.fields`	已合并
`label01`	`additional.fields`	已合并
`label02`	`additional.fields`	已合并
`label03`	`additional.fields`	已合并
`label461`	`additional.fields`	已合并
`label462`	`additional.fields`	已合并
`label463`	`additional.fields`	已合并
`label46561`	`additional.fields`	已合并
`label46562`	`additional.fields`	已合并
`label46563`	`additional.fields`	已合并
`label46564`	`additional.fields`	已合并
`label46565`	`additional.fields`	已合并
`label46571`	`additional.fields`	已合并
`label46572`	`additional.fields`	已合并
`label47681`	`additional.fields`	已合并
`label47682`	`additional.fields`	已合并
`label501`	`additional.fields`	已合并
`label601`	`additional.fields`	已合并
`label_for_additional_fields`	`additional.fields`	已合并
`labels0`	`additional.fields`	已合并
`labels401`	`additional.fields`	已合并
`labels46411`	`additional.fields`	已合并
`labels46412`	`additional.fields`	已合并
`labels46413`	`additional.fields`	已合并
`labels46414`	`additional.fields`	已合并
`labels46415`	`additional.fields`	已合并
`labels46416`	`additional.fields`	已合并
`labels46417`	`additional.fields`	已合并
`level_label`	`additional.fields`	已合并
`logon_guid_label`	`additional.fields`	已合并
`logon_id_label`	`additional.fields`	已合并
`mapped_name_label`	`additional.fields`	已合并
`mapping_by_label`	`additional.fields`	已合并
`mapping_channel`	`additional.fields`	已合并
`mapping_opcode`	`additional.fields`	已合并
`method`	`additional.fields`	已合并
`method_executed_label`	`additional.fields`	已合并
`namespace_label`	`additional.fields`	已合并
`nas_port_type_label`	`additional.fields`	已合并
`network_information_label`	`additional.fields`	已合并
`new_obj_dn_label`	`additional.fields`	已合并
`new_target_user_name_label`	`additional.fields`	已合并
`number_of_search_operations_label`	`additional.fields`	已合并
`object_class_label`	`additional.fields`	已合并
`object_dn_label`	`additional.fields`	已合并
`operation_type_label`	`additional.fields`	已合并
`p10_label`	`additional.fields`	已合并
`p2_label`	`additional.fields`	已合并
`p3_label`	`additional.fields`	已合并
`p4_label`	`additional.fields`	已合并
`p5_label`	`additional.fields`	已合并
`p6_label`	`additional.fields`	已合并
`p7_label`	`additional.fields`	已合并
`p8_label`	`additional.fields`	已合并
`p9_label`	`additional.fields`	已合并
`package_label`	`additional.fields`	已合并
`packet_data_size_label`	`additional.fields`	已合并
`pages_preread_from_disk_label`	`additional.fields`	已合并
`pages_read_from_disk_label`	`additional.fields`	已合并
`pages_referenced_label`	`additional.fields`	已合并
`parent_id_label`	`additional.fields`	已合并
`payload_label`	`additional.fields`	已合并
`perm_consumer_label`	`additional.fields`	已合并
`permission_bitmask_label`	`additional.fields`	已合并
`platform_label`	`additional.fields`	已合并
`pooled_connection_label`	`additional.fields`	已合并
`problem_signature_label`	`additional.fields`	已合并
`protocol_seq_label`	`additional.fields`	已合并
`proxy_dns_name_label`	`additional.fields`	已合并
`query_string_label`	`additional.fields`	已合并
`reason_code`	`additional.fields`	已合并
`reason_code_labels`	`additional.fields`	已合并
`report_id_label`	`additional.fields`	已合并
`report_status_label`	`additional.fields`	已合并
`req_id_label`	`additional.fields`	已合并
`request_detail_label`	`additional.fields`	已合并
`request_id_label`	`additional.fields`	已合并
`request_path_label`	`additional.fields`	已合并
`requester_label`	`additional.fields`	已合并
`response_detail_label`	`additional.fields`	已合并
`response_label`	`additional.fields`	已合并
`returned_entries_label`	`additional.fields`	已合并
`search_scope_label`	`additional.fields`	已合并
`search_time_ms_label`	`additional.fields`	已合并
`sequence_group_id_label`	`additional.fields`	已合并
`sequence_number_label`	`additional.fields`	已合并
`session_label`	`additional.fields`	已合并
`sidtype_label`	`additional.fields`	已合并
`source_group_label`	`additional.fields`	已合并
`source_module_label`	`additional.fields`	已合并
`span_id_label`	`additional.fields`	已合并
`stage`	`additional.fields`	已合并
`starting_node_label`	`additional.fields`	已合并
`statement_label`	`additional.fields`	已合并
`subject_key_label`	`additional.fields`	已合并
`subject_label`	`additional.fields`	已合并
`subject_logon_id_label`	`additional.fields`	已合并
`subject_logon_id_label_1`	`additional.fields`	已合并
`subject_machine_name_label`	`additional.fields`	已合并
`subject_user_name_label`	`additional.fields`	已合并
`suppress_count_label`	`additional.fields`	已合并
`suppress_label`	`additional.fields`	已合并
`system_keyword_label`	`additional.fields`	已合并
`target_label`	`additional.fields`	已合并
`target_labels`	`additional.fields`	已合并
`target_logon_id_label`	`additional.fields`	已合并
`target_relying_party_label`	`additional.fields`	已合并
`target_user_id_label`	`additional.fields`	已合并
`temp_additional_event_category`	`additional.fields`	已合并
`temp_additional_event_type`	`additional.fields`	已合并
`temp_additional_insert_id`	`additional.fields`	已合并
`temp_additional_log_name`	`additional.fields`	已合并
`temp_additional_qualifiers`	`additional.fields`	已合并
`temp_additional_time_gen`	`additional.fields`	已合并
`temp_additional_time_written`	`additional.fields`	已合并
`temp_query`	`additional.fields`	已合并
`these_files_may_be_available_here_label`	`additional.fields`	已合并
`thread_id_label`	`additional.fields`	已合并
`through_proxy_label`	`additional.fields`	已合并
`ticket_options_label`	`additional.fields`	已合并
`time_interval_hours_label`	`additional.fields`	已合并
`token_@_xmlns_`	`additional.fields`	已合并
`token_subject_logon_id`	`additional.fields`	已合并
`trace_id_label`	`additional.fields`	已合并
`transaction_id_label`	`additional.fields`	已合并
`uf_type_label`	`additional.fields`	已合并
`uf_version_label`	`additional.fields`	已合并
`used_indexes_label`	`additional.fields`	已合并
`user_data_0x8000003F_@_xmlns__label`	`additional.fields`	已合并
`user_data_0x8000003F_process_id_label`	`additional.fields`	已合并
`user_data_0x8000003F_providers_in_host_label`	`additional.fields`	已合并
`user_data_0x8000003F_quota_name_label`	`additional.fields`	已合并
`user_data_0x8000003F_quota_threshold_label`	`additional.fields`	已合并
`user_data_0x8000003F_quota_value_label`	`additional.fields`	已合并
`user_defined_event_id_label`	`additional.fields`	已合并
`user_defined_information_label`	`additional.fields`	已合并
`user_id_label`	`additional.fields`	已合并
`value_is_near_1`	`additional.fields`	已映射：`true` → `add_labels202`
`var_client_name`	`additional.fields`	已合并
`var_workstation_name`	`additional.fields`	已合并
`version_label`	`additional.fields`	已合并
`visited_entries_label`	`additional.fields`	已合并
`vsad_label`	`additional.fields`	已合并
`x_ms_adfs_proxy_client_ip_label`	`additional.fields`	已合并
`x_ms_client_application_label`	`additional.fields`	已合并
`x_ms_client_user_agent_label`	`additional.fields`	已合并
`x_ms_forwarded_client_ip_label`	`additional.fields`	已合并
`x_ms_proxy_label`	`additional.fields`	已合并
`xmlns_label1`	`additional.fields`	已合并
`LogonType`	`extensions.auth.auth_details`	已重命名/已映射
`EventID`	`extensions.auth.mechanism`	已映射：`4908, 4964` → `auth_mechanism1`、`4908, 4964` → `auth_mechanism`、`1202、1203...
`SourceName`	`extensions.auth.mechanism`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `a...
`auth_mechanism`	`extensions.auth.mechanism`	已合并
`auth_mechanism1`	`extensions.auth.mechanism`	已合并
`auth_type`	`extensions.auth.type`	已重命名/已映射
`EventID`	`intermediary`	已映射：`4908, 4964` → `intermediary_label`, ` 8015, 8018, 8019, 8020, 8027, 8033, 8010, ...
`SourceName`	`intermediary`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `i...
`intermediary_label`	`intermediary`	已合并
`ComputerName`	`intermediary.hostname`	直接映射
`HostName`	`intermediary.hostname`	直接映射
`Hostname`	`intermediary.hostname`	直接映射
`intermediary_ip`	`intermediary.ip`	已合并
`metadata_description`	`metadata.description`	直接映射
`Detection Time`	`metadata.event_timestamp`	解析为 `ISO8601`
`EventReceivedTime`	`metadata.event_timestamp`	解析为 `yyyy-MM-dd HH:mm:ss`
`EventTime`	`metadata.event_timestamp`	解析为 `ISO8601`
`NewTime`	`metadata.event_timestamp`	解析为 `ISO8601`
`PasswordLastSet`	`metadata.event_timestamp`	解析为 `M/dd/yyyy H:mm:ss A`
`PreviousTime`	`metadata.event_timestamp`	解析为 `ISO8601`
`ValidFrom`	`metadata.event_timestamp`	解析为 `ISO8601`
`ValidTo`	`metadata.event_timestamp`	解析为 `ISO8601`
`event_time`	`metadata.event_timestamp`	解析为 `MMM dd HH:mm:ss`
`event_timestamp`	`metadata.event_timestamp`	解析为 `yyyy-MM-dd HH:mm:ss`
`eventtime1`	`metadata.event_timestamp`	解析为 `UNIX_MS`
`receiveTimestamp`	`metadata.event_timestamp`	解析为 `yyyy-MM-ddTHH:mm:ssZ`
`syslog_ts`	`metadata.event_timestamp`	解析为 `yyyy-MM-ddTHH:mm:ss Z`
`EventID`	`metadata.event_type`	映射的值（总共 18 个，例如 `4908, 4964` → `STATUS_UPDATE`、`4908, 4964` → `GENERIC_...)
`SourceName`	`metadata.event_type`	映射的值（总共 9 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`event_type`	`metadata.event_type`	直接映射
`has_principal`	`metadata.event_type`	已映射：`true` → `NETWORK_CONNECTION`、`true` → `STATUS_UPDATE`
`udm_event_type`	`metadata.event_type`	已重命名/已映射
`ProviderGuid`	`metadata.product_deployment_id`	已重命名/已映射
`EventID`	`metadata.product_event_type`	直接映射
`product_event_type`	`metadata.product_event_type`	直接映射
`RecordNumber`	`metadata.product_log_id`	已重命名/已映射
`SourceName`	`metadata.product_name`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `M...
`EventID`	`metadata.vendor_name`	已映射：`4908, 4964` → `Microsoft`
`SourceName`	`metadata.vendor_name`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `M...
`app_protocol`	`network.application_protocol`	已重命名/已映射
`Direction`	`network.direction`	已重命名/已映射
`EventID`	`network.dns.questions`	映射：`4908, 4964` → `questions`，`1014, 3008` → `questions`
`SourceName`	`network.dns.questions`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `q...
`questions`	`network.dns.questions`	已合并
`http_method`	`network.http.method`	直接映射
`_userAgentString`	`network.http.parsed_user_agent`	已重命名/已映射
`_userAgentString`	`network.http.user_agent`	直接映射
`ac-user-agent`	`network.http.user_agent`	直接映射
`ip_protocol_out`	`network.ip_protocol`	已重命名/已映射
`AcctMultiSsnID`	`network.session_id`	直接映射
`SessionID`	`network.session_id`	直接映射
`SessionId`	`network.session_id`	直接映射
`SessionName`	`network.session_id`	已重命名/已映射
`session_id`	`network.session_id`	直接映射
`CAName`	`network.tls.client.certificate.issuer`	直接映射
`Issuer`	`network.tls.client.certificate.issuer`	已重命名/已映射
`LocalMMIssuingCA`	`network.tls.client.certificate.issuer`	直接映射
`CertificateHash`	`network.tls.client.certificate.md5`	直接映射
`SerialNumber`	`network.tls.client.certificate.serial`	直接映射
`client_certificate_serial`	`network.tls.client.certificate.serial`	已重命名/已映射
`CertificateHash`	`network.tls.client.certificate.sha1`	直接映射
`client_certificate_sha1`	`network.tls.client.certificate.sha1`	已重命名/已映射
`CertificateHash`	`network.tls.client.certificate.sha256`	直接映射
`client_certificate_subject`	`network.tls.client.certificate.subject`	已重命名/已映射
`RemoteMMIssuingCA`	`network.tls.server.certificate.issuer`	直接映射
`server_certificate_subject`	`network.tls.server.certificate.subject`	已重命名/已映射
`SourceModuleType`	`observer.application`	已重命名/已映射
`IssuingKDC`	`observer.asset.asset_id`	直接映射
`EventID`	`observer.labels`	已映射：`4908, 4964` → `verb_label`、`4908, 4964` → `source_module_label`
`SourceName`	`observer.labels`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `v...
`source_module_label`	`observer.labels`	已合并
`verb_label`	`observer.labels`	已合并
`AccountDomain`	`principal.administrative_domain`	已重命名/已映射
`CallerDomainName`	`principal.administrative_domain`	已重命名/已映射
`Domain`	`principal.administrative_domain`	已重命名/已映射
`SubjectDomainName`	`principal.administrative_domain`	已重命名/已映射
`administrative_domain`	`principal.administrative_domain`	直接映射
`principal_domain_name`	`principal.administrative_domain`	已重命名/已映射
`principal_application`	`principal.application`	已重命名/已映射
`src_application`	`principal.application`	已重命名/已映射
`device-uid`	`principal.asset.asset_id`	直接映射
`EventID`	`principal.asset.attribute.labels`	映射的值（共 7 个，例如 `4908, 4964` → `server_principal_id_label`、`4908, 4964`...）
`SourceName`	`principal.asset.attribute.labels`	映射的值（总共 7 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`label_for_principal_asset`	`principal.asset.attribute.labels`	已合并
`server_instance_name_label`	`principal.asset.attribute.labels`	已合并
`server_principal_id_label`	`principal.asset.attribute.labels`	已合并
`server_principal_name_label`	`principal.asset.attribute.labels`	已合并
`server_principal_sid_label`	`principal.asset.attribute.labels`	已合并
`session_server_principal_name_label`	`principal.asset.attribute.labels`	已合并
`token_new`	`principal.asset.attribute.labels`	已合并
`hardware`	`principal.asset.hardware`	已合并
`Hostname`	`principal.asset.hostname`	直接映射
`auth_server_host`	`principal.asset.hostname`	直接映射
`hostname`	`principal.asset.hostname`	直接映射
`principal_asset_hostname`	`principal.asset.hostname`	已重命名/已映射
`principal_hostname`	`principal.asset.hostname`	直接映射
`FramedIPAddress`	`principal.asset.ip`	已合并
`SourceName`	`principal.asset.ip`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `F...
`calling_station_id`	`principal.asset.ip`	已合并
`src_ip`	`principal.asset.ip`	已合并
`var_domain_name`	`principal.asset.network_domain`	直接映射
`MachineInventory`	`principal.asset.platform_software.platform_version`	已重命名/已映射
`device-platform-version`	`principal.asset.platform_software.platform_version`	直接映射
`platform_version`	`principal.asset.platform_software.platform_version`	已重命名/已映射
`device-uid-global`	`principal.asset.product_object_id`	直接映射
`EventID`	`principal.asset.software`	已映射：`4908, 4964` → `software_version`
`SourceName`	`principal.asset.software`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `s...
`software_version`	`principal.asset.software`	已合并
`ClientRealm`	`principal.domain.name`	直接映射
`Path`	`principal.file.full_path`	直接映射
`PrincipalFileName`	`principal.file.full_path`	已重命名/已映射
`Hostname`	`principal.hostname`	直接映射
`auth_server_host`	`principal.hostname`	直接映射
`hostname`	`principal.hostname`	直接映射
`principal_asset_hostname`	`principal.hostname`	直接映射
`principal_hostname`	`principal.hostname`	直接映射
`EventID`	`principal.ip`	映射：`4625, 4776, 4794` → `temp_ip`、`4908, 4964` → `ip_address`、`4908, 4964` → ...
`FramedIPAddress`	`principal.ip`	已合并
`SourceName`	`principal.ip`	映射的值（总共 5 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...
`calling_station_id`	`principal.ip`	已合并
`ip`	`principal.ip`	已合并
`ip_address`	`principal.ip`	已合并
`principal_ip`	`principal.ip`	已合并
`principal_ip1`	`principal.ip`	已合并
`src_ip`	`principal.ip`	已合并
`temp_ip`	`principal.ip`	已合并
`AdvancedOptions_label`	`principal.labels`	已合并
`ClientCreationTime_label`	`principal.labels`	已合并
`ConfigAccessPolicy_label`	`principal.labels`	已合并
`DisableIntegrityChecks_label`	`principal.labels`	已合并
`EventID`	`principal.labels`	映射的值（共 28 个，例如 `4692, 4693, 4694, 4695, 4983, 4984` → `subject_logon_id_lab...
`FlightSigning_label`	`principal.labels`	已合并
`HypervisorDebug_label`	`principal.labels`	已合并
`HypervisorLaunchType_label`	`principal.labels`	已合并
`HypervisorLoadOptions_label`	`principal.labels`	已合并
`KernelDebug_label`	`principal.labels`	已合并
`LoadOptions_label`	`principal.labels`	已合并
`RemoteEventLogging_label`	`principal.labels`	已合并
`SourceName`	`principal.labels`	映射的值（总共 36 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...)
`SubjectLogonId_label`	`principal.labels`	已合并
`TestSigning_label`	`principal.labels`	已合并
`VsmLaunchType_label`	`principal.labels`	已合并
`acc_mask_label`	`principal.labels`	已合并
`account_name_label`	`principal.labels`	已合并
`caller_user_name_label`	`principal.labels`	已合并
`data_1_label`	`principal.labels`	已合并
`data_2_label`	`principal.labels`	已合并
`data_3_label`	`principal.labels`	已合并
`label01`	`principal.labels`	已合并
`label03`	`principal.labels`	已合并
`label461`	`principal.labels`	已合并
`label501`	`principal.labels`	已合并
`logon_id_label`	`principal.labels`	已合并
`method_executed_label`	`principal.labels`	已合并
`namespace_label`	`principal.labels`	已合并
`subject_logon_id_label`	`principal.labels`	已合并
`subject_machine_name_label`	`principal.labels`	已合并
`subject_user_name_label`	`principal.labels`	已合并
`user_id_label`	`principal.labels`	已合并
`var_client_name`	`principal.labels`	已合并
`var_workstation`	`principal.labels`	已合并
`var_workstation_name`	`principal.labels`	已合并
`CallingStationID`	`principal.mac`	已映射：`(([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$` → `CallingStationID`
`EventID`	`principal.mac`	已映射：`4908, 4964` → `principal_mac`
`SourceName`	`principal.mac`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `p...
`calling_station_id`	`principal.mac`	已合并
`device-mac`	`principal.mac`	已合并
`mac`	`principal.mac`	已合并
`principal_mac`	`principal.mac`	已合并
`principal_port`	`principal.port`	已重命名/已映射
`AccessMask`	`principal.process.access_mask`	已重命名/已映射
`am`	`principal.process.access_mask`	已重命名/已映射
`ParentCommandLine`	`principal.process.command_line`	已重命名/已映射
`ProcessName`	`principal.process.command_line`	已重命名/已映射
`principal_process_command_line`	`principal.process.command_line`	已重命名/已映射
`task_arguments`	`principal.process.command_line`	已重命名/已映射
`CallerProcessName`	`principal.process.file.full_path`	已重命名/已映射
`ParentImage`	`principal.process.file.full_path`	已重命名/已映射
`SourceImage`	`principal.process.file.full_path`	已重命名/已映射
`principal_process_name`	`principal.process.file.full_path`	已重命名/已映射
`task_command`	`principal.process.file.full_path`	已重命名/已映射
`SourceName`	`principal.process.file.names`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `v...
`var_process_parent_name`	`principal.process.file.names`	已合并
`ParentProcessId`	`principal.process.parent_process.pid`	已重命名/已映射
`principal_process_pid`	`principal.process.pid`	已重命名/已映射
`process_id`	`principal.process.pid`	已重命名/已映射
`ObjectPath`	`principal.registry.registry_key`	已重命名/已映射
`EventID`	`principal.resource.attribute.permissions`	已映射：`4659, 5140, 5145` → `permissions`
`SourceName`	`principal.resource.attribute.permissions`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `p...
`permissions`	`principal.resource.attribute.permissions`	已合并
`principal_resource_product_object_id`	`principal.resource.product_object_id`	已重命名/已映射
`EventID`	`principal.user.attribute.labels`	已映射：`4908, 4964` → `label_for_principal_user`、`4908, 4964` → `user_label`、` 4908...
`SourceName`	`principal.user.attribute.labels`	映射的值（总共 6 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`account_name_label`	`principal.user.attribute.labels`	已合并
`label_for_principal_user`	`principal.user.attribute.labels`	已合并
`sam_acc_label`	`principal.user.attribute.labels`	已合并
`sid_history_label`	`principal.user.attribute.labels`	已合并
`subject_user_sid_name_label`	`principal.user.attribute.labels`	已合并
`user_label`	`principal.user.attribute.labels`	已合并
`EventID`	`principal.user.attribute.roles`	映射值（总共 20 个，例如 `4908, 4964` → `roles`、7000、7011、7022、7023、7024、702...)
`SourceName`	`principal.user.attribute.roles`	映射的值（总共 63 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...)
`roles`	`principal.user.attribute.roles`	已合并
`Subject_Logon_GUID`	`principal.user.product_object_id`	直接映射
`principal_user_display_name`	`principal.user.user_display_name`	已重命名/已映射
`AccountName`	`principal.user.userid`	已重命名/已映射
`AccountToReset`	`principal.user.userid`	已重命名/已映射
`CallerUserName`	`principal.user.userid`	已重命名/已映射
`SubjectMachineName`	`principal.user.userid`	已重命名/已映射
`SubjectUserName`	`principal.user.userid`	已重命名/已映射
`principal_user_id`	`principal.user.userid`	已重命名/已映射
`subject_machine_name`	`principal.user.userid`	已重命名/已映射
`principal_user_windows_sid`	`principal.user.windows_sid`	已重命名/已映射
`subject_machine_sid`	`principal.user.windows_sid`	直接映射
`EventID`	`security_result`	映射值（总共 5 个，例如 `4953, 4957, 4951, 4952, 4958` → `security_result1`、4908 等）
`SourceName`	`security_result`	映射的值（总共 11 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...)
`category_details`	`security_result`	映射的值（总共 9 个，例如“安全状态更改”“安全系统扩展”“系统...)
`label_security_result`	`security_result`	已合并
`security_result1`	`security_result`	已合并
`security_result2`	`security_result`	已合并
`security_result_1`	`security_result`	已合并
`security_result_2`	`security_result`	已合并
`security_result_3`	`security_result`	已合并
`security_result_4`	`security_result`	已合并
`security_result_5`	`security_result`	已合并
`KeyUserPath`	`security_result.about.file.full_path`	直接映射
`EventID`	`security_result.about.labels`	已映射：`4625, 4776, 4794` → `failure_reason_label`，`4908, 4964` → `label_for_security...
`SourceName`	`security_result.about.labels`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `f...
`failure_reason_label`	`security_result.about.labels`	已合并
`label_for_security_result_about_label`	`security_result.about.labels`	已合并
`EventID`	`security_result.about.resource.attribute.labels`	映射值（共 14 个，例如 `4908, 4964` → `label`、`4908, 4964` → `label1`、4908 等）)
`SourceName`	`security_result.about.resource.attribute.labels`	映射的值（总共 29 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...)
`TicketOptions_label`	`security_result.about.resource.attribute.labels`	已合并
`label`	`security_result.about.resource.attribute.labels`	已合并
`label1`	`security_result.about.resource.attribute.labels`	已合并
`label10`	`security_result.about.resource.attribute.labels`	已合并
`label11`	`security_result.about.resource.attribute.labels`	已合并
`label12`	`security_result.about.resource.attribute.labels`	已合并
`label13`	`security_result.about.resource.attribute.labels`	已合并
`label2`	`security_result.about.resource.attribute.labels`	已合并
`label3`	`security_result.about.resource.attribute.labels`	已合并
`label4`	`security_result.about.resource.attribute.labels`	已合并
`label5`	`security_result.about.resource.attribute.labels`	已合并
`label6`	`security_result.about.resource.attribute.labels`	已合并
`label7`	`security_result.about.resource.attribute.labels`	已合并
`label8`	`security_result.about.resource.attribute.labels`	已合并
`label9`	`security_result.about.resource.attribute.labels`	已合并
`security_result_about_resource_name`	`security_result.about.resource.name`	已重命名/已映射
`EventID`	`security_result.action`	已映射：`4908, 4964` → `action`
`SourceName`	`security_result.action`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `a...
`action`	`security_result.action`	已合并
`security_action`	`security_result.action`	已合并
`Action Name`	`security_result.action_details`	直接映射
`action_details`	`security_result.action_details`	已重命名/已映射
`action_id`	`security_result.action_details`	直接映射
`EventID`	`security_result.category`	已映射：`4908, 4964` → `category`
`SourceName`	`security_result.category`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `c...
`category`	`security_result.category`	已合并
`Category`	`security_result.category_details`	已合并
`CategoryId`	`security_result.category_details`	已合并
`CategoryName`	`security_result.category_details`	已合并
`EventID`	`security_result.category_details`	已映射：`4908, 4964` → `Category`、`4908, 4964` → `CategoryName`、` 102、103、300、301...
`SourceName`	`security_result.category_details`	映射的值（总共 9 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`AccessReason`	`security_result.description`	直接映射
`AdditionalInfo`	`security_result.description`	已重命名/已映射
`AuditPolicyChanges`	`security_result.description`	直接映射
`Data_2`	`security_result.description`	直接映射
`Error Description`	`security_result.description`	直接映射
`ErrorContext`	`security_result.description`	直接映射
`ErrorMessage`	`security_result.description`	直接映射
`Message`	`security_result.description`	直接映射
`ReasonForRejection`	`security_result.description`	已重命名/已映射
`RootCause`	`security_result.description`	直接映射
`description`	`security_result.description`	已重命名/已映射
`security_description`	`security_result.description`	直接映射
`status`	`security_result.description`	直接映射
`AdditionalInfo2_label`	`security_result.detection_fields`	已合并
`AppendData_or_AddSubdirectory_or_CreatePipeInstance_label`	`security_result.detection_fields`	已合并
`ApplicationDomain_label`	`security_result.detection_fields`	已合并
`ApplicationPath_label`	`security_result.detection_fields`	已合并
`ApplicationVirtualPath_label`	`security_result.detection_fields`	已合并
`AuthenticationType_label`	`security_result.detection_fields`	已合并
`CONTROL_label`	`security_result.detection_fields`	已合并
`CustomEventDetails_label`	`security_result.detection_fields`	已合并
`DAC_label`	`security_result.detection_fields`	已合并
`DELETE_label`	`security_result.detection_fields`	已合并
`ErrorCode_label`	`security_result.detection_fields`	已合并
`EventCode_label`	`security_result.detection_fields`	已合并
`EventDetailCode_label`	`security_result.detection_fields`	已合并
`EventID`	`security_result.detection_fields`	映射值（总共 150 个，例如 `5158,5159,5154,5153,5155` → `labels0`、` 5158,5159,5154,51...)
`EventId_label`	`security_result.detection_fields`	已合并
`EventOccurrence_label`	`security_result.detection_fields`	已合并
`EventSequence_label`	`security_result.detection_fields`	已合并
`FailureId_label`	`security_result.detection_fields`	已合并
`GPOList_label`	`security_result.detection_fields`	已合并
`IsAuthenticated_label`	`security_result.detection_fields`	已合并
`IsImpersonating_label`	`security_result.detection_fields`	已合并
`MasterKeyId_label`	`security_result.detection_fields`	已合并
`ReadAttributes_label`	`security_result.detection_fields`	已合并
`RecoveryKeyId_label`	`security_result.detection_fields`	已合并
`RequestPath_label`	`security_result.detection_fields`	已合并
`SecurityDescriptor_label`	`security_result.detection_fields`	已合并
`Sid_Filtering_label`	`security_result.detection_fields`	已合并
`SourceName`	`security_result.detection_fields`	已映射的值（总共 357 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows se...)
`StackTrace_label`	`security_result.detection_fields`	已合并
`ThreadAccountName_label`	`security_result.detection_fields`	已合并
`ThreadId_label`	`security_result.detection_fields`	已合并
`TrustLevel_label`	`security_result.detection_fields`	已合并
`Trust_Attributes_label`	`security_result.detection_fields`	已合并
`Trust_Direction_label`	`security_result.detection_fields`	已合并
`Trust_Type_label`	`security_result.detection_fields`	已合并
`WriteAttributes_label`	`security_result.detection_fields`	已合并
`WriteData_or_AddFile_label`	`security_result.detection_fields`	已合并
`WriteEA_label`	`security_result.detection_fields`	已合并
`account_name_label`	`security_result.detection_fields`	已合并
`action_id_label`	`security_result.detection_fields`	已合并
`affected_rows_label`	`security_result.detection_fields`	已合并
`analysis_symbol_label`	`security_result.detection_fields`	已合并
`application_information_label`	`security_result.detection_fields`	已合并
`application_name_label`	`security_result.detection_fields`	已合并
`audit_event_label`	`security_result.detection_fields`	已合并
`audit_schema_version_label`	`security_result.detection_fields`	已合并
`cert_issuer_name_label`	`security_result.detection_fields`	已合并
`cert_serial_number_label`	`security_result.detection_fields`	已合并
`cert_thumbprint_label`	`security_result.detection_fields`	已合并
`class_type_label`	`security_result.detection_fields`	已合并
`client_ip_label`	`security_result.detection_fields`	已合并
`client_name_label`	`security_result.detection_fields`	已合并
`client_name_session_id_label`	`security_result.detection_fields`	已合并
`client_tls_version_label`	`security_result.detection_fields`	已合并
`client_tls_version_name_label`	`security_result.detection_fields`	已合并
`connection_id_label`	`security_result.detection_fields`	已合并
`database_name_label`	`security_result.detection_fields`	已合并
`database_principal_id_label`	`security_result.detection_fields`	已合并
`database_principal_name_label`	`security_result.detection_fields`	已合并
`database_transaction_id_label`	`security_result.detection_fields`	已合并
`detect_field`	`security_result.detection_fields`	已合并
`detection_fields`	`security_result.detection_fields`	已合并
`detection_label`	`security_result.detection_fields`	已合并
`device_guid_label`	`security_result.detection_fields`	已合并
`duration_milliseconds_label`	`security_result.detection_fields`	已合并
`error_label`	`security_result.detection_fields`	已合并
`event_detail_code_label`	`security_result.detection_fields`	已合并
`event_id_label`	`security_result.detection_fields`	已合并
`event_message_label`	`security_result.detection_fields`	已合并
`event_name_label`	`security_result.detection_fields`	已合并
`event_occurrence_label`	`security_result.detection_fields`	已合并
`event_sequence_label`	`security_result.detection_fields`	已合并
`event_time_label`	`security_result.detection_fields`	已合并
`event_time_utc_label`	`security_result.detection_fields`	已合并
`exce_label`	`security_result.detection_fields`	已合并
`exception_information_label`	`security_result.detection_fields`	已合并
`external_policy_permissions_checked_label`	`security_result.detection_fields`	已合并
`failure_status_label`	`security_result.detection_fields`	已合并
`host_name_label`	`security_result.detection_fields`	已合并
`is_column_permission_label`	`security_result.detection_fields`	已合并
`is_impersonating_label`	`security_result.detection_fields`	已合并
`is_local_secondary_replica_label`	`security_result.detection_fields`	已合并
`label`	`security_result.detection_fields`	已合并
`label_for_security_result_detection`	`security_result.detection_fields`	已合并
`labels0`	`security_result.detection_fields`	已合并
`labels1`	`security_result.detection_fields`	已合并
`labels2`	`security_result.detection_fields`	已合并
`labels3`	`security_result.detection_fields`	已合并
`ledger_start_sequence_number_label`	`security_result.detection_fields`	已合并
`machine_name_label`	`security_result.detection_fields`	已合并
`nas_port_field`	`security_result.detection_fields`	已合并
`network_protocol_label`	`security_result.detection_fields`	已合并
`object_id_label`	`security_result.detection_fields`	已合并
`object_name_label`	`security_result.detection_fields`	已合并
`obo_middle_tier_app_id_label`	`security_result.detection_fields`	已合并
`permission_bitmask_label`	`security_result.detection_fields`	已合并
`proxy_policy_name`	`security_result.detection_fields`	已合并
`req_url_label`	`security_result.detection_fields`	已合并
`response_rows_label`	`security_result.detection_fields`	已合并
`response_ticket_label`	`security_result.detection_fields`	已合并
`schema_name_label`	`security_result.detection_fields`	已合并
`sec_error_label`	`security_result.detection_fields`	已合并
`security_detection1`	`security_result.detection_fields`	已合并
`security_detection2`	`security_result.detection_fields`	已合并
`security_detection3`	`security_result.detection_fields`	已合并
`security_detection4`	`security_result.detection_fields`	已合并
`sequence_group_id_label`	`security_result.detection_fields`	已合并
`sequence_number_label`	`security_result.detection_fields`	已合并
`server_instance_name_label`	`security_result.detection_fields`	已合并
`server_principal_id_label`	`security_result.detection_fields`	已合并
`server_principal_name_label`	`security_result.detection_fields`	已合并
`server_principal_sid_label`	`security_result.detection_fields`	已合并
`session_id_label`	`security_result.detection_fields`	已合并
`session_server_principal_name_label`	`security_result.detection_fields`	已合并
`statement_label`	`security_result.detection_fields`	已合并
`succeeded_label`	`security_result.detection_fields`	已合并
`target_database_principal_id_label`	`security_result.detection_fields`	已合并
`target_database_principal_name_label`	`security_result.detection_fields`	已合并
`target_server_principal_id_label`	`security_result.detection_fields`	已合并
`target_server_principal_name_label`	`security_result.detection_fields`	已合并
`target_server_principal_sid_label`	`security_result.detection_fields`	已合并
`transaction_id_label`	`security_result.detection_fields`	已合并
`type_label`	`security_result.detection_fields`	已合并
`user_defined_event_id_label`	`security_result.detection_fields`	已合并
`user_defined_information_label`	`security_result.detection_fields`	已合并
`var_Action_ID`	`security_result.detection_fields`	已合并
`var_Additional_Actions_ID`	`security_result.detection_fields`	已合并
`var_Additional_Actions_String`	`security_result.detection_fields`	已合并
`var_Category_ID`	`security_result.detection_fields`	已合并
`var_DetectionOrigin`	`security_result.detection_fields`	已合并
`var_DetectionSource`	`security_result.detection_fields`	已合并
`var_DetectionType`	`security_result.detection_fields`	已合并
`var_Detection_ID`	`security_result.detection_fields`	已合并
`var_EngineVersion`	`security_result.detection_fields`	已合并
`var_Error_Code`	`security_result.detection_fields`	已合并
`var_Execution_ID`	`security_result.detection_fields`	已合并
`var_Execution_Name`	`security_result.detection_fields`	已合并
`var_Origin_ID`	`security_result.detection_fields`	已合并
`var_Post_Clean_Status`	`security_result.detection_fields`	已合并
`var_Pre_Execution_Status`	`security_result.detection_fields`	已合并
`var_SecurityintelligenceVersion`	`security_result.detection_fields`	已合并
`var_SeverityName`	`security_result.detection_fields`	已合并
`var_Severity_ID`	`security_result.detection_fields`	已合并
`var_Source_ID`	`security_result.detection_fields`	已合并
`var_State`	`security_result.detection_fields`	已合并
`var_Status_Code`	`security_result.detection_fields`	已合并
`var_Type_ID`	`security_result.detection_fields`	已合并
`var_process_information`	`security_result.detection_fields`	已合并
`var_process_name`	`security_result.detection_fields`	已合并
`var_request_information`	`security_result.detection_fields`	已合并
`var_stack_trace`	`security_result.detection_fields`	已合并
`var_thread_account_name`	`security_result.detection_fields`	已合并
`Priority`	`security_result.priority_details`	已重命名/已映射
`RuleId`	`security_result.rule_id`	已重命名/已映射
`EventID`	`security_result.rule_labels`	映射：`4908, 4964` → `Title_label`，`4908, 4964` → `label_for_security_result_rule_l...
`SourceName`	`security_result.rule_labels`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `T...
`Title_label`	`security_result.rule_labels`	已合并
`label_for_security_result_rule_label`	`security_result.rule_labels`	已合并
`EventID`	`security_result.rule_name`	直接映射
`connection_req_policy`	`security_result.rule_name`	直接映射
`Severity`	`security_result.severity`	已重命名/已映射
`BlockReasonErrorCode`	`security_result.summary`	直接映射
`CorruptionActionState`	`security_result.summary`	直接映射
`CrashOnAuditFailValue`	`security_result.summary`	直接映射
`Error`	`security_result.summary`	直接映射
`ErrorCode`	`security_result.summary`	直接映射
`FailureReason`	`security_result.summary`	直接映射
`FinalStatus`	`security_result.summary`	直接映射
`QueryResults`	`security_result.summary`	直接映射
`Reason`	`security_result.summary`	直接映射
`Status`	`security_result.summary`	直接映射
`Win32Error`	`security_result.summary`	直接映射
`error`	`security_result.summary`	直接映射
`hr`	`security_result.summary`	直接映射
`param1`	`security_result.summary`	直接映射
`sec_summary`	`security_result.summary`	直接映射
`security_summary`	`security_result.summary`	直接映射
`status`	`security_result.summary`	直接映射
`summary`	`security_result.summary`	已重命名/已映射
`ThreatID`	`security_result.threat_id`	直接映射
`ThreatName`	`security_result.threat_name`	直接映射
`src_path`	`src.file.full_path`	已重命名/已映射
`CallerComputerName`	`src.hostname`	直接映射
`EventID`	`src.ip`	已映射：`4908, 4964` → `varclientip`, ` 1162, 1311, 1535, 1566, 1644, 1865, 1925, 2085, 2...
`SourceName`	`src.ip`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `v...
`varclientip`	`src.ip`	已合并
`varclientport`	`src.port`	已重命名/已映射
`Service`	`src.resource.name`	已重命名/已映射
`SourceDRA`	`src.resource.name`	直接映射
`SourceHandleId`	`src.resource.name`	已重命名/已映射
`EventID`	`target`	映射：`4908, 4964` → `clsid_labels`，`10001, 10002, 10100` → `clsid_labels`
`SourceName`	`target`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `c...
`clsid_labels`	`target`	已合并
`DomainName`	`target.administrative_domain`	已重命名/已映射
`ServerRealm`	`target.administrative_domain`	直接映射
`TargetDomainName`	`target.administrative_domain`	已重命名/已映射
`subject_domain_name`	`target.administrative_domain`	已重命名/已映射
`target_domain_name`	`target.administrative_domain`	已重命名/已映射
`ServiceName`	`target.application`	直接映射
`Targetname`	`target.application`	直接映射
`event_source`	`target.application`	直接映射
`target_application`	`target.application`	已重命名/已映射
`UserData.InstallDeviceID.DeviceInstanceID`	`target.asset.asset_id`	直接映射
`EventID`	`target.asset.attribute.labels`	映射值（总共 10 个，例如 `4741, 4742` → `dns_host_label`、`4908, 4964` → `user_dat... )
`SourceName`	`target.asset.attribute.labels`	映射的值（总共 14 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...)
`dns_host_label`	`target.asset.attribute.labels`	已合并
`label_for_target_asset`	`target.asset.attribute.labels`	已合并
`target_server_principal_id_label`	`target.asset.attribute.labels`	已合并
`target_server_principal_name_label`	`target.asset.attribute.labels`	已合并
`target_server_principal_sid_label`	`target.asset.attribute.labels`	已合并
`token_new`	`target.asset.attribute.labels`	已合并
`user_data_install_device_id_is_driver_oem_label`	`target.asset.attribute.labels`	已合并
`user_data_install_device_id_reboot_option_label`	`target.asset.attribute.labels`	已合并
`user_data_install_device_id_setup_class_label`	`target.asset.attribute.labels`	已合并
`user_data_install_device_id_upgrade_device_label`	`target.asset.attribute.labels`	已合并
`AccountName`	`target.asset.hostname`	直接映射
`NodeName`	`target.asset.hostname`	直接映射
`client_name`	`target.asset.hostname`	直接映射
`target_hostname`	`target.asset.hostname`	直接映射
`ClientIPAddress`	`target.asset.ip`	已合并
`NASIPAddress`	`target.asset.ip`	已合并
`SourceName`	`target.asset.ip`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `N...
`called_station_id`	`target.asset.ip`	已合并
`client_ip`	`target.asset.ip`	已合并
`nas_ip`	`target.asset.ip`	已合并
`UserData.InstallDeviceID.DeviceInstanceID`	`target.asset_id`	直接映射
`Data_1`	`target.domain.name`	直接映射
`TargetName`	`target.domain.name`	直接映射
`TargetRealm`	`target.domain.name`	直接映射
`param2`	`target.domain.name`	直接映射
`AutoBackup.BackupPath`	`target.file.full_path`	已重命名/已映射
`BackupFileName`	`target.file.full_path`	已重命名/已映射
`FileName`	`target.file.full_path`	已重命名/已映射
`FilePath`	`target.file.full_path`	已重命名/已映射
`KeyFilePath`	`target.file.full_path`	已重命名/已映射
`KeyUserPath`	`target.file.full_path`	已重命名/已映射
`Namespace`	`target.file.full_path`	已重命名/已映射
`PublishURLs`	`target.file.full_path`	已重命名/已映射
`ServiceFileName`	`target.file.full_path`	已重命名/已映射
`ShareLocalPath`	`target.file.full_path`	已重命名/已映射
`target_file_name`	`target.file.full_path`	已重命名/已映射
`MD5`	`target.file.md5`	已重命名/已映射
`EventID`	`target.file.names`	已映射：`5049、5140、5145、5142、5143、5144、4698、4702、4699、4700、4701、4946、4690、4...
`RelativeTargetName`	`target.file.names`	已合并
`ScriptName`	`target.file.names`	已合并
`SourceName`	`target.file.names`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `R...
`SHA1`	`target.file.sha1`	已重命名/已映射
`SHA256`	`target.file.sha256`	已重命名/已映射
`NewSize`	`target.file.size`	已重命名/已映射
`target_file_size`	`target.file.size`	已重命名/已映射
`EventID`	`target.group.attribute.labels`	已映射：`4908, 4964` → `label_for_target_group`
`SourceName`	`target.group.attribute.labels`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `l...
`label_for_target_group`	`target.group.attribute.labels`	已合并
`EventID`	`target.group.attribute.permissions`	已映射：`4656、4704、4672、4731、4720、4723、4726、4728、4729、4730、4732、4733、4734、47...
`SourceName`	`target.group.attribute.permissions`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `p...
`privilege_list`	`target.group.attribute.permissions`	已合并
`target_group_display_name`	`target.group.group_display_name`	已重命名/已映射
`target_group_product_object_id`	`target.group.product_object_id`	已重命名/已映射
`target_group_windows_sid`	`target.group.windows_sid`	已重命名/已映射
`AccountName`	`target.hostname`	直接映射
`client_name`	`target.hostname`	直接映射
`target_asset_hostname`	`target.hostname`	直接映射
`target_hostname`	`target.hostname`	已重命名/已映射
`ClientIPAddress`	`target.ip`	已合并
`EventID`	`target.ip`	已映射：`4908, 4964` → `target_ip`
`NASIPAddress`	`target.ip`	已合并
`SourceName`	`target.ip`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `v...
`called_station_id`	`target.ip`	已合并
`client_ip`	`target.ip`	已合并
`nas_ip`	`target.ip`	已合并
`target_ip`	`target.ip`	已合并
`var_valid_ip`	`target.ip`	已合并
`ActiveProfile_label`	`target.labels`	已合并
`AppId_label`	`target.labels`	已合并
`CommandName_label`	`target.labels`	已合并
`ConfiguredNames_label`	`target.labels`	已合并
`DN_label`	`target.labels`	已合并
`DSType_label`	`target.labels`	已合并
`DirectiveName_label`	`target.labels`	已合并
`EngineVersion_label`	`target.labels`	已合并
`EventID`	`target.labels`	映射值（共 35 个，例如 `4907 , 4817, 4715` → `ObjectServer_label`、4907、4817、4...)
`FQDN_label`	`target.labels`	已合并
`HandleId_label`	`target.labels`	已合并
`HostId_label`	`target.labels`	已合并
`HostVersion_label`	`target.labels`	已合并
`KeyLength_label`	`target.labels`	已合并
`LmPackageName_label`	`target.labels`	已合并
`MandatoryLabel_label`	`target.labels`	已合并
`NewState_label`	`target.labels`	已合并
`NotificationInterval_label`	`target.labels`	已合并
`ObjectServer_label`	`target.labels`	已合并
`Operation_label`	`target.labels`	已合并
`PipelineId_label`	`target.labels`	已合并
`Profiles_label`	`target.labels`	已合并
`ResourceManager_label`	`target.labels`	已合并
`ReturnCode_label`	`target.labels`	已合并
`RunspaceId_label`	`target.labels`	已合并
`ServiceStartType_label`	`target.labels`	已合并
`ServiceType_label`	`target.labels`	已合并
`SkuId_label`	`target.labels`	已合并
`SourceName`	`target.labels`	映射的值（总共 77 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows sec...)
`TargetLinkedLogonId_label`	`target.labels`	已合并
`TokenElevationType_label`	`target.labels`	已合并
`TransactionId_label`	`target.labels`	已合并
`TransmittedServices_label`	`target.labels`	已合并
`Trigger_label`	`target.labels`	已合并
`VirtualAccount_label`	`target.labels`	已合并
`client_friendly_name_label`	`target.labels`	已合并
`event_in_seq_label`	`target.labels`	已合并
`label02`	`target.labels`	已合并
`label462`	`target.labels`	已合并
`label463`	`target.labels`	已合并
`label46561`	`target.labels`	已合并
`label46562`	`target.labels`	已合并
`label46563`	`target.labels`	已合并
`label46564`	`target.labels`	已合并
`label46565`	`target.labels`	已合并
`label46571`	`target.labels`	已合并
`label46572`	`target.labels`	已合并
`label47681`	`target.labels`	已合并
`label47682`	`target.labels`	已合并
`label501`	`target.labels`	已合并
`label601`	`target.labels`	已合并
`labels46411`	`target.labels`	已合并
`labels46412`	`target.labels`	已合并
`labels46413`	`target.labels`	已合并
`labels46414`	`target.labels`	已合并
`labels46415`	`target.labels`	已合并
`labels46416`	`target.labels`	已合并
`labels46417`	`target.labels`	已合并
`nas_port_type`	`target.labels`	已合并
`new_target_user_name_label`	`target.labels`	已合并
`object_class_label`	`target.labels`	已合并
`object_dn_label`	`target.labels`	已合并
`target_label`	`target.labels`	已合并
`target_labels`	`target.labels`	已合并
`target_logon_id_label`	`target.labels`	已合并
`target_user_id_label`	`target.labels`	已合并
`EventID`	`target.mac`	已映射：`4908, 4964` → `target_mac`
`NASIdentifier`	`target.mac`	已映射：`(([0-9a-fA-F]{2}:){5}[0-9a-fA-F]{2})$` → `NASIdentifier`
`SourceName`	`target.mac`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `t...
`mac_address`	`target.mac`	已合并
`target_mac`	`target.mac`	已合并
`PeerPrivateAddress`	`target.nat_ip`	已合并
`SourceName`	`target.nat_ip`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `P...
`NASPort`	`target.nat_port`	已重命名/已映射
`var_http_method`	`target.network.http.method`	直接映射
`target_platform_version`	`target.platform_version`	已重命名/已映射
`nas_port`	`target.port`	已重命名/已映射
`targetport`	`target.port`	已重命名/已映射
`CommandLine`	`target.process.command_line`	已重命名/已映射
`target_process_command_line`	`target.process.command_line`	已重命名/已映射
`ImagePath`	`target.process.file.full_path`	已重命名/已映射
`NewProcessName`	`target.process.file.full_path`	已重命名/已映射
`TargetProcessName`	`target.process.file.full_path`	已重命名/已映射
`target_process_file_full_path`	`target.process.file.full_path`	已重命名/已映射
`MD5`	`target.process.file.md5`	直接映射
`SourceName`	`target.process.file.names`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `v...
`var_process_file_name`	`target.process.file.names`	已合并
`SHA1`	`target.process.file.sha1`	直接映射
`SHA256`	`target.process.file.sha256`	直接映射
`target_parent_process_command_line`	`target.process.parent_process.command_line`	已重命名/已映射
`target_parent_process_file_full_path`	`target.process.parent_process.file.full_path`	已重命名/已映射
`target_parent_process_pid`	`target.process.parent_process.pid`	已重命名/已映射
`TargetProcessId`	`target.process.pid`	已重命名/已映射
`target_process_pid`	`target.process.pid`	已重命名/已映射
`EventOriginId`	`target.process.product_specific_process_id`	直接映射
`ObjectName`	`target.registry.registry_key`	直接映射
`ObjectVirtualPath`	`target.registry.registry_key`	已重命名/已映射
`target_registry_key`	`target.registry.registry_key`	已重命名/已映射
`NewValue`	`target.registry.registry_value_data`	已重命名/已映射
`target_registry_registry_value_data`	`target.registry.registry_value_data`	已重命名/已映射
`ObjectValueName`	`target.registry.registry_value_name`	已重命名/已映射
`registry_value`	`target.registry.registry_value_name`	已重命名/已映射
`target_registry_registry_value_name`	`target.registry.registry_value_name`	已重命名/已映射
`AlgorithmName_label`	`target.resource.attribute.labels`	已合并
`ClassId_label`	`target.resource.attribute.labels`	已合并
`ClassName_label`	`target.resource.attribute.labels`	已合并
`CompatibleIds_label`	`target.resource.attribute.labels`	已合并
`DomainBehaviorVersion_label`	`target.resource.attribute.labels`	已合并
`ErrorCode_label`	`target.resource.attribute.labels`	已合并
`EventID`	`target.resource.attribute.labels`	映射的值（总共 101 个，例如 `4907 , 4817, 4715` → `label0`、`4907 , 4817, 4715` → `la... )
`ForceLogoff_label`	`target.resource.attribute.labels`	已合并
`HandleID_label`	`target.resource.attribute.labels`	已合并
`HardwareIds_label`	`target.resource.attribute.labels`	已合并
`KeyType_label`	`target.resource.attribute.labels`	已合并
`LocationInformation_label`	`target.resource.attribute.labels`	已合并
`LockoutDuration_label`	`target.resource.attribute.labels`	已合并
`LockoutObservationWindow_label`	`target.resource.attribute.labels`	已合并
`LockoutThreshold_label`	`target.resource.attribute.labels`	已合并
`MachineAccountQuota_label`	`target.resource.attribute.labels`	已合并
`MaxPasswordAge_label`	`target.resource.attribute.labels`	已合并
`MinPasswordAge_label`	`target.resource.attribute.labels`	已合并
`MinPasswordLength_label`	`target.resource.attribute.labels`	已合并
`MixedDomainMode_label`	`target.resource.attribute.labels`	已合并
`ModifiedObjectProperties_label`	`target.resource.attribute.labels`	已合并
`ObjectIdentifyingProperties_label`	`target.resource.attribute.labels`	已合并
`ObjectProperties_label`	`target.resource.attribute.labels`	已合并
`ObjectServer_label`	`target.resource.attribute.labels`	已合并
`OemInformation_label`	`target.resource.attribute.labels`	已合并
`PasswordHistoryLength_label`	`target.resource.attribute.labels`	已合并
`PasswordProperties_label`	`target.resource.attribute.labels`	已合并
`ProfileChanged_label`	`target.resource.attribute.labels`	已合并
`ProfileUsed_label`	`target.resource.attribute.labels`	已合并
`ProviderName_label`	`target.resource.attribute.labels`	已合并
`PuaCount_label`	`target.resource.attribute.labels`	已合并
`ResourceAttributes_label`	`target.resource.attribute.labels`	已合并
`SettingValue_label`	`target.resource.attribute.labels`	已合并
`SourceName`	`target.resource.attribute.labels`	映射的值（总共 120 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows se...)
`TemplateContent_label`	`target.resource.attribute.labels`	已合并
`TemplateDSObjectFQDN_label`	`target.resource.attribute.labels`	已合并
`TemplateSchemaVersion_label`	`target.resource.attribute.labels`	已合并
`TemplateVersion_label`	`target.resource.attribute.labels`	已合并
`TransactionId_label`	`target.resource.attribute.labels`	已合并
`database_principal_id_label`	`target.resource.attribute.labels`	已合并
`database_principal_name_label`	`target.resource.attribute.labels`	已合并
`entry_type_label`	`target.resource.attribute.labels`	已合并
`label0`	`target.resource.attribute.labels`	已合并
`label00`	`target.resource.attribute.labels`	已合并
`label01`	`target.resource.attribute.labels`	已合并
`label02`	`target.resource.attribute.labels`	已合并
`label03`	`target.resource.attribute.labels`	已合并
`label04`	`target.resource.attribute.labels`	已合并
`label05`	`target.resource.attribute.labels`	已合并
`label06`	`target.resource.attribute.labels`	已合并
`label07`	`target.resource.attribute.labels`	已合并
`label08`	`target.resource.attribute.labels`	已合并
`label09`	`target.resource.attribute.labels`	已合并
`label1`	`target.resource.attribute.labels`	已合并
`label2`	`target.resource.attribute.labels`	已合并
`label3`	`target.resource.attribute.labels`	已合并
`label4`	`target.resource.attribute.labels`	已合并
`label4681`	`target.resource.attribute.labels`	已合并
`label4682`	`target.resource.attribute.labels`	已合并
`label4683`	`target.resource.attribute.labels`	已合并
`label4684`	`target.resource.attribute.labels`	已合并
`label5`	`target.resource.attribute.labels`	已合并
`label6`	`target.resource.attribute.labels`	已合并
`label_SessionStateChangeTrigger_Enabled`	`target.resource.attribute.labels`	已合并
`label_SessionStateChangeTrigger_StateChange`	`target.resource.attribute.labels`	已合并
`label_for_target_resource`	`target.resource.attribute.labels`	已合并
`labels0`	`target.resource.attribute.labels`	已合并
`labels1`	`target.resource.attribute.labels`	已合并
`labels10`	`target.resource.attribute.labels`	已合并
`labels11`	`target.resource.attribute.labels`	已合并
`labels12`	`target.resource.attribute.labels`	已合并
`labels13`	`target.resource.attribute.labels`	已合并
`labels14`	`target.resource.attribute.labels`	已合并
`labels15`	`target.resource.attribute.labels`	已合并
`labels16`	`target.resource.attribute.labels`	已合并
`labels17`	`target.resource.attribute.labels`	已合并
`labels19`	`target.resource.attribute.labels`	已合并
`labels2`	`target.resource.attribute.labels`	已合并
`labels21`	`target.resource.attribute.labels`	已合并
`labels26`	`target.resource.attribute.labels`	已合并
`labels3`	`target.resource.attribute.labels`	已合并
`labels35`	`target.resource.attribute.labels`	已合并
`labels4`	`target.resource.attribute.labels`	已合并
`labels41`	`target.resource.attribute.labels`	已合并
`labels5`	`target.resource.attribute.labels`	已合并
`labels6`	`target.resource.attribute.labels`	已合并
`labels7`	`target.resource.attribute.labels`	已合并
`labels8`	`target.resource.attribute.labels`	已合并
`labels9`	`target.resource.attribute.labels`	已合并
`nas_port_label`	`target.resource.attribute.labels`	已合并
`netbios_name_label`	`target.resource.attribute.labels`	已合并
`object_id_label`	`target.resource.attribute.labels`	已合并
`object_name_label`	`target.resource.attribute.labels`	已合并
`operation_id_label`	`target.resource.attribute.labels`	已合并
`schema_name_label`	`target.resource.attribute.labels`	已合并
`target_database_principal_id_label`	`target.resource.attribute.labels`	已合并
`target_database_principal_name_label`	`target.resource.attribute.labels`	已合并
`top_level_name_label`	`target.resource.attribute.labels`	已合并
`uac_label`	`target.resource.attribute.labels`	已合并
`user_data_install_device_id_@_xmlns__label`	`target.resource.attribute.labels`	已合并
`user_data_install_device_id_driver_description_label`	`target.resource.attribute.labels`	已合并
`user_data_install_device_id_driver_provider_label`	`target.resource.attribute.labels`	已合并
`user_data_install_device_id_driver_version_label`	`target.resource.attribute.labels`	已合并
`user_data_install_device_id_install_status_label`	`target.resource.attribute.labels`	已合并
`volume_label`	`target.resource.attribute.labels`	已合并
`EventID`	`target.resource.attribute.permissions`	映射：`4663, 4656, 4659` → `permissions`，`4908, 4964` → `permissions`
`SourceName`	`target.resource.attribute.permissions`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `p...
`permissions`	`target.resource.attribute.permissions`	已合并
`DeviceId`	`target.resource.id`	已重命名/已映射
`ContextName`	`target.resource.name`	直接映射
`DestinationDRA`	`target.resource.name`	直接映射
`DfsNamespace`	`target.resource.name`	已重命名/已映射
`DomainPolicyChanged`	`target.resource.name`	已重命名/已映射
`ExtensionName`	`target.resource.name`	已重命名/已映射
`HiveName`	`target.resource.name`	已重命名/已映射
`SecurityPackageName`	`target.resource.name`	已重命名/已映射
`TicketOptions`	`target.resource.name`	直接映射
`attribute_value`	`target.resource.name`	已重命名/已映射
`target_resource_name`	`target.resource.name`	已重命名/已映射
`updateTitle`	`target.resource.name`	已重命名/已映射
`ObjectServer`	`target.resource.parent`	已重命名/已映射
`AppInstance`	`target.resource.product_object_id`	已重命名/已映射
`AuthenticationSetId`	`target.resource.product_object_id`	已重命名/已映射
`ConnectionSecurityRuleId`	`target.resource.product_object_id`	已重命名/已映射
`CryptographicSetId`	`target.resource.product_object_id`	已重命名/已映射
`DeviceId`	`target.resource.product_object_id`	直接映射
`ExtensionId`	`target.resource.product_object_id`	已重命名/已映射
`FilterId`	`target.resource.product_object_id`	已重命名/已映射
`IpSecSecurityAssociationId`	`target.resource.product_object_id`	已重命名/已映射
`ObjectGUID`	`target.resource.product_object_id`	已重命名/已映射
`PuaPolicyId`	`target.resource.product_object_id`	已重命名/已映射
`TargetJobId`	`target.resource.product_object_id`	已重命名/已映射
`TemplateOID`	`target.resource.product_object_id`	已重命名/已映射
`target_resource_product_object_id`	`target.resource.product_object_id`	已重命名/已映射
`updateGuid`	`target.resource.product_object_id`	已重命名/已映射
`val_instance_id`	`target.resource.product_object_id`	直接映射
`KeyType`	`target.resource.resource_subtype`	已重命名/已映射
`ObjectType`	`target.resource.resource_subtype`	直接映射
`TicketEncryptionType`	`target.resource.resource_subtype`	直接映射
`resource_subtype`	`target.resource.resource_subtype`	已重命名/已映射
`EventID`	`target.resource.resource_type`	已映射：`4908, 4964` → `SETTING`、`4908, 4964` → `TASK`
`SourceName`	`target.resource.resource_type`	映射的值（总共 6 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`resource_type`	`target.resource.resource_type`	已重命名/已映射
`EventID`	`target.resource.type`	已映射：`4908, 4964` → `DATABASE`
`SourceName`	`target.resource.type`	映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `D...
`SourceName`	`target.resource_ancestors`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `r...
`resource_ancestors`	`target.resource_ancestors`	已合并
`SubscriptionManagerAddress`	`target.url`	已重命名/已映射
`target_url`	`target.url`	已重命名/已映射
`fileLength`	`target.url_metadata.last_http_response_content_length`	已重命名/已映射
`EventID`	`target.user.attribute.labels`	已映射：`4908, 4964` → `label_for_target_user`、`4908, 4964` → `user_label1`
`MembershipExpirationTime_label`	`target.user.attribute.labels`	已合并
`SourceName`	`target.user.attribute.labels`	映射的值（总共 7 个，例如“Microsoft-Windows-Security-Auditing”“Microsoft Windows secu...)
`TargetOutboundDomainName_label`	`target.user.attribute.labels`	已合并
`label_for_target_user`	`target.user.attribute.labels`	已合并
`target_group_membership_name_label`	`target.user.attribute.labels`	已合并
`target_user_sid_name_label`	`target.user.attribute.labels`	已合并
`user_att`	`target.user.attribute.labels`	已合并
`user_label1`	`target.user.attribute.labels`	已合并
`EventID`	`target.user.attribute.permissions`	已映射：`4656、4704、4672、4731、4720、4723、4726、4728、4729、4730、4732、4733、4734、47...
`SourceName`	`target.user.attribute.permissions`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `a...
`access_granted`	`target.user.attribute.permissions`	已合并
`access_removed_list`	`target.user.attribute.permissions`	已合并
`privilege_list`	`target.user.attribute.permissions`	已合并
`EventID`	`target.user.group_identifiers`	已映射：`4908, 4964` → `new_sid`
`SourceName`	`target.user.group_identifiers`	已映射：`"Microsoft-Windows-Security-Auditing", "Microsoft Windows security auditing."` → `i...
`input_sid`	`target.user.group_identifiers`	已合并
`new_sid`	`target.user.group_identifiers`	已合并
`DisplayName`	`target.user.user_display_name`	已重命名/已映射
`FullName`	`target.user.user_display_name`	直接映射
`target_user_display_name`	`target.user.user_display_name`	已重命名/已映射
`DetectionUser`	`target.user.userid`	直接映射
`NewTargetUserName`	`target.user.userid`	已重命名/已映射
`UserName`	`target.user.userid`	直接映射
`subject_user_name`	`target.user.userid`	已重命名/已映射
`target_user_id`	`target.user.userid`	已重命名/已映射
`subject_user_sid`	`target.user.windows_sid`	直接映射
`target_user_windows_sid`	`target.user.windows_sid`	已重命名/已映射
不适用	`metadata.event_type`	常量：`STATUS_UPDATE`
不适用	`metadata.product_name`	常量：`Microsoft-Windows-Security-Auditing`
不适用	`metadata.vendor_name`	常量：`Microsoft`
不适用	`principal.asset.platform_software.platform`	常量：`WINDOWS`
不适用	`target.resource.resource_type`	常量：`BACKEND_SERVICE`
不适用	`target.resource.type`	常量：`DATABASE`

更新日志

查看相应解析器的更改日志