Recopila registros de Osquery

Se admite en los siguientes países:

Google SecOps SIEM

En este documento, se describe cómo puedes recopilar registros de osquery configurando osquery y un reenviador de Operaciones de seguridad de Google. En este documento, también se enumeran los tipos de registros compatibles y las versiones de osquery compatibles.

Para obtener más información, consulta Transferencia de datos a Google Security Operations.

Descripción general

En el siguiente diagrama de arquitectura de implementación, se muestra cómo los agentes de Osquery y el servidor de Fleet están configurados para enviar registros a Google Security Operations. En cada implementación de cliente difieran de esta representación y podrían ser más complejas.

En el diagrama de arquitectura, se muestran los siguientes componentes:

• Sistema Linux: El sistema Linux que se supervisará en el que el agente de Osquery está instalado

• Sistema Microsoft Windows: El sistema Microsoft Windows que se supervisará en el que el agente de Osquery está instalado

• Sistema Mac: El sistema Mac que se supervisará en el que el agente de Osquery está instalado

• Agente oquery: Recopila información de Microsoft Windows, Linux o Mac. sistema y reenvía la información al servidor de la flota

• Servidor de flota: Supervisa y recibe información del los agentes de osquery, analiza los registros y los reenvía al servidor de reenvío de Google Security Operations

• Servidor de reenvío de Google Security Operations: componente de software, implementado en la red del cliente para reenviar los registros a Google Security Operations

• Google Security Operations: Retiene y analiza los registros de el servidor de flota

Una etiqueta de transferencia identifica el analizador que normaliza los datos de registro sin procesar al formato de UDM estructurado. La información de este documento se aplica al analizador con la etiqueta de transferencia OSQUERY_EDR.

Antes de comenzar

• Instala el servidor de Fleet. Para instalar el servidor de flota, sigue estos pasos:

  • Configura un host.
  • Instala el servidor de flota.

• Usa una versión de osquery que admita el analizador de Google Security Operations, es decir, 5.2.3 y 5.3.0.

• Asegúrate de que todos los sistemas en la arquitectura de implementación estén configurados en la zona horaria UTC.

• Asegúrate de que los nombres de las tablas en la flota cumplan con la documentación oficial de la flota.

Configura el agente, el servidor y el servidor de reenvío de Google Security Operations

Para configurar el servidor de la flota y el servidor de reenvío de Google Security Operations, haz lo siguiente:

1. Para configurar el servidor de flota, haz lo siguiente:

   1. Instala y configura MySQL.
   2. Instala y configura Redis.
   3. Ejecuta el servidor de flota.

2. Agrega hosts al servidor de la flota y, luego, instala el agente de Osquery. Puedes agregar tu host al servidor de Fleet con un instalador de osquery. El servidor de flota ayuda a generar un instalador de Osquery con el comando del paquete poolctl.

   1. Para ejecutar el comando poolctl package, instala la herramienta de línea de comandos de poolctl.
   2. Instala el agente de osquery con el comando del paquete poolctl.

   Cuando instalas el instalador de osquery generado en un host, este se inscribe automáticamente en la instancia de Fleet especificada.

3. Recuperar los registros del agente de Osquery Para crear una consulta en la flota a fin de recuperar los registros, visita Crea una consulta y, para programar una consulta, visita Programa una consulta.

4. Configurar el servidor de reenvío de Google Security Operations en un dispositivo Linux central para enviar los registros al sistema de Google Security Operations Para obtener más información, visita Instala y configura el reenviador en Linux. A continuación, se muestra un ejemplo de una configuración de reenvío de Google SecOps:

     - file:
         common:
           enabled: true
           data_type: OSQUERY_EDR
           batch_n_seconds: 10
           batch_n_bytes: 1048576
         skip_seek_to_end: true
         file_path: <log_file_path>
   

   Nota: El analizador de osquery no admite alias de tablas ni columnas.

Referencia de la asignación de campos

En esta sección, se explica cómo el analizador de Google Security Operations asigna campos de registro de osquery a campos del modelo de datos unificado (UDM) de Google Security Operations para el esquema y el sistema operativo. Si deseas obtener más información, consulta el esquema de Osquery para la versión 5.2.3 y la versión 5.3.0.

Obsoletos:

Los siguientes campos labels para los sustantivos UDM están obsoletos: about.labels, intermediary.labels, observer.labels, principal.labels, src.labels, security_result.about.labels y target.labels. Para los analizadores existentes, además de estos campos de UDM, los campos de registro también se asignan a los campos de UDM additional.fields de clave-valor. Para los analizadores nuevos, se usa la configuración de clave-valor en los campos de UDM additional.fields en lugar de los campos UDM labels obsoletos. Te recomendamos que actualices las reglas existentes para usar la configuración de clave-valor en los campos de la UDM additional.fields en lugar de los campos de la UDM labels obsoletos.

account_policy_data

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema account_policy_data y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
uid	principal.user.userid
creation_time	principal.user.attribute.creation_time
failed_login_count	principal.user.attribute.labels.key/value
failed_login_timestamp	principal.user.attribute.labels.key/value
password_last_set_time	principal.user.attribute.labels.key/value

ad_config

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema ad_config y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	about.labels.key/value (obsoleto) additional.fields
dominio	target.administrative_domain
opción	about.labels.key (obsoleto) additional.fields.key
valor	about.labels.value (obsoleto) additional.fields.value.string_value

alf

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema alf y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
allow_signed_enabled	about.labels.key/value (obsoleto) additional.fields
firewall_unload	about.labels.key/value (obsoleto) additional.fields
global_state	about.labels.key/value (obsoleto) additional.fields
logging_enabled	about.labels.key/value (obsoleto) additional.fields
logging_option	about.labels.key/value (obsoleto) additional.fields
stealth_enabled	about.labels.key/value (obsoleto) additional.fields
version	target.platform_version

alf_exceptions

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema alf_exceptions y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
state	about.labels.key/value (obsoleto) additional.fields

alf_explicit_auths

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema alf_daily_auths y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
inversa	target.process.pid

app_schemes

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema app_schemes y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
esquema	about.labels.key/value (obsoleto) additional.fields
handler	about.labels.key/value (obsoleto) additional.fields
habilitado	about.labels.key/value (obsoleto) additional.fields
externa	about.labels.key/value (obsoleto) additional.fields
protegido	about.labels.key/value (obsoleto) additional.fields

apparmor_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema apparmor_events y el SO Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tipo	about.labels.key/value (obsoleto) additional.fields
mensaje	metadata.description
hora	about.labels.key/value (obsoleto) additional.fields
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
eid	security_result.rule_id
apparmor	security_result.action
operación	about.labels.key/value (obsoleto) additional.fields
elemento superior	target.process.parent_process.pid
perfil	about.labels.key/value (obsoleto) additional.fields
name	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
comm	target.process.command_line
denied_mask	about.labels.key/value (obsoleto) additional.fields
capname	about.labels.key/value (obsoleto) additional.fields
fsuid	target.user.attribute.labels.key/value
ouid	target.user.attribute.labels.key/value
capability	about.labels.key/value (obsoleto) additional.fields
requested_mask	target.process.access_mask
información	about.labels.key/value (obsoleto) additional.fields
error	security_result.summary
espacio de nombres	about.labels.key/value (obsoleto) additional.fields
etiqueta	about.labels.key/value (obsoleto) additional.fields

apparmor_profiles

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema apparmor_profiles y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
name	target.resource.name
conectar	about.labels.key/value (obsoleto) additional.fields
Standard	about.labels.key/value (obsoleto) additional.fields
sha1	target.file.sha1

de Google Chat

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para las apps de esquema y el SO macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	target.application
ruta	target.file.full_path
bundle_executable	about.labels.key/value (obsoleto) additional.fields
bundle_identifier	target.resource.product_object_id
bundle_name	target.resource.name
bundle_short_version	target.resource.attribute.labels.key/value
bundle_version	target.resource.attribute.labels.key/value
bundle_package_type	about.labels.key/value (obsoleto) additional.fields
de producción	about.labels.key/value (obsoleto) additional.fields
elemento	about.labels.key/value (obsoleto) additional.fields
compilador	about.labels.key/value (obsoleto) additional.fields
development_region	about.location.country_or_region
display_name	about.labels.key/value (obsoleto) additional.fields
info_string	about.labels.key/value (obsoleto) additional.fields
minimum_system_version	about.labels.key/value (obsoleto) additional.fields
category	about.labels.key/value (obsoleto) additional.fields
applescript_enabled	about.labels.key/value (obsoleto) additional.fields
derechos de autor	about.labels.key/value (obsoleto) additional.fields
last_opened_time	target.file.last_seen_time

ASL

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema asl y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
hora	about.labels.key/value (obsoleto) additional.fields
time_nano_sec	about.labels.key/value (obsoleto) additional.fields
host	target.hostname
remitente	about.labels.key/value (obsoleto) additional.fields
instalación	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
gid	target.user.group_identifiers
uid	target.user.userid
level	about.labels.key/value (obsoleto) additional.fields
mensaje	metadata.description
ref_pid	about.labels.key/value (obsoleto) additional.fields
ref_proc	about.labels.key/value (obsoleto) additional.fields
extra	about.labels.key/value (obsoleto) additional.fields

código de autenticación

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el authenticode del esquema y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
original_program_name	about.labels.key/value (obsoleto) additional.fields
serial_number	network.tls.client.certificate.serial
issuer_name	network.tls.client.certificate.issuer
subject_name	network.tls.client.certificate.subject
Resultado	security_result.summary

authorization_mechanisms

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema de Authorization_mechanisms y macOS OS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
etiqueta	about.labels.key/value (obsoleto) additional.fields
complemento	about.labels.key/value (obsoleto) additional.fields
mecanismo	about.labels.key/value (obsoleto) additional.fields
con privilegios	about.labels.key/value (obsoleto) additional.fields
entry.	about.labels.key/value (obsoleto) additional.fields

autorizaciones

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para las autorizaciones de esquema y macOS del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
etiqueta	about.labels.key/value (obsoleto) additional.fields
modificados	about.labels.key/value (obsoleto) additional.fields
allow_root	about.labels.key/value (obsoleto) additional.fields
tiempo de espera agotado	about.labels.key/value (obsoleto) additional.fields
version	about.labels.key/value (obsoleto) additional.fields
intenta	about.labels.key/value (obsoleto) additional.fields
authenticate_user	about.labels.key/value (obsoleto) additional.fields
compartido	about.labels.key/value (obsoleto) additional.fields
comentario	about.labels.key/value (obsoleto) additional.fields
created	about.labels.key/value (obsoleto) additional.fields
clase	about.labels.key/value (obsoleto) additional.fields
session_owner	about.labels.key/value (obsoleto) additional.fields

autoexec

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el ejecutable automático del esquema y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
name	target.application
source	target.resource.name

bitlocker_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema bitlocker_info y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
device_id	target.resource.product_object_id
drive_letter	target.resource.name
persistent_volume_id	about.labels.key/value (obsoleto) additional.fields
conversion_status	target.resource.attirbute.labels.key/value
protection_status	target.resource.attirbute.labels.key/value
encryption_method	target.resource.attirbute.labels.key/value
version	metadata.product_version
percentage_encrypted	target.resource.attirbute.labels.key/value
lock_status	target.resource.attirbute.labels.key/value

bpf_process_events

En la siguiente tabla, se muestran los campos de registro y las asignaciones de UDM correspondientes para el esquema bpf_process_events y el SO Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tid	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
elemento superior	target.process.parent_process.pid
uid	principal.user.userid
gid	principal.group.product_object_id
CID	about.labels.key/value (obsoleto) additional.fields
exit_code	about.labels.key/value (obsoleto) additional.fields
probe_error	about.labels.key/value (obsoleto) additional.fields
llamada del sistema	about.labels.key/value (obsoleto) additional.fields
ruta	target.process.file.full_path
cwd	about.labels.key/value (obsoleto) additional.fields
cmdline	target.process.command_line
duración	about.labels.key/value (obsoleto) additional.fields
json_cmdline	about.labels.key/value (obsoleto) additional.fields
ntime	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

bpf_socket_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema bpf_socket_events y el SO Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tid	about.labels.key/value (obsoleto) additional.fields
pid	principal.process.pid
elemento superior	principal.process.parent_process.pid
uid	principal.user.userid
gid	principal.group.product_object_id
CID	about.labels.key/value (obsoleto) additional.fields
exit_code	about.labels.key/value (obsoleto) additional.fields
probe_error	about.labels.key/value (obsoleto) additional.fields
llamada del sistema	about.labels.key/value (obsoleto) additional.fields
ruta	target.file.full_path
fd,	about.labels.key/value (obsoleto) additional.fields
familia	about.labels.key/value (obsoleto) additional.fields
tipo	about.labels.key/value (obsoleto) additional.fields
protocol	about.labels.key/value (obsoleto) additional.fields
local_address	principal.ip
remote_address	target.ip
local_port	principal.port
remote_port	target.port
duración	about.labels.key/value (obsoleto) additional.fields
ntime	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

certificates

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los certificados de esquema y macOS y Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
common_name	about.labels.key/value (obsoleto) additional.fields
asunto	network.tls.client.certificate.subject
emisor	network.tls.client.certificate.issuer
ac	about.labels.key/value (obsoleto) additional.fields
self_signed	about.labels.key/value (obsoleto) additional.fields
not_valid_before	network.tls.client.certificate.not_before
not_valid_after	network.tls.client.certificate.not_after
signing_algorithm	about.labels.key/value (obsoleto) additional.fields
key_algorithm	about.labels.key/value (obsoleto) additional.fields
key_strength	about.labels.key/value (obsoleto) additional.fields
key_usage	about.labels.key/value (obsoleto) additional.fields
subject_key_id	about.labels.key/value (obsoleto) additional.fields
authority_key_id	about.labels.key/value (obsoleto) additional.fields
sha1	network.tls.client.certificate.sha1
ruta	about.labels.key/value (obsoleto) additional.fields
serial	network.tls.client.certificate.serial
SID	about.labels.key/value (obsoleto) additional.fields
store_location	about.labels.key/value (obsoleto) additional.fields
almacena	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	principal.user.user_display_name
store_id	about.labels.key/value (obsoleto) additional.fields

chassis_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema chassis_info y Windows del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
audible_alarm	about.labels.key/value (obsoleto) additional.fields
breach_description	security_result.description
chassis_types	about.labels.key/value (obsoleto) additional.fields
descripción	metadata.description
lock	about.labels.key/value (obsoleto) additional.fields
fabricante	principal.asset.hardware.manufacturer
modelo	principal.asset.hardware.model
security_breach	security_result.detection_fields.key/value
serial	principal.asset.hardware.serial_number
smbios_tag	about.labels.key/value (obsoleto) additional.fields
sku	about.labels.key/value (obsoleto) additional.fields
estado	about.labels.key/value (obsoleto) additional.fields
visible_alarm	about.labels.key/value (obsoleto) additional.fields

chrome_extensions

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema chrome_extensions y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
browser_type	target.resource.attribute.labels.key/value
uid	principal.user.userid
name	target.resource.name
perfil	target.resource.attribute.labels.key/value
profile_path	target.resource.attribute.labels.key/value
referenced_identifier	target.resource.attribute.labels.key/value
identifier	target.resource.attribute.labels.key/value
version	target.resource.attribute.labels.key/value
descripción	target.resource.attribute.labels.key/value
default_locale	target.resource.attribute.labels.key/value
current_locale	target.resource.attribute.labels.key/value
update_url	network.http.referral_url
author	target.resource.attribute.labels.key/value
persistentes	target.resource.attribute.labels.key/value
ruta	target.file.full_path
permisos	target.resource.attribute.labels.key/value
permissions_json	target.resource.attribute.labels.key/value
optional_permissions	target.resource.attribute.labels.key/value
optional_permissions_json	target.resource.attribute.labels.key/value
manifest_hash	target.resource.attribute.labels.key/value
referencia	target.resource.attribute.labels.key/value
from_webstore	target.resource.attribute.labels.key/value
state	target.resource.attribute.labels.key/value
install_time	target.resource.attribute.labels.key/value
install_timestamp	target.resource.attribute.labels.key/value
manifest_json	target.resource.attribute.labels.key/value
clave	target.resource.attribute.labels.key/value

connectivity

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para la conectividad del esquema y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
desconectado	about.labels.key/value (obsoleto) additional.fields
ipv4_no_traffic	about.labels.key/value (obsoleto) additional.fields
ipv6_no_traffic	about.labels.key/value (obsoleto) additional.fields
ipv4_subnet	about.labels.key/value (obsoleto) additional.fields
ipv4_local_network	about.labels.key/value (obsoleto) additional.fields
ipv4_internet	about.labels.key/value (obsoleto) additional.fields
ipv6_subnet	about.labels.key/value (obsoleto) additional.fields
ipv6_local_network	about.labels.key/value (obsoleto) additional.fields
ipv6_internet	about.labels.key/value (obsoleto) additional.fields

cpu_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema cpu_info y Windows del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
device_id	principal.asset.product_object_id
modelo	principal.asset.hardware.model
fabricante	principal.asset.hardware.manufacturer
processor_type	about.labels.key/value (obsoleto) additional.fields
general	about.labels.key/value (obsoleto) additional.fields
cpu_status	about.labels.key/value (obsoleto) additional.fields
number_of_cores	principal.asset.hardware.cpu_number_cores
logical_processors	about.labels.key/value (obsoleto) additional.fields
address_width	about.labels.key/value (obsoleto) additional.fields
current_clock_speed	principal.asset.hardware.cpu_clock_speed
max_clock_speed	principal.asset.hardware.cpu_max_clock_speed
socket_designation	about.labels.key/value (obsoleto) additional.fields

fallas

En la siguiente tabla, se muestran los campos de registro y las asignaciones de UDM correspondientes para las fallas del esquema y el SO macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tipo	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
ruta	target.process.file.full_path
crash_path	target.file.full_path
identifier	about.labels.key/value (obsoleto) additional.fields
version	about.labels.key/value (obsoleto) additional.fields
elemento superior	target.process.parent_process.pid
responsable	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
fecha y hora	metadata.event_timestamp
crashed_thread	about.labels.key/value (obsoleto) additional.fields
stack_trace	about.labels.key/value (obsoleto) additional.fields
exception_type	about.labels.key/value (obsoleto) additional.fields
exception_codes	about.labels.key/value (obsoleto) additional.fields
exception_notes	about.labels.key/value (obsoleto) additional.fields
registros	about.labels.key/value (obsoleto) additional.fields

crontab

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema crontab y los SO Linux, macOS y FreeBSD:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
evento	about.labels.key/value (obsoleto) additional.fields
minuto	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
day_of_month	about.labels.key/value (obsoleto) additional.fields
mes	about.labels.key/value (obsoleto) additional.fields
day_of_week	about.labels.key/value (obsoleto) additional.fields
CREATE OR REPLACE MODEL.	principal.process.command_line
ruta	principal.process.file.full_path
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields

curl

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema curl y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
url	network.http.referral_url
método	network.http.method
user_agent	network.http.user_agent
response_code	network.http.response_code
round_trip_time	network.session_duration
bytes	network.received_bytes
Resultado	about.labels.key/value (obsoleto) additional.fields

curl_certificate

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema curl_certificate y los SO macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
Nombre de host	principal.hostname
common_name	about.labels.key/value (obsoleto) additional.fields
organización	network.organization_name
organization_unit	about.labels.key/value (obsoleto) additional.fields
serial_number	network.tls.server.certificate.serial
issuer_common_name	about.labels.key/value (obsoleto) additional.fields
issuer_organization	network.tls.server.certificate.issuer
issuer_organization_unit	about.labels.key/value (obsoleto) additional.fields
valid_from	network.tls.server.certificate.not_before
valid_to	network.tls.server.certificate.not_after
sha256_fingerprint	network.tls.server.certificate.sha256
sha1_fingerprint	network.tls.server.certificate.sha1
version	network.tls.server.certificate.version
signature_algorithm	about.labels.key/value (obsoleto) additional.fields
firma	about.labels.key/value (obsoleto) additional.fields
subject_key_identifier	about.labels.key/value (obsoleto) additional.fields
authority_key_identifier	about.labels.key/value (obsoleto) additional.fields
key_usage	about.labels.key/value (obsoleto) additional.fields
extended_key_usage	about.labels.key/value (obsoleto) additional.fields
políticas	about.labels.key/value (obsoleto) additional.fields
subject_alternative_names	about.labels.key/value (obsoleto) additional.fields
issuer_alternative_names	about.labels.key/value (obsoleto) additional.fields
info_access	about.labels.key/value (obsoleto) additional.fields
subject_info_access	about.labels.key/value (obsoleto) additional.fields
policy_mappings	about.labels.key/value (obsoleto) additional.fields
has_expired	about.labels.key/value (obsoleto) additional.fields
basic_constraint	about.labels.key/value (obsoleto) additional.fields
name_constraints	about.labels.key/value (obsoleto) additional.fields
policy_constraints	about.labels.key/value (obsoleto) additional.fields
dump_certificate	about.labels.key/value (obsoleto) additional.fields
tiempo de espera agotado	about.labels.key/value (obsoleto) additional.fields
PEM	about.labels.key/value (obsoleto) additional.fields

device_file

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema device_file y OS Linux, macOS, freebsd y Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
dispositivo	about.labels.key/value (obsoleto) additional.fields
partición	about.labels.key/value (obsoleto) additional.fields
ruta	target.file.full_path
filename	target.file.names
inodo	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
Standard	about.labels.key/value (obsoleto) additional.fields
tamaño	target.file.size
block_size	about.labels.key/value (obsoleto) additional.fields
Atime	about.labels.key/value (obsoleto) additional.fields
mtime	target.file.last_modification_time
ctime	about.labels.key/value (obsoleto) additional.fields
hard_links	about.labels.key/value (obsoleto) additional.fields
tipo	about.labels.key/value (obsoleto) additional.fields

device_hash

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema device_hash y OS Linux, macOS, freebsd y Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
dispositivo	target.file.full_path
partición	about.labels.key/value (obsoleto) additional.fields
inodo	about.labels.key/value (obsoleto) additional.fields
md5	target.file.md5
sha1	target.file.sha1
sha256	target.file.sha56

disk_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema disk_info y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
particiones	principal.asset.attribute.labels.key/value
disk_index	principal.asset.attribute.labels.key/value
tipo	principal.asset.attribute.labels.key/value
id	principal.asset.product_object_id
pnp_device_id	about.labels.key/value (obsoleto) additional.fields
disk_size	principal.asset.attribute.labels.key/value
fabricante	principal.asset.hardware.manufacturer
hardware_model	principal.asset.hardware.model
name	principal.asset.attribute.labels.key/value
serial	principal.asset.hardware.serial_number
descripción	principal.asset.attribute.labels.key/value

dns_cache

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema dns_cache y Windows OS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	network.dns.additional.name
tipo	about.labels.key/value (obsoleto) additional.fields
flags	about.labels.key/value (obsoleto) additional.fields

dns_resolvers

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema dns_resolvers y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	about.labels.key/value (obsoleto) additional.fields
tipo	about.labels.key/value (obsoleto) additional.fields
de la página web.	principal.ip
máscara de red	about.labels.key/value (obsoleto) additional.fields
opciones	about.labels.key/value (obsoleto) additional.fields
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields

docker_container_networks

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema docker_container_networks y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.asset.product_object_id
name	network.carrier_name
network_id	about.labels.key/value (obsoleto) additional.fields
endpoint_id	about.labels.key/value (obsoleto) additional.fields
puerta de enlace	about.labels.key/value (obsoleto) additional.fields
ip_address	target.ip
ip_prefix_len	about.labels.key/value (obsoleto) additional.fields
ipv6_gateway	about.labels.key/value (obsoleto) additional.fields
ipv6_address	target.ip
ipv6_prefix_len	about.labels.key/value (obsoleto) additional.fields
mac_address	target.mac

docker_container_ports

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema docker_container_ports y los SO Linux, macOS y FreeBSD:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.asset.product_object_id
tipo	network.ip_protocol
puerto	target.port
host_ip	principal.ip
host_port	principal.port

docker_container_processes

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema docker_container_processes y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.asset.product_object_id
pid	target.process.pid
name	target.process.file.full_path
cmdline	target.process.command_line
state	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
euid	target.user.attribute.labels.key/value
egid	target.group.attribute.labels.key/value
suid	target.user.attribute.labels.key/value
SGID	target.group.attribute.labels.key/value
wired_size	about.labels.key/value (obsoleto) additional.fields
resident_size	about.labels.key/value (obsoleto) additional.fields
total_size	about.labels.key/value (obsoleto) additional.fields
start_time	about.labels.key/value (obsoleto) additional.fields
elemento superior	target.process.parent_process.pid
pgroup	about.labels.key/value (obsoleto) additional.fields
threads	about.labels.key/value (obsoleto) additional.fields
Niza	about.labels.key/value (obsoleto) additional.fields
usuario	target.user.user_display_name
hora	about.labels.key/value (obsoleto) additional.fields
cpu	about.labels.key/value (obsoleto) additional.fields
mem	about.labels.key/value (obsoleto) additional.fields

docker_container_stats

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema docker_container_stats y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.resource.product_object_id
name	target.resource.name
pids	about.labels.key/value (obsoleto) additional.fields
read	about.labels.key/value (obsoleto) additional.fields
lectura previa	about.labels.key/value (obsoleto) additional.fields
intervalo	about.labels.key/value (obsoleto) additional.fields
disk_read	about.labels.key/value (obsoleto) additional.fields
disk_write	about.labels.key/value (obsoleto) additional.fields
num_procs	about.labels.key/value (obsoleto) additional.fields
cpu_total_usage	about.labels.key/value (obsoleto) additional.fields
cpu_kernelmode_usage	about.labels.key/value (obsoleto) additional.fields
cpu_usermode_usage	about.labels.key/value (obsoleto) additional.fields
system_cpu_usage	about.labels.key/value (obsoleto) additional.fields
online_cpus	about.labels.key/value (obsoleto) additional.fields
pre_cpu_total_usage	about.labels.key/value (obsoleto) additional.fields
pre_cpu_kernelmode_usage	about.labels.key/value (obsoleto) additional.fields
pre_cpu_usermode_usage	about.labels.key/value (obsoleto) additional.fields
pre_system_cpu_usage	about.labels.key/value (obsoleto) additional.fields
pre_online_cpus	about.labels.key/value (obsoleto) additional.fields
memory_usage	about.labels.key/value (obsoleto) additional.fields
memory_max_usage	about.labels.key/value (obsoleto) additional.fields
memory_limit	about.labels.key/value (obsoleto) additional.fields
network_rx_bytes	about.labels.key/value (obsoleto) additional.fields
network_tx_bytes	about.labels.key/value (obsoleto) additional.fields

docker_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema docker_info y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.resource.product_object_id
contenedores	about.labels.key/value (obsoleto) additional.fields
containers_running	about.labels.key/value (obsoleto) additional.fields
containers_paused	about.labels.key/value (obsoleto) additional.fields
containers_stopped	about.labels.key/value (obsoleto) additional.fields
imágenes	about.labels.key/value (obsoleto) additional.fields
storage_driver	about.labels.key/value (obsoleto) additional.fields
memory_limit	about.labels.key/value (obsoleto) additional.fields
swap_limit	about.labels.key/value (obsoleto) additional.fields
kernel_memory	about.labels.key/value (obsoleto) additional.fields
cpu_cfs_period	about.labels.key/value (obsoleto) additional.fields
cpu_cfs_quota	about.labels.key/value (obsoleto) additional.fields
cpu_shares	about.labels.key/value (obsoleto) additional.fields
cpu_set	about.labels.key/value (obsoleto) additional.fields
ipv4_forwarding	about.labels.key/value (obsoleto) additional.fields
bridge_nf_iptables	about.labels.key/value (obsoleto) additional.fields
bridge_nf_ip6tables	about.labels.key/value (obsoleto) additional.fields
oom_kill_disable	about.labels.key/value (obsoleto) additional.fields
logging_driver	about.labels.key/value (obsoleto) additional.fields
cgroup_driver	about.labels.key/value (obsoleto) additional.fields
kernel_version	about.labels.key/value (obsoleto) additional.fields
os	about.labels.key/value (obsoleto) additional.fields
os_type	target.platform(enum)
arquitectura	about.labels.key/value (obsoleto) additional.fields
CPU	about.labels.key/value (obsoleto) additional.fields
memoria	about.labels.key/value (obsoleto) additional.fields
http_proxy	about.labels.key/value (obsoleto) additional.fields
https_proxy	about.labels.key/value (obsoleto) additional.fields
no_proxy	about.labels.key/value (obsoleto) additional.fields
name	target.hostname
server_version	target.platform_version
root_dir	target.file.full_path

docker_network_labels

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema docker_network_labels y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.resource.product_object_id
clave	target.resource.attribute.labels.key/value
valor	about.labels.key/value (obsoleto) additional.fields

docker_networks

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema docker_networks y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
id	target.resource.product_object_id
name	about.labels.key/value (obsoleto) additional.fields
controlador	about.labels.key/value (obsoleto) additional.fields
created	target.resource.attribute.creation_time
enable_ipv6	about.labels.key/value (obsoleto) additional.fields
subred	about.labels.key/value (obsoleto) additional.fields
puerta de enlace	about.labels.key/value (obsoleto) additional.fields

ec2_instance_metadata

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema ec2_instance_metadata y los SO macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
instance_id	target.resource.product_object_id
instance_type	about.labels.key/value (obsoleto) additional.fields
arquitectura	about.labels.key/value (obsoleto) additional.fields
región	target.location.country_or_region
availability_zone	about.labels.key/value (obsoleto) additional.fields
local_hostname	target.hostname
local_ipv4	target.ip
Mac	target.mac
security_groups	about.labels.key/value (obsoleto) additional.fields
iam_arn	about.labels.key/value (obsoleto) additional.fields
ami_id	about.labels.key/value (obsoleto) additional.fields
reservation_id	about.labels.key/value (obsoleto) additional.fields
account_id	target.user.userid
ssh_public_key	about.labels.key/value (obsoleto) additional.fields

es_process_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema es_process_events y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
version	target.platform_version
seq_num	about.labels.key/value (obsoleto) additional.fields
global_seq_num	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
ruta	target.process.file.full_path
elemento superior	target.process.parent_process.pid
original_parent	about.labels.key/value (obsoleto) additional.fields
cmdline	target.process.command_line
cmdline_count	about.labels.key/value (obsoleto) additional.fields
env	about.labels.key/value (obsoleto) additional.fields
env_count	about.labels.key/value (obsoleto) additional.fields
cwd	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
euid	about.labels.key/value (obsoleto) additional.fields
gid	target.group.product_object_id
egid	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	target.user.user_display_name
signing_id	about.labels.key/value (obsoleto) additional.fields
team_id	about.labels.key/value (obsoleto) additional.fields
cdhash	about.labels.key/value (obsoleto) additional.fields
platform_binary	about.labels.key/value (obsoleto) additional.fields
exit_code	about.labels.key/value (obsoleto) additional.fields
child_pid	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
event_type	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

etc_hosts

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema etc_hosts y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
de la página web.	target.ip
nombres de host	about.hostname
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields

etc_protocols

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema etc_protocols y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	network.ip_protocol
número	about.labels.key/value (obsoleto) additional.fields
Alias	about.labels.key/value (obsoleto) additional.fields
comentario	about.labels.key/value (obsoleto) additional.fields

etc_services

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema etc_services y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	target.resource.name
puerto	target.port
protocol	network.ip_protocol
aliases	about.labels.key/value (obsoleto) additional.fields
comentario	about.labels.key/value (obsoleto) additional.fields

archivo

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el archivo de esquema y los SO macOS, Linux, Windows y FreeBSD:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
de extremos	about.labels.key/value (obsoleto) additional.fields
filename	target.file.names
inodo	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
Standard	about.labels.key/value (obsoleto) additional.fields
dispositivo	target.asset.asset_id
tamaño	target.file.size
block_size	about.labels.key/value (obsoleto) additional.fields
Atime	target.file.last_seen_time
mtime	target.file.last_modification_time
ctime	about.labels.key/value (obsoleto) additional.fields
btime	about.labels.key/value (obsoleto) additional.fields
hard_links	about.labels.key/value (obsoleto) additional.fields
symlink	about.labels.key/value (obsoleto) additional.fields
tipo	about.labels.key/value (obsoleto) additional.fields
atributos	about.labels.key/value (obsoleto) additional.fields
volume_serial	about.labels.key/value (obsoleto) additional.fields
file_id	about.labels.key/value (obsoleto) additional.fields
file_version	about.labels.key/value (obsoleto) additional.fields
product_version	about.labels.key/value (obsoleto) additional.fields
bsd_flags	about.labels.key/value (obsoleto) additional.fields
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields
mount_namespace_id	about.labels.key/value (obsoleto) additional.fields

file_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema file_events y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
operación	about.labels.key/value (obsoleto) additional.fields
pid	principal.process.pid
ppid	principal.process.parent_process.pid
hora	about.labels.key/value (obsoleto) additional.fields
ejecutable	about.labels.key/value (obsoleto) additional.fields
parcial	about.labels.key/value (obsoleto) additional.fields
cwd	about.labels.key/value (obsoleto) additional.fields
ruta	src.file.full_path
dest_path	target.file.full_path
uid	principal.user.userid
gid	principal.group.product_object_id
Auid	about.labels.key/value (obsoleto) additional.fields
euid	about.labels.key/value (obsoleto) additional.fields
egid	about.labels.key/value (obsoleto) additional.fields
fsuid	about.labels.key/value (obsoleto) additional.fields
FSGID	about.labels.key/value (obsoleto) additional.fields
suid	about.labels.key/value (obsoleto) additional.fields
SGID	about.labels.key/value (obsoleto) additional.fields
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

recepcionista

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el gatekeeper de esquemas y el SO macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
assessments_enabled	about.labels.key/value (obsoleto) additional.fields
dev_id_enabled	about.labels.key/value (obsoleto) additional.fields
version	target.asset.software.version
opaque_version	about.labels.key/value (obsoleto) additional.fields

gatekeeper_approved_apps

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema gatekeeper_Approved_apps y macOS del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
requisito	about.labels.key/value (obsoleto) additional.fields
ctime	about.labels.key/value (obsoleto) additional.fields
mtime	target.resource.attribute.last_update_time

grupos

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los grupos de esquemas y macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
gid	target.group.attribute.labels.key/value
gid_signed	target.group.attribute.labels.key/value
nombre del grupo	target.group.group_display_name
group_sid	target.group.product_object_id
comentario	target.group.attribute.labels.key/value
is_hidden	target.group.attribute.labels.key/value
pid_with_namespace	target.group.attribute.labels.key/value

hardware_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema hardware_events y OS Linux y macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
acción	security_result.action_details
ruta	target.asset.attribute.labels.key/value
tipo	target.asset.attribute.labels.key/value
controlador	target.asset.attribute.labels.key/value
vendor	target.asset.attribute.labels.key/value
vendor_id	target.asset.attribute.labels.key/value
modelo	target.asset.hardware.model
model_id	target.asset.attribute.labels.key/value
serial	target.asset.attribute.labels.key/value
Revisión	target.asset.attribute.labels.key/value
hora	metadata.event_timestamp
eid	metadata.product_log_id

hash

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el hash de esquema y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
de extremos	about.labels.key/value (obsoleto) additional.fields
md5	target.file.md5
sha1	target.file.sha1
sha256	target.file.sha256
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields
mount_namespace_id	about.labels.key/value (obsoleto) additional.fields

interface_addresses

En la siguiente tabla, se muestran los campos de registro y las asignaciones de UDM correspondientes para el esquema interface_addresses y los SO macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
Interfaz	about.labels.key/value (obsoleto) additional.fields
de la página web.	target.ip
enmascarar	about.labels.key/value (obsoleto) additional.fields
transmitir	about.labels.key/value (obsoleto) additional.fields
point_to_point	about.labels.key/value (obsoleto) additional.fields
tipo	about.labels.key/value (obsoleto) additional.fields
friendly_name	about.labels.key/value (obsoleto) additional.fields

interface_details

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema Interface_details y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
Interfaz	about.labels.key/value (obsoleto) additional.fields
mac	target.mac
tipo	about.labels.key/value (obsoleto) additional.fields
mtu	about.labels.key/value (obsoleto) additional.fields
métrica	about.labels.key/value (obsoleto) additional.fields
flags	about.labels.key/value (obsoleto) additional.fields
ipackets	about.labels.key/value (obsoleto) additional.fields
opackets	about.labels.key/value (obsoleto) additional.fields
bytes	network.sent_bytes
obytes	network.received_bytes
ierrors	about.labels.key/value (obsoleto) additional.fields
oerrores	about.labels.key/value (obsoleto) additional.fields
idrop	about.labels.key/value (obsoleto) additional.fields
gotas de agua	about.labels.key/value (obsoleto) additional.fields
colisiones	about.labels.key/value (obsoleto) additional.fields
last_change	about.labels.key/value (obsoleto) additional.fields
link_speed	about.labels.key/value (obsoleto) additional.fields
pci_slot	about.labels.key/value (obsoleto) additional.fields
friendly_name	about.labels.key/value (obsoleto) additional.fields
descripción	about.labels.key/value (obsoleto) additional.fields
fabricante	target.asset.hardware.manufacturer
connection_id	about.labels.key/value (obsoleto) additional.fields
connection_status	about.labels.key/value (obsoleto) additional.fields
habilitado	about.labels.key/value (obsoleto) additional.fields
physical_adapter	about.labels.key/value (obsoleto) additional.fields
speed	about.labels.key/value (obsoleto) additional.fields
servicio	target.application
dhcp_enabled	about.labels.key/value (obsoleto) additional.fields
dhcp_lease_expires	network.dhcp.lease_time_seconds
dhcp_lease_obtained	about.labels.key/value (obsoleto) additional.fields
dhcp_server	network.dhcp.yiaddr
dns_domain	network.dns.questions.name
dns_domain_suffix_search_order	about.labels.key/value (obsoleto) additional.fields
dns_host_name	about.labels.key/value (obsoleto) additional.fields
dns_server_search_order	about.labels.key/value (obsoleto) additional.fields

interface_ipv6

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema interfaces_ipv6 y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
Interfaz	about.labels.key/value (obsoleto) additional.fields
hop_limit	about.labels.key/value (obsoleto) additional.fields
forwarding_enabled	about.labels.key/value (obsoleto) additional.fields
redirect_accept	about.labels.key/value (obsoleto) additional.fields
rtadv_accept	about.labels.key/value (obsoleto) additional.fields

iptables

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para las iptables de esquema y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
filter_name	about.labels.key/value (obsoleto) additional.fields
cadena	about.labels.key/value (obsoleto) additional.fields
política	about.labels.key/value (obsoleto) additional.fields
objetivo	about.labels.key/value (obsoleto) additional.fields
protocol	about.labels.key/value (obsoleto) additional.fields
src_port	src.port
dst_port	target.port
src_ip	src.ip
src_mask	about.labels.key/value (obsoleto) additional.fields
iniface	about.labels.key/value (obsoleto) additional.fields
iniface_mask	about.labels.key/value (obsoleto) additional.fields
dst_ip	target.ip
dst_mask	about.labels.key/value (obsoleto) additional.fields
outiface	about.labels.key/value (obsoleto) additional.fields
outiface_mask	about.labels.key/value (obsoleto) additional.fields
coincidencia	about.labels.key/value (obsoleto) additional.fields
paquetes	about.labels.key/value (obsoleto) additional.fields
bytes	network.received_bytes

kernel_panics

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema kernel_panics y el SO macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
hora	about.labels.key/value (obsoleto) additional.fields
registros	about.labels.key/value (obsoleto) additional.fields
frame_backtrace	about.labels.key/value (obsoleto) additional.fields
module_backtrace	about.labels.key/value (obsoleto) additional.fields
dependencias	about.labels.key/value (obsoleto) additional.fields
name	target.process.command_line
os_version	target.platform_version
kernel_version	about.labels.key/value (obsoleto) additional.fields
system_model	target.asset.hardware.model
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
last_loaded	about.labels.key/value (obsoleto) additional.fields
last_unloaded	about.labels.key/value (obsoleto) additional.fields

keychain_acls

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema keychain_acls y OS macOS:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
keychain_path	about.labels.key/value (obsoleto) additional.fields
autorizaciones	about.labels.key/value (obsoleto) additional.fields
ruta	target.file.full_path
descripción	metadata.description
etiqueta	about.labels.key/value (obsoleto) additional.fields

known_hosts

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema known_hosts y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
uid	target.user.userid
clave	about.labels.key/value (obsoleto) additional.fields
key_file	target.file.full_path

última

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema last y los SO Linux, macOS y FreeBSD:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
nombre de usuario	target.user.user_display_name
tty	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
tipo	about.labels.key/value (obsoleto) additional.fields
type_name	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
host	target.hostname

listening_ports

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema Listen_ports y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
pid	target.process.pid
puerto	target.port
protocol	network.ip_protocol
familia	about.labels.key/value (obsoleto) additional.fields
de la página web.	target.ip
fd,	about.labels.key/value (obsoleto) additional.fields
socket	about.labels.key/value (obsoleto) additional.fields
ruta	target.process.file.full_path
net_namespace	about.labels.key/value (obsoleto) additional.fields

logged_in_users

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema logging_in_users y los SO macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tipo	about.labels.key/value (obsoleto) additional.fields
usuario	target.user.userid
tty	about.labels.key/value (obsoleto) additional.fields
host	target.hostname
hora	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
SID	about.labels.key/value (obsoleto) additional.fields
registry_hive	about.labels.key/value (obsoleto) additional.fields

logon_sessions

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para las sesiones "logn_sessions" del esquema y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
logon_id	about.labels.key/value (obsoleto) additional.fields
usuario	target.user.user_display_name
logon_domain	about.labels.key/value (obsoleto) additional.fields
authentication_package	about.labels.key/value (obsoleto) additional.fields
logon_type	about.labels.key/value (obsoleto) additional.fields
session_id	network.session_id
logon_sid	about.labels.key/value (obsoleto) additional.fields
logon_time	about.labels.key/value (obsoleto) additional.fields
logon_server	about.labels.key/value (obsoleto) additional.fields
dns_domain_name	network.dns_domain
Upn	about.labels.key/value (obsoleto) additional.fields
logon_script	about.labels.key/value (obsoleto) additional.fields
profile_path	target.file.full_path
home_directory	about.labels.key/value (obsoleto) additional.fields
home_directory_drive	about.labels.key/value (obsoleto) additional.fields

lxd_certificates

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema lxd_certificates y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	security_result.detection_fields.key/value
tipo	security_result.detection_fields.key/value
Fingerprint	security_result.detection_fields.key/value
certificado	security_result.detection_fields.key/value

lxd_networks

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema lxd_networks y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	about.labels.key/value (obsoleto) additional.fields
tipo	about.labels.key/value (obsoleto) additional.fields
managed	about.labels.key/value (obsoleto) additional.fields
ipv4_address	about.labels.key/value (obsoleto) additional.fields
ipv6_address	about.labels.key/value (obsoleto) additional.fields
used_by	about.labels.key/value (obsoleto) additional.fields
bytes_received	network.received_bytes
bytes_sent	network.sent_bytes
packets_received	about.labels.key/value (obsoleto) additional.fields
packets_sent	about.labels.key/value (obsoleto) additional.fields
hwaddr	about.labels.key/value (obsoleto) additional.fields
state	about.labels.key/value (obsoleto) additional.fields
mtu	about.labels.key/value (obsoleto) additional.fields

managed_policies

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema managed_policies y el SO macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
dominio	target.administrative_domain
uuid	about.labels.key/value (obsoleto) additional.fields
name	about.labels.key/value (obsoleto) additional.fields
valor	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	target.user.user_display_name
manual	about.labels.key/value (obsoleto) additional.fields

memory_devices

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema memory_devices y OS Linux y macOS:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
handle	about.labels.key/value (obsoleto) additional.fields
array_handle	about.labels.key/value (obsoleto) additional.fields
form_factor	about.labels.key/value (obsoleto) additional.fields
total_width	about.labels.key/value (obsoleto) additional.fields
data_width	about.labels.key/value (obsoleto) additional.fields
tamaño	about.labels.key/value (obsoleto) additional.fields
set	about.labels.key/value (obsoleto) additional.fields
device_locator	about.labels.key/value (obsoleto) additional.fields
bank_locator	about.labels.key/value (obsoleto) additional.fields
memory_type	about.labels.key/value (obsoleto) additional.fields
memory_type_details	about.labels.key/value (obsoleto) additional.fields
max_speed	about.labels.key/value (obsoleto) additional.fields
configured_clock_speed	about.labels.key/value (obsoleto) additional.fields
fabricante	target.asset.hardware.manufacturer
serial_number	target.asset.hardware.serial_number
asset_tag	target.asset.asset_id
part_number	about.labels.key/value (obsoleto) additional.fields
min_voltage	about.labels.key/value (obsoleto) additional.fields
max_voltage	about.labels.key/value (obsoleto) additional.fields
configured_voltage	about.labels.key/value (obsoleto) additional.fields

ntdomains

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para los dominios nt del esquema y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	about.labels.key/value (obsoleto) additional.fields
client_site_name	about.labels.key/value (obsoleto) additional.fields
dc_site_name	about.labels.key/value (obsoleto) additional.fields
dns_forest_name	network.dns.questions.name
domain_controller_address	target.ip
domain_controller_name	about.labels.key/value (obsoleto) additional.fields
domain_name	target.administrative_domain
estado	about.labels.key/value (obsoleto) additional.fields

ntfs_acl_permissions

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema ntfs_acl_permissions y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
tipo	about.labels.key/value (obsoleto) additional.fields
principal	about.labels.key/value (obsoleto) additional.fields
Acceso	about.labels.key/value (obsoleto) additional.fields
inherited_from	about.labels.key/value (obsoleto) additional.fields

os_version

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema os_version y los SO macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	about.labels.key/value (obsoleto) additional.fields
version	principal.platform_version
principales	about.labels.key/value (obsoleto) additional.fields
menor	about.labels.key/value (obsoleto) additional.fields
patch	principal.platform_patch_level
compilación	about.labels.key/value (obsoleto) additional.fields
plataforma	principal.platform
platform_like	about.labels.key/value (obsoleto) additional.fields
codename	about.labels.key/value (obsoleto) additional.fields
arco	about.labels.key/value (obsoleto) additional.fields
install_date	about.labels.key/value (obsoleto) additional.fields
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields
mount_namespace_id	about.labels.key/value (obsoleto) additional.fields

osquery_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema osquery_events y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	target.resource.name
publicador	about.label.key/value
tipo	about.label.key/value
suscripciones	about.label.key/value
eventos	about.label.key/value
actualizaciones	about.label.key/value
activo	about.label.key/value

parches

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para los parches de esquema y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
csname	target.hostname
hotfix_id	about.labels.key/value (obsoleto) additional.fields
subtítulo	about.labels.key/value (obsoleto) additional.fields
descripción	metadata.description
fix_comments	about.labels.key/value (obsoleto) additional.fields
installed_by	about.labels.key/value (obsoleto) additional.fields
install_date	about.labels.key/value (obsoleto) additional.fields
installed_on	about.labels.key/value (obsoleto) additional.fields

pci_devices

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema pci_devices y OS Linux y macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
pci_slot	principal.labels.key/value (obsoleto) additional.fields
pci_class	principal.labels.key/value (obsoleto) additional.fields
controlador	principal.labels.key/value (obsoleto) additional.fields
vendor	principal.labels.key/value (obsoleto) additional.fields
vendor_id	principal.labels.key/value (obsoleto) additional.fields
modelo	principal.asset.hardware.model
model_id	principal.labels.key/value (obsoleto) additional.fields
subsistema	principal.labels.key/value (obsoleto) additional.fields
express	principal.labels.key/value (obsoleto) additional.fields
Thunderbolt	principal.labels.key/value (obsoleto) additional.fields
extraíble	principal.labels.key/value (obsoleto) additional.fields
pci_class_id	principal.labels.key/value (obsoleto) additional.fields
pci_subclass_id	principal.labels.key/value (obsoleto) additional.fields
pci_subclass	principal.labels.key/value (obsoleto) additional.fields
subsystem_vendor_id	principal.labels.key/value (obsoleto) additional.fields
subsystem_vendor	principal.labels.key/value (obsoleto) additional.fields
subsystem_model_id	principal.labels.key/value (obsoleto) additional.fields
subsystem_model	principal.labels.key/value (obsoleto) additional.fields

canalizaciones

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los canales de esquema y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
pid	target.process.pid
name	target.resource.name
instancias	about.labels.key/value (obsoleto) additional.fields
max_instances	about.labels.key/value (obsoleto) additional.fields
flags	about.labels.key/value (obsoleto) additional.fields

powershell_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema powershell_events y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
hora	metadata.collected_timestamp
fecha y hora	about.labels.key/value (obsoleto) additional.fields
script_block_id	about.labels.key/value (obsoleto) additional.fields
script_block_count	about.labels.key/value (obsoleto) additional.fields
script_text	about.labels.key/value (obsoleto) additional.fields
script_name	about.labels.key/value (obsoleto) additional.fields
script_path	target.file.full_path
cosine_similarity	about.labels.key/value (obsoleto) additional.fields

process_envs

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema process_envs y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
pid	target.process.pid
clave	about.labels.key
valor	about.labels.value

process_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema process_events y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
version	target.platform_version
seq_num	about.labels.key/value (obsoleto) additional.fields
global_seq_num	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
ruta	target.file.full_path
elemento superior	target.process.parent_process.pid
original_parent	about.labels.key/value (obsoleto) additional.fields
cmdline	target.process.command_line
cmdline_count	about.labels.key/value (obsoleto) additional.fields
env	about.labels.key/value (obsoleto) additional.fields
env_count	about.labels.key/value (obsoleto) additional.fields
cwd	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
euid	about.labels.key/value (obsoleto) additional.fields
gid	target.group.product_object_id
egid	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	target.user.user_display_name
signing_id	about.labels.key/value (obsoleto) additional.fields
team_id	about.labels.key/value (obsoleto) additional.fields
cdhash	about.labels.key/value (obsoleto) additional.fields
platform_binary	about.labels.key/value (obsoleto) additional.fields
exit_code	about.labels.key/value (obsoleto) additional.fields
child_pid	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
event_type	about.labels.key/value (obsoleto) additional.fields
eid	about.labels.key/value (obsoleto) additional.fields

process_file_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema process_file_events y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
operación	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
ppid	target.process.parent_process.pid
hora	about.labels.key/value (obsoleto) additional.fields
ejecutable	about.labels.key/value (obsoleto) additional.fields
parcial	about.labels.key/value (obsoleto) additional.fields
cwd	about.labels.key/value (obsoleto) additional.fields
ruta	target.file.full_path
dest_path	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
Auid	about.labels.key/value (obsoleto) additional.fields
euid	about.labels.key/value (obsoleto) additional.fields
egid	about.labels.key/value (obsoleto) additional.fields
fsuid	about.labels.key/value (obsoleto) additional.fields
FSGID	about.labels.key/value (obsoleto) additional.fields
suid	about.labels.key/value (obsoleto) additional.fields
SGID	about.labels.key/value (obsoleto) additional.fields
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

process_open_sockets

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema process_open_sockets y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
pid	principal.process.pid
fd,	about.labels.key/value (obsoleto) additional.fields
socket	about.labels.key/value (obsoleto) additional.fields
familia	about.labels.key/value (obsoleto) additional.fields
protocol	about.labels.key/value (obsoleto) additional.fields
local_address	principal.ip
remote_address	target.ip
local_port	principal.port
remote_port	target.port
ruta	target.file.full_path
state	about.labels.key/value (obsoleto) additional.fields
net_namespace	about.labels.key/value (obsoleto) additional.fields

Procesos

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los procesos de esquema y SO macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
pid	target.process.pid
name	about.labels.key/value (obsoleto) additional.fields
ruta	target.process.file.full_path
cmdline	target.process.command_line
state	target.process.attribute.labels.key/value
cwd	about.labels.key/value (obsoleto) additional.fields
raíz	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
euid	about.labels.key/value (obsoleto) additional.fields
egid	about.labels.key/value (obsoleto) additional.fields
suid	about.labels.key/value (obsoleto) additional.fields
SGID	about.labels.key/value (obsoleto) additional.fields
on_disk	about.labels.key/value (obsoleto) additional.fields
wired_size	about.labels.key/value (obsoleto) additional.fields
resident_size	about.labels.key/value (obsoleto) additional.fields
total_size	about.labels.key/value (obsoleto) additional.fields
user_time	about.labels.key/value (obsoleto) additional.fields
system_time	about.labels.key/value (obsoleto) additional.fields
disk_bytes_read	about.labels.key/value (obsoleto) additional.fields
disk_bytes_written	about.labels.key/value (obsoleto) additional.fields
start_time	about.labels.key/value (obsoleto) additional.fields
elemento superior	target.process.parent_process.pid
pgroup	about.labels.key/value (obsoleto) additional.fields
threads	about.labels.key/value (obsoleto) additional.fields
Niza	about.labels.key/value (obsoleto) additional.fields
elevated_token	about.labels.key/value (obsoleto) additional.fields
secure_process	about.labels.key/value (obsoleto) additional.fields
protection_type	about.labels.key/value (obsoleto) additional.fields
virtual_process	about.labels.key/value (obsoleto) additional.fields
elapsed_time	about.labels.key/value (obsoleto) additional.fields
handle_count	about.labels.key/value (obsoleto) additional.fields
percent_processor_time	about.labels.key/value (obsoleto) additional.fields
upid	about.labels.key/value (obsoleto) additional.fields
uppid	about.labels.key/value (obsoleto) additional.fields
cpu_type	about.labels.key/value (obsoleto) additional.fields
cpu_subtype	about.labels.key/value (obsoleto) additional.fields

programas

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los programas de esquema y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	target.resource.name
version	target.platform_version
install_location	about.labels.key/value (obsoleto) additional.fields
install_source	about.labels.key/value (obsoleto) additional.fields
language	about.labels.key/value (obsoleto) additional.fields
publicador	about.labels.key/value (obsoleto) additional.fields
uninstall_string	target.file.full_path
install_date	about.labels.key/value (obsoleto) additional.fields
identifying_number	about.labels.key/value (obsoleto) additional.fields

scheduled_tasks

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para las tareas programadas del esquema y las Windows de SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	target.resource.name
acción	security_result.action_details
ruta	target.file.full_path
habilitado	about.labels.key/value (obsoleto) additional.fields
state	about.labels.key/value (obsoleto) additional.fields
de pesos	about.labels.key/value (obsoleto) additional.fields
last_run_time	about.labels.key/value (obsoleto) additional.fields
next_run_time	about.labels.key/value (obsoleto) additional.fields
last_run_message	about.labels.key/value (obsoleto) additional.fields
last_run_code	about.labels.key/value (obsoleto) additional.fields

seccomp_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema seccomp_events y el SO Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
hora	about.labels.key/value (obsoleto) additional.fields
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
Auid	about.labels.key/value (obsoleto) additional.fields
uid	target.user.userid
gid	target.group.product_object_id
ses	about.labels.key/value (obsoleto) additional.fields
pid	target.process.pid
comm	about.labels.key/value (obsoleto) additional.fields
exe	target.file.full_path
sig	about.labels.key/value (obsoleto) additional.fields
arco	about.labels.key/value (obsoleto) additional.fields
llamada del sistema	about.labels.key/value (obsoleto) additional.fields
compatibilidad	about.labels.key/value (obsoleto) additional.fields
ip	about.labels.key/value (obsoleto) additional.fields
código	about.labels.key/value (obsoleto) additional.fields

seLinux_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema seLinux_events y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tipo	about.labels.key/value (obsoleto) additional.fields
mensaje	metadata.description
hora	about.labels.key/value (obsoleto) additional.fields
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

shadow

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para la sombra de esquemas y OS Linux:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
password_status	about.labels.key/value (obsoleto) additional.fields
hash_alg	about.labels.key/value (obsoleto) additional.fields
last_change	about.labels.key/value (obsoleto) additional.fields
min	about.labels.key/value (obsoleto) additional.fields
máx.	about.labels.key/value (obsoleto) additional.fields
advertencia	about.labels.key/value (obsoleto) additional.fields
inactivo	about.labels.key/value (obsoleto) additional.fields
expire	about.labels.key/value (obsoleto) additional.fields
marca	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	principal.user.user_display_name

shell_history

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema shell_history y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
uid	principal.user.userid
hora	about.labels.key/value (obsoleto) additional.fields
CREATE OR REPLACE MODEL.	principal.process.command_line
history_file	principal.process.file.full_path

shimcache

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema shimcache y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
entry.	about.labels.key/value (obsoleto) additional.fields
ruta	target.file.full_path
modified_time	target.file.last_modification_time
execution_flag	about.labels.key/value (obsoleto) additional.fields

firma

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para la firma de esquema y macOS OS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
hash_resources	about.labels.key/value (obsoleto) additional.fields
arco	about.labels.key/value (obsoleto) additional.fields
firmó	target.file.pe_file.signature_info.verified
identifier	target.file.pe_file.signature_info.signer
cdhash	about.labels.key/value (obsoleto) additional.fields
team_identifier	about.labels.key/value (obsoleto) additional.fields
authority	about.labels.key/value (obsoleto) additional.fields

sip_config

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema sip_config y OS macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
config_flag	about.labels.key/value (obsoleto) additional.fields
habilitado	about.labels.key/value (obsoleto) additional.fields
enabled_nvram	about.labels.key/value (obsoleto) additional.fields

socket_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema socket_events y OS Linux y macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
acción	security_result.action_details
pid	target.process.pid
ruta	target.process.file.full_path
fd,	about.labels.key/value (obsoleto) additional.fields
Auid	target.user.userid
estado	about.labels.key/value (obsoleto) additional.fields
familia	about.labels.key/value (obsoleto) additional.fields
protocol	about.labels.key/value (obsoleto) additional.fields
local_address	principal.ip
remote_address	target.ip
local_port	principal.port
remote_port	target.port
socket	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id
correcto	about.labels.key/value (obsoleto) additional.fields

sudoers

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los sudoers de esquema y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
source	about.labels.key/value (obsoleto) additional.fields
encabezado	about.labels.key/value (obsoleto) additional.fields
rule_details	about.labels.key/value (obsoleto) additional.fields

syslog_events

La siguiente tabla incluye los campos de registro y las asignaciones UDM correspondientes para el esquema syslog_events y OS Linux:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
hora	about.labels.key/value (obsoleto) additional.fields
fecha y hora	about.labels.key/value (obsoleto) additional.fields
host	target.hostname
gravedad,	security_result.severity (enumeración)
instalación	about.labels.key/value (obsoleto) additional.fields
etiqueta	about.labels.key/value (obsoleto) additional.fields
mensaje	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

system_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema system_info y OS macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
Nombre de host	principal.administrative_domain
uuid	about.labels.key/value (obsoleto) additional.fields
cpu_type	about.labels.key/value (obsoleto) additional.fields
cpu_subtype	about.labels.key/value (obsoleto) additional.fields
cpu_brand	about.labels.key/value (obsoleto) additional.fields
cpu_physical_cores	about.labels.key/value (obsoleto) additional.fields
cpu_logical_cores	principal.asset.hardware.cpu_number_cores
cpu_microcode	about.labels.key/value (obsoleto) additional.fields
physical_memory	about.labels.key/value (obsoleto) additional.fields
hardware_vendor	about.labels.key/value (obsoleto) additional.fields
hardware_model	principal.asset.hardware.model
hardware_version	about.labels.key/value (obsoleto) additional.fields
hardware_serial	principal.asset.hardware.serial_number
board_vendor	about.labels.key/value (obsoleto) additional.fields
board_model	about.labels.key/value (obsoleto) additional.fields
board_version	about.labels.key/value (obsoleto) additional.fields
board_serial	about.labels.key/value (obsoleto) additional.fields
computer_name	about.labels.key/value (obsoleto) additional.fields
local_hostname	about.labels.key/value (obsoleto) additional.fields

tpm_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema tpm_info y las ventanas del SO:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
activado	about.labels.key/value (obsoleto) additional.fields
habilitado	about.labels.key/value (obsoleto) additional.fields
que es propiedad de un proveedor de servicios	about.labels.key/value (obsoleto) additional.fields
manufacturer_version	about.labels.key/value (obsoleto) additional.fields
manufacturer_id	about.labels.key/value (obsoleto) additional.fields
manufacturer_name	principal.aseet.hardware.manufacturer
product_name	principal.resource.name
physical_presence_version	about.labels.key/value (obsoleto) additional.fields
spec_version	about.labels.key/value (obsoleto) additional.fields

usb_devices

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema usb_devices y OS Linux y macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
usb_address	about.labels.key/value (obsoleto) additional.fields
usb_port	about.labels.key/value (obsoleto) additional.fields
vendor	about.labels.key/value (obsoleto) additional.fields
vendor_id	about.labels.key/value (obsoleto) additional.fields
version	about.labels.key/value (obsoleto) additional.fields
modelo	target.asset.hardware.model
model_id	about.labels.key/value (obsoleto) additional.fields
serial	target.asset.hardware.serial_number
clase	about.labels.key/value (obsoleto) additional.fields
subclase	about.labels.key/value (obsoleto) additional.fields
protocol	about.labels.key/value (obsoleto) additional.fields
extraíble	about.labels.key/value (obsoleto) additional.fields

user_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema user_events y OS Linux, macOS y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
uid	principal.user.userid
Auid	principal.user.attribute.labels.key/value
pid	target.process.pid
mensaje	metadata.description
tipo	about.labels.key/value (obsoleto) additional.fields
ruta	target.file.full_path
de la página web.	about.labels.key/value (obsoleto) additional.fields
terminal	about.labels.key/value (obsoleto) additional.fields
hora	metadata.collected_timestamp
tiempo de actividad	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

user_groups

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema user_groups y OS Linux, macOS y Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
uid	principal.user.userid
gid	principal.group.product_object_id

usuarios

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para los usuarios del esquema y macOS, Linux, Windows y freebsd:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
uid	principal.user.userid
gid	principal.user.group_identifiers(repeated)
uid_signed	about.labels.key/value (obsoleto) additional.fields
gid_signed	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	principal.user.user_display_name
descripción	about.labels.key/value (obsoleto) additional.fields
de extremos	about.labels.key/value (obsoleto) additional.fields
shell	about.labels.key/value (obsoleto) additional.fields
uuid	principal.user.product_object_id
tipo	about.labels.key/value (obsoleto) additional.fields
is_hidden	about.labels.key/value (obsoleto) additional.fields
pid_with_namespace	about.labels.key/value (obsoleto) additional.fields

wifi_networks

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema wifi_networks y OS macOS:

Campo de registro	Asignación de UDM
	metadata.event_type se asigna a SETTING_MODIFICATION
ssid	target.labels.key/value (obsoleto) additional.fields
network_name	target.labels.key/value (obsoleto) additional.fields
security_type	target.labels.key/value (obsoleto) additional.fields
last_connected	about.labels.key/value (obsoleto) additional.fields
Passpoint	about.labels.key/value (obsoleto) additional.fields
possibly_hidden	about.labels.key/value (obsoleto) additional.fields
roaming	about.labels.key/value (obsoleto) additional.fields
roaming_profile	about.labels.key/value (obsoleto) additional.fields
captive_portal	about.labels.key/value (obsoleto) additional.fields
auto_login	target.labels.key/value (obsoleto) additional.fields
temporarily_disabled	target.labels.key/value (obsoleto) additional.fields
inhabilitado	target.labels.key/value (obsoleto) additional.fields

windows_crashes

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema Windows_crashes y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
fecha y hora	about.labels.key/value (obsoleto) additional.fields
module	about.labels.key/value (obsoleto) additional.fields
ruta	target.process.file.full_path
pid	target.process.pid
tid	about.labels.key/value (obsoleto) additional.fields
version	about.labels.key/value (obsoleto) additional.fields
process_uptime	about.labels.key/value (obsoleto) additional.fields
stack_trace	about.labels.key/value (obsoleto) additional.fields
exception_code	about.labels.key/value (obsoleto) additional.fields
exception_message	about.labels.key/value (obsoleto) additional.fields
exception_address	about.labels.key/value (obsoleto) additional.fields
registros	about.labels.key/value (obsoleto) additional.fields
command_line	target.process.command_line
current_directory	about.labels.key/value (obsoleto) additional.fields
nombre de usuario	target.user.user_display_name
machine_name	about.labels.key/value (obsoleto) additional.fields
major_version	about.labels.key/value (obsoleto) additional.fields
minor_version	about.labels.key/value (obsoleto) additional.fields
build_number	target.platform_version
tipo	about.labels.key/value (obsoleto) additional.fields
crash_path	about.labels.key/value (obsoleto) additional.fields

windows_eventlog

El analizador de eventos de Windows (WINEVTLOG) asigna estos eventos. Consulta Recopila datos de eventos de Microsoft Windows para obtener más información.

windows_events

El analizador de eventos de Windows (WINEVTLOG) asigna estos eventos. Consulta Recopila datos de eventos de Microsoft Windows para obtener más información.

windows_firewall_rules

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema Windows_firewall_rules y Windows OS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	about.labels.key/value (obsoleto) additional.fields
app_name	target.application
acción	security_result.action (enumeración)
habilitado	about.labels.key/value (obsoleto) additional.fields
agrupación	about.labels.key/value (obsoleto) additional.fields
direction	network.direction
protocol	network.ip_protocol
local_addresses	principal.ip
remote_addresses	target.ip
local_ports	principal.port
remote_ports	target.port
icmp_types_codes	about.labels.key/value (obsoleto) additional.fields
profile_domain	about.labels.key/value (obsoleto) additional.fields
profile_private	about.labels.key/value (obsoleto) additional.fields
profile_public	about.labels.key/value (obsoleto) additional.fields
service_name	about.labels.key/value (obsoleto) additional.fields

windows_security_center

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema Windows_security_center y Windows OS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
firewall	security_result.detection_fields.key/value
autoupdate	security_result.detection_fields.key/value
antivirus	security_result.detection_fields.key/value
software antiespía	security_result.detection_fields.key/value
internet_settings	security_result.detection_fields.key/value
Windows_security_center_service	security_result.detection_fields.key/value
user_account_control	security_result.detection_fields.key/value

windows_security_products

En la siguiente tabla, se enumeran los campos de registro y las asignaciones de UDM correspondientes para el esquema Windows_security_products y el SO Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
tipo	about.labels.key/value (obsoleto) additional.fields
name	target.resource.name
state	about.labels.key/value (obsoleto) additional.fields
state_timestamp	about.labels.key/value (obsoleto) additional.fields
remediation_path	about.labels.key/value (obsoleto) additional.fields
signatures_up_to_date	about.labels.key/value (obsoleto) additional.fields

wmi_bios_info

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema wmi_bios_info y Windows OS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
name	about.labels.key/value (obsoleto) additional.fields
valor	about.labels.key/value (obsoleto) additional.fields

YARA

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema YARA y OS Linux, macOS, freebsd y Windows:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
ruta	target.file.full_path
coincide con	about.labels.key/value (obsoleto) additional.fields
count	about.labels.key/value (obsoleto) additional.fields
sig_group	security_result.detection_fields.key/value
sigfile	security_result.detection_fields.key/value
sigrule	security_result.detection_fields.key/value
cadenas	about.labels.key/value (obsoleto) additional.fields
tags	about.labels.key/value (obsoleto) additional.fields
sigurl	security_result.detection_fields.key/value

yara_events

En la siguiente tabla, se enumeran los campos de registro y las asignaciones UDM correspondientes para el esquema yara_events y OS Linux y macOS:

Campo de registro	Asignación de UDM
	El parámetro metadata.event_type se asigna a SETTING_MODIFICATION.
target_path	target.file.full_path
category	about.labels.key/value (obsoleto) additional.fields
acción	security_result.action_details
transaction_id	security_result.detection_fields.key/value
coincide con	about.labels.key/value (obsoleto) additional.fields
count	about.labels.key/value (obsoleto) additional.fields
cadenas	about.labels.key/value (obsoleto) additional.fields
tags	about.labels.key/value (obsoleto) additional.fields
hora	about.labels.key/value (obsoleto) additional.fields
eid	metadata.product_log_id

¿Qué sigue?

• Transferencia de datos a Google Security Operations