收集 LimaCharlie EDR 記錄

支援的國家/地區:

本文說明如何使用 Google Cloud Storage,將 LimaCharlie EDR 記錄檔擷取至 Google Security Operations。剖析器會從 JSON 格式的記錄中擷取事件,將欄位正規化為 UDM,並處理頂層和巢狀事件。具體來說,這項功能會剖析各種事件類型,包括 DNS 要求、程序建立、檔案修改、網路連線和登錄檔變更,將相關欄位對應至統一資料模型 (UDM) 的對等項目,並使用 LimaCharlie 特定的情境資訊擴充資料。

事前準備

請確認您已完成下列事前準備事項:

  • Google SecOps 執行個體
  • Google Cloud的特殊存取權
  • LimaCharlie 的特殊存取權

建立 Google Cloud 儲存空間 bucket

  1. 登入 Google Cloud 主控台。
  2. 前往「Cloud Storage Buckets」(Cloud Storage bucket) 頁面。

    前往「Buckets」(值區) 頁面

  3. 點選「建立」

  4. 在「建立 bucket」頁面中,輸入 bucket 資訊。完成下列每個步驟後,請按一下「繼續」前往下一個步驟:

    1. 在「開始使用」部分執行下列操作:

      • 輸入符合值區名稱規定的專屬名稱 (例如 cloudrun-logs)。
      • 如要啟用階層命名空間,請按一下展開箭頭,展開「為檔案導向和資料密集型工作負載提供最理想的儲存空間」部分,然後選取「為這個值區啟用階層結構式命名空間」
      • 如要新增值區標籤,請按一下展開箭頭,展開「標籤」部分。
      • 按一下「新增標籤」,然後指定標籤的鍵和值。
    2. 在「Choose where to store your data」(選擇資料的儲存位置) 專區中執行下列操作:

      • 選取「位置類型」
      • 使用位置類型選單選取位置,永久儲存 bucket 中的物件資料。
      • 如要設定跨 bucket 複製作業,請展開「設定跨 bucket 複製作業」部分。
    3. 在「為資料選擇儲存空間級別」部分,選取值區的預設儲存空間級別,或選取「Autoclass」,讓系統自動管理值區資料的儲存空間級別。

    4. 在「選取如何控制物件的存取權」部分,選取「否」以強制禁止公開存取,並為值區物件選取存取權控管模型

    1. 在「選擇保護物件資料的方式」部分中,執行下列操作:
      • 選取「資料保護」下要為值區設定的任何選項。
      • 如要選擇物件資料的加密方式,請按一下「資料加密」展開箭頭,然後選取「資料加密方法」
  5. 點選「建立」

在 LimaCharlie EDR 中設定記錄匯出功能

  1. 登入 LimaCharlie 入口網站。
  2. 選取左選單中的「輸出」
  3. 按一下「新增輸出」
  4. 選擇輸出串流:選取「事件」
  5. 選擇輸出目的地:選取「Google Cloud Storage」
  6. 提供下列設定詳細資料:
    • 值區:Google Cloud Storage 值區的路徑。
    • 私密金鑰:用於識別服務帳戶的私密 JSON 金鑰。
    • 每個檔案的秒數:檔案在幾秒後會剪輯並上傳。
    • 壓縮:設為 False
    • 索引:設為 False
    • Dir:要在遠端主機上輸出檔案的目錄前置字元。
  7. 按一下「儲存輸出內容」

設定動態饋給

在 Google SecOps 平台中,有兩種不同的進入點可設定動態饋給:

  • 「SIEM 設定」>「動態消息」
  • 內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」,設定動態饋給

如要設定動態消息,請按照下列步驟操作:

  1. 依序前往「SIEM 設定」>「動態消息」
  2. 按一下「新增動態消息」
  3. 在下一個頁面中,按一下「設定單一動態饋給」
  4. 在「動態饋給名稱」欄位中,輸入動態饋給的名稱 (例如「Limacharlie EDR Logs」)。
  5. 選取「Google Cloud Storage」做為「來源類型」。
  6. 選取「LimaCharlie」做為「記錄類型」
  7. 按一下「Chronicle 服務帳戶」的「取得服務帳戶」
  8. 點選「下一步」
  9. 指定下列輸入參數的值:

    • 儲存空間值區 URI:Google Cloud Storage 值區網址,格式為 gs://my-bucket/<value>
    • 「URI Is A」(URI 為):選取「Directory which includes subdirectories」(包含子目錄的目錄)
    • 來源刪除選項:根據偏好設定選取刪除選項。
    • 資產命名空間資產命名空間
    • 擷取標籤:套用至這個動態饋給事件的標籤。
  10. 點選「下一步」

  11. 在「Finalize」畫面上檢查新的動態饋給設定,然後按一下「Submit」

從內容中心設定動態饋給

為下列欄位指定值:

  • 儲存空間值區 URI:Google Cloud Storage 值區網址,格式為 gs://my-bucket/<value>
  • 「URI Is A」(URI 為):選取「Directory which includes subdirectories」(包含子目錄的目錄)
  • 來源刪除選項:根據偏好設定選取刪除選項。

進階選項

  • 動態饋給名稱:系統預先填入的值,用於識別動態饋給。
  • 來源類型:將記錄收集到 Google SecOps 的方法。
  • 資產命名空間:與動態饋給相關聯的命名空間。
  • 擷取標籤:套用至這個動態饋給所有事件的標籤。

UDM 對應表

記錄欄位 UDM 對應 邏輯
cat security_result.summary 已從「cat」重新命名。如果 detect 不為空白,則會套用。
detect.event.COMMAND_LINE principal.process.command_line 已從「detect.event.COMMAND_LINE」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.COMMAND_LINE principal.process.command_line 已從「detect.event.COMMAND_LINE」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.FILE_PATH principal.process.file.full_path 已從「detect.event.FILE_PATH」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.FILE_PATH principal.process.file.full_path 已從「detect.event.FILE_PATH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.HASH principal.process.file.sha256 已從「detect.event.HASH」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.HASH principal.process.file.sha256 已從「detect.event.HASH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.HASH_MD5 principal.process.file.md5 已從「detect.event.HASH_MD5」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.HASH_SHA1 principal.process.file.sha1 已從「detect.event.HASH_SHA1」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.PARENT.COMMAND_LINE principal.process.command_line 已從「detect.event.PARENT.COMMAND_LINE」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.PARENT.COMMAND_LINE principal.process.parent_process.command_line 已從「detect.event.PARENT.COMMAND_LINE」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.PARENT.FILE_PATH principal.process.file.full_path 已從「detect.event.PARENT.FILE_PATH」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.PARENT.FILE_PATH principal.process.parent_process.file.full_path 已從「detect.event.PARENT.FILE_PATH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.PARENT.HASH principal.process.file.sha256 已從「detect.event.PARENT.HASH」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.PARENT.HASH principal.process.parent_process.file.sha256 已從「detect.event.PARENT.HASH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.PARENT_PROCESS_ID principal.process.pid 已從「detect.event.PARENT_PROCESS_ID」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.PARENT_PROCESS_ID principal.process.parent_process.pid 已從「detect.event.PARENT_PROCESS_ID」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.PROCESS_ID target.process.pid 已從「detect.event.PROCESS_ID」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白時,即適用此規則。
detect.event.PROCESS_ID principal.process.pid 已從「detect.event.PROCESS_ID」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect.event.USER_NAME principal.user.userid 已從「detect.event.USER_NAME」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 不為空白,則適用這項規則。
detect_mtd.description security_result.description 已從「detect_mtd.description」重新命名。如果 detect 不為空白,則會套用。
detect_mtd.level security_result.severity detect_mtd.level 複製並轉換為大寫。如果 detect 不為空白,則會套用。
event.COMMAND_LINE principal.process.command_line 已從「event.COMMAND_LINE」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
event.COMMAND_LINE principal.process.command_line 已從「event.COMMAND_LINE」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.DLL target.file.full_path 從「event.DLL」複製的項目。適用於 event_typeSERVICE_CHANGE 的情況。
event.DOMAIN_NAME network.dns.questions.0.namenetwork.dns.answers.0.name 重新命名為 a.name,然後複製到 q.name,再合併到 network.dns.questionsnetwork.dns.answers 陣列。適用於 event_typeDNS_REQUEST 的情況。
event.DNS_TYPE network.dns.answers.0.type 重新命名為 a.type,然後合併至 network.dns.answers 陣列。適用於 event_typeDNS_REQUEST 的情況。
event.ERROR security_result.severity_details 從「event.ERROR」複製的項目。如果 event.ERROR 不為空白,則會套用。
event.EXECUTABLE target.process.command_line 從「event.EXECUTABLE」複製的項目。適用於 event_typeSERVICE_CHANGE 的情況。
event.FILE_PATH target.file.full_path 已從「event.FILE_PATH」重新命名。如果 event_typeNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READ,且 detect 為空白,則適用這項規定。
event.FILE_PATH principal.process.file.full_path 已從「event.FILE_PATH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.FILE_PATH target.process.file.full_path 已從「event.FILE_PATH」重新命名。如果 event_typeNEW_PROCESSMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規定。
event.HASH target.file.sha256 已從「event.HASH」重新命名。如果 event_typeNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READ,且 detect 為空白,則適用這項規定。
event.HASH principal.process.file.sha256 已從「event.HASH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.HASH target.process.file.sha256 已從「event.HASH」重新命名。如果 event_typeNEW_PROCESSMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規定。
event.HASH_MD5 principal.process.file.md5 已從「event.HASH_MD5」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.HASH_SHA1 principal.process.file.sha1 已從「event.HASH_SHA1」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.IP_ADDRESS network.dns.answers.0.data 重新命名為 a.data,然後合併至 network.dns.answers 陣列。如果 event_typeDNS_REQUESTevent.IP_ADDRESS 不為空值,則適用這項規定。
event.MESSAGE_ID network.dns.id 已從「event.MESSAGE_ID」重新命名。適用於 event_typeDNS_REQUEST 的情況。
event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS target.ip 從「event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS」合併。適用於 event_typeNETWORK_CONNECTIONS 的情況。
event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS principal.ip 從「event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS」合併。適用於 event_typeNETWORK_CONNECTIONS 的情況。
event.PARENT.COMMAND_LINE principal.process.command_line 已從「event.PARENT.COMMAND_LINE」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
event.PARENT.COMMAND_LINE principal.process.parent_process.command_line 已從「event.PARENT.COMMAND_LINE」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.PARENT.FILE_PATH principal.process.file.full_path 已從「event.PARENT.FILE_PATH」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
event.PARENT.FILE_PATH principal.process.parent_process.file.full_path 已從「event.PARENT.FILE_PATH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.PARENT.HASH principal.process.file.sha256 已從「event.PARENT.HASH」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
event.PARENT.HASH principal.process.parent_process.file.sha256 已從「event.PARENT.HASH」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.PARENT_PROCESS_ID principal.process.pid 已從「event.PARENT_PROCESS_ID」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
event.PARENT_PROCESS_ID principal.process.parent_process.pid 已從「event.PARENT_PROCESS_ID」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.PROCESS_ID target.process.pid 已從「event.PROCESS_ID」重新命名。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
event.PROCESS_ID principal.process.pid 已從「event.PROCESS_ID」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
event.REGISTRY_KEY target.registry.registry_key 從「event.REGISTRY_KEY」複製的項目。適用於 event_typeREGISTRY_WRITE 的情況。
event.REGISTRY_VALUE target.registry.registry_value_data 從「event.REGISTRY_VALUE」複製的項目。適用於 event_typeREGISTRY_WRITE 的情況。
event.SVC_DISPLAY_NAME metadata.description 從「event.SVC_DISPLAY_NAME」複製的項目。適用於 event_typeSERVICE_CHANGE 的情況。
event.SVC_NAME target.application 從「event.SVC_NAME」複製的項目。適用於 event_typeSERVICE_CHANGE 的情況。
event.USER_NAME principal.user.userid 已從「event.USER_NAME」重新命名。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空白,則適用這項規則。
routing.event_time metadata.event_timestamp routing.event_time 剖析為時間戳記,可使用 UNIX_MS 或 ISO8601 格式。
routing.event_type metadata.product_event_type 從「routing.event_type」複製的項目。
routing.ext_ip principal.ip 從「routing.ext_ip」複製的項目。如果 routing.ext_ip 不為空白,則會套用。
routing.hostname principal.hostname 從「routing.hostname」複製的項目。如果 routing.hostname 不為空白,則會套用。
routing.int_ip principal.ip 從「routing.int_ip」複製的項目。如果 routing.int_ip 不為空白,則會套用。
routing.parent target.process.product_specific_process_id 並在開頭加上「LC:」,如 routing.parent 所示。如果 detect 不為空白,則會套用。
routing.parent principal.process.product_specific_process_id 並在開頭加上「LC:」,如 routing.parent 所示。當 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 routing.this 為空白,但 routing.parent 不為空白時,適用這項規則。
routing.this principal.process.product_specific_process_id 並在開頭加上「LC:」,如 routing.this 所示。當 event_typeNEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 detect 為空時,適用這項規則。
routing.this principal.process.product_specific_process_id 並在開頭加上「LC:」,如 routing.this 所示。如果 event_type 不是 NEW_PROCESSNEW_DOCUMENTFILE_MODIFIEDFILE_DELETEFILE_CREATEFILE_READMODULE_LOADTERMINATE_PROCESSSENSITIVE_PROCESS_ACCESS,且 routing.this 不為空白,則適用這項規則。如果 detect 不為空白,請設為 true。如果 detect 不為空白,且 detect_mtd.levelhighmediumcritical,請設為 true。根據 event_type 設定值:DNS_REQUESTNETWORK_DNSNEW_PROCESSPROCESS_LAUNCHEXISTING_PROCESSPROCESS_UNCATEGORIZEDCONNECTEDNETWORK_CONNECTIONSNETWORK_CONNECTIONREGISTRY_WRITEREGISTRY_MODIFICATIONSERVICE_CHANGESERVICE_MODIFICATIONNEW_DOCUMENTFILE_UNCATEGORIZEDFILE_READFILE_READFILE_DELETEFILE_DELETIONFILE_CREATEFILE_CREATIONFILE_MODIFIEDFILE_MODIFICATIONMODULE_LOADPROCESS_MODULE_LOADTERMINATE_PROCESSPROCESS_TERMINATIONCLOUD_NOTIFICATIONRECEIPTSTATUS_UNCATEGORIZEDREMOTE_PROCESS_HANDLENEW_REMOTE_THREADPROCESS_UNCATEGORIZED,否則為 GENERIC_EVENT。設為「LimaCharlie EDR」。設為「LimaCharlie」。如果 event_typeDNS_REQUEST,請設為「DNS」。如果 event.ERROR 不為空白,請設為「ERROR」。從「event.HOST_NAME」複製的項目。適用於 event_typeCONNECTED 的情況。

還有其他問題嗎?向社群成員和 Google SecOps 專業人員尋求答案。