本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# 兼容的安全工具和服务 AppFabric 可确保安全
AWS AppFabric 为了安全起见，支持与以下安全工具和服务集成。选择服务的名称，了解有关如何设置安全性 AppFabric 以连接到该服务的更多信息。
**Topics**
+ [Barracuda XDR](barracuda.md)
+ [Dynatrace](dynatrace.md)
+ [Logz.io](logz-io.md)
+ [Netskope](netskope.md)
+ [NetWitness](netwitness.md)
+ [Amazon 快速](quicksight.md)
+ [Rapid7](rapid7.md)
+ [Amazon Security Lake](security-lake.md)
+ [Singularity Cloud](singularity-cloud-security.md)
+ [Splunk](splunk.md)
# Barracuda XDR
Barracuda Networks 是值得信赖的合作伙伴和云优先安全解决方案的领先提供商，通过创新的解决方案保护电子邮件、网络、数据和应用程序，这些解决方案可以随着企业的发展而增长和调整。Barracuda XDR 是一种开放的扩展检测和响应解决方案，它将复杂的技术与安全运营中心 (SOC) 中的安全分析师团队相结合。Barracuda XDR 平台每天分析来自 40 多个集成数据来源的数十亿个原始事件，再加上映射到 MITRE ATT&CK® 框架的广泛威胁检测规则，它可以更快地检测威胁并缩短响应时间。
## AWS AppFabric 审核日志摄取注意事项
以下各节描述了要与一起使用的 AppFabric 输出架构、输出格式和输出目的地Barracuda XDR。
### 架构和格式
Barracuda XDR支持以下 AppFabric 输出架构和格式：
+ OCSF-JSON：使用开放网络安全架构框架 (OCSF) 对数据进行 AppFabric 标准化并以 JSON 格式输出数据。
### 输出位置
Barracuda XDR 支持从 Amazon Security Lake 接收审计日志。要将数据从发送 AppFabric 到Barracuda XDR，请按照以下说明进行操作：
1. 将数据发送到亚马逊安全湖：配置 AppFabric 为通过亚马逊数据 Firehose 将数据发送到亚马逊安全湖。有关更多信息，请参阅 [Amazon Security Lake](security-lake.md)。
1. 将数据发送至 Barracuda XDR：配置 Barracuda XDR 以接收来自 Amazon Security Lake 的审计日志。有关更多信息，请参阅[设置和使用 Amazon Security Lake](https://campus.barracuda.com/product/xdr/doc/104366130/setting-up-and-using-amazon-web-services-security-lake/)。
# Dynatrace
Dynatrace® Platform它结合了广泛而深入的可观察性以及持续的运行时应用程序安全性，并提供了 AIOps 基于数据的答案和智能自动化的高级功能。这使创新者能够实现云运营的现代化和自动化，更快、更安全地交付软件，并确保完美的数字体验。
## AWS AppFabric 审计日志提取注意事项
以下各节描述了用于的 AppFabric 输出架构、输出格式和输出目的地Dynatrace Platform。
### 架构和格式
Dynatrace Platform支持以下 AppFabric 输出架构和格式：
+ OCSF-JSON：使用开放网络安全架构框架 (OCSF) 对数据进行 AppFabric 标准化并以 JSON 格式输出数据。
### 输出位置
Dynatrace Platform支持从以下 AppFabric 输出位置接收审核日志。
+ Amazon Simple Storage Service（Amazon S3）
+ 要将配置Dynatrace Platform为从包含您的审核日志的 Amazon S3 存储桶接收数据，请按照 [Dynatrace 的 S3 日志转发器](https://github.com/dynatrace-oss/dynatrace-aws-s3-log-forwarder)项目中的说明进行操作。GitHub
# Logz.io
Logz.io 通过 [http://logz.io/](http://logz.io/) Open 360 Platform 帮助云原生企业监控和保护其环境——将可观测性和安全性从高成本、低价值的负担转变为高价值、高成本效益的促进因素，从而实现更好的业务成果。
Logz.io Cloud SIEM 通过快速查询、多维检测和深度可自定义的安全内容，直接解决了当今最主要的安全挑战——从数据过载到无处不在的网络技能差距，以帮助监控和调查整个云环境——无论数据量有多大，都不会降低性能。
该 Logz.io 解决方案旨在以更低的复杂性和成本实现高级威胁分析和调查。专门的安全分析师、威胁内容即服务和人工智能支持的功能为客户提供支持，这些功能旨在帮助减少噪声数据并专注于信息，使您的团队能够快速优先处理现实世界中的威胁。
## AWS AppFabric 审计日志提取注意事项
以下各节描述了要与一起使用的 AppFabric 输出架构、输出格式和输出目的地Logz.io。
### 架构和格式
Logz.io支持以下 AppFabric 输出架构和格式：
+ Raw - JSON
+ AppFabric 以 JSON 格式输出源应用程序使用的原始架构中的数据。
+ OCSF - JSON
+ AppFabric 使用开放网络安全架构框架 (OCSF) 对数据进行标准化并以 JSON 格式输出数据。
### 输出位置
Logz.io支持以下 AppFabric 输出位置：
+ Amazon Data Firehose
+ 要配置您的 Firehose 传输流以使其向其发送数据Logz.io，请按照《*亚马逊数据 Firehos* e 开发[Logz.io者指南》中的 “选择您的目的地](https://docs.aws.amazon.com/firehose/latest/dev/create-destination.html#create-destination-logz)” 中的说明进行操作。
+ Amazon Simple Storage Service（Amazon S3）
+ 要配置 Logz.io 以从包含审核日志的 Amazon S3 存储桶接收数据，请按照 Logz.io 网站上的[配置 Amazon S3 存储桶](https://docs.logz.io/shipping/log-sources/s3-bucket.html)中的说明进行操作。
# Netskope
Netskope，全球网络安全领导者，正在重新定义云、数据和网络安全，帮助组织应用零信任原则来保护数据。该 Netskope 平台快速且易于使用，无论人员、设备和数据身在何处，均可为他们提供经优化的访问和零信任安全。Netskope 帮助客户降低风险、提高性能，并获得对任何云、Web 和私有应用程序活动的无与伦比的可见性。成千上万的客户，包括财富100强中的25家以上的客户，信任Netskope其强大的 NewEdge 网络来应对不断变化的威胁、新的风险、技术转变、组织和网络变革以及新的监管要求。要了解 Netskope 如何帮助客户在其 SASE 旅程中做好一切准备，请访问 [netskope .com](https://www.netskope.com/)。
## AWS AppFabric 审核日志摄取注意事项
以下各节描述了要与一起使用的 AppFabric 输出架构、输出格式和输出目的地Netskope。
### 架构和格式
Netskope支持以下 AppFabric 输出架构和格式：
+ Raw - JSON
+ AppFabric 以 JSON 格式输出源应用程序使用的原始架构中的数据。
+ OCSF - JSON
+ AppFabric 使用开放网络安全架构框架 (OCSF) 对数据进行标准化并以 JSON 格式输出数据。
### 输出位置
Netskope支持以下 AppFabric 输出位置：
+ Amazon Simple Storage Service（Amazon S3）
+ 要配置 Netskope 以从包含您的审核日志的 Amazon S3 存储桶接收数据，请按照 Netskope 网站上 [Amazon Web Services S3 数据保护](https://docs.netskope.com/en/data-protection-for-amazon-web-services-s3.html)中的说明进行操作。
# NetWitness
NetWitness 是扩展检测与响应 (XDR) 软件的领先开发商。他们的全球客户群具有高度的安全意识，依靠 NetWitness XDR 来对抗精明强悍的对手。凭借行业中最完整、集成和成熟的平台来检测、调查和应对数字攻击，NetWitness XDR是现代高效 SOC 的统一基础。
由于架构高度模块化，NetWitness XDR 可以在云端、本地环境、移动和远程工作者及其两者之间检测所发生的威胁。NetWitness XDR 平台提供全面的可见性，结合应用的威胁情报和用户行为分析，以检测威胁、确定活动优先级、调查和自动响应。所有这些都使安全分析人员更好、更快地提高效率，使安全操作远远领先于影响业务的威胁。
## AWS AppFabric 审计日志提取注意事项
以下各节描述了要与一起使用的 AppFabric 输出架构、输出格式和输出目的地NetWitness。
### 架构和格式
NetWitness 支持以下 AppFabric 输出架构和格式：
+ Raw - JSON
+ AppFabric 以 JSON 格式输出源应用程序使用的原始架构中的数据。
+ OCSF - JSON
+ AppFabric 使用开放网络安全架构框架 (OCSF) 对数据进行标准化并以 JSON 格式输出数据。
### 输出位置
NetWitness支持以下 AppFabric 输出位置：
+ Amazon Simple Storage Service（Amazon S3）
+ 要配置 NetWitness 从包含审核日志的 Amazon S3 存储桶接收数据，请按照 NetWitness 网站 *NetWitness 平台集成页面*上的 [S3 通用连接器事件源日志配置指南](https://community.netwitness.com/t5/netwitness-platform-integrations/s3-universal-connector-event-source-log-configuration-guide/ta-p/595235)中的说明进行操作。
# Amazon 快速
Amazon Quick 为数据驱动型组织提供超大规模的统一商业智能 (BI)。借助 Quick，所有用户都可以通过现代交互式仪表板、分页报告、嵌入式分析和自然语言查询，从同一个真实来源满足不同的分析需求。您可以在 Quick 中分析 AWS AppFabric 审核日志数据，方法是选择存储安全日志的亚马逊简单存储服务 (Amazon S3) 存储 AppFabric 桶作为来源。
## AppFabric 审核日志摄取注意事项
以下各节描述了与 Quick 配合使用的 AppFabric 输出架构、输出格式和输出目的地。
### 架构和格式
Quick 支持以下 AppFabric 输出架构和格式：
+ Raw - JSON
+ AppFabric 以 JSON 格式输出源应用程序使用的原始架构中的数据。
+ OCSF - JSON
+ AppFabric 使用开放网络安全架构框架 (OCSF) 对数据进行标准化并以 JSON 格式输出数据。
### 输出位置
Quick 支持以下 AppFabric 输出位置：
+ Amazon S3
+ 您可以[使用 Amazon S3 文件创建数据集，直接将数据从 Amazon S](https://docs.aws.amazon.com/quicksight/latest/user/create-a-data-set-s3.html) 3 提取到 Quick 中。要验证您的目标文件集是否未超过快速数据源配额，请参阅*快速用户指南*中的[数据源配额](https://docs.aws.amazon.com/quicksight/latest/user/data-source-limits.html)。
+ 如果您的文件集超出了 Amazon S3 数据源的快速配额，则可以使用 Amazon Athena 和表在 AWS Glue Amazon S3 中提取数据。在您的快速数据集中使用 Athena 会产生额外费用。有关 Athena 定价的更多信息，请参阅 [Athena 定价页面](https://aws.amazon.com/athena/pricing/)。
要使用 Athena，请执行以下操作：
1. 按照 *Athena 用户指南*中[使用 AWS Glue 连接到 Amazon S3 中的数据来源](https://docs.aws.amazon.com/athena/latest/ug/data-sources-glue.html)中的说明进行操作。
1. 按照快速用户指南中的[使用 Athena 数据创建数据集](https://docs.aws.amazon.com/quicksight/latest/user/create-a-data-set-athena.html)*中的*说明进行操作。
# Rapid7
Rapid7，Inc. 的使命是通过让网络安全变得更简单、更容易获得，从而创造一个更安全的数字世界。 Rapid7通过 best-in-class技术、前沿研究和广泛的战略专业知识，使安全专业人员能够管理现代攻击面。 Rapid7的全面安全解决方案可帮助全球 10,000 多家客户将云风险管理和威胁检测结合起来，以减少攻击面并快速精确地消除威胁。
## AWS AppFabric 审核日志摄取注意事项
以下各节描述了要与一起使用的 AppFabric 输出架构、输出格式和输出目的地Rapid7。
### 架构和格式
Rapid7支持以下 AppFabric 输出架构和格式：
+ Raw - JSON
+ AppFabric 以 JSON 格式输出源应用程序使用的原始架构中的数据。
+ OCSF - JSON
+ AppFabric 使用开放网络安全架构框架 (OCSF) 对数据进行标准化并以 JSON 格式输出数据。
### 输出位置
Rapid7支持以下 AppFabric 输出位置：
+ Amazon Simple Storage Service（Amazon S3）
+ 要配置 Rapid7 以从包含审核日志的 Amazon S3 存储桶接收数据，请按照 Rapid7 博客网站上的 [How to Monitor Your Amazon S3 Activity with InsightIDR](https://www.rapid7.com/blog/post/2019/08/07/how-to-monitor-your-aws-s3-activity-with-insightidr/) 博文中的说明进行操作。
# Amazon Security Lake
Amazon Security Lake 会自动将来自 AWS 环境、软件即服务 (SaaS) 提供商、本地和云源的安全数据集中到存储在您的专用的数据湖中。 AWS 账户借助 Security Lake，您可以更全面地了解整个组织的安全数据。Security Lake 采用了开放网络安全架构框架（OCSF），这是一种开源安全事件架构。借助 OCSF 的支持，该服务可以标准化 AWS 并合并来自各种企业安全数据源的安全数据。
## AppFabric 审核日志摄取注意事项
通过向安全湖添加自定义来源，您可以将 SaaS 审核日志存入您 AWS 账户 的 Amazon 安全湖。以下各节描述了与 Security Lake 配合使用的 AppFabric输出架构、输出格式和输出目的地。
### 架构和格式
Security Lake 支持以下 AppFabric 输出架构和格式：
+ OCSF - JSON
+ AppFabric 使用开放网络安全架构框架 (OCSF) 对数据进行标准化并以 JSON 格式输出数据。
### 输出位置
Security Lake 支持 AppFabric 将使用 Amazon Data Firehose 传输流作为 AppFabric 提取输出位置作为自定义来源。要配置 AWS Glue 表和 Firehose 交付流，以及在 Security Lake 中设置自定义来源，请使用以下步骤。
### 创建 AWS Glue 表格
1. 导航到 Amazon Simple Storage Service（Amazon S3），用您选择的名称创建存储桶。
1. 导航到 AWS Glue 控制台。
1. 对于**数据目录**，转到**表**部分，然后选择**添加表**。
1. 为表输入您选择的名称。
1. 请选择您在第 1 步中创建的 Amazon S3 存储桶。
1. 对于数据格式，选择 **JSON**，然后选择**下一步**。
1. 在**选择或定义架构**页面上，选择**将架构编辑为 JSON**。
1. 输入以下架构，然后完成 AWS Glue 表创建过程。
```
[
{
"Name": "message",
"Type": "string"
},
{
"Name": "process",
"Type": "struct,group:struct,tid:int,cmd_line:string,container:struct,hash:struct>,created_time:bigint,parent_process:struct,type:string,version:string,path:string,uid:string,type_id:int,mime_type:string,parent_folder:string,data_classification:struct,hashes:array>,is_system:boolean,modified_time:bigint,xattributes:string>,user:struct,type_id:int,uid_alt:string>,group:struct>,tid:int,uid:string,cmd_line:string,container:struct,hash:struct,network_driver:string,pod_uuid:string>,created_time:bigint,namespace_pid:int,auid:int,euid:int,egid:int>>"
},
{
"Name": "status",
"Type": "string"
},
{
"Name": "time",
"Type": "bigint"
},
{
"Name": "device",
"Type": "struct,type:string,ip:string,hostname:string,mac:string,image:struct,type_id:int,container:struct,hash:struct>,instance_uid:string,interface_name:string,interface_uid:string,namespace_pid:int,network_interfaces:array>,region:string,risk_score:int,modified_time_dt:string>"
},
{
"Name": "metadata",
"Type": "struct,url_string:string,vendor_name:string>,data_classification:struct,event_code:string,log_name:string,log_provider:string,original_time:string,tenant_uid:string,processed_time_dt:string>"
},
{
"Name": "severity",
"Type": "string"
},
{
"Name": "duration",
"Type": "int"
},
{
"Name": "type_name",
"Type": "string"
},
{
"Name": "activity_id",
"Type": "int"
},
{
"Name": "type_uid",
"Type": "int"
},
{
"Name": "observables",
"Type": "array>"
},
{
"Name": "category_name",
"Type": "string"
},
{
"Name": "class_uid",
"Type": "int"
},
{
"Name": "category_uid",
"Type": "int"
},
{
"Name": "class_name",
"Type": "string"
},
{
"Name": "timezone_offset",
"Type": "int"
},
{
"Name": "end_time",
"Type": "bigint"
},
{
"Name": "activity_name",
"Type": "string"
},
{
"Name": "cloud",
"Type": "struct,project_uid:string,provider:string,region:string>"
},
{
"Name": "query_info",
"Type": "struct"
},
{
"Name": "query_result",
"Type": "string"
},
{
"Name": "query_result_id",
"Type": "int"
},
{
"Name": "severity_id",
"Type": "int"
},
{
"Name": "status_code",
"Type": "string"
},
{
"Name": "status_detail",
"Type": "string"
},
{
"Name": "status_id",
"Type": "int"
},
{
"Name": "network_interfaces",
"Type": "array>"
},
{
"Name": "file",
"Type": "struct>,type_id:int,email_addr:string>,creator:struct,parent_folder:string,data_classification:struct,hashes:array>,security_descriptor:string,accessed_time_dt:string,modified_time_dt:string>"
},
{
"Name": "actor",
"Type": "struct,is_system:boolean,xattributes:string,modified_time_dt:string>,user:struct,group:struct,loaded_modules:array,cmd_line:string,container:struct,hash:struct,pod_uuid:string>,created_time:bigint,namespace_pid:int,parent_process:struct>,hashes:array>>,user:struct,type_id:int,risk_level:string,uid_alt:string>,group:struct,uid:string,cmd_line:string,container:struct,hash:struct,network_driver:string>,created_time:bigint,integrity:string,namespace_pid:int,parent_process:struct,type_id:int,created_time:bigint,data_classification:struct,hashes:array>,xattributes:string,created_time_dt:string>,group:struct,uid:string,loaded_modules:array,cmd_line:string,container:struct,hash:struct>,sandbox:string,egid:int,created_time_dt:string>,created_time_dt:string>,terminated_time:bigint,auid:int>,user:struct,app_name:string,idp:struct,invoked_by:string>"
},
{
"Name": "dst_endpoint",
"Type": "struct,port:int,type:string,ip:string,location:struct,continent:string>,hostname:string,uid:string,type_id:int,autonomous_system:struct,container:struct,hash:struct,orchestrator:string>,hw_info:struct,instance_uid:string,interface_name:string,interface_uid:string,namespace_pid:int,svc_name:string>"
},
{
"Name": "src_endpoint",
"Type": "struct,groups:array>,type_id:int,credential_uid:string,email_addr:string,ldap_person:struct>,port:int,type:string,ip:string,location:struct,continent:string>,hostname:string,uid:string,type_id:int,container:struct,hash:struct,pod_uuid:string>,instance_uid:string,interface_name:string,interface_uid:string,intermediate_ips:array,namespace_pid:int,svc_name:string,vpc_uid:string>"
},
{
"Name": "user",
"Type": "struct>,type_id:int>"
},
{
"Name": "resource",
"Type": "struct>>>,cloud_partition:string,data_classification:struct>"
},
{
"Name": "privileges",
"Type": "array"
},
{
"Name": "action",
"Type": "string"
},
{
"Name": "action_id",
"Type": "int"
},
{
"Name": "protocol_ver",
"Type": "string"
},
{
"Name": "proxy",
"Type": "struct>,autonomous_system:struct,container:struct>,instance_uid:string,interface_name:string,interface_uid:string,intermediate_ips:array,namespace_pid:int,proxy_endpoint:struct>,hash:struct,network_driver:string,pod_uuid:string>,instance_uid:string,interface_name:string,interface_uid:string,namespace_pid:int,proxy_endpoint:struct,container:struct,hash:struct>,intermediate_ips:array,namespace_pid:int,svc_name:string>,subnet_uid:string,svc_name:string,zone:string>,svc_name:string>"
},
{
"Name": "client_hassh",
"Type": "struct>"
},
{
"Name": "authorizations",
"Type": "array"
},
{
"Name": "proxy_tls",
"Type": "struct>,created_time:bigint,expiration_time:bigint,serial_number:string>,cipher:string,sni:string,certificate_chain:array,client_ciphers:array,ja3_hash:struct,ja3s_hash:struct>"
},
{
"Name": "load_balancer",
"Type": "struct,credential_uid:string,ldap_person:struct,type_id:int>,given_name:string,ldap_dn:string,leave_time:bigint,modified_time:bigint,surname:string>>,port:int,type:string,os:struct,ip:string,hostname:string,uid:string,type_id:int,instance_uid:string,interface_name:string,interface_uid:string,namespace_pid:int,svc_name:string,vlan_uid:string>,endpoint_connections:array,created_time:bigint,hire_time:bigint,ldap_dn:string,surname:string,modified_time_dt:string,deleted_time_dt:string>,groups:array>,full_name:string,email_addr:string,risk_level:string,risk_level_id:int>,port:int,type:string,ip:string,hostname:string,type_id:int,container:struct,hash:struct,network_driver:string>,instance_uid:string,interface_name:string,namespace_pid:int,proxy_endpoint:struct>,type_id:int,full_name:string,email_addr:string,risk_score:int,uid_alt:string>,port:int,type:string,hostname:string,uid:string,type_id:int,autonomous_system:struct,container:struct,hash:struct,orchestrator:string,pod_uuid:string>,hw_info:struct>,instance_uid:string,interface_name:string,interface_uid:string,namespace_pid:int,svc_name:string>,subnet_uid:string,svc_name:string,uid:string,interface_uid:string,intermediate_ips:array>>>,metrics:array>>"
},
{
"Name": "disposition_id",
"Type": "int"
},
{
"Name": "disposition",
"Type": "string"
},
{
"Name": "proxy_traffic",
"Type": "struct"
},
{
"Name": "auth_type_id",
"Type": "int"
},
{
"Name": "proxy_http_response",
"Type": "struct"
},
{
"Name": "server_hassh",
"Type": "struct>"
},
{
"Name": "auth_type",
"Type": "string"
},
{
"Name": "firewall_rule",
"Type": "struct"
},
{
"Name": "proxy_connection_info",
"Type": "struct"
},
{
"Name": "connection_info",
"Type": "struct"
},
{
"Name": "api",
"Type": "struct,response:struct,operation:string>"
},
{
"Name": "attacks",
"Type": "array>,technique:struct>>"
},
{
"Name": "raw_data",
"Type": "string"
},
{
"Name": "email_uid",
"Type": "string"
},
{
"Name": "malware",
"Type": "array,cves:array,created_time:bigint,cvss:array>,overall_score:double,depth:string>>,modified_time_dt:string,created_time_dt:string,type:string>>,provider:string,classifications:array>>"
},
{
"Name": "start_time_dt",
"Type": "string"
},
{
"Name": "direction",
"Type": "string"
},
{
"Name": "smtp_hello",
"Type": "string"
},
{
"Name": "unmapped",
"Type": "string"
},
{
"Name": "direction_id",
"Type": "int"
},
{
"Name": "email_auth",
"Type": "struct"
},
{
"Name": "email",
"Type": "struct,data_classification:struct,delivered_to:string,message_uid:string,reply_to:string,smtp_from:string>"
},
{
"Name": "impact_id",
"Type": "int"
},
{
"Name": "resources",
"Type": "array>,version:string,data_classification:struct,data:string,labels:array,region:string>>"
},
{
"Name": "finding_info",
"Type": "struct>,technique:struct>>,analytic:struct,last_seen_time:bigint,first_seen_time_dt:string>"
},
{
"Name": "evidences",
"Type": "array,hashes:array>,security_descriptor:string,owner:struct>,type_id:int,account:struct,credential_uid:string,uid_alt:string>,desc:string,accessor:struct,email_addr:string>,creator:struct,type_id:int,full_name:string>,modified_time:bigint,modified_time_dt:string>,user:struct,group:struct,uid:string,loaded_modules:array,cmd_line:string,container:struct>,hash:struct>,created_time:bigint,namespace_pid:int,parent_process:struct,file:struct>,product:struct,vendor_name:string>,type_id:int,company_name:string,mime_type:string,parent_folder:string,data_classification:struct,hashes:array>,modified_time_dt:string,created_time_dt:string,owner:struct,groups:array>,type_id:int,credential_uid:string,email_addr:string,risk_level:string,risk_level_id:int>,accessed_time:bigint,confidentiality:string,confidentiality_id:int,xattributes:string>,user:struct,org:struct,risk_score:int>,group:struct,name:string,type:string,desc:string>,uid:string,container:struct,hash:struct,pod_uuid:string>,created_time:bigint,namespace_pid:int,parent_process:struct,credential_uid:string,domain:string,risk_level:string>,group:struct,uid:string,cmd_line:string,container:struct,hash:struct,pod_uuid:string>,created_time:bigint,namespace_pid:int,parent_process:struct,type_id:int,data_classification:struct,hashes:array>,owner:struct>,path:string,parent_folder:string,is_system:boolean,security_descriptor:string,accessed_time_dt:string>,user:struct,type:string,domain:string,uid:string,groups:array>,type_id:int,account:struct,credential_uid:string,risk_score:int>,uid:string,cmd_line:string,container:struct,hash:struct>,created_time:bigint,integrity:string,lineage:array,namespace_pid:int,parent_process:struct,hashes:array>,xattributes:string,created_time_dt:string,signature:struct>,created_time:bigint,serial_number:string,created_time_dt:string>,algorithm:string,algorithm_id:int>,accessor:struct,company_name:string,mime_type:string,accessed_time:bigint,modified_time_dt:string>,user:struct,deleted_time:bigint>,groups:array>,account:struct,risk_level:string,risk_score:int,uid_alt:string>,group:struct>,uid:string,cmd_line:string,container:struct>,hash:struct,pod_uuid:string>,created_time:bigint,namespace_pid:int,parent_process:struct>,security_descriptor:string,modified_time_dt:string>,user:struct,groups:array>,type_id:int,email_addr:string,ldap_person:struct,manager:struct,groups:array>>,type_id:int,full_name:string,risk_level:string,risk_level_id:int>,last_login_time_dt:string>,uid_alt:string>,group:struct>,uid:string,loaded_modules:array,cmd_line:string,container:struct,hash:struct,orchestrator:string>,created_time:bigint,integrity:string,namespace_pid:int,parent_process:struct,file:struct,type:string,path:string,desc:string,uid:string,type_id:int,mime_type:string,parent_folder:string,confidentiality:string,data_classification:struct,uid:string>>,hashes:array>,is_system:boolean>,user:struct,group:struct>,loaded_modules:array,cmd_line:string,created_time:bigint,namespace_pid:int,parent_process:struct,file:struct>,created_time:bigint,expiration_time:bigint,serial_number:string,expiration_time_dt:string>,algorithm:string,algorithm_id:int>,type_id:int,parent_folder:string,created_time:bigint,data_classification:struct,hashes:array>,created_time_dt:string>,user:struct,group:struct,uid:string,created_time:bigint,namespace_pid:int,auid:int,euid:int,egid:int>,terminated_time:bigint,xattributes:string,euid:int>>,auid:int,terminated_time_dt:string,created_time_dt:string,lineage:array>,egid:int,group:struct,tid:int,loaded_modules:array,sandbox:string,terminated_time:bigint,xattributes:string,euid:int>,terminated_time:bigint,xattributes:string,terminated_time_dt:string,created_time_dt:string,pid:int,session:struct,file:struct,product:struct,url_string:string,vendor_name:string>,type_id:int,mime_type:string,parent_folder:string,confidentiality:string,created_time:bigint,data_classification:struct,uid:string>>,hashes:array>,modified_time:bigint,accessed_time_dt:string,modified_time_dt:string>,loaded_modules:array,integrity:string,integrity_id:int,lineage:array,egid:int>,terminated_time:bigint,xattributes:string,pid:int,cmd_line:string,auid:int,created_time_dt:string>,xattributes:string,tid:int,integrity:string,euid:int>,file:struct,url_string:string,vendor_name:string>,type_id:int,creator:struct,credential_uid:string,uid_alt:string>,parent_folder:string,confidentiality:string,confidentiality_id:int,created_time:bigint,data_classification:struct,hashes:array>,security_descriptor:string,accessor:struct,risk_level:string,risk_level_id:int>,company_name:string,accessed_time_dt:string,created_time_dt:string>,query:struct,connection_info:struct,api:struct,uid:string>,response:struct,message:string,error_message:string>,operation:string,version:string>,actor:struct,parent_folder:string,confidentiality:string,data_classification:struct,hashes:array>,modified_time:bigint,xattributes:string,modified_time_dt:string,created_time_dt:string,version:string,desc:string,security_descriptor:string>,uid:string,cmd_line:string,container:struct,hash:struct,pod_uuid:string,runtime:string,network_driver:string>,created_time:bigint,namespace_pid:int,parent_process:struct,type:string,path:string,desc:string,modifier:struct,uid:string,type_id:int,parent_folder:string,confidentiality:string,confidentiality_id:int,data_classification:struct>,hashes:array>,created_time_dt:string,signature:struct>,created_time:bigint,expiration_time:bigint,serial_number:string>,algorithm:string,algorithm_id:int,created_time:bigint>,product:struct,cpe_name:string,data_classification:struct,vendor_name:string>,accessed_time_dt:string>,user:struct,type_id:int,account:struct,ldap_person:struct,job_title:string,office_location:string,hire_time_dt:string>,risk_score:int>,group:struct,cmd_line:string,container:struct,image:struct,network_driver:string>,created_time:bigint,integrity:string,integrity_id:int,namespace_pid:int,parent_process:struct,algorithm:string,algorithm_id:int>,product:struct,vendor_name:string>,uid:string,type_id:int,accessor:struct,parent_folder:string,data_classification:struct,hashes:array>,is_system:boolean,xattributes:string,accessed_time_dt:string,modified_time_dt:string>,user:struct,group:struct,uid:string,cmd_line:string,container:struct,image:struct,orchestrator:string>,created_time:bigint,namespace_pid:int,auid:int,terminated_time_dt:string,integrity:string,integrity_id:int,parent_process:struct,cost_center:string,deleted_time:bigint,email_addrs:array,ldap_dn:string,leave_time_dt:string>,risk_level:string,risk_score:int>,type:string,path:string,type_id:int,accessor:struct,mime_type:string,parent_folder:string,confidentiality:string,confidentiality_id:int,data_classification:struct,hashes:array>,security_descriptor:string,modified_time_dt:string,created_time_dt:string>,user:struct,loaded_modules:array,cmd_line:string,container:struct,hash:struct,network_driver:string>,created_time:bigint,namespace_pid:int,parent_process:struct,type_id:int>,risk_level:string,risk_level_id:int>,uid:string,loaded_modules:array,cmd_line:string,container:struct>,created_time:bigint,namespace_pid:int,parent_process:struct,file:struct,type_id:int,creator:struct,mime_type:string,parent_folder:string,accessed_time:bigint,hashes:array>,accessed_time_dt:string>,group:struct,tid:int,uid:string,cmd_line:string,created_time:bigint,namespace_pid:int,parent_process:struct,modifier:struct,uid_alt:string>,type_id:int,mime_type:string,parent_folder:string,accessed_time:bigint,confidentiality:string,confidentiality_id:int,data_classification:struct