Im Body der CEF-Nachrichten von den Ereignisklassen der Gruppe "ICAP" ist die Verwendung von Schlüsseln entsprechend ihrer Semantik zulässig (siehe folgende Tabelle).
Gültige Werte für Felder von Ereignisklassen der Gruppe "ICAP".
| Schlüssel | Wert | 
|---|---|
| cs1 | Benutzername. | 
| cs1Label | Besitzt immer den Wert  | 
| cs2 | Name des Arbeitsbereichs. | 
| cs2Label | Besitzt immer den Wert  | 
| cs3 | Regel für die Verarbeitung des Datenverkehrs. Können mehrere Namen sein. | 
| cs3Label | Besitzt immer den Wert  | 
| request | Anfordern einer URL. | 
| src | IP-Adresse des Benutzers | 
| requestClientApplication | Der Name des Browsers oder Programms, das den Datenverkehr verarbeitet (User agent). | 
| act | Eine der folgenden Aktionen:  | 
In jeder Ereignisklasse der Gruppe "ICAP" dürfen nur die für sie relevanten Schlüssel enthalten sein (siehe folgende Tabelle).
Relevante Schlüssel für Ereignisklassen der Gruppe "ICAP"
| Ereignisklasse | Relevante Schlüssel | 
|---|---|
| LMS_EV_ICAP_MESSAGE_PROCESSED | cs1, cs1Label, cs2, cs2Label,cs3, cs3Label, src, request, requestClientApplication, act |