Microsoft Entra ID 로그인 (이전 명칭: Azure Active Directory) 로그 수집

파서 버전: 8.0

다음에서 지원:

이 문서에서는 Microsoft Azure Blob Storage V2를 사용하여 Google Security Operations 피드를 설정하여 Microsoft Entra ID 로그인 (이전 명칭: Azure Active Directory) 로그를 수집하는 방법을 설명합니다.

Microsoft Entra ID는 클라우드 기반 ID 및 액세스 관리 서비스입니다. 로그인 로그는 대화형 사용자 로그인, 비대화형 로그인, 서비스 주체 로그인, 관리 ID 로그인을 포함하여 조직 전체의 인증 활동을 캡처합니다. 이러한 로그는 액세스 패턴을 모니터링하고, 의심스러운 인증 시도를 감지하고, 보안 사고를 조사하는 데 중요합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • 다음 권한이 있는 Azure 포털에 대한 권한 액세스:
    • 스토리지 계정 만들기
    • Microsoft Entra ID의 진단 설정 구성
    • 액세스 키 관리

  • Microsoft Entra ID의 보안 관리자 역할 이상 (진단 설정을 구성하는 데 필요)

Azure 스토리지 계정 구성

스토리지 계정 만들기

  1. Azure 포털에서 스토리지 계정을 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 Azure 구독 선택
    리소스 그룹 기존 항목 선택 또는 새로 만들기
    스토리지 계정 이름 고유한 이름 (예: secops-entraid-signin)을 입력합니다.
    리전 리전을 선택합니다 (예: East US).
    성능 표준 (권장)
    중복성 GRS (지리적 중복 스토리지) 또는 LRS (로컬 중복 스토리지)

  4. 검토 + 만들기를 클릭합니다.

  5. 계정 개요를 검토하고 만들기를 클릭합니다.

  6. 배포가 완료될 때까지 기다립니다.

스토리지 계정 사용자 인증 정보 가져오기

  1. 방금 만든 스토리지 계정으로 이동합니다.
  2. 왼쪽 탐색에서 보안 + 네트워킹 아래의 액세스 키를 선택합니다.
  3. 키 표시를 클릭합니다.
  4. 나중에 사용할 수 있도록 다음을 복사하여 저장합니다.
    • 스토리지 계정 이름: 스토리지 계정 이름 (예: secops-entraid-signin)
    • 키 1 또는 키 2: 공유 액세스 키 (base-64 인코딩의 512비트 무작위 문자열)

Blob 서비스 엔드포인트 가져오기

  1. 동일한 스토리지 계정의 왼쪽 탐색에서 엔드포인트를 선택합니다.
  2. Blob 서비스 엔드포인트 URL을 복사하여 저장합니다.
    • 예: https://secops-entraid-signin.blob.core.windows.net/

Microsoft Entra ID 진단 설정 구성

Entra ID 로그인 로그를 스토리지 계정으로 내보내려면 다음 안내를 따르세요.

  1. Azure 포털에서 Microsoft Entra ID를 검색합니다.
  2. 왼쪽 탐색 메뉴에서 모니터링 및 상태 > 진단 설정으로 이동합니다.
  3. + 진단 설정 추가를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 진단 설정 이름: 설명이 포함된 이름 (예: signin-logs-to-secops)을 입력합니다.
    • 로그 섹션에서 다음 로그인 로그 카테고리를 선택합니다.
      • SignInLogs: 대화형 사용자 로그인
      • NonInteractiveUserSignInLogs: 비대화형 사용자 로그인
      • ServicePrincipalSignInLogs: 서비스 보안 주체 및 애플리케이션 로그인
      • ManagedIdentitySignInLogs: 관리형 ID 로그인
      • ADFSSignInLogs: Active Directory Federated Services (AD FS) 애플리케이션의 로그인 활동 (AD FS를 사용하는 경우에만 선택)
    • 대상 세부정보 섹션에서 스토리지 계정에 아카이브 체크박스를 선택합니다.
    • 구독: 스토리지 계정이 포함된 구독을 선택합니다.
    • 스토리지 계정: 이전에 만든 스토리지 계정을 선택합니다 (예: secops-entraid-signin).

  5. 저장을 클릭합니다.

    라는 이름 지정 패턴으로 별도의 컨테이너를 만듭니다.

Microsoft Entra ID 로그인 로그를 수집하도록 Google SecOps에서 피드 구성

로그인 로그 컨테이너마다 별도의 피드를 만들어야 합니다. 다음 표에서는 컨테이너와 로그 카테고리 간의 매핑을 보여줍니다.

컨테이너 이름 로그 카테고리
insights-logs-signinlogs 대화형 로그인 로그
insights-logs-noninteractiveusersigninlogs 비대화형 로그인 로그
insights-logs-serviceprincipalsigninlogs 서비스 주체 로그인 로그
insights-logs-managedidentitysigninlogs 관리형 ID 로그인 로그
insights-logs-adfssigninlogs AD FS 로그인 로그

대화형 로그인 로그 피드 만들기

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: Entra ID Interactive Sign-in Logs).
  5. 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
  6. 로그 유형으로 Azure AD 로그인을 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 매개변수의 값을 지정합니다.

    • Azure URI: 컨테이너 경로와 함께 Blob 서비스 엔드포인트 URL을 입력합니다.
    https://secops-entraid-signin.blob.core.windows.net/insights-logs-signinlogs/

    secops-entraid-signin을 Azure 스토리지 계정 이름으로 바꿉니다.

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
      • 삭제 안함: 전송 후 파일을 삭제하지 않습니다.
      • 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.
      • 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료된 후 파일과 빈 디렉터리를 삭제합니다.
    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다 (기본값은 180일).
    • 인증 드롭다운 (기본값은 액세스/공유 키)에서 사용할 방법을 선택하고 해당 사용자 인증 정보를 제공합니다. 각 메서드의 정확한 요청 스키마는 피드 관리 API 참조에 설명되어 있습니다.
      • 액세스/공유 키: 키 필드에 이전에 캡처한 스토리지 계정 액세스 키 (키 1 또는 키 2)를 붙여넣습니다.
      • SAS 토큰: 토큰 필드에 컨테이너에 발급된 공유 액세스 서명 (SAS) 토큰을 붙여넣습니다.
      • Azure V2 워크로드 아이덴티티 제휴: Microsoft Entra 애플리케이션 클라이언트 ID 및 테넌트 ID를 입력합니다. 피드에 표시되는 읽기 전용 주체 ID를 복사하여 Azure 애플리케이션에서 Microsoft Entra 제휴 사용자 인증 정보의 주체로 구성한 다음, 스토리지 계정에서 해당 애플리케이션에 Storage Blob Data Reader 역할을 부여합니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

다른 로그인 로그 카테고리의 피드 만들기

각 추가 로그인 로그 컨테이너에 대해 앞의 피드 생성 단계를 반복합니다. 동일한 설정을 사용하되 적절한 Azure URI를 사용합니다.

비대화형 로그인 로그:

  • 피드 이름: Entra ID Non-interactive Sign-in Logs
  • 로그 유형: Azure AD Sign-In
  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-noninteractiveusersigninlogs/

서비스 주체 로그인 로그:

  • 피드 이름: Entra ID Service Principal Sign-in Logs
  • 로그 유형: Azure AD Sign-In
  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-serviceprincipalsigninlogs/

관리형 ID 로그인 로그:

  • 피드 이름: Entra ID Managed Identity Sign-in Logs
  • 로그 유형: Azure AD Sign-In
  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-managedidentitysigninlogs/

AD FS 로그인 로그:

  • 피드 이름: Entra ID AD FS Sign-in Logs
  • 로그 유형: Azure AD Sign-In

  • Azure URI: https://secops-entraid-signin.blob.core.windows.net/insights-logs-adfssigninlogs/

Azure Storage 방화벽 구성 (사용 설정된 경우)

Azure Storage 계정에서 방화벽을 사용하는 경우 Google SecOps IP 범위를 추가해야 합니다.

  1. Azure 포털에서 스토리지 계정으로 이동합니다.
  2. 보안 + 네트워킹에서 네트워킹을 선택합니다.
  3. 방화벽 및 가상 네트워크에서 선택한 가상 네트워크 및 IP 주소에서 사용 설정됨을 선택합니다.
  4. 방화벽 섹션의 IP 주소 범위에서 + IP 범위 추가를 클릭합니다.

  5. 각 Google SecOps IP 범위를 CIDR 표기법으로 추가합니다.

    현재 IP 범위를 가져오려면 다음 단계를 따르세요.

  6. 저장을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
AuthenticationContextClassReferences_label additional.fields 병합됨
AuthenticationProtocol_label additional.fields 병합됨
ClientCredentialType_label additional.fields 병합됨
TimeGenerated_label additional.fields 병합됨
additional_AuthenticationProtocol additional.fields 병합됨
additional_AuthenticationRequirement additional.fields 병합됨
additional_DurationMs additional.fields 병합됨
additional_ResultSignature additional.fields 병합됨
additional_TokenIssuerType additional.fields 병합됨
additional_resultSignature additional.fields 병합됨
additional_resultType additional.fields 병합됨
additional_tokenIssuerType additional.fields 병합됨
agentSubjectType_label additional.fields 병합됨
agentType_label additional.fields 병합됨
authconclassref_detail_label additional.fields 병합됨
authconclassref_id_label additional.fields 병합됨
authenticationDetail_label additional.fields 병합됨
authenticationRequirement_label additional.fields 병합됨
authentication_Detail_label additional.fields 병합됨
clientCredentialType_fields additional.fields 병합됨
conditionalAccessAudiences_label additional.fields 병합됨
conditionalAccessStatus_fields additional.fields 병합됨
conditionalAccessStatus_label additional.fields 병합됨
crossTenantAccessType_fields additional.fields 병합됨
field_ additional.fields 병합됨
incomingTokenType_fields additional.fields 병합됨
incoming_token_type_label additional.fields 병합됨
originalRequestId_label additional.fields 병합됨
originalTransferMethod_fields additional.fields 병합됨
originalTransferMethod_label additional.fields 병합됨
processingTimeInMilliseconds_label additional.fields 병합됨
prp_networkType_additional_fields additional.fields 병합됨
prp_network_names_additional_fields additional.fields 병합됨
resource_label additional.fields 병합됨
riskDetail_fields additional.fields 병합됨
riskEventTypeV2_label additional.fields 병합됨
riskEventType_label additional.fields 병합됨
riskLevelAggregated_fields additional.fields 병합됨
riskLevelDuringSignIn_fields additional.fields 병합됨
riskState_fields additional.fields 병합됨
risk_event_types_label additional.fields 병합됨
risk_event_types_v2_label additional.fields 병합됨
signInEventTypes_label additional.fields 병합됨
signInTokenProtectionStatus_fields additional.fields 병합됨
sign_In_Token_Protection_Status_fields additional.fields 병합됨
status_additional_details_label additional.fields 병합됨
has_principal extensions.auth.type 매핑됨: true → AUTHTYPE_UNSPECIFIED
has_target_user extensions.auth.type 매핑됨: true → AUTHTYPE_UNSPECIFIED
Category metadata.description 직접 매핑됨
CreatedDateTime metadata.event_timestamp ISO8601로 파싱됨
createdDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ로 파싱됨
properties.createdDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ로 파싱됨
when metadata.event_timestamp yyyy-MM-dd HH:mm:ss로 파싱됨
has_principal metadata.event_type 매핑됨: true → USER_LOGIN, true → STATUS_UPDATE
has_target_user metadata.event_type 매핑됨: true → USER_LOGIN
TenantId metadata.product_deployment_id 직접 매핑됨
tenantId metadata.product_deployment_id 직접 매핑됨
operationName metadata.product_event_type 직접 매핑됨
id metadata.product_log_id 직접 매핑됨
prop_id metadata.product_log_id 직접 매핑됨
operationVersion metadata.product_version 직접 매핑됨
UserAgent network.http.parsed_user_agent 직접 매핑됨
properties.userAgent network.http.parsed_user_agent 이름 변경/매핑됨
Status_errorCode network.http.response_code 직접 매핑됨
status.errorCode network.http.response_code 직접 매핑됨
Browser network.http.user_agent 직접 매핑됨
UserAgent network.http.user_agent 직접 매핑됨
properties.userAgent network.http.user_agent 직접 매핑됨
CorrelationId network.session_id 직접 매핑됨
properties.sessionId network.session_id 직접 매핑됨
appDisplayName principal.application 직접 매핑됨
hardware principal.asset.hardware 병합됨
callerIpAddress principal.asset.ip 병합됨
ipAddress principal.asset.ip 병합됨
principal_ip principal.asset.ip 병합됨
callerIpAddress principal.ip 병합됨
ipAddress principal.ip 병합됨
principal_ip principal.ip 병합됨
City principal.location.city 직접 매핑됨
city principal.location.city 직접 매핑됨
city_value principal.location.city 직접 매핑됨
CountryOrRegion principal.location.country_or_region 직접 매핑됨
countryOrRegion principal.location.country_or_region 직접 매핑됨
country_or_region_value principal.location.country_or_region 직접 매핑됨
geoCoordinates_latitude principal.location.region_coordinates.latitude 직접 매핑됨
geo_latitude principal.location.region_coordinates.latitude 직접 매핑됨
geo_latitude_value principal.location.region_coordinates.latitude 직접 매핑됨
geoCoordinates_longitude principal.location.region_coordinates.longitude 직접 매핑됨
geo_longitude principal.location.region_coordinates.longitude 직접 매핑됨
geo_longitude_value principal.location.region_coordinates.longitude 직접 매핑됨
State principal.location.state 직접 매핑됨
state principal.location.state 직접 매핑됨
state_value principal.location.state 직접 매핑됨
OperatingSystem principal.platform 매핑됨: Win → WINDOWS, Mac → MAC, Lin → LINUX
DeviceDetail_operatingSystem principal.platform_version 직접 매핑됨
OperatingSystem principal.platform_version 직접 매핑됨
ServicePrincipalId_label principal.resource.attribute.labels 병합됨
resourceServicePrincipalId_label principal.resource.attribute.labels 병합됨
userPrincipalName principal.user.email_addresses 병합됨
userDisplayName principal.user.user_display_name 직접 매핑됨
userId principal.user.userid 직접 매핑됨
auth_detail_sec security_result 병합됨
auth_sec_res security_result 병합됨
sec_res security_result 병합됨
sr_result security_result 병합됨
OperationName security_result.action 매핑됨: Sign-in activity → action
ResultType security_result.action 매핑됨: 0 → action
action security_result.action 병합됨
security_action security_result.action 병합됨
Category security_result.category 병합됨
OperationName security_result.category 매핑됨: Sign-in activity → Category
category security_result.category_details 병합됨
AADTenantId_label security_result.detection_fields 병합됨
AppOwnerTenantId_label security_result.detection_fields 병합됨
AutonomousSystemNumber_label security_result.detection_fields 병합됨
CorrelationId_label security_result.detection_fields 병합됨
CrossTenantAccessType_label security_result.detection_fields 병합됨
DeviceDetail_browser_label security_result.detection_fields 병합됨
IsTenantRestricted_label security_result.detection_fields 병합됨
IsThroughGlobalSecureAccess_label security_result.detection_fields 병합됨
TokenIssuerType_label security_result.detection_fields 병합됨
Type_label security_result.detection_fields 병합됨
UniqueTokenIdentifier_label security_result.detection_fields 병합됨
_Internal_WorkspaceResourceId_label security_result.detection_fields 병합됨
_TimeReceived_label security_result.detection_fields 병합됨
alternateSignInName_label security_result.detection_fields 병합됨
appId_label security_result.detection_fields 병합됨
appid_label security_result.detection_fields 병합됨
browser_label security_result.detection_fields 병합됨
clientAppUsed_label security_result.detection_fields 병합됨
conditionalAccessStatus_label security_result.detection_fields 병합됨
correlationId_field security_result.detection_fields 병합됨
cribl_source_label security_result.detection_fields 병합됨
cribl_topic_name_label security_result.detection_fields 병합됨
detail_label security_result.detection_fields 병합됨
deviceId_label security_result.detection_fields 병합됨
deviceName_label security_result.detection_fields 병합됨
displayName_label security_result.detection_fields 병합됨
flaggedForReview_label security_result.detection_fields 병합됨
home_id_label security_result.detection_fields 병합됨
home_tenant_name_label security_result.detection_fields 병합됨
id_label security_result.detection_fields 병합됨
isCompliant_label security_result.detection_fields 병합됨
isInteractive_label security_result.detection_fields 병합됨
isManaged_label security_result.detection_fields 병합됨
item_id_label security_result.detection_fields 병합됨
message security_result.detection_fields 매핑됨: cribl_pipe → cribl_topic_name_label, cribl_pipe → cribl_source_label
method_label security_result.detection_fields 병합됨
networkNames_label security_result.detection_fields 병합됨
networkType_label security_result.detection_fields 병합됨
network_Names_label security_result.detection_fields 병합됨
network_Type_label security_result.detection_fields 병합됨
network_type_label security_result.detection_fields 병합됨
operationVersion_label security_result.detection_fields 병합됨
properties_resourceDisplayName_label security_result.detection_fields 병합됨
properties_resourceId_label security_result.detection_fields 병합됨
requirement_provider_label security_result.detection_fields 병합됨
resourceOwnerTenantId_label security_result.detection_fields 병합됨
resourceTenantId_label security_result.detection_fields 병합됨
resource_group_field security_result.detection_fields 병합됨
riskDetail_label security_result.detection_fields 병합됨
riskLevelAggregated_label security_result.detection_fields 병합됨
riskLevelDuringSignIn_label security_result.detection_fields 병합됨
riskState_label security_result.detection_fields 병합됨
sessionId_label security_result.detection_fields 병합됨
sessionLifetimePolicies_label security_result.detection_fields 병합됨
siginsess_status_code_label security_result.detection_fields 병합됨
signInIdentifier_label security_result.detection_fields 병합됨
source_system_label security_result.detection_fields 병합됨
step_date_label security_result.detection_fields 병합됨
step_detail_label security_result.detection_fields 병합됨
step_requirement_label security_result.detection_fields 병합됨
tokenIssuerName_label security_result.detection_fields 병합됨
token_protection_status_details_label security_result.detection_fields 병합됨
trustType_label security_result.detection_fields 병합됨
RiskLevelDuringSignIn security_result.priority 매핑됨: medium → MEDIUM_PRIORITY
ResultType security_result.rule_id 직접 매핑됨
OperationName security_result.severity 매핑됨: Sign-in activity → ERROR
level security_result.severity 직접 매핑됨
level security_result.severity_details 직접 매핑됨
OperationName security_result.summary 매핑됨: Sign-in activity → Successful login occurred, Sign-in activity → `Failed login…
ResultType security_result.summary 매핑됨: 0 → Successful login occurred
Status_failureReason security_result.summary 직접 매핑됨
status.failureReason security_result.summary 직접 매핑됨
AppDisplayName target.application 직접 매핑됨
properties.appDisplayName target.application 직접 매핑됨
resourceDisplayName target.application 직접 매핑됨
AppId_label target.resource.attribute.labels 병합됨
identity_label target.resource.attribute.labels 병합됨
resourceIdentity_label target.resource.attribute.labels 병합됨
resourceId target.resource.name 직접 매핑됨
ResourceId target.resource.product_object_id 직접 매핑됨
target_role_name target.user.attribute.roles 병합됨
UserPrincipalName target.user.email_addresses 매핑됨: ^.+@.+$ → UserPrincipalName
properties.userPrincipalName target.user.email_addresses 병합됨
UserId target.user.product_object_id 직접 매핑됨
Identity target.user.user_display_name 직접 매핑됨
properties.userDisplayName target.user.user_display_name 직접 매핑됨
UserPrincipalName target.user.userid 직접 매핑됨
properties.userId target.user.userid 직접 매핑됨
해당 사항 없음 extensions.auth.type 상수: AUTHTYPE_UNSPECIFIED
해당 사항 없음 metadata.event_type 상수: USER_LOGIN
해당 사항 없음 network.http.parsed_user_agent 상수: parseduseragent
해당 사항 없음 principal.platform 상수: WINDOWS
해당 사항 없음 security_result.priority 상수: MEDIUM_PRIORITY
해당 사항 없음 security_result.severity 상수: INFORMATIONAL
해당 사항 없음 security_result.summary 상수: Successful login occurred
properties.userId event.idm.read_only_udm.target.user.product_object_id 변경 로그에서 매핑됨
properties.appDisplayName event.idm.read_only_udm.target.application 변경 로그에서 매핑됨
resourceDisplayName event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
clientAppUsed event.idm.read_only_udm.principal.application 변경 로그에서 매핑됨
deviceDetail.deviceId event.idm.read_only_udm.principal.asset_id 및 event.idm.read_only_udm.principal.asset.asset_id 변경 로그에서 매핑됨
deviceDetail.isCompliant event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
deviceDetail.isManaged event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
deviceDetail.trustType event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.deviceDetail.browser event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.deviceDetail.displayName event.idm.read_only_udm.principal.hostname 및 event.idm.read_only_udm.principal.asset.hostname 변경 로그에서 매핑됨
properties.appId event.idm.read_only_udm.target.resource.product_object_id 변경 로그에서 매핑됨
properties.userPrincipalName event.idm.read_only_udm.target.user.email_address 변경 로그에서 매핑됨
properties.userPrincipalName event.idm.read_only_udm.target.user.userid 변경 로그에서 매핑됨
properties.location.countryOrRegion event.idm.read_only_udm.principal.location.country_or_region 변경 로그에서 매핑됨
ip_address_from_resource_provider event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip 변경 로그에서 매핑됨
properties.redirectUrl event.idm.read_only_udm.target.url 변경 로그에서 매핑됨
properties.homeTenantName event.idm.read_only_udm.principal.user.attribute.labels 변경 로그에서 매핑됨
properties.deviceDetail.operatingSystem event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
properties.originalTransferMethod event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
properties.authenticationProtocol event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
properties.federatedCredentialId event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.servicePrincipalCredentialKeyId event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.servicePrincipalCredentialThumbprint event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.sourceAppClientId event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.appServicePrincipalId event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.signInIdentifier event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.alternateSignInName event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.riskLevelDuringSignIn event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.riskEventTypes event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.riskEventTypes_v2 event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.authenticationRequirementPolicies event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.sessionLifetimePolicies event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
properties.authenticationStrengths event.idm.read_only_udm.principal.asset.attribute.labels 변경 로그에서 매핑됨
TimeGenerated event.idm.read_only_udm.metadata.collected_timestamp 변경 로그에서 매핑됨
authenticationRequirement event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RiskEventTypes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Status.errorCode event.idm.read_only_udm.network.http.response_code 변경 로그에서 매핑됨
Status.failureReason event.idm.read_only_udm.security_result.summary 변경 로그에서 매핑됨
cribl.cribl_data.cribl_enrichment.topic_name event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
cribl.cribl_data.cribl_enrichment.cribl_source event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
AlternateSignInName event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
SignInIdentifier event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
DeviceDetail.deviceId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
DeviceDetail.trustType event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
TokenIssuerName event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
AADTenantId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
authdetail.authenticationMethod event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
authdetail.authenticationMethodDetail event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
authdetail.authenticationStepDateTime event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
authdetail.authenticationStepRequirement event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
authdetail.authenticationStepResultDetail event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
networklocation.networkType event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
networklocation.networkNames event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
authdetail.succeeded event.idm.read_only_udm.security_result.action_details 변경 로그에서 매핑됨
authdetail.succeeded event.idm.read_only_udm.security_result.action 변경 로그에서 매핑됨
Agent.agentType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AuthenticationContextClassReferences event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AuthenticationProtocol event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AuthenticationRequirement event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ClientCredentialType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
TimeGenerated event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
AuthenticationProcessingDetails event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IsInteractive event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
DeviceDetail.displayName event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
OperationVersion event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
AppOwnerTenantId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
CrossTenantAccessType event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
IsTenantRestricted event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
IsThroughGlobalSecureAccess event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
Type event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
_TimeReceived event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
AuthenticationRequirementPolicies event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
CreatedDateTime event.idm.read_only_udm.metadata.event_timestamp 변경 로그에서 매핑됨
apc.displayName event.idm.read_only_udm.security_result.rule_name 변경 로그에서 매핑됨
apc.id event.idm.read_only_udm.security_result.rule_id 변경 로그에서 매핑됨
apc.Result event.idm.read_only_udm.security_result.rule_labels 변경 로그에서 매핑됨
apc.conditionsSatisfied event.idm.read_only_udm.security_result.rule_labels 변경 로그에서 매핑됨
apc.conditionsNotSatisfied event.idm.read_only_udm.security_result.rule_labels 변경 로그에서 매핑됨
apc.enforcedGrantControls event.idm.read_only_udm.security_result.rule_labels 변경 로그에서 매핑됨
apc.enforcedSessionControls event.idm.read_only_udm.security_result.rule_labels 변경 로그에서 매핑됨
SourceSystem event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
SessionLifetimePolicies event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
SessionId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
ResourceTenantId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
ResourceOwnerTenantId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
TokenProtectionStatusDetails.signInSessionStatusCode event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
TokenProtectionStatusDetails.signInSessionStatus event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
DeviceDetail.browser event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
DeviceDetail.operatingSystem event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
ResourceServicePrincipalId event.idm.read_only_udm.principal.user.attribute.labels 변경 로그에서 매핑됨
ResourceIdentity event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
Resource event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ProcessingTimeInMilliseconds event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
OriginalTransferMethod event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
OriginalRequestId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Status.additionalDetails event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RiskEventTypes_V2 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IncomingTokenType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
LocationDetails.city event.idm.read_only_udm.principal.location.city 변경 로그에서 매핑됨
LocationDetails.countryOrRegion event.idm.read_only_udm.principal.location.country_or_region 변경 로그에서 매핑됨
LocationDetails.state event.idm.read_only_udm.principal.location.state 변경 로그에서 매핑됨
LocationDetails.geoCoordinates.latitude event.idm.read_only_udm.principal.location.region_coordinates.latitude 변경 로그에서 매핑됨
LocationDetails.geoCoordinates.longitude event.idm.read_only_udm.principal.location.region_coordinates.longitude 변경 로그에서 매핑됨
deviceDetail.operatingSystem principal.platform 변경 로그에서 매핑됨
appId", "clientAppUsed", "conditionalAccessStatus", "deviceDetail.deviceId", "deviceDetail.deviceName", "deviceDetail.browser", "deviceDetail.isCompliant", "deviceDetail.isManaged", and "deviceDetail.trustType security_result.detection_fields 변경 로그에서 매핑됨
location.countryOrRegion principal.location.country_or_region 변경 로그에서 매핑됨
location.geoCoordinates.latitude principal.location.region_coordinates.latitude 변경 로그에서 매핑됨
location.geoCoordinates.longitude principal.location.region_coordinates.longitude 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.