Raccogli i log di accesso di Microsoft Entra ID

Supportata in:

Questo documento spiega come raccogliere i log di accesso di Microsoft Entra ID (in precedenza Azure Active Directory) configurando un feed di Google Security Operations. Puoi configurare l'importazione utilizzando due metodi: Hub eventi di Azure (consigliato) o l'API di terze parti.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi al portale di Microsoft Azure
  • Ruolo Amministratore della sicurezza o Amministratore globale in Microsoft Entra ID (obbligatorio per le impostazioni di diagnostica)
  • Per il metodo API di terze parti, uno dei seguenti ruoli per concedere il consenso dell'amministratore:
    • Amministratore globale: può concedere il consenso per qualsiasi autorizzazione, per qualsiasi API
    • Amministratore dei ruoli con privilegi: può concedere il consenso per qualsiasi autorizzazione, per qualsiasi API
    • Amministratore di applicazioni cloud: può concedere il consenso per qualsiasi autorizzazione per qualsiasi API, ad eccezione dei ruoli dell'app Microsoft Graph (autorizzazioni dell'applicazione)

Questo metodo trasmette i log di accesso di Microsoft Entra ID tramite l'hub eventi di Azure utilizzando le impostazioni di diagnostica. Google SecOps importa i log direttamente dall'hub eventi utilizzando il tipo di feed Azure Event Hub.

Crea uno spazio dei nomi degli hub di evento

Uno spazio dei nomi degli hub di eventi è un container di gestione per uno o più hub di eventi.

  1. Nel portale Azure, cerca Hub eventi.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona il tuo abbonamento Azure
    Gruppo di risorse Seleziona un elemento esistente o creane uno nuovo
    Nome dello spazio dei nomi Inserisci un nome univoco (ad esempio secops-entraid-signin)
    Località Seleziona la regione più vicina al tuo tenant Microsoft Entra
    Livello di prezzo Standard (consigliato per la produzione)
    Unità di throughput Inizia con 1, attiva l'espansione automatica (consigliato)

  4. Fai clic su Review + create (Rivedi e crea).

  5. Esamina la panoramica e fai clic su Crea.

  6. Attendi il completamento del deployment (1-2 minuti).

Crea l'hub di eventi

  1. Dopo aver eseguito il deployment dello spazio dei nomi, vai allo spazio dei nomi dell'hub di eventi.
  2. Nel pannello di navigazione a sinistra, seleziona Hub eventi in Entità.
  3. Fai clic su + Event Hub.

  4. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome Inserisci un nome univoco (ad esempio entraid-signin-logs)
    Conteggio partizioni 40 (consigliato per una scalabilità ottimale di Google SecOps)
    Conservazione dei messaggi 7 giorni (minimo consigliato)
    Acquisisci Disattivato (non necessario per Google SecOps)

  5. Fai clic su Crea.

Ottieni una stringa di connessione dell'hub di eventi

Google SecOps richiede una stringa di connessione per l'autenticazione nell'hub eventi.

  1. Vai allo spazio dei nomi dell'hub di eventi.
  2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
  3. Fai clic sulla policy predefinita RootManageSharedAccessKey.
  4. Copia la Stringa di connessione - chiave primaria.
  5. Salva questa stringa di connessione in modo sicuro.

  • Esempio:

    Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs

Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Opzione B: stringa di connessione a livello di hub eventi

  1. Vai all'hub di eventi (non allo spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
  3. Fai clic su + Aggiungi per creare una nuova policy.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome della policy: inserisci un nome descrittivo (ad esempio chronicle-read)
    • Autorizzazioni: seleziona solo Ascolta (accesso di sola lettura)
  5. Fai clic su Crea.
  6. Fai clic sulla policy appena creata.
  7. Copia la Stringa di connessione - chiave primaria.

  8. Salva questa stringa di connessione in modo sicuro.

Configura le impostazioni di diagnostica di Microsoft Entra ID

  1. Accedi al centro di amministrazione di Microsoft Entra almeno come Amministratore della sicurezza.
  2. Vai a Entra ID > Monitoring & health > Diagnostic settings.
  3. Fai clic su + Add diagnostic setting (+ Aggiungi impostazione di diagnostica).

  4. Fornisci i seguenti dettagli di configurazione:

    • Nome impostazione di diagnostica: inserisci un nome descrittivo (ad esempio signin-logs-to-eventhub).

    • Nella sezione Log, seleziona le categorie di log di accesso che vuoi esportare:

      • SignInLogs: accessi utente interattivi.
      • NonInteractiveUserSignInLogs: accessi utente non interattivi (consigliato).
      • ServicePrincipalSignInLogs: accessi delle entità servizio (facoltativo).
      • ManagedIdentitySignInLogs: accessi con identità gestite (facoltativo).
      • ADFSSignInLogs: log di accesso AD FS (facoltativo, se AD FS è in uso).
      • RiskyUsers: utenti segnalati per rischio da Microsoft Entra ID Protection (facoltativo).
      • UserRiskEvents: dettagli dell'evento di accesso rischioso (facoltativo).

    • Nella sezione Dettagli destinazione, seleziona Trasmetti in streaming a un hub eventi.

    • Abbonamento: seleziona l'abbonamento contenente lo spazio dei nomi di Event Hubs.

    • Spazio dei nomi degli hub di eventi: seleziona lo spazio dei nomi che hai creato (ad esempio, secops-entraid-signin).

    • Nome hub di eventi: seleziona l'hub di eventi che hai creato (ad esempio entraid-signin-logs).

    • Nome policy hub eventi: seleziona RootManageSharedAccessKey.

  5. Fai clic su Salva.

(Facoltativo) Configura Azure Blob Storage per il checkpoint

Google SecOps può utilizzare Archiviazione BLOB di Azure per archiviare i checkpoint di Event Hubs, che monitorano gli eventi elaborati. In questo modo si evita l'importazione di duplicati se il feed viene temporaneamente interrotto.

Crea un account di archiviazione per il checkpointing

  1. Nel portale Azure, cerca Account di archiviazione.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona il tuo abbonamento Azure
    Gruppo di risorse Utilizza lo stesso gruppo di risorse dell'hub di eventi
    Nome account di archiviazione Inserisci un nome univoco (ad esempio secopsaadsignin)
    Regione Stessa regione dell'hub di eventi
    Prestazioni Standard
    Ridondanza LRS (archiviazione con ridondanza locale)

  4. Fai clic su Review + create (Rivedi e crea).

  5. Fai clic su Crea.

Crea il container di blob

  1. Vai all'account di archiviazione che hai creato.
  2. Nel menu di navigazione a sinistra, seleziona Container in Datastore.
  3. Fai clic su + Container.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci checkpoints
  5. Fai clic su Crea.

Ottieni le credenziali dell'account di archiviazione

  1. Nell'account di archiviazione, seleziona Chiavi di accesso in Sicurezza + networking.
  2. Fai clic su Mostra chiavi.
  3. Copia e salva:
    • Nome account di archiviazione: il nome del tuo account di archiviazione.
    • Chiave 1: il valore della chiave di accesso.

(Facoltativo) Crea un gruppo di consumer dedicato

Per impostazione predefinita, l'hub di eventi fornisce un gruppo di consumer denominato $Default. Per gli ambienti di produzione, è consigliabile creare un gruppo di consumer dedicato per Google SecOps.

  1. Vai all'hub di eventi (non allo spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Gruppi di consumer in Entità.
  3. Fai clic su + Gruppo di consumer.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio chronicle)

  5. Fai clic su Crea.

Configura un feed in Google SecOps per importare i log di accesso di Microsoft Entra ID

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Microsoft Entra ID Sign-In Logs - Event Hub).
  5. Seleziona Microsoft Azure Event Hub come Tipo di origine.
  6. Seleziona Microsoft Azure AD come Log type (Tipo di log).
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • Stringa di connessione dell'hub eventi: inserisci la stringa di connessione dell'hub eventi acquisita in precedenza.

      Se utilizzi una stringa di connessione a livello di spazio dei nomi:

      • Assicurati di aver rimosso il parametro EntityPath.
      • Devi anche fornire il Nome hub di eventi nel campo successivo.

      Se utilizzi una stringa di connessione a livello di hub eventi:

      • Utilizza la stringa di connessione così com'è (include EntityPath).

      • Il campo Event hub name (Nome hub di eventi) può essere lasciato vuoto.

      • Nome hub di eventi: inserisci il nome dell'hub di eventi (ad esempio, entraid-signin-logs).

      Obbligatorio se utilizzi una stringa di connessione a livello di spazio dei nomi. Facoltativo se utilizzi la stringa di connessione a livello di hub eventi.

      • Gruppo di consumer (facoltativo): inserisci il nome del gruppo di consumer.
      • Lascia vuoto per utilizzare il gruppo di consumer $Default predefinito.

      • Se hai creato un gruppo di consumer dedicato, inserisci il suo nome (ad esempio, chronicle).

      • Nome container di archiviazione blob (facoltativo): per il checkpoint, inserisci il nome del container (ad esempio checkpoints).

      Se fornisci l'archiviazione blob per il checkpoint:

      • Nome account Azure Storage: inserisci il nome dell'account di archiviazione dalla configurazione del checkpoint.

      • Chiave account Azure Storage: inserisci la chiave di accesso dalla configurazione del checkpoint.

      • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

      • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Metodo 2: API di terze parti

Questo metodo utilizza l'API Microsoft Graph per recuperare i log di accesso di Microsoft Entra ID direttamente dal tuo tenant Microsoft.

Configura la lista consentita IP

Google SecOps richiede l'inserimento nella lista consentita per i tipi di log che importano dati da API di terze parti, quindi aggiungi gli intervalli IP di Google nelle impostazioni della rete di Microsoft Azure o nelle policy di accesso condizionale prima di creare il feed. Questo è importante se l'origine dati applica limitazioni basate sull'IP. Se il feed restituisce un errore 403, verifica che la lista consentita sia attiva. Tieni presente che l'elenco pubblicato è l'elenco di tutti i goog.json di Google, non un elenco di traffico in uscita di Google SecOps, e Google SecOps non può garantire che un feed provenga da indirizzi di una determinata regione. Per limitare l'accesso a un intervallo più ristretto, apri un ticket di assistenza.

Ottieni gli intervalli IP di Google SecOps

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Prendi nota degli intervalli IP visualizzati nell'interfaccia di creazione del feed.
  4. In alternativa, recupera gli intervalli IP in modo programmatico utilizzando l'API Feed Management.

Configura l'accesso condizionale per le identità dei workload (se necessario)

Se la tua organizzazione utilizza policy di accesso condizionale che limitano l'accesso in base alla località:

  1. Nell'interfaccia di amministrazione di Microsoft Entra, vai a Protezione > Accesso condizionale > Località denominate.
  2. Fai clic su + Nuova località.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci Google SecOps IP Ranges.
    • Contrassegna come località attendibile: facoltativo, in base alle policy di sicurezza.
    • Intervalli IP: aggiungi ogni intervallo IP di Google SecOps in notazione CIDR.
  4. Fai clic su Crea.
  5. Vai a Accesso condizionale > Criteri.
  6. Per tutte le policy che si applicano alle Workload Identity, configura un'esclusione per la località denominata Google SecOps IP Ranges o per l'entità servizio specifica.

Configura l'accesso API Microsoft Entra ID

Crea registrazione app

  1. Accedi all'interfaccia di amministrazione di Microsoft Entra o al portale di Azure.
  2. Vai a Identity (Identità) > Applications (Applicazioni) > App registrations (Registrazioni app).
  3. Fai clic su Nuova registrazione.

  4. Fornisci i seguenti dettagli di configurazione:

    • Nome: inserisci un nome descrittivo (ad esempio Google SecOps Sign-In Logs Integration).
    • Tipi di account supportati: seleziona Solo account in questa directory dell'organizzazione (singolo tenant).
    • URI di reindirizzamento: lascia vuoto (non richiesto per l'autenticazione del service principal).

  5. Fai clic su Register (Registrati).

  6. Dopo la registrazione, copia e salva i seguenti valori:

    • ID applicazione (client)
    • ID directory (tenant)

Configura le autorizzazioni API

L'integrazione richiede le seguenti autorizzazioni dell'applicazione Microsoft Graph:

  1. Nella registrazione dell'app, vai ad API permissions (Autorizzazioni API).
  2. Fai clic su Aggiungi un'autorizzazione.
  3. Seleziona Microsoft Graph > Application permissions (Autorizzazioni applicazione).
  4. Seleziona le seguenti autorizzazioni:
    • AuditLog.Read.All: obbligatorio per leggere i log di accesso.
    • Directory.Read.All: richiesto dall'API Microsoft Graph per l'accesso ai log di accesso (problema noto).
    • SecurityEvents.Read.All: richiesto da Google SecOps.
  5. (Facoltativo) Per acquisire anche le policy di accesso condizionale applicate a ogni accesso, aggiungi un'autorizzazione in lettura per l'accesso condizionale:
    • Policy.Read.ConditionalAccess: consigliato (privilegio minimo). Consente al feed di compilare il campo appliedConditionalAccessPolicies in ogni record di accesso.
  6. Fai clic su Aggiungi autorizzazioni.
  7. Fai clic su Concedi il consenso amministratore per [La tua organizzazione].
  8. Verifica che la colonna Stato mostri Concessa per [La tua organizzazione] per ogni autorizzazione aggiunta.
Autorizzazione Tipo Descrizione
AuditLog.Read.All Applicazione Leggere tutti i dati di accesso e degli audit log
Directory.Read.All Applicazione Lettura dei dati della directory (obbligatorio per l'accesso all'API)
SecurityEvents.Read.All Applicazione Leggi gli eventi di sicurezza
Policy.Read.ConditionalAccess Applicazione Facoltativo. Leggere le policy di accesso condizionale in modo che appliedConditionalAccessPolicies sia incluso nei log di accesso

Crea un client secret

  1. Vai a Certificates & secrets (Certificati e secret).
  2. Fai clic su Nuovo client secret.

  3. Fornisci i seguenti dettagli di configurazione:

    • Descrizione: inserisci un nome descrittivo (ad esempio Google SecOps Feed).
    • Scadenza: seleziona un periodo di scadenza.

  4. Fai clic su Aggiungi.

  5. Importante: copia immediatamente il valore del client secret. Questo valore viene visualizzato una sola volta e non può essere recuperato in un secondo momento.

Verifica l'accesso all'API prima di creare il feed

Prima di creare il feed di Google SecOps, verifica che l'entità di servizio possa autenticarsi e accedere correttamente all'API Microsoft Graph.

  • Testa l'autenticazione utilizzando PowerShell

    # Replace with your actual values
$tenantId = "your-tenant-id"
$clientId = "your-client-id"
$clientSecret = "your-client-secret"

# Token request parameters (must be lowercase)
$tokenBody = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

# Request access token
$tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"

if ($tokenResponse.access_token) {
    Write-Host "✓ Successfully obtained access token" -ForegroundColor Green

    # Test API call to sign-ins endpoint
    $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
    $headers = @{
        Authorization = "Bearer $($tokenResponse.access_token)"
    }

    try {
        $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
        Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
        Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
    }
    catch {
        Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
        Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
    }
}
else {
    Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
}

  • Output previsto:

    ✓ Successfully obtained access token
✓ Successfully accessed sign-ins API
Sample sign-in log retrieved successfully

  • Testa l'autenticazione utilizzando curl

    # Replace with your actual values
TENANT_ID="your-tenant-id"
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"

# Request access token
curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=$CLIENT_ID" \
  -d "client_secret=$CLIENT_SECRET" \
  -d "scope=https://graph.microsoft.com/.default"

# Test API access
curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"

Configura un feed in Google SecOps per importare i log di accesso di Microsoft Entra ID

Configura il feed

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Microsoft Entra ID Sign-In Logs).
  5. Seleziona API di terze parti come Tipo di origine.
  6. Seleziona Microsoft Azure AD come Log type (Tipo di log).
  7. Fai clic su Avanti.

Configura i parametri del feed

  1. Specifica i valori per i seguenti parametri di input:

    • ID client OAuth: l'ID applicazione (client) della registrazione dell'app.
    • Client secret OAuth: il valore del client secret che hai copiato in precedenza.
    • ID tenant: l'ID tenant Microsoft della registrazione dell'app (formato UUID, ad esempio 0fc279f9-fe30-41be-97d3-abe1d7681418).

    • Percorso completo dell'API: URL dell'endpoint API REST di Microsoft Graph:

      graph.microsoft.com/v1.0/auditLogs/signIns

    • Endpoint di autenticazione API: endpoint di autenticazione Microsoft Active Directory:

      login.microsoftonline.com

    Opzioni avanzate:

    • Nome del feed: un valore precompilato che identifica il feed.
    • Tipo di origine: API di terze parti (meccanismo per la raccolta dei log in Google SecOps).
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset a cui verrà associato il feed.
    • Etichette di importazione: le etichette verranno aggiunte a tutti gli eventi di questo feed.

  2. Fai clic su Avanti.

  3. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Endpoint regionali

Per i deployment di Microsoft Entra ID in Sovereign Cloud, utilizza gli endpoint regionali appropriati:

Ambiente cloud Percorso completo dell'API Endpoint di autenticazione API
Global graph.microsoft.com/v1.0/auditLogs/signIns login.microsoftonline.com
US Government L4 graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
US Government L5 (DOD) dod-graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
Cina (21Vianet) microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns login.chinacloudapi.cn

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
CertSerialNumber about.artifact.last_https_certificate.serial_number Mappatura diretta
modifiedProperty.newValue about.location.city Mappatura diretta
modifiedProperty.newValue about.location.country_or_region Mappatura diretta
modifiedProperty.newValue about.location.state Mappatura diretta
modifiedProperty.newValue about.user.department Unita
modifiedProperty.newValue about.user.email_addresses Unita
modifiedProperty.newValue about.user.first_name Mappatura diretta
modifiedProperty.newValue about.user.last_name Mappatura diretta
modifiedProperty.newValue about.user.phone_numbers Unita
modifiedProperty.newValue about.user.product_object_id Mappatura diretta
modifiedProperty.newValue about.user.title Mappatura diretta
modifiedProperty.newValue about.user.user_display_name Mappatura diretta
modifiedProperty.newValue about.user.userid Mappatura diretta
C_DeviceId_label additional.fields Unita
C_Iat_label additional.fields Unita
C_Idtyp_label additional.fields Unita
C_Sid_label additional.fields Unita
CorrelationId_label additional.fields Unita
CrossTenantAccessType_label additional.fields Unita
ImpersonationLevel_label additional.fields Unita
KeyLength_label additional.fields Unita
aadtenant_label additional.fields Unita
additionalDetails_label additional.fields Unita
additional_crossTenantAccessType additional.fields Unita
additional_detail_label additional.fields Unita
additional_detectedDateTime additional.fields Unita
additional_detectionTimingType additional.fields Unita
additional_durationMs additional.fields Unita
additional_fields additional.fields Unita
additional_isDeleted additional.fields Unita
additional_isGuest additional.fields Unita
additional_isProcessing additional.fields Unita
additional_lastUpdatedDateTime additional.fields Unita
additional_resultSignature additional.fields Unita
additional_source additional.fields Unita
additional_tokenIssuerName additional.fields Unita
additional_tokenIssuerType additional.fields Unita
additional_userType additional.fields Unita
altitude_loc additional.fields Unita
appServicePrincipalId_label additional.fields Unita
atContentH_label additional.fields Unita
atContentP_label additional.fields Unita
auth_detail_label additional.fields Unita
auth_id_label additional.fields Unita
authentication additional.fields Unita
authenticationDetail_label additional.fields Unita
authenticationProtocol_label additional.fields Unita
authentication_app_device_details_label additional.fields Unita
authentication_requirement_label additional.fields Unita
auto_label additional.fields Unita
autonomousSystemNumber_label additional.fields Unita
cert_issuer_name_label additional.fields Unita
cert_thumbprint_label additional.fields Unita
clientCredentialType_label additional.fields Unita
client_credential_type additional.fields Unita
client_credential_type_label additional.fields Unita
conditionalAccessStatus_label additional.fields Unita
cribl_pipe_label additional.fields Unita
crossTenantAccessType_label additional.fields Unita
cross_tenant_access_type_label additional.fields Unita
domain_hint_present_label additional.fields Unita
durationMs_label additional.fields Unita
error_number_label additional.fields Unita
federated_credential_id_label additional.fields Unita
flaggedForReview_label additional.fields Unita
flagged_for_review_label additional.fields Unita
hometenant_label additional.fields Unita
incomingTokenType_label additional.fields Unita
incoming_token_type_label additional.fields Unita
isTenantRestricted_label additional.fields Unita
isThroughGlobalSecureAccess_label additional.fields Unita
is_interactive_label additional.fields Unita
is_tenant_restricted_label additional.fields Unita
latitude_label additional.fields Unita
login_hint_present_label additional.fields Unita
longitude_label additional.fields Unita
mfa_details_label additional.fields Unita
name_list additional.fields Unita
networkName_label additional.fields Unita
networkType_additional_fields additional.fields Unita
networkType_label additional.fields Unita
network_location_label additional.fields Unita
network_names_additional_fields additional.fields Unita
originalRequestId_label additional.fields Unita
originalTransferMethod_label additional.fields Unita
original_transfer_method_label additional.fields Unita
processing_time_in_milliseconds_label additional.fields Unita
properties_incomingTokenType additional.fields Unita
properties_isInteractive additional.fields Unita
properties_location_geoCoordinates_altitude additional.fields Unita
properties_processingTimeInMilliseconds additional.fields Unita
properties_rngcStatus additional.fields Unita
proxy_restriction_target_tenant_name_label additional.fields Unita
prp_networkType_additional_fields additional.fields Unita
prp_network_names_additional_fields additional.fields Unita
ram_recommended_action_label additional.fields Unita
ram_recommender_label additional.fields Unita
record_properties_id_label additional.fields Unita
resultReason_label additional.fields Unita
resultType_label additional.fields Unita
resultstatus_label additional.fields Unita
rngcStatus_label additional.fields Unita
service_principal_credential_key_id_label additional.fields Unita
service_principal_credential_thumbprint_label additional.fields Unita
service_principal_name_label additional.fields Unita
signInActivityId_label additional.fields Unita
signInSessionStatusCode_label additional.fields Unita
signInSessionStatus_label additional.fields Unita
signInTokenProtectionStatus_label additional.fields Unita
sign_in_identifier_type_label additional.fields Unita
sign_in_token_protection_status_label additional.fields Unita
ssoExtensionVersion_label additional.fields Unita
status_additionalDetails_label additional.fields Unita
tokenIssuedAt_label additional.fields Unita
tokenIssuerType_label additional.fields Unita
token_issuer_name_label additional.fields Unita
token_issuer_type_label additional.fields Unita
token_protection_status_details_label additional.fields Unita
token_protection_status_details_signInSessionStatus_label additional.fields Unita
type_list additional.fields Unita
uniqueTokenIdentifier_label additional.fields Unita
unique_token_identifier_label additional.fields Unita
userType_label additional.fields Unita
user_type_label additional.fields Unita
wids_label additional.fields Unita
workload_label additional.fields Unita
LogonType extensions.auth.auth_details Mappatura diretta
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed extensions.auth.auth_details Mappatura diretta
properties_clientAuthMethod extensions.auth.auth_details Mappatura diretta
record_properties_clientAuthMethod extensions.auth.auth_details Mappatura diretta
auth_mechanism extensions.auth.mechanism Unita
ext_mech extensions.auth.mechanism Unita
mechanism extensions.auth.mechanism Unita
operationName extensions.auth.type Mappatura: Sign-in activity → SSO
record_operationName extensions.auth.type Mappatura: Sign-in activity → AUTHTYPE_UNSPECIFIED
category metadata.description Mappatura diretta
record_category metadata.description Mappatura diretta
CreationTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
activityDateTime metadata.event_timestamp Analizzato come ISO8601
date metadata.event_timestamp Analizzato come ISO8601
properties.activityDateTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSSZ
record_CreatedDateTime metadata.event_timestamp Analizzato come ISO8601
record_time metadata.event_timestamp Analizzato come ISO8601
when metadata.event_timestamp Analizzato come yyyy-MM-dd HH:mm:ss
category metadata.event_type Mappatura: (?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type metadata.event_type Mappatura diretta
has_principal metadata.event_type Mappatura: true → STATUS_UPDATE
has_principal_user metadata.event_type Mappatura: true → USER_UNCATEGORIZED
has_resource metadata.event_type Mappatura: true → USER_RESOURCE_ACCESS
has_target metadata.event_type Mappatura: true → NETWORK_CONNECTION
has_target_user metadata.event_type Mapped: true → USER_LOGOUT, true → USER_CHANGE_PERMISSIONS, true → USER_LOGIN
record_tenantId metadata.product_deployment_id Mappatura diretta
tenantId metadata.product_deployment_id Mappatura diretta
Operation metadata.product_event_type Mappatura diretta
activityDisplayName metadata.product_event_type Mappatura diretta
operationName metadata.product_event_type Mappatura diretta
record_OperationName metadata.product_event_type Mappatura diretta
record_operationName metadata.product_event_type Mappatura diretta
type metadata.product_event_type Mappatura diretta
EventRecordID metadata.product_log_id Mappatura diretta
Id metadata.product_log_id Mappatura diretta
id metadata.product_log_id Mappatura diretta
properties.id metadata.product_log_id Mappatura diretta
record_Id metadata.product_log_id Mappatura diretta
record_correlationId metadata.product_log_id Mappatura diretta
Version metadata.product_version Mappatura diretta
operationVersion metadata.product_version Mappatura diretta
record_operationVersion metadata.product_version Mappatura diretta
properties.SignInBondData.ProtocolDetails.Protocol network.application_protocol Mappatura diretta
properties_requestMethod network.http.method Mappatura diretta
record_properties_requestMethod network.http.method Mappatura diretta
browser network.http.parsed_user_agent Mappatura diretta
deviceDetail.browser network.http.parsed_user_agent Mappatura diretta
properties.deviceDetail.browser network.http.parsed_user_agent Mappatura diretta
properties.userAgent network.http.parsed_user_agent Mappatura diretta
record_UserAgent network.http.parsed_user_agent Mappatura diretta
record_properties_userAgent network.http.parsed_user_agent Mappatura diretta
userAgent network.http.parsed_user_agent Mappatura diretta
user_agent network.http.parsed_user_agent Mappatura diretta
value network.http.parsed_user_agent Mappatura diretta
value1 network.http.parsed_user_agent Rinominato/mappato
properties_requestUri network.http.referral_url Mappatura diretta
record_properties_requestUri network.http.referral_url Mappatura diretta
properties_responseStatusCode network.http.response_code Mappatura diretta
record_properties_responseStatusCode network.http.response_code Mappatura diretta
browser network.http.user_agent Mappatura diretta
deviceDetail.browser network.http.user_agent Mappatura diretta
properties.deviceDetail.browser network.http.user_agent Mappatura diretta
properties.userAgent network.http.user_agent Mappatura diretta
record_UserAgent network.http.user_agent Mappatura diretta
record_properties_userAgent network.http.user_agent Mappatura diretta
userAgent network.http.user_agent Mappatura diretta
user_agent network.http.user_agent Mappatura diretta
value network.http.user_agent Mappatura diretta
value1 network.http.user_agent Mappatura diretta
properties_responseSizeBytes network.received_bytes Mappatura diretta
record_properties_responseSizeBytes network.received_bytes Mappatura diretta
originalRequestId network.session_id Mappatura diretta
properties.originalRequestId network.session_id Mappatura diretta
properties.sessionId network.session_id Mappatura diretta
record_OriginalRequestId network.session_id Mappatura diretta
record_properties_sessionId network.session_id Mappatura diretta
sessionId network.session_id Mappatura diretta
value network.session_id Mappatura diretta
loggedByService observer.application Mappatura diretta
properties.loggedByService observer.application Mappatura diretta
SubjectDomainName principal.administrative_domain Mappatura diretta
domain principal.administrative_domain Mappatura diretta
initiatedBy_app_displayName principal.application Mappatura diretta
record_ClientAppUsed principal.application Mappatura diretta
deviceId principal.asset.asset_id Mappatura diretta
properties_deviceDetail_deviceId principal.asset.asset_id Mappatura diretta
record_DeviceDetail_deviceId principal.asset.asset_id Mappatura diretta
record_properties_C_DeviceId principal.asset.asset_id Mappatura diretta
record_properties_deviceDetail_deviceId principal.asset.asset_id Mappatura diretta
additional_fields principal.asset.attribute.labels Unita
device_trust_type_label principal.asset.attribute.labels Unita
isManaged_label principal.asset.attribute.labels Unita
is_managed_label principal.asset.attribute.labels Unita
trustType_label principal.asset.attribute.labels Unita
deviceDetail.displayName principal.asset.hostname Mappatura diretta
displayName principal.asset.hostname Mappatura diretta
properties.deviceDetail.displayName principal.asset.hostname Mappatura diretta
ActorIpAddress principal.asset.ip Unita
IpAddress principal.asset.ip Unita
SourceIpAddress principal.asset.ip Unita
initiatedBy.user.ipAddress principal.asset.ip Unita
principal_ip principal.asset.ip Unita
properties.initiatedBy.user.ipAddress principal.asset.ip Unita
properties_ip_address principal.asset.ip Unita
record.IPAddress principal.asset.ip Unita
record_callerIpAddress principal.asset.ip Unita
deviceId principal.asset_id Mappatura diretta
record_DeviceDetail_deviceId principal.asset_id Mappatura diretta
record_properties_deviceDetail_deviceId principal.asset_id Mappatura diretta
value principal.asset_id Mappatura diretta
deviceDetail.displayName principal.hostname Mappatura diretta
displayName principal.hostname Mappatura diretta
properties.deviceDetail.displayName principal.hostname Mappatura diretta
ActorIpAddress principal.ip Unita
IpAddress principal.ip Unita
SourceIpAddress principal.ip Unita
initiatedBy.user.ipAddress principal.ip Unita
principal_ip principal.ip Unita
properties.initiatedBy.user.ipAddress principal.ip Unita
properties_ip_address principal.ip Unita
record_IPAddress principal.ip Unita
record_callerIpAddress principal.ip Unita
location_city principal.location.city Mappatura diretta
record_properties_location_city principal.location.city Mappatura diretta
location_countryOrRegion principal.location.country_or_region Mappatura diretta
properties.tenantGeo principal.location.country_or_region Mappatura diretta
record_properties_location_countryOrRegion principal.location.country_or_region Mappatura diretta
location_name principal.location.name Mappatura diretta
record_location principal.location.name Mappatura diretta
location_geo_latitude principal.location.region_coordinates.latitude Mappatura diretta
record_LocationDetails_geoCoordinates_latitude principal.location.region_coordinates.latitude Mappatura diretta
record_properties_location_geoCoordinates_latitude principal.location.region_coordinates.latitude Mappatura diretta
location_geo_longitude principal.location.region_coordinates.longitude Mappatura diretta
record_LocationDetails_geoCoordinates_longitude principal.location.region_coordinates.longitude Mappatura diretta
record_properties_location_geoCoordinates_longitude principal.location.region_coordinates.longitude Mappatura diretta
location_state principal.location.state Mappatura diretta
record_properties_location_state principal.location.state Mappatura diretta
operatingSystem principal.platform Mapped: Win → WINDOWS, Mac → MAC, Lin → LINUX
properties_deviceDetail_operatingSystem principal.platform Mapped: Win → WINDOWS, Mac → MAC, Lin → LINUX
record_properties_deviceDetail_operatingSystem principal.platform Mapped: Win → WINDOWS, Mac → MAC, Lin → LINUX
operatingSystem principal.platform_version Mappatura diretta
properties_deviceDetail_operatingSystem principal.platform_version Mappatura diretta
record_properties_deviceDetail_operatingSystem principal.platform_version Mappatura diretta
IpPort principal.port Mappatura diretta
CallerProcessName principal.process.file.full_path Mappatura diretta
CallerProcessId principal.process.pid Mappatura diretta
actor_label principal.resource.attribute.labels Unita
actor_type_label principal.resource.attribute.labels Unita
autonomousSystemNumber_label principal.resource.attribute.labels Unita
autonomous_system_number_label principal.resource.attribute.labels Unita
clientRequestId_label principal.resource.attribute.labels Unita
displayName principal.resource.attribute.labels Mappatura: (?i)(iphone.*) → displayName_label
displayName_label principal.resource.attribute.labels Unita
ip_address_from_resource_provider_label principal.resource.attribute.labels Unita
properties_label principal.resource.attribute.labels Unita
subject_logon_id_label principal.resource.attribute.labels Unita
record_properties_resourceDisplayName principal.resource.name Mappatura diretta
ObjectId principal.resource.product_object_id Mappatura diretta
OrganizationId principal.resource.product_object_id Mappatura diretta
initializedBy_app_servicePrincipalId principal.resource.product_object_id Mappatura diretta
record_properties_UserPrincipalObjectID principal.resource.product_object_id Mappatura diretta
userType_label principal.user.attribute.labels Unita
user_key_label principal.user.attribute.labels Unita
role_to_merge principal.user.attribute.roles Unita
roles_to_merge principal.user.attribute.roles Unita
initiatedBy.user.userPrincipalName principal.user.email_addresses Unita
operationName principal.user.email_addresses Mappatura: Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername principal.user.email_addresses Unita
properties.initiatedBy.user.userPrincipalName principal.user.email_addresses Unita
record_UserPrincipalName principal.user.email_addresses Unita
mfaDetail.authDetail principal.user.phone_numbers Unita
properties.mfaDetail.authDetail principal.user.phone_numbers Unita
properties.appId principal.user.product_object_id Mappatura diretta
identity principal.user.user_display_name Mappatura diretta
initiatedBy.user.displayName principal.user.user_display_name Mappatura diretta
properties.initiatedBy.app.displayName principal.user.user_display_name Mappatura diretta
properties.initiatedBy.user.displayName principal.user.user_display_name Mappatura diretta
properties.userDisplayName principal.user.user_display_name Rinominato/mappato
record_UserDisplayName principal.user.user_display_name Mappatura diretta
record_properties_deviceDetail_displayName principal.user.user_display_name Mappatura diretta
userDisplayName principal.user.user_display_name Mappatura diretta
value principal.user.user_display_name Mappatura diretta
SubjectUserName principal.user.userid Mappatura diretta
UserId principal.user.userid Mappatura diretta
first_user_id principal.user.userid Mappatura diretta
initiatedBy.user.id principal.user.userid Mappatura diretta
properties.initiatedBy.user.userPrincipalName principal.user.userid Mappatura diretta
properties.userPrincipalName principal.user.userid Mappatura diretta
record_SignInIdentifier principal.user.userid Mappatura diretta
record_UserId principal.user.userid Mappatura diretta
record_properties_servicePrincipalId principal.user.userid Mappatura diretta
SubjectUserSid principal.user.windows_sid Mappatura diretta
properties.initiatedBy.user.id principal.user.windows_sid Mappatura diretta
auth_sec_res security_result Unita
sec_res security_result Unita
sr_result security_result Unita
AuthenticationPackageName security_result.about.resource.name Mappatura diretta
action security_result.action Unita
errorCode security_result.action Mappatura: 0 → action
operationName security_result.action Mappatura: Sign-in activity → action, Add member to group → action
properties_status_errorCode security_result.action Mappatura: 0 → action
record_properties_status_errorCode security_result.action Mappatura: 0 → action
record_resultType security_result.action Mappatura: 0 → action
result security_result.action Mappatura: success → action
resultType security_result.action Mappatura: 0 → action
operationType security_result.action_details Mappatura diretta
properties.result security_result.action_details Mappatura diretta
Category security_result.category Unita
operationName security_result.category Mappatura: Sign-in activity → Category
properties.category security_result.category_details Unita
failureReason security_result.description Mappatura diretta
operationName security_result.description Mappatura: Add member to group → Group membership modified
resultDescription security_result.description Mappatura diretta
AuthenticationProtocol_label security_result.detection_fields Unita
NewSd_label security_result.detection_fields Unita
OldSd_label security_result.detection_fields Unita
agent_agentType_label security_result.detection_fields Unita
apiVersion_label security_result.detection_fields Unita
associated_admin_units_label security_result.detection_fields Unita
auth_label security_result.detection_fields Unita
authenticationContextClassReference_detail_label security_result.detection_fields Unita
authenticationContextClassReference_id_label security_result.detection_fields Unita
authenticationProcessingDetails_label security_result.detection_fields Unita
authenticationProtocol_label security_result.detection_fields Unita
correlationId_label security_result.detection_fields Unita
correlationId_label2 security_result.detection_fields Unita
correlationId_label3 security_result.detection_fields Unita
detail_label security_result.detection_fields Unita
detection_ActorContextId security_result.detection_fields Unita
detection_ApplicationId security_result.detection_fields Unita
detection_InterSystemsId security_result.detection_fields Unita
detection_IntraSystemId security_result.detection_fields Unita
device_property_label security_result.detection_fields Unita
error_code_label security_result.detection_fields Unita
expirationRequirement_label security_result.detection_fields Unita
extended_property_label security_result.detection_fields Unita
logon_guid_label security_result.detection_fields Unita
method_label security_result.detection_fields Unita
modified_property_label security_result.detection_fields Unita
name_label security_result.detection_fields Unita
namespace_label security_result.detection_fields Unita
network_type_label security_result.detection_fields Unita
prop_risk_event_label security_result.detection_fields Unita
prop_risk_event_v2_label security_result.detection_fields Unita
properties.status.errorCode_label security_result.detection_fields Unita
protocol_label security_result.detection_fields Unita
record_type_label security_result.detection_fields Unita
requestId_label security_result.detection_fields Unita
requirement_provider_label security_result.detection_fields Unita
riskDetail_label security_result.detection_fields Unita
riskEventType_label security_result.detection_fields Unita
riskEventTypes_label security_result.detection_fields Unita
riskLastUpdatedDateTime_label security_result.detection_fields Unita
riskLevelAggregated_label security_result.detection_fields Unita
riskLevelDuringSignIn_label security_result.detection_fields Unita
riskLevel_label security_result.detection_fields Unita
riskState_label security_result.detection_fields Unita
riskType_label security_result.detection_fields Unita
risk_event_label security_result.detection_fields Unita
risk_event_label_v2 security_result.detection_fields Unita
risk_level_aggregated_label security_result.detection_fields Unita
risk_level_during_sign_in_label security_result.detection_fields Unita
scopes_label security_result.detection_fields Unita
signInSessionStatus_label security_result.detection_fields Unita
status_label security_result.detection_fields Unita
step_date_label security_result.detection_fields Unita
step_detail_label security_result.detection_fields Unita
step_requirement_label security_result.detection_fields Unita
support_ticket_id_label security_result.detection_fields Unita
target_displayName_label security_result.detection_fields Unita
target_label security_result.detection_fields Unita
target_type security_result.detection_fields Mapped: Policy → target_displayName_label, Policy → target_label, Policy → `modifi…
ticket_encryption_type_label security_result.detection_fields Unita
ticket_options_label security_result.detection_fields Unita
transmitted_services_label security_result.detection_fields Unita
operationName security_result.priority Mappatura: Sign-in activity → MEDIUM_PRIORITY
additional_fields security_result.rule_labels Unita
isCompliant_label security_result.rule_labels Unita
is_compliant_label security_result.rule_labels Unita
level security_result.severity Mappatura: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3"…
operationName security_result.severity Mappatura: Sign-in activity → ERROR
record_Level security_result.severity Mappatura: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3"…
record_level security_result.severity Mappatura: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3"…
level security_result.severity_details Mappatura diretta
record_Level security_result.severity_details Mappatura diretta
record_level security_result.severity_details Mappatura diretta
AzureActiveDirectoryEventType security_result.summary Mappatura: 0 → Account Logon, 1 → Azure Application AuditEvent
activityDisplayName security_result.summary Mappatura diretta
errorCode security_result.summary Mappatura: 0 → Successful login occurred
operationName security_result.summary Mappatura: Sign-in activity → Successful login occurred, Sign-in activity → "Accesso non riuscito…
properties.activity security_result.summary Mappatura diretta
properties.activityDisplayName security_result.summary Mappatura diretta
properties.result security_result.summary Mappatura diretta
properties_status_errorCode security_result.summary Mappatura: 0 → Successful login occurred
record_properties_status_errorCode security_result.summary Mappatura: 0 → Successful login occurred
record_resultType security_result.summary Mappatura: 0 → Successful login occurred
resultType security_result.summary Mappatura: 0 → Successful login occurred
TargetDomainName target.administrative_domain Mappatura diretta
ServiceName target.application Mappatura diretta
properties.appDisplayName target.application Mappatura diretta
record_AppDisplayName target.application Mappatura diretta
record_properties_appDisplayName target.application Mappatura diretta
record_AppId target.asset.asset_id Mappatura diretta
modified_property_label target.asset.attribute.labels Unita
target_displayName_label target.asset.attribute.labels Unita
target_label target.asset.attribute.labels Unita
target_type target.asset.attribute.labels Mapped: Device → target_displayName_label, Device → target_label, Device → `modifi…
WorkstationName target.asset.hostname Mappatura diretta
authenticationDetail.value target.asset.hostname Mappatura diretta
ClientIP target.asset.ip Unita
modifiedProperty.newValue target.group.group_display_name Mappatura diretta
modifiedProperty.newValue target.group.product_object_id Mappatura diretta
properties.targetResources.modifiedProperties.0.newValue target.group.product_object_id Mappatura diretta
WorkstationName target.hostname Mappatura diretta
authenticationDetail.value target.hostname Mappatura diretta
ClientIP target.ip Unita
ip target.ip Unita
properties_regionScope target.location.country_or_region Mappatura diretta
record_properties_UDI_RequiredFields_RegionScope target.location.country_or_region Mappatura diretta
record_properties_location target.location.name Mappatura diretta
ProcessName target.process.file.full_path Mappatura diretta
LogonProcessName target.process.file.names Unita
ProcessId target.process.pid Mappatura diretta
__UDI_RequiredFields_EventTime target.resource.attribute.labels Unita
__UDI_RequiredFields_TenantId target.resource.attribute.labels Unita
__UDI_RequiredFields_UniqueId target.resource.attribute.labels Unita
_label target.resource.attribute.labels Unita
add_label target.resource.attribute.labels Unita
additional_homeTenantId target.resource.attribute.labels Unita
additional_resourceServicePrincipalId target.resource.attribute.labels Unita
app_owner_tenant_id_label target.resource.attribute.labels Unita
conditionalAccessStatus target.resource.attribute.labels Unita
detection_TargetContextId target.resource.attribute.labels Unita
handleId target.resource.attribute.labels Unita
homeTenantId_label target.resource.attribute.labels Unita
homeTenantName_label target.resource.attribute.labels Unita
home_tenant_id_label target.resource.attribute.labels Unita
home_tenant_name_label target.resource.attribute.labels Unita
internal_workspace_label target.resource.attribute.labels Unita
item_id_label target.resource.attribute.labels Unita
label target.resource.attribute.labels Unita
lmPackageNameLabel_label target.resource.attribute.labels Unita
modified_property_label target.resource.attribute.labels Unita
objectServer target.resource.attribute.labels Unita
old_label target.resource.attribute.labels Unita
operationId_label target.resource.attribute.labels Unita
operationName target.resource.attribute.labels Mappatura: Add member to group → add_label
operationType_label target.resource.attribute.labels Unita
properties_resourceTenantId_label target.resource.attribute.labels Unita
record_properties_appId_label target.resource.attribute.labels Unita
requestId_label target.resource.attribute.labels Unita
resourceOwnerTenantId_label target.resource.attribute.labels Unita
resource_display_name_label target.resource.attribute.labels Unita
resource_group_label target.resource.attribute.labels Unita
resource_id_label target.resource.attribute.labels Unita
resource_identity_label target.resource.attribute.labels Unita
resource_label target.resource.attribute.labels Unita
resource_owner_tenant_id_label target.resource.attribute.labels Unita
resource_service_principal_id_label target.resource.attribute.labels Unita
resource_tenant_id_label target.resource.attribute.labels Unita
resultSignature_label target.resource.attribute.labels Unita
resultSignature_label1 target.resource.attribute.labels Unita
service_principal_id_label target.resource.attribute.labels Unita
source_label target.resource.attribute.labels Unita
target_displayName_label target.resource.attribute.labels Unita
target_label target.resource.attribute.labels Unita
target_logon_id_label target.resource.attribute.labels Unita
target_type_label target.resource.attribute.labels Unita
temp_resourceId target.resource.attribute.labels Unita
tenant_id_label target.resource.attribute.labels Unita
tokenIssuerType_label target.resource.attribute.labels Unita
uniqueTokenIdentifier_label target.resource.attribute.labels Unita
user_type_label target.resource.attribute.labels Unita
ObjectName target.resource.name Mappatura diretta
properties.SignInBondData.DisplayDetails.ResourceDisplayName target.resource.name Mappatura diretta
properties.resourceDisplayName target.resource.name Rinominato/mappato
resourceDisplayName target.resource.name Rinominato/mappato
field.newValue target.resource.product_object_id Mappatura diretta
record_resourceId target.resource.product_object_id Mappatura diretta
resourceId target.resource.product_object_id Mappatura diretta
ObjectType target.resource.resource_subtype Mappatura diretta
target.type target.resource.type Mappatura diretta
%{ServiceSid} target.resource.user.windows_sid Unita
record_properties_identityProvider target.url Mappatura diretta
value target.url Mappatura diretta
modified_property_label target.user.attribute.labels Unita
target_label target.user.attribute.labels Unita
target_type target.user.attribute.labels Mappatura: User → target_label, User → modified_property_label
user_display_name_label target.user.attribute.labels Unita
record_properties_userPrincipalName target.user.email_addresses Mappatura: ^.+@.+$ → record_properties_userPrincipalName
target_displayName target.user.email_addresses Mappatura: ^.+@.+$ → target_displayName
target_userPrincipalName target.user.email_addresses Mappatura: ^.+@.+$ → target_userPrincipalName
userPrincipalName target.user.email_addresses Mappatura: ^.+@.+$ → userPrincipalName
groupInfo target.user.group_identifiers Unita
operationName target.user.group_identifiers Mappatura: Add member to group → groupInfo
properties.servicePrincipalId target.user.product_object_id Mappatura diretta
properties.targetResources.0.id target.user.product_object_id Mappatura diretta
properties.userId target.user.product_object_id Mappatura diretta
record_properties_userId target.user.product_object_id Mappatura diretta
userId target.user.product_object_id Mappatura diretta
record_Identity target.user.user_display_name Mappatura diretta
record_identity target.user.user_display_name Mappatura diretta
targetUser target.user.user_display_name Mappatura diretta
target_displayName target.user.user_display_name Mappatura diretta
target_userPrincipalName target.user.user_display_name Mappatura diretta
TargetUserName target.user.userid Mappatura diretta
properties.alternateSignInName target.user.userid Mappatura diretta
properties.servicePrincipalName target.user.userid Mappatura diretta
properties.userId target.user.userid Mappatura diretta
properties.userPrincipalName target.user.userid Mappatura diretta
record_AlternateSignInName target.user.userid Mappatura diretta
signInIdentifier target.user.userid Mappatura diretta
userPrincipalName target.user.userid Mappatura diretta
TargetSid target.user.windows_sid Mappatura diretta
TargetUserSid target.user.windows_sid Mappatura diretta
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D metadata.event_type Costante: STATUS_UPDATE
N/D metadata.product_name Costante: Azure AD
N/D metadata.vendor_name Costante: Microsoft
N/D network.http.parsed_user_agent Costante: parseduseragent
N/D principal.platform Costante: WINDOWS
N/D security_result.description Costante: Group membership modified
N/D security_result.priority Costante: MEDIUM_PRIORITY
N/D security_result.severity Costante: INFORMATIONAL
N/D security_result.summary Costante: Successful login occurred

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.