Microsoft Defender for Cloud-Benachrichtigungen erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Warnungen aus Microsoft Defender for Cloud (früher Azure Security Center) in Google Security Operations aufnehmen. Sie können die Aufnahme mit zwei unterstützten Methoden konfigurieren:

  • Methode 1: Azure Event Hub (empfohlen): Mit dem kontinuierlichen Export von Defender for Cloud werden Warnungen direkt in einen Azure Event Hub gestreamt, von dem Google SecOps sie nahezu in Echtzeit aufnimmt.
  • Methode 2: Azure Blob Storage V2: Defender for Cloud Continuous Export stellt Warnungen in einem Log Analytics-Arbeitsbereich bereit, eine Log Analytics-Datenexportregel schreibt sie in ein Azure Storage-Konto und Google SecOps ruft sie nach einem Polling-Zeitplan aus dem Blob-Container ab.

Microsoft Defender for Cloud ist eine cloudnative Plattform zum Schutz von Anwendungen, die einheitliches Sicherheitsmanagement und Bedrohungsschutz für Azure-, Hybrid- und Multi-Cloud-Arbeitslasten bietet.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Gemeinsam für beide Methoden:

    • Eine Google SecOps-Instanz.
    • Privilegierter Zugriff auf das Microsoft Azure-Portal mit Berechtigungen für:
      • Kontinuierlichen Export für ein Microsoft Defender for Cloud-Abo konfigurieren
    • Rolle Security Admin oder Owner für das Azure-Abo, das Microsoft Defender for Cloud enthält.
    • Microsoft Defender for Cloud ist für das Abo aktiviert und mindestens ein Defender-Plan ist aktiv.

  • Zusätzliche Voraussetzungen für Methode 1 (Azure Event Hub):

    • Berechtigungen zum Erstellen von Event Hubs-Namespaces und Event Hubs sowie zum Verwalten von Event Hubs-Zugriffsrichtlinien.
    • Schreibberechtigungen für die Zielrichtlinie für Event Hub (für den kontinuierlichen Export erforderlich).

  • Zusätzliche Voraussetzungen für Methode 2 (Azure Blob Storage V2):

    • Berechtigungen zum Erstellen oder Verwalten eines Log Analytics-Arbeitsbereichs und zum Erstellen von Datenexportregeln darin.
    • Berechtigungen zum Erstellen eines Azure Storage-Kontos mit einem Blob-Container und zum Abrufen der zugehörigen Zugriffsschlüssel.

Verwenden Sie diese Methode, wenn Sie Defender for Cloud-Warnungen nahezu in Echtzeit aufnehmen möchten und Google SecOps Zugriff auf einen Azure Event Hub gewähren können.

Event Hubs-Namespace erstellen

Ein Event Hubs-Namespace ist ein Verwaltungscontainer für einen oder mehrere Event Hubs.

  1. Suchen Sie im Azure-Portal nach Event Hubs.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie das Abo aus, das Microsoft Defender for Cloud enthält.
    Ressourcengruppe Wählen Sie „Vorhanden“ aus oder erstellen Sie ein neues.
    Name des Namespaces Geben Sie einen eindeutigen Namen ein, z. B. secops-defender-ns.
    Standort Wählen Sie dieselbe Region wie für Ihre Google SecOps-Instanz aus. Wenn Sie die Instanz in einer anderen Region bereitstellen, wird der Aufnahmedurchsatz reduziert.
    Preisstufe Standard (für die Produktion empfohlen)
    Durchsatzeinheiten Beginnen Sie mit 1 und aktivieren Sie Automatisch aufblasen (empfohlen).

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Sehen Sie sich die Übersicht an und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist (1–2 Minuten).

Event Hub erstellen

  1. Nachdem der Namespace bereitgestellt wurde, rufen Sie den Event Hubs-Namespace auf.
  2. Wählen Sie im linken Navigationsbereich unter Entitäten die Option Event Hubs aus.
  3. Klicken Sie auf + Event Hub.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Name Geben Sie einen eindeutigen Namen ein, der dem Protokolltyp entspricht (z. B. defender-cloud-alerts). Lassen Sie das Feld bei der Konfiguration des kontinuierlichen Exports von Defender nicht leer, um zu verhindern, dass das System zusätzliche Event Hubs erstellt.
    Anzahl der Partitionen 40 (empfohlen für optimale Google SecOps-Skalierung).
    Aufbewahrung von Nachrichten Mindestens 7 Tage. Legen Sie die längste Aufbewahrungsdauer fest, die Sie sich leisten können, damit Logs nicht gelöscht werden, bevor die Aufnahme nach einer Kontingentdrosselung fortgesetzt wird.
    Erfassen Deaktiviert (nicht für die direkte Event Hub-Aufnahme erforderlich).

  5. Klicken Sie auf Erstellen.

Event Hub-Verbindungsstring abrufen

Für Google SecOps ist ein Verbindungsstring erforderlich, um sich beim Event Hub zu authentifizieren.

  1. Rufen Sie den Event Hubs-Namespace auf.
  2. Wählen Sie im Navigationsmenü links unter Einstellungen die Option Richtlinien für gemeinsamen Zugriff aus.
  3. Klicken Sie auf die Standardrichtlinie RootManageSharedAccessKey.
  4. Kopieren Sie den Connection string-primary key (Verbindungsstring – Primärschlüssel).

  5. Speichern Sie diesen Verbindungsstring sicher.

    Beispiel:

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Option B: Verbindungsstring auf Event Hub-Ebene

  1. Rufen Sie den Event Hub (nicht den Namespace) auf.
  2. Wählen Sie im Navigationsmenü links unter Einstellungen die Option Richtlinien für gemeinsamen Zugriff aus.
  3. Klicken Sie auf + Hinzufügen, um eine neue Richtlinie zu erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Richtlinienname: Geben Sie einen aussagekräftigen Namen ein, z. B. chronicle-listen.
    • Berechtigungen: Wählen Sie nur Anhören aus (schreibgeschützter Zugriff).
  5. Klicken Sie auf Erstellen.
  6. Klicken Sie auf die neu erstellte Richtlinie.
  7. Kopieren Sie den Connection string-primary key (Verbindungsstring – Primärschlüssel).

  8. Speichern Sie diesen Verbindungsstring sicher.

Microsoft Defender for Cloud so konfigurieren, dass Benachrichtigungen an Event Hub gestreamt werden

Microsoft Defender for Cloud verwendet die Funktion Continuous Export (Kontinuierlicher Export), um Warnungen und Empfehlungen bei der Generierung an einen Event Hub zu streamen.

  1. Melden Sie sich im Azure-Portal an.
  2. Suchen Sie nach Microsoft Defender for Cloud und öffnen Sie die App.
  3. Wählen Sie im Defender for Cloud-Ressourcenmenü Umgebungseinstellungen aus.
  4. Wählen Sie das Abo aus, für das Sie den Datenexport konfigurieren möchten.
  5. Wählen Sie im Ressourcenmenü unter Einstellungen die Option Kontinuierlicher Export aus.
  6. Wählen Sie den Tab Event Hub aus.
  7. Geben Sie die folgenden Konfigurationsdetails an:
    • Export aktiviert?: Stellen Sie den Schalter auf „Ein“.
    • Wählen Sie im Bereich Exportierte Datentypen die Datentypen aus, die exportiert werden sollen. Wenn Sie Sicherheitswarnungen erfassen möchten, aktivieren Sie die folgenden Kästchen:
      • Sicherheitswarnungen
      • (Optional) Sicherheitsempfehlungen, Sicherheitsstatus, Einhaltung von Vorschriften, Angriffspfade und andere Typen nach Bedarf
    • Konfigurieren Sie für jeden ausgewählten Datentyp Filter, z. B. um nur die Wichtigkeitsstufen Niedrig, Mittel, Hoch oder alle Wichtigkeitsstufen zu exportieren.
    • Wählen Sie im Abschnitt Exporthäufigkeit die Häufigkeit aus:
      • Streaming: Benachrichtigungen werden gesendet, sobald sie generiert werden (empfohlen für Google SecOps).
      • Snapshots: Sendet einen wöchentlichen Snapshot des aktuellen Status (nur für regelmäßige Berichte verwenden).
    • Konfigurieren Sie im Bereich Exportziel das Ziel:
      • Exportziel: Wählen Sie Event Hub aus.
      • Abonnement: Wählen Sie das Abonnement aus, das den Event Hubs-Namespace enthält.
      • Event Hub-Namespace: Wählen Sie secops-defender-ns (oder den Namespace, den Sie zuvor erstellt haben) aus.
      • Event Hub-Name: Wählen Sie defender-cloud-alerts (oder den Event Hub, den Sie zuvor erstellt haben) aus. Wählen Sie immer einen vorhandenen Event Hub aus. Wenn Sie dieses Feld leer lassen, erstellt das System zusätzliche Event Hubs und Ihr Feedkontingent wird möglicherweise überschritten.
      • Event Hub-Richtlinienname: Wählen Sie RootManageSharedAccessKey oder eine benutzerdefinierte Richtlinie mit Send-Berechtigungen aus.

  8. Klicken Sie auf Speichern.

(Optional) Dedizierte Nutzergruppe erstellen

Standardmäßig stellt Event Hub eine Consumergruppe mit dem Namen $Default bereit. Für Produktionsumgebungen wird empfohlen, eine dedizierte Nutzergruppe für Google SecOps zu erstellen.

  1. Rufen Sie den Event Hub (nicht den Namespace) auf.
  2. Wählen Sie im linken Navigationsbereich unter Einheiten die Option Verbrauchergruppen aus.
  3. Klicken Sie auf + Verbrauchergruppe.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. chronicle.

  5. Klicken Sie auf Erstellen.

Feed in Google SecOps konfigurieren, um Microsoft Defender for Cloud-Benachrichtigungen aufzunehmen (Methode 1)

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Defender for Cloud Alerts.
  5. Wählen Sie Microsoft Azure Event Hub als Quelltyp aus.
  6. Wählen Sie Microsoft Defender For Cloud als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Event Hub-Name: Geben Sie den Event Hub-Namen ein, z. B. defender-cloud-alerts.
    • Event Hub Consumer Group (Event Hub-Consumergruppe): Geben Sie den Namen der Consumergruppe ein.
      • Verwenden Sie $Default für die Standardverbrauchergruppe.
      • Wenn Sie eine spezielle Nutzergruppe erstellt haben, geben Sie ihren Namen ein, z. B. chronicle.

    • Event Hub Connection String (Event Hub-Verbindungsstring): Geben Sie die Event Hub-Verbindungsstring ein, die Sie zuvor erfasst haben.

      Wenn Sie einen Verbindungsstring auf Namespace-Ebene verwenden:

      • Entfernen Sie den Parameter EntityPath.

      Bei Verwendung einer Verbindungszeichenfolge auf Event Hub-Ebene: - Verwenden Sie die Verbindungszeichenfolge unverändert (einschließlich EntityPath).

    • Azure Storage Connection String (optional): Legacy-Feld für die Speicherung von Event Hub-Prüfpunkten. Lassen Sie es leer.

    • Name des Azure Storage-Containers (optional): Legacy-Feld für die Speicherung von Event Hub-Prüfpunkten; lassen Sie es leer.

    • Azure-SAS-Token (optional): Alternative Authentifizierung für den Event Hub, wenn Ihre Sicherheitsrichtlinie die Weitergabe der Event Hub-Verbindungszeichenfolge verbietet. Lassen Sie das Feld leer, wenn Sie die Verbindungszeichenfolge oben angeben.

    • Asset-Namespace: der Asset-Namespace.

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Methode 2: Azure Blob Storage V2

Verwenden Sie diese Methode, wenn Ihre Organisation Defender for Cloud-Benachrichtigungen bereits in einem Log Analytics-Arbeitsbereich aufbewahrt (zur Einhaltung von Compliance-Vorschriften oder zur langfristigen Speicherung) und Sie möchten, dass Google SecOps dieselben Benachrichtigungen aus einem Azure Storage-Konto aufnimmt. Microsoft Defender for Cloud Continuous Export schreibt nicht direkt in ein Speicherkonto. Diese Methode basiert daher auf der Standardfunktion Data Export von Log Analytics, um Warnungen im Blobspeicher zu speichern, von wo aus Google SecOps sie liest.

Der End-to-End-Datenpfad ist:

  • Microsoft Defender for Cloud > Kontinuierlicher Export in einen Log Analytics-Arbeitsbereich
  • Die Regel für den Datenexport im Log Analytics-Arbeitsbereich > schreibt die Tabelle SecurityAlert in ein Azure Storage-Konto (Blob-Container).
  • Der Google SecOps-Feed Azure Blob Storage V2 fragt den Blob-Container ab und nimmt neue Benachrichtigungen auf.

Microsoft Defender for Cloud so konfigurieren, dass Benachrichtigungen in einen Log Analytics-Arbeitsbereich gestreamt werden

  1. Melden Sie sich im Azure-Portal an.
  2. Suchen Sie nach Microsoft Defender for Cloud und öffnen Sie die App.
  3. Wählen Sie im Defender for Cloud-Ressourcenmenü Umgebungseinstellungen aus.
  4. Wählen Sie das Abo aus, für das Sie den Datenexport konfigurieren möchten.
  5. Wählen Sie im Ressourcenmenü unter Einstellungen die Option Kontinuierlicher Export aus.
  6. Wählen Sie den Tab Log Analytics-Arbeitsbereich aus.
  7. Geben Sie die folgenden Konfigurationsdetails an:
    • Export aktiviert?: Stellen Sie den Schalter auf „Ein“.
    • Wählen Sie im Bereich Exportierte Datentypen die Option Sicherheitswarnungen (und alle anderen Datentypen, die Sie erfassen möchten) aus.
    • Konfigurieren Sie für jeden ausgewählten Datentyp nach Bedarf Schweregradfilter.
    • Wählen Sie im Abschnitt Exporthäufigkeit die Option Streaming für den Export in Echtzeit aus.
    • Konfigurieren Sie im Bereich Exportziel das Ziel:
      • Exportziel: Wählen Sie Log Analytics-Arbeitsbereich aus.
      • Abo: Wählen Sie das Abo aus, das den Arbeitsbereich enthält.
      • Log Analytics-Arbeitsbereich: Wählen Sie einen vorhandenen Arbeitsbereich aus oder erstellen Sie einen neuen.

  8. Klicken Sie auf Speichern.

Azure Storage-Konto und Blob-Container erstellen

  1. Suchen Sie im Azure-Portal nach Speicherkonten.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie das Abo aus, das den Log Analytics-Arbeitsbereich enthält.
    Ressourcengruppe Verwenden Sie dieselbe Ressourcengruppe wie den Arbeitsbereich (empfohlen).
    Name des Speicherkontos Geben Sie einen eindeutigen Namen ein, z. B. secopsdefenderblob.
    Region Dieselbe Region wie der Log Analytics-Arbeitsbereich (für den Datenexport erforderlich).
    Leistung Standard
    Redundanz LRS (lokal redundanter Speicher) oder GRS, je nach Ihrer Richtlinie zur Datenbeständigkeit.

  4. Klicken Sie auf Überprüfen + Erstellen und dann auf Erstellen.

  5. Rufen Sie nach der Bereitstellung das Speicherkonto auf.

  6. Wählen Sie in der linken Navigationsleiste unter Datenspeicher die Option Container aus.

  7. Klicken Sie auf + Container.

  8. Geben Sie die folgenden Konfigurationsdetails an:

    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. defender-cloud-alerts.
    • Öffentliche Zugriffsebene: Privat (kein anonymer Zugriff).

  9. Klicken Sie auf Erstellen.

Regel für den Log Analytics-Datenexport konfigurieren

  1. Öffnen Sie im Azure-Portal den Log Analytics-Arbeitsbereich, den Sie als Ziel für den kontinuierlichen Export ausgewählt haben.
  2. Wählen Sie in der linken Navigationsleiste unter Einstellungen die Option Datenexport aus.
  3. Klicken Sie auf + Neue Exportregel.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Regelname: Geben Sie einen aussagekräftigen Namen ein, z. B. defender-alerts-to-blob.
    • Quelle: Wählen Sie die Tabelle SecurityAlert aus (die Tabelle, die von Defender for Cloud Continuous Export für Warnungen verwendet wird).
    • Zieltyp: Wählen Sie Speicherkonto aus.
    • Abo: Wählen Sie das Abo aus, das das Speicherkonto enthält.
    • Speicherkonto: Wählen Sie das Speicherkonto aus, das Sie oben erstellt haben.

  5. Klicken Sie auf Erstellen.

Anmeldedaten für das Speicherkonto abrufen

Google SecOps authentifiziert sich mit einem gemeinsamen Zugriffsschlüssel für das Speicherkonto.

  1. Wählen Sie im Speicherkonto unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
  2. Klicken Sie auf Schlüssel anzeigen.
  3. Suchen Sie nach key1 und kopieren Sie die folgenden Werte:
    • Storage-Kontoname: Der Name des Storage-Kontos, das Sie erstellt haben.
    • Schlüssel: Der 512-Bit-Zugriffsschlüssel (Base64-codiert).
  4. Speichern Sie diese Werte sicher.

Feed in Google SecOps konfigurieren, um Microsoft Defender for Cloud-Benachrichtigungen aufzunehmen (Methode 2)

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Defender for Cloud Alerts - Blob.
  5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
  6. Wählen Sie Microsoft Defender For Cloud als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Azure-URI: Geben Sie die Blob Service-Endpunkt-URL mit dem Containerpfad ein. Fügen Sie den abschließenden Schrägstrich ein.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Ersetzen Sie Folgendes:

      • <STORAGE_ACCOUNT>: Der Name Ihres Azure Storage-Kontos (z. B. secopsdefenderblob).
      • <CONTAINER>: Der Name des Blob-Containers, in dem die Log Analytics-Datenexportzeilen SecurityAlert gespeichert werden (z. B. defender-cloud-alerts).

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:

      • Nie: Es werden nie Dateien nach der Übertragung gelöscht. Diese Option wird für die Ersteinrichtung und die Aufbewahrung von Audits empfohlen.
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach der erfolgreichen Übertragung gelöscht.

    • Höchstalter von Dateien (Tage): Dateien einschließen, die in den letzten Tagen geändert wurden (Standardwert ist 180).

    • Geteilter Schlüssel: Geben Sie den Wert des freigegebenen Zugriffsschlüssels ein, den Sie aus dem Speicherkonto abgerufen haben.

    • Asset-Namespace: der Asset-Namespace.

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
EndTimeLabel about.labels Zusammengeführt
ProcessingEndTimeLabel about.labels Zusammengeführt
StartTimeLabel about.labels Zusammengeführt
TimeGeneratedLabel about.labels Zusammengeführt
extendedLinkCategoryLabel about.labels Zusammengeführt
extendedLinkLabel about.labels Zusammengeführt
extendedLinkTypeLabel about.labels Zusammengeführt
extendedlinkHrefLabel about.labels Zusammengeführt
EndTimeLabel about.resource.attribute.labels Zusammengeführt
ProcessingEndTimeLabel about.resource.attribute.labels Zusammengeführt
StartTimeLabel about.resource.attribute.labels Zusammengeführt
TimeGeneratedLabel about.resource.attribute.labels Zusammengeführt
extendedLinkCategoryLabel about.resource.attribute.labels Zusammengeführt
extendedLinkLabel about.resource.attribute.labels Zusammengeführt
extendedLinkTypeLabel about.resource.attribute.labels Zusammengeführt
extendedlinkHrefLabel about.resource.attribute.labels Zusammengeführt
EndTimeLabel1 additional.fields Zusammengeführt
IoTHub_ResourceId_label additional.fields Zusammengeführt
IoTHub_Type_label additional.fields Zusammengeführt
Protocols_label additional.fields Zusammengeführt
RemediationSteps_label additional.fields Zusammengeführt
Scopes_label additional.fields Zusammengeführt
StartTimeLabel1 additional.fields Zusammengeführt
TimeGeneratedLabel1 additional.fields Zusammengeführt
account_type additional.fields Zusammengeführt
alert_generation_status_label additional.fields Zusammengeführt
bacnet_service_label additional.fields Zusammengeführt
billed_size_label additional.fields Zusammengeführt
category_label additional.fields Zusammengeführt
event_data_info additional.fields Zusammengeführt
extended_properties_device_id_label additional.fields Zusammengeführt
ip_category additional.fields Zusammengeführt
is_billable_label additional.fields Zusammengeführt
is_learnable_label additional.fields Zusammengeführt
item_id_label additional.fields Zusammengeführt
key additional.fields Zugeordnet: IpAddress → nic_sub_field
key_value additional.fields Zusammengeführt
mode_label additional.fields Zusammengeführt
nic_field additional.fields Zusammengeführt
nic_sub_field additional.fields Zusammengeführt
owner_label additional.fields Zusammengeführt
processed_by_sentinel_label additional.fields Zusammengeführt
protocol_label additional.fields Zusammengeführt
provider_name_label additional.fields Zusammengeführt
remediation_steps_label additional.fields Zusammengeführt
role_label additional.fields Zusammengeführt
service_object_type additional.fields Zusammengeführt
techniques_label additional.fields Zusammengeführt
tenantIdLabel additional.fields Zusammengeführt
time_received_label additional.fields Zusammengeführt
type_ext_label additional.fields Zusammengeführt
type_label additional.fields Zusammengeführt
value_label additional.fields Zusammengeführt
authentication_type extensions.auth.auth_details Direkt zugeordnet
SensorId intermediary.hostname Direkt zugeordnet
record.TimeGenerated metadata.event_timestamp Als ISO8601 geparst
record.properties.Timestamp metadata.event_timestamp Als ISO8601 geparst
record.time metadata.event_timestamp Als ISO8601 geparst
has_principal metadata.event_type Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Direkt zugeordnet
raw_event_id metadata.product_log_id Direkt zugeordnet
record.SystemAlertId metadata.product_log_id Direkt zugeordnet
record.alertId metadata.product_log_id Direkt zugeordnet
record.properties.extendedProperties.alert_Id metadata.product_log_id Direkt zugeordnet
product_name metadata.product_name Direkt zugeordnet
record.properties.productName metadata.product_name Direkt zugeordnet
vendor_name metadata.vendor_name Direkt zugeordnet
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Direkt zugeordnet
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Direkt zugeordnet
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Direkt zugeordnet
email_subject network.email.subject Zusammengeführt
operation network.email.subject Zugeordnet (Suchtabelle)
record.properties.UserAgent network.http.user_agent Direkt zugeordnet
user_agent network.http.user_agent Direkt zugeordnet
network_session_id network.session_id Direkt zugeordnet
record.ExtendedProperties.accountSessionId network.session_id Direkt zugeordnet
record.properties.RawEventData.ClientRequestId network.session_id Direkt zugeordnet
record.clientApplication principal.application Direkt zugeordnet
record.properties.extendedProperties.clientApplication principal.application Direkt zugeordnet
SourceDevice principal.asset.hostname Direkt zugeordnet
client_hostname principal.asset.hostname Direkt zugeordnet
compromised_hostname principal.asset.hostname Direkt zugeordnet
SourceDeviceAddress principal.asset.ip Zugeordnet: IPv4-regulärer Ausdruck
clientIpAddress principal.asset.ip Zusammengeführt
SourceComputerId principal.asset.product_object_id Direkt zugeordnet
SourceDevice principal.hostname Direkt zugeordnet
client_hostname principal.hostname Direkt zugeordnet
compromised_hostname principal.hostname Direkt zugeordnet
SourceDeviceAddress principal.ip Zugeordnet: IPv4-regulärer Ausdruck
clientIpAddress principal.ip Zusammengeführt
alertLabel principal.labels Zusammengeführt
cityLabel principal.location.city Direkt zugeordnet
record.properties.City principal.location.city Direkt zugeordnet
countryLabel principal.location.country_or_region Direkt zugeordnet
record.clientIpLocation principal.location.country_or_region Direkt zugeordnet
record.clientLocation principal.location.country_or_region Direkt zugeordnet
record.properties.clientLocation principal.location.country_or_region Direkt zugeordnet
record.properties.extendedProperties.clientLocation principal.location.country_or_region Direkt zugeordnet
isp principal.location.name Direkt zugeordnet
entity.location.latitude principal.location.region_coordinates.latitude Direkt zugeordnet
entity.location.longitude principal.location.region_coordinates.longitude Direkt zugeordnet
os_platform principal.platform Zugeordnet: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Direkt zugeordnet
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Direkt zugeordnet
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Direkt zugeordnet
record.ExtendedProperties.suspiciousProcessId principal.process.pid Direkt zugeordnet
account_id principal.resource.attribute.labels Zusammengeführt
account_object_id principal.resource.attribute.labels Zusammengeführt
alertLabel principal.resource.attribute.labels Zusammengeführt
alertLabel1 principal.resource.attribute.labels Zusammengeführt
app_instance_id principal.resource.attribute.labels Zusammengeführt
compromisedEntityLabel principal.resource.attribute.labels Zusammengeführt
compromisedEntityLabel1 principal.resource.attribute.labels Zusammengeführt
correlationKeyLabel principal.resource.attribute.labels Zusammengeführt
effectiveSubscriptionIdLabel principal.resource.attribute.labels Zusammengeführt
object_id principal.resource.attribute.labels Zusammengeführt
object_name principal.resource.attribute.labels Zusammengeführt
object_type principal.resource.attribute.labels Zusammengeführt
potential_causes principal.resource.attribute.labels Zusammengeführt
productComponentNameLabel principal.resource.attribute.labels Zusammengeführt
sql_instance_name_label principal.resource.attribute.labels Zusammengeführt
sql_server_name_label principal.resource.attribute.labels Zusammengeführt
supporting_evidence_label principal.resource.attribute.labels Zusammengeführt
system_alert_id_label principal.resource.attribute.labels Zusammengeführt
zone_interface_label principal.resource.attribute.labels Zusammengeführt
record.properties.extendedProperties.resourceType principal.resource.name Direkt zugeordnet
resourceType principal.resource.name Direkt zugeordnet
record.ResourceId principal.resource.product_object_id Direkt zugeordnet
mailbox_owner_upn principal.user.email_addresses Zusammengeführt
principal_user_display_name principal.user.user_display_name Direkt zugeordnet
record.ExtendedProperties.userName principal.user.user_display_name Direkt zugeordnet
client_user principal.user.userid Direkt zugeordnet
principal_userid principal.user.userid Direkt zugeordnet
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Direkt zugeordnet
action security_result.action Zusammengeführt
operation security_result.action Zugeordnet (Suchtabelle)
tacticsLabel security_result.attack_details.tactics Zusammengeführt
category_details_label security_result.category_details Zusammengeführt
threat_category security_result.category_details Zusammengeführt
record.Description security_result.description Direkt zugeordnet
record.properties.description security_result.description Direkt zugeordnet
KindLabel security_result.detection_fields Zusammengeführt
action_type security_result.detection_fields Zusammengeführt
application_id security_result.detection_fields Zusammengeführt
device_type security_result.detection_fields Zusammengeführt
field security_result.detection_fields Zusammengeführt
incidentdetectionfields security_result.detection_fields Zusammengeführt
incidentdetectionfields1 security_result.detection_fields Zusammengeführt
intent_label security_result.detection_fields Zusammengeführt
is_admin_operation_label security_result.detection_fields Zusammengeführt
is_impersonated_label security_result.detection_fields Zusammengeführt
is_new_label security_result.detection_fields Zusammengeführt
operation security_result.detection_fields Zugeordnet: MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Zusammengeführt
sourcesystemdetectionfields security_result.detection_fields Zusammengeführt
statusdetectionfields security_result.detection_fields Zusammengeführt
statusdetectionfields1 security_result.detection_fields Zusammengeführt
trojan_script_malgent_msr_label security_result.detection_fields Zusammengeführt
vendor_original_id_label security_result.detection_fields Zusammengeführt
violation_count_label security_result.detection_fields Zusammengeführt
report_id security_result.rule_id Direkt zugeordnet
alertDisplayName security_result.rule_name Direkt zugeordnet
record.AlertName security_result.rule_name Direkt zugeordnet
alert_severity security_result.severity Direkt zugeordnet
severity security_result.severity Direkt zugeordnet
alert_severity security_result.severity_details Direkt zugeordnet
record.properties.severity security_result.severity_details Direkt zugeordnet
record.DisplayName security_result.summary Direkt zugeordnet
summary security_result.summary Direkt zugeordnet
record.AlertType security_result.threat_name Direkt zugeordnet
record.properties.alertType security_result.threat_name Direkt zugeordnet
AlertManagementUri security_result.url_back_to_product Direkt zugeordnet
record.properties.RawEventData.Folder.Path src.resource.name Direkt zugeordnet
record.properties.RawEventData.Folder.Id src.resource.product_object_id Direkt zugeordnet
application target.application Direkt zugeordnet
DestinationDevice target.asset.hostname Direkt zugeordnet
record.ExtendedProperties.compromisedHost target.asset.hostname Direkt zugeordnet
DestinationDeviceAddress target.asset.ip Zugeordnet: IPv4-regulärer Ausdruck
CompromisedEntityId target.asset.product_object_id Direkt zugeordnet
file_name target.file.names Zusammengeführt
operation target.file.names Zugeordnet (Suchtabelle)
operation target.file.size Zugeordnet (Suchtabelle)
record.properties.RawEventData.Item.SizeInBytes target.file.size Direkt zugeordnet
DestinationDevice target.hostname Direkt zugeordnet
originating_server target.hostname Direkt zugeordnet
record.ExtendedProperties.compromisedHost target.hostname Direkt zugeordnet
DestinationDeviceAddress target.ip Zugeordnet: IPv4-regulärer Ausdruck
target_process_command_line target.process.command_line Direkt zugeordnet
target_process_file target.process.file.full_path Direkt zugeordnet
target_process_id target.process.pid Direkt zugeordnet
workspaceLabel target.resource.attribute.labels Zusammengeführt
workspaceResourceGroupLabel target.resource.attribute.labels Zusammengeführt
AzureResourceId target.resource.id Direkt zugeordnet
record.properties.RawEventData.DestFolder.Path target.resource.name Direkt zugeordnet
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Direkt zugeordnet
record._Internal_WorkspaceResourceId target.resource.product_object_id Direkt zugeordnet
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Direkt zugeordnet
record.properties.RawEventData.Item.Id target.resource.product_object_id Direkt zugeordnet
operation target.user.email_addresses Zugeordnet (Suchtabelle)
target_user target.user.email_addresses Zugeordnet: Regex für E‑Mail-Adressen
– metadata.event_type Konstante: NETWORK_CONNECTION
– metadata.product_name Konstante: MICROSOFT_DEFENDER_CLOUD_ALERTS
– metadata.vendor_name Konstante: MICROSOFT_DEFENDER_CLOUD_ALERTS
– principal.platform Konstante: MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
Entity.FriendlyName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entity.EntityIds event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entities.FriendlyName event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Aus dem Änderungsprotokoll zugeordnet
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Aus dem Änderungsprotokoll zugeordnet
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Aus dem Änderungsprotokoll zugeordnet
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Aus dem Änderungsprotokoll zugeordnet
Entities.ResourceName event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Aus dem Änderungsprotokoll zugeordnet
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Aus dem Änderungsprotokoll zugeordnet
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Aus dem Änderungsprotokoll zugeordnet
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Aus dem Änderungsprotokoll zugeordnet
Type event.idm.read_only_udm.metadata.product_event_type Aus dem Änderungsprotokoll zugeordnet
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Aus dem Änderungsprotokoll zugeordnet
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Aus dem Änderungsprotokoll zugeordnet
Properties.displayName event.idm.read_only_udm.security_result.summary Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Aus dem Änderungsprotokoll zugeordnet
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Aus dem Änderungsprotokoll zugeordnet
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Aus dem Änderungsprotokoll zugeordnet
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
RecommendationDisplayName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Recommendation DisplayName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
RecommendationId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Recommendation Id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
RecommendationName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Recommendation Name event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
RecommendationSeverity event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Recommendation Severity event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
RecommendationState event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Recommendation State event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
RemediationDescription event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Remediation_Description event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
SourceSystem event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Source System event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
_ItemId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Item Id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Metadata Display Name event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Assessment Type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Policy Definition Id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Metadata Description event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Remediation Description event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Preview event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Metadata Severity event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
User Impact event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Implementation Effort event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Public Publish Date event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Management Provider event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Security Issue event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Recommendation Category event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
_IsBillable event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Is Billable event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
_BilledSize event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Billed Size event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
IsSnapshot event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Is Snapshot event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ResourceTenantId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Resource Tenant ID event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Has Baseline event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.query event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Query event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Additional Remediation Description event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Remediation Query event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Impact event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Benchmark Reference event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
First Evaluation Date event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Native Resource ID event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
benchmarks.json_array2.item.benchmark Benchmark-Schlüssel für event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.securityCategories Security Categories-Schlüssel für event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.metadata_data.categories Metadata Categories-Schlüssel für event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
scanTime event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
Properties.status.code event.idm.read_only_udm.security_result.outcomes Aus dem Änderungsprotokoll zugeordnet
Status Code event.idm.read_only_udm.security_result.outcomes Aus dem Änderungsprotokoll zugeordnet
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Aus dem Änderungsprotokoll zugeordnet
status_cause event.idm.read_only_udm.security_result.outcomes Aus dem Änderungsprotokoll zugeordnet
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Resource Type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus dem Änderungsprotokoll zugeordnet
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Aus dem Änderungsprotokoll zugeordnet
SourceDeviceAddress event.idm.read_only_udm.principal.ip Aus dem Änderungsprotokoll zugeordnet
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
DestinationDeviceAddress event.idm.read_only_udm.target.ip Aus dem Änderungsprotokoll zugeordnet
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
SourceDevice event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
SourceDevice event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
DestinationDevice event.idm.read_only_udm.target.hostname Aus dem Änderungsprotokoll zugeordnet
DestinationDevice event.idm.read_only_udm.target.asset.hostname Aus dem Änderungsprotokoll zugeordnet
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Aus dem Änderungsprotokoll zugeordnet
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Aus dem Änderungsprotokoll zugeordnet
SensorId event.idm.read_only_udm.intermediary.hostname Aus dem Änderungsprotokoll zugeordnet
Category event.idm.read_only_udm.security_result.category_details Aus dem Änderungsprotokoll zugeordnet
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Aus dem Änderungsprotokoll zugeordnet
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
ViolationCount event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
isNew event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
record.ProviderName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ProviderName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
DeviceId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
_TimeReceived event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
BACnet Service event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
bacnet_service event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Protocol event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
isLearnable event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
RemediationSteps event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Techniques event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Alert generation status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ProcessedBySentinel event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
record.Entities event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
IoTHub.Type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Owners event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Nics event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Protocols event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
Protocols_%{index} event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
record.properties.ISP event.idm.read_only_udm.principal.location.name Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Aus dem Änderungsprotokoll zugeordnet
record.properties.Application event.idm.read_only_udm.target.application Aus dem Änderungsprotokoll zugeordnet
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Aus dem Änderungsprotokoll zugeordnet
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten