Microsoft Defender for Cloud-Benachrichtigungen erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Defender for Cloud-Benachrichtigungen (früher Azure Security Center) in Google Security Operations aufnehmen. Sie können die Aufnahme mit zwei unterstützten Methoden konfigurieren:

  • Methode 1: Azure Event Hub (empfohlen): Defender for Cloud Continuous Export streamt Benachrichtigungen direkt an einen Azure Event Hub, von wo aus Google SecOps sie nahezu in Echtzeit aufnimmt.
  • Methode 2: Azure Blob Storage V2: Defender for Cloud Continuous Export liefert Benachrichtigungen an einen Log Analytics-Arbeitsbereich, eine Log Analytics-Datenexportregel schreibt sie in ein Azure Storage-Konto und Google SecOps nimmt sie gemäß einem Abfragezeitplan aus dem Blob-Container auf.

Microsoft Defender for Cloud ist eine Plattform zum Schutz von cloudnativen Anwendungen, die ein einheitliches Sicherheitsmanagement und einen einheitlichen Bedrohungsschutz für Azure-, Hybrid- und Multi-Cloud-Arbeitslasten bietet.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Beide Methoden haben Folgendes gemeinsam:

    • Eine Google SecOps-Instanz.
    • Privilegierter Zugriff auf das Microsoft Azure-Portal mit folgenden Berechtigungen:
      • Konfigurieren Sie den kontinuierlichen Export für ein Microsoft Defender for Cloud-Abo.
    • Rolle Security Admin oder Owner für das Azure-Abo, das Microsoft Defender for Cloud enthält.
    • Microsoft Defender for Cloud ist für das Abo aktiviert und mindestens ein Defender-Tarif ist aktiv.

  • Zusätzliche Voraussetzungen für Methode 1 (Azure Event Hub):

    • Berechtigungen zum Erstellen von Event Hub-Namespaces und Event Hubs sowie zum Verwalten von Event Hub-Zugriffsrichtlinien.
    • Schreibberechtigungen für die Zielrichtlinie des Event Hubs (für den kontinuierlichen Export erforderlich).

  • Zusätzliche Voraussetzungen für Methode 2 (Azure Blob Storage V2):

    • Berechtigungen zum Erstellen oder Verwalten eines Loganalyse-Arbeitsbereichs und zum Erstellen von Datenexportregeln dafür.
    • Berechtigungen zum Erstellen eines Azure Storage-Kontos mit einem Blob-Container und zum Abrufen der Zugriffsschlüssel.

Verwenden Sie diese Methode, wenn Sie Defender for Cloud-Benachrichtigungen nahezu in Echtzeit aufnehmen möchten und Google SecOps Zugriff auf einen Azure Event Hub gewähren können.

Event Hub-Namespace erstellen

Ein Event Hub-Namespace ist ein Verwaltungscontainer für einen oder mehrere Event Hubs.

  1. Suchen Sie im Azure-Portal nach Event Hubs.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie das Abo aus, das Microsoft Defender for Cloud enthält.
    Ressourcengruppe Wählen Sie ein vorhandenes Element aus oder erstellen Sie ein neues.
    Namespace-Name Geben Sie einen eindeutigen Namen ein (z. B. secops-defender-ns).
    Standort Wählen Sie dieselbe Region wie für Ihre Google SecOps-Instanz aus. Wenn Sie die Bereitstellung in einer anderen Region vornehmen, verringert sich der Aufnahmedurchsatz.
    Preise Standard (empfohlen für die Produktion).
    Durchsatzeinheiten Beginnen Sie mit 1 und aktivieren Sie Automatisches Aufblähen (empfohlen).

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Prüfen Sie die Übersicht und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist (1–2 Minuten).

Event Hub erstellen

  1. Rufen Sie nach der Bereitstellung des Namespace den Event Hub-Namespace auf.
  2. Wählen Sie im linken Navigationsbereich unter Entitäten die Option Event Hubs aus.
  3. Klicken Sie auf + Event Hub.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Name Geben Sie einen eindeutigen Namen ein, der dem Logtyp entspricht (z. B. defender-cloud-alerts). Lassen Sie das Feld während der Konfiguration des kontinuierlichen Defender-Exports nicht leer, damit das System keine zusätzlichen Event Hubs erstellt.
    Anzahl der Partitionen 40 (empfohlen für eine optimale Google SecOps-Skalierung).
    Nachrichtenaufbewahrung Mindestens 7 Tage. Legen Sie die längste Aufbewahrungsdauer fest, die Sie sich leisten können, damit Logs nicht gelöscht werden, bevor die Aufnahme nach einer Kontingentdrosselung fortgesetzt wird.
    Aufnehmen Deaktiviert (für die direkte Event Hub-Aufnahme nicht erforderlich).

  5. Klicken Sie auf Erstellen.

Verbindungsstring für Event Hub abrufen

Google SecOps benötigt einen Verbindungsstring, um sich beim Event Hub zu authentifizieren.

  1. Rufen Sie den Event Hub-Namespace auf.
  2. Wählen Sie im linken Navigationsbereich unter Einstellungen die Option Richtlinien für gemeinsamen Zugriff aus.
  3. Klicken Sie auf die Standardrichtlinie RootManageSharedAccessKey.
  4. Kopieren Sie den Verbindungsstring-Primärschlüssel.

  5. Speichern Sie diesen Verbindungsstring an einem sicheren Ort.

    Beispiel:

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Option B: Verbindungsstring auf Event Hub-Ebene

  1. Rufen Sie den Event Hub auf (nicht den Namespace).
  2. Wählen Sie im linken Navigationsbereich unter Einstellungen die Option Richtlinien für gemeinsamen Zugriff aus.
  3. Klicken Sie auf + Hinzufügen, um eine neue Richtlinie zu erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Richtlinienname: Geben Sie einen aussagekräftigen Namen ein (z. B. chronicle-listen).
    • Berechtigungen: Wählen Sie nur Zuhören (Lesezugriff) aus.
  5. Klicken Sie auf Erstellen.
  6. Klicken Sie auf die neu erstellte Richtlinie.
  7. Kopieren Sie den Verbindungsstring-Primärschlüssel.

  8. Speichern Sie diesen Verbindungsstring an einem sicheren Ort.

Microsoft Defender for Cloud so konfigurieren, dass Benachrichtigungen an Event Hub gestreamt werden

Microsoft Defender for Cloud verwendet die Funktion Kontinuierlicher Export, um Benachrichtigungen und Empfehlungen an einen Event Hub zu streamen, sobald sie generiert werden.

  1. Melden Sie sich im Azure-Portal an.
  2. Suchen Sie nach Microsoft Defender for Cloud und öffnen Sie es.
  3. Wählen Sie im Ressourcenmenü von Defender for Cloud die Option Umgebungseinstellungen aus.
  4. Wählen Sie das Abo aus, für das Sie den Datenexport konfigurieren möchten.
  5. Wählen Sie im Ressourcenmenü unter Einstellungen die Option Kontinuierlicher Export aus.
  6. Wählen Sie den Tab Event-Hub aus.
  7. Geben Sie die folgenden Konfigurationsdetails an:
    • Export aktiviert?: Stellen Sie den Schalter auf „Ein“.
    • Wählen Sie im Bereich Exportierte Datentypen die Datentypen aus, die exportiert werden sollen. Klicken Sie die folgenden Kästchen an, um Sicherheitswarnungen zu erfassen:
      • Sicherheitswarnungen
      • (Optional) Sicherheitsempfehlungen, Sicherheitsbewertung, Einhaltung regulatorischer Anforderungen, Angriffspfade und andere Typen nach Bedarf
    • Konfigurieren Sie für jeden ausgewählten Datentyp Filter, z. B. nur Niedrig, Mittel, Hoch oder alle Schweregrade exportieren.
    • Wählen Sie im Abschnitt Exporthäufigkeit die Häufigkeit aus:
      • Streaming: Sendet Benachrichtigungen, sobald sie generiert werden (empfohlen für Google SecOps).
      • Snapshots: Sendet einen wöchentlichen Snapshot des aktuellen Status (nur für regelmäßige Berichte verwenden).
    • Konfigurieren Sie im Abschnitt Exportziel das Ziel:
      • Exportziel: Wählen Sie Event Hub aus.
      • Abo: Wählen Sie das Abo aus, das den Event Hub-Namespace enthält.
      • Event Hub-Namespace: Wählen Sie secops-defender-ns (oder den zuvor erstellten Namespace) aus.
      • Event Hub-Name: Wählen Sie defender-cloud-alerts (oder den zuvor erstellten Event Hub) aus. Wählen Sie immer einen vorhandenen Event Hub aus. Wenn Sie dieses Feld leer lassen, erstellt das System zusätzliche Event Hubs und Ihr Feedkontingent wird möglicherweise ausgeschöpft.
      • Event Hub-Richtlinienname: Wählen Sie RootManageSharedAccessKey oder eine benutzerdefinierte Richtlinie mit Send-Berechtigungen aus.

  8. Klicken Sie auf Speichern.

(Optional) Dedizierte Consumer-Gruppe erstellen

Standardmäßig stellt Event Hub eine Nutzergruppe namens $Default bereit. Für Produktionsumgebungen wird empfohlen, eine dedizierte Nutzergruppe für Google SecOps zu erstellen.

  1. Rufen Sie den Event Hub auf (nicht den Namespace).
  2. Wählen Sie im linken Navigationsbereich unter Entitäten die Option Nutzergruppen aus.
  3. Klicken Sie auf + Nutzergruppe.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. chronicle).

  5. Klicken Sie auf Erstellen.

Feed in Google SecOps konfigurieren, um Microsoft Defender for Cloud-Benachrichtigungen aufzunehmen (Methode 1)

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Defender for Cloud Alerts.
  5. Wählen Sie Microsoft Azure Event Hub als Quelltyp aus.
  6. Wählen Sie Microsoft Defender For Cloud als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Event Hub-Name: Geben Sie den Event Hub-Namen ein (z. B. defender-cloud-alerts).
    • Event Hub-Nutzergruppe: Geben Sie den Namen der Nutzergruppe ein.
      • Verwenden Sie $Default für die Standard-Nutzergruppe.
      • Wenn Sie eine dedizierte Nutzergruppe erstellt haben, geben Sie deren Namen ein (z. B. chronicle).

    • Event Hub Connection String: Geben Sie den Verbindungsstring für den Event Hub ein, den Sie zuvor kopiert haben.

      Wenn Sie einen Verbindungsstring auf Namespace-Ebene verwenden:

      • Achten Sie darauf, dass Sie den Parameter EntityPath entfernt haben.

      Wenn Sie einen Verbindungsstring auf Event Hub-Ebene verwenden: – Verwenden Sie den Verbindungsstring unverändert (einschließlich EntityPath).

    • Azure Storage-Verbindungsstring (optional): Legacy-Feld für den Event Hub-Prüfpunktspeicher; leer lassen.

    • Azure Storage Container Name (optional): Legacy-Feld für den Event Hub-Prüfpunktspeicher; leer lassen.

    • Azure-SAS-Token (optional): Alternative Authentifizierung beim Event Hub, wenn Ihre Sicherheitsrichtlinie die Freigabe des Event Hub-Verbindungsstrings verbietet. Lassen Sie dieses Feld leer, wenn Sie den Verbindungsstring oben angeben.

    • Asset-Namespace: der Asset-Namespace.

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Methode 2: Azure Blob Storage V2

Verwenden Sie diese Methode, wenn Ihre Organisation bereits Defender for Cloud-Benachrichtigungen in einem Log Analytics-Arbeitsbereich aufbewahrt (aus Compliance-Gründen oder zur langfristigen Speicherung) und Sie möchten, dass Google SecOps dieselben Benachrichtigungen aus einem Azure Storage-Konto aufnimmt. Der kontinuierliche Export von Microsoft Defender for Cloud schreibt nicht direkt in ein Speicherkonto. Daher wird bei dieser Methode die Standardfunktion Datenexport von Loganalyse verwendet, um Benachrichtigungen im BLOB-Speicher abzulegen, von wo aus Google SecOps sie liest.

Der gesamte Datenpfad sieht so aus:

  • Microsoft Defender for Cloud > Kontinuierlicher Export in einen Log Analytics-Arbeitsbereich
  • Log Analytics-Arbeitsbereich > Datenexportregel schreibt die Tabelle SecurityAlert in ein Azure Storage-Konto (Blob-Container)
  • Der Google SecOps-Feed Azure Blob Storage V2 fragt den Blob-Container ab und erfasst neue Benachrichtigungen.

Microsoft Defender for Cloud so konfigurieren, dass Benachrichtigungen an einen Log Analytics-Arbeitsbereich gestreamt werden

  1. Melden Sie sich im Azure-Portal an.
  2. Suchen Sie nach Microsoft Defender for Cloud und öffnen Sie es.
  3. Wählen Sie im Ressourcenmenü von Defender for Cloud die Option Umgebungseinstellungen aus.
  4. Wählen Sie das Abo aus, für das Sie den Datenexport konfigurieren möchten.
  5. Wählen Sie im Ressourcenmenü unter Einstellungen die Option Kontinuierlicher Export aus.
  6. Wählen Sie den Tab Log Analytics-Arbeitsbereich aus.
  7. Geben Sie die folgenden Konfigurationsdetails an:
    • Export aktiviert?: Stellen Sie den Schalter auf „Ein“.
    • Wählen Sie im Bereich Exportierte Datentypen die Option Sicherheitswarnungen (und alle anderen Datentypen, die Sie erfassen möchten) aus.
    • Konfigurieren Sie für jeden ausgewählten Datentyp die erforderlichen Schweregradfilter.
    • Wählen Sie im Abschnitt Exporthäufigkeit die Option Streaming für den Export nahezu in Echtzeit aus.
    • Konfigurieren Sie im Abschnitt Exportziel das Ziel:
      • Exportziel: Wählen Sie Loganalyse-Arbeitsbereich aus.
      • Abo: Wählen Sie das Abo aus, das den Arbeitsbereich enthält.
      • Log Analytics-Arbeitsbereich: Wählen Sie einen vorhandenen Arbeitsbereich aus oder erstellen Sie einen neuen.

  8. Klicken Sie auf Speichern.

Azure Storage-Konto und Blob-Container erstellen

  1. Suchen Sie im Azure-Portal nach Speicherkonten.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie das Abo aus, das den Log Analytics-Arbeitsbereich enthält.
    Ressourcengruppe Verwenden Sie dieselbe Ressourcengruppe wie für den Arbeitsbereich (empfohlen).
    Storage-Kontoname Geben Sie einen eindeutigen Namen ein (z. B. secopsdefenderblob).
    Region Dieselbe Region wie der Log Analytics-Arbeitsbereich (für den Datenexport erforderlich).
    Leistung Standard
    Redundanz LRS (lokal redundanter Speicher) oder GRS, gemäß Ihrer Richtlinie zur Dauerhaftigkeit.

  4. Klicken Sie auf Überprüfen + Erstellen und dann auf Erstellen.

  5. Rufen Sie nach der Bereitstellung das Speicherkonto auf.

  6. Wählen Sie im linken Navigationsbereich unter Datenspeicher die Option Container aus.

  7. Klicken Sie auf + Container.

  8. Geben Sie die folgenden Konfigurationsdetails an:

    • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. defender-cloud-alerts).
    • Öffentliche Zugriffsebene: Privat (kein anonymer Zugriff).

  9. Klicken Sie auf Erstellen.

Regel für den Datenexport aus Loganalyse konfigurieren

  1. Öffnen Sie im Azure-Portal den Log Analytics-Arbeitsbereich, den Sie als Ziel für den kontinuierlichen Export ausgewählt haben.
  2. Wählen Sie im linken Navigationsbereich unter Einstellungen die Option Datenexport aus.
  3. Klicken Sie auf + Neue Exportregel.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Regelname: Geben Sie einen aussagekräftigen Namen ein, z. B. defender-alerts-to-blob.
    • Quelle: Wählen Sie die Tabelle SecurityAlert aus (die Tabelle, die Defender for Cloud Continuous Export für Benachrichtigungen verwendet).
    • Zieltyp: Wählen Sie Speicherkonto aus.
    • Abo: Wählen Sie das Abo aus, das das Speicherkonto enthält.
    • Speicherkonto: Wählen Sie das oben erstellte Speicherkonto aus.

  5. Klicken Sie auf Erstellen.

Anmeldedaten für Speicherkonto abrufen

Google SecOps authentifiziert sich beim Speicherkonto mit einem freigegebenen Zugriffsschlüssel.

  1. Wählen Sie im Speicherkonto unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
  2. Klicken Sie auf Schlüssel anzeigen.
  3. Suchen Sie key1 und kopieren Sie die folgenden Werte:
    • Storage-Kontoname: der Name des von Ihnen erstellten Storage-Kontos.
    • Schlüssel: der 512-Bit-Schlüssel für den gemeinsamen Zugriff (Base64-codiert).
  4. Speichern Sie diese Werte an einem sicheren Ort.

Feed in Google SecOps konfigurieren, um Microsoft Defender for Cloud-Benachrichtigungen aufzunehmen (Methode 2)

  1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Defender for Cloud Alerts - Blob.
  5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
  6. Wählen Sie Microsoft Defender For Cloud als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Azure-URI: Geben Sie die Endpunkt-URL des Blob-Dienstes mit dem Containerpfad ein. Fügen Sie den abschließenden Schrägstrich ein.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Ersetzen Sie Folgendes:

      • <STORAGE_ACCOUNT>: der Name Ihres Azure Storage-Kontos (z. B. secopsdefenderblob).
      • <CONTAINER>: der Name des Blob-Containers, in dem der Log Analytics-Datenexport SecurityAlert Zeilen ablegt (z. B. defender-cloud-alerts).

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Löschoption aus:

      • Nie: Nach der Übertragung werden keine Dateien gelöscht (empfohlen für die Ersteinrichtung und die Aufbewahrung von Audit-Logs).
      • Übertragene Dateien löschen: Dateien werden nach erfolgreicher Übertragung gelöscht.
      • Übertragene Dateien und leere Verzeichnisse löschen: Dateien und leere Verzeichnisse werden nach erfolgreicher Übertragung gelöscht.

    • Maximales Dateialter (Tage): Dateien einschließen, die innerhalb der letzten Anzahl von Tagen geändert wurden (Standardwert ist 180).

    • Freigegebener Schlüssel: Geben Sie den Wert des freigegebenen Zugriffsschlüssels ein, den Sie aus dem Speicherkonto kopiert haben.

    • Asset-Namespace: der Asset-Namespace.

    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
EndTimeLabel about.labels Zusammengeführt
ProcessingEndTimeLabel about.labels Zusammengeführt
StartTimeLabel about.labels Zusammengeführt
TimeGeneratedLabel about.labels Zusammengeführt
extendedLinkCategoryLabel about.labels Zusammengeführt
extendedLinkLabel about.labels Zusammengeführt
extendedLinkTypeLabel about.labels Zusammengeführt
extendedlinkHrefLabel about.labels Zusammengeführt
EndTimeLabel about.resource.attribute.labels Zusammengeführt
ProcessingEndTimeLabel about.resource.attribute.labels Zusammengeführt
StartTimeLabel about.resource.attribute.labels Zusammengeführt
TimeGeneratedLabel about.resource.attribute.labels Zusammengeführt
extendedLinkCategoryLabel about.resource.attribute.labels Zusammengeführt
extendedLinkLabel about.resource.attribute.labels Zusammengeführt
extendedLinkTypeLabel about.resource.attribute.labels Zusammengeführt
extendedlinkHrefLabel about.resource.attribute.labels Zusammengeführt
EndTimeLabel1 additional.fields Zusammengeführt
IoTHub_ResourceId_label additional.fields Zusammengeführt
IoTHub_Type_label additional.fields Zusammengeführt
Protocols_label additional.fields Zusammengeführt
RemediationSteps_label additional.fields Zusammengeführt
Scopes_label additional.fields Zusammengeführt
StartTimeLabel1 additional.fields Zusammengeführt
TimeGeneratedLabel1 additional.fields Zusammengeführt
account_type additional.fields Zusammengeführt
alert_generation_status_label additional.fields Zusammengeführt
bacnet_service_label additional.fields Zusammengeführt
billed_size_label additional.fields Zusammengeführt
category_label additional.fields Zusammengeführt
event_data_info additional.fields Zusammengeführt
extended_properties_device_id_label additional.fields Zusammengeführt
ip_category additional.fields Zusammengeführt
is_billable_label additional.fields Zusammengeführt
is_learnable_label additional.fields Zusammengeführt
item_id_label additional.fields Zusammengeführt
key additional.fields Zugeordnet: IpAddress → nic_sub_field
key_value additional.fields Zusammengeführt
mode_label additional.fields Zusammengeführt
nic_field additional.fields Zusammengeführt
nic_sub_field additional.fields Zusammengeführt
owner_label additional.fields Zusammengeführt
processed_by_sentinel_label additional.fields Zusammengeführt
protocol_label additional.fields Zusammengeführt
provider_name_label additional.fields Zusammengeführt
remediation_steps_label additional.fields Zusammengeführt
role_label additional.fields Zusammengeführt
service_object_type additional.fields Zusammengeführt
techniques_label additional.fields Zusammengeführt
tenantIdLabel additional.fields Zusammengeführt
time_received_label additional.fields Zusammengeführt
type_ext_label additional.fields Zusammengeführt
type_label additional.fields Zusammengeführt
value_label additional.fields Zusammengeführt
authentication_type extensions.auth.auth_details Direkt zugeordnet
SensorId intermediary.hostname Direkt zugeordnet
record.TimeGenerated metadata.event_timestamp Geparst als ISO8601
record.properties.Timestamp metadata.event_timestamp Geparst als ISO8601
record.time metadata.event_timestamp Geparst als ISO8601
has_principal metadata.event_type Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Direkt zugeordnet
raw_event_id metadata.product_log_id Direkt zugeordnet
record.SystemAlertId metadata.product_log_id Direkt zugeordnet
record.alertId metadata.product_log_id Direkt zugeordnet
record.properties.extendedProperties.alert_Id metadata.product_log_id Direkt zugeordnet
product_name metadata.product_name Direkt zugeordnet
record.properties.productName metadata.product_name Direkt zugeordnet
vendor_name metadata.vendor_name Direkt zugeordnet
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Direkt zugeordnet
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Direkt zugeordnet
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Direkt zugeordnet
email_subject network.email.subject Zusammengeführt
operation network.email.subject Zugeordnet (Suchtabelle)
record.properties.UserAgent network.http.user_agent Direkt zugeordnet
user_agent network.http.user_agent Direkt zugeordnet
network_session_id network.session_id Direkt zugeordnet
record.ExtendedProperties.accountSessionId network.session_id Direkt zugeordnet
record.properties.RawEventData.ClientRequestId network.session_id Direkt zugeordnet
record.clientApplication principal.application Direkt zugeordnet
record.properties.extendedProperties.clientApplication principal.application Direkt zugeordnet
SourceDevice principal.asset.hostname Direkt zugeordnet
client_hostname principal.asset.hostname Direkt zugeordnet
compromised_hostname principal.asset.hostname Direkt zugeordnet
SourceDeviceAddress principal.asset.ip Zugeordnet: IPv4-Regex
clientIpAddress principal.asset.ip Zusammengeführt
SourceComputerId principal.asset.product_object_id Direkt zugeordnet
SourceDevice principal.hostname Direkt zugeordnet
client_hostname principal.hostname Direkt zugeordnet
compromised_hostname principal.hostname Direkt zugeordnet
SourceDeviceAddress principal.ip Zugeordnet: IPv4-Regex
clientIpAddress principal.ip Zusammengeführt
alertLabel principal.labels Zusammengeführt
cityLabel principal.location.city Direkt zugeordnet
record.properties.City principal.location.city Direkt zugeordnet
countryLabel principal.location.country_or_region Direkt zugeordnet
record.clientIpLocation principal.location.country_or_region Direkt zugeordnet
record.clientLocation principal.location.country_or_region Direkt zugeordnet
record.properties.clientLocation principal.location.country_or_region Direkt zugeordnet
record.properties.extendedProperties.clientLocation principal.location.country_or_region Direkt zugeordnet
isp principal.location.name Direkt zugeordnet
entity.location.latitude principal.location.region_coordinates.latitude Direkt zugeordnet
entity.location.longitude principal.location.region_coordinates.longitude Direkt zugeordnet
os_platform principal.platform Zugeordnet: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Direkt zugeordnet
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Direkt zugeordnet
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Direkt zugeordnet
record.ExtendedProperties.suspiciousProcessId principal.process.pid Direkt zugeordnet
account_id principal.resource.attribute.labels Zusammengeführt
account_object_id principal.resource.attribute.labels Zusammengeführt
alertLabel principal.resource.attribute.labels Zusammengeführt
alertLabel1 principal.resource.attribute.labels Zusammengeführt
app_instance_id principal.resource.attribute.labels Zusammengeführt
compromisedEntityLabel principal.resource.attribute.labels Zusammengeführt
compromisedEntityLabel1 principal.resource.attribute.labels Zusammengeführt
correlationKeyLabel principal.resource.attribute.labels Zusammengeführt
effectiveSubscriptionIdLabel principal.resource.attribute.labels Zusammengeführt
object_id principal.resource.attribute.labels Zusammengeführt
object_name principal.resource.attribute.labels Zusammengeführt
object_type principal.resource.attribute.labels Zusammengeführt
potential_causes principal.resource.attribute.labels Zusammengeführt
productComponentNameLabel principal.resource.attribute.labels Zusammengeführt
sql_instance_name_label principal.resource.attribute.labels Zusammengeführt
sql_server_name_label principal.resource.attribute.labels Zusammengeführt
supporting_evidence_label principal.resource.attribute.labels Zusammengeführt
system_alert_id_label principal.resource.attribute.labels Zusammengeführt
zone_interface_label principal.resource.attribute.labels Zusammengeführt
record.properties.extendedProperties.resourceType principal.resource.name Direkt zugeordnet
resourceType principal.resource.name Direkt zugeordnet
record.ResourceId principal.resource.product_object_id Direkt zugeordnet
mailbox_owner_upn principal.user.email_addresses Zusammengeführt
principal_user_display_name principal.user.user_display_name Direkt zugeordnet
record.ExtendedProperties.userName principal.user.user_display_name Direkt zugeordnet
client_user principal.user.userid Direkt zugeordnet
principal_userid principal.user.userid Direkt zugeordnet
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Direkt zugeordnet
action security_result.action Zusammengeführt
operation security_result.action Zugeordnet (Suchtabelle)
tacticsLabel security_result.attack_details.tactics Zusammengeführt
category_details_label security_result.category_details Zusammengeführt
threat_category security_result.category_details Zusammengeführt
record.Description security_result.description Direkt zugeordnet
record.properties.description security_result.description Direkt zugeordnet
KindLabel security_result.detection_fields Zusammengeführt
action_type security_result.detection_fields Zusammengeführt
application_id security_result.detection_fields Zusammengeführt
device_type security_result.detection_fields Zusammengeführt
field security_result.detection_fields Zusammengeführt
incidentdetectionfields security_result.detection_fields Zusammengeführt
incidentdetectionfields1 security_result.detection_fields Zusammengeführt
intent_label security_result.detection_fields Zusammengeführt
is_admin_operation_label security_result.detection_fields Zusammengeführt
is_impersonated_label security_result.detection_fields Zusammengeführt
is_new_label security_result.detection_fields Zusammengeführt
operation security_result.detection_fields Zugeordnet: MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Zusammengeführt
sourcesystemdetectionfields security_result.detection_fields Zusammengeführt
statusdetectionfields security_result.detection_fields Zusammengeführt
statusdetectionfields1 security_result.detection_fields Zusammengeführt
trojan_script_malgent_msr_label security_result.detection_fields Zusammengeführt
vendor_original_id_label security_result.detection_fields Zusammengeführt
violation_count_label security_result.detection_fields Zusammengeführt
report_id security_result.rule_id Direkt zugeordnet
alertDisplayName security_result.rule_name Direkt zugeordnet
record.AlertName security_result.rule_name Direkt zugeordnet
alert_severity security_result.severity Direkt zugeordnet
severity security_result.severity Direkt zugeordnet
alert_severity security_result.severity_details Direkt zugeordnet
record.properties.severity security_result.severity_details Direkt zugeordnet
record.DisplayName security_result.summary Direkt zugeordnet
summary security_result.summary Direkt zugeordnet
record.AlertType security_result.threat_name Direkt zugeordnet
record.properties.alertType security_result.threat_name Direkt zugeordnet
AlertManagementUri security_result.url_back_to_product Direkt zugeordnet
record.properties.RawEventData.Folder.Path src.resource.name Direkt zugeordnet
record.properties.RawEventData.Folder.Id src.resource.product_object_id Direkt zugeordnet
application target.application Direkt zugeordnet
DestinationDevice target.asset.hostname Direkt zugeordnet
record.ExtendedProperties.compromisedHost target.asset.hostname Direkt zugeordnet
DestinationDeviceAddress target.asset.ip Zugeordnet: IPv4-Regex
CompromisedEntityId target.asset.product_object_id Direkt zugeordnet
file_name target.file.names Zusammengeführt
operation target.file.names Zugeordnet (Suchtabelle)
operation target.file.size Zugeordnet (Suchtabelle)
record.properties.RawEventData.Item.SizeInBytes target.file.size Direkt zugeordnet
DestinationDevice target.hostname Direkt zugeordnet
originating_server target.hostname Direkt zugeordnet
record.ExtendedProperties.compromisedHost target.hostname Direkt zugeordnet
DestinationDeviceAddress target.ip Zugeordnet: IPv4-Regex
target_process_command_line target.process.command_line Direkt zugeordnet
target_process_file target.process.file.full_path Direkt zugeordnet
target_process_id target.process.pid Direkt zugeordnet
workspaceLabel target.resource.attribute.labels Zusammengeführt
workspaceResourceGroupLabel target.resource.attribute.labels Zusammengeführt
AzureResourceId target.resource.id Direkt zugeordnet
record.properties.RawEventData.DestFolder.Path target.resource.name Direkt zugeordnet
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Direkt zugeordnet
record._Internal_WorkspaceResourceId target.resource.product_object_id Direkt zugeordnet
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Direkt zugeordnet
record.properties.RawEventData.Item.Id target.resource.product_object_id Direkt zugeordnet
operation target.user.email_addresses Zugeordnet (Suchtabelle)
target_user target.user.email_addresses Zugeordnet: Regulärer Ausdruck für E‑Mail-Adressen
– metadata.event_type Konstante: NETWORK_CONNECTION
– metadata.product_name Konstante: MICROSOFT_DEFENDER_CLOUD_ALERTS
– metadata.vendor_name Konstante: MICROSOFT_DEFENDER_CLOUD_ALERTS
– principal.platform Konstante: MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
Entity.FriendlyName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entity.EntityIds event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entities.FriendlyName event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Aus Änderungsprotokoll zugeordnet
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Aus Änderungsprotokoll zugeordnet
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Aus Änderungsprotokoll zugeordnet
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Aus Änderungsprotokoll zugeordnet
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Aus Änderungsprotokoll zugeordnet
Entities.ResourceName event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Aus Änderungsprotokoll zugeordnet
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Aus Änderungsprotokoll zugeordnet
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Aus Änderungsprotokoll zugeordnet
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Aus Änderungsprotokoll zugeordnet
Type event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Aus Änderungsprotokoll zugeordnet
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Aus Änderungsprotokoll zugeordnet
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Aus Änderungsprotokoll zugeordnet
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Aus Änderungsprotokoll zugeordnet
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Aus Änderungsprotokoll zugeordnet
Properties.displayName event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Aus Änderungsprotokoll zugeordnet
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Aus Änderungsprotokoll zugeordnet
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Aus Änderungsprotokoll zugeordnet
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Aus Änderungsprotokoll zugeordnet
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Aus Änderungsprotokoll zugeordnet
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Aus Änderungsprotokoll zugeordnet
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
RecommendationDisplayName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Recommendation DisplayName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
RecommendationId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Recommendation Id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
RecommendationName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Recommendation Name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
RecommendationSeverity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Recommendation Severity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
RecommendationState event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Recommendation State event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
RemediationDescription event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Remediation_Description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
SourceSystem event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Source System event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
_ItemId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Item Id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Metadata Display Name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Assessment Type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Policy Definition Id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Metadata Description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Remediation Description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Preview event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Metadata Severity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
User Impact event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Implementation Effort event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Public Publish Date event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Management Provider event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Security Issue event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Recommendation Category event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
_IsBillable event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Is Billable event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
_BilledSize event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Billed Size event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IsSnapshot event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Is Snapshot event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ResourceTenantId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Resource Tenant ID event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Has Baseline event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.additionalData.query event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Query event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Additional Remediation Description event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Remediation Query event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Impact event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Benchmark Reference event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
First Evaluation Date event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Native Resource ID event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
benchmarks.json_array2.item.benchmark Benchmark-Taste für event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.securityCategories Security Categories-Schlüssel für event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.metadata_data.categories Metadata Categories-Schlüssel für event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
scanTime event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
Properties.status.code event.idm.read_only_udm.security_result.outcomes Aus Änderungsprotokoll zugeordnet
Status Code event.idm.read_only_udm.security_result.outcomes Aus Änderungsprotokoll zugeordnet
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Aus Änderungsprotokoll zugeordnet
status_cause event.idm.read_only_udm.security_result.outcomes Aus Änderungsprotokoll zugeordnet
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Resource Type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Aus Änderungsprotokoll zugeordnet
SourceDeviceAddress event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
DestinationDeviceAddress event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
SourceDevice event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname Aus Änderungsprotokoll zugeordnet
SourceDevice event.idm.read_only_udm.principal.asset.hostname Aus Änderungsprotokoll zugeordnet
DestinationDevice event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
DestinationDevice event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Aus Änderungsprotokoll zugeordnet
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Aus Änderungsprotokoll zugeordnet
SensorId event.idm.read_only_udm.intermediary.hostname Aus Änderungsprotokoll zugeordnet
Category event.idm.read_only_udm.security_result.category_details Aus Änderungsprotokoll zugeordnet
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Aus Änderungsprotokoll zugeordnet
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
ViolationCount event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
isNew event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
record.ProviderName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ProviderName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
DeviceId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
_TimeReceived event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
BACnet Service event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
bacnet_service event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Protocol event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
isLearnable event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
RemediationSteps event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Techniques event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Alert generation status event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ProcessedBySentinel event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
record.Entities event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IoTHub.Type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Owners event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Nics event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Protocols event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Protocols_%{index} event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Aus Änderungsprotokoll zugeordnet
record.properties.ISP event.idm.read_only_udm.principal.location.name Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
record.properties.Application event.idm.read_only_udm.target.application Aus Änderungsprotokoll zugeordnet
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Aus Änderungsprotokoll zugeordnet
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten