Collecter les alertes Microsoft Defender pour le cloud

Compatible avec :

Ce document explique comment ingérer les alertes Microsoft Defender for Cloud (anciennement Azure Security Center) dans Google Security Operations. Vous pouvez configurer l'ingestion à l'aide de deux méthodes compatibles :

  • Méthode 1 : Azure Event Hub (recommandée) : l'exportation continue Defender for Cloud diffuse les alertes directement vers un Azure Event Hub, à partir duquel Google SecOps les ingère en quasi-temps réel.
  • Méthode 2 : Azure Blob Storage V2 : l'exportation continue de Defender for Cloud envoie les alertes à un espace de travail Log Analytics. Une règle d'exportation des données Log Analytics les écrit dans un compte Azure Storage, et Google SecOps les ingère à partir du conteneur Blob selon une planification d'interrogation.

Microsoft Defender for Cloud est une plate-forme de protection des applications cloud natives qui fournit une gestion unifiée de la sécurité et une protection contre les menaces pour les charges de travail Azure, hybrides et multicloud.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Éléments communs aux deux méthodes :

    • Une instance Google SecOps.
    • Accès privilégié au portail Microsoft Azure avec les autorisations suivantes :
      • Configurez l'exportation continue sur un abonnement Microsoft Defender for Cloud.
    • Rôle Administrateur de sécurité ou Propriétaire sur l'abonnement Azure contenant Microsoft Defender pour le cloud.
    • Microsoft Defender for Cloud est activé sur l'abonnement avec au moins un plan Defender actif.

  • Conditions préalables supplémentaires pour la méthode 1 (Azure Event Hubs) :

    • Autorisations permettant de créer des espaces de noms et des hubs d'événements, et de gérer les stratégies d'accès aux hubs d'événements.
    • Autorisations Write sur la stratégie Event Hub cible (requises par l'exportation continue).

  • Conditions préalables supplémentaires pour la méthode 2 (Azure Blob Storage V2) :

    • Autorisations permettant de créer ou de gérer un espace de travail Log Analytics, et d'y créer des règles d'exportation de données.
    • Autorisations permettant de créer un compte de stockage Azure avec un conteneur Blob et de récupérer ses clés d'accès.

Utilisez cette méthode lorsque vous souhaitez ingérer des alertes Defender for Cloud quasiment en temps réel et que vous pouvez accorder à Google SecOps l'accès à un hub d'événements Azure.

Créer un espace de noms Event Hubs

Un espace de noms Event Hubs est un conteneur de gestion pour un ou plusieurs hubs d'événements.

  1. Dans le portail Azure, recherchez Event Hubs.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez l'abonnement contenant Microsoft Defender pour le cloud.
    Groupe de ressources Sélectionnez une planification existante ou créez-en une.
    Nom de l'espace de noms Saisissez un nom unique (par exemple, secops-defender-ns).
    Emplacement Sélectionnez la même région que votre instance Google SecOps (le déploiement dans une autre région réduit le débit d'ingestion).
    Niveau de tarification Standard (recommandé pour la production)
    Unités de débit Commencez par 1, puis activez Gonfler automatiquement (recommandé).

  4. Cliquez sur Examiner et créer.

  5. Consultez l'aperçu, puis cliquez sur Créer.

  6. Attendez la fin du déploiement (une à deux minutes).

Créer un hub d'événements

  1. Une fois l'espace de noms déployé, accédez à l'espace de noms Event Hub.
  2. Dans le volet de navigation de gauche, sélectionnez Event Hubs sous Entités.
  3. Cliquez sur + Event Hub.

  4. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Nom Saisissez un nom unique correspondant au type de journal (par exemple, defender-cloud-alerts). Évitez de laisser le champ vide lors de la configuration de l'exportation continue Defender pour empêcher le système de créer des hubs d'événements supplémentaires.
    Nombre de partitions 40 (recommandé pour une mise à l'échelle optimale de Google SecOps).
    Conservation des messages 7 jours minimum. Définissez la période de conservation la plus longue possible afin que les journaux ne soient pas supprimés avant la reprise de l'ingestion après une limitation du quota.
    Capture Désactivé (inutile pour l'ingestion directe Event Hub).

  5. Cliquez sur Créer.

Obtenir la chaîne de connexion Event Hub

Google SecOps nécessite une chaîne de connexion pour s'authentifier auprès de l'Event Hub.

  1. Accédez à l'espace de noms Event Hubs.
  2. Dans le panneau de navigation de gauche, sélectionnez Règles d'accès partagé sous Paramètres.
  3. Cliquez sur la règle par défaut RootManageSharedAccessKey.
  4. Copiez la chaîne de connexion de la clé primaire.

  5. Enregistrez cette chaîne de connexion de manière sécurisée.

    Exemple :

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Option B : Chaîne de connexion au niveau de l'Event Hub

  1. Accédez au hub d'événements (et non à l'espace de noms).
  2. Dans le panneau de navigation de gauche, sélectionnez Règles d'accès partagé sous Paramètres.
  3. Cliquez sur + Ajouter pour créer une règle.
  4. Fournissez les informations de configuration suivantes :
    • Nom de la règle : saisissez un nom descriptif (par exemple, chronicle-listen).
    • Autorisations : sélectionnez Écouter uniquement (accès en lecture seule).
  5. Cliquez sur Créer.
  6. Cliquez sur la règle que vous venez de créer.
  7. Copiez la chaîne de connexion de la clé primaire.

  8. Enregistrez cette chaîne de connexion de manière sécurisée.

Configurer Microsoft Defender pour le cloud afin de diffuser des alertes vers Event Hub

Microsoft Defender for Cloud utilise la fonctionnalité Exportation continue pour diffuser les alertes et les recommandations vers un hub d'événements à mesure qu'elles sont générées.

  1. Connectez-vous au portail Azure.
  2. Recherchez et ouvrez Microsoft Defender pour le cloud.
  3. Dans le menu des ressources Defender for Cloud, sélectionnez Paramètres de l'environnement.
  4. Sélectionnez l'abonnement pour lequel vous souhaitez configurer l'exportation de données.
  5. Dans le menu des ressources sous Paramètres, sélectionnez Exportation continue.
  6. Sélectionnez l'onglet Event hub (Plate-forme d'événements).
  7. Fournissez les informations de configuration suivantes :
    • L'exportation est-elle activée ? : activez l'option.
    • Dans la section Types de données exportées, sélectionnez les types de données à exporter. Pour collecter les alertes de sécurité, cochez les cases suivantes :
      • Alertes de sécurité
      • (Facultatif) Recommandations de sécurité, Score Secure, Conformité réglementaire, Chemins d'attaque et autres types si nécessaire
    • Pour chaque type de données sélectionné, configurez des filtres (par exemple, n'exporter que les niveaux de gravité Faible, Moyen, Élevé ou tous les niveaux).
    • Dans la section Fréquence d'exportation, sélectionnez la fréquence :
      • Streaming : envoie les alertes au fur et à mesure de leur génération (recommandé pour Google SecOps).
      • Instantanés : envoie un instantané hebdomadaire de l'état actuel (à utiliser uniquement pour les rapports périodiques).
    • Dans la section Cible d'exportation, configurez la destination :
      • Cible d'exportation : sélectionnez Hub d'événements.
      • Abonnement : sélectionnez l'abonnement contenant l'espace de noms Event Hubs.
      • Espace de noms Event Hubs : sélectionnez secops-defender-ns (ou l'espace de noms que vous avez créé précédemment).
      • Nom du hub d'événements : sélectionnez defender-cloud-alerts (ou le hub d'événements que vous avez créé précédemment). Sélectionnez toujours un Event Hub existant. Si vous laissez ce champ vide, le système créera des Event Hub supplémentaires, ce qui peut épuiser votre quota de flux.
      • Nom de la règle du hub d'événements : sélectionnez RootManageSharedAccessKey ou une règle personnalisée avec des autorisations Envoyer.

  8. Cliquez sur Enregistrer.

(Facultatif) Créer un groupe de consommateurs dédié

Par défaut, Event Hub fournit un groupe de consommateurs nommé $Default. Pour les environnements de production, il est recommandé de créer un groupe de consommateurs dédié pour Google SecOps.

  1. Accédez au hub d'événements (et non à l'espace de noms).
  2. Dans le panneau de navigation de gauche, sélectionnez Groupes de consommateurs sous Entités.
  3. Cliquez sur + Groupe de consommateurs.
  4. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom descriptif (par exemple, chronicle).

  5. Cliquez sur Créer.

Configurer un flux dans Google SecOps pour ingérer les alertes Microsoft Defender for Cloud (méthode 1)

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Defender for Cloud Alerts).
  5. Sélectionnez Microsoft Azure Event Hub comme type de source.
  6. Sélectionnez Microsoft Defender for Cloud comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • Nom du hub d'événements : saisissez le nom du hub d'événements (par exemple, defender-cloud-alerts).
    • Groupe de consommateurs Event Hub : saisissez le nom du groupe de consommateurs.
      • Utilisez $Default pour le groupe de consommateurs par défaut.
      • Si vous avez créé un groupe de consommateurs dédié, saisissez son nom (par exemple, chronicle).

    • Chaîne de connexion Event Hub : saisissez la chaîne de connexion Event Hub que vous avez capturée précédemment.

      Si vous utilisez une chaîne de connexion au niveau de l'espace de noms :

      • Assurez-vous d'avoir supprimé le paramètre EntityPath.

      Si vous utilisez une chaîne de connexion au niveau du hub d'événements : - Utilisez la chaîne de connexion telle quelle (y compris EntityPath).

    • Chaîne de connexion Azure Storage (facultatif) : champ obsolète pour le stockage des points de contrôle Event Hub. Laissez-le vide.

    • Nom du conteneur de stockage Azure (facultatif) : ancien champ pour le stockage des points de contrôle Event Hub. Laissez-le vide.

    • Jeton SAS Azure (facultatif) : autre méthode d'authentification pour Event Hub lorsque votre règle de sécurité interdit le partage de la chaîne de connexion Event Hub. Laissez ce champ vide si vous fournissez la chaîne de connexion ci-dessus.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Méthode 2 : Azure Blob Storage V2

Utilisez cette méthode lorsque votre organisation conserve déjà les alertes Defender for Cloud dans un espace de travail Log Analytics (pour la conformité ou le stockage à long terme) et que vous souhaitez que Google SecOps ingère les mêmes alertes à partir d'un compte de stockage Azure. L'exportation continue Microsoft Defender for Cloud n'écrit pas directement dans un compte de stockage. Cette méthode s'appuie donc sur la fonctionnalité standard Exportation de données de Log Analytics pour placer les alertes dans le stockage Blob, à partir duquel Google SecOps les lit.

Le chemin de données de bout en bout est le suivant :

  • Microsoft Defender pour le cloud > Exportation continue vers un espace de travail Log Analytics
  • La règle Exporter des données de l'espace de travail Log Analytics > écrit la table SecurityAlert dans un compte de stockage Azure (conteneur Blob).
  • Le flux Google SecOps Azure Blob Storage V2 interroge le conteneur de blobs et ingère les nouvelles alertes.

Configurer Microsoft Defender pour le cloud afin de diffuser des alertes vers un espace de travail Log Analytics

  1. Connectez-vous au portail Azure.
  2. Recherchez et ouvrez Microsoft Defender pour le cloud.
  3. Dans le menu des ressources Defender for Cloud, sélectionnez Paramètres de l'environnement.
  4. Sélectionnez l'abonnement pour lequel vous souhaitez configurer l'exportation de données.
  5. Dans le menu des ressources sous Paramètres, sélectionnez Exportation continue.
  6. Sélectionnez l'onglet Espace de travail Log Analytics.
  7. Fournissez les informations de configuration suivantes :
    • L'exportation est-elle activée ? : activez l'option.
    • Dans la section Types de données exportées, sélectionnez Alertes de sécurité (et tous les autres types de données que vous souhaitez capturer).
    • Pour chaque type de données sélectionné, configurez les filtres de gravité selon vos besoins.
    • Dans la section Fréquence d'exportation, sélectionnez Streaming pour une exportation en temps quasi réel.
    • Dans la section Cible d'exportation, configurez la destination :
      • Cible d'exportation : sélectionnez Espace de travail Log Analytics.
      • Abonnement : sélectionnez l'abonnement qui contient l'espace de travail.
      • Espace de travail Log Analytics : sélectionnez un espace de travail existant ou créez-en un.

  8. Cliquez sur Enregistrer.

Créer un compte de stockage Azure et un conteneur Blob

  1. Dans le portail Azure, recherchez Comptes de stockage.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez l'abonnement qui contient l'espace de travail Log Analytics.
    Groupe de ressources Utilisez le même groupe de ressources que l'espace de travail (recommandé).
    Nom du compte de stockage Saisissez un nom unique (par exemple, secopsdefenderblob).
    Région La région doit être identique à celle de l'espace de travail Log Analytics (obligatoire pour l'exportation de données).
    Performances Standard
    Redondance LRS (stockage localement redondant) ou GRS, selon votre règle de durabilité.

  4. Cliquez sur Examiner et créer, puis sur Créer.

  5. Après le déploiement, accédez au compte de stockage.

  6. Dans le panneau de navigation de gauche, sélectionnez Conteneurs sous Stockage de données.

  7. Cliquez sur + Conteneur.

  8. Fournissez les informations de configuration suivantes :

    • Nom : saisissez un nom descriptif (par exemple, defender-cloud-alerts).
    • Niveau d'accès public : Privé (pas d'accès anonyme).

  9. Cliquez sur Créer.

Configurer une règle d'exportation de données Log Analytics

  1. Dans le portail Azure, ouvrez l'espace de travail Log Analytics que vous avez sélectionné comme cible d'exportation continue.
  2. Dans le panneau de navigation de gauche, sélectionnez Exporter les données sous Paramètres.
  3. Cliquez sur + Nouvelle règle d'exportation.
  4. Fournissez les informations de configuration suivantes :
    • Nom de la règle : saisissez un nom descriptif (par exemple, defender-alerts-to-blob).
    • Source : sélectionnez la table SecurityAlert (celle que l'exportation continue de Defender for Cloud utilise pour les alertes).
    • Type de destination : sélectionnez Compte de stockage.
    • Abonnement : sélectionnez l'abonnement qui contient le compte de stockage.
    • Compte de stockage : sélectionnez le compte de stockage que vous avez créé ci-dessus.

  5. Cliquez sur Créer.

Obtenir les identifiants du compte de stockage

Google SecOps s'authentifie auprès du compte de stockage à l'aide d'une clé d'accès partagée.

  1. Dans le compte de stockage, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
  2. Cliquez sur Afficher les clés.
  3. Localisez key1 et copiez les valeurs suivantes :
    • Nom du compte de stockage : nom du compte de stockage que vous avez créé.
    • Key : clé d'accès partagée de 512 bits (encodée en base64).
  4. Enregistrez ces valeurs de manière sécurisée.

Configurer un flux dans Google SecOps pour ingérer les alertes Microsoft Defender for Cloud (méthode 2)

  1. Accédez à Paramètres SIEM> Flux.
  2. Cliquez sur Ajouter un flux.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Defender for Cloud Alerts - Blob).
  5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
  6. Sélectionnez Microsoft Defender for Cloud comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès au conteneur. Incluez la barre oblique de fin.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Remplacez les éléments suivants :

      • <STORAGE_ACCOUNT> : nom de votre compte Azure Storage (par exemple, secopsdefenderblob).
      • <CONTAINER> : nom du conteneur d'objets blob dans lequel les SecurityAlert lignes d'exportation des données Log Analytics sont stockées (par exemple, defender-cloud-alerts).

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :

      • Jamais : ne supprime jamais aucun fichier après le transfert (recommandé pour la première configuration et la conservation des journaux d'audit).
      • Supprimer les fichiers transférés : supprime les fichiers une fois le transfert réussi.
      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides une fois le transfert réussi.

    • Âge maximal des fichiers (en jours) : incluez les fichiers modifiés au cours du nombre de jours indiqué (la valeur par défaut est 180).

    • Clé partagée : saisissez la valeur de la clé d'accès partagé que vous avez récupérée à partir du compte de stockage.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Libellés d'ingestion : libellé à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal Mappage UDM Logique
EndTimeLabel about.labels Fusionné
ProcessingEndTimeLabel about.labels Fusionné
StartTimeLabel about.labels Fusionné
TimeGeneratedLabel about.labels Fusionné
extendedLinkCategoryLabel about.labels Fusionné
extendedLinkLabel about.labels Fusionné
extendedLinkTypeLabel about.labels Fusionné
extendedlinkHrefLabel about.labels Fusionné
EndTimeLabel about.resource.attribute.labels Fusionné
ProcessingEndTimeLabel about.resource.attribute.labels Fusionné
StartTimeLabel about.resource.attribute.labels Fusionné
TimeGeneratedLabel about.resource.attribute.labels Fusionné
extendedLinkCategoryLabel about.resource.attribute.labels Fusionné
extendedLinkLabel about.resource.attribute.labels Fusionné
extendedLinkTypeLabel about.resource.attribute.labels Fusionné
extendedlinkHrefLabel about.resource.attribute.labels Fusionné
EndTimeLabel1 additional.fields Fusionné
IoTHub_ResourceId_label additional.fields Fusionné
IoTHub_Type_label additional.fields Fusionné
Protocols_label additional.fields Fusionné
RemediationSteps_label additional.fields Fusionné
Scopes_label additional.fields Fusionné
StartTimeLabel1 additional.fields Fusionné
TimeGeneratedLabel1 additional.fields Fusionné
account_type additional.fields Fusionné
alert_generation_status_label additional.fields Fusionné
bacnet_service_label additional.fields Fusionné
billed_size_label additional.fields Fusionné
category_label additional.fields Fusionné
event_data_info additional.fields Fusionné
extended_properties_device_id_label additional.fields Fusionné
ip_category additional.fields Fusionné
is_billable_label additional.fields Fusionné
is_learnable_label additional.fields Fusionné
item_id_label additional.fields Fusionné
key additional.fields Mappé : IpAddress → nic_sub_field
key_value additional.fields Fusionné
mode_label additional.fields Fusionné
nic_field additional.fields Fusionné
nic_sub_field additional.fields Fusionné
owner_label additional.fields Fusionné
processed_by_sentinel_label additional.fields Fusionné
protocol_label additional.fields Fusionné
provider_name_label additional.fields Fusionné
remediation_steps_label additional.fields Fusionné
role_label additional.fields Fusionné
service_object_type additional.fields Fusionné
techniques_label additional.fields Fusionné
tenantIdLabel additional.fields Fusionné
time_received_label additional.fields Fusionné
type_ext_label additional.fields Fusionné
type_label additional.fields Fusionné
value_label additional.fields Fusionné
authentication_type extensions.auth.auth_details Mappé directement
SensorId intermediary.hostname Mappé directement
record.TimeGenerated metadata.event_timestamp Analysé en tant que ISO8601
record.properties.Timestamp metadata.event_timestamp Analysé en tant que ISO8601
record.time metadata.event_timestamp Analysé en tant que ISO8601
has_principal metadata.event_type Mappé : true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Mappé directement
raw_event_id metadata.product_log_id Mappé directement
record.SystemAlertId metadata.product_log_id Mappé directement
record.alertId metadata.product_log_id Mappé directement
record.properties.extendedProperties.alert_Id metadata.product_log_id Mappé directement
product_name metadata.product_name Mappé directement
record.properties.productName metadata.product_name Mappé directement
vendor_name metadata.vendor_name Mappé directement
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Mappé directement
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Mappé directement
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Mappé directement
email_subject network.email.subject Fusionné
operation network.email.subject Mappé (tableau de conversion)
record.properties.UserAgent network.http.user_agent Mappé directement
user_agent network.http.user_agent Mappé directement
network_session_id network.session_id Mappé directement
record.ExtendedProperties.accountSessionId network.session_id Mappé directement
record.properties.RawEventData.ClientRequestId network.session_id Mappé directement
record.clientApplication principal.application Mappé directement
record.properties.extendedProperties.clientApplication principal.application Mappé directement
SourceDevice principal.asset.hostname Mappé directement
client_hostname principal.asset.hostname Mappé directement
compromised_hostname principal.asset.hostname Mappé directement
SourceDeviceAddress principal.asset.ip Mappé : expression régulière IPv4
clientIpAddress principal.asset.ip Fusionné
SourceComputerId principal.asset.product_object_id Mappé directement
SourceDevice principal.hostname Mappé directement
client_hostname principal.hostname Mappé directement
compromised_hostname principal.hostname Mappé directement
SourceDeviceAddress principal.ip Mappé : expression régulière IPv4
clientIpAddress principal.ip Fusionné
alertLabel principal.labels Fusionné
cityLabel principal.location.city Mappé directement
record.properties.City principal.location.city Mappé directement
countryLabel principal.location.country_or_region Mappé directement
record.clientIpLocation principal.location.country_or_region Mappé directement
record.clientLocation principal.location.country_or_region Mappé directement
record.properties.clientLocation principal.location.country_or_region Mappé directement
record.properties.extendedProperties.clientLocation principal.location.country_or_region Mappé directement
isp principal.location.name Mappé directement
entity.location.latitude principal.location.region_coordinates.latitude Mappé directement
entity.location.longitude principal.location.region_coordinates.longitude Mappé directement
os_platform principal.platform Mappé : iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Mappé directement
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Mappé directement
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Mappé directement
record.ExtendedProperties.suspiciousProcessId principal.process.pid Mappé directement
account_id principal.resource.attribute.labels Fusionné
account_object_id principal.resource.attribute.labels Fusionné
alertLabel principal.resource.attribute.labels Fusionné
alertLabel1 principal.resource.attribute.labels Fusionné
app_instance_id principal.resource.attribute.labels Fusionné
compromisedEntityLabel principal.resource.attribute.labels Fusionné
compromisedEntityLabel1 principal.resource.attribute.labels Fusionné
correlationKeyLabel principal.resource.attribute.labels Fusionné
effectiveSubscriptionIdLabel principal.resource.attribute.labels Fusionné
object_id principal.resource.attribute.labels Fusionné
object_name principal.resource.attribute.labels Fusionné
object_type principal.resource.attribute.labels Fusionné
potential_causes principal.resource.attribute.labels Fusionné
productComponentNameLabel principal.resource.attribute.labels Fusionné
sql_instance_name_label principal.resource.attribute.labels Fusionné
sql_server_name_label principal.resource.attribute.labels Fusionné
supporting_evidence_label principal.resource.attribute.labels Fusionné
system_alert_id_label principal.resource.attribute.labels Fusionné
zone_interface_label principal.resource.attribute.labels Fusionné
record.properties.extendedProperties.resourceType principal.resource.name Mappé directement
resourceType principal.resource.name Mappé directement
record.ResourceId principal.resource.product_object_id Mappé directement
mailbox_owner_upn principal.user.email_addresses Fusionné
principal_user_display_name principal.user.user_display_name Mappé directement
record.ExtendedProperties.userName principal.user.user_display_name Mappé directement
client_user principal.user.userid Mappé directement
principal_userid principal.user.userid Mappé directement
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Mappé directement
action security_result.action Fusionné
operation security_result.action Mappé (tableau de conversion)
tacticsLabel security_result.attack_details.tactics Fusionné
category_details_label security_result.category_details Fusionné
threat_category security_result.category_details Fusionné
record.Description security_result.description Mappé directement
record.properties.description security_result.description Mappé directement
KindLabel security_result.detection_fields Fusionné
action_type security_result.detection_fields Fusionné
application_id security_result.detection_fields Fusionné
device_type security_result.detection_fields Fusionné
field security_result.detection_fields Fusionné
incidentdetectionfields security_result.detection_fields Fusionné
incidentdetectionfields1 security_result.detection_fields Fusionné
intent_label security_result.detection_fields Fusionné
is_admin_operation_label security_result.detection_fields Fusionné
is_impersonated_label security_result.detection_fields Fusionné
is_new_label security_result.detection_fields Fusionné
operation security_result.detection_fields Mappé : MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Fusionné
sourcesystemdetectionfields security_result.detection_fields Fusionné
statusdetectionfields security_result.detection_fields Fusionné
statusdetectionfields1 security_result.detection_fields Fusionné
trojan_script_malgent_msr_label security_result.detection_fields Fusionné
vendor_original_id_label security_result.detection_fields Fusionné
violation_count_label security_result.detection_fields Fusionné
report_id security_result.rule_id Mappé directement
alertDisplayName security_result.rule_name Mappé directement
record.AlertName security_result.rule_name Mappé directement
alert_severity security_result.severity Mappé directement
severity security_result.severity Mappé directement
alert_severity security_result.severity_details Mappé directement
record.properties.severity security_result.severity_details Mappé directement
record.DisplayName security_result.summary Mappé directement
summary security_result.summary Mappé directement
record.AlertType security_result.threat_name Mappé directement
record.properties.alertType security_result.threat_name Mappé directement
AlertManagementUri security_result.url_back_to_product Mappé directement
record.properties.RawEventData.Folder.Path src.resource.name Mappé directement
record.properties.RawEventData.Folder.Id src.resource.product_object_id Mappé directement
application target.application Mappé directement
DestinationDevice target.asset.hostname Mappé directement
record.ExtendedProperties.compromisedHost target.asset.hostname Mappé directement
DestinationDeviceAddress target.asset.ip Mappé : expression régulière IPv4
CompromisedEntityId target.asset.product_object_id Mappé directement
file_name target.file.names Fusionné
operation target.file.names Mappé (tableau de conversion)
operation target.file.size Mappé (tableau de conversion)
record.properties.RawEventData.Item.SizeInBytes target.file.size Mappé directement
DestinationDevice target.hostname Mappé directement
originating_server target.hostname Mappé directement
record.ExtendedProperties.compromisedHost target.hostname Mappé directement
DestinationDeviceAddress target.ip Mappé : expression régulière IPv4
target_process_command_line target.process.command_line Mappé directement
target_process_file target.process.file.full_path Mappé directement
target_process_id target.process.pid Mappé directement
workspaceLabel target.resource.attribute.labels Fusionné
workspaceResourceGroupLabel target.resource.attribute.labels Fusionné
AzureResourceId target.resource.id Mappé directement
record.properties.RawEventData.DestFolder.Path target.resource.name Mappé directement
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Mappé directement
record._Internal_WorkspaceResourceId target.resource.product_object_id Mappé directement
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Mappé directement
record.properties.RawEventData.Item.Id target.resource.product_object_id Mappé directement
operation target.user.email_addresses Mappé (tableau de conversion)
target_user target.user.email_addresses Expression régulière pour les adresses e-mail
N/A metadata.event_type Constante : NETWORK_CONNECTION
N/A metadata.product_name Constante : MICROSOFT_DEFENDER_CLOUD_ALERTS
N/A metadata.vendor_name Constante : MICROSOFT_DEFENDER_CLOUD_ALERTS
N/A principal.platform Constante : MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Entity.FriendlyName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity.EntityIds event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.ExtendedProperties event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entities.FriendlyName event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Mappé à partir du journal des modifications
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Mappé à partir du journal des modifications
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Mappé à partir du journal des modifications
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Mappé à partir du journal des modifications
Entities.ResourceName event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Mappé à partir du journal des modifications
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Mappé à partir du journal des modifications
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Mappé à partir du journal des modifications
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Mappé à partir du journal des modifications
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Mappé à partir du journal des modifications
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Mappé à partir du journal des modifications
Type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Mappé à partir du journal des modifications
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Mappé à partir du journal des modifications
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Mappé à partir du journal des modifications
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Mappé à partir du journal des modifications
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Mappé à partir du journal des modifications
Properties.displayName event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Mappé à partir du journal des modifications
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Mappé à partir du journal des modifications
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Mappé à partir du journal des modifications
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
RecommendationDisplayName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation DisplayName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationSeverity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Severity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationState event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation State event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RemediationDescription event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Remediation_Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SourceSystem event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Source System event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_ItemId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Item Id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Metadata Display Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Assessment Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Policy Definition Id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Metadata Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Remediation Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Preview event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Metadata Severity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
User Impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Implementation Effort event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Public Publish Date event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Management Provider event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Security Issue event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Category event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_IsBillable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Is Billable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_BilledSize event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Billed Size event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IsSnapshot event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Is Snapshot event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ResourceTenantId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Resource Tenant ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Has Baseline event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.query event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Query event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Additional Remediation Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Remediation Query event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Benchmark Reference event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
First Evaluation Date event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Native Resource ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
benchmarks.json_array2.item.benchmark Clé Benchmark à event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.securityCategories Clé Security Categories à event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.categories Clé Metadata Categories à event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
Properties.status.code event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
Status Code event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
status_cause event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Resource Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Mappé à partir du journal des modifications
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Mappé à partir du journal des modifications
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
SourceDeviceAddress event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
DestinationDeviceAddress event.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
SourceDevice event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
SourceDevice event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
DestinationDevice event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
DestinationDevice event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Mappé à partir du journal des modifications
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Mappé à partir du journal des modifications
SensorId event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
Category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Mappé à partir du journal des modifications
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ViolationCount event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
isNew event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.ProviderName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProviderName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DeviceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_TimeReceived event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
BACnet Service event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
bacnet_service event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Protocol event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
isLearnable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RemediationSteps event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Techniques event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Alert generation status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProcessedBySentinel event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.Entities event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub.Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Owners event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Nics event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Protocols event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Protocols_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Mappé à partir du journal des modifications
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Mappé à partir du journal des modifications
record.properties.ISP event.idm.read_only_udm.principal.location.name Mappé à partir du journal des modifications
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
record.properties.Application event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.