Collecter les alertes Microsoft Defender pour le cloud

Compatible avec :

Ce document explique comment ingérer des alertes Microsoft Defender pour le cloud (anciennement Azure Security Center) dans Google Security Operations. Vous pouvez configurer l'ingestion à l'aide de deux méthodes compatibles :

  • Méthode 1 : Azure Event Hub (recommandée) : Defender for Cloud Continuous Export diffuse les alertes directement vers un Azure Event Hub, d'où Google SecOps les ingère en temps quasi réel.
  • Méthode 2 : Azure Blob Storage V2 : l'exportation continue de Defender pour le cloud envoie des alertes à un espace de travail Log Analytics, une règle d'exportation de données Log Analytics les écrit dans un compte Azure Storage, et Google SecOps les ingère à partir du conteneur de blobs selon un calendrier d'interrogation.

Microsoft Defender pour le cloud est une plate-forme de protection des applications cloud natives qui fournit une gestion unifiée de la sécurité et une protection contre les menaces pour les charges de travail Azure, hybrides et multicloud.

Avant de commencer

Assurez-vous de remplir les conditions préalables suivantes :

  • Éléments communs aux deux méthodes :

    • Une instance Google SecOps.
    • Accès privilégié au portail Microsoft Azure avec les autorisations suivantes :
      • Configurez l'exportation continue sur un abonnement Microsoft Defender pour le cloud.
    • Administrateur de sécurité ou Propriétaire sur l'abonnement Azure contenant Microsoft Defender pour le cloud.
    • Microsoft Defender pour le cloud activé sur l'abonnement avec au moins un forfait Defender actif.

  • Prérequis supplémentaires pour la méthode 1 (Azure Event Hub) :

    • Autorisations permettant de créer des espaces de noms Event Hubs et des Event Hubs, et de gérer les règles d'accès aux Event Hubs.
    • Autorisations d'écriture sur la stratégie Event Hub cible (requises par l'exportation continue).

  • Prérequis supplémentaires pour la méthode 2 (Azure Blob Storage V2) :

    • Autorisations permettant de créer ou de gérer un espace de travail Log Analytics, et d'y créer des règles d'exportation de données.
    • Autorisations permettant de créer un compte de stockage Azure avec un conteneur de blobs et de récupérer ses clés d'accès.

Utilisez cette méthode lorsque vous souhaitez ingérer des alertes Defender pour le cloud en temps quasi réel et que vous pouvez accorder à Google SecOps l'accès à un hub d'événements Azure.

Créer un espace de noms Event Hubs

Un espace de noms Event Hubs est un conteneur de gestion pour un ou plusieurs Event Hubs.

  1. Dans le portail Azure, recherchez Event Hubs.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez l'abonnement contenant Microsoft Defender pour le cloud.
    Groupe de ressources Sélectionnez un élément existant ou créez-en un.
    Nom de l'espace de noms Saisissez un nom unique (par exemple, secops-defender-ns).
    Emplacement Sélectionnez la même région que votre instance Google SecOps (le déploiement dans une autre région réduit le débit d'ingestion).
    Niveau de tarification Standard (recommandé pour la production).
    Unités de débit Commencez par 1, puis activez l'augmentation automatique (recommandé).

  4. Cliquez sur Examiner et créer.

  5. Examinez la présentation, puis cliquez sur Créer.

  6. Attendez la fin du déploiement (une à deux minutes).

Créer un hub d'événements

  1. Une fois l'espace de noms déployé, accédez à l'espace de noms Event Hubs.
  2. Dans le volet de navigation de gauche, sélectionnez Event Hubs sous Entities (Entités).
  3. Cliquez sur + Event Hub.

  4. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Nom Saisissez un nom unique correspondant au type de journal (par exemple, defender-cloud-alerts). Évitez de laisser le champ vide lors de la configuration de l'exportation continue Defender pour empêcher le système de créer des hubs d'événements supplémentaires.
    Nombre de partitions 40 (recommandé pour un scaling optimal de Google SecOps).
    Conservation des messages 7 jour minimum. Définissez la durée de conservation la plus longue possible afin que les journaux ne soient pas supprimés avant la reprise de l'ingestion après une limitation de quota.
    Capture Désactivé (non nécessaire pour l'ingestion directe d'Event Hubs).

  5. Cliquez sur Créer.

Obtenir la chaîne de connexion Event Hubs

Google SecOps nécessite une chaîne de connexion pour s'authentifier auprès d'Event Hub.

  1. Accédez à l'espace de noms Event Hub.
  2. Dans le menu de navigation de gauche, sélectionnez Stratégies d'accès partagé sous Paramètres.
  3. Cliquez sur la règle par défaut RootManageSharedAccessKey.
  4. Copiez la chaîne de connexion – clé primaire.

  5. Enregistrez cette chaîne de connexion de manière sécurisée.

    Exemple :

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Option B : Chaîne de connexion au niveau d'Event Hubs

  1. Accédez au hub d'événements (et non à l'espace de noms).
  2. Dans le menu de navigation de gauche, sélectionnez Stratégies d'accès partagé sous Paramètres.
  3. Cliquez sur + Ajouter pour créer une règle.
  4. Fournissez les informations de configuration suivantes :
    • Nom de la règle : saisissez un nom descriptif (par exemple, chronicle-listen).
    • Autorisations : sélectionnez Écouter uniquement (accès en lecture seule).
  5. Cliquez sur Créer.
  6. Cliquez sur la règle que vous venez de créer.
  7. Copiez la chaîne de connexion – clé primaire.

  8. Enregistrez cette chaîne de connexion de manière sécurisée.

Configurer Microsoft Defender pour le cloud afin de diffuser des alertes vers Event Hub

Microsoft Defender pour le cloud utilise la fonctionnalité d'exportation continue pour diffuser les alertes et les recommandations vers un Event Hub au fur et à mesure qu'elles sont générées.

  1. Connectez-vous au portail Azure.
  2. Recherchez et ouvrez Microsoft Defender pour le cloud.
  3. Dans le menu des ressources Defender for Cloud, sélectionnez Environment settings (Paramètres de l'environnement).
  4. Sélectionnez l'abonnement pour lequel vous souhaitez configurer l'exportation de données.
  5. Dans le menu des ressources, sous Paramètres, sélectionnez Exportation continue.
  6. Sélectionnez l'onglet Event Hub.
  7. Fournissez les informations de configuration suivantes :
    • Exportation activée ? : activez cette option.
    • Dans la section Types de données exportés, sélectionnez les types de données à exporter. Pour collecter les alertes de sécurité, cochez les cases suivantes :
      • Alertes de sécurité
      • (Facultatif) Recommandations de sécurité, Score de sécurité, Conformité réglementaire, Chemins d'attaque et autres types selon les besoins
    • Pour chaque type de données sélectionné, configurez des filtres (par exemple, n'exportez que les niveaux de gravité Faible, Moyen, Élevé ou tous les niveaux de gravité).
    • Dans la section Fréquence d'exportation, sélectionnez la fréquence :
      • Streaming : envoie les alertes au fur et à mesure qu'elles sont générées (recommandé pour Google SecOps).
      • Instantanés : envoie un instantané hebdomadaire de l'état actuel (à utiliser uniquement pour les rapports périodiques).
    • Dans la section Cible d'exportation, configurez la destination :
      • Cible d'exportation : sélectionnez Hub d'événements.
      • Abonnement : sélectionnez l'abonnement contenant l'espace de noms Event Hubs.
      • Espace de noms Event Hub : sélectionnez secops-defender-ns (ou l'espace de noms que vous avez créé précédemment).
      • Nom du hub d'événements : sélectionnez defender-cloud-alerts (ou le hub d'événements que vous avez créé précédemment). Sélectionnez toujours un Event Hub existant. Si vous laissez ce champ vide, le système créera des Event Hubs supplémentaires, ce qui peut épuiser votre quota de flux.
      • Nom de la règle du hub d'événements : sélectionnez RootManageSharedAccessKey ou une règle personnalisée avec des autorisations Envoyer.

  8. Cliquez sur Enregistrer.

(Facultatif) Créer un groupe de consommateurs dédié

Par défaut, Event Hub fournit un groupe de consommateurs nommé $Default. Pour les environnements de production, il est recommandé de créer un groupe de consommateurs dédié pour Google SecOps.

  1. Accédez au hub d'événements (et non à l'espace de noms).
  2. Dans le menu de navigation de gauche, sélectionnez Groupes de consommateurs sous Entités.
  3. Cliquez sur + Groupe de consommateurs.
  4. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom descriptif (par exemple, chronicle).

  5. Cliquez sur Créer.

Configurer un flux dans Google SecOps pour ingérer les alertes Microsoft Defender pour le cloud (méthode 1)

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Defender for Cloud Alerts).
  5. Sélectionnez Microsoft Azure Event Hub comme type de source.
  6. Sélectionnez Microsoft Defender pour le cloud comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • Nom du hub d'événements : saisissez le nom du hub d'événements (par exemple, defender-cloud-alerts).
    • Groupe de consommateurs Event Hub : saisissez le nom du groupe de consommateurs.
      • Utilisez $Default pour le groupe de consommateurs par défaut.
      • Si vous avez créé un groupe de consommateurs dédié, saisissez son nom (par exemple, chronicle).

    • Chaîne de connexion Event Hub : saisissez la chaîne de connexion Event Hub que vous avez capturée précédemment.

      Si vous utilisez une chaîne de connexion au niveau de l'espace de noms :

      • Assurez-vous d'avoir supprimé le paramètre EntityPath.

      Si vous utilisez une chaîne de connexion au niveau du hub d'événements : - Utilisez la chaîne de connexion telle quelle (inclut EntityPath).

    • Chaîne de connexion Azure Storage (facultatif) : champ obsolète pour le stockage des points de contrôle Event Hubs. Laissez ce champ vide.

    • Nom du conteneur Azure Storage (facultatif) : ancien champ pour le stockage des points de contrôle Event Hubs. Laissez ce champ vide.

    • Jeton SAS Azure (facultatif) : authentification alternative auprès d'Event Hub lorsque votre règle de sécurité interdit le partage de la chaîne de connexion Event Hub. Laissez ce champ vide si vous fournissez la chaîne de connexion ci-dessus.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Méthode 2 : Azure Blob Storage V2

Utilisez cette méthode lorsque votre organisation conserve déjà les alertes Defender pour le cloud dans un espace de travail Log Analytics (pour des raisons de conformité ou de stockage à long terme) et que vous souhaitez que Google SecOps ingère les mêmes alertes à partir d'un compte de stockage Azure. L'exportation continue de Microsoft Defender pour le cloud n'écrit pas directement dans un compte de stockage. Cette méthode s'appuie donc sur la fonctionnalité standard d'exportation de données d'analyse des journaux pour stocker les alertes dans un stockage d'objets blob, d'où Google SecOps les lit.

Le chemin de données de bout en bout est le suivant :

  • Microsoft Defender pour le cloud > Exportation continue vers un espace de travail Log Analytics
  • La règle Exportation de données de l'espace de travail Analyse des journaux > écrit la table SecurityAlert dans un compte de stockage Azure (conteneur de blobs).
  • Le flux Google SecOps Azure Blob Storage V2 interroge le conteneur de blobs et ingère les nouvelles alertes.

Configurer Microsoft Defender pour le cloud afin de diffuser des alertes vers un espace de travail Log Analytics

  1. Connectez-vous au portail Azure.
  2. Recherchez et ouvrez Microsoft Defender pour le cloud.
  3. Dans le menu des ressources Defender for Cloud, sélectionnez Environment settings (Paramètres de l'environnement).
  4. Sélectionnez l'abonnement pour lequel vous souhaitez configurer l'exportation de données.
  5. Dans le menu des ressources, sous Paramètres, sélectionnez Exportation continue.
  6. Sélectionnez l'onglet Espace de travail Log Analytics.
  7. Fournissez les informations de configuration suivantes :
    • Exportation activée ? : activez cette option.
    • Dans la section Types de données exportés, sélectionnez Alertes de sécurité (et tous les autres types de données que vous souhaitez capturer).
    • Pour chaque type de données sélectionné, configurez les filtres de gravité selon vos besoins.
    • Dans la section Fréquence d'exportation, sélectionnez Streaming pour une exportation en temps quasi réel.
    • Dans la section Cible d'exportation, configurez la destination :
      • Cible d'exportation : sélectionnez Espace de travail Log Analytics.
      • Abonnement : sélectionnez l'abonnement qui contient l'espace de travail.
      • Espace de travail Log Analytics : sélectionnez un espace de travail existant ou créez-en un.

  8. Cliquez sur Enregistrer.

Créer un compte Azure Storage et un conteneur de blobs

  1. Sur le portail Azure, recherchez Comptes de stockage.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez l'abonnement qui contient l'espace de travail Log Analytics.
    Groupe de ressources Utilisez le même groupe de ressources que l'espace de travail (recommandé).
    Nom du compte de stockage Saisissez un nom unique (par exemple, secopsdefenderblob).
    Région Même région que l'espace de travail d'analyse de journaux (obligatoire pour l'exportation de données).
    Performances Standard
    Redondance LRS (stockage localement redondant) ou GRS, conformément à votre règle de durabilité.

  4. Cliquez sur Examiner et créer, puis sur Créer.

  5. Une fois le déploiement terminé, accédez au compte de stockage.

  6. Dans le menu de navigation de gauche, sélectionnez Conteneurs sous Stockage de données.

  7. Cliquez sur + Conteneur.

  8. Fournissez les informations de configuration suivantes :

    • Nom : saisissez un nom descriptif (par exemple, defender-cloud-alerts).
    • Niveau d'accès public : Privé (pas d'accès anonyme).

  9. Cliquez sur Créer.

Configurer une règle d'exportation de données Log Analytics

  1. Sur le portail Azure, ouvrez l'espace de travail Log Analytics que vous avez sélectionné comme cible d'exportation continue.
  2. Dans le menu de navigation de gauche, sélectionnez Exportation de données sous Paramètres.
  3. Cliquez sur + Nouvelle règle d'exportation.
  4. Fournissez les informations de configuration suivantes :
    • Nom de la règle : saisissez un nom descriptif (par exemple, defender-alerts-to-blob).
    • Source : sélectionnez la table SecurityAlert (la table utilisée par Defender for Cloud Continuous Export pour les alertes).
    • Type de destination : sélectionnez Compte de stockage.
    • Abonnement : sélectionnez l'abonnement qui contient le compte de stockage.
    • Compte de stockage : sélectionnez le compte de stockage que vous avez créé ci-dessus.

  5. Cliquez sur Créer.

Obtenir les identifiants du compte de stockage

Google SecOps s'authentifie auprès du compte de stockage à l'aide d'une clé d'accès partagée.

  1. Dans le compte de stockage, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
  2. Cliquez sur Afficher les clés.
  3. Recherchez key1 et copiez les valeurs suivantes :
    • Nom du compte de stockage : nom du compte de stockage que vous avez créé.
    • Clé : clé d'accès partagée de 512 bits (encodée en base64).
  4. Enregistrez ces valeurs de manière sécurisée.

Configurer un flux dans Google SecOps pour ingérer les alertes Microsoft Defender pour le cloud (méthode 2)

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Defender for Cloud Alerts - Blob).
  5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
  6. Sélectionnez Microsoft Defender pour le cloud comme Type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès au conteneur. Incluez la barre oblique finale.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Remplacez les éléments suivants :

      • <STORAGE_ACCOUNT> : nom de votre compte de stockage Azure (par exemple, secopsdefenderblob).
      • <CONTAINER> : nom du conteneur de blob où l'exportation de données d'analyse des journaux dépose les lignes SecurityAlert (par exemple, defender-cloud-alerts).

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :

      • Jamais : ne supprime jamais aucun fichier après le transfert (recommandé pour la configuration initiale et la conservation des audits).
      • Supprimer les fichiers transférés : supprime les fichiers une fois le transfert réussi.
      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides une fois le transfert réussi.

    • Âge maximal du fichier (jours) : incluez les fichiers modifiés au cours des derniers jours (la valeur par défaut est 180).

    • Clé partagée : saisissez la valeur de la clé d'accès partagée que vous avez récupérée à partir du compte de stockage.

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Table de mappage UDM

Champ du journal mappage UDM Logique
EndTimeLabel about.labels Fusionné
ProcessingEndTimeLabel about.labels Fusionné
StartTimeLabel about.labels Fusionné
TimeGeneratedLabel about.labels Fusionné
extendedLinkCategoryLabel about.labels Fusionné
extendedLinkLabel about.labels Fusionné
extendedLinkTypeLabel about.labels Fusionné
extendedlinkHrefLabel about.labels Fusionné
EndTimeLabel about.resource.attribute.labels Fusionné
ProcessingEndTimeLabel about.resource.attribute.labels Fusionné
StartTimeLabel about.resource.attribute.labels Fusionné
TimeGeneratedLabel about.resource.attribute.labels Fusionné
extendedLinkCategoryLabel about.resource.attribute.labels Fusionné
extendedLinkLabel about.resource.attribute.labels Fusionné
extendedLinkTypeLabel about.resource.attribute.labels Fusionné
extendedlinkHrefLabel about.resource.attribute.labels Fusionné
EndTimeLabel1 additional.fields Fusionné
IoTHub_ResourceId_label additional.fields Fusionné
IoTHub_Type_label additional.fields Fusionné
Protocols_label additional.fields Fusionné
RemediationSteps_label additional.fields Fusionné
Scopes_label additional.fields Fusionné
StartTimeLabel1 additional.fields Fusionné
TimeGeneratedLabel1 additional.fields Fusionné
account_type additional.fields Fusionné
alert_generation_status_label additional.fields Fusionné
bacnet_service_label additional.fields Fusionné
billed_size_label additional.fields Fusionné
category_label additional.fields Fusionné
event_data_info additional.fields Fusionné
extended_properties_device_id_label additional.fields Fusionné
ip_category additional.fields Fusionné
is_billable_label additional.fields Fusionné
is_learnable_label additional.fields Fusionné
item_id_label additional.fields Fusionné
key additional.fields Mappé : IpAddress → nic_sub_field
key_value additional.fields Fusionné
mode_label additional.fields Fusionné
nic_field additional.fields Fusionné
nic_sub_field additional.fields Fusionné
owner_label additional.fields Fusionné
processed_by_sentinel_label additional.fields Fusionné
protocol_label additional.fields Fusionné
provider_name_label additional.fields Fusionné
remediation_steps_label additional.fields Fusionné
role_label additional.fields Fusionné
service_object_type additional.fields Fusionné
techniques_label additional.fields Fusionné
tenantIdLabel additional.fields Fusionné
time_received_label additional.fields Fusionné
type_ext_label additional.fields Fusionné
type_label additional.fields Fusionné
value_label additional.fields Fusionné
authentication_type extensions.auth.auth_details Mappage direct
SensorId intermediary.hostname Mappage direct
record.TimeGenerated metadata.event_timestamp Analysé en tant que ISO8601
record.properties.Timestamp metadata.event_timestamp Analysé en tant que ISO8601
record.time metadata.event_timestamp Analysé en tant que ISO8601
has_principal metadata.event_type Mappé : true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Mappage direct
raw_event_id metadata.product_log_id Mappage direct
record.SystemAlertId metadata.product_log_id Mappage direct
record.alertId metadata.product_log_id Mappage direct
record.properties.extendedProperties.alert_Id metadata.product_log_id Mappage direct
product_name metadata.product_name Mappage direct
record.properties.productName metadata.product_name Mappage direct
vendor_name metadata.vendor_name Mappage direct
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Mappage direct
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Mappage direct
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Mappage direct
email_subject network.email.subject Fusionné
operation network.email.subject Mappé (tableau de conversion)
record.properties.UserAgent network.http.user_agent Mappage direct
user_agent network.http.user_agent Mappage direct
network_session_id network.session_id Mappage direct
record.ExtendedProperties.accountSessionId network.session_id Mappage direct
record.properties.RawEventData.ClientRequestId network.session_id Mappage direct
record.clientApplication principal.application Mappage direct
record.properties.extendedProperties.clientApplication principal.application Mappage direct
SourceDevice principal.asset.hostname Mappage direct
client_hostname principal.asset.hostname Mappage direct
compromised_hostname principal.asset.hostname Mappage direct
SourceDeviceAddress principal.asset.ip Mappé : expression régulière IPv4
clientIpAddress principal.asset.ip Fusionné
SourceComputerId principal.asset.product_object_id Mappage direct
SourceDevice principal.hostname Mappage direct
client_hostname principal.hostname Mappage direct
compromised_hostname principal.hostname Mappage direct
SourceDeviceAddress principal.ip Mappé : expression régulière IPv4
clientIpAddress principal.ip Fusionné
alertLabel principal.labels Fusionné
cityLabel principal.location.city Mappage direct
record.properties.City principal.location.city Mappage direct
countryLabel principal.location.country_or_region Mappage direct
record.clientIpLocation principal.location.country_or_region Mappage direct
record.clientLocation principal.location.country_or_region Mappage direct
record.properties.clientLocation principal.location.country_or_region Mappage direct
record.properties.extendedProperties.clientLocation principal.location.country_or_region Mappage direct
isp principal.location.name Mappage direct
entity.location.latitude principal.location.region_coordinates.latitude Mappage direct
entity.location.longitude principal.location.region_coordinates.longitude Mappage direct
os_platform principal.platform Mappé : iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Mappage direct
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Mappage direct
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Mappage direct
record.ExtendedProperties.suspiciousProcessId principal.process.pid Mappage direct
account_id principal.resource.attribute.labels Fusionné
account_object_id principal.resource.attribute.labels Fusionné
alertLabel principal.resource.attribute.labels Fusionné
alertLabel1 principal.resource.attribute.labels Fusionné
app_instance_id principal.resource.attribute.labels Fusionné
compromisedEntityLabel principal.resource.attribute.labels Fusionné
compromisedEntityLabel1 principal.resource.attribute.labels Fusionné
correlationKeyLabel principal.resource.attribute.labels Fusionné
effectiveSubscriptionIdLabel principal.resource.attribute.labels Fusionné
object_id principal.resource.attribute.labels Fusionné
object_name principal.resource.attribute.labels Fusionné
object_type principal.resource.attribute.labels Fusionné
potential_causes principal.resource.attribute.labels Fusionné
productComponentNameLabel principal.resource.attribute.labels Fusionné
sql_instance_name_label principal.resource.attribute.labels Fusionné
sql_server_name_label principal.resource.attribute.labels Fusionné
supporting_evidence_label principal.resource.attribute.labels Fusionné
system_alert_id_label principal.resource.attribute.labels Fusionné
zone_interface_label principal.resource.attribute.labels Fusionné
record.properties.extendedProperties.resourceType principal.resource.name Mappage direct
resourceType principal.resource.name Mappage direct
record.ResourceId principal.resource.product_object_id Mappage direct
mailbox_owner_upn principal.user.email_addresses Fusionné
principal_user_display_name principal.user.user_display_name Mappage direct
record.ExtendedProperties.userName principal.user.user_display_name Mappage direct
client_user principal.user.userid Mappage direct
principal_userid principal.user.userid Mappage direct
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Mappage direct
action security_result.action Fusionné
operation security_result.action Mappé (tableau de conversion)
tacticsLabel security_result.attack_details.tactics Fusionné
category_details_label security_result.category_details Fusionné
threat_category security_result.category_details Fusionné
record.Description security_result.description Mappage direct
record.properties.description security_result.description Mappage direct
KindLabel security_result.detection_fields Fusionné
action_type security_result.detection_fields Fusionné
application_id security_result.detection_fields Fusionné
device_type security_result.detection_fields Fusionné
field security_result.detection_fields Fusionné
incidentdetectionfields security_result.detection_fields Fusionné
incidentdetectionfields1 security_result.detection_fields Fusionné
intent_label security_result.detection_fields Fusionné
is_admin_operation_label security_result.detection_fields Fusionné
is_impersonated_label security_result.detection_fields Fusionné
is_new_label security_result.detection_fields Fusionné
operation security_result.detection_fields Mappé : MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Fusionné
sourcesystemdetectionfields security_result.detection_fields Fusionné
statusdetectionfields security_result.detection_fields Fusionné
statusdetectionfields1 security_result.detection_fields Fusionné
trojan_script_malgent_msr_label security_result.detection_fields Fusionné
vendor_original_id_label security_result.detection_fields Fusionné
violation_count_label security_result.detection_fields Fusionné
report_id security_result.rule_id Mappage direct
alertDisplayName security_result.rule_name Mappage direct
record.AlertName security_result.rule_name Mappage direct
alert_severity security_result.severity Mappage direct
severity security_result.severity Mappage direct
alert_severity security_result.severity_details Mappage direct
record.properties.severity security_result.severity_details Mappage direct
record.DisplayName security_result.summary Mappage direct
summary security_result.summary Mappage direct
record.AlertType security_result.threat_name Mappage direct
record.properties.alertType security_result.threat_name Mappage direct
AlertManagementUri security_result.url_back_to_product Mappage direct
record.properties.RawEventData.Folder.Path src.resource.name Mappage direct
record.properties.RawEventData.Folder.Id src.resource.product_object_id Mappage direct
application target.application Mappage direct
DestinationDevice target.asset.hostname Mappage direct
record.ExtendedProperties.compromisedHost target.asset.hostname Mappage direct
DestinationDeviceAddress target.asset.ip Mappé : expression régulière IPv4
CompromisedEntityId target.asset.product_object_id Mappage direct
file_name target.file.names Fusionné
operation target.file.names Mappé (tableau de conversion)
operation target.file.size Mappé (tableau de conversion)
record.properties.RawEventData.Item.SizeInBytes target.file.size Mappage direct
DestinationDevice target.hostname Mappage direct
originating_server target.hostname Mappage direct
record.ExtendedProperties.compromisedHost target.hostname Mappage direct
DestinationDeviceAddress target.ip Mappé : expression régulière IPv4
target_process_command_line target.process.command_line Mappage direct
target_process_file target.process.file.full_path Mappage direct
target_process_id target.process.pid Mappage direct
workspaceLabel target.resource.attribute.labels Fusionné
workspaceResourceGroupLabel target.resource.attribute.labels Fusionné
AzureResourceId target.resource.id Mappage direct
record.properties.RawEventData.DestFolder.Path target.resource.name Mappage direct
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Mappage direct
record._Internal_WorkspaceResourceId target.resource.product_object_id Mappage direct
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Mappage direct
record.properties.RawEventData.Item.Id target.resource.product_object_id Mappage direct
operation target.user.email_addresses Mappé (tableau de conversion)
target_user target.user.email_addresses Mappé : expression régulière d'adresse e-mail
N/A metadata.event_type Constante : NETWORK_CONNECTION
N/A metadata.product_name Constante : MICROSOFT_DEFENDER_CLOUD_ALERTS
N/A metadata.vendor_name Constante : MICROSOFT_DEFENDER_CLOUD_ALERTS
N/A principal.platform Constante : MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Entity.FriendlyName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity.EntityIds event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.ExtendedProperties event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entities.FriendlyName event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Mappé à partir du journal des modifications
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Mappé à partir du journal des modifications
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Mappé à partir du journal des modifications
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Mappé à partir du journal des modifications
Entities.ResourceName event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Mappé à partir du journal des modifications
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Mappé à partir du journal des modifications
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Mappé à partir du journal des modifications
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Mappé à partir du journal des modifications
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Mappé à partir du journal des modifications
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Mappé à partir du journal des modifications
Type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Mappé à partir du journal des modifications
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Mappé à partir du journal des modifications
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Mappé à partir du journal des modifications
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Mappé à partir du journal des modifications
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Mappé à partir du journal des modifications
Properties.displayName event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Mappé à partir du journal des modifications
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Mappé à partir du journal des modifications
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Mappé à partir du journal des modifications
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
RecommendationDisplayName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation DisplayName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationSeverity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Severity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecommendationState event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation State event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RemediationDescription event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Remediation_Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SourceSystem event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Source System event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_ItemId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Item Id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Metadata Display Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Assessment Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Policy Definition Id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Metadata Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Remediation Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Preview event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Metadata Severity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
User Impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Implementation Effort event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Public Publish Date event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Management Provider event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Security Issue event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Recommendation Category event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_IsBillable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Is Billable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_BilledSize event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Billed Size event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IsSnapshot event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Is Snapshot event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ResourceTenantId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Resource Tenant ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Has Baseline event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.query event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Query event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Additional Remediation Description event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Remediation Query event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Benchmark Reference event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
First Evaluation Date event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Native Resource ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
benchmarks.json_array2.item.benchmark Benchmark clé à event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.securityCategories Security Categories clé à event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.metadata_data.categories Metadata Categories clé à event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
Properties.status.code event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
Status Code event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
status_cause event.idm.read_only_udm.security_result.outcomes Mappé à partir du journal des modifications
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Resource Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Mappé à partir du journal des modifications
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Mappé à partir du journal des modifications
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
SourceDeviceAddress event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
DestinationDeviceAddress event.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
SourceDevice event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
SourceDevice event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
DestinationDevice event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
DestinationDevice event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Mappé à partir du journal des modifications
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Mappé à partir du journal des modifications
SensorId event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
Category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Mappé à partir du journal des modifications
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ViolationCount event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
isNew event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.ProviderName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProviderName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DeviceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_TimeReceived event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
BACnet Service event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
bacnet_service event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Protocol event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
isLearnable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RemediationSteps event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Techniques event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Alert generation status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProcessedBySentinel event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.Entities event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub.Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Owners event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Nics event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Protocols event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Protocols_%{index} event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Mappé à partir du journal des modifications
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Mappé à partir du journal des modifications
record.properties.ISP event.idm.read_only_udm.principal.location.name Mappé à partir du journal des modifications
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
record.properties.Application event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.