איסוף התראות מ-Microsoft Defender ל-Cloud

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע התראות של Microsoft Defender for Cloud (לשעבר Azure Security Center) ב-Google Security Operations. אפשר להגדיר את ההטמעה באמצעות שתי שיטות נתמכות:

• שיטה 1: Azure Event Hub (מומלצת): תכונת הייצוא המתמשך של Defender for Cloud מעבירה התראות ישירות ל-Azure Event Hub, ומשם Google SecOps קולט אותן כמעט בזמן אמת.
• שיטה 2: Azure Blob Storage V2: תכונת הייצוא הרציף של Defender for Cloud מעבירה התראות לסביבת עבודה של Log Analytics, כלל ייצוא נתונים של Log Analytics כותב אותן לחשבון Azure Storage, ו-Google SecOps מטמיע אותן ממאגר ה-Blob לפי לוח זמנים של שליפת נתונים.

‫Microsoft Defender ל-Cloud היא פלטפורמה להגנה על אפליקציות מבוססות-ענן, שמספקת ניהול אבטחה מאוחד והגנה מפני איומים בעומסי עבודה (workloads) ב-Azure, בסביבות היברידיות ובסביבות מרובות עננים.

הערה: תווית הטמעה מזהה את מנתח הנתונים שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תווית ההטמעה MICROSOFT_DEFENDER_CLOUD_ALERTS.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

• משותף לשתי השיטות:

  • מופע של Google SecOps.
  • גישה עם הרשאות לפורטל Microsoft Azure:
    • הגדרת ייצוא רציף במינוי ל-Microsoft Defender for Cloud.
  • תפקיד Security Admin או בעלים במינוי Azure שכולל את Microsoft Defender for Cloud.
  • ‫Microsoft Defender for Cloud מופעל במינוי עם לפחות תוכנית Defender אחת פעילה.

• דרישות מוקדמות נוספות לשיטה 1 (Azure Event Hub):

  • הרשאות ליצירת מרחבי שמות של Event Hub ו-Event Hubs ולניהול מדיניות הגישה של Event Hub.
  • הרשאות כתיבה במדיניות של Event Hub (נדרש לייצוא רציף).

• דרישות מוקדמות נוספות לשיטה 2 (Azure Blob Storage V2):

  • הרשאות ליצור או לנהל סביבת עבודה של Log Analytics וליצור בה כללים לייצוא נתונים.
  • הרשאות ליצירת חשבון Azure Storage עם מאגר Blob ולאחזור מפתחות הגישה שלו.

הערה: בכל מופע של Google SecOps אפשר ליצור עד 10 פידים של Azure Event Hub, כולל פידים פעילים ופידים לא פעילים. פרטים על ההגדרה של פיד קנוני של Azure Event Hub זמינים במאמר יצירת פיד של Azure Event Hub.

שיטה 1: Azure Event Hub (מומלץ)

משתמשים בשיטה הזו כשרוצים להטמיע התראות של Defender for Cloud כמעט בזמן אמת, ויש לכם אפשרות להעניק ל-Google SecOps גישה ל-Azure Event Hub.

יצירת מרחב שמות של Event Hub

מרחב שמות של Event Hub הוא מאגר ניהול של Event Hub אחד או יותר.

1. ב-Azure portal, מחפשים את Event Hubs.
2. לוחצים על ‎+ Create.

3. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   מינוי	בוחרים את המינוי שמכיל את Microsoft Defender for Cloud.
   קבוצת משאבים	בוחרים באפשרות 'קיים' או 'יצירת חדש'.
   שם מרחב השמות	מזינים שם ייחודי (לדוגמה, secops-defender-ns).
   Location	בוחרים את אותו אזור כמו מופע Google SecOps (פריסה באזור אחר מקטינה את קצב ההעברה).
   רמת מחיר	רגיל (מומלץ לשימוש בסביבת ייצור).
   יחידות של קצב העברת נתונים	מתחילים עם 1, מפעילים את הניפוח האוטומטי (מומלץ).

4. לוחצים על בדיקה + יצירה.

5. בודקים את הסקירה הכללית ולוחצים על יצירה.

6. ממתינים לסיום הפריסה (דקה עד שתיים).

   הערה: יחידת תפוקה אחת (TU) תומכת בהטמעה של עד 1MB לשנייה של נתונים (1MB/s כניסה, 2MB/s יציאה). אם נפח האירועים הנכנסים חורג מהקיבולת של יחידות העיבוד שהוגדרו, יכול להיות ש-Event Hub יקרוס והיומנים יאבדו לפני שהם יגיעו ל-Google SecOps. מפעילים את האפשרות הגדלה אוטומטית כדי להגדיל את נפח התפוקה באופן אוטומטי ככל שנפח ההתראות גדל.

יצירת מרכז אירועים

1. אחרי פריסת מרחב השמות, עוברים למרחב השמות של Event Hub.
2. בחלונית הימנית, בוחרים באפשרות Event Hubs (מרכזי אירועים) בקטע Entities (ישויות).
3. לוחצים על + מרכז אירועים.

4. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   שם	מזינים שם ייחודי שתואם לסוג היומן (לדוגמה, defender-cloud-alerts). כדי למנוע מהמערכת ליצור רכזות אירועים נוספות, חשוב לא להשאיר את השדה ריק במהלך ההגדרה של Defender Continuous Export.
   מספר המחיצות	‫40 (מומלץ לאופטימיזציה של ההתאמה של Google SecOps לצרכים שלכם).
   שמירת הודעות	‫7 ימים לפחות. כדאי להגדיר את תקופת השמירה הארוכה ביותר שאתם יכולים להרשות לעצמכם, כדי שהיומנים לא יימחקו לפני שההטמעה תתחדש אחרי הגבלת המהירות בגלל חריגה מהמכסה.
   צילום	מושבת (לא נדרש להעברה ישירה של נתונים ל-Event Hub).

5. לוחצים על יצירה.

   הערה: מומלץ להשתמש במספר המחיצות של 40 בפידים של Google SecOps. אי אפשר לשנות את ההגדרה הזו בהמשך במהדורות Standard ו-Basic.

קבלת מחרוזת חיבור ל-Event Hub

כדי לבצע אימות ל-Event Hub, צריך מחרוזת חיבור ל-Google SecOps.

אפשרות א': מחרוזת חיבור ברמת מרחב השמות (מומלץ)

1. עוברים אל מרחב השמות של Event Hub.
2. בתפריט הניווט הימני, בוחרים באפשרות מדיניות של גישה משותפת בקטע הגדרות.
3. לוחצים על מדיניות ברירת המחדל RootManageSharedAccessKey.
4. מעתיקים את מחרוזת החיבור – מפתח ראשי.

5. חשוב לשמור את מחרוזת החיבור הזו באופן מאובטח.

   חשוב: כשמשתמשים במחרוזת חיבור ברמת מרחב השמות, צריך להסיר את הפרמטר EntityPath לפני שמספקים אותה ל-Google SecOps.

   לדוגמה:

   Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts
   
   Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==
   

אפשרות ב': מחרוזת חיבור ברמת Event Hub

1. עוברים אל Event Hub (לא אל מרחב השמות).
2. בתפריט הניווט הימני, בוחרים באפשרות מדיניות של גישה משותפת בקטע הגדרות.
3. לוחצים על + הוספה כדי ליצור מדיניות חדשה.
4. מספקים את פרטי ההגדרה הבאים:
   • שם המדיניות: מזינים שם תיאורי (לדוגמה, chronicle-listen).
   • הרשאות: בוחרים באפשרות האזנה בלבד (גישה לקריאה בלבד).
5. לוחצים על יצירה.
6. לוחצים על המדיניות החדשה שנוצרה.
7. מעתיקים את מחרוזת החיבור – מפתח ראשי.

8. חשוב לשמור את מחרוזת החיבור הזו באופן מאובטח.

   הערה: מחרוזות חיבור ברמת Event Hub כבר כוללות את הפרמטר EntityPath, כך שאין צורך לבצע שינוי.

הגדרת Microsoft Defender ל-Cloud כדי להזרים התראות ל-Event Hub

‫Microsoft Defender for Cloud משתמש בתכונה ייצוא רציף כדי להזרים התראות והמלצות ל-Event Hub כשהן נוצרות.

1. נכנסים ל-Azure portal.
2. מחפשים את Microsoft Defender for Cloud ופותחים אותו.
3. בתפריט המשאבים של Defender for Cloud, בוחרים באפשרות הגדרות סביבה.
4. בוחרים את המינוי שעבורו רוצים להגדיר ייצוא נתונים.
5. בתפריט המשאבים בקטע הגדרות, בוחרים באפשרות ייצוא רציף.
6. לוחצים על הכרטיסייה מרכז אירועים.
7. מספקים את פרטי ההגדרה הבאים:
   • האם הייצוא מופעל?: מעבירים את המתג למצב מופעל.
   • בקטע סוגי הנתונים שיוצאו, בוחרים את סוגי הנתונים שרוצים לייצא. כדי לאסוף התראות אבטחה, מסמנים את תיבות הסימון הבאות:
     • התראות אבטחה
     • (אופציונלי) המלצות אבטחה, ציון אבטחה, עמידה בתקנות, נתיבי תקיפה וסוגים אחרים לפי הצורך
   • לכל סוג נתונים שנבחר, מגדירים מסננים (לדוגמה, ייצוא רק של רמות החומרה נמוכה, בינונית, גבוהה או של כל רמות החומרה).
   • בקטע תדירות הייצוא, בוחרים את התדירות:
     • סטרימינג: שליחת התראות בזמן שהן נוצרות (מומלץ ל-Google SecOps).
     • תמונות מצב: שליחה של תמונת מצב שבועית של המצב הנוכחי (לשימוש רק בדיווח תקופתי).
   • בקטע יעד לייצוא, מגדירים את היעד:
     • יעד ייצוא: בוחרים באפשרות מרכז אירועים.
     • מינוי: בוחרים את המינוי שמכיל את מרחב השמות של Event Hub.
     • Event hub namespace (מרחב שמות של מרכז אירועים): בוחרים באפשרות secops-defender-ns (או במרחב השמות שיצרתם קודם).
     • שם מרכז האירועים: בוחרים באפשרות defender-cloud-alerts (או במרכז האירועים שיצרתם קודם). תמיד צריך לבחור Event Hub קיים. אם משאירים את השדה הזה ריק, המערכת יוצרת עוד Event Hubs, ויכול להיות שתחרגו מהמכסה של הפיד.
     • שם המדיניות של Event Hub: בוחרים באפשרות RootManageSharedAccessKey או במדיניות מותאמת אישית עם הרשאות שליחה.

8. לוחצים על Save.

   הערה: הייצוא הרציף מתחיל להזרים התראות חדשות באופן מיידי. התראות קיימות שנוצרו לפני הפעלת הייצוא הרציף לא מיוצאות רטרואקטיבית. לייצוא היסטורי, אפשר לעיין במסמכי העזרה של Microsoft Defender ל-Cloud.

(אופציונלי) יצירת קבוצת צרכנים ייעודית

כברירת מחדל, Event Hub מספק קבוצת צרכנים בשם $Default. בסביבות ייצור, מומלץ ליצור קבוצת צרכנים ייעודית ל-Google SecOps.

1. עוברים אל Event Hub (לא אל מרחב השמות).
2. בתפריט הניווט הימני, בוחרים באפשרות קבוצות צרכנים בקטע ישויות.
3. לוחצים על + קבוצת צרכנים.
4. מספקים את פרטי ההגדרה הבאים:
   • שם: מזינים שם תיאורי (לדוגמה, chronicle).

5. לוחצים על יצירה.

   הערה: אם יוצרים קבוצה ייעודית של לקוחות, צריך לציין אותה כשיוצרים את הפיד ב-Google SecOps. אחרת, צריך להשתמש ב$Default קבוצת הצרכנים שמוגדרת כברירת מחדל.
   זהירות: אל תיצרו מנויים נוספים בקבוצת הצרכנים של Google SecOps, ואל תאחזרו נתונים באופן פרוגרמטי דרך הכרטיסייה Data Explorer בפורטל Azure בזמן שהיא בשימוש. כל אחת מהפעולות האלה עלולה לגרום לאובדן נתונים, כי ההיסטים של קבוצת הצרכנים ב-Event Hub מתקדמים ככל שהנתונים נקראים.

הגדרה של פיד ב-Google SecOps להטמעה של התראות מ-Microsoft Defender for Cloud (שיטה 1)

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Microsoft Defender for Cloud Alerts).
5. בוחרים באפשרות Microsoft Azure Event Hub בתור סוג המקור.
6. בוחרים באפשרות Microsoft Defender For Cloud בתור סוג היומן.
7. לוחצים על הבא.

8. מציינים ערכים לפרמטרים הבאים של הקלט:

   • שם מרכז האירועים: מזינים את שם מרכז האירועים (לדוגמה, defender-cloud-alerts).
   • ‫Event Hub Consumer Group (קבוצת צרכנים של Event Hub): מזינים את השם של קבוצת הצרכנים.
     • משתמשים ב-$Default לקבוצת הצרכנים שמוגדרת כברירת מחדל.
     • אם יצרתם קבוצת צרכנים ייעודית, מזינים את השם שלה (לדוגמה, chronicle).

   • מחרוזת חיבור ל-Event Hub: מזינים את מחרוזת החיבור ל-Event Hub ששמרתם קודם.

     אם משתמשים במחרוזת חיבור ברמת מרחב השמות:

     • חשוב לוודא שהסרתם את הפרמטר EntityPath.

     אם משתמשים במחרוזת חיבור ברמת מרכז האירועים: - משתמשים במחרוזת החיבור כמו שהיא (כולל EntityPath).

   • ‫Azure Storage Connection String (מחרוזת חיבור ל-Azure Storage) (אופציונלי): שדה מדור קודם לאחסון של נקודות ביקורת של Event Hub; משאירים אותו ריק.

   • Azure Storage Container Name (שם מאגר ב-Azure Storage) (אופציונלי): שדה מדור קודם לאחסון של נקודות ביקורת של Event Hub. צריך להשאיר אותו ריק.

   • Azure SAS Token (אופציונלי): אימות חלופי ל-Event Hub אם מדיניות האבטחה שלכם אוסרת על שיתוף המחרוזת לחיבור ל-Event Hub. אם מספקים את המחרוזת לחיבור למעלה, משאירים את השדה הזה ריק.

   • מרחב השמות של הנכס: מרחב השמות של הנכס.

   • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.

   הערה: Google SecOps מנהל את יצירת נקודות הבדיקה שלו עבור פידים של Azure Event Hub. נדרש רק מחרוזת החיבור של Event Hub (או אסימון SAS של Azure במקומה). השדות מחרוזת החיבור של Azure Storage ושם מאגר Azure Storage הם שדות של נקודות ביקורת מדור קודם שלא משפיעים על ההטמעה, ולכן צריך להשאיר אותם ריקים בהטמעות רגילות.

9. לוחצים על הבא.

10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

    הערה: אחרי שיוצרים את הפיד, יכול להיות שיחלפו דקה או שתיים לפני שההתראות יתחילו להופיע ב-Google SecOps.

שיטה 2: Azure Blob Storage V2

משתמשים בשיטה הזו אם הארגון כבר שומר התראות של Defender for Cloud בסביבת עבודה של Log Analytics (לצורך תאימות או אחסון לטווח ארוך) ורוצים ש-Google SecOps יקבל את אותן התראות מחשבון Azure Storage. הייצוא הרציף של Microsoft Defender for Cloud לא כותב ישירות לחשבון אחסון, ולכן השיטה הזו מסתמכת על התכונה הרגילה ייצוא נתונים של Log Analytics כדי להעביר התראות לאחסון Blob, שממנו Google SecOps קורא אותן.

נתיב הנתונים מקצה לקצה הוא:

• ‫Microsoft Defender ל-Cloud > ייצוא רציף אל סביבת עבודה של Log Analytics
• כלל ייצוא הנתונים של סביבת העבודה Log Analytics כותב את הטבלה SecurityAlert אל חשבון Azure Storage (מאגר Blob)
• פיד Google SecOps Azure Blob Storage V2 סורק את מאגר ה-Blob ומטמיע התראות חדשות

הגדרת Microsoft Defender ל-Cloud להזרמת התראות לסביבת עבודה של Log Analytics

1. נכנסים ל-Azure portal.
2. מחפשים את Microsoft Defender for Cloud ופותחים אותו.
3. בתפריט המשאבים של Defender for Cloud, בוחרים באפשרות הגדרות סביבה.
4. בוחרים את המינוי שעבורו רוצים להגדיר ייצוא נתונים.
5. בתפריט המשאבים בקטע הגדרות, בוחרים באפשרות ייצוא רציף.
6. לוחצים על הכרטיסייה Log Analytics workspace (סביבת עבודה של Log Analytics).
7. מספקים את פרטי ההגדרה הבאים:
   • האם הייצוא מופעל?: מעבירים את המתג למצב מופעל.
   • בקטע סוגי נתונים שיוצאו, בוחרים באפשרות התראות אבטחה (ובכל סוג נתונים אחר שרוצים לתעד).
   • לכל סוג נתונים שנבחר, מגדירים מסנני חומרה לפי הצורך.
   • בקטע Export frequency (תדירות הייצוא), בוחרים באפשרות Streaming (סטרימינג) כדי לייצא כמעט בזמן אמת.
   • בקטע יעד לייצוא, מגדירים את היעד:
     • יעד הייצוא: בוחרים באפשרות סביבת עבודה של Log Analytics.
     • מינוי: בוחרים את המינוי שמכיל את סביבת העבודה.
     • סביבת עבודה של Log Analytics: בוחרים סביבת עבודה קיימת או יוצרים סביבת עבודה חדשה.

8. לוחצים על Save.

   הערה: התכונה 'ייצוא רציף' מעבירה רק התראות שנוצרו אחרי שההגדרה הופעלה. אי אפשר לייצא התראות קיימות באופן רטרואקטיבי.

יצירת חשבון אחסון ומאגר Blob ב-Azure

1. ב-Azure portal, מחפשים Storage accounts.
2. לוחצים על ‎+ Create.

3. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   מינוי	בוחרים את המינוי שמכיל את סביבת העבודה של Log Analytics.
   קבוצת משאבים	שימוש באותה קבוצת משאבים כמו סביבת העבודה (מומלץ).
   שם חשבון האחסון	מזינים שם ייחודי (לדוגמה, secopsdefenderblob).
   אזור	אותו אזור כמו סביבת העבודה של Log Analytics (נדרש לייצוא נתונים).
   ביצועים	רגיל.
   יתירות	LRS (אחסון עם יתירות מקומית) או GRS, בהתאם למדיניות העמידות שלכם.

4. לוחצים על בדיקה + יצירה ואז על יצירה.

5. אחרי הפריסה, עוברים לחשבון האחסון.

6. בתפריט הניווט הימני, בקטע אחסון נתונים, בוחרים באפשרות מאגרי נתונים.

7. לוחצים על + מאגר תגים.

8. מספקים את פרטי ההגדרה הבאים:

   • שם: מזינים שם תיאורי (לדוגמה, defender-cloud-alerts).
   • רמת הגישה הציבורית: פרטית (ללא גישה אנונימית).

9. לוחצים על יצירה.

   הערה: כלי הייצוא של נתוני Log Analytics יוצר blob אחד לכל SecurityAlert קבוצת שורות בטבלה, שמסודר לפי קידומת תאריך. אל תמחקו את מאגר הנתונים או את הגדרות מחזור החיים שלו בזמן ש-Google SecOps קורא ממנו.

הגדרת כלל לייצוא נתונים ב-Log Analytics

1. ב-Azure portal, פותחים את סביבת העבודה של Log Analytics שבחרתם כיעד של הייצוא הרציף.
2. בתפריט הניווט הימני, בקטע הגדרות, לוחצים על ייצוא נתונים.
3. לוחצים על + כלל ייצוא חדש.
4. מספקים את פרטי ההגדרה הבאים:
   • שם הכלל: מזינים שם תיאורי (לדוגמה, defender-alerts-to-blob).
   • מקור: בוחרים את הטבלה SecurityAlert (הטבלה שבה נעשה שימוש בייצוא הרציף של Defender for Cloud להתראות).
   • סוג היעד: בוחרים באפשרות חשבון אחסון.
   • מינוי: בוחרים את המינוי שכולל את חשבון האחסון.
   • חשבון אחסון: בוחרים את חשבון האחסון שיצרתם למעלה.

5. לוחצים על יצירה.

   הערה: ייצוא הנתונים חייב לפעול באותו אזור שבו נמצאים Workspace וחשבון האחסון. מערכת Azure דוחה כללים חוצי-אזורים. רשימת העמודות של SecurityAlert שמיוצאות מופיעה במאמר Log Analytics Data Export documentation
   .

קבלת פרטי הכניסה לחשבון האחסון

מערכת Google SecOps מבצעת אימות לחשבון האחסון באמצעות מפתח גישה משותף.

1. בחשבון האחסון, בוחרים באפשרות מפתחות גישה בקטע אבטחה + רשת.
2. לוחצים על הצגת מקשים.
3. מחפשים את key1 ומעתיקים את הערכים הבאים:
   • שם חשבון האחסון: השם של חשבון האחסון שיצרתם.
   • ‫Key (מפתח): מפתח הגישה המשותף (בקידוד base64) בגודל 512 ביט.
4. חשוב לשמור את הערכים האלה בצורה מאובטחת.

הערה: צריך להשתמש במפתח גישה משותף, ולא באסימון חתימת גישה משותפת (SAS), בחשבון משתמש ב-Azure AD או במחרוזת חיבור מלאה – הפיד AZURE_BLOBSTORE_V2 מאומת רק באמצעות מפתח גישה משותף.

הגדרת פיד ב-Google SecOps להטמעה של התראות מ-Microsoft Defender for Cloud (שיטה 2)

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Microsoft Defender for Cloud Alerts - Blob).
5. בוחרים באפשרות Microsoft Azure Blob Storage V2 בתור סוג המקור.
6. בוחרים באפשרות Microsoft Defender For Cloud בתור סוג היומן.
7. לוחצים על הבא.

8. מציינים ערכים לפרמטרים הבאים של הקלט:

   • ‫Azure URI: מזינים את כתובת ה-URL של נקודת הקצה של Blob Service עם נתיב המאגר. חשוב לכלול את הלוכסן בסוף.

     https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/
     

     מחליפים את מה שכתוב בשדות הבאים:

     • ‫<STORAGE_ACCOUNT>: השם של חשבון האחסון שלכם ב-Azure (לדוגמה, secopsdefenderblob).
     • ‫<CONTAINER>: שם קובץ ה-Blob שבו נשמרות הSecurityAlertשורות של ייצוא הנתונים מ-Log Analytics‏ (לדוגמה, defender-cloud-alerts).

   • אפשרות למחיקת מקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם:

     • אף פעם: אף קובץ לא נמחק אחרי ההעברה (מומלץ להגדרה ראשונית ולשמירה לצורכי ביקורת).
     • מחיקת קבצים שהועברו: מחיקת קבצים אחרי שההעברה מסתיימת בהצלחה.
     • מחיקת קבצים שהועברו ותיקיות ריקות: מחיקת קבצים ותיקיות ריקות אחרי שההעברה מסתיימת.
     הערה: אם בוחרים באפשרות מחיקה שמסירה קבצים, צריך לוודא שלמפתח הגישה המשותף יש הרשאות מחיקה במאגר.

   • הגיל המקסימלי של הקובץ (ימים): כולל קבצים ששונו במהלך מספר הימים האחרון (ברירת המחדל היא 180).

   • מפתח משותף: מזינים את ערך מפתח הגישה המשותף ששמרתם מחשבון האחסון.

   • מרחב השמות של הנכס: מרחב השמות של הנכס.

   • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.

9. לוחצים על הבא.

10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

    הערה: Google SecOps מבצע סקר של מאגר ה-blob לפי לוח זמנים מנוהל. האירועים הראשונים צפויים להופיע תוך 15 עד 30 דקות אחרי שהפיד הופך לפעיל, בהתאם למהירות שבה כלי הייצוא של נתוני Log Analytics מרוקן שורות חדשות של SecurityAlert אל חשבון האחסון.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
EndTimeLabel	about.labels	ממוזג
ProcessingEndTimeLabel	about.labels	ממוזג
StartTimeLabel	about.labels	ממוזג
TimeGeneratedLabel	about.labels	ממוזג
extendedLinkCategoryLabel	about.labels	ממוזג
extendedLinkLabel	about.labels	ממוזג
extendedLinkTypeLabel	about.labels	ממוזג
extendedlinkHrefLabel	about.labels	ממוזג
EndTimeLabel	about.resource.attribute.labels	ממוזג
ProcessingEndTimeLabel	about.resource.attribute.labels	ממוזג
StartTimeLabel	about.resource.attribute.labels	ממוזג
TimeGeneratedLabel	about.resource.attribute.labels	ממוזג
extendedLinkCategoryLabel	about.resource.attribute.labels	ממוזג
extendedLinkLabel	about.resource.attribute.labels	ממוזג
extendedLinkTypeLabel	about.resource.attribute.labels	ממוזג
extendedlinkHrefLabel	about.resource.attribute.labels	ממוזג
EndTimeLabel1	additional.fields	ממוזג
IoTHub_ResourceId_label	additional.fields	ממוזג
IoTHub_Type_label	additional.fields	ממוזג
Protocols_label	additional.fields	ממוזג
RemediationSteps_label	additional.fields	ממוזג
Scopes_label	additional.fields	ממוזג
StartTimeLabel1	additional.fields	ממוזג
TimeGeneratedLabel1	additional.fields	ממוזג
account_type	additional.fields	ממוזג
alert_generation_status_label	additional.fields	ממוזג
bacnet_service_label	additional.fields	ממוזג
billed_size_label	additional.fields	ממוזג
category_label	additional.fields	ממוזג
event_data_info	additional.fields	ממוזג
extended_properties_device_id_label	additional.fields	ממוזג
ip_category	additional.fields	ממוזג
is_billable_label	additional.fields	ממוזג
is_learnable_label	additional.fields	ממוזג
item_id_label	additional.fields	ממוזג
key	additional.fields	מיפוי: IpAddress → nic_sub_field
key_value	additional.fields	ממוזג
mode_label	additional.fields	ממוזג
nic_field	additional.fields	ממוזג
nic_sub_field	additional.fields	ממוזג
owner_label	additional.fields	ממוזג
processed_by_sentinel_label	additional.fields	ממוזג
protocol_label	additional.fields	ממוזג
provider_name_label	additional.fields	ממוזג
remediation_steps_label	additional.fields	ממוזג
role_label	additional.fields	ממוזג
service_object_type	additional.fields	ממוזג
techniques_label	additional.fields	ממוזג
tenantIdLabel	additional.fields	ממוזג
time_received_label	additional.fields	ממוזג
type_ext_label	additional.fields	ממוזג
type_label	additional.fields	ממוזג
value_label	additional.fields	ממוזג
authentication_type	extensions.auth.auth_details	מיפוי ישיר
SensorId	intermediary.hostname	מיפוי ישיר
record.TimeGenerated	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
record.properties.Timestamp	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
record.time	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, ‏ true ← STATUS_UPDATE
record.operationName	metadata.product_event_type	מיפוי ישיר
raw_event_id	metadata.product_log_id	מיפוי ישיר
record.SystemAlertId	metadata.product_log_id	מיפוי ישיר
record.alertId	metadata.product_log_id	מיפוי ישיר
record.properties.extendedProperties.alert_Id	metadata.product_log_id	מיפוי ישיר
product_name	metadata.product_name	מיפוי ישיר
record.properties.productName	metadata.product_name	מיפוי ישיר
vendor_name	metadata.vendor_name	מיפוי ישיר
record.properties.RawEventData.AffectedItems.0.InternetMessageId	network.email.mail_id	מיפוי ישיר
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId	network.email.mail_id	מיפוי ישיר
record.properties.RawEventData.Item.InternetMessageId	network.email.mail_id	מיפוי ישיר
email_subject	network.email.subject	ממוזג
operation	network.email.subject	ממופה (טבלת מיפוי)
record.properties.UserAgent	network.http.user_agent	מיפוי ישיר
user_agent	network.http.user_agent	מיפוי ישיר
network_session_id	network.session_id	מיפוי ישיר
record.ExtendedProperties.accountSessionId	network.session_id	מיפוי ישיר
record.properties.RawEventData.ClientRequestId	network.session_id	מיפוי ישיר
record.clientApplication	principal.application	מיפוי ישיר
record.properties.extendedProperties.clientApplication	principal.application	מיפוי ישיר
SourceDevice	principal.asset.hostname	מיפוי ישיר
client_hostname	principal.asset.hostname	מיפוי ישיר
compromised_hostname	principal.asset.hostname	מיפוי ישיר
SourceDeviceAddress	principal.asset.ip	ממופה: ביטוי רגולרי של IPv4
clientIpAddress	principal.asset.ip	ממוזג
SourceComputerId	principal.asset.product_object_id	מיפוי ישיר
SourceDevice	principal.hostname	מיפוי ישיר
client_hostname	principal.hostname	מיפוי ישיר
compromised_hostname	principal.hostname	מיפוי ישיר
SourceDeviceAddress	principal.ip	ממופה: ביטוי רגולרי של IPv4
clientIpAddress	principal.ip	ממוזג
alertLabel	principal.labels	ממוזג
cityLabel	principal.location.city	מיפוי ישיר
record.properties.City	principal.location.city	מיפוי ישיר
countryLabel	principal.location.country_or_region	מיפוי ישיר
record.clientIpLocation	principal.location.country_or_region	מיפוי ישיר
record.clientLocation	principal.location.country_or_region	מיפוי ישיר
record.properties.clientLocation	principal.location.country_or_region	מיפוי ישיר
record.properties.extendedProperties.clientLocation	principal.location.country_or_region	מיפוי ישיר
isp	principal.location.name	מיפוי ישיר
entity.location.latitude	principal.location.region_coordinates.latitude	מיפוי ישיר
entity.location.longitude	principal.location.region_coordinates.longitude	מיפוי ישיר
os_platform	principal.platform	מיפוי: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine	principal.process.command_line	מיפוי ישיר
record.ExtendedProperties.suspiciousProcess	principal.process.file.full_path	מיפוי ישיר
record.properties.RawEventData.ClientProcessName	principal.process.file.full_path	מיפוי ישיר
record.ExtendedProperties.suspiciousProcessId	principal.process.pid	מיפוי ישיר
account_id	principal.resource.attribute.labels	ממוזג
account_object_id	principal.resource.attribute.labels	ממוזג
alertLabel	principal.resource.attribute.labels	ממוזג
alertLabel1	principal.resource.attribute.labels	ממוזג
app_instance_id	principal.resource.attribute.labels	ממוזג
compromisedEntityLabel	principal.resource.attribute.labels	ממוזג
compromisedEntityLabel1	principal.resource.attribute.labels	ממוזג
correlationKeyLabel	principal.resource.attribute.labels	ממוזג
effectiveSubscriptionIdLabel	principal.resource.attribute.labels	ממוזג
object_id	principal.resource.attribute.labels	ממוזג
object_name	principal.resource.attribute.labels	ממוזג
object_type	principal.resource.attribute.labels	ממוזג
potential_causes	principal.resource.attribute.labels	ממוזג
productComponentNameLabel	principal.resource.attribute.labels	ממוזג
sql_instance_name_label	principal.resource.attribute.labels	ממוזג
sql_server_name_label	principal.resource.attribute.labels	ממוזג
supporting_evidence_label	principal.resource.attribute.labels	ממוזג
system_alert_id_label	principal.resource.attribute.labels	ממוזג
zone_interface_label	principal.resource.attribute.labels	ממוזג
record.properties.extendedProperties.resourceType	principal.resource.name	מיפוי ישיר
resourceType	principal.resource.name	מיפוי ישיר
record.ResourceId	principal.resource.product_object_id	מיפוי ישיר
mailbox_owner_upn	principal.user.email_addresses	ממוזג
principal_user_display_name	principal.user.user_display_name	מיפוי ישיר
record.ExtendedProperties.userName	principal.user.user_display_name	מיפוי ישיר
client_user	principal.user.userid	מיפוי ישיר
principal_userid	principal.user.userid	מיפוי ישיר
record.properties.RawEventData.LogonUserSid	principal.user.windows_sid	מיפוי ישיר
action	security_result.action	ממוזג
operation	security_result.action	ממופה (טבלת מיפוי)
tacticsLabel	security_result.attack_details.tactics	ממוזג
category_details_label	security_result.category_details	ממוזג
threat_category	security_result.category_details	ממוזג
record.Description	security_result.description	מיפוי ישיר
record.properties.description	security_result.description	מיפוי ישיר
KindLabel	security_result.detection_fields	ממוזג
action_type	security_result.detection_fields	ממוזג
application_id	security_result.detection_fields	ממוזג
device_type	security_result.detection_fields	ממוזג
field	security_result.detection_fields	ממוזג
incidentdetectionfields	security_result.detection_fields	ממוזג
incidentdetectionfields1	security_result.detection_fields	ממוזג
intent_label	security_result.detection_fields	ממוזג
is_admin_operation_label	security_result.detection_fields	ממוזג
is_impersonated_label	security_result.detection_fields	ממוזג
is_new_label	security_result.detection_fields	ממוזג
operation	security_result.detection_fields	מיפוי: MailItemsAccessed → field
product_component_name_ext_label	security_result.detection_fields	ממוזג
sourcesystemdetectionfields	security_result.detection_fields	ממוזג
statusdetectionfields	security_result.detection_fields	ממוזג
statusdetectionfields1	security_result.detection_fields	ממוזג
trojan_script_malgent_msr_label	security_result.detection_fields	ממוזג
vendor_original_id_label	security_result.detection_fields	ממוזג
violation_count_label	security_result.detection_fields	ממוזג
report_id	security_result.rule_id	מיפוי ישיר
alertDisplayName	security_result.rule_name	מיפוי ישיר
record.AlertName	security_result.rule_name	מיפוי ישיר
alert_severity	security_result.severity	מיפוי ישיר
severity	security_result.severity	מיפוי ישיר
alert_severity	security_result.severity_details	מיפוי ישיר
record.properties.severity	security_result.severity_details	מיפוי ישיר
record.DisplayName	security_result.summary	מיפוי ישיר
summary	security_result.summary	מיפוי ישיר
record.AlertType	security_result.threat_name	מיפוי ישיר
record.properties.alertType	security_result.threat_name	מיפוי ישיר
AlertManagementUri	security_result.url_back_to_product	מיפוי ישיר
record.properties.RawEventData.Folder.Path	src.resource.name	מיפוי ישיר
record.properties.RawEventData.Folder.Id	src.resource.product_object_id	מיפוי ישיר
application	target.application	מיפוי ישיר
DestinationDevice	target.asset.hostname	מיפוי ישיר
record.ExtendedProperties.compromisedHost	target.asset.hostname	מיפוי ישיר
DestinationDeviceAddress	target.asset.ip	ממופה: ביטוי רגולרי של IPv4
CompromisedEntityId	target.asset.product_object_id	מיפוי ישיר
file_name	target.file.names	ממוזג
operation	target.file.names	ממופה (טבלת מיפוי)
operation	target.file.size	ממופה (טבלת מיפוי)
record.properties.RawEventData.Item.SizeInBytes	target.file.size	מיפוי ישיר
DestinationDevice	target.hostname	מיפוי ישיר
originating_server	target.hostname	מיפוי ישיר
record.ExtendedProperties.compromisedHost	target.hostname	מיפוי ישיר
DestinationDeviceAddress	target.ip	ממופה: ביטוי רגולרי של IPv4
target_process_command_line	target.process.command_line	מיפוי ישיר
target_process_file	target.process.file.full_path	מיפוי ישיר
target_process_id	target.process.pid	מיפוי ישיר
workspaceLabel	target.resource.attribute.labels	ממוזג
workspaceResourceGroupLabel	target.resource.attribute.labels	ממוזג
AzureResourceId	target.resource.id	מיפוי ישיר
record.properties.RawEventData.DestFolder.Path	target.resource.name	מיפוי ישיר
record.properties.RawEventData.Item.ParentFolder.Path	target.resource.name	מיפוי ישיר
record._Internal_WorkspaceResourceId	target.resource.product_object_id	מיפוי ישיר
record.properties.RawEventData.DestFolder.Id	target.resource.product_object_id	מיפוי ישיר
record.properties.RawEventData.Item.Id	target.resource.product_object_id	מיפוי ישיר
operation	target.user.email_addresses	ממופה (טבלת מיפוי)
target_user	target.user.email_addresses	ממופה: ביטוי רגולרי של כתובת אימייל
לא רלוונטי	metadata.event_type	קבוע: NETWORK_CONNECTION
לא רלוונטי	metadata.product_name	קבוע: MICROSOFT_DEFENDER_CLOUD_ALERTS
לא רלוונטי	metadata.vendor_name	קבוע: MICROSOFT_DEFENDER_CLOUD_ALERTS
לא רלוונטי	principal.platform	קבוע: MAC
record.ExtendedProperties.clientIpAddress	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
record.ExtendedProperties.clientPrincipalName	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
record.ExtendedProperties.clientApplication	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
record.ExtendedProperties.Potential causes	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
record.ExtendedProperties.investigationSteps	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
record.ExtendedProperties.alertId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
Entity.FriendlyName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entity.SourceAddress.Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entity.EntityIds	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entity.Metadata.IsGraphCenter	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record.ExtendedProperties	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entities.FriendlyName	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
Entities.FileHashes.FriendlyName	event.idm.read_only_udm.target.file.sha1	מופה מיומן השינויים
Entities.FileHashes.FriendlyName	event.idm.read_only_udm.target.file.md5	מופה מיומן השינויים
Entities.FileHashes.FriendlyName	event.idm.read_only_udm.target.file.sha256	מופה מיומן השינויים
Entities.AzureResourceId	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
Entities.ResourceType	event.idm.read_only_udm.target.resource.resource_subtype	מופה מיומן השינויים
Entities.ResourceName	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
Entities.SourceAddress.Location.CountryName	event.idm.read_only_udm.location.country_or_region	מופה מיומן השינויים
Entities.SourceAddress.Location.City	event.idm.read_only_udm.location.city	מופה מיומן השינויים
Entities.SourceAddress.Location.State	event.idm.read_only_udm.location.state	מופה מיומן השינויים
Entities.SourceAddress.Location.Longitude	event.idm.read_only_udm.location.region_coordinates.longitude	מופה מיומן השינויים
Entities.SourceAddress.Location.Latitude	event.idm.read_only_udm.location.region_coordinates.latitude	מופה מיומן השינויים
Entities.SourceAddress.Location.Asn	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entities.SourceAddress.Location.Carrier	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entities.SourceAddress.Location.Organization	event.idm.read_only_udm.principal.network.organization_name	מופה מיומן השינויים
RecommendationLink	event.idm.read_only_udm.metadata.url_back_to_product	מופה מיומן השינויים
Properties.status.statusChangeDate	event.idm.read_only_udm.security_result.last_updated_time	מופה מיומן השינויים
StatusChangeDate	event.idm.read_only_udm.target.resource.attribute.last_update_time	מופה מיומן השינויים
Type	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
_TimeReceived	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
Properties.additionalData.scanId	event.idm.read_only_udm.observer.resource.product_object_id	מופה מיומן השינויים
Properties.additionalData.parentResource	event.idm.read_only_udm.target.resource_ancestors.product_object_id	מופה מיומן השינויים
Properties.additionalData.databasePlatform	event.idm.read_only_udm.target.resource.resource_subtype	מופה מיומן השינויים
Properties.metadata_data.techniques.0	event.idm.read_only_udm.security_result.attack_details.techniques.name	מופה מיומן השינויים
Properties.links.azurePortal	event.idm.read_only_udm.security_result.url_back_to_product	מופה מיומן השינויים
Properties.displayName	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
Properties.additionalData.ruleId	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
Properties.additionalData.scanner	event.idm.read_only_udm.observer.resource.name	מופה מיומן השינויים
Properties.resourceDetails.id	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
Properties.resourceDetails.resourceName	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
Properties.resourceDetails.resourceProvider	event.idm.read_only_udm.target.resource_ancestors.name	מופה מיומן השינויים
FirstEvaluationDate	event.idm.read_only_udm.security_result.first_discovered_time	מופה מיומן השינויים
DiscoveredTimeUTC	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
RecommendationDisplayName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Recommendation DisplayName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RecommendationId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Recommendation Id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RecommendationName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Recommendation Name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RecommendationSeverity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Recommendation Severity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RecommendationState	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Recommendation State	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RemediationDescription	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Remediation_Description	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SourceSystem	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Source System	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_ItemId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Item Id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.displayName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Metadata Display Name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.assessmentType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Assessment Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.policyDefinitionId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Policy Definition Id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.description	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Metadata Description	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.remediationDescription	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Remediation Description	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.preview	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Preview	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.severity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Metadata Severity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.userImpact	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
User Impact	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.implementationEffort	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Implementation Effort	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.publishDates.public	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Public Publish Date	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.cloudProviders	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Cloud Providers %{index}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.managementProvider	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Management Provider	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.securityIssue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Security Issue	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.recommendationCategory	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Recommendation Category	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_IsBillable	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Is Billable	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_BilledSize	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Billed Size	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IsSnapshot	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Is Snapshot	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ResourceTenantId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Resource Tenant ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.additionalData.hasBaseline	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Has Baseline	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.additionalData.query	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Query	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.additionalData.remediationDescription	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Additional Remediation Description	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.additionalData.remediationQuery	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Remediation Query	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.additionalData.impact	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Impact	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
benchmarks.json_array2.item.reference	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Benchmark Reference	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.status.firstEvaluationDate	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
First Evaluation Date	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.resourceDetails.nativeResourceId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Native Resource ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
benchmarks.json_array2.item.benchmark	המקש Benchmark עד event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.securityCategories	Security Categories key to event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.metadata_data.categories	Metadata Categories key to event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Properties.additionalData.scanTime	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
scanTime	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
Properties.status.code	event.idm.read_only_udm.security_result.outcomes	מופה מיומן השינויים
Status Code	event.idm.read_only_udm.security_result.outcomes	מופה מיומן השינויים
Properties.status.cause	event.idm.read_only_udm.security_result.outcomes	מופה מיומן השינויים
status_cause	event.idm.read_only_udm.security_result.outcomes	מופה מיומן השינויים
Properties.resourceDetails.resourceType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Resource Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record.TimeGenerated	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
record.ExtendedProperties.suspiciousProcessId	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
record.ExtendedProperties.suspiciousProcess	event.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
record.ExtendedProperties.suspiciousCommandLine	event.idm.read_only_udm.principal.process.command_line	מופה מיומן השינויים
record.ExtendedProperties.userName	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
record.ExtendedProperties.compromisedHost	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
record.ExtendedProperties.accountSessionId	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
SourceDeviceAddress	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
SourceDeviceAddress	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
DestinationDeviceAddress	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
DestinationDeviceAddress	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
SourceDevice	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
SourceDevice	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
DestinationDevice	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
DestinationDevice	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
SourceComputerId	event.idm.read_only_udm.principal.asset.product_object_id	מופה מיומן השינויים
CompromisedEntityId	event.idm.read_only_udm.target.asset.product_object_id	מופה מיומן השינויים
SensorId	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
Category	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
AlertManagementUri	event.idm.read_only_udm.security_result.url_back_to_product	מופה מיומן השינויים
record.VendorOriginalId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
VendorOriginalId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
ProductComponentName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
ViolationCount	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
isNew	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
record.ProviderName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ProviderName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
DeviceId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ExtendedProperties_DeviceId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
_TimeReceived	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
BACnet Service	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
bacnet_service	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Protocol	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
isLearnable	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
RemediationSteps	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Techniques	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Alert generation status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ProcessedBySentinel	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record.Entities	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Entity: %{key}_%{index}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IoTHub.ResourceId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IoTHub_ResourceId_%{index}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IoTHub.Type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
IoTHub_Type_%{index}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Owners	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Owners_%{index}_%{owner_index}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Nics	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Nics_%{index}_%{nic_index}_%{key}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Protocols	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Protocols_%{index}	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record.properties.RawEventData.ClientProcessName	event.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
record.properties.RawEventData.ClientRequestId	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
record.properties.RawEventData.LogonUserSid	event.idm.read_only_udm.principal.user.windows_sid	מופה מיומן השינויים
record.properties.RawEventData.MailboxOwnerUPN	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
record.properties.ISP	event.idm.read_only_udm.principal.location.name	מופה מיומן השינויים
record.properties.RawEventData.OriginatingServer	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
record.properties.Application	event.idm.read_only_udm.target.application	מופה מיומן השינויים
record.properties.ReportId	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
record.properties.IsImpersonated	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
record.properties.IsAdminOperation	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
zone_interface	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.extendedProperties.potential causes	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.extendedProperties.productComponentName	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.extendedProperties.effectiveSubscriptionId	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.extendedProperties.sql server name	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.extendedProperties.sql instance name	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.supportingEvidence	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.systemAlertId	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record.properties.RawEventData.UserId	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
record.properties.RawEventData.Id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.