Mengumpulkan pemberitahuan Microsoft Defender for Cloud

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap pemberitahuan Microsoft Defender for Cloud (sebelumnya Azure Security Center) ke Google Security Operations. Anda dapat mengonfigurasi penyerapan menggunakan dua metode yang didukung:

• Metode 1: Azure Event Hub (direkomendasikan): Defender for Cloud Continuous Export melakukan streaming peringatan langsung ke Azure Event Hub, yang kemudian akan digunakan oleh Google SecOps untuk menyerapnya secara hampir real time.
• Metode 2: Azure Blob Storage V2: Ekspor Berkelanjutan Defender for Cloud mengirimkan pemberitahuan ke ruang kerja Log Analytics, aturan Ekspor Data Log Analytics menuliskannya ke Akun Penyimpanan Azure, dan Google SecOps menyerapnya dari penampung blob sesuai jadwal polling.

Microsoft Defender for Cloud adalah platform perlindungan aplikasi berbasis cloud yang menyediakan pengelolaan keamanan dan perlindungan ancaman terpadu di seluruh workload Azure, hybrid, dan multi-cloud.

Catatan: Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan MICROSOFT_DEFENDER_CLOUD_ALERTS.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Umum untuk kedua metode:

  • Instance Google SecOps.
  • Akses istimewa ke portal Microsoft Azure dengan izin untuk:
    • Konfigurasi Ekspor Berkelanjutan pada langganan Microsoft Defender for Cloud.
  • Peran Security Admin atau Pemilik di langganan Azure yang berisi Microsoft Defender for Cloud.
  • Microsoft Defender for Cloud diaktifkan di langganan dengan setidaknya satu paket Defender yang aktif.

• Prasyarat tambahan Metode 1 (Azure Event Hub):

  • Izin untuk membuat namespace Event Hub dan Event Hub serta mengelola kebijakan akses Event Hub.
  • Izin Tulis pada kebijakan Event Hub target (diperlukan oleh Ekspor Berkelanjutan).

• Prasyarat tambahan Metode 2 (Azure Blob Storage V2):

  • Izin untuk membuat atau mengelola ruang kerja Log Analytics dan untuk membuat aturan Ekspor Data di dalamnya.
  • Izin untuk membuat Akun Penyimpanan Azure dengan container blob dan mengambil kunci aksesnya.

Catatan: Anda dapat membuat hingga 10 feed Azure Event Hub per instance Google SecOps, termasuk feed aktif dan tidak aktif. Untuk mengetahui detail penyiapan feed Azure Event Hub kanonis, lihat Membuat feed Azure Event Hub.

Metode 1: Azure Event Hub (direkomendasikan)

Gunakan metode ini jika Anda menginginkan penyerapan pemberitahuan Defender for Cloud yang hampir real-time dan Anda dapat memberikan akses Google SecOps ke Azure Event Hub.

Buat namespace Event Hub

Namespace Event Hub adalah container pengelolaan untuk satu atau beberapa Event Hub.

1. Di portal Azure, cari Event Hubs.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan yang berisi Microsoft Defender for Cloud.
   Grup resource	Pilih yang sudah ada atau buat yang baru.
   Nama namespace	Masukkan nama unik (misalnya, secops-defender-ns).
   Location	Pilih region yang sama dengan instance Google SecOps Anda (men-deploy di region yang berbeda akan mengurangi throughput penyerapan).
   Tingkatan harga	Standar (direkomendasikan untuk produksi).
   Unit throughput	Mulai dengan 1, aktifkan Isi otomatis (direkomendasikan).

4. Klik Review + create.

5. Tinjau ringkasan, lalu klik Buat.

6. Tunggu hingga deployment selesai (1-2 menit).

   Catatan: Satu unit throughput (TU) mendukung penyerapan data hingga 1 MB per detik (ingress 1 MB/s, egress 2 MB/s). Jika volume peristiwa masuk melebihi kapasitas TU yang dikonfigurasi, Event Hub dapat mengalami error dan log dapat hilang sebelum mencapai Google SecOps. Aktifkan Peningkatan otomatis untuk menskalakan throughput secara otomatis saat volume pemberitahuan meningkat.

Buat Hub Acara

1. Setelah namespace di-deploy, buka namespace Event Hub.
2. Di navigasi kiri, pilih Event Hubs di bagian Entities.
3. Klik + Event Hub.

4. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Nama	Masukkan nama unik yang cocok dengan jenis log (misalnya, defender-cloud-alerts); hindari mengosongkan kolom selama konfigurasi Ekspor Berkelanjutan Defender untuk mencegah sistem membuat hub peristiwa tambahan.
   Jumlah partisi	40 (direkomendasikan untuk penskalaan Google SecOps yang optimal).
   Retensi pesan	Minimal 7 hari. Tetapkan retensi terlama yang Anda mampu agar log tidak dihapus sebelum penyerapan dilanjutkan setelah pembatasan kuota.
   Ambil	Dinonaktifkan (tidak diperlukan untuk penyerapan Event Hub langsung).

5. Klik Create.

   Catatan: Jumlah partisi 40 direkomendasikan untuk feed Google SecOps. Setelan ini tidak dapat diubah nanti di paket standar dan dasar.

Mendapatkan string koneksi Event Hub

Google SecOps memerlukan string koneksi untuk mengautentikasi ke Event Hub.

Opsi A: String koneksi tingkat namespace (direkomendasikan)

1. Buka namespace Event Hub.
2. Di navigasi kiri, pilih Kebijakan akses bersama di bagian Setelan.
3. Klik kebijakan default RootManageSharedAccessKey.
4. Salin Connection string-primary key.

5. Simpan string koneksi ini dengan aman.

   Penting: Saat menggunakan string koneksi tingkat namespace, Anda harus menghapus parameter EntityPath sebelum memberikannya ke Google SecOps.

   Contoh:

   Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts
   
   Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==
   

Opsi B: String koneksi tingkat Event Hub

1. Buka Event Hub (bukan namespace).
2. Di navigasi kiri, pilih Kebijakan akses bersama di bagian Setelan.
3. Klik + Tambahkan untuk membuat kebijakan baru.
4. Berikan detail konfigurasi berikut:
   • Nama kebijakan: masukkan nama deskriptif (misalnya, chronicle-listen).
   • Izin: pilih Dengarkan saja (akses hanya baca).
5. Klik Create.
6. Klik kebijakan yang baru dibuat.
7. Salin Connection string-primary key.

8. Simpan string koneksi ini dengan aman.

   Catatan: String koneksi tingkat Event Hub sudah menyertakan parameter EntityPath, sehingga tidak perlu ada modifikasi.

Mengonfigurasi Microsoft Defender for Cloud untuk melakukan streaming pemberitahuan ke Event Hub

Microsoft Defender for Cloud menggunakan fitur Continuous Export untuk melakukan streaming pemberitahuan dan rekomendasi ke Event Hub saat dihasilkan.

1. Login ke portal Azure.
2. Telusuri dan buka Microsoft Defender for Cloud.
3. Di menu resource Defender for Cloud, pilih Environment settings.
4. Pilih langganan yang ingin Anda konfigurasi ekspor datanya.
5. Di menu resource di bagian Setelan, pilih Ekspor berkelanjutan.
6. Pilih tab Event hub.
7. Berikan detail konfigurasi berikut:
   • Ekspor diaktifkan?: alihkan ke posisi aktif.
   • Di bagian Jenis data yang diekspor, pilih jenis data yang akan diekspor. Untuk mengumpulkan pemberitahuan keamanan, centang kotak berikut:
     • Notifikasi keamanan
     • (Opsional) Rekomendasi keamanan, Skor keamanan, Kepatuhan terhadap peraturan, Jalur serangan, dan jenis lainnya sesuai kebutuhan
   • Untuk setiap jenis data yang dipilih, konfigurasi filter (misalnya, ekspor hanya tingkat keparahan Rendah, Sedang, Tinggi, atau semua tingkat keparahan).
   • Di bagian Frekuensi ekspor, pilih frekuensi:
     • Streaming: mengirimkan pemberitahuan saat pemberitahuan dibuat (direkomendasikan untuk Google SecOps).
     • Snapshot: mengirimkan snapshot mingguan dari status saat ini (hanya digunakan untuk pelaporan berkala).
   • Di bagian Target ekspor, konfigurasi tujuan:
     • Target ekspor: pilih Event hub.
     • Subscription: pilih langganan yang berisi namespace Event Hub.
     • Event hub namespace: pilih secops-defender-ns (atau namespace yang Anda buat sebelumnya).
     • Event hub name: pilih defender-cloud-alerts (atau Event Hub yang Anda buat sebelumnya). Selalu pilih Event Hub yang ada; mengosongkan kolom ini akan menyebabkan sistem membuat Event Hub tambahan dan dapat menghabiskan kuota feed Anda.
     • Nama kebijakan hub peristiwa: pilih RootManageSharedAccessKey atau kebijakan kustom dengan izin Kirim.

8. Klik Simpan.

   Catatan: Ekspor Berkelanjutan akan langsung melakukan streaming pemberitahuan baru. Peringatan yang ada yang dibuat sebelum mengaktifkan Ekspor Berkelanjutan tidak diekspor secara retroaktif. Untuk ekspor historis, lihat dokumentasi Microsoft Defender untuk Cloud.

(Opsional) Buat grup konsumen khusus

Secara default, Event Hub menyediakan grup konsumen bernama $Default. Untuk lingkungan produksi, sebaiknya buat grup konsumen khusus untuk Google SecOps.

1. Buka Event Hub (bukan namespace).
2. Di navigasi kiri, pilih Grup konsumen di bagian Entitas.
3. Klik + Consumer group.
4. Berikan detail konfigurasi berikut:
   • Nama: masukkan nama deskriptif (misalnya, chronicle).

5. Klik Create.

   Catatan: Jika membuat grup konsumen khusus, Anda harus menentukannya saat membuat feed di Google SecOps. Jika tidak, gunakan grup konsumen $Defaultdefault.
   Perhatian: Jangan membuat pelanggan tambahan di grup konsumen Google SecOps, dan jangan mengambil data secara terprogram melalui tab Data Explorer di portal Azure saat sedang digunakan. Kedua tindakan tersebut dapat menyebabkan kehilangan data karena offset grup konsumen Event Hub bertambah saat data dibaca.

Mengonfigurasi feed di Google SecOps untuk menyerap pemberitahuan Microsoft Defender for Cloud (Metode 1)

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft Defender for Cloud Alerts).
5. Pilih Microsoft Azure Event Hub sebagai Jenis sumber.
6. Pilih Microsoft Defender For Cloud sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Nama Event Hub: masukkan nama Event Hub (misalnya, defender-cloud-alerts).
   • Grup Konsumen Event Hub: masukkan nama grup konsumen.
     • Gunakan $Default untuk grup konsumen default.
     • Jika Anda membuat grup konsumen khusus, masukkan namanya (misalnya, chronicle).

   • Event Hub Connection String: masukkan string koneksi Event Hub yang Anda catat sebelumnya.

     Jika menggunakan string koneksi tingkat namespace:

     • Pastikan Anda menghapus parameter EntityPath.

     Jika menggunakan string koneksi tingkat hub peristiwa: - Gunakan string koneksi apa adanya (termasuk EntityPath).

   • Azure Storage Connection String (opsional): kolom lama untuk penyimpanan checkpointing Event Hub; biarkan kosong.

   • Nama Container Azure Storage (opsional): kolom lama untuk penyimpanan pembuatan checkpoint Event Hub; biarkan kosong.

   • Token SAS Azure (opsional): autentikasi alternatif ke Event Hub jika kebijakan keamanan Anda melarang berbagi String Koneksi Event Hub; biarkan kosong jika Anda memberikan string koneksi di atas.

   • Namespace aset: namespace aset.

   • Label penyerapan: label yang akan diterapkan ke peristiwa dari feed ini.

   Catatan: Google SecOps mengelola checkpointing-nya sendiri untuk feed Azure Event Hub. Hanya Event Hub Connection String (atau, sebagai gantinya, Azure SAS Token) yang diperlukan; kolom Azure Storage Connection String dan Azure Storage Container Name adalah kolom checkpointing lama yang tidak memengaruhi penyerapan dan harus dibiarkan kosong dalam deployment standar.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

    Catatan: Setelah membuat feed, mungkin perlu waktu 1-2 menit sebelum pemberitahuan mulai muncul di Google SecOps.

Metode 2: Azure Blob Storage V2

Gunakan metode ini jika organisasi Anda sudah menyimpan pemberitahuan Defender for Cloud di ruang kerja Log Analytics (untuk kepatuhan atau penyimpanan jangka panjang) dan Anda ingin Google SecOps menyerap pemberitahuan yang sama dari Akun Azure Storage. Ekspor Berkelanjutan Microsoft Defender for Cloud tidak menulis ke Akun Penyimpanan secara langsung, sehingga metode ini mengandalkan fitur Ekspor Data Log Analytics standar untuk menempatkan pemberitahuan di penyimpanan blob, tempat Google SecOps membacanya.

Jalur data end-to-end adalah:

• Microsoft Defender untuk Cloud > Ekspor Berkelanjutan ke ruang kerja Log Analytics
• Aturan Ekspor Data ruang kerja Log Analytics > menulis tabel SecurityAlert ke Akun Penyimpanan Azure (penampung blob)
• Feed Azure Blob Storage V2 Google SecOps melakukan polling pada kontainer blob dan menyerap pemberitahuan baru

Mengonfigurasi Microsoft Defender for Cloud untuk melakukan streaming pemberitahuan ke ruang kerja Log Analytics

1. Login ke portal Azure.
2. Telusuri dan buka Microsoft Defender for Cloud.
3. Di menu resource Defender for Cloud, pilih Environment settings.
4. Pilih langganan yang ingin Anda konfigurasi ekspor datanya.
5. Di menu resource di bagian Setelan, pilih Ekspor berkelanjutan.
6. Pilih tab Log Analytics workspace.
7. Berikan detail konfigurasi berikut:
   • Ekspor diaktifkan?: alihkan ke posisi aktif.
   • Di bagian Jenis data yang diekspor, pilih Peringatan keamanan (dan jenis data lain yang ingin Anda ambil).
   • Untuk setiap jenis data yang dipilih, konfigurasi filter tingkat keparahan sesuai kebutuhan.
   • Di bagian Frekuensi ekspor, pilih Streaming untuk ekspor hampir real-time.
   • Di bagian Target ekspor, konfigurasi tujuan:
     • Target ekspor: pilih ruang kerja Log Analytics.
     • Langganan: pilih langganan yang berisi ruang kerja.
     • Ruang kerja Log Analytics: pilih ruang kerja yang ada atau buat yang baru.

8. Klik Simpan.

   Catatan: Ekspor Berkelanjutan hanya meneruskan pemberitahuan yang dibuat setelah konfigurasi diaktifkan. Peringatan yang ada tidak diekspor secara surut.

Buat Akun Penyimpanan Azure dan kontainer blob

1. Di portal Azure, cari Storage accounts.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan yang berisi ruang kerja Log Analytics.
   Grup resource	Gunakan grup resource yang sama dengan ruang kerja (direkomendasikan).
   Nama akun penyimpanan	Masukkan nama unik (misalnya, secopsdefenderblob).
   Region	Region yang sama dengan ruang kerja Log Analytics (diperlukan untuk Ekspor Data).
   Performa	Standard.
   Redundansi	LRS (Penyimpanan redundan secara lokal) atau GRS, sesuai dengan kebijakan ketahanan Anda.

4. Klik Tinjau + buat, lalu klik Buat.

5. Setelah deployment, buka Akun Penyimpanan.

6. Di navigasi kiri, pilih Containers di bagian Data storage.

7. Klik + Container.

8. Berikan detail konfigurasi berikut:

   • Nama: masukkan nama deskriptif (misalnya, defender-cloud-alerts).
   • Tingkat akses publik: Pribadi (tidak ada akses anonim).

9. Klik Create.

   Catatan: Log Analytics Data Export membuat satu blob per batch baris tabel SecurityAlert, yang disusun berdasarkan awalan tanggal. Jangan menghapus penampung atau setelan siklus prosesnya saat Google SecOps sedang membacanya.

Mengonfigurasi aturan Ekspor Data Log Analytics

1. Di portal Azure, buka ruang kerja Log Analytics yang Anda pilih sebagai target Ekspor Berkelanjutan.
2. Di navigasi kiri, pilih Ekspor Data di bagian Setelan.
3. Klik + Aturan ekspor baru.
4. Berikan detail konfigurasi berikut:
   • Nama aturan: masukkan nama deskriptif (misalnya, defender-alerts-to-blob).
   • Source: pilih tabel SecurityAlert (tabel yang digunakan Defender for Cloud Continuous Export untuk pemberitahuan).
   • Jenis tujuan: pilih Akun penyimpanan.
   • Subscription: pilih langganan yang berisi Akun Penyimpanan.
   • Akun penyimpanan: pilih Akun Penyimpanan yang Anda buat di atas.

5. Klik Create.

   Catatan: Data Export harus berjalan di region yang sama dengan ruang kerja dan Akun Penyimpanan; aturan lintas region ditolak oleh Azure. Untuk mengetahui daftar kolom SecurityAlert yang diekspor, lihat dokumentasi Ekspor Data Log Analytics.

Mendapatkan kredensial Akun Penyimpanan

Google SecOps melakukan autentikasi ke Akun Penyimpanan dengan kunci akses bersama.

1. Di Akun Penyimpanan, pilih Kunci akses di bagian Keamanan + jaringan.
2. Klik Tampilkan kunci.
3. Cari key1, lalu salin nilai berikut:
   • Nama akun penyimpanan: nama Akun Penyimpanan yang Anda buat.
   • Key: kunci akses bersama 512-bit (dienkode base64).
4. Simpan nilai ini dengan aman.

Catatan: Gunakan kunci akses bersama, bukan token Tanda Tangan Akses Bersama (SAS), pokok Azure AD, atau string koneksi lengkap — feed AZURE_BLOBSTORE_V2 hanya diautentikasi dengan kunci akses bersama.

Mengonfigurasi feed di Google SecOps untuk menyerap pemberitahuan Microsoft Defender for Cloud (Metode 2)

1. Buka Setelan SIEM > Feed.
2. Klik Tambahkan Feed Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft Defender for Cloud Alerts - Blob).
5. Pilih Microsoft Azure Blob Storage V2 sebagai Jenis sumber.
6. Pilih Microsoft Defender For Cloud sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • URI Azure: masukkan URL endpoint Blob Service dengan jalur penampung. Sertakan garis miring di akhir.

     https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/
     

     Ganti kode berikut:

     • <STORAGE_ACCOUNT>: nama akun penyimpanan Azure Anda (misalnya, secopsdefenderblob).
     • <CONTAINER>: nama penampung blob tempat Data Export Log Analytics mendarat SecurityAlert baris (misalnya, defender-cloud-alerts).

   • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda:

     • Jangan pernah: tidak pernah menghapus file apa pun setelah transfer (direkomendasikan untuk penyiapan pertama kali dan retensi audit).
     • Hapus file yang ditransfer: menghapus file setelah transfer berhasil.
     • Hapus file yang ditransfer dan direktori kosong: menghapus file dan direktori kosong setelah transfer berhasil.
     Catatan: Jika Anda memilih opsi penghapusan yang menghapus file, pastikan kunci akses bersama memberikan izin penghapusan pada penampung.

   • Usia File Maksimum (Hari): menyertakan file yang diubah dalam jumlah hari terakhir (defaultnya adalah 180).

   • Kunci bersama: masukkan nilai kunci akses bersama yang Anda ambil dari Akun Penyimpanan.

   • Namespace aset: namespace aset.

   • Label penyerapan: label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

    Catatan: Google SecOps melakukan polling pada penampung blob sesuai jadwal terkelola. Peristiwa pertama akan muncul dalam waktu 15 hingga 30 menit setelah feed menjadi aktif, bergantung pada seberapa cepat Log Analytics Data Export menghapus SecurityAlert baris baru ke Akun Penyimpanan.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
EndTimeLabel	about.labels	Digabung
ProcessingEndTimeLabel	about.labels	Digabung
StartTimeLabel	about.labels	Digabung
TimeGeneratedLabel	about.labels	Digabung
extendedLinkCategoryLabel	about.labels	Digabung
extendedLinkLabel	about.labels	Digabung
extendedLinkTypeLabel	about.labels	Digabung
extendedlinkHrefLabel	about.labels	Digabung
EndTimeLabel	about.resource.attribute.labels	Digabung
ProcessingEndTimeLabel	about.resource.attribute.labels	Digabung
StartTimeLabel	about.resource.attribute.labels	Digabung
TimeGeneratedLabel	about.resource.attribute.labels	Digabung
extendedLinkCategoryLabel	about.resource.attribute.labels	Digabung
extendedLinkLabel	about.resource.attribute.labels	Digabung
extendedLinkTypeLabel	about.resource.attribute.labels	Digabung
extendedlinkHrefLabel	about.resource.attribute.labels	Digabung
EndTimeLabel1	additional.fields	Digabung
IoTHub_ResourceId_label	additional.fields	Digabung
IoTHub_Type_label	additional.fields	Digabung
Protocols_label	additional.fields	Digabung
RemediationSteps_label	additional.fields	Digabung
Scopes_label	additional.fields	Digabung
StartTimeLabel1	additional.fields	Digabung
TimeGeneratedLabel1	additional.fields	Digabung
account_type	additional.fields	Digabung
alert_generation_status_label	additional.fields	Digabung
bacnet_service_label	additional.fields	Digabung
billed_size_label	additional.fields	Digabung
category_label	additional.fields	Digabung
event_data_info	additional.fields	Digabung
extended_properties_device_id_label	additional.fields	Digabung
ip_category	additional.fields	Digabung
is_billable_label	additional.fields	Digabung
is_learnable_label	additional.fields	Digabung
item_id_label	additional.fields	Digabung
key	additional.fields	Dipetakan: IpAddress → nic_sub_field
key_value	additional.fields	Digabung
mode_label	additional.fields	Digabung
nic_field	additional.fields	Digabung
nic_sub_field	additional.fields	Digabung
owner_label	additional.fields	Digabung
processed_by_sentinel_label	additional.fields	Digabung
protocol_label	additional.fields	Digabung
provider_name_label	additional.fields	Digabung
remediation_steps_label	additional.fields	Digabung
role_label	additional.fields	Digabung
service_object_type	additional.fields	Digabung
techniques_label	additional.fields	Digabung
tenantIdLabel	additional.fields	Digabung
time_received_label	additional.fields	Digabung
type_ext_label	additional.fields	Digabung
type_label	additional.fields	Digabung
value_label	additional.fields	Digabung
authentication_type	extensions.auth.auth_details	Dipetakan secara langsung
SensorId	intermediary.hostname	Dipetakan secara langsung
record.TimeGenerated	metadata.event_timestamp	Diuraikan sebagai ISO8601
record.properties.Timestamp	metadata.event_timestamp	Diuraikan sebagai ISO8601
record.time	metadata.event_timestamp	Diuraikan sebagai ISO8601
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName	metadata.product_event_type	Dipetakan secara langsung
raw_event_id	metadata.product_log_id	Dipetakan secara langsung
record.SystemAlertId	metadata.product_log_id	Dipetakan secara langsung
record.alertId	metadata.product_log_id	Dipetakan secara langsung
record.properties.extendedProperties.alert_Id	metadata.product_log_id	Dipetakan secara langsung
product_name	metadata.product_name	Dipetakan secara langsung
record.properties.productName	metadata.product_name	Dipetakan secara langsung
vendor_name	metadata.vendor_name	Dipetakan secara langsung
record.properties.RawEventData.AffectedItems.0.InternetMessageId	network.email.mail_id	Dipetakan secara langsung
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId	network.email.mail_id	Dipetakan secara langsung
record.properties.RawEventData.Item.InternetMessageId	network.email.mail_id	Dipetakan secara langsung
email_subject	network.email.subject	Digabung
operation	network.email.subject	Dipetakan (tabel perujukan)
record.properties.UserAgent	network.http.user_agent	Dipetakan secara langsung
user_agent	network.http.user_agent	Dipetakan secara langsung
network_session_id	network.session_id	Dipetakan secara langsung
record.ExtendedProperties.accountSessionId	network.session_id	Dipetakan secara langsung
record.properties.RawEventData.ClientRequestId	network.session_id	Dipetakan secara langsung
record.clientApplication	principal.application	Dipetakan secara langsung
record.properties.extendedProperties.clientApplication	principal.application	Dipetakan secara langsung
SourceDevice	principal.asset.hostname	Dipetakan secara langsung
client_hostname	principal.asset.hostname	Dipetakan secara langsung
compromised_hostname	principal.asset.hostname	Dipetakan secara langsung
SourceDeviceAddress	principal.asset.ip	Dipetakan: Ekspresi reguler IPv4
clientIpAddress	principal.asset.ip	Digabung
SourceComputerId	principal.asset.product_object_id	Dipetakan secara langsung
SourceDevice	principal.hostname	Dipetakan secara langsung
client_hostname	principal.hostname	Dipetakan secara langsung
compromised_hostname	principal.hostname	Dipetakan secara langsung
SourceDeviceAddress	principal.ip	Dipetakan: Ekspresi reguler IPv4
clientIpAddress	principal.ip	Digabung
alertLabel	principal.labels	Digabung
cityLabel	principal.location.city	Dipetakan secara langsung
record.properties.City	principal.location.city	Dipetakan secara langsung
countryLabel	principal.location.country_or_region	Dipetakan secara langsung
record.clientIpLocation	principal.location.country_or_region	Dipetakan secara langsung
record.clientLocation	principal.location.country_or_region	Dipetakan secara langsung
record.properties.clientLocation	principal.location.country_or_region	Dipetakan secara langsung
record.properties.extendedProperties.clientLocation	principal.location.country_or_region	Dipetakan secara langsung
isp	principal.location.name	Dipetakan secara langsung
entity.location.latitude	principal.location.region_coordinates.latitude	Dipetakan secara langsung
entity.location.longitude	principal.location.region_coordinates.longitude	Dipetakan secara langsung
os_platform	principal.platform	Dipetakan: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine	principal.process.command_line	Dipetakan secara langsung
record.ExtendedProperties.suspiciousProcess	principal.process.file.full_path	Dipetakan secara langsung
record.properties.RawEventData.ClientProcessName	principal.process.file.full_path	Dipetakan secara langsung
record.ExtendedProperties.suspiciousProcessId	principal.process.pid	Dipetakan secara langsung
account_id	principal.resource.attribute.labels	Digabung
account_object_id	principal.resource.attribute.labels	Digabung
alertLabel	principal.resource.attribute.labels	Digabung
alertLabel1	principal.resource.attribute.labels	Digabung
app_instance_id	principal.resource.attribute.labels	Digabung
compromisedEntityLabel	principal.resource.attribute.labels	Digabung
compromisedEntityLabel1	principal.resource.attribute.labels	Digabung
correlationKeyLabel	principal.resource.attribute.labels	Digabung
effectiveSubscriptionIdLabel	principal.resource.attribute.labels	Digabung
object_id	principal.resource.attribute.labels	Digabung
object_name	principal.resource.attribute.labels	Digabung
object_type	principal.resource.attribute.labels	Digabung
potential_causes	principal.resource.attribute.labels	Digabung
productComponentNameLabel	principal.resource.attribute.labels	Digabung
sql_instance_name_label	principal.resource.attribute.labels	Digabung
sql_server_name_label	principal.resource.attribute.labels	Digabung
supporting_evidence_label	principal.resource.attribute.labels	Digabung
system_alert_id_label	principal.resource.attribute.labels	Digabung
zone_interface_label	principal.resource.attribute.labels	Digabung
record.properties.extendedProperties.resourceType	principal.resource.name	Dipetakan secara langsung
resourceType	principal.resource.name	Dipetakan secara langsung
record.ResourceId	principal.resource.product_object_id	Dipetakan secara langsung
mailbox_owner_upn	principal.user.email_addresses	Digabung
principal_user_display_name	principal.user.user_display_name	Dipetakan secara langsung
record.ExtendedProperties.userName	principal.user.user_display_name	Dipetakan secara langsung
client_user	principal.user.userid	Dipetakan secara langsung
principal_userid	principal.user.userid	Dipetakan secara langsung
record.properties.RawEventData.LogonUserSid	principal.user.windows_sid	Dipetakan secara langsung
action	security_result.action	Digabung
operation	security_result.action	Dipetakan (tabel perujukan)
tacticsLabel	security_result.attack_details.tactics	Digabung
category_details_label	security_result.category_details	Digabung
threat_category	security_result.category_details	Digabung
record.Description	security_result.description	Dipetakan secara langsung
record.properties.description	security_result.description	Dipetakan secara langsung
KindLabel	security_result.detection_fields	Digabung
action_type	security_result.detection_fields	Digabung
application_id	security_result.detection_fields	Digabung
device_type	security_result.detection_fields	Digabung
field	security_result.detection_fields	Digabung
incidentdetectionfields	security_result.detection_fields	Digabung
incidentdetectionfields1	security_result.detection_fields	Digabung
intent_label	security_result.detection_fields	Digabung
is_admin_operation_label	security_result.detection_fields	Digabung
is_impersonated_label	security_result.detection_fields	Digabung
is_new_label	security_result.detection_fields	Digabung
operation	security_result.detection_fields	Dipetakan: MailItemsAccessed → field
product_component_name_ext_label	security_result.detection_fields	Digabung
sourcesystemdetectionfields	security_result.detection_fields	Digabung
statusdetectionfields	security_result.detection_fields	Digabung
statusdetectionfields1	security_result.detection_fields	Digabung
trojan_script_malgent_msr_label	security_result.detection_fields	Digabung
vendor_original_id_label	security_result.detection_fields	Digabung
violation_count_label	security_result.detection_fields	Digabung
report_id	security_result.rule_id	Dipetakan secara langsung
alertDisplayName	security_result.rule_name	Dipetakan secara langsung
record.AlertName	security_result.rule_name	Dipetakan secara langsung
alert_severity	security_result.severity	Dipetakan secara langsung
severity	security_result.severity	Dipetakan secara langsung
alert_severity	security_result.severity_details	Dipetakan secara langsung
record.properties.severity	security_result.severity_details	Dipetakan secara langsung
record.DisplayName	security_result.summary	Dipetakan secara langsung
summary	security_result.summary	Dipetakan secara langsung
record.AlertType	security_result.threat_name	Dipetakan secara langsung
record.properties.alertType	security_result.threat_name	Dipetakan secara langsung
AlertManagementUri	security_result.url_back_to_product	Dipetakan secara langsung
record.properties.RawEventData.Folder.Path	src.resource.name	Dipetakan secara langsung
record.properties.RawEventData.Folder.Id	src.resource.product_object_id	Dipetakan secara langsung
application	target.application	Dipetakan secara langsung
DestinationDevice	target.asset.hostname	Dipetakan secara langsung
record.ExtendedProperties.compromisedHost	target.asset.hostname	Dipetakan secara langsung
DestinationDeviceAddress	target.asset.ip	Dipetakan: Ekspresi reguler IPv4
CompromisedEntityId	target.asset.product_object_id	Dipetakan secara langsung
file_name	target.file.names	Digabung
operation	target.file.names	Dipetakan (tabel perujukan)
operation	target.file.size	Dipetakan (tabel perujukan)
record.properties.RawEventData.Item.SizeInBytes	target.file.size	Dipetakan secara langsung
DestinationDevice	target.hostname	Dipetakan secara langsung
originating_server	target.hostname	Dipetakan secara langsung
record.ExtendedProperties.compromisedHost	target.hostname	Dipetakan secara langsung
DestinationDeviceAddress	target.ip	Dipetakan: Ekspresi reguler IPv4
target_process_command_line	target.process.command_line	Dipetakan secara langsung
target_process_file	target.process.file.full_path	Dipetakan secara langsung
target_process_id	target.process.pid	Dipetakan secara langsung
workspaceLabel	target.resource.attribute.labels	Digabung
workspaceResourceGroupLabel	target.resource.attribute.labels	Digabung
AzureResourceId	target.resource.id	Dipetakan secara langsung
record.properties.RawEventData.DestFolder.Path	target.resource.name	Dipetakan secara langsung
record.properties.RawEventData.Item.ParentFolder.Path	target.resource.name	Dipetakan secara langsung
record._Internal_WorkspaceResourceId	target.resource.product_object_id	Dipetakan secara langsung
record.properties.RawEventData.DestFolder.Id	target.resource.product_object_id	Dipetakan secara langsung
record.properties.RawEventData.Item.Id	target.resource.product_object_id	Dipetakan secara langsung
operation	target.user.email_addresses	Dipetakan (tabel perujukan)
target_user	target.user.email_addresses	Dipetakan: ekspresi reguler email
T/A	metadata.event_type	Konstanta: NETWORK_CONNECTION
T/A	metadata.product_name	Konstanta: MICROSOFT_DEFENDER_CLOUD_ALERTS
T/A	metadata.vendor_name	Konstanta: MICROSOFT_DEFENDER_CLOUD_ALERTS
T/A	principal.platform	Konstanta: MAC
record.ExtendedProperties.clientIpAddress	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
record.ExtendedProperties.clientPrincipalName	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
record.ExtendedProperties.clientApplication	event.idm.read_only_udm.principal.application	Dipetakan dari log perubahan
record.ExtendedProperties.Potential causes	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
record.ExtendedProperties.investigationSteps	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
record.ExtendedProperties.alertId	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Entity.FriendlyName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entity.SourceAddress.Type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entity.EntityIds	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entity.Metadata.IsGraphCenter	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
record.ExtendedProperties	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entities.FriendlyName	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
Entities.FileHashes.FriendlyName	event.idm.read_only_udm.target.file.sha1	Dipetakan dari log perubahan
Entities.FileHashes.FriendlyName	event.idm.read_only_udm.target.file.md5	Dipetakan dari log perubahan
Entities.FileHashes.FriendlyName	event.idm.read_only_udm.target.file.sha256	Dipetakan dari log perubahan
Entities.AzureResourceId	event.idm.read_only_udm.target.resource.product_object_id	Dipetakan dari log perubahan
Entities.ResourceType	event.idm.read_only_udm.target.resource.resource_subtype	Dipetakan dari log perubahan
Entities.ResourceName	event.idm.read_only_udm.target.resource.name	Dipetakan dari log perubahan
Entities.SourceAddress.Location.CountryName	event.idm.read_only_udm.location.country_or_region	Dipetakan dari log perubahan
Entities.SourceAddress.Location.City	event.idm.read_only_udm.location.city	Dipetakan dari log perubahan
Entities.SourceAddress.Location.State	event.idm.read_only_udm.location.state	Dipetakan dari log perubahan
Entities.SourceAddress.Location.Longitude	event.idm.read_only_udm.location.region_coordinates.longitude	Dipetakan dari log perubahan
Entities.SourceAddress.Location.Latitude	event.idm.read_only_udm.location.region_coordinates.latitude	Dipetakan dari log perubahan
Entities.SourceAddress.Location.Asn	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entities.SourceAddress.Location.Carrier	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entities.SourceAddress.Location.Organization	event.idm.read_only_udm.principal.network.organization_name	Dipetakan dari log perubahan
RecommendationLink	event.idm.read_only_udm.metadata.url_back_to_product	Dipetakan dari log perubahan
Properties.status.statusChangeDate	event.idm.read_only_udm.security_result.last_updated_time	Dipetakan dari log perubahan
StatusChangeDate	event.idm.read_only_udm.target.resource.attribute.last_update_time	Dipetakan dari log perubahan
Type	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
_TimeReceived	event.idm.read_only_udm.metadata.collected_timestamp	Dipetakan dari log perubahan
Properties.additionalData.scanId	event.idm.read_only_udm.observer.resource.product_object_id	Dipetakan dari log perubahan
Properties.additionalData.parentResource	event.idm.read_only_udm.target.resource_ancestors.product_object_id	Dipetakan dari log perubahan
Properties.additionalData.databasePlatform	event.idm.read_only_udm.target.resource.resource_subtype	Dipetakan dari log perubahan
Properties.metadata_data.techniques.0	event.idm.read_only_udm.security_result.attack_details.techniques.name	Dipetakan dari log perubahan
Properties.links.azurePortal	event.idm.read_only_udm.security_result.url_back_to_product	Dipetakan dari log perubahan
Properties.displayName	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
Properties.additionalData.ruleId	event.idm.read_only_udm.security_result.rule_id	Dipetakan dari log perubahan
Properties.additionalData.scanner	event.idm.read_only_udm.observer.resource.name	Dipetakan dari log perubahan
Properties.resourceDetails.id	event.idm.read_only_udm.target.resource.product_object_id	Dipetakan dari log perubahan
Properties.resourceDetails.resourceName	event.idm.read_only_udm.target.resource.name	Dipetakan dari log perubahan
Properties.resourceDetails.resourceProvider	event.idm.read_only_udm.target.resource_ancestors.name	Dipetakan dari log perubahan
FirstEvaluationDate	event.idm.read_only_udm.security_result.first_discovered_time	Dipetakan dari log perubahan
DiscoveredTimeUTC	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
RecommendationDisplayName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Recommendation DisplayName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RecommendationId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Recommendation Id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RecommendationName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Recommendation Name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RecommendationSeverity	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Recommendation Severity	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RecommendationState	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Recommendation State	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RemediationDescription	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Remediation_Description	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
SourceSystem	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Source System	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
_ItemId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Item Id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.displayName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Metadata Display Name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.assessmentType	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Assessment Type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.policyDefinitionId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Policy Definition Id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.description	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Metadata Description	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.remediationDescription	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Remediation Description	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.preview	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Preview	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.severity	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Metadata Severity	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.userImpact	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
User Impact	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.implementationEffort	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Implementation Effort	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.publishDates.public	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Public Publish Date	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.cloudProviders	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Cloud Providers %{index}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.managementProvider	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Management Provider	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.securityIssue	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Security Issue	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.recommendationCategory	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Recommendation Category	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
_IsBillable	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Is Billable	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
_BilledSize	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Billed Size	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IsSnapshot	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Is Snapshot	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ResourceTenantId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Resource Tenant ID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.additionalData.hasBaseline	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Has Baseline	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.additionalData.query	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Query	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.additionalData.remediationDescription	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Additional Remediation Description	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.additionalData.remediationQuery	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Remediation Query	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.additionalData.impact	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Impact	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
benchmarks.json_array2.item.reference	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Benchmark Reference	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.status.firstEvaluationDate	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
First Evaluation Date	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.resourceDetails.nativeResourceId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Native Resource ID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
benchmarks.json_array2.item.benchmark	Kunci Benchmark ke event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.securityCategories	Kunci Security Categories ke event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.metadata_data.categories	Kunci Metadata Categories ke event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Properties.additionalData.scanTime	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
scanTime	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
Properties.status.code	event.idm.read_only_udm.security_result.outcomes	Dipetakan dari log perubahan
Status Code	event.idm.read_only_udm.security_result.outcomes	Dipetakan dari log perubahan
Properties.status.cause	event.idm.read_only_udm.security_result.outcomes	Dipetakan dari log perubahan
status_cause	event.idm.read_only_udm.security_result.outcomes	Dipetakan dari log perubahan
Properties.resourceDetails.resourceType	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Resource Type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
record.TimeGenerated	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
record.ExtendedProperties.suspiciousProcessId	event.idm.read_only_udm.principal.process.pid	Dipetakan dari log perubahan
record.ExtendedProperties.suspiciousProcess	event.idm.read_only_udm.principal.process.file.full_path	Dipetakan dari log perubahan
record.ExtendedProperties.suspiciousCommandLine	event.idm.read_only_udm.principal.process.command_line	Dipetakan dari log perubahan
record.ExtendedProperties.userName	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
record.ExtendedProperties.compromisedHost	event.idm.read_only_udm.target.hostname dan event.idm.read_only_udm.target.asset.hostname	Dipetakan dari log perubahan
record.ExtendedProperties.accountSessionId	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
SourceDeviceAddress	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
SourceDeviceAddress	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
DestinationDeviceAddress	event.idm.read_only_udm.target.ip	Dipetakan dari log perubahan
DestinationDeviceAddress	event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
SourceDevice	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
SourceDevice	event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
DestinationDevice	event.idm.read_only_udm.target.hostname	Dipetakan dari log perubahan
DestinationDevice	event.idm.read_only_udm.target.asset.hostname	Dipetakan dari log perubahan
SourceComputerId	event.idm.read_only_udm.principal.asset.product_object_id	Dipetakan dari log perubahan
CompromisedEntityId	event.idm.read_only_udm.target.asset.product_object_id	Dipetakan dari log perubahan
SensorId	event.idm.read_only_udm.intermediary.hostname	Dipetakan dari log perubahan
Category	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
AlertManagementUri	event.idm.read_only_udm.security_result.url_back_to_product	Dipetakan dari log perubahan
record.VendorOriginalId	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
VendorOriginalId	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
ProductComponentName	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
ViolationCount	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
isNew	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
record.ProviderName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ProviderName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
DeviceId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ExtendedProperties_DeviceId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
_TimeReceived	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
BACnet Service	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
bacnet_service	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Protocol	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
isLearnable	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
RemediationSteps	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Techniques	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Alert generation status	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ProcessedBySentinel	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
record.Entities	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Entity: %{key}_%{index}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IoTHub.ResourceId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IoTHub_ResourceId_%{index}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IoTHub.Type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IoTHub_Type_%{index}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Owners	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Owners_%{index}_%{owner_index}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Nics	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Nics_%{index}_%{nic_index}_%{key}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Protocols	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Protocols_%{index}	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
record.properties.RawEventData.ClientProcessName	event.idm.read_only_udm.principal.process.file.full_path	Dipetakan dari log perubahan
record.properties.RawEventData.ClientRequestId	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
record.properties.RawEventData.LogonUserSid	event.idm.read_only_udm.principal.user.windows_sid	Dipetakan dari log perubahan
record.properties.RawEventData.MailboxOwnerUPN	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
record.properties.ISP	event.idm.read_only_udm.principal.location.name	Dipetakan dari log perubahan
record.properties.RawEventData.OriginatingServer	event.idm.read_only_udm.target.hostname	Dipetakan dari log perubahan
record.properties.Application	event.idm.read_only_udm.target.application	Dipetakan dari log perubahan
record.properties.ReportId	event.idm.read_only_udm.security_result.rule_id	Dipetakan dari log perubahan
record.properties.IsImpersonated	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
record.properties.IsAdminOperation	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
zone_interface	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.extendedProperties.potential causes	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.extendedProperties.productComponentName	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.extendedProperties.effectiveSubscriptionId	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.extendedProperties.sql server name	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.extendedProperties.sql instance name	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.supportingEvidence	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.systemAlertId	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
record.properties.RawEventData.UserId	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
record.properties.RawEventData.Id	event.idm.read_only_udm.metadata.product_log_id	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.