Raccogli gli avvisi di Microsoft Defender for Cloud

Supportata in:

Questo documento spiega come importare gli avvisi di Microsoft Defender for Cloud (in precedenza Centro sicurezza di Azure) in Google Security Operations. Puoi configurare l'importazione utilizzando due metodi supportati:

  • Metodo 1: Azure Event Hub (consigliato): l'esportazione continua di Defender for Cloud trasmette gli avvisi direttamente a un Azure Event Hub, da cui Google SecOps li importa quasi in tempo reale.
  • Metodo 2: Azure Blob Storage V2: l'esportazione continua di Defender for Cloud invia gli avvisi a un'area di lavoro Analisi dei log, una regola di esportazione dei dati di Analisi dei log li scrive in un account Azure Storage e Google SecOps li importa dal container BLOB in base a una pianificazione di polling.

Microsoft Defender for Cloud è una piattaforma di protezione delle applicazioni cloud-native che fornisce gestione unificata della sicurezza e protezione dalle minacce per workload Azure, ibridi e multi-cloud.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Elementi comuni a entrambi i metodi:

    • Un'istanza Google SecOps.
    • Accesso con privilegi al portale di Microsoft Azure con le autorizzazioni per:
      • Configura l'esportazione continua su un abbonamento a Microsoft Defender for Cloud.
    • Ruolo Security Admin o Owner nell'abbonamento Azure contenente Microsoft Defender for Cloud.
    • Microsoft Defender for Cloud abilitato nell'abbonamento con almeno un piano Defender attivo.

  • Prerequisiti aggiuntivi per il metodo 1 (Azure Event Hubs):

    • Autorizzazioni per creare spazi dei nomi di Event Hubs ed Event Hubs e per gestire i criteri di accesso di Event Hubs.
    • Autorizzazioni di scrittura sulla policy dell'hub eventi di destinazione (richieste dall'esportazione continua).

  • Prerequisiti aggiuntivi per il metodo 2 (Azure Blob Storage V2):

    • Autorizzazioni per creare o gestire un'area di lavoro di analisi dei log e per creare regole di esportazione dei dati al suo interno.
    • Autorizzazioni per creare un account Azure Storage con un container blob e per recuperare le relative chiavi di accesso.

Utilizza questo metodo se vuoi un'importazione quasi in tempo reale degli avvisi di Defender for Cloud e puoi concedere a Google SecOps l'accesso a un hub eventi di Azure.

Crea spazio dei nomi dell'hub di eventi

Uno spazio dei nomi degli hub di eventi è un container di gestione per uno o più hub di eventi.

  1. Nel portale Azure, cerca Hub eventi.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona l'abbonamento contenente Microsoft Defender for Cloud.
    Gruppo di risorse Seleziona un elemento esistente o creane uno nuovo.
    Nome dello spazio dei nomi Inserisci un nome univoco (ad esempio secops-defender-ns).
    Località Seleziona la stessa regione della tua istanza Google SecOps (il deployment in una regione diversa riduce il throughput di importazione).
    Livello di prezzo Standard (consigliato per la produzione).
    Unità di throughput Inizia con 1, attiva l'espansione automatica (consigliata).

  4. Fai clic su Review + create (Rivedi e crea).

  5. Esamina la panoramica e fai clic su Crea.

  6. Attendi il completamento del deployment (1-2 minuti).

Crea hub di eventi

  1. Dopo aver eseguito il deployment dello spazio dei nomi, vai allo spazio dei nomi dell'hub di eventi.
  2. Nel pannello di navigazione a sinistra, seleziona Hub eventi in Entità.
  3. Fai clic su + Event Hub.

  4. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome Inserisci un nome univoco che corrisponda al tipo di log (ad esempio, defender-cloud-alerts); evita di lasciare il campo vuoto durante la configurazione di Defender Continuous Export per impedire al sistema di creare hub eventi aggiuntivi.
    Conteggio partizioni 40 (consigliato per una scalabilità ottimale di Google SecOps).
    Conservazione dei messaggi Minimo 7 giorni. Imposta la conservazione più lunga possibile in modo che i log non vengano eliminati prima che l'importazione riprenda dopo una limitazione della quota.
    Acquisisci Disattivato (non necessario per l'importazione diretta di Event Hub).

  5. Fai clic su Crea.

Ottieni la stringa di connessione dell'hub di eventi

Google SecOps richiede una stringa di connessione per l'autenticazione nell'hub eventi.

  1. Vai allo spazio dei nomi dell'hub di eventi.
  2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
  3. Fai clic sulla policy predefinita RootManageSharedAccessKey.
  4. Copia la stringa di connessione-chiave primaria.

  5. Salva questa stringa di connessione in modo sicuro.

    Esempio:

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Opzione B: stringa di connessione a livello di hub eventi

  1. Vai all'hub di eventi (non allo spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
  3. Fai clic su + Aggiungi per creare una nuova policy.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome della policy: inserisci un nome descrittivo (ad esempio chronicle-listen).
    • Autorizzazioni: seleziona solo Ascolta (accesso di sola lettura).
  5. Fai clic su Crea.
  6. Fai clic sulla policy appena creata.
  7. Copia la stringa di connessione-chiave primaria.

  8. Salva questa stringa di connessione in modo sicuro.

Configura Microsoft Defender for Cloud per trasmettere gli avvisi all'hub eventi

Microsoft Defender for Cloud utilizza la funzionalità di esportazione continua per trasmettere in streaming avvisi e suggerimenti a un hub eventi man mano che vengono generati.

  1. Accedi al portale di Azure.
  2. Cerca e apri Microsoft Defender for Cloud.
  3. Nel menu delle risorse di Defender for Cloud, seleziona Impostazioni ambiente.
  4. Seleziona l'abbonamento per cui vuoi configurare l'esportazione dei dati.
  5. Nel menu delle risorse, in Impostazioni, seleziona Esportazione continua.
  6. Seleziona la scheda Hub eventi.
  7. Fornisci i seguenti dettagli di configurazione:
    • Esportazione abilitata?: attiva l'opzione.
    • Nella sezione Tipi di dati esportati, seleziona i tipi di dati da esportare. Per raccogliere gli avvisi di sicurezza, seleziona le seguenti caselle di controllo:
      • Avvisi di sicurezza
      • (Facoltativo) Consigli per la sicurezza, Punteggio di sicurezza, Conformità legale, Percorsi di attacco e altri tipi, se necessario
    • Per ogni tipo di dati selezionato, configura i filtri (ad esempio, esporta solo i livelli di gravità Basso, Medio, Alto o tutti i livelli di gravità).
    • Nella sezione Frequenza di esportazione, seleziona la frequenza:
      • Streaming: invia gli avvisi man mano che vengono generati (opzione consigliata per Google SecOps).
      • Istantanee: invia un'istantanea settimanale dello stato attuale (da utilizzare solo per i report periodici).
    • Nella sezione Destinazione esportazione, configura la destinazione:
      • Destinazione esportazione: seleziona Hub eventi.
      • Subscription (Sottoscrizione): seleziona la sottoscrizione contenente lo spazio dei nomi dell'hub di eventi.
      • Spazio dei nomi dell'hub di eventi: seleziona secops-defender-ns (o lo spazio dei nomi che hai creato in precedenza).
      • Nome hub di eventi: seleziona defender-cloud-alerts (o l'hub di eventi che hai creato in precedenza). Seleziona sempre un hub eventi esistente. Se lasci questo campo vuoto, il sistema crea hub eventi aggiuntivi e potrebbe esaurire la quota di feed.
      • Nome policy hub eventi: seleziona RootManageSharedAccessKey o una policy personalizzata con autorizzazioni di invio.

  8. Fai clic su Salva.

(Facoltativo) Crea un gruppo di consumer dedicato

Per impostazione predefinita, l'hub di eventi fornisce un gruppo di consumer denominato $Default. Per gli ambienti di produzione, è consigliabile creare un gruppo di consumer dedicato per Google SecOps.

  1. Vai all'hub di eventi (non allo spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Gruppi di consumer in Entità.
  3. Fai clic su + Gruppo di consumer.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio chronicle).

  5. Fai clic su Crea.

Configura un feed in Google SecOps per importare gli avvisi di Microsoft Defender for Cloud (metodo 1)

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Microsoft Defender for Cloud Alerts).
  5. Seleziona Microsoft Azure Event Hub come Tipo di origine.
  6. Seleziona Microsoft Defender For Cloud come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • Nome hub di eventi: inserisci il nome dell'hub di eventi (ad esempio defender-cloud-alerts).
    • Gruppo di consumer dell'hub di eventi: inserisci il nome del gruppo di consumer.
      • Utilizza $Default per il gruppo di consumer predefinito.
      • Se hai creato un gruppo di consumer dedicato, inserisci il suo nome (ad esempio, chronicle).

    • Stringa di connessione all'hub di eventi: inserisci la stringa di connessione all'hub di eventi acquisita in precedenza.

      Se utilizzi la stringa di connessione a livello di spazio dei nomi:

      • Assicurati di aver rimosso il parametro EntityPath.

      Se utilizzi la stringa di connessione a livello di hub eventi: - Utilizza la stringa di connessione così com'è (include EntityPath).

    • (Facoltativo) Stringa di connessione ad Azure Storage: campo legacy per lo spazio di archiviazione dei checkpoint di Event Hubs; lascialo vuoto.

    • Nome container Azure Storage (facoltativo): campo legacy per lo spazio di archiviazione dei checkpoint di Event Hubs; lascia vuoto.

    • Token SAS di Azure (facoltativo): autenticazione alternativa all'hub eventi quando le norme di sicurezza vietano la condivisione della stringa di connessione dell'hub eventi; lascia vuoto se fornisci la stringa di connessione sopra.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Metodo 2: Azure Blob Storage V2

Utilizza questo metodo se la tua organizzazione conserva già gli avvisi di Defender for Cloud in un'area di lavoro di analisi dei log (per la conformità o l'archiviazione a lungo termine) e vuoi che Google SecOps acquisisca gli stessi avvisi da un account di archiviazione Azure. L'esportazione continua di Microsoft Defender for Cloud non scrive direttamente in un account di archiviazione, pertanto questo metodo si basa sulla funzionalità standard di esportazione dei dati di analisi dei log per inserire gli avvisi nello spazio di archiviazione blob, da cui Google SecOps li legge.

Il percorso dei dati end-to-end è:

  • Microsoft Defender for Cloud > Esportazione continua in un'area di lavoro di Log Analytics
  • La regola Esportazione dei dati dell'area di lavoro Analisi dei log > scrive la tabella SecurityAlert in un account Azure Storage (container blob)
  • Il feed Google SecOps Azure Blob Storage V2 esegue il polling del container blob e importa i nuovi avvisi

Configura Microsoft Defender for Cloud per lo streaming degli avvisi a un'area di lavoro di analisi dei log

  1. Accedi al portale di Azure.
  2. Cerca e apri Microsoft Defender for Cloud.
  3. Nel menu delle risorse di Defender for Cloud, seleziona Impostazioni ambiente.
  4. Seleziona l'abbonamento per cui vuoi configurare l'esportazione dei dati.
  5. Nel menu delle risorse, in Impostazioni, seleziona Esportazione continua.
  6. Seleziona la scheda Area di lavoro Log Analytics.
  7. Fornisci i seguenti dettagli di configurazione:
    • Esportazione abilitata?: attiva l'opzione.
    • Nella sezione Tipi di dati esportati, seleziona Avvisi di sicurezza (e qualsiasi altro tipo di dati che vuoi acquisire).
    • Per ogni tipo di dati selezionato, configura i filtri di gravità in base alle esigenze.
    • Nella sezione Frequenza di esportazione, seleziona Streaming per l'esportazione quasi in tempo reale.
    • Nella sezione Destinazione esportazione, configura la destinazione:
      • Destinazione esportazione: seleziona Area di lavoro di Analisi dei log.
      • Sottoscrizione: seleziona la sottoscrizione che contiene l'area di lavoro.
      • Workspace di Analisi dei log: seleziona un workspace esistente o creane uno nuovo.

  8. Fai clic su Salva.

Crea un account Azure Storage e un container blob

  1. Nel portale Azure, cerca Account di archiviazione.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona l'abbonamento che contiene l'area di lavoro di Log Analytics.
    Gruppo di risorse Utilizza lo stesso gruppo di risorse della workspace (consigliato).
    Nome account di archiviazione Inserisci un nome univoco (ad esempio secopsdefenderblob).
    Regione La stessa regione dell'area di lavoro di analisi dei log (obbligatorio per l'esportazione dei dati).
    Prestazioni Standard.
    Ridondanza LRS (archiviazione con ridondanza locale) o GRS, in base alla policy di durabilità.

  4. Fai clic su Review + create (Rivedi e crea), quindi su Create (Crea).

  5. Dopo il deployment, vai all'account di archiviazione.

  6. Nel menu di navigazione a sinistra, seleziona Container in Datastore.

  7. Fai clic su + Container.

  8. Fornisci i seguenti dettagli di configurazione:

    • Nome: inserisci un nome descrittivo (ad esempio defender-cloud-alerts).
    • Livello di accesso pubblico: Privato (nessun accesso anonimo).

  9. Fai clic su Crea.

Configura una regola di esportazione dei dati di Analisi dei log

  1. Nel portale di Azure, apri l'area di lavoro di Analisi dei log che hai selezionato come destinazione dell'esportazione continua.
  2. Nel menu di navigazione a sinistra, seleziona Esportazione dei dati in Impostazioni.
  3. Fai clic su + Nuova regola di esportazione.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome regola: inserisci un nome descrittivo (ad esempio defender-alerts-to-blob).
    • Origine: seleziona la tabella SecurityAlert (la tabella utilizzata dall'esportazione continua di Defender for Cloud per gli avvisi).
    • Destination type (Tipo di destinazione): seleziona Storage account (Account di archiviazione).
    • Subscription (Sottoscrizione): seleziona la sottoscrizione che contiene l'account di archiviazione.
    • Storage account (Account di archiviazione): seleziona l'account di archiviazione che hai creato in precedenza.

  5. Fai clic su Crea.

Ottieni le credenziali dell'account di archiviazione

Google SecOps si autentica nell'account di archiviazione con una chiave di accesso condivisa.

  1. Nell'account di archiviazione, seleziona Chiavi di accesso in Sicurezza + networking.
  2. Fai clic su Mostra chiavi.
  3. Individua key1 e copia i seguenti valori:
    • Nome account di archiviazione: il nome dell'account di archiviazione che hai creato.
    • Chiave: la chiave di accesso condivisa a 512 bit (codificata in Base64).
  4. Salva questi valori in modo sicuro.

Configura un feed in Google SecOps per importare gli avvisi di Microsoft Defender for Cloud (metodo 2)

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad es. Microsoft Defender for Cloud Alerts - Blob).
  5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
  6. Seleziona Microsoft Defender For Cloud come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI Azure: inserisci l'URL dell'endpoint del servizio Blob con il percorso del container. Includi la barra finale.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Sostituisci quanto segue:

      • <STORAGE_ACCOUNT>: il nome del tuo account Azure Storage (ad esempio, secopsdefenderblob).
      • <CONTAINER>: il nome del container di blob in cui l'esportazione dei dati di Analisi dei log inserisce le righe SecurityAlert (ad esempio, defender-cloud-alerts).

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo il trasferimento (opzione consigliata per la configurazione iniziale e la conservazione dei dati di controllo).
      • Elimina i file trasferiti: elimina i file dopo il trasferimento riuscito.
      • Elimina i file trasferiti e le directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.

    • Età massima del file (giorni): include i file modificati negli ultimi giorni (il valore predefinito è 180).

    • Chiave condivisa: inserisci il valore della chiave di accesso condivisa che hai acquisito dall'account di archiviazione.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo del log mappatura UDM Logica
EndTimeLabel about.labels Unita
ProcessingEndTimeLabel about.labels Unita
StartTimeLabel about.labels Unita
TimeGeneratedLabel about.labels Unita
extendedLinkCategoryLabel about.labels Unita
extendedLinkLabel about.labels Unita
extendedLinkTypeLabel about.labels Unita
extendedlinkHrefLabel about.labels Unita
EndTimeLabel about.resource.attribute.labels Unita
ProcessingEndTimeLabel about.resource.attribute.labels Unita
StartTimeLabel about.resource.attribute.labels Unita
TimeGeneratedLabel about.resource.attribute.labels Unita
extendedLinkCategoryLabel about.resource.attribute.labels Unita
extendedLinkLabel about.resource.attribute.labels Unita
extendedLinkTypeLabel about.resource.attribute.labels Unita
extendedlinkHrefLabel about.resource.attribute.labels Unita
EndTimeLabel1 additional.fields Unita
IoTHub_ResourceId_label additional.fields Unita
IoTHub_Type_label additional.fields Unita
Protocols_label additional.fields Unita
RemediationSteps_label additional.fields Unita
Scopes_label additional.fields Unita
StartTimeLabel1 additional.fields Unita
TimeGeneratedLabel1 additional.fields Unita
account_type additional.fields Unita
alert_generation_status_label additional.fields Unita
bacnet_service_label additional.fields Unita
billed_size_label additional.fields Unita
category_label additional.fields Unita
event_data_info additional.fields Unita
extended_properties_device_id_label additional.fields Unita
ip_category additional.fields Unita
is_billable_label additional.fields Unita
is_learnable_label additional.fields Unita
item_id_label additional.fields Unita
key additional.fields Mappatura: IpAddress → nic_sub_field
key_value additional.fields Unita
mode_label additional.fields Unita
nic_field additional.fields Unita
nic_sub_field additional.fields Unita
owner_label additional.fields Unita
processed_by_sentinel_label additional.fields Unita
protocol_label additional.fields Unita
provider_name_label additional.fields Unita
remediation_steps_label additional.fields Unita
role_label additional.fields Unita
service_object_type additional.fields Unita
techniques_label additional.fields Unita
tenantIdLabel additional.fields Unita
time_received_label additional.fields Unita
type_ext_label additional.fields Unita
type_label additional.fields Unita
value_label additional.fields Unita
authentication_type extensions.auth.auth_details Mappatura diretta
SensorId intermediary.hostname Mappatura diretta
record.TimeGenerated metadata.event_timestamp Analizzato come ISO8601
record.properties.Timestamp metadata.event_timestamp Analizzato come ISO8601
record.time metadata.event_timestamp Analizzato come ISO8601
has_principal metadata.event_type Mappatura: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Mappatura diretta
raw_event_id metadata.product_log_id Mappatura diretta
record.SystemAlertId metadata.product_log_id Mappatura diretta
record.alertId metadata.product_log_id Mappatura diretta
record.properties.extendedProperties.alert_Id metadata.product_log_id Mappatura diretta
product_name metadata.product_name Mappatura diretta
record.properties.productName metadata.product_name Mappatura diretta
vendor_name metadata.vendor_name Mappatura diretta
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Mappatura diretta
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Mappatura diretta
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Mappatura diretta
email_subject network.email.subject Unita
operation network.email.subject Mappata (tabella di ricerca)
record.properties.UserAgent network.http.user_agent Mappatura diretta
user_agent network.http.user_agent Mappatura diretta
network_session_id network.session_id Mappatura diretta
record.ExtendedProperties.accountSessionId network.session_id Mappatura diretta
record.properties.RawEventData.ClientRequestId network.session_id Mappatura diretta
record.clientApplication principal.application Mappatura diretta
record.properties.extendedProperties.clientApplication principal.application Mappatura diretta
SourceDevice principal.asset.hostname Mappatura diretta
client_hostname principal.asset.hostname Mappatura diretta
compromised_hostname principal.asset.hostname Mappatura diretta
SourceDeviceAddress principal.asset.ip Mappato: espressione regolare IPv4
clientIpAddress principal.asset.ip Unita
SourceComputerId principal.asset.product_object_id Mappatura diretta
SourceDevice principal.hostname Mappatura diretta
client_hostname principal.hostname Mappatura diretta
compromised_hostname principal.hostname Mappatura diretta
SourceDeviceAddress principal.ip Mappato: espressione regolare IPv4
clientIpAddress principal.ip Unita
alertLabel principal.labels Unita
cityLabel principal.location.city Mappatura diretta
record.properties.City principal.location.city Mappatura diretta
countryLabel principal.location.country_or_region Mappatura diretta
record.clientIpLocation principal.location.country_or_region Mappatura diretta
record.clientLocation principal.location.country_or_region Mappatura diretta
record.properties.clientLocation principal.location.country_or_region Mappatura diretta
record.properties.extendedProperties.clientLocation principal.location.country_or_region Mappatura diretta
isp principal.location.name Mappatura diretta
entity.location.latitude principal.location.region_coordinates.latitude Mappatura diretta
entity.location.longitude principal.location.region_coordinates.longitude Mappatura diretta
os_platform principal.platform Mappatura: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Mappatura diretta
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Mappatura diretta
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Mappatura diretta
record.ExtendedProperties.suspiciousProcessId principal.process.pid Mappatura diretta
account_id principal.resource.attribute.labels Unita
account_object_id principal.resource.attribute.labels Unita
alertLabel principal.resource.attribute.labels Unita
alertLabel1 principal.resource.attribute.labels Unita
app_instance_id principal.resource.attribute.labels Unita
compromisedEntityLabel principal.resource.attribute.labels Unita
compromisedEntityLabel1 principal.resource.attribute.labels Unita
correlationKeyLabel principal.resource.attribute.labels Unita
effectiveSubscriptionIdLabel principal.resource.attribute.labels Unita
object_id principal.resource.attribute.labels Unita
object_name principal.resource.attribute.labels Unita
object_type principal.resource.attribute.labels Unita
potential_causes principal.resource.attribute.labels Unita
productComponentNameLabel principal.resource.attribute.labels Unita
sql_instance_name_label principal.resource.attribute.labels Unita
sql_server_name_label principal.resource.attribute.labels Unita
supporting_evidence_label principal.resource.attribute.labels Unita
system_alert_id_label principal.resource.attribute.labels Unita
zone_interface_label principal.resource.attribute.labels Unita
record.properties.extendedProperties.resourceType principal.resource.name Mappatura diretta
resourceType principal.resource.name Mappatura diretta
record.ResourceId principal.resource.product_object_id Mappatura diretta
mailbox_owner_upn principal.user.email_addresses Unita
principal_user_display_name principal.user.user_display_name Mappatura diretta
record.ExtendedProperties.userName principal.user.user_display_name Mappatura diretta
client_user principal.user.userid Mappatura diretta
principal_userid principal.user.userid Mappatura diretta
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Mappatura diretta
action security_result.action Unita
operation security_result.action Mappata (tabella di ricerca)
tacticsLabel security_result.attack_details.tactics Unita
category_details_label security_result.category_details Unita
threat_category security_result.category_details Unita
record.Description security_result.description Mappatura diretta
record.properties.description security_result.description Mappatura diretta
KindLabel security_result.detection_fields Unita
action_type security_result.detection_fields Unita
application_id security_result.detection_fields Unita
device_type security_result.detection_fields Unita
field security_result.detection_fields Unita
incidentdetectionfields security_result.detection_fields Unita
incidentdetectionfields1 security_result.detection_fields Unita
intent_label security_result.detection_fields Unita
is_admin_operation_label security_result.detection_fields Unita
is_impersonated_label security_result.detection_fields Unita
is_new_label security_result.detection_fields Unita
operation security_result.detection_fields Mappatura: MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Unita
sourcesystemdetectionfields security_result.detection_fields Unita
statusdetectionfields security_result.detection_fields Unita
statusdetectionfields1 security_result.detection_fields Unita
trojan_script_malgent_msr_label security_result.detection_fields Unita
vendor_original_id_label security_result.detection_fields Unita
violation_count_label security_result.detection_fields Unita
report_id security_result.rule_id Mappatura diretta
alertDisplayName security_result.rule_name Mappatura diretta
record.AlertName security_result.rule_name Mappatura diretta
alert_severity security_result.severity Mappatura diretta
severity security_result.severity Mappatura diretta
alert_severity security_result.severity_details Mappatura diretta
record.properties.severity security_result.severity_details Mappatura diretta
record.DisplayName security_result.summary Mappatura diretta
summary security_result.summary Mappatura diretta
record.AlertType security_result.threat_name Mappatura diretta
record.properties.alertType security_result.threat_name Mappatura diretta
AlertManagementUri security_result.url_back_to_product Mappatura diretta
record.properties.RawEventData.Folder.Path src.resource.name Mappatura diretta
record.properties.RawEventData.Folder.Id src.resource.product_object_id Mappatura diretta
application target.application Mappatura diretta
DestinationDevice target.asset.hostname Mappatura diretta
record.ExtendedProperties.compromisedHost target.asset.hostname Mappatura diretta
DestinationDeviceAddress target.asset.ip Mappato: espressione regolare IPv4
CompromisedEntityId target.asset.product_object_id Mappatura diretta
file_name target.file.names Unita
operation target.file.names Mappata (tabella di ricerca)
operation target.file.size Mappata (tabella di ricerca)
record.properties.RawEventData.Item.SizeInBytes target.file.size Mappatura diretta
DestinationDevice target.hostname Mappatura diretta
originating_server target.hostname Mappatura diretta
record.ExtendedProperties.compromisedHost target.hostname Mappatura diretta
DestinationDeviceAddress target.ip Mappato: espressione regolare IPv4
target_process_command_line target.process.command_line Mappatura diretta
target_process_file target.process.file.full_path Mappatura diretta
target_process_id target.process.pid Mappatura diretta
workspaceLabel target.resource.attribute.labels Unita
workspaceResourceGroupLabel target.resource.attribute.labels Unita
AzureResourceId target.resource.id Mappatura diretta
record.properties.RawEventData.DestFolder.Path target.resource.name Mappatura diretta
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Mappatura diretta
record._Internal_WorkspaceResourceId target.resource.product_object_id Mappatura diretta
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Mappatura diretta
record.properties.RawEventData.Item.Id target.resource.product_object_id Mappatura diretta
operation target.user.email_addresses Mappata (tabella di ricerca)
target_user target.user.email_addresses Mappata: regex email
N/D metadata.event_type Costante: NETWORK_CONNECTION
N/D metadata.product_name Costante: MICROSOFT_DEFENDER_CLOUD_ALERTS
N/D metadata.vendor_name Costante: MICROSOFT_DEFENDER_CLOUD_ALERTS
N/D principal.platform Costante: MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Mappato dal log delle modifiche
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Entity.FriendlyName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity.EntityIds event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.ExtendedProperties event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entities.FriendlyName event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Mappato dal log delle modifiche
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Mappato dal log delle modifiche
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Mappato dal log delle modifiche
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Mappato dal log delle modifiche
Entities.ResourceName event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Mappato dal log delle modifiche
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Mappato dal log delle modifiche
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Mappato dal log delle modifiche
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Mappato dal log delle modifiche
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Mappato dal log delle modifiche
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Mappato dal log delle modifiche
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Mappato dal log delle modifiche
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Mappato dal log delle modifiche
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Mappato dal log delle modifiche
Type event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Mappato dal log delle modifiche
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Mappato dal log delle modifiche
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Mappato dal log delle modifiche
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Mappato dal log delle modifiche
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Mappato dal log delle modifiche
Properties.displayName event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Mappato dal log delle modifiche
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Mappato dal log delle modifiche
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Mappato dal log delle modifiche
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
RecommendationDisplayName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation DisplayName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationSeverity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationState event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation State event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RemediationDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Remediation_Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
SourceSystem event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Source System event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_ItemId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Item Id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Metadata Display Name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Assessment Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Policy Definition Id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Metadata Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Remediation Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Preview event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Metadata Severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
User Impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Implementation Effort event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Public Publish Date event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Management Provider event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Security Issue event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Category event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_IsBillable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Is Billable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_BilledSize event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Billed Size event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IsSnapshot event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Is Snapshot event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ResourceTenantId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Resource Tenant ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Has Baseline event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Additional Remediation Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Remediation Query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Benchmark Reference event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
First Evaluation Date event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Native Resource ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
benchmarks.json_array2.item.benchmark Chiave Benchmark per event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.securityCategories Chiave Security Categories per event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.categories Chiave Metadata Categories per event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
Properties.status.code event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
Status Code event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
status_cause event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Resource Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Mappato dal log delle modifiche
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Mappato dal log delle modifiche
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Mappato dal log delle modifiche
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
SourceDeviceAddress event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
DestinationDeviceAddress event.idm.read_only_udm.target.ip Mappato dal log delle modifiche
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
SourceDevice event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
SourceDevice event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
DestinationDevice event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
DestinationDevice event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Mappato dal log delle modifiche
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Mappato dal log delle modifiche
SensorId event.idm.read_only_udm.intermediary.hostname Mappato dal log delle modifiche
Category event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Mappato dal log delle modifiche
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ViolationCount event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
isNew event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
record.ProviderName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProviderName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
DeviceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_TimeReceived event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
BACnet Service event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
bacnet_service event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Protocol event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
isLearnable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RemediationSteps event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Techniques event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Alert generation status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProcessedBySentinel event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.Entities event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub.Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Owners event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Nics event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Protocols event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Protocols_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Mappato dal log delle modifiche
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Mappato dal log delle modifiche
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
record.properties.ISP event.idm.read_only_udm.principal.location.name Mappato dal log delle modifiche
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
record.properties.Application event.idm.read_only_udm.target.application Mappato dal log delle modifiche
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.