Raccogliere gli avvisi di Microsoft Defender for Cloud

Supportato in:

Questo documento spiega come importare gli avvisi di Microsoft Defender for Cloud (in precedenza Azure Security Center) in Google Security Operations. Puoi configurare l'importazione utilizzando due metodi supportati:

  • Metodo 1: Azure Event Hub (consigliato): l'esportazione continua di Defender for Cloud trasmette gli avvisi direttamente a un hub eventi di Azure, da cui Google SecOps li acquisisce quasi in tempo reale.
  • Metodo 2: Azure Blob Storage V2: l'esportazione continua di Defender for Cloud invia gli avvisi a un'area di lavoro Log Analytics, una regola di esportazione dei dati di Log Analytics li scrive in un account di archiviazione Azure e Google SecOps li importa dal contenitore blob in base a una pianificazione di polling.

Microsoft Defender for Cloud è una piattaforma di protezione delle applicazioni cloud-native che fornisce gestione della sicurezza e protezione dalle minacce unificate per carichi di lavoro Azure, ibridi e multi-cloud.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Elementi comuni a entrambi i metodi:

    • Un'istanza Google SecOps.
    • Accesso con privilegi al portale Microsoft Azure con autorizzazioni per:
      • Configura l'esportazione continua in un abbonamento a Microsoft Defender for Cloud.
    • Ruolo Security Admin o Owner nell'abbonamento Azure contenente Microsoft Defender for Cloud.
    • Microsoft Defender for Cloud abilitato nell'abbonamento con almeno un piano Defender attivo.

  • Prerequisiti aggiuntivi per il metodo 1 (Azure Event Hub):

    • Autorizzazioni per creare spazi dei nomi degli hub di eventi e hub di eventi e per gestire i criteri di accesso agli hub di eventi.
    • Autorizzazioni di scrittura per il criterio Event Hub di destinazione (obbligatorie per l'esportazione continua).

  • Prerequisiti aggiuntivi del metodo 2 (Azure Blob Storage V2):

    • Autorizzazioni per creare o gestire uno spazio di lavoro Log Analytics e per creare regole di esportazione dei dati.
    • Autorizzazioni per creare un account di archiviazione Azure con un contenitore BLOB e per recuperare le relative chiavi di accesso.

Utilizza questo metodo quando vuoi l'importazione quasi in tempo reale degli avvisi di Defender for Cloud e puoi concedere a Google SecOps l'accesso a un hub eventi di Azure.

Crea spazio dei nomi dell'hub di evento

Uno spazio dei nomi degli hub di evento è un contenitore di gestione per uno o più hub di evento.

  1. Nel portale Azure, cerca Event Hubs.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona l'abbonamento contenente Microsoft Defender for Cloud.
    Gruppo di risorse Seleziona un segmento esistente o creane uno nuovo.
    Nome dello spazio dei nomi Inserisci un nome univoco (ad esempio, secops-defender-ns).
    Località Seleziona la stessa regione dell'istanza Google SecOps (l'implementazione in una regione diversa riduce la velocità effettiva di importazione).
    Livello di prezzo Standard (consigliato per la produzione).
    Unità di velocità effettiva Inizia con 1, attiva Gonfiaggio automatico (opzione consigliata).

  4. Fai clic su Review + create (Rivedi e crea).

  5. Rivedi la panoramica e fai clic su Crea.

  6. Attendi il completamento del deployment (1-2 minuti).

Crea hub degli eventi

  1. Dopo il deployment dello spazio dei nomi, vai allo spazio dei nomi dell'hub di evento.
  2. Nel pannello di navigazione a sinistra, seleziona Hub eventi in Entità.
  3. Fai clic su + Event Hub.

  4. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Nome Inserisci un nome univoco che corrisponda al tipo di log (ad esempio defender-cloud-alerts); evita di lasciare vuoto il campo durante la configurazione dell'esportazione continua di Defender per impedire al sistema di creare hub eventi aggiuntivi.
    Conteggio partizioni 40 (consigliato per uno scaling ottimale di Google SecOps).
    Conservazione dei messaggi Minimo 7 giorni. Imposta il periodo di conservazione più lungo che puoi permetterti in modo che i log non vengano eliminati prima che l'importazione riprenda dopo una limitazione della quota.
    Acquisizione Disabilitato (non necessario per l'importazione diretta di Event Hub).

  5. Fai clic su Crea.

Recupera la stringa di connessione dell'hub eventi

Google SecOps richiede una stringa di connessione per l'autenticazione a Event Hub.

  1. Vai allo spazio dei nomi dell'hub di evento.
  2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
  3. Fai clic sulla policy predefinita RootManageSharedAccessKey.
  4. Copia la stringa di connessione della chiave primaria.

  5. Salva questa stringa di connessione in modo sicuro.

    Esempio:

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Opzione B: stringa di connessione a livello di hub eventi

  1. Vai all'hub di evento (non allo spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Criteri di accesso condiviso in Impostazioni.
  3. Fai clic su + Aggiungi per creare una nuova norma.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome della policy: inserisci un nome descrittivo (ad esempio, chronicle-listen).
    • Autorizzazioni: seleziona solo Ascolta (accesso di sola lettura).
  5. Fai clic su Crea.
  6. Fai clic sulla policy appena creata.
  7. Copia la stringa di connessione della chiave primaria.

  8. Salva questa stringa di connessione in modo sicuro.

Configura Microsoft Defender for Cloud per lo streaming degli avvisi in Event Hub

Microsoft Defender for Cloud utilizza la funzionalità di esportazione continua per trasmettere avvisi e consigli a un hub eventi man mano che vengono generati.

  1. Accedi al portale Azure.
  2. Cerca e apri Microsoft Defender per il cloud.
  3. Nel menu delle risorse di Defender for Cloud, seleziona Impostazioni ambiente.
  4. Seleziona l'abbonamento per il quale vuoi configurare l'esportazione dei dati.
  5. Nel menu delle risorse in Impostazioni, seleziona Esportazione continua.
  6. Seleziona la scheda Hub eventi.
  7. Fornisci i seguenti dettagli di configurazione:
    • Esportazione attivata?: imposta il pulsante di attivazione/disattivazione su On.
    • Nella sezione Tipi di dati esportati, seleziona i tipi di dati da esportare. Per raccogliere gli avvisi di sicurezza, seleziona le seguenti caselle di controllo:
      • Avvisi di sicurezza
      • (Facoltativo) Consigli per la sicurezza, Punteggio di sicurezza, Conformità legale, Percorsi di attacco e altri tipi in base alle esigenze
    • Per ogni tipo di dati selezionato, configura i filtri (ad esempio, esporta solo i livelli di gravità Basso, Medio, Alto o tutti i livelli di gravità).
    • Nella sezione Frequenza di esportazione, seleziona la frequenza:
      • Streaming: invia avvisi man mano che vengono generati (opzione consigliata per Google SecOps).
      • Snapshot: invia uno snapshot settimanale dello stato attuale (utilizzare solo per i report periodici).
    • Nella sezione Destinazione di esportazione, configura la destinazione:
      • Target di esportazione: seleziona Event Hub.
      • Abbonamento: seleziona l'abbonamento contenente lo spazio dei nomi dell'hub di evento.
      • Spazio dei nomi dell'hub eventi: seleziona secops-defender-ns (o lo spazio dei nomi creato in precedenza).
      • Nome hub di evento: seleziona defender-cloud-alerts (o l'hub di evento che hai creato in precedenza). Seleziona sempre un hub eventi esistente. Se lasci vuoto questo campo, il sistema crea hub eventi aggiuntivi e potrebbe esaurire la quota del feed.
      • Nome policy hub eventi: seleziona RootManageSharedAccessKey o una policy personalizzata con autorizzazioni Send.

  8. Fai clic su Salva.

(Facoltativo) Crea un gruppo di consumatori dedicato

Per impostazione predefinita, Event Hub fornisce un gruppo di consumer denominato $Default. Per gli ambienti di produzione, è consigliabile creare un gruppo di consumatori dedicato per Google SecOps.

  1. Vai all'hub di evento (non allo spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Gruppi di consumatori in Entità.
  3. Fai clic su + Gruppo di consumatori.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio, chronicle).

  5. Fai clic su Crea.

Configura un feed in Google SecOps per importare gli avvisi di Microsoft Defender for Cloud (metodo 1)

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Defender for Cloud Alerts).
  5. Seleziona Microsoft Azure Event Hub come Tipo di origine.
  6. Seleziona Microsoft Defender For Cloud come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • Nome hub di eventi: inserisci il nome dell'hub di eventi (ad esempio, defender-cloud-alerts).
    • Gruppo di consumer dell'hub eventi: inserisci il nome del gruppo di consumer.
      • Utilizza $Default per il gruppo di consumer predefinito.
      • Se hai creato un gruppo di consumer dedicato, inseriscine il nome (ad esempio, chronicle).

    • Stringa di connessione di Event Hub: inserisci la stringa di connessione di Event Hub che hai acquisito in precedenza.

      Se utilizzi la stringa di connessione a livello di spazio dei nomi:

      • Assicurati di aver rimosso il parametro EntityPath.

      Se utilizzi la stringa di connessione a livello di hub eventi: - Utilizza la stringa di connessione così com'è (incluso EntityPath).

    • Stringa di connessione di Azure Storage (facoltativo): campo legacy per l'archiviazione del checkpoint di Event Hub; lascia vuoto.

    • Nome container Azure Storage (facoltativo): campo legacy per l'archiviazione del checkpoint dell'hub eventi; lascia vuoto.

    • Token SAS di Azure (facoltativo): autenticazione alternativa all'hub eventi quando le norme di sicurezza vietano la condivisione della stringa di connessione dell'hub eventi; lascia vuoto quando fornisci la stringa di connessione sopra.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Metodo 2: Azure Blob Storage V2

Utilizza questo metodo quando la tua organizzazione conserva già gli avvisi di Defender for Cloud in uno spazio di lavoro Log Analytics (per conformità o archiviazione a lungo termine) e vuoi che Google SecOps acquisisca gli stessi avvisi da un account di archiviazione Azure. L'esportazione continua di Microsoft Defender for Cloud non scrive direttamente in un account di archiviazione, pertanto questo metodo si basa sulla funzionalità standard di esportazione dei dati di Log Analytics per inserire gli avvisi nell'archiviazione BLOB, da cui vengono letti da Google SecOps.

Il percorso dei dati end-to-end è:

  • Microsoft Defender for Cloud > Esportazione continua in un workspace Log Analytics
  • La regola > Esportazione dati dell'area di lavoro Log Analytics scrive la tabella SecurityAlert in un account Azure Storage (contenitore blob)
  • Il feed Azure Blob Storage V2 di Google SecOps esegue il polling del contenitore blob e acquisisce nuovi avvisi

Configura Microsoft Defender for Cloud per lo streaming degli avvisi in un workspace Log Analytics

  1. Accedi al portale Azure.
  2. Cerca e apri Microsoft Defender per il cloud.
  3. Nel menu delle risorse di Defender for Cloud, seleziona Impostazioni ambiente.
  4. Seleziona l'abbonamento per il quale vuoi configurare l'esportazione dei dati.
  5. Nel menu delle risorse in Impostazioni, seleziona Esportazione continua.
  6. Seleziona la scheda Spazio di lavoro Log Analytics.
  7. Fornisci i seguenti dettagli di configurazione:
    • Esportazione attivata?: imposta il pulsante di attivazione/disattivazione su On.
    • Nella sezione Tipi di dati esportati, seleziona Avvisi di sicurezza (e qualsiasi altro tipo di dati che vuoi acquisire).
    • Per ogni tipo di dati selezionato, configura i filtri di gravità in base alle esigenze.
    • Nella sezione Frequenza di esportazione, seleziona Streaming per l'esportazione quasi in tempo reale.
    • Nella sezione Destinazione di esportazione, configura la destinazione:
      • Destinazione di esportazione: seleziona Spazio di lavoro Log Analytics.
      • Abbonamento: seleziona l'abbonamento che contiene lo spazio di lavoro.
      • Workspace Log Analytics: seleziona un workspace esistente o creane uno nuovo.

  8. Fai clic su Salva.

Crea un account di archiviazione Azure e un contenitore di blob

  1. Nel portale Azure, cerca Account di archiviazione.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona l'abbonamento che contiene lo spazio di lavoro Log Analytics.
    Gruppo di risorse Utilizza lo stesso gruppo di risorse dello spazio di lavoro (scelta consigliata).
    Nome dell'account di archiviazione Inserisci un nome univoco (ad esempio, secopsdefenderblob).
    Regione La stessa regione dell'area di lavoro Log Analytics (obbligatorio per l'esportazione dei dati).
    Prestazioni Standard.
    Ridondanza LRS (archiviazione con ridondanza locale) o GRS, in base alla tua policy di durabilità.

  4. Fai clic su Rivedi e crea, quindi su Crea.

  5. Dopo il deployment, vai all'account di archiviazione.

  6. Nel riquadro di navigazione a sinistra, seleziona Container nella sezione Archiviazione dati.

  7. Fai clic su + Container.

  8. Fornisci i seguenti dettagli di configurazione:

    • Nome: inserisci un nome descrittivo (ad esempio, defender-cloud-alerts).
    • Livello di accesso pubblico: Privato (nessun accesso anonimo).

  9. Fai clic su Crea.

Configura una regola di esportazione dei dati di Log Analytics

  1. Nel portale Azure, apri lo spazio di lavoro Log Analytics che hai selezionato come destinazione dell'esportazione continua.
  2. Nel menu di navigazione a sinistra, seleziona Esportazione dati nella sezione Impostazioni.
  3. Fai clic su + Nuova regola di esportazione.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome regola: inserisci un nome descrittivo (ad esempio, defender-alerts-to-blob).
    • Origine: seleziona la tabella SecurityAlert (la tabella utilizzata da Defender for Cloud Continuous Export per gli avvisi).
    • Tipo di destinazione: seleziona Account di archiviazione.
    • Abbonamento: seleziona l'abbonamento che contiene l'account di archiviazione.
    • Storage account: seleziona lo storage account che hai creato in precedenza.

  5. Fai clic su Crea.

Recuperare le credenziali dell'account Storage

Google SecOps esegue l'autenticazione nell'account di archiviazione con una chiave di accesso condivisa.

  1. Nell'account di archiviazione, seleziona Chiavi di accesso in Sicurezza e rete.
  2. Fai clic su Mostra chiavi.
  3. Individua key1 e copia i seguenti valori:
    • Nome dell'account Storage: il nome dell'account Storage che hai creato.
    • Chiave: la chiave di accesso condivisa a 512 bit (codificata in base64).
  4. Salva questi valori in modo sicuro.

Configura un feed in Google SecOps per importare gli avvisi di Microsoft Defender for Cloud (metodo 2)

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Defender for Cloud Alerts - Blob).
  5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
  6. Seleziona Microsoft Defender For Cloud come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI di Azure: inserisci l'URL dell'endpoint del servizio BLOB con il percorso del contenitore. Includi la barra finale.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Sostituisci quanto segue:

      • <STORAGE_ACCOUNT>: il nome del tuo account di archiviazione Azure (ad esempio, secopsdefenderblob).
      • <CONTAINER>: il nome del contenitore blob in cui vengono inserite le righe SecurityAlert dell'esportazione dei dati di Log Analytics (ad esempio, defender-cloud-alerts).

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:

      • Mai: non elimina mai i file dopo il trasferimento (opzione consigliata per la configurazione iniziale e la conservazione degli audit).
      • Elimina file trasferiti: elimina i file dopo il trasferimento riuscito.
      • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.

    • Età massima file (giorni): includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180).

    • Chiave condivisa: inserisci il valore della chiave di accesso condivisa acquisita dall'account di archiviazione.

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Tabella di mappatura UDM

Campo log mappatura UDM Logica
EndTimeLabel about.labels Unita
ProcessingEndTimeLabel about.labels Unita
StartTimeLabel about.labels Unita
TimeGeneratedLabel about.labels Unita
extendedLinkCategoryLabel about.labels Unita
extendedLinkLabel about.labels Unita
extendedLinkTypeLabel about.labels Unita
extendedlinkHrefLabel about.labels Unita
EndTimeLabel about.resource.attribute.labels Unita
ProcessingEndTimeLabel about.resource.attribute.labels Unita
StartTimeLabel about.resource.attribute.labels Unita
TimeGeneratedLabel about.resource.attribute.labels Unita
extendedLinkCategoryLabel about.resource.attribute.labels Unita
extendedLinkLabel about.resource.attribute.labels Unita
extendedLinkTypeLabel about.resource.attribute.labels Unita
extendedlinkHrefLabel about.resource.attribute.labels Unita
EndTimeLabel1 additional.fields Unita
IoTHub_ResourceId_label additional.fields Unita
IoTHub_Type_label additional.fields Unita
Protocols_label additional.fields Unita
RemediationSteps_label additional.fields Unita
Scopes_label additional.fields Unita
StartTimeLabel1 additional.fields Unita
TimeGeneratedLabel1 additional.fields Unita
account_type additional.fields Unita
alert_generation_status_label additional.fields Unita
bacnet_service_label additional.fields Unita
billed_size_label additional.fields Unita
category_label additional.fields Unita
event_data_info additional.fields Unita
extended_properties_device_id_label additional.fields Unita
ip_category additional.fields Unita
is_billable_label additional.fields Unita
is_learnable_label additional.fields Unita
item_id_label additional.fields Unita
key additional.fields Mappato: IpAddress → nic_sub_field
key_value additional.fields Unita
mode_label additional.fields Unita
nic_field additional.fields Unita
nic_sub_field additional.fields Unita
owner_label additional.fields Unita
processed_by_sentinel_label additional.fields Unita
protocol_label additional.fields Unita
provider_name_label additional.fields Unita
remediation_steps_label additional.fields Unita
role_label additional.fields Unita
service_object_type additional.fields Unita
techniques_label additional.fields Unita
tenantIdLabel additional.fields Unita
time_received_label additional.fields Unita
type_ext_label additional.fields Unita
type_label additional.fields Unita
value_label additional.fields Unita
authentication_type extensions.auth.auth_details Mappato direttamente
SensorId intermediary.hostname Mappato direttamente
record.TimeGenerated metadata.event_timestamp Analizzato come ISO8601
record.properties.Timestamp metadata.event_timestamp Analizzato come ISO8601
record.time metadata.event_timestamp Analizzato come ISO8601
has_principal metadata.event_type Mappato: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Mappato direttamente
raw_event_id metadata.product_log_id Mappato direttamente
record.SystemAlertId metadata.product_log_id Mappato direttamente
record.alertId metadata.product_log_id Mappato direttamente
record.properties.extendedProperties.alert_Id metadata.product_log_id Mappato direttamente
product_name metadata.product_name Mappato direttamente
record.properties.productName metadata.product_name Mappato direttamente
vendor_name metadata.vendor_name Mappato direttamente
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Mappato direttamente
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Mappato direttamente
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Mappato direttamente
email_subject network.email.subject Unita
operation network.email.subject Mappato (tabella di ricerca)
record.properties.UserAgent network.http.user_agent Mappato direttamente
user_agent network.http.user_agent Mappato direttamente
network_session_id network.session_id Mappato direttamente
record.ExtendedProperties.accountSessionId network.session_id Mappato direttamente
record.properties.RawEventData.ClientRequestId network.session_id Mappato direttamente
record.clientApplication principal.application Mappato direttamente
record.properties.extendedProperties.clientApplication principal.application Mappato direttamente
SourceDevice principal.asset.hostname Mappato direttamente
client_hostname principal.asset.hostname Mappato direttamente
compromised_hostname principal.asset.hostname Mappato direttamente
SourceDeviceAddress principal.asset.ip Mappato: espressione regolare IPv4
clientIpAddress principal.asset.ip Unita
SourceComputerId principal.asset.product_object_id Mappato direttamente
SourceDevice principal.hostname Mappato direttamente
client_hostname principal.hostname Mappato direttamente
compromised_hostname principal.hostname Mappato direttamente
SourceDeviceAddress principal.ip Mappato: espressione regolare IPv4
clientIpAddress principal.ip Unita
alertLabel principal.labels Unita
cityLabel principal.location.city Mappato direttamente
record.properties.City principal.location.city Mappato direttamente
countryLabel principal.location.country_or_region Mappato direttamente
record.clientIpLocation principal.location.country_or_region Mappato direttamente
record.clientLocation principal.location.country_or_region Mappato direttamente
record.properties.clientLocation principal.location.country_or_region Mappato direttamente
record.properties.extendedProperties.clientLocation principal.location.country_or_region Mappato direttamente
isp principal.location.name Mappato direttamente
entity.location.latitude principal.location.region_coordinates.latitude Mappato direttamente
entity.location.longitude principal.location.region_coordinates.longitude Mappato direttamente
os_platform principal.platform Mappato: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Mappato direttamente
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Mappato direttamente
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Mappato direttamente
record.ExtendedProperties.suspiciousProcessId principal.process.pid Mappato direttamente
account_id principal.resource.attribute.labels Unita
account_object_id principal.resource.attribute.labels Unita
alertLabel principal.resource.attribute.labels Unita
alertLabel1 principal.resource.attribute.labels Unita
app_instance_id principal.resource.attribute.labels Unita
compromisedEntityLabel principal.resource.attribute.labels Unita
compromisedEntityLabel1 principal.resource.attribute.labels Unita
correlationKeyLabel principal.resource.attribute.labels Unita
effectiveSubscriptionIdLabel principal.resource.attribute.labels Unita
object_id principal.resource.attribute.labels Unita
object_name principal.resource.attribute.labels Unita
object_type principal.resource.attribute.labels Unita
potential_causes principal.resource.attribute.labels Unita
productComponentNameLabel principal.resource.attribute.labels Unita
sql_instance_name_label principal.resource.attribute.labels Unita
sql_server_name_label principal.resource.attribute.labels Unita
supporting_evidence_label principal.resource.attribute.labels Unita
system_alert_id_label principal.resource.attribute.labels Unita
zone_interface_label principal.resource.attribute.labels Unita
record.properties.extendedProperties.resourceType principal.resource.name Mappato direttamente
resourceType principal.resource.name Mappato direttamente
record.ResourceId principal.resource.product_object_id Mappato direttamente
mailbox_owner_upn principal.user.email_addresses Unita
principal_user_display_name principal.user.user_display_name Mappato direttamente
record.ExtendedProperties.userName principal.user.user_display_name Mappato direttamente
client_user principal.user.userid Mappato direttamente
principal_userid principal.user.userid Mappato direttamente
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Mappato direttamente
action security_result.action Unita
operation security_result.action Mappato (tabella di ricerca)
tacticsLabel security_result.attack_details.tactics Unita
category_details_label security_result.category_details Unita
threat_category security_result.category_details Unita
record.Description security_result.description Mappato direttamente
record.properties.description security_result.description Mappato direttamente
KindLabel security_result.detection_fields Unita
action_type security_result.detection_fields Unita
application_id security_result.detection_fields Unita
device_type security_result.detection_fields Unita
field security_result.detection_fields Unita
incidentdetectionfields security_result.detection_fields Unita
incidentdetectionfields1 security_result.detection_fields Unita
intent_label security_result.detection_fields Unita
is_admin_operation_label security_result.detection_fields Unita
is_impersonated_label security_result.detection_fields Unita
is_new_label security_result.detection_fields Unita
operation security_result.detection_fields Mappato: MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Unita
sourcesystemdetectionfields security_result.detection_fields Unita
statusdetectionfields security_result.detection_fields Unita
statusdetectionfields1 security_result.detection_fields Unita
trojan_script_malgent_msr_label security_result.detection_fields Unita
vendor_original_id_label security_result.detection_fields Unita
violation_count_label security_result.detection_fields Unita
report_id security_result.rule_id Mappato direttamente
alertDisplayName security_result.rule_name Mappato direttamente
record.AlertName security_result.rule_name Mappato direttamente
alert_severity security_result.severity Mappato direttamente
severity security_result.severity Mappato direttamente
alert_severity security_result.severity_details Mappato direttamente
record.properties.severity security_result.severity_details Mappato direttamente
record.DisplayName security_result.summary Mappato direttamente
summary security_result.summary Mappato direttamente
record.AlertType security_result.threat_name Mappato direttamente
record.properties.alertType security_result.threat_name Mappato direttamente
AlertManagementUri security_result.url_back_to_product Mappato direttamente
record.properties.RawEventData.Folder.Path src.resource.name Mappato direttamente
record.properties.RawEventData.Folder.Id src.resource.product_object_id Mappato direttamente
application target.application Mappato direttamente
DestinationDevice target.asset.hostname Mappato direttamente
record.ExtendedProperties.compromisedHost target.asset.hostname Mappato direttamente
DestinationDeviceAddress target.asset.ip Mappato: espressione regolare IPv4
CompromisedEntityId target.asset.product_object_id Mappato direttamente
file_name target.file.names Unita
operation target.file.names Mappato (tabella di ricerca)
operation target.file.size Mappato (tabella di ricerca)
record.properties.RawEventData.Item.SizeInBytes target.file.size Mappato direttamente
DestinationDevice target.hostname Mappato direttamente
originating_server target.hostname Mappato direttamente
record.ExtendedProperties.compromisedHost target.hostname Mappato direttamente
DestinationDeviceAddress target.ip Mappato: espressione regolare IPv4
target_process_command_line target.process.command_line Mappato direttamente
target_process_file target.process.file.full_path Mappato direttamente
target_process_id target.process.pid Mappato direttamente
workspaceLabel target.resource.attribute.labels Unita
workspaceResourceGroupLabel target.resource.attribute.labels Unita
AzureResourceId target.resource.id Mappato direttamente
record.properties.RawEventData.DestFolder.Path target.resource.name Mappato direttamente
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Mappato direttamente
record._Internal_WorkspaceResourceId target.resource.product_object_id Mappato direttamente
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Mappato direttamente
record.properties.RawEventData.Item.Id target.resource.product_object_id Mappato direttamente
operation target.user.email_addresses Mappato (tabella di ricerca)
target_user target.user.email_addresses Mappata: espressione regolare dell'email
N/D metadata.event_type Costante: NETWORK_CONNECTION
N/D metadata.product_name Costante: MICROSOFT_DEFENDER_CLOUD_ALERTS
N/D metadata.vendor_name Costante: MICROSOFT_DEFENDER_CLOUD_ALERTS
N/D principal.platform Costante: MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Mappato dal log delle modifiche
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Entity.FriendlyName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity.EntityIds event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.ExtendedProperties event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entities.FriendlyName event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Mappato dal log delle modifiche
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Mappato dal log delle modifiche
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Mappato dal log delle modifiche
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Mappato dal log delle modifiche
Entities.ResourceName event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Mappato dal log delle modifiche
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Mappato dal log delle modifiche
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Mappato dal log delle modifiche
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Mappato dal log delle modifiche
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Mappato dal log delle modifiche
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Mappato dal log delle modifiche
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Mappato dal log delle modifiche
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Mappato dal log delle modifiche
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Mappato dal log delle modifiche
Type event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Mappato dal log delle modifiche
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Mappato dal log delle modifiche
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Mappato dal log delle modifiche
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Mappato dal log delle modifiche
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Mappato dal log delle modifiche
Properties.displayName event.idm.read_only_udm.security_result.summary Mappato dal log delle modifiche
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Mappato dal log delle modifiche
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Mappato dal log delle modifiche
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Mappato dal log delle modifiche
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
RecommendationDisplayName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation DisplayName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationSeverity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RecommendationState event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation State event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RemediationDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Remediation_Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
SourceSystem event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Source System event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_ItemId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Item Id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Metadata Display Name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Assessment Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Policy Definition Id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Metadata Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Remediation Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Preview event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Metadata Severity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
User Impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Implementation Effort event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Public Publish Date event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Management Provider event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Security Issue event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Recommendation Category event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_IsBillable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Is Billable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_BilledSize event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Billed Size event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IsSnapshot event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Is Snapshot event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ResourceTenantId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Resource Tenant ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Has Baseline event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Additional Remediation Description event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Remediation Query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Benchmark Reference event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
First Evaluation Date event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Native Resource ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
benchmarks.json_array2.item.benchmark Chiave Benchmark a event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.securityCategories Chiave Security Categories a event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.metadata_data.categories Chiave Metadata Categories a event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
scanTime event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
Properties.status.code event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
Status Code event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
status_cause event.idm.read_only_udm.security_result.outcomes Mappato dal log delle modifiche
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Resource Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Mappato dal log delle modifiche
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Mappato dal log delle modifiche
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Mappato dal log delle modifiche
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
SourceDeviceAddress event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
DestinationDeviceAddress event.idm.read_only_udm.target.ip Mappato dal log delle modifiche
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
SourceDevice event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
SourceDevice event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
DestinationDevice event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
DestinationDevice event.idm.read_only_udm.target.asset.hostname Mappato dal log delle modifiche
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Mappato dal log delle modifiche
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Mappato dal log delle modifiche
SensorId event.idm.read_only_udm.intermediary.hostname Mappato dal log delle modifiche
Category event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Mappato dal log delle modifiche
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ViolationCount event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
isNew event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
record.ProviderName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProviderName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
DeviceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
_TimeReceived event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
BACnet Service event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
bacnet_service event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Protocol event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
isLearnable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
RemediationSteps event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Techniques event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Alert generation status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProcessedBySentinel event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.Entities event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub.Type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Owners event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Nics event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Protocols event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Protocols_%{index} event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Mappato dal log delle modifiche
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Mappato dal log delle modifiche
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
record.properties.ISP event.idm.read_only_udm.principal.location.name Mappato dal log delle modifiche
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Mappato dal log delle modifiche
record.properties.Application event.idm.read_only_udm.target.application Mappato dal log delle modifiche
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.