클라우드용 Microsoft Defender 알림 수집

다음에서 지원:

이 문서에서는 Microsoft Defender for Cloud(이전의 Azure Security Center) 알림을 Google Security Operations에 수집하는 방법을 설명합니다. 지원되는 두 가지 방법을 사용하여 처리를 구성할 수 있습니다.

  • 방법 1: Azure Event Hub(권장): Defender for Cloud 연속 내보내기는 알림을 Azure Event Hub로 직접 스트리밍하며, Google SecOps는 여기에서 거의 실시간으로 알림을 수집합니다.
  • 방법 2: Azure Blob Storage V2: Defender for Cloud Continuous Export가 알림을 Log Analytics 작업공간으로 전송하고, Log Analytics 데이터 내보내기 규칙이 이를 Azure Storage 계정에 기록하며, Google SecOps가 폴링 일정에 따라 blob 컨테이너에서 이를 수집합니다.

Microsoft Defender for Cloud는 Azure, 하이브리드, 멀티 클라우드 워크로드 전반에서 통합 보안 관리 및 위협 보호를 제공하는 클라우드 네이티브 애플리케이션 보호 플랫폼입니다.

시작하기 전에

다음 기본 요건을 충족하는지 확인합니다.

  • 두 방법의 공통점:

    • Google SecOps 인스턴스
    • Microsoft Azure 포털에 대한 권한이 있는 액세스 권한:
      • Microsoft Defender for Cloud 구독에서 지속적 내보내기를 구성합니다.
    • Microsoft Defender for Cloud가 포함된 Azure 구독에 대한 보안 관리자 또는 소유자 역할
    • 하나 이상의 Defender 요금제가 활성화된 구독에서 Microsoft Defender for Cloud가 사용 설정되어 있습니다.

  • 방법 1 추가 기본 요건(Azure Event Hub):

    • Event Hub 네임스페이스 및 Event Hubs를 만들고 Event Hub 액세스 정책을 관리할 수 있는 권한입니다.
    • 대상 이벤트 허브 정책에 대한 쓰기 권한(지속적 내보내기에 필요)

  • 방법 2 추가 기본 요건(Azure Blob Storage V2):

    • 로그 분석 작업공간을 만들거나 관리하고 데이터 내보내기 규칙을 만들 수 있는 권한
    • Blob 컨테이너가 있는 Azure Storage 계정을 만들고 액세스 키를 검색할 수 있는 권한입니다.

Defender for Cloud 알림을 거의 실시간으로 수집하고 Google SecOps에 Azure Event Hub에 대한 액세스 권한을 부여할 수 있는 경우 이 방법을 사용하세요.

Event Hub 네임스페이스 만들기

Event Hubs 네임스페이스는 하나 이상의 Event Hubs를 위한 관리 컨테이너입니다.

  1. Azure 포털에서 Event Hubs를 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 Microsoft Defender for Cloud가 포함된 구독을 선택합니다.
    리소스 그룹 기존 항목을 선택하거나 새로 만듭니다.
    네임스페이스 이름 고유한 이름(예: secops-defender-ns)을 입력합니다.
    위치 Google SecOps 인스턴스와 동일한 리전을 선택합니다(다른 리전에 배포하면 수집 처리량이 감소함).
    가격 책정 등급 표준(프로덕션에 권장)
    처리량 단위 자동 확장(권장)을 사용 설정하고 1로 시작합니다.

  4. 검토 + 만들기를 클릭합니다.

  5. 개요를 검토하고 만들기를 클릭합니다.

  6. 배포가 완료될 때까지 기다립니다(1~2분).

이벤트 허브 만들기

  1. 네임스페이스가 배포되면 Event Hub 네임스페이스로 이동합니다.
  2. 왼쪽 탐색 메뉴의 항목에서 이벤트 허브를 선택합니다.
  3. + 이벤트 허브를 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    설정 값
    이름 로그 유형과 일치하는 고유한 이름(예: defender-cloud-alerts)을 입력합니다. Defender 지속적 내보내기 구성 중에 필드를 비워 두지 않아야 시스템에서 추가 이벤트 허브를 만들지 않습니다.
    파티션 수 40(최적의 Google SecOps 확장을 위해 권장됨)
    메시지 보관 최소 7일입니다. 할당량 제한 후 수집이 재개되기 전에 로그가 삭제되지 않도록 최대한 긴 보관 기간을 설정하세요.
    캡처 사용 중지됨(직접 이벤트 허브 수집에는 필요하지 않음)

  5. 만들기를 클릭합니다.

Event Hubs 연결 문자열 가져오기

Google SecOps에서 Event Hub에 인증하려면 연결 문자열이 필요합니다.

  1. Event Hub 네임스페이스로 이동합니다.
  2. 왼쪽 탐색 메뉴의 설정에서 공유 액세스 정책을 선택합니다.
  3. 기본 정책인 RootManageSharedAccessKey를 클릭합니다.
  4. 연결 문자열-기본 키를 복사합니다.

  5. 이 연결 문자열을 안전하게 저장합니다.

    예:

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

옵션 B: 이벤트 허브 수준 연결 문자열

  1. Event Hub(네임스페이스 아님)로 이동합니다.
  2. 왼쪽 탐색 메뉴의 설정에서 공유 액세스 정책을 선택합니다.
  3. + 추가를 클릭하여 새 정책을 만듭니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 정책 이름: 설명이 포함된 이름을 입력합니다(예: chronicle-listen).
    • 권한: 수신 대기만 선택합니다(읽기 전용 액세스).
  5. 만들기를 클릭합니다.
  6. 새로 만든 정책을 클릭합니다.
  7. 연결 문자열-기본 키를 복사합니다.

  8. 이 연결 문자열을 안전하게 저장합니다.

Event Hub로 알림을 스트리밍하도록 Microsoft Defender for Cloud 구성

Microsoft Defender for Cloud는 지속적 내보내기 기능을 사용하여 알림 및 권장사항이 생성될 때 Event Hub로 스트리밍합니다.

  1. Azure 포털에 로그인합니다.
  2. 클라우드용 Microsoft Defender를 검색하여 엽니다.
  3. Defender for Cloud 리소스 메뉴에서 환경 설정을 선택합니다.
  4. 데이터 내보내기를 구성할 구독을 선택합니다.
  5. 설정의 리소스 메뉴에서 지속적 내보내기를 선택합니다.
  6. I can help you with that. Let's start by selecting the Event hub tab.
  7. 다음 구성 세부정보를 제공합니다.
    • 내보내기 사용 설정: 사용 설정 위치로 전환합니다.
    • 내보낸 데이터 유형 섹션에서 내보낼 데이터 유형을 선택합니다. 보안 알림을 수집하려면 다음 체크박스를 선택합니다.
      • 보안 알림
      • (선택사항) 보안 권장사항, 보안 점수, 규정 준수, 공격 경로, 기타 유형(필요한 경우)
    • 선택한 각 데이터 유형에 대해 필터를 구성합니다(예: 낮음, 중간, 높음 또는 모든 심각도 수준만 내보내기).
    • 내보내기 빈도 섹션에서 빈도를 선택합니다.
      • 스트리밍: 알림이 생성되는 즉시 전송합니다(Google SecOps에 권장).
      • 스냅샷: 현재 상태의 주간 스냅샷을 전송합니다(정기 보고에만 사용).
    • 내보내기 대상 섹션에서 대상을 구성합니다.
      • 내보내기 대상: 이벤트 허브를 선택합니다.
      • 구독: Event Hub 네임스페이스가 포함된 구독을 선택합니다.
      • 이벤트 허브 네임스페이스: secops-defender-ns(또는 이전에 만든 네임스페이스)를 선택합니다.
      • 이벤트 허브 이름: defender-cloud-alerts(또는 이전에 만든 이벤트 허브)을 선택합니다. 항상 기존 이벤트 허브를 선택하세요. 이 입력란을 비워 두면 시스템에서 추가 이벤트 허브를 만들고 피드 할당량이 소진될 수 있습니다.
      • 이벤트 허브 정책 이름: RootManageSharedAccessKey 또는 전송 권한이 있는 커스텀 정책을 선택합니다.

  8. 저장을 클릭합니다.

(선택사항) 전용 소비자 그룹 만들기

기본적으로 Event Hub는 $Default라는 소비자 그룹을 제공합니다. 프로덕션 환경의 경우 Google SecOps 전용 소비자 그룹을 만드는 것이 좋습니다.

  1. Event Hub(네임스페이스 아님)로 이동합니다.
  2. 왼쪽 탐색 메뉴의 항목에서 소비자 그룹을 선택합니다.
  3. + 소비자 그룹을 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 이름: 설명이 포함된 이름을 입력합니다(예: chronicle).

  5. 만들기를 클릭합니다.

Google SecOps에서 피드를 구성하여 Microsoft Defender for Cloud 알림 수집(방법 1)

  1. 설정 > 데이터 관리 > 피드로 이동합니다. SIEM 전용 플랫폼을 사용하는 경우 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: Microsoft Defender for Cloud Alerts).
  5. 소스 유형으로 Microsoft Azure Event Hub를 선택합니다.
  6. 로그 유형으로 Microsoft Defender For Cloud를 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 파라미터의 값을 지정합니다.

    • 이벤트 허브 이름: 이벤트 허브 이름을 입력합니다(예: defender-cloud-alerts).
    • Event Hub 소비자 그룹: 소비자 그룹 이름을 입력합니다.
      • 기본 소비자 그룹에는 $Default를 사용합니다.
      • 전용 소비자 그룹을 만든 경우 해당 이름을 입력합니다(예: chronicle).

    • 이벤트 허브 연결 문자열: 이전에 캡처한 이벤트 허브 연결 문자열을 입력합니다.

      네임스페이스 수준 연결 문자열을 사용하는 경우:

      • EntityPath 매개변수를 삭제했는지 확인합니다.

      이벤트 허브 수준 연결 문자열을 사용하는 경우: - 연결 문자열을 있는 그대로 사용합니다(EntityPath 포함).

    • Azure Storage 연결 문자열(선택사항): 이벤트 허브 체크포인트 스토리지의 기존 필드입니다. 비워 둡니다.

    • Azure Storage 컨테이너 이름(선택사항): Event Hub 체크포인트 스토리지의 기존 필드입니다. 비워 둡니다.

    • Azure SAS 토큰(선택사항): 보안 정책에서 Event Hub 연결 문자열 공유를 금지하는 경우 Event Hub에 대한 대체 인증입니다. 위의 연결 문자열을 제공하는 경우 비워 둡니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

방법 2: Azure Blob Storage V2

조직에서 이미 규정 준수 또는 장기 보관을 위해 Log Analytics 작업공간에 Defender for Cloud 알림을 보관하고 있으며 Google SecOps가 Azure Storage 계정에서 동일한 알림을 수집하도록 하려는 경우 이 방법을 사용합니다. Microsoft Defender for Cloud Continuous Export는 Storage 계정에 직접 쓰지 않으므로 이 방법은 표준 로그 분석 데이터 내보내기 기능을 사용하여 blob 스토리지에 알림을 저장하고 Google SecOps에서 이를 읽습니다.

엔드 투 엔드 데이터 경로는 다음과 같습니다.

  • Microsoft Defender for Cloud > 로그 분석 작업공간으로 지속적 내보내기
  • 로그 분석 작업 영역 > 데이터 내보내기 규칙은 SecurityAlert 테이블을 Azure Storage 계정(BLOB 컨테이너)에 기록합니다.
  • Google SecOps Azure Blob Storage V2 피드가 blob 컨테이너를 폴링하고 새 알림을 수집합니다.

알림을 로그 분석 작업공간으로 스트리밍하도록 Microsoft Defender for Cloud 구성

  1. Azure 포털에 로그인합니다.
  2. 클라우드용 Microsoft Defender를 검색하여 엽니다.
  3. Defender for Cloud 리소스 메뉴에서 환경 설정을 선택합니다.
  4. 데이터 내보내기를 구성할 구독을 선택합니다.
  5. 설정의 리소스 메뉴에서 지속적 내보내기를 선택합니다.
  6. 로그 분석 작업 영역 탭을 선택합니다.
  7. 다음 구성 세부정보를 제공합니다.
    • 내보내기 사용 설정: 사용 설정 위치로 전환합니다.
    • 내보낸 데이터 유형 섹션에서 보안 알림(및 캡처하려는 다른 데이터 유형)을 선택합니다.
    • 선택한 각 데이터 유형에 대해 필요에 따라 심각도 필터를 구성합니다.
    • 내보내기 빈도 섹션에서 거의 실시간으로 내보내려면 스트리밍을 선택합니다.
    • 내보내기 대상 섹션에서 대상을 구성합니다.
      • 내보내기 대상: 로그 분석 작업공간을 선택합니다.
      • 구독: 작업공간이 포함된 구독을 선택합니다.
      • 로그 분석 작업공간: 기존 작업공간을 선택하거나 새로 만듭니다.

  8. 저장을 클릭합니다.

Azure Storage 계정 및 blob 컨테이너 만들기

  1. Azure 포털에서 스토리지 계정을 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 로그 분석 작업공간이 포함된 구독을 선택합니다.
    리소스 그룹 작업공간과 동일한 리소스 그룹을 사용합니다(권장).
    스토리지 계정 이름 고유한 이름(예: secopsdefenderblob)을 입력합니다.
    리전 로그 분석 작업공간과 동일한 리전(데이터 내보내기에 필요)
    성능 Standard.
    중복성 내구성 정책에 따라 LRS(로컬 중복 스토리지) 또는 GRS

  4. 검토 + 만들기를 클릭한 다음 만들기를 클릭합니다.

  5. 배포 후 스토리지 계정으로 이동합니다.

  6. 왼쪽 탐색 메뉴의 데이터 스토리지에서 컨테이너를 선택합니다.

  7. + 컨테이너를 클릭합니다.

  8. 다음 구성 세부정보를 제공합니다.

    • 이름: 설명이 포함된 이름을 입력합니다(예: defender-cloud-alerts).
    • 공개 액세스 수준: 비공개(익명 액세스 없음)

  9. 만들기를 클릭합니다.

로그 분석 데이터 내보내기 규칙 구성

  1. Azure 포털에서 지속적 내보내기 대상으로 선택한 Log Analytics 작업공간을 엽니다.
  2. 왼쪽 탐색 메뉴의 설정에서 데이터 내보내기를 선택합니다.
  3. + 새 내보내기 규칙을 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 규칙 이름: 설명이 포함된 이름을 입력합니다(예: defender-alerts-to-blob).
    • 소스: SecurityAlert 테이블(Defender for Cloud 지속적 내보내기에서 알림에 사용하는 테이블)을 선택합니다.
    • 대상 유형: 스토리지 계정을 선택합니다.
    • 구독: 스토리지 계정이 포함된 구독을 선택합니다.
    • 스토리지 계정: 위에서 만든 스토리지 계정을 선택합니다.

  5. 만들기를 클릭합니다.

스토리지 계정 사용자 인증 정보 가져오기

Google SecOps는 공유 액세스 키를 사용하여 Storage 계정에 인증합니다.

  1. 스토리지 계정의 보안 + 네트워킹에서 액세스 키를 선택합니다.
  2. 키 표시를 클릭합니다.
  3. key1을 찾아 다음 값을 복사합니다.
    • 스토리지 계정 이름: 만든 스토리지 계정의 이름입니다.
    • 키: 512비트 공유 액세스 키(base64로 인코딩됨)입니다.
  4. 이 값을 안전하게 저장합니다.

Google SecOps에서 Microsoft Defender for Cloud 알림을 수집하도록 피드 구성(방법 2)

  1. 설정 > 데이터 관리 > 피드로 이동합니다. SIEM 전용 플랫폼을 사용하는 경우 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: Microsoft Defender for Cloud Alerts - Blob).
  5. 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
  6. 로그 유형으로 Microsoft Defender For Cloud를 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 파라미터의 값을 지정합니다.

    • Azure URI: 컨테이너 경로가 포함된 Blob 서비스 엔드포인트 URL을 입력합니다. 후행 슬래시를 포함합니다.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      다음을 바꿉니다.

      • <STORAGE_ACCOUNT>: Azure Storage 계정 이름(예: secopsdefenderblob)
      • <CONTAINER>: 로그 애널리틱스 데이터 내보내기가 SecurityAlert 행을 배치하는 blob 컨테이너 이름입니다(예: defender-cloud-alerts).

    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.

      • 삭제 안함: 전송 후 파일을 삭제하지 않습니다(처음 설정 및 감사 보관에 권장됨).
      • 전송된 파일 삭제: 전송이 완료된 후 파일을 삭제합니다.
      • 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료된 후 파일과 빈 디렉터리를 삭제합니다.

    • 최대 파일 기간(일): 지난 며칠 이내에 수정된 파일을 포함합니다(기본값은 180).

    • 공유 키: 스토리지 계정에서 캡처한 공유 액세스 키 값을 입력합니다.

    • 애셋 네임스페이스: 애셋 네임스페이스입니다.

    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
EndTimeLabel about.labels 병합됨
ProcessingEndTimeLabel about.labels 병합됨
StartTimeLabel about.labels 병합됨
TimeGeneratedLabel about.labels 병합됨
extendedLinkCategoryLabel about.labels 병합됨
extendedLinkLabel about.labels 병합됨
extendedLinkTypeLabel about.labels 병합됨
extendedlinkHrefLabel about.labels 병합됨
EndTimeLabel about.resource.attribute.labels 병합됨
ProcessingEndTimeLabel about.resource.attribute.labels 병합됨
StartTimeLabel about.resource.attribute.labels 병합됨
TimeGeneratedLabel about.resource.attribute.labels 병합됨
extendedLinkCategoryLabel about.resource.attribute.labels 병합됨
extendedLinkLabel about.resource.attribute.labels 병합됨
extendedLinkTypeLabel about.resource.attribute.labels 병합됨
extendedlinkHrefLabel about.resource.attribute.labels 병합됨
EndTimeLabel1 additional.fields 병합됨
IoTHub_ResourceId_label additional.fields 병합됨
IoTHub_Type_label additional.fields 병합됨
Protocols_label additional.fields 병합됨
RemediationSteps_label additional.fields 병합됨
Scopes_label additional.fields 병합됨
StartTimeLabel1 additional.fields 병합됨
TimeGeneratedLabel1 additional.fields 병합됨
account_type additional.fields 병합됨
alert_generation_status_label additional.fields 병합됨
bacnet_service_label additional.fields 병합됨
billed_size_label additional.fields 병합됨
category_label additional.fields 병합됨
event_data_info additional.fields 병합됨
extended_properties_device_id_label additional.fields 병합됨
ip_category additional.fields 병합됨
is_billable_label additional.fields 병합됨
is_learnable_label additional.fields 병합됨
item_id_label additional.fields 병합됨
key additional.fields 매핑됨: IpAddress → nic_sub_field
key_value additional.fields 병합됨
mode_label additional.fields 병합됨
nic_field additional.fields 병합됨
nic_sub_field additional.fields 병합됨
owner_label additional.fields 병합됨
processed_by_sentinel_label additional.fields 병합됨
protocol_label additional.fields 병합됨
provider_name_label additional.fields 병합됨
remediation_steps_label additional.fields 병합됨
role_label additional.fields 병합됨
service_object_type additional.fields 병합됨
techniques_label additional.fields 병합됨
tenantIdLabel additional.fields 병합됨
time_received_label additional.fields 병합됨
type_ext_label additional.fields 병합됨
type_label additional.fields 병합됨
value_label additional.fields 병합됨
authentication_type extensions.auth.auth_details 직접 매핑됨
SensorId intermediary.hostname 직접 매핑됨
record.TimeGenerated metadata.event_timestamp ISO8601(으)로 파싱됨
record.properties.Timestamp metadata.event_timestamp ISO8601(으)로 파싱됨
record.time metadata.event_timestamp ISO8601(으)로 파싱됨
has_principal metadata.event_type 매핑됨: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type 직접 매핑됨
raw_event_id metadata.product_log_id 직접 매핑됨
record.SystemAlertId metadata.product_log_id 직접 매핑됨
record.alertId metadata.product_log_id 직접 매핑됨
record.properties.extendedProperties.alert_Id metadata.product_log_id 직접 매핑됨
product_name metadata.product_name 직접 매핑됨
record.properties.productName metadata.product_name 직접 매핑됨
vendor_name metadata.vendor_name 직접 매핑됨
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id 직접 매핑됨
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id 직접 매핑됨
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id 직접 매핑됨
email_subject network.email.subject 병합됨
operation network.email.subject 매핑됨(참고표)
record.properties.UserAgent network.http.user_agent 직접 매핑됨
user_agent network.http.user_agent 직접 매핑됨
network_session_id network.session_id 직접 매핑됨
record.ExtendedProperties.accountSessionId network.session_id 직접 매핑됨
record.properties.RawEventData.ClientRequestId network.session_id 직접 매핑됨
record.clientApplication principal.application 직접 매핑됨
record.properties.extendedProperties.clientApplication principal.application 직접 매핑됨
SourceDevice principal.asset.hostname 직접 매핑됨
client_hostname principal.asset.hostname 직접 매핑됨
compromised_hostname principal.asset.hostname 직접 매핑됨
SourceDeviceAddress principal.asset.ip 매핑됨: IPv4 정규식
clientIpAddress principal.asset.ip 병합됨
SourceComputerId principal.asset.product_object_id 직접 매핑됨
SourceDevice principal.hostname 직접 매핑됨
client_hostname principal.hostname 직접 매핑됨
compromised_hostname principal.hostname 직접 매핑됨
SourceDeviceAddress principal.ip 매핑됨: IPv4 정규식
clientIpAddress principal.ip 병합됨
alertLabel principal.labels 병합됨
cityLabel principal.location.city 직접 매핑됨
record.properties.City principal.location.city 직접 매핑됨
countryLabel principal.location.country_or_region 직접 매핑됨
record.clientIpLocation principal.location.country_or_region 직접 매핑됨
record.clientLocation principal.location.country_or_region 직접 매핑됨
record.properties.clientLocation principal.location.country_or_region 직접 매핑됨
record.properties.extendedProperties.clientLocation principal.location.country_or_region 직접 매핑됨
isp principal.location.name 직접 매핑됨
entity.location.latitude principal.location.region_coordinates.latitude 직접 매핑됨
entity.location.longitude principal.location.region_coordinates.longitude 직접 매핑됨
os_platform principal.platform 매핑됨: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line 직접 매핑됨
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path 직접 매핑됨
record.properties.RawEventData.ClientProcessName principal.process.file.full_path 직접 매핑됨
record.ExtendedProperties.suspiciousProcessId principal.process.pid 직접 매핑됨
account_id principal.resource.attribute.labels 병합됨
account_object_id principal.resource.attribute.labels 병합됨
alertLabel principal.resource.attribute.labels 병합됨
alertLabel1 principal.resource.attribute.labels 병합됨
app_instance_id principal.resource.attribute.labels 병합됨
compromisedEntityLabel principal.resource.attribute.labels 병합됨
compromisedEntityLabel1 principal.resource.attribute.labels 병합됨
correlationKeyLabel principal.resource.attribute.labels 병합됨
effectiveSubscriptionIdLabel principal.resource.attribute.labels 병합됨
object_id principal.resource.attribute.labels 병합됨
object_name principal.resource.attribute.labels 병합됨
object_type principal.resource.attribute.labels 병합됨
potential_causes principal.resource.attribute.labels 병합됨
productComponentNameLabel principal.resource.attribute.labels 병합됨
sql_instance_name_label principal.resource.attribute.labels 병합됨
sql_server_name_label principal.resource.attribute.labels 병합됨
supporting_evidence_label principal.resource.attribute.labels 병합됨
system_alert_id_label principal.resource.attribute.labels 병합됨
zone_interface_label principal.resource.attribute.labels 병합됨
record.properties.extendedProperties.resourceType principal.resource.name 직접 매핑됨
resourceType principal.resource.name 직접 매핑됨
record.ResourceId principal.resource.product_object_id 직접 매핑됨
mailbox_owner_upn principal.user.email_addresses 병합됨
principal_user_display_name principal.user.user_display_name 직접 매핑됨
record.ExtendedProperties.userName principal.user.user_display_name 직접 매핑됨
client_user principal.user.userid 직접 매핑됨
principal_userid principal.user.userid 직접 매핑됨
record.properties.RawEventData.LogonUserSid principal.user.windows_sid 직접 매핑됨
action security_result.action 병합됨
operation security_result.action 매핑됨(참고표)
tacticsLabel security_result.attack_details.tactics 병합됨
category_details_label security_result.category_details 병합됨
threat_category security_result.category_details 병합됨
record.Description security_result.description 직접 매핑됨
record.properties.description security_result.description 직접 매핑됨
KindLabel security_result.detection_fields 병합됨
action_type security_result.detection_fields 병합됨
application_id security_result.detection_fields 병합됨
device_type security_result.detection_fields 병합됨
field security_result.detection_fields 병합됨
incidentdetectionfields security_result.detection_fields 병합됨
incidentdetectionfields1 security_result.detection_fields 병합됨
intent_label security_result.detection_fields 병합됨
is_admin_operation_label security_result.detection_fields 병합됨
is_impersonated_label security_result.detection_fields 병합됨
is_new_label security_result.detection_fields 병합됨
operation security_result.detection_fields 매핑됨: MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields 병합됨
sourcesystemdetectionfields security_result.detection_fields 병합됨
statusdetectionfields security_result.detection_fields 병합됨
statusdetectionfields1 security_result.detection_fields 병합됨
trojan_script_malgent_msr_label security_result.detection_fields 병합됨
vendor_original_id_label security_result.detection_fields 병합됨
violation_count_label security_result.detection_fields 병합됨
report_id security_result.rule_id 직접 매핑됨
alertDisplayName security_result.rule_name 직접 매핑됨
record.AlertName security_result.rule_name 직접 매핑됨
alert_severity security_result.severity 직접 매핑됨
severity security_result.severity 직접 매핑됨
alert_severity security_result.severity_details 직접 매핑됨
record.properties.severity security_result.severity_details 직접 매핑됨
record.DisplayName security_result.summary 직접 매핑됨
summary security_result.summary 직접 매핑됨
record.AlertType security_result.threat_name 직접 매핑됨
record.properties.alertType security_result.threat_name 직접 매핑됨
AlertManagementUri security_result.url_back_to_product 직접 매핑됨
record.properties.RawEventData.Folder.Path src.resource.name 직접 매핑됨
record.properties.RawEventData.Folder.Id src.resource.product_object_id 직접 매핑됨
application target.application 직접 매핑됨
DestinationDevice target.asset.hostname 직접 매핑됨
record.ExtendedProperties.compromisedHost target.asset.hostname 직접 매핑됨
DestinationDeviceAddress target.asset.ip 매핑됨: IPv4 정규식
CompromisedEntityId target.asset.product_object_id 직접 매핑됨
file_name target.file.names 병합됨
operation target.file.names 매핑됨(참고표)
operation target.file.size 매핑됨(참고표)
record.properties.RawEventData.Item.SizeInBytes target.file.size 직접 매핑됨
DestinationDevice target.hostname 직접 매핑됨
originating_server target.hostname 직접 매핑됨
record.ExtendedProperties.compromisedHost target.hostname 직접 매핑됨
DestinationDeviceAddress target.ip 매핑됨: IPv4 정규식
target_process_command_line target.process.command_line 직접 매핑됨
target_process_file target.process.file.full_path 직접 매핑됨
target_process_id target.process.pid 직접 매핑됨
workspaceLabel target.resource.attribute.labels 병합됨
workspaceResourceGroupLabel target.resource.attribute.labels 병합됨
AzureResourceId target.resource.id 직접 매핑됨
record.properties.RawEventData.DestFolder.Path target.resource.name 직접 매핑됨
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name 직접 매핑됨
record._Internal_WorkspaceResourceId target.resource.product_object_id 직접 매핑됨
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id 직접 매핑됨
record.properties.RawEventData.Item.Id target.resource.product_object_id 직접 매핑됨
operation target.user.email_addresses 매핑됨(참고표)
target_user target.user.email_addresses 매핑됨: 이메일 정규식
해당 사항 없음 metadata.event_type 상수: NETWORK_CONNECTION
해당 사항 없음 metadata.product_name 상수: MICROSOFT_DEFENDER_CLOUD_ALERTS
해당 사항 없음 metadata.vendor_name 상수: MICROSOFT_DEFENDER_CLOUD_ALERTS
해당 사항 없음 principal.platform 상수: MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip 및 event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application 변경 로그에서 매핑됨
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary 변경 로그에서 매핑됨
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
Entity.FriendlyName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entity.EntityIds event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
record.ExtendedProperties event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entities.FriendlyName event.idm.read_only_udm.target.ip 및 event.idm.read_only_udm.target.asset.ip 변경 로그에서 매핑됨
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 변경 로그에서 매핑됨
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 변경 로그에서 매핑됨
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 변경 로그에서 매핑됨
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id 변경 로그에서 매핑됨
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype 변경 로그에서 매핑됨
Entities.ResourceName event.idm.read_only_udm.target.resource.name 변경 로그에서 매핑됨
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region 변경 로그에서 매핑됨
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city 변경 로그에서 매핑됨
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state 변경 로그에서 매핑됨
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude 변경 로그에서 매핑됨
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude 변경 로그에서 매핑됨
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name 변경 로그에서 매핑됨
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product 변경 로그에서 매핑됨
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time 변경 로그에서 매핑됨
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time 변경 로그에서 매핑됨
Type event.idm.read_only_udm.metadata.product_event_type 변경 로그에서 매핑됨
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp 변경 로그에서 매핑됨
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id 변경 로그에서 매핑됨
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id 변경 로그에서 매핑됨
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype 변경 로그에서 매핑됨
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name 변경 로그에서 매핑됨
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product 변경 로그에서 매핑됨
Properties.displayName event.idm.read_only_udm.security_result.summary 변경 로그에서 매핑됨
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id 변경 로그에서 매핑됨
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name 변경 로그에서 매핑됨
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id 변경 로그에서 매핑됨
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name 변경 로그에서 매핑됨
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name 변경 로그에서 매핑됨
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time 변경 로그에서 매핑됨
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp 변경 로그에서 매핑됨
RecommendationDisplayName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Recommendation DisplayName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RecommendationId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Recommendation Id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RecommendationName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Recommendation Name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RecommendationSeverity event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Recommendation Severity event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RecommendationState event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Recommendation State event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RemediationDescription event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Remediation_Description event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
SourceSystem event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Source System event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_ItemId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Item Id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Metadata Display Name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Assessment Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Policy Definition Id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.description event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Metadata Description event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Remediation Description event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Preview event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Metadata Severity event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
User Impact event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Implementation Effort event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Public Publish Date event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Cloud Providers %{index} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Management Provider event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Security Issue event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Recommendation Category event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_IsBillable event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Is Billable event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_BilledSize event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Billed Size event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IsSnapshot event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Is Snapshot event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ResourceTenantId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Resource Tenant ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Has Baseline event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.additionalData.query event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Query event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Additional Remediation Description event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Remediation Query event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.additionalData.impact event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Impact event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Benchmark Reference event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
First Evaluation Date event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Native Resource ID event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
benchmarks.json_array2.item.benchmark event.idm.read_only_udm.additional.fields에 대한 Benchmark 키 변경 로그에서 매핑됨
Properties.metadata_data.securityCategories event.idm.read_only_udm.additional.fields에 대한 Security Categories 키 변경 로그에서 매핑됨
Properties.metadata_data.categories event.idm.read_only_udm.additional.fields에 대한 Metadata Categories 키 변경 로그에서 매핑됨
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
scanTime event.idm.read_only_udm.target.resource.attribute.labels 변경 로그에서 매핑됨
Properties.status.code event.idm.read_only_udm.security_result.outcomes 변경 로그에서 매핑됨
Status Code event.idm.read_only_udm.security_result.outcomes 변경 로그에서 매핑됨
Properties.status.cause event.idm.read_only_udm.security_result.outcomes 변경 로그에서 매핑됨
status_cause event.idm.read_only_udm.security_result.outcomes 변경 로그에서 매핑됨
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Resource Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp 변경 로그에서 매핑됨
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid 변경 로그에서 매핑됨
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path 변경 로그에서 매핑됨
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line 변경 로그에서 매핑됨
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name 변경 로그에서 매핑됨
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname 및 event.idm.read_only_udm.target.asset.hostname 변경 로그에서 매핑됨
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id 변경 로그에서 매핑됨
SourceDeviceAddress event.idm.read_only_udm.principal.ip 변경 로그에서 매핑됨
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip 변경 로그에서 매핑됨
DestinationDeviceAddress event.idm.read_only_udm.target.ip 변경 로그에서 매핑됨
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip 변경 로그에서 매핑됨
SourceDevice event.idm.read_only_udm.principal.hostname 및 event.idm.read_only_udm.principal.asset.hostname 변경 로그에서 매핑됨
SourceDevice event.idm.read_only_udm.principal.asset.hostname 변경 로그에서 매핑됨
DestinationDevice event.idm.read_only_udm.target.hostname 변경 로그에서 매핑됨
DestinationDevice event.idm.read_only_udm.target.asset.hostname 변경 로그에서 매핑됨
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id 변경 로그에서 매핑됨
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id 변경 로그에서 매핑됨
SensorId event.idm.read_only_udm.intermediary.hostname 변경 로그에서 매핑됨
Category event.idm.read_only_udm.security_result.category_details 변경 로그에서 매핑됨
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product 변경 로그에서 매핑됨
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
ProductComponentName event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
ViolationCount event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
isNew event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
record.ProviderName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ProviderName event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
DeviceId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
_TimeReceived event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
BACnet Service event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
bacnet_service event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Protocol event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
isLearnable event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
RemediationSteps event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Techniques event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Alert generation status event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ProcessedBySentinel event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
record.Entities event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IoTHub.ResourceId event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IoTHub.Type event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Owners event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Nics event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Protocols event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
Protocols_%{index} event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path 변경 로그에서 매핑됨
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id 변경 로그에서 매핑됨
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid 변경 로그에서 매핑됨
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses 변경 로그에서 매핑됨
record.properties.ISP event.idm.read_only_udm.principal.location.name 변경 로그에서 매핑됨
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname 변경 로그에서 매핑됨
record.properties.Application event.idm.read_only_udm.target.application 변경 로그에서 매핑됨
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id 변경 로그에서 매핑됨
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields 변경 로그에서 매핑됨
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels 변경 로그에서 매핑됨
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.