Mengumpulkan log Microsoft Defender for Identity

Didukung di:

Dokumen ini menjelaskan cara menyerap log Microsoft Defender for Identity ke Google Security Operations menggunakan Azure Storage. Parser memproses log JSON, atau log berformat CEF jika penguraian JSON gagal. Parser ini mengekstrak kolom, melakukan transformasi data seperti konversi string, penggantian nama, dan penggabungan, serta memetakannya ke Unified Data Model (UDM), menangani berbagai format log, dan memperkaya data dengan konteks tambahan seperti label dan detail autentikasi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • tenant Azure yang aktif
  • Akses istimewa ke Azure dan peran Administrative Security

Mengonfigurasi akun Azure Storage

  1. Di konsol Azure, telusuri Storage accounts.
  2. Klik Create.
  3. Tentukan nilai untuk parameter input berikut:
    • Subscription: pilih langganan.
    • Resource Group: pilih grup resource.
    • Region: pilih region.
    • Performa: pilih jenis performa (Standar direkomendasikan).
    • Redundancy: pilih jenis redundansi (GRS atau LRS direkomendasikan).
    • Storage account name: masukkan nama untuk akun Storage baru.
  4. Klik Review + create.
  5. Tinjau ringkasan akun, lalu klik Buat.
  6. Dari halaman Overview akun penyimpanan, pilih submenu Access keys di Security + networking.
  7. Klik Show di samping key1 atau key2.
  8. Klik Salin ke papan klip untuk menyalin kunci.

  9. Simpan kunci di lokasi yang aman untuk referensi pada masa mendatang.

  10. Dari halaman Overview akun penyimpanan, pilih submenu Endpoints di Settings.

  11. Klik Copy to clipboard untuk menyalin URL endpoint Blob service. (misalnya, https://<storageaccountname>.blob.core.windows.net).

  12. Simpan URL endpoint di lokasi yang aman untuk referensi pada masa mendatang.

  13. Buka Overview > JSON View.

  14. Salin dan simpan ID Resource Penyimpanan.

Mengonfigurasi Ekspor Log untuk Microsoft Defender for Identity

  1. Login ke Defender Portal menggunakan akun dengan hak istimewa.
  2. Buka Setelan.
  3. Pilih tab Microsoft Defender XDR.
  4. Pilih Streaming API dari bagian umum, lalu klik Add.
  5. Pilih Forward events to Azure Storage.
  6. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama yang unik dan bermakna.
    • Pilih Forward events to Azure Storage.
    • Storage Account Resource ID: Masukkan ID resource Azure Storage yang disalin sebelumnya.
    • Jenis Peristiwa: Pilih Pemberitahuan & Perilaku dan Perangkat.
  7. Klik Kirim.

Menyiapkan feed

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

  • Settings > Data Management > Feeds > Add New Feed (Di platform khusus SIEM, Settings > Feeds > Add New Feed)
  • Content Hub > Paket Konten > Mulai

Cara menyiapkan feed Microsoft Defender for Identity

  1. Klik paket Microsoft Defender.

  2. Tentukan nilai berikut:

    • Jenis Sumber: Microsoft Azure Blob Storage V2.

    • Azure uri: URL endpoint blob.

      ENDPOINT_URL/BLOB_NAME

      Ganti kode berikut:

      • ENDPOINT_URL: URL endpoint blob. (https://<storageaccountname>.blob.core.windows.net)
      • BLOB_NAME: nama blob. (seperti, insights-logs-<logname>)

    • Opsi penghapusan sumber: pilih opsi penghapusan sesuai preferensi Anda.

    • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.

    • Shared key: kunci akses ke Azure Blob Storage.

    Opsi lanjutan

    • Nama Feed: Nilai yang diisi otomatis yang mengidentifikasi feed.
    • Namespace Aset: Namespace yang terkait dengan feed.
    • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

  3. Klik Buat feed.

    Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam kelompok produk ini, lihat Mengonfigurasi feed menurut produk.

Contoh log Microsoft Defender For Identity yang didukung

  • JSON - Advanced Hunting

    {
 "time": "2025-02-05T02:01:49.9837340Z",
 "tenantId": "00000000-0000-0000-0000-000000000000",
 "operationName": "Publish",
 "category": "AdvancedHunting-IdentityDirectoryEvents",
 "_TimeReceivedBySvc": "2025-02-05T02:00:23.0990817Z",
 "properties": {
  "ActionType": "SMB file copy",
  "Protocol": "Smb",
  "AccountName": null,
  "AccountDomain": null,
  "AccountUpn": null,
  "AccountSid": null,
  "AccountObjectId": null,
  "AccountDisplayName": null,
  "DeviceName": "HOST-SOURCE",
  "IPAddress": "10.10.10.5",
  "DestinationDeviceName": "HOST-DEST",
  "TargetDeviceName": null,
  "Location": null,
  "ISP": "INTERNAL_NETWORK",
  "Port": 445,
  "DestinationPort": 64589,
  "DestinationIPAddress": "10.10.10.5",
  "TargetAccountUpn": null,
  "TargetAccountDisplayName": null,
  "AdditionalFields": {
   "ActionTypeInner": "smbfilecopy",
   "Count": "4",
   "Category": "Lateral Movement",
   "AttackTechniques": "Remote Services (T1021), Lateral Tool Transfer (T1570), SMB/Windows Admin Shares (T1021.002)",
   "FilePath": "dns\\dns.log",
   "FileName": "dns\\dns.log",
   "FileSize": "138373233",
   "Method": "Read",
   "SourceComputerObjectGuid": "11111111-1111-1111-1111-111111111111",
   "SourceComputerOperatingSystem": "windows server 2016 standard",
   "SourceComputerOperatingSystemVersion": "10.0 (14393)",
   "SourceComputerOperatingSystemType": "windows",
   "DestinationComputerObjectGuid": "22222222-2222-2222-2222-222222222222",
   "DestinationComputerOperatingSystem": "windows server 2016 standard",
   "DestinationComputerOperatingSystemVersion": "10.0 (14393)",
   "DestinationComputerOperatingSystemType": "windows",
   "SourceComputerId": "33333333-3333-3333-3333-333333333333",
   "SourceComputerSid": "S-1-5-21-REDACTED-SID",
   "FROM.DEVICE": "HOST-SOURCE",
   "TO.DEVICE": "HOST-DEST",
   "ACTOR.DEVICE": "HOST-SOURCE"
  },
  "ReportId": "44444444-4444-4444-4444-444444444444",
  "Timestamp": "2025-02-05T02:00:01.335347Z",
  "Application": "Active Directory"
 },
 "Tenant": "DefaultTenant"
}

  • SYSLOG + CEF

    <36>1 2022-06-29T01:55:03.819108+00:00 SYSLOG_HOST CEF 5556 RemoteExecutionSecurityAlert 0|
Microsoft|
Azure ATP|
2.183.15420.19379|
RemoteExecutionSecurityAlert|
Remote code execution attempt|
5|
start=2022-06-29T01:50:43.1995560Z|
app=Wmi, WinRm|
shost=SRC_HOST|
shostfqdn=src_host.domain.lan|
msg=Service Account, SVC_ACCOUNT made 5 attempts to run commands remotely on 38 domain controllers from SRC_HOST using 1 WMI method,4 PowerShell commands.|
externalId=2019|
cs1Label=url|
cs1=https://security.microsoft.com/alerts/sanitized_alert_id|
cs2Label=trigger|
cs2=update|
cs3Label=mSecUrl|
cs3=https://security.microsoft.com/alerts/sanitized_alert_id

  • JSON - Batch Data

    {
  "records": [
    {
      "time": "2024-08-21T11:46:25.1024982Z",
      "tenantId": "00000000-0000-0000-0000-000000000000",
      "operationName": "Publish",
      "category": "AdvancedHunting-IdentityDirectoryEvents",
      "_TimeReceivedBySvc": "2024-08-21T11:44:07.0952670Z",
      "properties": {
        "ActionType": "Directory Services replication",
        "Protocol": "Drsr",
        "AccountName": null,
        "AccountDomain": null,
        "AccountUpn": null,
        "AccountSid": "S-1-5-21-REDACTED-SID",
        "AccountObjectId": null,
        "AccountDisplayName": null,
        "DeviceName": "HOST-DEVICE",
        "IPAddress": "10.10.10.20",
        "DestinationDeviceName": "HOST-DEST",
        "TargetDeviceName": null,
        "Location": null,
        "ISP": "INTERNAL_NETWORK",
        "Port": 64464,
        "DestinationPort": 1066,
        "DestinationIPAddress": "10.10.10.30",
        "TargetAccountUpn": null,
        "TargetAccountDisplayName": null,
        "AdditionalFields": {
          "Count": "2",
          "Category": "Credential Access",
          "AttackTechniques": [
            "OS Credential Dumping (T1003)",
            "DC Sync (T1003.006)",
            "NTDS (T1003.003)"
          ],
          "IsSuccess": "True",
          "ARG.TASK": "Directory Services replication",
          "SourceAccountId": "11111111-1111-1111-1111-111111111111",
          "SourceAccountSid": "S-1-5-21-REDACTED-SID",
          "SourceComputerObjectGuid": "22222222-2222-2222-2222-222222222222",
          "SourceComputerOperatingSystem": "windows server 2022 standard",
          "SourceComputerOperatingSystemVersion": "10.0 (20348)",
          "SourceComputerOperatingSystemType": "windows",
          "DestinationComputerObjectGuid": "33333333-3333-3333-3333-333333333333",
          "DestinationComputerOperatingSystem": "windows server 2016 standard",
          "DestinationComputerOperatingSystemVersion": "10.0 (14393)",
          "DestinationComputerOperatingSystemType": "windows",
          "SourceComputerId": "44444444-4444-4444-4444-444444444444",
          "SourceComputerSid": "S-1-5-21-REDACTED-SID",
          "ACTOR.ACCOUNT": "MSOL_REDACTED",
          "ACTOR.ENTITY_USER": "",
          "FROM.DEVICE": "HOST-SRC",
          "TO.DEVICE": "HOST-DEST",
          "ACTOR.DEVICE": "HOST-SRC"
        },
        "ReportId": "55555555-5555-5555-5555-555555555555",
        "Timestamp": "2024-08-21T11:41:12.700159Z",
        "Application": "Active Directory"
      },
      "Tenant": "DefaultTenant"
    }
  ]
}

  • JSON - Azure Monitor / Activity

    {
  "RoleLocation": "West Europe",
  "Stamp": "FDWeb",
  "ReleaseVersion": "6.2025.3.31+fc19adc.release_2025w03",
  "time": "2025-02-20T23:47:55.8304991Z",
  "resourceId": "/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/RESOURCEGROUPS/SANITIZED_RG/PROVIDERS/MICROSOFT.NETWORK/LOADBALANCERS/SANITIZED-LB",
  "operationName": "MICROSOFT.AUTHORIZATION/POLICIES/MODIFY/ACTION",
  "category": "Administrative",
  "resultType": "Success",
  "resultSignature": "Succeeded.",
  "durationMs": "0",
  "callerIpAddress": "10.10.10.40",
  "correlationId": "11111111-1111-1111-1111-111111111111",
  "identity": {
    "authorization": {
      "scope": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/sanitized_rg/providers/Microsoft.Network/loadBalancers/sanitized-lb",
      "action": "Microsoft.Network/loadBalancers/write",
      "evidence": {
        "role": "Contributor",
        "roleAssignmentScope": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/SANITIZED_RG",
        "roleAssignmentId": "22222222222222222222222222222222",
        "roleDefinitionId": "33333333333333333333333333333333",
        "principalId": "REDACTED_PRINCIPAL_ID",
        "principalType": "ServicePrincipal"
      }
    },
    "claims": {
      "aud": "https://management.core.windows.net/",
      "iss": "https://sts.windows.net/00000000-0000-0000-0000-000000000000/",
      "iat": "1740087743",
      "nbf": "1740087743",
      "exp": "1740174443",
      "aio": "REDACTED_AIO",
      "appid": "REDACTED_APPID",
      "appidacr": "2",
      "http://schemas.microsoft.com/identity/claims/identityprovider": "https://sts.windows.net/00000000-0000-0000-0000-000000000000/",
      "idtyp": "app",
      "http://schemas.microsoft.com/identity/claims/objectidentifier": "44444444-4444-4444-4444-444444444444",
      "rh": "REDACTED_RH",
      "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "55555555-5555-5555-5555-555555555555",
      "http://schemas.microsoft.com/identity/claims/tenantid": "00000000-0000-0000-0000-000000000000",
      "uti": "REDACTED_UTI",
      "ver": "1.0",
      "xms_idrel": "7 12",
      "xms_mirid": "/subscriptions/00000000-0000-0000-0000-000000000000/resourcegroups/sanitized_rg/providers/Microsoft.ContainerService/managedClusters/sanitized_cluster",
      "xms_tcdt": "1461941593"
    }
  },
  "level": "Information",
  "properties": {
    "isComplianceCheck": "False",
    "resourceLocation": "westeurope",
    "ancestors": "DataPlatform,LandingZone,REDACTED_ANCESTOR,00000000-0000-0000-0000-000000000000",
    "policies": [
      {
        "policyDefinitionId": "/providers/Microsoft.Management/managementGroups/REDACTED/providers/Microsoft.Authorization/policyDefinitions/REDACTED_ID",
        "policySetDefinitionId": "/providers/Microsoft.Management/managementGroups/REDACTED/providers/Microsoft.Authorization/policySetDefinitions/REDACTED_ID",
        "policyDefinitionReferenceId": "Inherit A Tag From Resource Group And Overwrite Existing_1",
        "policySetDefinitionName": "REDACTED_ID",
        "policySetDefinitionDisplayName": "Inherit All Tags From Resource Group And Overwrite Existing",
        "policySetDefinitionVersion": "1.0.0",
        "policyDefinitionName": "REDACTED_ID",
        "policyDefinitionDisplayName": "Inherit A Tag From Resource Group And Overwrite Existing",
        "policyDefinitionVersion": "1.0.0",
        "policyDefinitionEffect": "modify",
        "policyAssignmentId": "/providers/Microsoft.Management/managementGroups/REDACTED/providers/Microsoft.Authorization/policyAssignments/REDACTED_ID",
        "policyAssignmentName": "REDACTED_ID",
        "policyAssignmentDisplayName": "Inherit All Tags From Resource Group And Overwrite Existing",
        "policyAssignmentScope": "/providers/Microsoft.Management/managementGroups/REDACTED",
        "policyExemptionIds": [],
        "policyEnrollmentIds": []
      }
    ],
    "tenantId": "00000000-0000-0000-0000-000000000000"
  }
}

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
category metadata.log_type Kolom category log mentah dipetakan ke metadata.log_type.
properties.AccountDisplayName Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AccountName Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AccountUpn Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.ActionType metadata.product_event_type Kolom properties.ActionType log mentah dipetakan ke metadata.product_event_type.
properties.AdditionalFields.ACTOR.ACCOUNT Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.ACTOR.DEVICE principal.asset.asset_id Parser mengekstrak nilai properties.AdditionalFields.ACTOR.DEVICE dan menambahkan ASSET ID: di awal.
properties.AdditionalFields.ACTOR.ENTITY_USER Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.Count Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.DestinationComputerDnsName Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.DestinationComputerObjectGuid target.asset.product_object_id Elemen pertama array properties.AdditionalFields.DestinationComputerObjectGuid dipetakan ke target.asset.product_object_id. Elemen berikutnya dipetakan ke additional.fields dengan kunci seperti DestinationComputerObjectGuid_1, DestinationComputerObjectGuid_2, dll.
properties.AdditionalFields.DestinationComputerOperatingSystem target.asset.platform_software.platform_version Elemen pertama array properties.AdditionalFields.DestinationComputerOperatingSystem dipetakan ke target.asset.platform_software.platform_version. Elemen berikutnya dipetakan ke additional.fields dengan kunci seperti DestinationComputerOperatingSystem_1, DestinationComputerOperatingSystem_2, dll.
properties.AdditionalFields.DestinationComputerOperatingSystemType target.asset.platform_software.platform Jika nilainya adalah windows, kolom UDM akan ditetapkan ke WINDOWS.
properties.AdditionalFields.DestinationComputerOperatingSystemVersion target.platform_version Elemen pertama array properties.AdditionalFields.DestinationComputerOperatingSystemVersion dipetakan ke target.platform_version. Elemen berikutnya dipetakan ke additional.fields dengan kunci seperti DestinationComputerOperatingSystemVersion1, DestinationComputerOperatingSystemVersion2, dll.
properties.AdditionalFields.FROM.DEVICE principal.asset.asset_id Parser mengekstrak nilai properties.AdditionalFields.FROM.DEVICE dan menambahkan ASSET ID: di awal.
properties.AdditionalFields.KerberosDelegationType Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.SourceAccountId Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.SourceAccountSid Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.SourceComputerObjectGuid principal.asset.product_object_id Kolom properties.AdditionalFields.SourceComputerObjectGuid log mentah dipetakan ke principal.asset.product_object_id.
properties.AdditionalFields.SourceComputerOperatingSystem principal.asset.platform_software.platform_version Kolom properties.AdditionalFields.SourceComputerOperatingSystem log mentah dipetakan ke principal.asset.platform_software.platform_version.
properties.AdditionalFields.SourceComputerOperatingSystemType principal.asset.platform_software.platform_version Jika nilainya adalah windows, kolom UDM akan ditetapkan ke WINDOWS.
properties.AdditionalFields.SourceComputerOperatingSystemVersion Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.Spns Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.TARGET_OBJECT.ENTITY_USER Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.AdditionalFields.TARGET_OBJECT.USER target.user.userid Elemen pertama array properties.AdditionalFields.TARGET_OBJECT.USER dipetakan ke target.user.userid. Elemen berikutnya dipetakan ke additional.fields dengan kunci seperti TARGET_OBJECT.USER_1, TARGET_OBJECT.USER_2, dll.
properties.AdditionalFields.TO.DEVICE target.asset.asset_id Elemen pertama array properties.AdditionalFields.TO.DEVICE dipetakan ke target.asset.asset_id dengan ASSET ID: ditambahkan di awal. Elemen berikutnya dipetakan ke additional.fields dengan kunci seperti TODEVICE1, TODEVICE2, dll.
properties.AuthenticationDetails extensions.auth.auth_details Parser akan menghapus kurung kurawal, tanda kurung siku, dan tanda petik ganda dari nilai, serta menambahkan AuthenticationDetails: di awal.
properties.DeliveryAction additional.fields Dipetakan dengan kunci DeliveryAction.
properties.DeliveryLocation additional.fields Dipetakan dengan kunci DeliveryLocation.
properties.DestinationDeviceName target.hostname, target.asset.hostname Kolom properties.DestinationDeviceName log mentah dipetakan ke target.hostname dan target.asset.hostname.
properties.DestinationIPAddress target.ip, target.asset.ip Kolom properties.DestinationIPAddress log mentah dipetakan ke target.ip dan target.asset.ip.
properties.DestinationPort target.port Kolom properties.DestinationPort log mentah dipetakan ke target.port.
properties.DeviceName principal.hostname, principal.asset.hostname Kolom properties.DeviceName log mentah dipetakan ke principal.hostname dan principal.asset.hostname.
properties.EmailClusterId additional.fields Dipetakan dengan kunci EmailClusterId.
properties.EmailDirection network.direction Jika nilainya adalah Inbound, kolom UDM akan ditetapkan ke INBOUND. Jika nilainya adalah Outbound, kolom UDM akan ditetapkan ke OUTBOUND. Jika tidak, nilai ini akan ditetapkan ke UNKNOWN_DIRECTION.
properties.EmailLanguage additional.fields Dipetakan dengan kunci EmailLanguage.
properties.InitiatingProcessAccountDomain principal.administrative_domain Kolom properties.InitiatingProcessAccountDomain log mentah dipetakan ke principal.administrative_domain.
properties.InitiatingProcessAccountSid principal.user.windows_sid Kolom properties.InitiatingProcessAccountSid log mentah dipetakan ke principal.user.windows_sid.
properties.InitiatingProcessCommandLine principal.process.command_line Kolom properties.InitiatingProcessCommandLine log mentah dipetakan ke principal.process.command_line.
properties.InitiatingProcessFileName principal.process.file.full_path Digunakan bersama dengan properties.InitiatingProcessFolderPath untuk membuat jalur lengkap. Jika properties.InitiatingProcessFolderPath sudah berisi nama file, nama file tersebut akan langsung digunakan.
properties.InitiatingProcessFolderPath principal.process.file.full_path Digunakan bersama dengan properties.InitiatingProcessFileName untuk membuat jalur lengkap.
properties.InitiatingProcessId principal.process.pid Kolom properties.InitiatingProcessId log mentah dipetakan ke principal.process.pid.
properties.InitiatingProcessIntegrityLevel about.labels Dipetakan dengan kunci InitiatingProcessIntegrityLevel.
properties.InitiatingProcessMD5 principal.process.file.md5 Kolom properties.InitiatingProcessMD5 log mentah dipetakan ke principal.process.file.md5.
properties.InitiatingProcessParentId principal.process.parent_process.pid Kolom properties.InitiatingProcessParentId log mentah dipetakan ke principal.process.parent_process.pid.
properties.InitiatingProcessParentFileName principal.process.parent_process.file.full_path Kolom properties.InitiatingProcessParentFileName log mentah dipetakan ke principal.process.parent_process.file.full_path.
properties.InitiatingProcessSHA1 principal.process.file.sha1 Kolom properties.InitiatingProcessSHA1 log mentah dipetakan ke principal.process.file.sha1.
properties.InitiatingProcessSHA256 principal.process.file.sha256 Kolom properties.InitiatingProcessSHA256 log mentah dipetakan ke principal.process.file.sha256.
properties.InitiatingProcessTokenElevation about.labels Dipetakan dengan kunci InitiatingProcessTokenElevation.
properties.InternetMessageId additional.fields Parser akan menghapus tanda kurung siku dan memetakan nilai dengan kunci InternetMessageId.
properties.IPAddress principal.ip, principal.asset.ip Kolom properties.IPAddress log mentah dipetakan ke principal.ip dan principal.asset.ip.
properties.LogonType extensions.auth.mechanism Digunakan untuk mendapatkan nilai extensions.auth.mechanism.
properties.Port principal.port Kolom properties.Port log mentah dipetakan ke principal.port.
properties.PreviousRegistryKey src.registry.registry_key Kolom properties.PreviousRegistryKey log mentah dipetakan ke src.registry.registry_key.
properties.PreviousRegistryValueData src.registry.registry_value_data Kolom properties.PreviousRegistryValueData log mentah dipetakan ke src.registry.registry_value_data.
properties.PreviousRegistryValueName src.registry.registry_value_name Kolom properties.PreviousRegistryValueName log mentah dipetakan ke src.registry.registry_value_name.
properties.Query principal.user.attribute.labels Dipetakan dengan kunci LDAP Search Scope.
properties.RecipientEmailAddress Belum Dipetakan Kolom ini tidak dipetakan ke objek IDM di UDM.
properties.RegistryKey target.registry.registry_key Kolom properties.RegistryKey log mentah dipetakan ke target.registry.registry_key.
properties.RegistryValueData target.registry.registry_value_data Kolom properties.RegistryValueData log mentah dipetakan ke target.registry.registry_value_data.
properties.RegistryValueName target.registry.registry_value_name Kolom properties.RegistryValueName log mentah dipetakan ke target.registry.registry_value_name.
properties.ReportId about.labels Dipetakan dengan kunci ReportId.
properties.SenderIPv4 principal.ip, principal.asset.ip Kolom properties.SenderIPv4 log mentah dipetakan ke principal.ip dan principal.asset.ip.
properties.SenderMailFromAddress principal.user.attribute.labels Dipetakan dengan kunci SenderMailFromAddress.
properties.SenderMailFromDomain principal.user.attribute.labels Dipetakan dengan kunci SenderMailFromDomain.
properties.SenderObjectId principal.user.product_object_id Kolom properties.SenderObjectId log mentah dipetakan ke principal.user.product_object_id.
properties.Timestamp metadata.event_timestamp Kolom properties.Timestamp log mentah dipetakan ke metadata.event_timestamp.
tenantId observer.cloud.project.id Kolom tenantId log mentah dipetakan ke observer.cloud.project.id.
T/A extensions.auth.type Nilai MACHINE ditetapkan oleh parser.
T/A metadata.event_type Diperoleh berdasarkan kolom category dan properties.ActionType. Dapat berupa USER_LOGIN, USER_RESOURCE_ACCESS, USER_CHANGE_PASSWORD, REGISTRY_MODIFICATION, REGISTRY_DELETION, REGISTRY_CREATION, GENERIC_EVENT, atau STATUS_UPDATE.
T/A metadata.vendor_name Nilai Microsoft ditetapkan oleh parser.
T/A metadata.product_name Nilai Microsoft Defender Identity ditetapkan oleh parser.
cs1 metadata.url_back_to_product Kolom cs1 log mentah dipetakan ke metadata.url_back_to_product.
externalId metadata.product_log_id Kolom externalId log mentah dipetakan ke metadata.product_log_id.
msg metadata.description Kolom msg log mentah dipetakan ke metadata.description.
rule_name security_result.rule_name Kolom rule_name log mentah dipetakan ke security_result.rule_name.
severity security_result.severity Kolom severity log mentah dipetakan ke security_result.severity.
shost principal.hostname, principal.asset.hostname Kolom shost log mentah dipetakan ke principal.hostname dan principal.asset.hostname.
src principal.ip Kolom src log mentah dipetakan ke principal.ip.
suser principal.user.user_display_name Kolom suser log mentah dipetakan ke principal.user.user_display_name.
time metadata.event_timestamp Kolom time log mentah dipetakan ke metadata.event_timestamp.
userid principal.user.userid Kolom userid log mentah dipetakan ke principal.user.userid.
T/A security_result.action Diperoleh berdasarkan kolom properties.ActionType. Dapat berupa ALLOW atau BLOCK.
T/A security_result.summary Diperoleh dari kolom category atau kolom properties.ActionType.
record.properties.AdditionalFields.IsMfaPerformed event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
record.properties.OSPlatform event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
record.properties.DeviceType event.idm.read_only_udm.principal.resource.name Dipetakan dari log perubahan
record.properties.TargetDeviceName event.idm.read_only_udm.target.resource.name Dipetakan dari log perubahan
record.properties.AdditionalFields.SourceComputerOperatingSystemType event.idm.read_only_udm.src.platform_patch_level Dipetakan dari log perubahan
record.properties.AdditionalFields.TargetComputerObjectGuid event.idm.read_only_udm.target.resource.product_object_id Dipetakan dari log perubahan
record.properties.AdditionalFields.TargetComputerOperatingSystem event.idm.read_only_udm.principal.platform_patch_level Dipetakan dari log perubahan
record.properties.AdditionalFields.TargetComputerOperatingSystemVersion event.idm.read_only_udm.target.platform_patch_level Dipetakan dari log perubahan
record.properties.AdditionalFields.TargetComputerOperatingSystemType event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
record.properties.UncommonForUser event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
record.properties.LastSeenForUser event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
properties.AccountUpn event.idm.read_only_udm.principal.user.email_addresses Dipetakan dari log perubahan
record.category event.idm.read_only_udm.security_result.category_details Dipetakan dari log perubahan
record.properties.FailureReason event.idm.read_only_udm.security_result.description Dipetakan dari log perubahan
device_event_class_id security_result.rule_name Dipetakan dari log perubahan
event_name security_result.description Dipetakan dari log perubahan
app" and "alert_id additional.fields Dipetakan dari log perubahan
properties.Location principal.location.country_or_region Dipetakan dari log perubahan
properties.AccountObjectId principal.user.attribute.labels Dipetakan dari log perubahan
properties.DeviceId principal.asset_id Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.