Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Microsoft Defender for Identity のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Azure Storage を使用して Microsoft Defender for Identity のログを Google Security Operations に取り込む方法について説明します。パーサーは、JSON ログを処理します。JSON 解析が失敗した場合は、CEF 形式のログを処理します。フィールドを抽出し、文字列の変換、名前の変更、統合などのデータ変換を行い、統合データモデル（UDM）にマッピングします。さまざまなログ形式を処理し、ラベルや認証の詳細などの追加コンテキストでデータを拡充します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
アクティブな Azure テナント
Azure への特権アクセスと管理セキュリティロール

Azure Storage アカウントを構成する

Azure コンソールで、[ストレージアカウント] を検索します。
[作成] をクリックします。
次の入力パラメータの値を指定します。
- Subscription: サブスクリプションを選択します。
- リソースグループ: リソースグループを選択します。
- リージョン: リージョンを選択します。
- パフォーマンス: パフォーマンスのタイプを選択します（標準が推奨されます）。
- 冗長性: 冗長性のタイプを選択します（GRS または LRS を推奨）。
- ストレージアカウント名: 新しいストレージアカウントの名前を入力します。
[Review + create] をクリックします。
アカウントの概要を確認し、[作成] をクリックします。
ストレージアカウントの [概要] ページで、[セキュリティ + ネットワーキング] のサブメニュー [アクセスキー] を選択します。
[key1] または [key2] の横にある [Show] をクリックします。
[クリップボードにコピー] をクリックして、キーをコピーします。
キーは、後で参照できるように安全な場所に保存してください。

注意: HTTP 429（リクエストが多すぎる）エラーと取り込みの遅延を回避するため、複数のフィードで同じ共有キーまたはストレージアカウントを再利用しないでください。
ストレージアカウントの [概要] ページで、[設定] のサブメニュー [エンドポイント] を選択します。
[クリップボードにコピー] をクリックして、Blob サービスのエンドポイント URL をコピーします。（例: https://<storageaccountname>.blob.core.windows.net）。
エンドポイント URL は、後で参照できるように安全な場所に保存します。
[概要] > [JSON ビュー] に移動します。
Storage のリソース ID をコピーして保存します。

Microsoft Defender for Identity のログエクスポートを構成する

特権アカウントを使用して Defender ポータルにログインします。
[設定] に移動します。
[Microsoft Defender XDR] タブを選択します。
[全般] セクションから [Streaming API] を選択し、[追加] をクリックします。
[イベントを Azure Storage に転送する] を選択します。
次の構成情報を指定します。
- 名前: 一意で意味のある名前を入力します。
- [イベントを Azure Storage に転送する] を選択します。
- ストレージアカウントリソース ID: 先ほどコピーした Azure Storage リソース ID を入力します。
- イベントタイプ: [アラートと動作] と [デバイス] の両方を選択します。
[送信] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリポイントがあります。

[SIEM 設定] > [フィード] > [新規追加]
Content Hub > Content Packs > Get Started

Microsoft Defender for Identity フィードを設定する方法

[Microsoft Defender] パックをクリックします。
次の値を指定します。
- ソースタイプ: Microsoft Azure Blob Storage V2。
- Azure URI: Blob エンドポイント URL。
  
  ENDPOINT_URL/BLOB_NAME
  
  次のように置き換えます。
  - ENDPOINT_URL: BLOB エンドポイント URL。（https://<storageaccountname>.blob.core.windows.net）
  - BLOB_NAME: blob の名前。（insights-logs-<logname> など）
- Source deletion options: 必要に応じて削除オプションを選択します。
  
  注: [転送されたファイルを削除する] オプションまたは [転送されたファイルと空のディレクトリを削除する] オプションを選択する場合は、サービスアカウントに適切な権限が付与されていることを確認してください。
- ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
- 共有キー: Azure Blob Storage へのアクセスキー。
  
  注意: HTTP 429（リクエストが多すぎる）エラーと取り込みの遅延を回避するため、複数のフィードで同じ共有キーまたはストレージアカウントを再利用しないでください。
詳細オプション
- フィード名: フィードを識別する値が事前入力されています。
- アセットの名前空間: フィードに関連付けられた名前空間。
- 取り込みラベル: このフィードのすべてのイベントに適用されるラベル。
[フィードを作成] をクリックします。

注: Content Hub は SIEM スタンドアロンプラットフォームでは使用できません。アップグレードするには、Google SecOps の担当者にお問い合わせください。
このプロダクトファミリー内の異なるログタイプに複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

サポートされている Microsoft Defender For Identity のサンプルログ

JSON - 高度な検索

{
 "time": "2025-02-05T02:01:49.9837340Z",
 "tenantId": "00000000-0000-0000-0000-000000000000",
 "operationName": "Publish",
 "category": "AdvancedHunting-IdentityDirectoryEvents",
 "_TimeReceivedBySvc": "2025-02-05T02:00:23.0990817Z",
 "properties": {
  "ActionType": "SMB file copy",
  "Protocol": "Smb",
  "AccountName": null,
  "AccountDomain": null,
  "AccountUpn": null,
  "AccountSid": null,
  "AccountObjectId": null,
  "AccountDisplayName": null,
  "DeviceName": "HOST-SOURCE",
  "IPAddress": "10.10.10.5",
  "DestinationDeviceName": "HOST-DEST",
  "TargetDeviceName": null,
  "Location": null,
  "ISP": "INTERNAL_NETWORK",
  "Port": 445,
  "DestinationPort": 64589,
  "DestinationIPAddress": "10.10.10.5",
  "TargetAccountUpn": null,
  "TargetAccountDisplayName": null,
  "AdditionalFields": {
   "ActionTypeInner": "smbfilecopy",
   "Count": "4",
   "Category": "Lateral Movement",
   "AttackTechniques": "Remote Services (T1021), Lateral Tool Transfer (T1570), SMB/Windows Admin Shares (T1021.002)",
   "FilePath": "dns\\dns.log",
   "FileName": "dns\\dns.log",
   "FileSize": "138373233",
   "Method": "Read",
   "SourceComputerObjectGuid": "11111111-1111-1111-1111-111111111111",
   "SourceComputerOperatingSystem": "windows server 2016 standard",
   "SourceComputerOperatingSystemVersion": "10.0 (14393)",
   "SourceComputerOperatingSystemType": "windows",
   "DestinationComputerObjectGuid": "22222222-2222-2222-2222-222222222222",
   "DestinationComputerOperatingSystem": "windows server 2016 standard",
   "DestinationComputerOperatingSystemVersion": "10.0 (14393)",
   "DestinationComputerOperatingSystemType": "windows",
   "SourceComputerId": "33333333-3333-3333-3333-333333333333",
   "SourceComputerSid": "S-1-5-21-REDACTED-SID",
   "FROM.DEVICE": "HOST-SOURCE",
   "TO.DEVICE": "HOST-DEST",
   "ACTOR.DEVICE": "HOST-SOURCE"
  },
  "ReportId": "44444444-4444-4444-4444-444444444444",
  "Timestamp": "2025-02-05T02:00:01.335347Z",
  "Application": "Active Directory"
 },
 "Tenant": "DefaultTenant"
}

SYSLOG + CEF

<36>1 2022-06-29T01:55:03.819108+00:00 SYSLOG_HOST CEF 5556 RemoteExecutionSecurityAlert 0|
Microsoft|
Azure ATP|
2.183.15420.19379|
RemoteExecutionSecurityAlert|
Remote code execution attempt|
5|
start=2022-06-29T01:50:43.1995560Z|
app=Wmi, WinRm|
shost=SRC_HOST|
shostfqdn=src_host.domain.lan|
msg=Service Account, SVC_ACCOUNT made 5 attempts to run commands remotely on 38 domain controllers from SRC_HOST using 1 WMI method,4 PowerShell commands.|
externalId=2019|
cs1Label=url|
cs1=https://security.microsoft.com/alerts/sanitized_alert_id|
cs2Label=trigger|
cs2=update|
cs3Label=mSecUrl|
cs3=https://security.microsoft.com/alerts/sanitized_alert_id

JSON - レコードバッチ

{
  "records": [
    {
      "time": "2024-08-21T11:46:25.1024982Z",
      "tenantId": "00000000-0000-0000-0000-000000000000",
      "operationName": "Publish",
      "category": "AdvancedHunting-IdentityDirectoryEvents",
      "_TimeReceivedBySvc": "2024-08-21T11:44:07.0952670Z",
      "properties": {
        "ActionType": "Directory Services replication",
        "Protocol": "Drsr",
        "AccountName": null,
        "AccountDomain": null,
        "AccountUpn": null,
        "AccountSid": "S-1-5-21-REDACTED-SID",
        "AccountObjectId": null,
        "AccountDisplayName": null,
        "DeviceName": "HOST-DEVICE",
        "IPAddress": "10.10.10.20",
        "DestinationDeviceName": "HOST-DEST",
        "TargetDeviceName": null,
        "Location": null,
        "ISP": "INTERNAL_NETWORK",
        "Port": 64464,
        "DestinationPort": 1066,
        "DestinationIPAddress": "10.10.10.30",
        "TargetAccountUpn": null,
        "TargetAccountDisplayName": null,
        "AdditionalFields": {
          "Count": "2",
          "Category": "Credential Access",
          "AttackTechniques": [
            "OS Credential Dumping (T1003)",
            "DC Sync (T1003.006)",
            "NTDS (T1003.003)"
          ],
          "IsSuccess": "True",
          "ARG.TASK": "Directory Services replication",
          "SourceAccountId": "11111111-1111-1111-1111-111111111111",
          "SourceAccountSid": "S-1-5-21-REDACTED-SID",
          "SourceComputerObjectGuid": "22222222-2222-2222-2222-222222222222",
          "SourceComputerOperatingSystem": "windows server 2022 standard",
          "SourceComputerOperatingSystemVersion": "10.0 (20348)",
          "SourceComputerOperatingSystemType": "windows",
          "DestinationComputerObjectGuid": "33333333-3333-3333-3333-333333333333",
          "DestinationComputerOperatingSystem": "windows server 2016 standard",
          "DestinationComputerOperatingSystemVersion": "10.0 (14393)",
          "DestinationComputerOperatingSystemType": "windows",
          "SourceComputerId": "44444444-4444-4444-4444-444444444444",
          "SourceComputerSid": "S-1-5-21-REDACTED-SID",
          "ACTOR.ACCOUNT": "MSOL_REDACTED",
          "ACTOR.ENTITY_USER": "",
          "FROM.DEVICE": "HOST-SRC",
          "TO.DEVICE": "HOST-DEST",
          "ACTOR.DEVICE": "HOST-SRC"
        },
        "ReportId": "55555555-5555-5555-5555-555555555555",
        "Timestamp": "2024-08-21T11:41:12.700159Z",
        "Application": "Active Directory"
      },
      "Tenant": "DefaultTenant"
    }
  ]
}

JSON - Azure Monitor / アクティビティ

{
  "RoleLocation": "West Europe",
  "Stamp": "FDWeb",
  "ReleaseVersion": "6.2025.3.31+fc19adc.release_2025w03",
  "time": "2025-02-20T23:47:55.8304991Z",
  "resourceId": "/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/RESOURCEGROUPS/SANITIZED_RG/PROVIDERS/MICROSOFT.NETWORK/LOADBALANCERS/SANITIZED-LB",
  "operationName": "MICROSOFT.AUTHORIZATION/POLICIES/MODIFY/ACTION",
  "category": "Administrative",
  "resultType": "Success",
  "resultSignature": "Succeeded.",
  "durationMs": "0",
  "callerIpAddress": "10.10.10.40",
  "correlationId": "11111111-1111-1111-1111-111111111111",
  "identity": {
    "authorization": {
      "scope": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/sanitized_rg/providers/Microsoft.Network/loadBalancers/sanitized-lb",
      "action": "Microsoft.Network/loadBalancers/write",
      "evidence": {
        "role": "Contributor",
        "roleAssignmentScope": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/SANITIZED_RG",
        "roleAssignmentId": "22222222222222222222222222222222",
        "roleDefinitionId": "33333333333333333333333333333333",
        "principalId": "REDACTED_PRINCIPAL_ID",
        "principalType": "ServicePrincipal"
      }
    },
    "claims": {
      "aud": "https://management.core.windows.net/",
      "iss": "https://sts.windows.net/00000000-0000-0000-0000-000000000000/",
      "iat": "1740087743",
      "nbf": "1740087743",
      "exp": "1740174443",
      "aio": "REDACTED_AIO",
      "appid": "REDACTED_APPID",
      "appidacr": "2",
      "http://schemas.microsoft.com/identity/claims/identityprovider": "https://sts.windows.net/00000000-0000-0000-0000-000000000000/",
      "idtyp": "app",
      "http://schemas.microsoft.com/identity/claims/objectidentifier": "44444444-4444-4444-4444-444444444444",
      "rh": "REDACTED_RH",
      "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "55555555-5555-5555-5555-555555555555",
      "http://schemas.microsoft.com/identity/claims/tenantid": "00000000-0000-0000-0000-000000000000",
      "uti": "REDACTED_UTI",
      "ver": "1.0",
      "xms_idrel": "7 12",
      "xms_mirid": "/subscriptions/00000000-0000-0000-0000-000000000000/resourcegroups/sanitized_rg/providers/Microsoft.ContainerService/managedClusters/sanitized_cluster",
      "xms_tcdt": "1461941593"
    }
  },
  "level": "Information",
  "properties": {
    "isComplianceCheck": "False",
    "resourceLocation": "westeurope",
    "ancestors": "DataPlatform,LandingZone,REDACTED_ANCESTOR,00000000-0000-0000-0000-000000000000",
    "policies": [
      {
        "policyDefinitionId": "/providers/Microsoft.Management/managementGroups/REDACTED/providers/Microsoft.Authorization/policyDefinitions/REDACTED_ID",
        "policySetDefinitionId": "/providers/Microsoft.Management/managementGroups/REDACTED/providers/Microsoft.Authorization/policySetDefinitions/REDACTED_ID",
        "policyDefinitionReferenceId": "Inherit A Tag From Resource Group And Overwrite Existing_1",
        "policySetDefinitionName": "REDACTED_ID",
        "policySetDefinitionDisplayName": "Inherit All Tags From Resource Group And Overwrite Existing",
        "policySetDefinitionVersion": "1.0.0",
        "policyDefinitionName": "REDACTED_ID",
        "policyDefinitionDisplayName": "Inherit A Tag From Resource Group And Overwrite Existing",
        "policyDefinitionVersion": "1.0.0",
        "policyDefinitionEffect": "modify",
        "policyAssignmentId": "/providers/Microsoft.Management/managementGroups/REDACTED/providers/Microsoft.Authorization/policyAssignments/REDACTED_ID",
        "policyAssignmentName": "REDACTED_ID",
        "policyAssignmentDisplayName": "Inherit All Tags From Resource Group And Overwrite Existing",
        "policyAssignmentScope": "/providers/Microsoft.Management/managementGroups/REDACTED",
        "policyExemptionIds": [],
        "policyEnrollmentIds": []
      }
    ],
    "tenantId": "00000000-0000-0000-0000-000000000000"
  }
}

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`category`	`metadata.log_type`	未加工ログの `category` フィールドは `metadata.log_type` にマッピングされます。
`properties.AccountDisplayName`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AccountName`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AccountUpn`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.ActionType`	`metadata.product_event_type`	未加工ログの `properties.ActionType` フィールドは `metadata.product_event_type` にマッピングされます。
`properties.AdditionalFields.ACTOR.ACCOUNT`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.ACTOR.DEVICE`	`principal.asset.asset_id`	パーサーは `properties.AdditionalFields.ACTOR.DEVICE` の値を抽出し、`ASSET ID:` を先頭に追加します。
`properties.AdditionalFields.ACTOR.ENTITY_USER`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.Count`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.DestinationComputerDnsName`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.DestinationComputerObjectGuid`	`target.asset.product_object_id`	配列 `properties.AdditionalFields.DestinationComputerObjectGuid` の最初の要素は `target.asset.product_object_id` にマッピングされます。後続の要素は、`DestinationComputerObjectGuid_1`、`DestinationComputerObjectGuid_2` などのキーを使用して `additional.fields` にマッピングされます。
`properties.AdditionalFields.DestinationComputerOperatingSystem`	`target.asset.platform_software.platform_version`	配列 `properties.AdditionalFields.DestinationComputerOperatingSystem` の最初の要素は `target.asset.platform_software.platform_version` にマッピングされます。後続の要素は、`DestinationComputerOperatingSystem_1`、`DestinationComputerOperatingSystem_2` などのキーを使用して `additional.fields` にマッピングされます。
`properties.AdditionalFields.DestinationComputerOperatingSystemType`	`target.asset.platform_software.platform`	値が `windows` の場合、UDM フィールドは `WINDOWS` に設定されます。
`properties.AdditionalFields.DestinationComputerOperatingSystemVersion`	`target.platform_version`	配列 `properties.AdditionalFields.DestinationComputerOperatingSystemVersion` の最初の要素は `target.platform_version` にマッピングされます。後続の要素は、`DestinationComputerOperatingSystemVersion1`、`DestinationComputerOperatingSystemVersion2` などのキーを使用して `additional.fields` にマッピングされます。
`properties.AdditionalFields.FROM.DEVICE`	`principal.asset.asset_id`	パーサーは `properties.AdditionalFields.FROM.DEVICE` の値を抽出し、`ASSET ID:` を先頭に追加します。
`properties.AdditionalFields.KerberosDelegationType`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.SourceAccountId`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.SourceAccountSid`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.SourceComputerObjectGuid`	`principal.asset.product_object_id`	未加工ログの `properties.AdditionalFields.SourceComputerObjectGuid` フィールドは `principal.asset.product_object_id` にマッピングされます。
`properties.AdditionalFields.SourceComputerOperatingSystem`	`principal.asset.platform_software.platform_version`	未加工ログの `properties.AdditionalFields.SourceComputerOperatingSystem` フィールドは `principal.asset.platform_software.platform_version` にマッピングされます。
`properties.AdditionalFields.SourceComputerOperatingSystemType`	`principal.asset.platform_software.platform_version`	値が `windows` の場合、UDM フィールドは `WINDOWS` に設定されます。
`properties.AdditionalFields.SourceComputerOperatingSystemVersion`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.Spns`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.TARGET_OBJECT.ENTITY_USER`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.AdditionalFields.TARGET_OBJECT.USER`	`target.user.userid`	配列 `properties.AdditionalFields.TARGET_OBJECT.USER` の最初の要素は `target.user.userid` にマッピングされます。後続の要素は、`TARGET_OBJECT.USER_1`、`TARGET_OBJECT.USER_2` などのキーを使用して `additional.fields` にマッピングされます。
`properties.AdditionalFields.TO.DEVICE`	`target.asset.asset_id`	配列 `properties.AdditionalFields.TO.DEVICE` の最初の要素は、`ASSET ID:` が付加された `target.asset.asset_id` にマッピングされます。後続の要素は、`TODEVICE1`、`TODEVICE2` などのキーを使用して `additional.fields` にマッピングされます。
`properties.AuthenticationDetails`	`extensions.auth.auth_details`	パーサーは、値から中かっこ、角かっこ、二重引用符を削除し、`AuthenticationDetails:` を先頭に追加します。
`properties.DeliveryAction`	`additional.fields`	キー `DeliveryAction` でマッピングされます。
`properties.DeliveryLocation`	`additional.fields`	キー `DeliveryLocation` でマッピングされます。
`properties.DestinationDeviceName`	`target.hostname`、`target.asset.hostname`	未加工ログの `properties.DestinationDeviceName` フィールドは `target.hostname` と `target.asset.hostname` の両方にマッピングされます。
`properties.DestinationIPAddress`	`target.ip`、`target.asset.ip`	未加工ログの `properties.DestinationIPAddress` フィールドは `target.ip` と `target.asset.ip` の両方にマッピングされます。
`properties.DestinationPort`	`target.port`	未加工ログの `properties.DestinationPort` フィールドは `target.port` にマッピングされます。
`properties.DeviceName`	`principal.hostname`、`principal.asset.hostname`	未加工ログの `properties.DeviceName` フィールドは `principal.hostname` と `principal.asset.hostname` の両方にマッピングされます。
`properties.EmailClusterId`	`additional.fields`	キー `EmailClusterId` でマッピングされます。
`properties.EmailDirection`	`network.direction`	値が `Inbound` の場合、UDM フィールドは `INBOUND` に設定されます。値が `Outbound` の場合、UDM フィールドは `OUTBOUND` に設定されます。それ以外の場合は `UNKNOWN_DIRECTION` に設定されます。
`properties.EmailLanguage`	`additional.fields`	キー `EmailLanguage` でマッピングされます。
`properties.InitiatingProcessAccountDomain`	`principal.administrative_domain`	未加工ログの `properties.InitiatingProcessAccountDomain` フィールドは `principal.administrative_domain` にマッピングされます。
`properties.InitiatingProcessAccountSid`	`principal.user.windows_sid`	未加工ログの `properties.InitiatingProcessAccountSid` フィールドは `principal.user.windows_sid` にマッピングされます。
`properties.InitiatingProcessCommandLine`	`principal.process.command_line`	未加工ログの `properties.InitiatingProcessCommandLine` フィールドは `principal.process.command_line` にマッピングされます。
`properties.InitiatingProcessFileName`	`principal.process.file.full_path`	`properties.InitiatingProcessFolderPath` と組み合わせてフルパスを構築します。`properties.InitiatingProcessFolderPath` にファイル名がすでに含まれている場合は、そのファイル名が直接使用されます。
`properties.InitiatingProcessFolderPath`	`principal.process.file.full_path`	`properties.InitiatingProcessFileName` と組み合わせてフルパスを構築するために使用されます。
`properties.InitiatingProcessId`	`principal.process.pid`	未加工ログの `properties.InitiatingProcessId` フィールドは `principal.process.pid` にマッピングされます。
`properties.InitiatingProcessIntegrityLevel`	`about.labels`	キー `InitiatingProcessIntegrityLevel` でマッピングされます。
`properties.InitiatingProcessMD5`	`principal.process.file.md5`	未加工ログの `properties.InitiatingProcessMD5` フィールドは `principal.process.file.md5` にマッピングされます。
`properties.InitiatingProcessParentId`	`principal.process.parent_process.pid`	未加工ログの `properties.InitiatingProcessParentId` フィールドは `principal.process.parent_process.pid` にマッピングされます。
`properties.InitiatingProcessParentFileName`	`principal.process.parent_process.file.full_path`	未加工ログの `properties.InitiatingProcessParentFileName` フィールドは `principal.process.parent_process.file.full_path` にマッピングされます。
`properties.InitiatingProcessSHA1`	`principal.process.file.sha1`	未加工ログの `properties.InitiatingProcessSHA1` フィールドは `principal.process.file.sha1` にマッピングされます。
`properties.InitiatingProcessSHA256`	`principal.process.file.sha256`	未加工ログの `properties.InitiatingProcessSHA256` フィールドは `principal.process.file.sha256` にマッピングされます。
`properties.InitiatingProcessTokenElevation`	`about.labels`	キー `InitiatingProcessTokenElevation` でマッピングされます。
`properties.InternetMessageId`	`additional.fields`	パーサーは山かっこを削除し、値とキー `InternetMessageId` をマッピングします。
`properties.IPAddress`	`principal.ip`、`principal.asset.ip`	未加工ログの `properties.IPAddress` フィールドは `principal.ip` と `principal.asset.ip` の両方にマッピングされます。
`properties.LogonType`	`extensions.auth.mechanism`	`extensions.auth.mechanism` の値の派生に使用されます。
`properties.Port`	`principal.port`	未加工ログの `properties.Port` フィールドは `principal.port` にマッピングされます。
`properties.PreviousRegistryKey`	`src.registry.registry_key`	未加工ログの `properties.PreviousRegistryKey` フィールドは `src.registry.registry_key` にマッピングされます。
`properties.PreviousRegistryValueData`	`src.registry.registry_value_data`	未加工ログの `properties.PreviousRegistryValueData` フィールドは `src.registry.registry_value_data` にマッピングされます。
`properties.PreviousRegistryValueName`	`src.registry.registry_value_name`	未加工ログの `properties.PreviousRegistryValueName` フィールドは `src.registry.registry_value_name` にマッピングされます。
`properties.Query`	`principal.user.attribute.labels`	キー `LDAP Search Scope` でマッピングされます。
`properties.RecipientEmailAddress`	マッピングされません	このフィールドは、UDM の IDM オブジェクトにマッピングされません。
`properties.RegistryKey`	`target.registry.registry_key`	未加工ログの `properties.RegistryKey` フィールドは `target.registry.registry_key` にマッピングされます。
`properties.RegistryValueData`	`target.registry.registry_value_data`	未加工ログの `properties.RegistryValueData` フィールドは `target.registry.registry_value_data` にマッピングされます。
`properties.RegistryValueName`	`target.registry.registry_value_name`	未加工ログの `properties.RegistryValueName` フィールドは `target.registry.registry_value_name` にマッピングされます。
`properties.ReportId`	`about.labels`	キー `ReportId` でマッピングされます。
`properties.SenderIPv4`	`principal.ip`、`principal.asset.ip`	未加工ログの `properties.SenderIPv4` フィールドは `principal.ip` と `principal.asset.ip` の両方にマッピングされます。
`properties.SenderMailFromAddress`	`principal.user.attribute.labels`	キー `SenderMailFromAddress` でマッピングされます。
`properties.SenderMailFromDomain`	`principal.user.attribute.labels`	キー `SenderMailFromDomain` でマッピングされます。
`properties.SenderObjectId`	`principal.user.product_object_id`	未加工ログの `properties.SenderObjectId` フィールドは `principal.user.product_object_id` にマッピングされます。
`properties.Timestamp`	`metadata.event_timestamp`	未加工ログの `properties.Timestamp` フィールドは `metadata.event_timestamp` にマッピングされます。
`tenantId`	`observer.cloud.project.id`	未加工ログの `tenantId` フィールドは `observer.cloud.project.id` にマッピングされます。
なし	`extensions.auth.type`	値 `MACHINE` はパーサーによって割り当てられます。
なし	`metadata.event_type`	`category` フィールドと `properties.ActionType` フィールドに基づいて導出されます。`USER_LOGIN`、`USER_RESOURCE_ACCESS`、`USER_CHANGE_PASSWORD`、`REGISTRY_MODIFICATION`、`REGISTRY_DELETION`、`REGISTRY_CREATION`、`GENERIC_EVENT`、`STATUS_UPDATE` のいずれかです。
なし	`metadata.vendor_name`	値 `Microsoft` はパーサーによって割り当てられます。
なし	`metadata.product_name`	値 `Microsoft Defender Identity` はパーサーによって割り当てられます。
`cs1`	`metadata.url_back_to_product`	未加工ログの `cs1` フィールドは `metadata.url_back_to_product` にマッピングされます。
`externalId`	`metadata.product_log_id`	未加工ログの `externalId` フィールドは `metadata.product_log_id` にマッピングされます。
`msg`	`metadata.description`	未加工ログの `msg` フィールドは `metadata.description` にマッピングされます。
`rule_name`	`security_result.rule_name`	未加工ログの `rule_name` フィールドは `security_result.rule_name` にマッピングされます。
`severity`	`security_result.severity`	未加工ログの `severity` フィールドは `security_result.severity` にマッピングされます。
`shost`	`principal.hostname`、`principal.asset.hostname`	未加工ログの `shost` フィールドは `principal.hostname` と `principal.asset.hostname` の両方にマッピングされます。
`src`	`principal.ip`	未加工ログの `src` フィールドは `principal.ip` にマッピングされます。
`suser`	`principal.user.user_display_name`	未加工ログの `suser` フィールドは `principal.user.user_display_name` にマッピングされます。
`time`	`metadata.event_timestamp`	未加工ログの `time` フィールドは `metadata.event_timestamp` にマッピングされます。
`userid`	`principal.user.userid`	未加工ログの `userid` フィールドは `principal.user.userid` にマッピングされます。
なし	`security_result.action`	`properties.ActionType` フィールドに基づいて導出されます。`ALLOW` または `BLOCK` のいずれかです。
なし	`security_result.summary`	`category` フィールドまたは `properties.ActionType` フィールドから取得されます。
`record.properties.AdditionalFields.IsMfaPerformed`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`record.properties.OSPlatform`	`event.idm.read_only_udm.principal.resource.attribute.labels`	変更履歴からマッピング
`record.properties.DeviceType`	`event.idm.read_only_udm.principal.resource.name`	変更履歴からマッピング
`record.properties.TargetDeviceName`	`event.idm.read_only_udm.target.resource.name`	変更履歴からマッピング
`record.properties.AdditionalFields.SourceComputerOperatingSystemType`	`event.idm.read_only_udm.src.platform_patch_level`	変更履歴からマッピング
`record.properties.AdditionalFields.TargetComputerObjectGuid`	`event.idm.read_only_udm.target.resource.product_object_id`	変更履歴からマッピング
`record.properties.AdditionalFields.TargetComputerOperatingSystem`	`event.idm.read_only_udm.principal.platform_patch_level`	変更履歴からマッピング
`record.properties.AdditionalFields.TargetComputerOperatingSystemVersion`	`event.idm.read_only_udm.target.platform_patch_level`	変更履歴からマッピング
`record.properties.AdditionalFields.TargetComputerOperatingSystemType`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`record.properties.UncommonForUser`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`record.properties.LastSeenForUser`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`properties.AccountUpn`	`event.idm.read_only_udm.principal.user.email_addresses`	変更履歴からマッピング
`record.category`	`event.idm.read_only_udm.security_result.category_details`	変更履歴からマッピング
`record.properties.FailureReason`	`event.idm.read_only_udm.security_result.description`	変更履歴からマッピング
`device_event_class_id`	`security_result.rule_name`	変更履歴からマッピング
`event_name`	`security_result.description`	変更履歴からマッピング
`app" and "alert_id`	`additional.fields`	変更履歴からマッピング
`properties.Location`	`principal.location.country_or_region`	変更履歴からマッピング
`properties.AccountObjectId`	`principal.user.attribute.labels`	変更履歴からマッピング
`properties.DeviceId`	`principal.asset_id`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。