Azure MDM Intune-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Intune-Logs für Google Security Operations erfassen. Sie können die Aufnahme mit drei Methoden konfigurieren: Azure Event Hub (empfohlen), die Drittanbieter-API oder Microsoft Azure Blob Storage V2.

Microsoft Intune ist eine cloudbasierte Lösung für die Endpunktverwaltung, mit der der Nutzerzugriff auf Organisationsressourcen verwaltet und die App- und Geräteverwaltung auf Geräten wie Mobilgeräten, Computern und virtuellen Endpunkten vereinfacht wird.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff auf das Microsoft Azure-Portal
  • Ein Nutzer mit der Microsoft Entra-Rolle Intune-Administrator oder Globaler Administrator für den Intune-Mandanten
  • Eine aktive Intune-Lizenz für den Mandanten

Bei dieser Methode werden Intune-Protokolle über Azure Event Hub mit aktivierter Erfassung gestreamt, wodurch die Daten in Azure Blob Storage geschrieben werden. Google SecOps nimmt die Logs dann über den Feedtyp „Azure Blob Storage V2“ aus Blob Storage auf.

Azure Storage-Konto konfigurieren

Speicherkonto erstellen

  1. Suchen Sie im Azure-Portal nach Speicherkonten.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie Ihr Azure-Abo aus.
    Ressourcengruppe Vorhandenen auswählen oder neuen erstellen
    Storage-Kontoname Geben Sie einen eindeutigen Namen ein, z. B. secopsintuneeh.
    Region Wählen Sie die Region aus, die Ihrem Event Hubs-Namespace am nächsten ist.
    Leistung Standard (empfohlen)
    Redundanz LRS (lokal redundanter Speicher) oder GRS (georedundanter Speicher)

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Sehen Sie sich die Übersicht an und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für das Speicherkonto abrufen

  1. Rufen Sie das von Ihnen erstellte Speicherkonto auf.
  2. Wählen Sie in der linken Navigationsleiste unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
  3. Klicken Sie auf Schlüssel anzeigen.
  4. Kopieren und speichern Sie Folgendes:
    • Storage-Kontoname
    • Schlüssel 1 oder Schlüssel 2: Der freigegebene Zugriffsschlüssel.

Event Hubs-Namespace und Event Hub erstellen

Event Hub-Namespace erstellen

  1. Suchen Sie im Azure-Portal nach Event Hubs.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie Ihr Azure-Abo aus.
    Ressourcengruppe Wählen Sie dieselbe Ressourcengruppe wie für Ihr Speicherkonto aus.
    Name des Namespaces Geben Sie einen eindeutigen Namen ein, z. B. secops-intune-logs.
    Standort Wählen Sie dieselbe Region wie für Ihr Speicherkonto aus.
    Preise Standard (für Event Hub Capture erforderlich)

  4. Klicken Sie auf Überprüfen + Erstellen und dann auf Erstellen.

  5. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Event Hub erstellen

  1. Rufen Sie den von Ihnen erstellten Event Hubs-Namespace auf.
  2. Klicken Sie oben auf + Event-Hub.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen Namen ein, z. B. intune-logs.
    • Anzahl der Partitionen: 2 (Standardwert, kann für einen höheren Durchsatz erhöht werden).
    • Bereinigungsrichtlinie: Löschen.
    • Aufbewahrungszeit (Std.): 24 (Mindestwert, bei Bedarf für mehr Stabilität erhöhen).
  4. Klicken Sie auf Überprüfen + Erstellen und dann auf Erstellen.

Event Hub Capture aktivieren

  1. Rufen Sie den von Ihnen erstellten Event Hub (im Namespace) auf.
  2. Wählen Sie im Navigationsmenü links Aufnehmen aus.
  3. Setzen Sie Aufzeichnen auf Ein.

  4. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Zeitfenster (Minuten) 5 (oder niedriger für nahezu in Echtzeit)
    Größenfenster (MB) 300
    Capture-Anbieter Azure Blob Storage
    Azure-Abo Abo auswählen
    Speicherkonto Wählen Sie das von Ihnen erstellte Speicherkonto aus.
    Blob-Container Container erstellen oder auswählen (z. B. intune-capture)

  5. Klicken Sie auf Speichern.

Intune-Diagnoseeinstellungen konfigurieren

  1. Melden Sie sich im Microsoft Intune Admin Center an.
  2. Wählen Sie Berichte > Diagnoseeinstellungen aus.
  3. Klicken Sie auf Diagnoseeinstellung hinzufügen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name der Diagnoseeinstellung: Geben Sie einen aussagekräftigen Namen ein, z. B. intune-to-eventhub.
    • Wählen Sie im Bereich Logs die folgenden Kategorien aus:
      • OperationalLogs
      • DeviceComplianceOrg
      • Geräte
    • Wählen Sie im Abschnitt Zieldetails die Option Zu einem Event Hub streamen aus.
    • Abo: Wählen Sie das Abo aus, das Ihren Event Hub-Namespace enthält.
    • Event Hubs-Namespace: Wählen Sie den von Ihnen erstellten Namespace aus (z. B. secops-intune-logs).
    • Event Hub-Name: Wählen Sie den erstellten Event Hub aus (z. B. intune-logs).
    • Name der Event Hub-Richtlinie: Wählen Sie RootManageSharedAccessKey aus.

  5. Klicken Sie auf Speichern.

Feed in Google SecOps konfigurieren, um Intune-Logs aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Intune - Event Hub.
  5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
  6. Wählen Sie Microsoft Intune als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Azure-URI: Geben Sie die Endpunkt-URL des Blob-Dienstes mit dem Pfad des Erfassungscontainers ein:

      https://<storage-account>.blob.core.windows.net/intune-capture/

    • Ersetzen Sie <storage-account> durch den Namen Ihres Azure-Speicherkontos.

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:
      • Nie: Löscht nach Übertragungen nie Dateien.
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
      • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach der erfolgreichen Übertragung.
    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Geteilter Schlüssel: Geben Sie den Wert des geteilten Zugriffsschlüssels aus dem Speicherkonto ein.
    • Asset-Namespace: Der Asset-Namespace.
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Nachrichten-Feed-Konfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Azure Storage-Firewall konfigurieren (falls aktiviert)

Wenn für Ihr Azure Storage-Konto eine Firewall verwendet wird, müssen Sie die IP-Bereiche von Google SecOps hinzufügen.

  1. Rufen Sie im Azure-Portal Ihr Storage-Konto auf.
  2. Wählen Sie unter Sicherheit + Netzwerk die Option Netzwerk aus.
  3. Wählen Sie unter Firewalls und virtuelle Netzwerke die Option Aktiviert für ausgewählte virtuelle Netzwerke und IP-Adressen aus.
  4. Klicken Sie im Bereich Firewall unter Adressbereich auf + IP-Bereich hinzufügen.
  5. Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.
  6. Klicken Sie auf Speichern.

Methode 2: Drittanbieter-API

Bei dieser Methode wird die Microsoft Graph API verwendet, um Intune-Audit- und Betriebsprotokolle direkt von Ihrem Microsoft-Mandanten abzurufen.

Microsoft Entra-App-Registrierung konfigurieren

App-Registrierung erstellen

  1. Melden Sie sich im Microsoft Entra Admin Center oder im Azure-Portal an.
  2. Rufen Sie Identität > Anwendungen > App-Registrierungen auf.
  3. Klicken Sie auf Neue Registrierung.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Intune Integration.
    • Unterstützte Kontotypen: Wählen Sie Nur Konten in diesem Organisationsverzeichnis (einzelner Mandant) aus.
    • Weiterleitungs-URI: Lassen Sie dieses Feld leer (nicht für die Authentifizierung des Dienstprinzipals erforderlich).
  5. Klicken Sie auf Registrieren.
  6. Kopieren und speichern Sie nach der Registrierung die folgenden Werte von der Seite Übersicht:
    • Anwendungs-ID (Client-ID)
    • Verzeichnis-ID (Mandanten-ID)

API-Berechtigungen konfigurieren

  1. Gehen Sie in der App-Registrierung zu API-Berechtigungen.
  2. Klicken Sie auf Berechtigung hinzufügen.
  3. Wählen Sie Microsoft Graph > Anwendungsberechtigungen aus.
  4. Suchen Sie nach den folgenden Berechtigungen und wählen Sie sie aus:
    • DeviceManagementApps.Read.All
    • DeviceManagementConfiguration.Read.All
    • DeviceManagementManagedDevices.Read.All
    • DeviceManagementServiceConfig.Read.All
    • DeviceManagementRBAC.Read.All
  5. Klicken Sie auf Berechtigungen hinzufügen.
  6. Klicken Sie auf Administratoreinwilligung für [Ihre Organisation]erteilen.

  7. Prüfen Sie, ob in der Spalte Status für alle Berechtigungen Für [Ihre Organisation]gewährt angezeigt wird.

Erforderliche API-Berechtigungen

Berechtigung Typ Zweck
DeviceManagementApps.Read.All Anwendung App-Verwaltungsdaten und ‑Prüfereignisse lesen
DeviceManagementConfiguration.Read.All Anwendung Gerätekonfiguration und Compliance-Richtlinien lesen
DeviceManagementManagedDevices.Read.All Anwendung Informationen zu verwalteten Geräten lesen
DeviceManagementServiceConfig.Read.All Anwendung Intune-Dienstkonfiguration lesen
DeviceManagementRBAC.Read.All Anwendung Einstellungen für die rollenbasierte Zugriffssteuerung lesen

Clientschlüssel erstellen

  1. Rufen Sie in der App-Registrierung Zertifikate und Secrets auf.
  2. Klicken Sie auf Neuer geheimer Clientschlüssel.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    • Beschreibung: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Feed).
    • Läuft ab: Wählen Sie einen Ablaufzeitraum aus.

  4. Klicken Sie auf Hinzufügen.

  5. Kopieren Sie den Wert des Clientschlüssels sofort.

    Wichtig: Der geheime Wert wird nur einmal angezeigt und kann nach dem Verlassen dieser Seite nicht mehr abgerufen werden. Wenn Sie den Wert verlieren, müssen Sie einen neuen Clientschlüssel erstellen.

Feed in Google SecOps konfigurieren, um Microsoft Intune-Protokolle aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Nachrichten-Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Intune Logs.
  5. Wählen Sie Drittanbieter-API als Quelltyp aus.
  6. Wählen Sie Microsoft Intune als Protokolltyp aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • OAuth-Client-ID: Geben Sie die Anwendungs- oder Client-ID aus der App-Registrierung ein (z. B. 1234abcd-1234-abcd-1234-abcd1234abcd).
    • OAuth-Clientschlüssel: Geben Sie den zuvor kopierten Clientschlüsselwert ein.
    • Mandanten-ID: Geben Sie die Verzeichnis-ID (Mandanten-ID) aus der App-Registrierung im UUID-Format ein (z. B. 0fc279f9-fe30-41be-97d3-abe1d7681418).

    • Vollständiger API-Pfad: Geben Sie die Endpunkt-URL der Microsoft Graph REST API ein. Standardwert:

      graph.microsoft.com/beta/deviceManagement/auditEvents

    • API-Authentifizierungsendpunkt: Geben Sie den Microsoft Active Directory-Authentifizierungsendpunkt ein. Standardwert:

      login.microsoftonline.com

    • Asset-Namespace: Der Asset-Namespace.

    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Nach der Einrichtung werden Intune-Audit- und ‑Betriebsprotokolle über die Microsoft Graph API abgerufen.

Regionale Endpunkte

Verwenden Sie für Microsoft Intune-Bereitstellungen in Sovereign Clouds die entsprechenden regionalen Endpunkte:

Cloud-Umgebungen Vollständiger API-Pfad API-Authentifizierungs-Endpunkt
Global graph.microsoft.com/beta/deviceManagement/auditEvents login.microsoftonline.com
US Government L4 graph.microsoft.us/beta/deviceManagement/auditEvents login.microsoftonline.us
US Government L5 (DOD) dod-graph.microsoft.us/beta/deviceManagement/auditEvents login.microsoftonline.us
China (21Vianet) microsoftgraph.chinacloudapi.cn/beta/deviceManagement/auditEvents login.chinacloudapi.cn

Methode 3: Microsoft Azure Blob Storage V2

Bei dieser Methode werden Microsoft Intune-Protokolle erfasst, indem Diagnosedaten in ein Azure Storage-Konto exportiert und ein Google SecOps-Feed für die Aufnahme aus Azure Blob Storage konfiguriert wird.

Azure Storage-Konto konfigurieren

Speicherkonto erstellen

  1. Suchen Sie im Azure-Portal nach Speicherkonten.
  2. Klicken Sie auf + Erstellen.

  3. Geben Sie die folgenden Konfigurationsdetails an:

    Einstellung Wert
    Abo Wählen Sie Ihr Azure-Abo aus.
    Ressourcengruppe Vorhandenen auswählen oder neuen erstellen
    Name des Speicherkontos Geben Sie einen eindeutigen Namen ein, z. B. intunelogs.
    Region Wählen Sie die Region aus (z. B. East US).
    Leistung Standard (empfohlen)
    Redundanz GRS (georedundanter Speicher) oder LRS (lokal redundanter Speicher)

  4. Klicken Sie auf Überprüfen + Erstellen.

  5. Sehen Sie sich die Übersicht an und klicken Sie auf Erstellen.

  6. Warten Sie, bis die Bereitstellung abgeschlossen ist.

Anmeldedaten für das Speicherkonto abrufen

  1. Rufen Sie das von Ihnen erstellte Speicherkonto auf.
  2. Wählen Sie in der linken Navigationsleiste unter Sicherheit + Netzwerk die Option Zugriffsschlüssel aus.
  3. Klicken Sie auf Schlüssel anzeigen.
  4. Kopieren und speichern Sie Folgendes:
    • Storage-Kontoname: Der Name, den Sie bei der Erstellung angegeben haben.
    • Taste 1 oder Taste 2: Der geteilte Zugriffsschlüssel.

Blob Service-Endpunkt abrufen

  1. Wählen Sie im selben Speicherkonto im linken Navigationsbereich Endpunkte aus.
  2. Kopieren und speichern Sie die Endpunkt-URL des Blob-Dienstes.
    • Beispiel: https://intunelogs.blob.core.windows.net/

Microsoft Intune-Diagnoseeinstellungen konfigurieren

  1. Melden Sie sich im Microsoft Intune Admin Center an.
  2. Wählen Sie Berichte > Diagnoseeinstellungen aus.
  3. Klicken Sie auf Diagnoseeinstellung hinzufügen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name der Diagnoseeinstellung: Geben Sie einen aussagekräftigen Namen ein, z. B. export-to-secops.
    • Wählen Sie im Bereich Logs die folgenden Kategorien aus:
      • OperationalLogs
      • DeviceComplianceOrg
      • Geräte
    • Wählen Sie im Abschnitt Zieldetails das Kästchen In einem Speicherkonto archivieren aus.
    • Abo: Wählen Sie das Abo aus, das Ihr Speicherkonto enthält.
    • Speicherkonto: Wählen Sie das Speicherkonto aus, das Sie zuvor erstellt haben.

  5. Klicken Sie auf Speichern.

Feed in Google SecOps konfigurieren, um Microsoft Intune-Logs aus Blob Storage aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Microsoft Intune Blob Storage.
  5. Wählen Sie Microsoft Azure Blob Storage V2 als Quelltyp aus.
  6. Wählen Sie Microsoft Intune als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie Werte für die folgenden Eingabeparameter an:

    • Azure-URI: Geben Sie die Blob Service-Endpunkt-URL mit dem Containerpfad ein. Erstellen Sie separate Feeds für jede Protokollkategorie:

    • Für Betriebsprotokolle:

      https://<storage-account>.blob.core.windows.net/insights-logs-operationallogs/

    • Für Geräte-Compliance-Organisationsprotokolle:

      https://<storage-account>.blob.core.windows.net/insights-logs-devicecomplianceorg/

    • Für Geräte:

      https://<storage-account>.blob.core.windows.net/insights-logs-devices/

    Ersetzen Sie <storage-account> durch den Namen Ihres Azure-Speicherkontos.

    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus:
      • Nie: Nach Übertragungen werden keine Dateien gelöscht.
      • Übertragene Dateien löschen: Dateien werden nach der erfolgreichen Übertragung gelöscht.
      • Übertragene Dateien und leere Verzeichnisse löschen: Löscht Dateien und leere Verzeichnisse nach erfolgreicher Übertragung.
    • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Geteilter Schlüssel: Geben Sie den Wert des gemeinsamen Zugriffsschlüssels aus dem Speicherkonto ein.
    • Asset-Namespace: Der Asset-Namespace.
    • Aufnahmelabels: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

  11. Wiederholen Sie die Schritte 1 bis 10, um zusätzliche Feeds für jeden Intune-Logkategoriecontainer zu erstellen.

Azure Storage-Firewall konfigurieren (falls aktiviert)

Wenn für Ihr Azure Storage-Konto eine Firewall verwendet wird, müssen Sie die IP-Bereiche von Google SecOps hinzufügen.

  1. Rufen Sie im Azure-Portal Ihr Storage-Konto auf.
  2. Wählen Sie unter Sicherheit + Netzwerk die Option Netzwerk aus.
  3. Wählen Sie unter Firewalls und virtuelle Netzwerke die Option Aktiviert für ausgewählte virtuelle Netzwerke und IP-Adressen aus.
  4. Klicken Sie im Bereich Firewall unter Adressbereich auf + IP-Bereich hinzufügen.
  5. Fügen Sie jeden Google SecOps-IP-Bereich in CIDR-Notation hinzu.

  6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
AADDeviceId_label additional.fields Zusammengeführt
AADTenantId_label additional.fields Zusammengeführt
ComplianceState_label additional.fields Zusammengeführt
DeviceHealthThreatLevel_loc_label additional.fields Zusammengeführt
EnrollmentType_label additional.fields Zusammengeführt
FailureCategory_label additional.fields Zusammengeführt
FailureReason_label additional.fields Zusammengeführt
InGracePeriodUntil_label additional.fields Zusammengeführt
IntuneAccountId_label additional.fields Zusammengeführt
IntuneDeviceId_label additional.fields Zusammengeführt
IntuneUserId_label additional.fields Zusammengeführt
LastContact_label additional.fields Zusammengeführt
ManagementAgents_label additional.fields Zusammengeführt
ManagementAgents_loc_label additional.fields Zusammengeführt
MessageId_label additional.fields Zusammengeführt
Os_label additional.fields Zusammengeführt
RetireAfterDatetime_label additional.fields Zusammengeführt
ScaleUnit_label additional.fields Zusammengeführt
activityOperationType_label additional.fields Zusammengeführt
activityResult_label additional.fields Zusammengeführt
category_label additional.fields Zusammengeführt
componentName_label additional.fields Zusammengeführt
correlationId_label additional.fields Zusammengeführt
current_perm additional.fields Zusammengeführt
displayName_label additional.fields Zusammengeführt
id_label additional.fields Zusammengeführt
old_label additional.fields Zusammengeführt
resultType_label additional.fields Zusammengeführt
start_time_utc additional.fields Zusammengeführt
temp_label additional.fields Zusammengeführt
tenantId_label additional.fields Zusammengeführt
properties.Description metadata.description Direkt zugeordnet
time metadata.event_timestamp Als ISO8601 geparst
when metadata.event_timestamp Geparst als yyyy-MM-dd HH:mm:ss
event_type metadata.event_type Umbenannt/zugeordnet
activityType metadata.product_event_type Direkt zugeordnet
operationName metadata.product_event_type Direkt zugeordnet
properties.BatchId metadata.product_log_id Direkt zugeordnet
properties.SessionId network.session_id Direkt zugeordnet
actor.applicationDisplayName principal.application Direkt zugeordnet
properties.Actor.Application principal.application Direkt zugeordnet
properties.DeviceId principal.asset.asset_id Direkt zugeordnet
_hardware principal.asset.hardware Zusammengeführt
properties.DeviceName principal.asset.hostname Direkt zugeordnet
properties.DeviceId principal.asset_id Direkt zugeordnet
properties.DeviceName principal.hostname Direkt zugeordnet
properties.OS principal.platform Direkt zugeordnet
properties.OSVersion principal.platform_version Direkt zugeordnet
properties.OsVersion principal.platform_version Direkt zugeordnet
actor.applicationId principal.resource.id Direkt zugeordnet
actor_type_label principal.user.attribute.labels Zusammengeführt
auditActorType_label principal.user.attribute.labels Zusammengeführt
activityOperationType principal.user.attribute.roles Zugeordnet: Create → role
activityType principal.user.attribute.roles Zugeordnete Werte (insgesamt 5, z.B. „Windows Autopilot-Bereitstellungsprofil erstellen“). WindowsAutopilotD...
role principal.user.attribute.roles Zusammengeführt
properties.UserEmail principal.user.email_addresses Zusammengeführt
actor.userId principal.user.product_object_id Direkt zugeordnet
properties.UserName principal.user.user_display_name Direkt zugeordnet
actor.userPrincipalName principal.user.userid Direkt zugeordnet
properties.Actor.UPN principal.user.userid Direkt zugeordnet
properties.AlertType security_result.description Direkt zugeordnet
detection_AlertDisplayName security_result.detection_fields Zusammengeführt
detection_DeviceDnsDomain security_result.detection_fields Zusammengeführt
detection_DeviceHostName security_result.detection_fields Zusammengeführt
detection_DeviceNetBiosName security_result.detection_fields Zusammengeführt
detection_DeviceOperatingSystem security_result.detection_fields Zusammengeführt
detection_OSDescription security_result.detection_fields Zusammengeführt
detection_OS_loc security_result.detection_fields Zusammengeführt
detection_OperationalLogCategory security_result.detection_fields Zusammengeführt
detection_ScenarioName security_result.detection_fields Zusammengeführt
detection_UPNSuffix security_result.detection_fields Zusammengeführt
detection_UserDisplayName security_result.detection_fields Zusammengeführt
detection_application_id security_result.detection_fields Zusammengeführt
detection_object_identity security_result.detection_fields Zusammengeführt
operationName security_result.detection_fields Zugeordnet: Reprovision CloudPCModel → detection_object_identity, Reprovision CloudPCModel...
application target.application Umbenannt/zugeordnet
deployment_status target.asset.deployment_status Umbenannt/zugeordnet
activityType target.asset.software Zugeordnet: Patch DeviceConfiguration → software2, Patch DeviceConfiguration → software3...
software target.asset.software Zusammengeführt
software1 target.asset.software Zusammengeführt
software2 target.asset.software Zusammengeführt
software3 target.asset.software Zusammengeführt
software4 target.asset.software Zusammengeführt
auditResourceType_label target.resource.attribute.labels Zusammengeführt
display_name_label target.resource.attribute.labels Zusammengeführt
resources.0.resourceId target.resource.id Direkt zugeordnet
resources.0.type target.resource.name Direkt zugeordnet
resource_type target.resource.resource_type Umbenannt/zugeordnet
operationName target.user.email_addresses Zugeordnet: Reprovision CloudPCModel → upn_identity
upn_identity target.user.email_addresses Zugeordnet: ^.+@.+$ → upn_identity
user_identity target.user.email_addresses Zugeordnet: ^.+@.+$ → user_identity
user_id target.user.userid Direkt zugeordnet
user_identity target.user.userid Direkt zugeordnet
– metadata.product_name Konstante: AZURE MDM INTUNE
– metadata.vendor_name Konstante: Microsoft
– principal.platform Konstante: MAC
– target.cloud.environment Konstante: MICROSOFT_AZURE
resources.auditResourceType event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
resultType", "properties.AADDeviceId", "properties.IntuneDeviceId", "properties.IntuneUserId", "properties.MessageId", "properties.ScaleUnit", and "properties.Os additional.fields Aus Änderungsprotokoll zugeordnet
properties.EnrollmentType" and "properties.FailureReason additional.fields Aus Änderungsprotokoll zugeordnet
properties.OsVersion", "principal.platform_version", and "properties.StartTimeUtc additional.fields Aus Änderungsprotokoll zugeordnet
properties.OperationalLogCategory", "properties.ScenarioName", "properties.UserDisplayName", "properties.UPNSuffix", "properties.DeviceOperatingSystem", "AlertDisplayNameproperties.AlertDisplayName, "properties.DeviceDnsDomain", "properties.DeviceNetBiosName", and "properties.DeviceHostName security_result.detection_fields Aus Änderungsprotokoll zugeordnet
identity" and "user_id target.user.userid Aus Änderungsprotokoll zugeordnet
properties.SerialNumber _hardware.serial_number Aus Änderungsprotokoll zugeordnet
tenantId", "properties.IntuneAccountId", "properties.AADTenantId", "properties.LastContact", "properties.DeviceHealthThreatLevel_loc", "properties.ComplianceState", "properties.InGracePeriodUntil", "properties.RetireAfterDatetime", "properties.ManagementAgents", and "properties.ManagementAgents_loc additional.fields Aus Änderungsprotokoll zugeordnet
properties.OS_loc" and "properties.OSDescription security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten