Collecter les journaux Azure MDM Intune

Compatible avec :

Ce document explique comment collecter les journaux Microsoft Intune dans Google Security Operations. Vous pouvez configurer l'ingestion de trois façons : Azure Event Hub (recommandé), l'API tierce ou Microsoft Azure Blob Storage V2.

Microsoft Intune est une solution cloud de gestion des points de terminaison qui gère l'accès des utilisateurs aux ressources de l'organisation et simplifie la gestion des applications et des appareils, y compris les appareils mobiles, les ordinateurs de bureau et les points de terminaison virtuels.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Accès privilégié au portail Microsoft Azure
  • Un utilisateur disposant du rôle Microsoft Entra Administrateur Intune ou Administrateur général pour le locataire Intune
  • Une licence Intune active pour le locataire

Cette méthode diffuse les journaux Intune via Azure Event Hubs avec la capture activée, ce qui écrit les données dans Azure Blob Storage. Google SecOps ingère ensuite les journaux de Blob Storage à l'aide du type de flux Azure Blob Storage V2.

Configurer un compte de stockage Azure

Créer un compte de stockage

  1. Sur le portail Azure, recherchez Comptes de stockage.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez votre abonnement Azure
    Groupe de ressources Sélectionner une base de données existante ou en créer une
    Nom du compte de stockage Saisissez un nom unique (par exemple, secopsintuneeh).
    Région Sélectionnez la région la plus proche de votre espace de noms Event Hubs.
    Performances Standard (recommandé)
    Redondance LRS (stockage localement redondant) ou GRS (stockage géoredondant)

  4. Cliquez sur Examiner et créer.

  5. Examinez la présentation, puis cliquez sur Créer.

  6. Attendez la fin du déploiement.

Obtenir les identifiants du compte de stockage

  1. Accédez au compte de stockage que vous avez créé.
  2. Dans le menu de navigation de gauche, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
  3. Cliquez sur Afficher les clés.
  4. Copiez et enregistrez les éléments suivants :
    • Nom du compte de stockage
    • Clé 1 ou Clé 2 : clé d'accès partagée.

Créer un espace de noms Event Hubs et un hub d'événements

Créer un espace de noms Event Hubs

  1. Dans le portail Azure, recherchez Event Hubs.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez votre abonnement Azure
    Groupe de ressources Sélectionnez le même groupe de ressources que votre compte de stockage.
    Nom de l'espace de noms Saisissez un nom unique (par exemple, secops-intune-logs).
    Emplacement Sélectionnez la même région que votre compte de stockage.
    Niveau de tarification Standard (obligatoire pour Event Hubs Capture)

  4. Cliquez sur Examiner et créer, puis sur Créer.

  5. Attendez la fin du déploiement.

Créer un Event Hub

  1. Accédez à l'espace de noms Event Hub que vous avez créé.
  2. Cliquez sur + Event Hub en haut de la page.
  3. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom (par exemple, intune-logs).
    • Nombre de partitions : 2 (valeur par défaut, à augmenter pour un débit plus élevé).
    • Règle de nettoyage : supprimer.
    • Durée de conservation (en heures) : 24 (minimum, à augmenter si nécessaire pour la résilience).
  4. Cliquez sur Examiner et créer, puis sur Créer.

Activer une capture Event Hubs

  1. Accédez au hub d'événements que vous avez créé (dans l'espace de noms).
  2. Dans le panneau de navigation de gauche, sélectionnez Capture.
  3. Définissez Capture sur Activé.

  4. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Période (minutes) 5 (ou moins pour le temps quasi réel)
    Fenêtre de taille (Mo) 300
    Fournisseur de capture Azure Blob Storage
    Abonnement Azure Sélectionnez votre abonnement
    Compte de stockage Sélectionnez le compte de stockage que vous avez créé.
    Conteneur de blobs Créez ou sélectionnez un conteneur (par exemple, intune-capture).

  5. Cliquez sur Enregistrer.

Configurer les paramètres de diagnostic Intune

  1. Connectez-vous au centre d'administration Microsoft Intune.
  2. Sélectionnez Rapports > Paramètres de diagnostic.
  3. Cliquez sur Add diagnostic setting (Ajouter un paramètre de diagnostic).
  4. Fournissez les informations de configuration suivantes :
    • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, intune-to-eventhub).
    • Dans la section Journaux, sélectionnez les catégories suivantes :
      • OperationalLogs
      • DeviceComplianceOrg
      • Appareils
    • Dans la section Destination details (Détails de la destination), sélectionnez Stream to an event hub (Diffuser vers un hub d'événements).
    • Abonnement : sélectionnez l'abonnement contenant votre espace de noms Event Hubs.
    • Espace de noms Event Hub : sélectionnez l'espace de noms que vous avez créé (par exemple, secops-intune-logs).
    • Nom du hub d'événements : sélectionnez le hub d'événements que vous avez créé (par exemple, intune-logs).
    • Nom de la règle du hub d'événements : sélectionnez RootManageSharedAccessKey.

  5. Cliquez sur Enregistrer.

Configurer un flux dans Google SecOps pour ingérer les journaux Intune

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Intune - Event Hub).
  5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
  6. Sélectionnez Microsoft Intune comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès du conteneur de capture :

      https://<storage-account>.blob.core.windows.net/intune-capture/

    • Remplacez <storage-account> par le nom de votre compte de stockage Azure.

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :
      • Jamais : ne supprime jamais aucun fichier après les transferts.
      • Supprimer les fichiers transférés : supprime les fichiers après un transfert réussi.
      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides une fois le transfert réussi.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
    • Clé partagée : saisissez la valeur de la clé d'accès partagée du compte de stockage.
    • Espace de noms de l'élément : espace de noms de l'élément.
    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Configurer le pare-feu Azure Storage (si activé)

Si votre compte de stockage Azure utilise un pare-feu, vous devez ajouter les plages d'adresses IP Google SecOps.

  1. Dans le portail Azure, accédez à votre compte de stockage.
  2. Sélectionnez Mise en réseau sous Sécurité et mise en réseau.
  3. Sous Pare-feu et réseaux virtuels, sélectionnez Activé à partir des réseaux virtuels et des adresses IP sélectionnés.
  4. Dans la section Pare-feu, sous Plage d'adresses, cliquez sur + Ajouter une plage d'adresses IP.
  5. Ajoutez chaque plage d'adresses IP Google SecOps au format CIDR.
  6. Cliquez sur Enregistrer.

Méthode 2 : API tierce

Cette méthode utilise l'API Microsoft Graph pour récupérer les journaux d'audit et opérationnels Intune directement depuis votre locataire Microsoft.

Configurer l'enregistrement d'application Microsoft Entra

Créer un enregistrement d'application

  1. Connectez-vous au centre d'administration Microsoft Entra ou au portail Azure.
  2. Accédez à Identity > Applications > Inscription d'applications.
  3. Cliquez sur Nouvelle inscription.
  4. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom descriptif (par exemple, Google SecOps Intune Integration).
    • Supported account types (Types de comptes compatibles) : sélectionnez Accounts in this organizational directory only (Single tenant) (Comptes dans cet annuaire organisationnel uniquement (Locataire unique)).
    • URI de redirection : laissez ce champ vide (non requis pour l'authentification du principal de service).
  5. Cliquez sur S'inscrire.
  6. Après l'enregistrement, copiez et enregistrez les valeurs suivantes à partir de la page Overview (Présentation) :
    • ID d'application (client)
    • ID de l'annuaire (locataire)

Configurer les autorisations de l'API

  1. Dans l'enregistrement de l'application, accédez à API permissions (Autorisations des API).
  2. Cliquez sur Ajouter une autorisation.
  3. Sélectionnez Microsoft Graph> Autorisations de l'application.
  4. Recherchez et sélectionnez les autorisations suivantes :
    • DeviceManagementApps.Read.All
    • DeviceManagementConfiguration.Read.All
    • DeviceManagementManagedDevices.Read.All
    • DeviceManagementServiceConfig.Read.All
    • DeviceManagementRBAC.Read.All
  5. Cliquez sur Ajouter des autorisations.
  6. Cliquez sur Accorder le consentement administrateur pour [Votre organisation].

  7. Vérifiez que la colonne État indique Accordé pour [Votre organisation] pour toutes les autorisations.

Autorisations d'API requises

Autorisation Type Objectif
DeviceManagementApps.Read.All Application Lire les données de gestion des applications et les événements d'audit
DeviceManagementConfiguration.Read.All Application Lire la configuration de l'appareil et les règles de conformité
DeviceManagementManagedDevices.Read.All Application Lire les informations sur les appareils gérés
DeviceManagementServiceConfig.Read.All Application Lire la configuration du service Intune
DeviceManagementRBAC.Read.All Application Lire les paramètres de contrôle des accès basé sur les rôles

Créer un code secret du client

  1. Dans l'enregistrement de l'application, accédez à Certificats et secrets.
  2. Cliquez sur Nouveau code secret du client.

  3. Fournissez les informations de configuration suivantes :

    • Description : saisissez un nom descriptif (par exemple, Google SecOps Feed).
    • Expire : sélectionnez une période d'expiration.

  4. Cliquez sur Ajouter.

  5. Copiez immédiatement la valeur du code secret du client.

    Important : La valeur du secret ne s'affiche qu'une seule fois et ne peut pas être récupérée après avoir quitté cette page. Si vous perdez la valeur, vous devez créer un autre code secret du client.

Configurer un flux dans Google SecOps pour ingérer les journaux Microsoft Intune

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Intune Logs).
  5. Sélectionnez API tierce comme type de source.
  6. Sélectionnez Microsoft Intune comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • ID client OAuth : saisissez l'ID (client) de l'application à partir de l'enregistrement de l'application (par exemple, 1234abcd-1234-abcd-1234-abcd1234abcd).
    • Code secret du client OAuth : saisissez la valeur du code secret du client que vous avez copiée précédemment.
    • ID de locataire : saisissez l'ID d'annuaire (locataire) de l'enregistrement de l'application au format UUID (par exemple, 0fc279f9-fe30-41be-97d3-abe1d7681418).

    • Chemin d'accès complet à l'API : saisissez l'URL du point de terminaison de l'API REST Microsoft Graph. Valeur par défaut :

      graph.microsoft.com/beta/deviceManagement/auditEvents

    • Point de terminaison d'authentification de l'API : saisissez le point de terminaison d'authentification Microsoft Active Directory. Valeur par défaut :

      login.microsoftonline.com

    • Espace de noms de l'élément : espace de noms de l'élément.

    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Une fois la configuration terminée, le flux commence à récupérer les journaux d'audit et opérationnels Intune à partir de l'API Microsoft Graph.

Points de terminaison régionaux

Pour les déploiements Microsoft Intune dans des clouds souverains, utilisez les points de terminaison régionaux appropriés :

Environnement cloud Chemin d'accès complet de l'API Point de terminaison d'authentification de l'API
Monde graph.microsoft.com/beta/deviceManagement/auditEvents login.microsoftonline.com
US Government L4 graph.microsoft.us/beta/deviceManagement/auditEvents login.microsoftonline.us
Gouvernement américain L5 (DOD) dod-graph.microsoft.us/beta/deviceManagement/auditEvents login.microsoftonline.us
Chine (21Vianet) microsoftgraph.chinacloudapi.cn/beta/deviceManagement/auditEvents login.chinacloudapi.cn

Méthode 3 : Microsoft Azure Blob Storage V2

Cette méthode collecte les journaux Microsoft Intune en exportant les données de diagnostic vers un compte de stockage Azure et en configurant un flux Google SecOps pour ingérer les données depuis Azure Blob Storage.

Configurer un compte de stockage Azure

Créer un compte de stockage

  1. Sur le portail Azure, recherchez Comptes de stockage.
  2. Cliquez sur + Créer.

  3. Fournissez les informations de configuration suivantes :

    Paramètre Valeur
    Abonnement Sélectionnez votre abonnement Azure
    Groupe de ressources Sélectionner une base de données existante ou en créer une
    Nom du compte de stockage Saisissez un nom unique (par exemple, intunelogs).
    Région Sélectionnez la région (par exemple, East US).
    Performances Standard (recommandé)
    Redondance GRS (stockage géoredondant) ou LRS (stockage localement redondant)

  4. Cliquez sur Examiner et créer.

  5. Examinez la présentation, puis cliquez sur Créer.

  6. Attendez la fin du déploiement.

Obtenir les identifiants du compte de stockage

  1. Accédez au compte de stockage que vous avez créé.
  2. Dans le menu de navigation de gauche, sélectionnez Clés d'accès sous Sécurité et mise en réseau.
  3. Cliquez sur Afficher les clés.
  4. Copiez et enregistrez les éléments suivants :
    • Nom du compte de stockage : nom que vous avez fourni lors de la création.
    • Clé 1 ou Clé 2 : clé d'accès partagée.

Obtenir le point de terminaison du service Blob

  1. Dans le même compte de stockage, sélectionnez Endpoints (Points de terminaison) dans le menu de navigation de gauche.
  2. Copiez et enregistrez l'URL du point de terminaison du service Blob.
    • Exemple : https://intunelogs.blob.core.windows.net/

Configurer les paramètres de diagnostic Microsoft Intune

  1. Connectez-vous au centre d'administration Microsoft Intune.
  2. Sélectionnez Rapports > Paramètres de diagnostic.
  3. Cliquez sur Add diagnostic setting (Ajouter un paramètre de diagnostic).
  4. Fournissez les informations de configuration suivantes :
    • Nom du paramètre de diagnostic : saisissez un nom descriptif (par exemple, export-to-secops).
    • Dans la section Journaux, sélectionnez les catégories suivantes :
      • OperationalLogs
      • DeviceComplianceOrg
      • Appareils
    • Dans la section Détails de la destination, cochez la case Archiver dans un compte de stockage.
    • Abonnement : sélectionnez l'abonnement contenant votre compte de stockage.
    • Compte de stockage : sélectionnez le compte de stockage que vous avez créé précédemment.

  5. Cliquez sur Enregistrer.

Configurer un flux dans Google SecOps pour ingérer les journaux Microsoft Intune depuis Blob Storage

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter un flux d'actualités.
  3. Sur la page suivante, cliquez sur Configurer un seul flux.
  4. Dans le champ Nom du flux, saisissez un nom pour le flux (par exemple, Microsoft Intune Blob Storage).
  5. Sélectionnez Microsoft Azure Blob Storage V2 comme Type de source.
  6. Sélectionnez Microsoft Intune comme type de journal.
  7. Cliquez sur Suivant.

  8. Spécifiez les valeurs des paramètres d'entrée suivants :

    • URI Azure : saisissez l'URL du point de terminaison du service Blob avec le chemin d'accès au conteneur. Créez des flux distincts pour chaque catégorie de journaux :

    • Pour les journaux opérationnels :

      https://<storage-account>.blob.core.windows.net/insights-logs-operationallogs/

    • Pour les journaux organisationnels de conformité des appareils :

      https://<storage-account>.blob.core.windows.net/insights-logs-devicecomplianceorg/

    • Pour les appareils :

      https://<storage-account>.blob.core.windows.net/insights-logs-devices/

    Remplacez <storage-account> par le nom de votre compte de stockage Azure.

    • Option de suppression de la source : sélectionnez l'option de suppression de votre choix :
      • Jamais : ne supprime jamais aucun fichier après les transferts.
      • Supprimer les fichiers transférés : supprime les fichiers après un transfert réussi.
      • Supprimer les fichiers transférés et les répertoires vides : supprime les fichiers et les répertoires vides une fois le transfert réussi.
    • Âge maximal du fichier : incluez les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
    • Clé partagée : saisissez la valeur de la clé d'accès partagée du compte de stockage.
    • Espace de noms de l'élément : espace de noms de l'élément.
    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.

  9. Cliquez sur Suivant.

  10. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

  11. Répétez les étapes 1 à 10 pour créer des flux supplémentaires pour chaque conteneur de catégorie de journaux Intune.

Configurer le pare-feu Azure Storage (si activé)

Si votre compte de stockage Azure utilise un pare-feu, vous devez ajouter les plages d'adresses IP Google SecOps.

  1. Dans le portail Azure, accédez à votre compte de stockage.
  2. Sélectionnez Mise en réseau sous Sécurité et mise en réseau.
  3. Sous Pare-feu et réseaux virtuels, sélectionnez Activé à partir des réseaux virtuels et des adresses IP sélectionnés.
  4. Dans la section Pare-feu, sous Plage d'adresses, cliquez sur + Ajouter une plage d'adresses IP.
  5. Ajoutez chaque plage d'adresses IP Google SecOps au format CIDR.

  6. Cliquez sur Enregistrer.

Table de mappage UDM

Champ du journal Mappage UDM Logique
AADDeviceId_label additional.fields Fusionné
AADTenantId_label additional.fields Fusionné
ComplianceState_label additional.fields Fusionné
DeviceHealthThreatLevel_loc_label additional.fields Fusionné
EnrollmentType_label additional.fields Fusionné
FailureCategory_label additional.fields Fusionné
FailureReason_label additional.fields Fusionné
InGracePeriodUntil_label additional.fields Fusionné
IntuneAccountId_label additional.fields Fusionné
IntuneDeviceId_label additional.fields Fusionné
IntuneUserId_label additional.fields Fusionné
LastContact_label additional.fields Fusionné
ManagementAgents_label additional.fields Fusionné
ManagementAgents_loc_label additional.fields Fusionné
MessageId_label additional.fields Fusionné
Os_label additional.fields Fusionné
RetireAfterDatetime_label additional.fields Fusionné
ScaleUnit_label additional.fields Fusionné
activityOperationType_label additional.fields Fusionné
activityResult_label additional.fields Fusionné
category_label additional.fields Fusionné
componentName_label additional.fields Fusionné
correlationId_label additional.fields Fusionné
current_perm additional.fields Fusionné
displayName_label additional.fields Fusionné
id_label additional.fields Fusionné
old_label additional.fields Fusionné
resultType_label additional.fields Fusionné
start_time_utc additional.fields Fusionné
temp_label additional.fields Fusionné
tenantId_label additional.fields Fusionné
properties.Description metadata.description Mappage direct
time metadata.event_timestamp Analysé en tant que ISO8601
when metadata.event_timestamp Analysé en tant que yyyy-MM-dd HH:mm:ss
event_type metadata.event_type Renommé/Mappé
activityType metadata.product_event_type Mappage direct
operationName metadata.product_event_type Mappage direct
properties.BatchId metadata.product_log_id Mappage direct
properties.SessionId network.session_id Mappage direct
actor.applicationDisplayName principal.application Mappage direct
properties.Actor.Application principal.application Mappage direct
properties.DeviceId principal.asset.asset_id Mappage direct
_hardware principal.asset.hardware Fusionné
properties.DeviceName principal.asset.hostname Mappage direct
properties.DeviceId principal.asset_id Mappage direct
properties.DeviceName principal.hostname Mappage direct
properties.OS principal.platform Mappage direct
properties.OSVersion principal.platform_version Mappage direct
properties.OsVersion principal.platform_version Mappage direct
actor.applicationId principal.resource.id Mappage direct
actor_type_label principal.user.attribute.labels Fusionné
auditActorType_label principal.user.attribute.labels Fusionné
activityOperationType principal.user.attribute.roles Mappé : Create → role
activityType principal.user.attribute.roles Valeurs mappées (5 au total, par exemple "Créer un profil de déploiement Windows Autopilot". WindowsAutopilotD...
role principal.user.attribute.roles Fusionné
properties.UserEmail principal.user.email_addresses Fusionné
actor.userId principal.user.product_object_id Mappage direct
properties.UserName principal.user.user_display_name Mappage direct
actor.userPrincipalName principal.user.userid Mappage direct
properties.Actor.UPN principal.user.userid Mappage direct
properties.AlertType security_result.description Mappage direct
detection_AlertDisplayName security_result.detection_fields Fusionné
detection_DeviceDnsDomain security_result.detection_fields Fusionné
detection_DeviceHostName security_result.detection_fields Fusionné
detection_DeviceNetBiosName security_result.detection_fields Fusionné
detection_DeviceOperatingSystem security_result.detection_fields Fusionné
detection_OSDescription security_result.detection_fields Fusionné
detection_OS_loc security_result.detection_fields Fusionné
detection_OperationalLogCategory security_result.detection_fields Fusionné
detection_ScenarioName security_result.detection_fields Fusionné
detection_UPNSuffix security_result.detection_fields Fusionné
detection_UserDisplayName security_result.detection_fields Fusionné
detection_application_id security_result.detection_fields Fusionné
detection_object_identity security_result.detection_fields Fusionné
operationName security_result.detection_fields Reprovision CloudPCModel → detection_object_identity, Reprovision CloudPCModel... mappé
application target.application Renommé/Mappé
deployment_status target.asset.deployment_status Renommé/Mappé
activityType target.asset.software Mappé : Patch DeviceConfiguration → software2, Patch DeviceConfiguration → software3...
software target.asset.software Fusionné
software1 target.asset.software Fusionné
software2 target.asset.software Fusionné
software3 target.asset.software Fusionné
software4 target.asset.software Fusionné
auditResourceType_label target.resource.attribute.labels Fusionné
display_name_label target.resource.attribute.labels Fusionné
resources.0.resourceId target.resource.id Mappage direct
resources.0.type target.resource.name Mappage direct
resource_type target.resource.resource_type Renommé/Mappé
operationName target.user.email_addresses Mappé : Reprovision CloudPCModel → upn_identity
upn_identity target.user.email_addresses Mappé : ^.+@.+$ → upn_identity
user_identity target.user.email_addresses Mappé : ^.+@.+$ → user_identity
user_id target.user.userid Mappage direct
user_identity target.user.userid Mappage direct
N/A metadata.product_name Constante : AZURE MDM INTUNE
N/A metadata.vendor_name Constante : Microsoft
N/A principal.platform Constante : MAC
N/A target.cloud.environment Constante : MICROSOFT_AZURE
resources.auditResourceType event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
resultType", "properties.AADDeviceId", "properties.IntuneDeviceId", "properties.IntuneUserId", "properties.MessageId", "properties.ScaleUnit", and "properties.Os additional.fields Mappé à partir du journal des modifications
properties.EnrollmentType" and "properties.FailureReason additional.fields Mappé à partir du journal des modifications
properties.OsVersion", "principal.platform_version", and "properties.StartTimeUtc additional.fields Mappé à partir du journal des modifications
properties.OperationalLogCategory", "properties.ScenarioName", "properties.UserDisplayName", "properties.UPNSuffix", "properties.DeviceOperatingSystem", "AlertDisplayNameproperties.AlertDisplayName, "properties.DeviceDnsDomain", "properties.DeviceNetBiosName", and "properties.DeviceHostName security_result.detection_fields Mappé à partir du journal des modifications
identity" and "user_id target.user.userid Mappé à partir du journal des modifications
properties.SerialNumber _hardware.serial_number Mappé à partir du journal des modifications
tenantId", "properties.IntuneAccountId", "properties.AADTenantId", "properties.LastContact", "properties.DeviceHealthThreatLevel_loc", "properties.ComplianceState", "properties.InGracePeriodUntil", "properties.RetireAfterDatetime", "properties.ManagementAgents", and "properties.ManagementAgents_loc additional.fields Mappé à partir du journal des modifications
properties.OS_loc" and "properties.OSDescription security_result.detection_fields Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.