Mengumpulkan log Azure MDM Intune

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log Microsoft Intune ke Google Security Operations. Anda dapat mengonfigurasi penyerapan menggunakan tiga metode: Azure Event Hub (direkomendasikan), Third Party API, atau Microsoft Azure Blob Storage V2.

Microsoft Intune adalah solusi pengelolaan endpoint berbasis cloud yang mengelola akses pengguna ke resource organisasi dan menyederhanakan pengelolaan aplikasi dan perangkat di berbagai perangkat, termasuk perangkat seluler, komputer desktop, dan endpoint virtual.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Akses istimewa ke portal Microsoft Azure
• Pengguna dengan peran Microsoft Entra Intune Administrator atau Global Administrator untuk tenant Intune
• Lisensi Intune aktif untuk tenant

Metode 1: Azure Event Hub (direkomendasikan)

Metode ini menstreaming log Intune melalui Azure Event Hub dengan Capture diaktifkan, yang menulis data ke Azure Blob Storage. Google SecOps kemudian menyerap log dari Blob Storage menggunakan jenis feed Azure Blob Storage V2.

Catatan: Metode ini memberikan pengiriman log latensi yang lebih rendah dibandingkan dengan metode API Pihak Ketiga.

Mengonfigurasi Akun Azure Storage

Membuat Akun Penyimpanan

1. Di portal Azure, telusuri Storage accounts.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan Azure Anda
   Grup resource	Pilih yang sudah ada atau buat yang baru
   Nama akun penyimpanan	Masukkan nama yang unik (misalnya, secopsintuneeh)
   Region	Pilih region yang paling dekat dengan namespace Event Hub Anda
   Performa	Standar (direkomendasikan)
   Redundansi	LRS (Locally redundant storage) atau GRS (Geo-redundant storage)

4. Klik Review + create.

5. Tinjau ringkasan, lalu klik Create.

6. Tunggu hingga deployment selesai.

Mendapatkan kredensial Akun Penyimpanan

1. Buka Storage Account yang Anda buat.
2. Di navigasi kiri, pilih Access keys di bagian Security + networking.
3. Klik Show keys.
4. Salin dan simpan hal berikut:
   • Nama akun penyimpanan
   • Kunci 1 atau Kunci 2: Kunci akses bersama.

Membuat namespace Event Hub dan Event Hub

Membuat namespace Event Hub

1. Di portal Azure, telusuri Event Hubs.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan Azure Anda
   Grup resource	Pilih grup resource yang sama dengan akun penyimpanan Anda
   Nama namespace	Masukkan nama yang unik (misalnya, secops-intune-logs)
   Location	Pilih region yang sama dengan akun penyimpanan Anda
   Tingkat harga	Standard (diperlukan untuk Event Hub Capture)

   Catatan: Paket harga Standard atau Premium diperlukan untuk Event Hub Capture. Paket Basic tidak mendukung Pengambilan.

4. Klik Review + create, lalu klik Create.

5. Tunggu hingga deployment selesai.

Membuat Event Hub

1. Buka namespace Event Hub yang Anda buat.
2. Klik + Event Hub di bagian atas.
3. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama (misalnya, intune-logs).
   • Jumlah partisi: 2 (default, tingkatkan untuk throughput yang lebih tinggi).
   • Cleanup policy: Delete.
   • Retention time (hrs): 24 (minimum, tingkatkan jika diperlukan untuk ketahanan).
4. Klik Review + create, lalu klik Create.

Mengaktifkan Event Hub Capture

1. Buka Event Hub yang Anda buat (di dalam namespace).
2. Di navigasi sebelah kiri, pilih Capture.
3. Setel Capture ke On.

4. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Rentang waktu (menit)	5 (atau lebih rendah untuk hampir real-time)
   Size window (MB)	300
   Penyedia Pengambilan	Azure Blob Storage
   Langganan Azure	Pilih langganan Anda
   Akun Penyimpanan	Pilih akun penyimpanan yang Anda buat
   Blob Container	Buat atau pilih penampung (misalnya, intune-capture)

   Catatan: Jika tidak ada penampung, pilih Buat penampung dan masukkan nama.

5. Klik Simpan.

   Catatan: Event Hub Capture menulis file dalam format Apache Avro ke container blob. Google SecOps dapat mengurai log Intune berformat Avro.

Mengonfigurasi setelan diagnostik Intune

1. Login ke Microsoft Intune admin center.
2. Pilih Laporan > Setelan diagnostik.
3. Klik Add diagnostic setting.
4. Berikan detail konfigurasi berikut:
   • Diagnostic setting name: Masukkan nama deskriptif (misalnya, intune-to-eventhub).
   • Di bagian Logs, pilih kategori berikut:
     • OperationalLogs
     • DeviceComplianceOrg
     • Perangkat
   • Di bagian Destination details, pilih Stream to an event hub.
   • Subscription: Pilih langganan yang berisi namespace Event Hub Anda.
   • Event hub namespace: Pilih namespace yang Anda buat (misalnya, secops-intune-logs).
   • Event hub name: Pilih Event Hub yang Anda buat (misalnya, intune-logs).
   • Event hub policy name: Pilih RootManageSharedAccessKey.

5. Klik Simpan.

   Catatan: Log Operasional Intune segera dikirim ke layanan Azure Monitor. Data laporan Log Organisasi Kepatuhan Perangkat dan IntuneDevices dikirim setiap 24 jam sekali.

Mengonfigurasi feed di Google SecOps untuk menyerap log Intune

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft Intune - Event Hub).
5. Pilih Microsoft Azure Blob Storage V2 sebagai Source type.
6. Pilih Microsoft Intune sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Azure URI: Masukkan URL endpoint Blob Service dengan jalur container pengambilan:

     https://<storage-account>.blob.core.windows.net/intune-capture/
     

   • Ganti <storage-account> dengan nama akun penyimpanan Azure Anda.

   Catatan: Sertakan garis miring (/) di akhir URI.
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:
     • Never: Tidak pernah menghapus file apa pun setelah transfer.
     • Delete transferred files: Menghapus file setelah transfer berhasil.
     • Delete transferred files and empty directories: Menghapus file dan direktori kosong setelah transfer berhasil.
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
   • Shared key: Masukkan nilai kunci akses bersama dari Storage Account.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Mengonfigurasi firewall Azure Storage (jika diaktifkan)

Jika Akun Azure Storage Anda menggunakan firewall, Anda harus menambahkan rentang IP Google SecOps.

1. Di portal Azure, buka Storage Account Anda.
2. Pilih Networking di bagian Security + networking.
3. Di bagian Firewalls and virtual networks, pilih Enabled from selected virtual networks and IP addresses.
4. Di bagian Firewall, di bagian Address range, klik + Add IP range.
5. Tambahkan setiap rentang IP Google SecOps dalam notasi CIDR.
   • Lihat dokumentasi Daftar IP yang Diizinkan.
   • Atau, ambil secara terprogram menggunakan Feed Management API.
6. Klik Simpan.

Metode 2: API Pihak Ketiga

Metode ini menggunakan Microsoft Graph API untuk mengambil log audit dan operasional Intune langsung dari tenant Microsoft Anda.

Mengonfigurasi pendaftaran aplikasi Microsoft Entra

Membuat pendaftaran aplikasi

1. Login ke Microsoft Entra admin center atau Azure portal.
2. Buka Identity > Applications > App registrations.
3. Klik New registration.
4. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Google SecOps Intune Integration).
   • Jenis akun yang didukung: Pilih Akun di direktori organisasi ini saja (Single tenant).
   • Redirect URI: Biarkan kosong (tidak diperlukan untuk autentikasi akun utama layanan).
5. Klik Daftar.
6. Setelah pendaftaran, salin dan simpan nilai berikut dari halaman Overview:
   • Application (client) ID
   • Directory (tenant) ID

Mengonfigurasi izin API

1. Di pendaftaran aplikasi, buka API permissions.
2. Klik Add a permission.
3. Pilih Microsoft Graph > Application permissions.
4. Telusuri dan pilih izin berikut:
   • DeviceManagementApps.Read.All
   • DeviceManagementConfiguration.Read.All
   • DeviceManagementManagedDevices.Read.All
   • DeviceManagementServiceConfig.Read.All
   • DeviceManagementRBAC.Read.All
5. Klik Add permissions.
6. Klik Grant admin consent for [Your Organization].

7. Pastikan kolom Status menampilkan Diberikan untuk [Organisasi Anda] untuk semua izin.

   Catatan: Jika tombol Grant admin consent dinonaktifkan, pastikan Anda memiliki peran Global Administrator atau Privileged Role Administrator. Peran Cloud Application Administrator tidak dapat memberikan izin untuk izin aplikasi Microsoft Graph.

Izin API yang diperlukan

Izin	Jenis	Tujuan
DeviceManagementApps.Read.All	Aplikasi	Membaca data pengelolaan aplikasi dan peristiwa audit
DeviceManagementConfiguration.Read.All	Aplikasi	Membaca kebijakan konfigurasi dan kepatuhan perangkat
DeviceManagementManagedDevices.Read.All	Aplikasi	Membaca informasi perangkat terkelola
DeviceManagementServiceConfig.Read.All	Aplikasi	Membaca konfigurasi layanan Intune
DeviceManagementRBAC.Read.All	Aplikasi	Membaca setelan kontrol akses berbasis peran

Catatan: Menggunakan akses dengan hak istimewa terendah. Hanya izin baca yang diperlukan; izin tulis tidak diperlukan untuk penyerapan log.

Membuat rahasia klien

1. Di pendaftaran aplikasi, buka Certificates & secrets.
2. Klik rahasia klien baru.

3. Berikan detail konfigurasi berikut:

   • Description: Masukkan nama deskriptif (misalnya, Google SecOps Feed).
   • Masa berlaku: Pilih periode masa berlaku.
   Catatan: Microsoft merekomendasikan untuk menetapkan nilai masa berlaku kurang dari 12 bulan. Maksimum yang diizinkan adalah 24 bulan.

4. Klik Tambahkan.

5. Segera salin Nilai rahasia klien.

   Penting: Nilai rahasia hanya ditampilkan sekali dan tidak dapat diambil setelah keluar dari halaman ini. Jika Anda kehilangan nilai tersebut, Anda harus membuat rahasia klien baru.

Mengonfigurasi feed di Google SecOps untuk menyerap log Microsoft Intune

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft Intune Logs).
5. Pilih API Pihak Ketiga sebagai Jenis sumber.
6. Pilih Microsoft Intune sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • OAuth Client ID: Masukkan Application (client) ID dari pendaftaran aplikasi (misalnya, 1234abcd-1234-abcd-1234-abcd1234abcd).
   • OAuth Client Secret: Masukkan nilai rahasia klien yang Anda salin sebelumnya.
   • Tenant ID: Masukkan Directory (tenant) ID dari pendaftaran aplikasi dalam format UUID (misalnya, 0fc279f9-fe30-41be-97d3-abe1d7681418).

   • API Full Path: Masukkan URL endpoint API Microsoft Graph REST. Nilai default

     graph.microsoft.com/beta/deviceManagement/auditEvents
     

     Catatan: Jangan sertakan awalan https://. Feed akan otomatis menambahkan protokol.

   • Endpoint Autentikasi API: Masukkan endpoint autentikasi Microsoft Active Directory. Nilai default

     login.microsoftonline.com
     

     Catatan: Jangan sertakan awalan https:// atau jalur /oauth2/v2.0/token. Feed akan membuat URL autentikasi lengkap secara otomatis menggunakan ID Tenant Anda.

   • Namespace aset: Namespace aset.

   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

Setelah penyiapan, feed akan mulai mengambil log audit dan operasional Intune dari Microsoft Graph API.

Catatan: Setelah membuat feed, mungkin perlu waktu 5-10 menit sebelum log mulai muncul di Google SecOps.

Endpoint regional

Untuk deployment Microsoft Intune di cloud sovereign, gunakan endpoint regional yang sesuai:

Lingkungan Cloud	Jalur Lengkap API	Endpoint Autentikasi API
Global	graph.microsoft.com/beta/deviceManagement/auditEvents	login.microsoftonline.com
L4 Pemerintah AS	graph.microsoft.us/beta/deviceManagement/auditEvents	login.microsoftonline.us
US Government L5 (DOD)	dod-graph.microsoft.us/beta/deviceManagement/auditEvents	login.microsoftonline.us
China (21Vianet)	microsoftgraph.chinacloudapi.cn/beta/deviceManagement/auditEvents	login.chinacloudapi.cn

Metode 3: Microsoft Azure Blob Storage V2

Metode ini mengumpulkan log Microsoft Intune dengan mengekspor data diagnostik ke Akun Azure Storage dan mengonfigurasi feed Google SecOps untuk menyerap dari Azure Blob Storage.

Mengonfigurasi Akun Azure Storage

Membuat Akun Penyimpanan

1. Di portal Azure, telusuri Storage accounts.
2. Klik + Create.

3. Berikan detail konfigurasi berikut:

   Setelan	Nilai
   Langganan	Pilih langganan Azure Anda
   Grup resource	Pilih yang sudah ada atau buat yang baru
   Nama akun penyimpanan	Masukkan nama yang unik (misalnya, intunelogs)
   Region	Pilih region (misalnya, East US)
   Performa	Standar (direkomendasikan)
   Redundansi	GRS (Geo-redundant storage) atau LRS (Locally redundant storage)

4. Klik Review + create.

5. Tinjau ringkasan, lalu klik Create.

6. Tunggu hingga deployment selesai.

Mendapatkan kredensial Akun Penyimpanan

1. Buka Storage Account yang Anda buat.
2. Di navigasi kiri, pilih Access keys di bagian Security + networking.
3. Klik Show keys.
4. Salin dan simpan hal berikut:
   • Storage account name: Nama yang Anda berikan selama pembuatan.
   • Kunci 1 atau Kunci 2: Kunci akses bersama.

Mendapatkan endpoint Blob Service

1. Di Akun Penyimpanan yang sama, pilih Endpoints dari navigasi kiri.
2. Salin dan simpan URL endpoint Blob service.
   • Contoh: https://intunelogs.blob.core.windows.net/

Mengonfigurasi Setelan Diagnostik Microsoft Intune

1. Login ke Microsoft Intune admin center.
2. Pilih Laporan > Setelan diagnostik.
3. Klik Add diagnostic setting.
4. Berikan detail konfigurasi berikut:
   • Diagnostic setting name: Masukkan nama deskriptif (misalnya, export-to-secops).
   • Di bagian Logs, pilih kategori berikut:
     • OperationalLogs
     • DeviceComplianceOrg
     • Perangkat
   • Di bagian Destination details, centang kotak Archive to a storage account.
   • Subscription: Pilih langganan yang berisi akun penyimpanan Anda.
   • Storage account: Pilih akun penyimpanan yang Anda buat sebelumnya.

5. Klik Simpan.

   Catatan: Log Operasional Intune segera dikirim ke layanan Azure Monitor. Data laporan Log Organisasi Kepatuhan Perangkat dan IntuneDevices dikirim setiap 24 jam sekali.
   Catatan: Setelan diagnostik Azure membuat container di akun penyimpanan berdasarkan kategori log. Nama container mengikuti pola insights-logs-{categoryname}.

Mengonfigurasi feed di Google SecOps untuk menyerap log Microsoft Intune dari Blob Storage

1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
2. Klik Tambahkan Feed Berita Baru.
3. Di halaman berikutnya, klik Konfigurasi satu feed.
4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, Microsoft Intune Blob Storage).
5. Pilih Microsoft Azure Blob Storage V2 sebagai Source type.
6. Pilih Microsoft Intune sebagai Log type.
7. Klik Berikutnya.

8. Tentukan nilai untuk parameter input berikut:

   • Azure URI: Masukkan URL endpoint Blob Service dengan jalur container. Buat feed terpisah untuk setiap kategori log:

   • Untuk Log Operasional:

     https://<storage-account>.blob.core.windows.net/insights-logs-operationallogs/
     

   • Untuk Log Organisasi Kepatuhan Perangkat:

     https://<storage-account>.blob.core.windows.net/insights-logs-devicecomplianceorg/
     

   • Untuk Perangkat:

     https://<storage-account>.blob.core.windows.net/insights-logs-devices/
     

   Ganti <storage-account> dengan nama akun penyimpanan Azure Anda.

   Catatan: Sertakan garis miring (/) di akhir URI. Verifikasi nama container yang sebenarnya di akun Azure Storage Anda.
   • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda:
     • Never: Tidak pernah menghapus file apa pun setelah transfer
     • Delete transferred files: Menghapus file setelah transfer berhasil
     • Hapus file yang ditransfer dan direktori kosong: Menghapus file dan direktori kosong setelah transfer berhasil
   • Usia File Maksimum: Sertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
   • Shared key: Masukkan nilai kunci akses bersama dari Storage Account.
   • Namespace aset: Namespace aset.
   • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini.

9. Klik Berikutnya.

10. Tinjau konfigurasi feed berita baru Anda di layar Finalize, lalu klik Submit.

11. Ulangi langkah 1-10 untuk membuat feed tambahan untuk setiap penampung kategori log Intune.

Mengonfigurasi firewall Azure Storage (jika diaktifkan)

Jika Akun Azure Storage Anda menggunakan firewall, Anda harus menambahkan rentang IP Google SecOps.

1. Di portal Azure, buka Storage Account Anda.
2. Pilih Networking di bagian Security + networking.
3. Di bagian Firewalls and virtual networks, pilih Enabled from selected virtual networks and IP addresses.
4. Di bagian Firewall, di bagian Address range, klik + Add IP range.
5. Tambahkan setiap rentang IP Google SecOps dalam notasi CIDR.
   • Lihat dokumentasi Daftar IP yang Diizinkan
   • Atau ambil secara terprogram menggunakan Feed Management API

6. Klik Simpan.

   Catatan: Sumber feed ini menggunakan Storage Transfer Service (STS) untuk mentransfer data dari penyimpanan Azure ke Google SecOps. Sebelum menggunakan sumber feed ini, Anda harus mengonfigurasi firewall Azure Storage untuk mengizinkan akses dari rentang IP STS.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
AADDeviceId_label	additional.fields	Digabung
AADTenantId_label	additional.fields	Digabung
ComplianceState_label	additional.fields	Digabung
DeviceHealthThreatLevel_loc_label	additional.fields	Digabung
EnrollmentType_label	additional.fields	Digabung
FailureCategory_label	additional.fields	Digabung
FailureReason_label	additional.fields	Digabung
InGracePeriodUntil_label	additional.fields	Digabung
IntuneAccountId_label	additional.fields	Digabung
IntuneDeviceId_label	additional.fields	Digabung
IntuneUserId_label	additional.fields	Digabung
LastContact_label	additional.fields	Digabung
ManagementAgents_label	additional.fields	Digabung
ManagementAgents_loc_label	additional.fields	Digabung
MessageId_label	additional.fields	Digabung
Os_label	additional.fields	Digabung
RetireAfterDatetime_label	additional.fields	Digabung
ScaleUnit_label	additional.fields	Digabung
activityOperationType_label	additional.fields	Digabung
activityResult_label	additional.fields	Digabung
category_label	additional.fields	Digabung
componentName_label	additional.fields	Digabung
correlationId_label	additional.fields	Digabung
current_perm	additional.fields	Digabung
displayName_label	additional.fields	Digabung
id_label	additional.fields	Digabung
old_label	additional.fields	Digabung
resultType_label	additional.fields	Digabung
start_time_utc	additional.fields	Digabung
temp_label	additional.fields	Digabung
tenantId_label	additional.fields	Digabung
properties.Description	metadata.description	Dipetakan secara langsung
time	metadata.event_timestamp	Diurai sebagai ISO8601
when	metadata.event_timestamp	Diurai sebagai yyyy-MM-dd HH:mm:ss
event_type	metadata.event_type	Diganti namanya/dipetakan
activityType	metadata.product_event_type	Dipetakan secara langsung
operationName	metadata.product_event_type	Dipetakan secara langsung
properties.BatchId	metadata.product_log_id	Dipetakan secara langsung
properties.SessionId	network.session_id	Dipetakan secara langsung
actor.applicationDisplayName	principal.application	Dipetakan secara langsung
properties.Actor.Application	principal.application	Dipetakan secara langsung
properties.DeviceId	principal.asset.asset_id	Dipetakan secara langsung
_hardware	principal.asset.hardware	Digabung
properties.DeviceName	principal.asset.hostname	Dipetakan secara langsung
properties.DeviceId	principal.asset_id	Dipetakan secara langsung
properties.DeviceName	principal.hostname	Dipetakan secara langsung
properties.OS	principal.platform	Dipetakan secara langsung
properties.OSVersion	principal.platform_version	Dipetakan secara langsung
properties.OsVersion	principal.platform_version	Dipetakan secara langsung
actor.applicationId	principal.resource.id	Dipetakan secara langsung
actor_type_label	principal.user.attribute.labels	Digabung
auditActorType_label	principal.user.attribute.labels	Digabung
activityOperationType	principal.user.attribute.roles	Dipetakan: Create → role
activityType	principal.user.attribute.roles	Nilai yang dipetakan (total 5, misalnya `Create Windows Autopilot Deployment Profile. WindowsAutopilotD...
role	principal.user.attribute.roles	Digabung
properties.UserEmail	principal.user.email_addresses	Digabung
actor.userId	principal.user.product_object_id	Dipetakan secara langsung
properties.UserName	principal.user.user_display_name	Dipetakan secara langsung
actor.userPrincipalName	principal.user.userid	Dipetakan secara langsung
properties.Actor.UPN	principal.user.userid	Dipetakan secara langsung
properties.AlertType	security_result.description	Dipetakan secara langsung
detection_AlertDisplayName	security_result.detection_fields	Digabung
detection_DeviceDnsDomain	security_result.detection_fields	Digabung
detection_DeviceHostName	security_result.detection_fields	Digabung
detection_DeviceNetBiosName	security_result.detection_fields	Digabung
detection_DeviceOperatingSystem	security_result.detection_fields	Digabung
detection_OSDescription	security_result.detection_fields	Digabung
detection_OS_loc	security_result.detection_fields	Digabung
detection_OperationalLogCategory	security_result.detection_fields	Digabung
detection_ScenarioName	security_result.detection_fields	Digabung
detection_UPNSuffix	security_result.detection_fields	Digabung
detection_UserDisplayName	security_result.detection_fields	Digabung
detection_application_id	security_result.detection_fields	Digabung
detection_object_identity	security_result.detection_fields	Digabung
operationName	security_result.detection_fields	Dipetakan: Reprovision CloudPCModel → detection_object_identity, Reprovision CloudPCModel...
application	target.application	Diganti namanya/dipetakan
deployment_status	target.asset.deployment_status	Diganti namanya/dipetakan
activityType	target.asset.software	Dipetakan: Patch DeviceConfiguration → software2, Patch DeviceConfiguration → software3...
software	target.asset.software	Digabung
software1	target.asset.software	Digabung
software2	target.asset.software	Digabung
software3	target.asset.software	Digabung
software4	target.asset.software	Digabung
auditResourceType_label	target.resource.attribute.labels	Digabung
display_name_label	target.resource.attribute.labels	Digabung
resources.0.resourceId	target.resource.id	Dipetakan secara langsung
resources.0.type	target.resource.name	Dipetakan secara langsung
resource_type	target.resource.resource_type	Diganti namanya/dipetakan
operationName	target.user.email_addresses	Dipetakan: Reprovision CloudPCModel → upn_identity
upn_identity	target.user.email_addresses	Dipetakan: ^.+@.+$ → upn_identity
user_identity	target.user.email_addresses	Dipetakan: ^.+@.+$ → user_identity
user_id	target.user.userid	Dipetakan secara langsung
user_identity	target.user.userid	Dipetakan secara langsung
T/A	metadata.product_name	Konstanta: AZURE MDM INTUNE
T/A	metadata.vendor_name	Konstanta: Microsoft
T/A	principal.platform	Konstanta: MAC
T/A	target.cloud.environment	Konstanta: MICROSOFT_AZURE
resources.auditResourceType	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
resultType", "properties.AADDeviceId", "properties.IntuneDeviceId", "properties.IntuneUserId", "properties.MessageId", "properties.ScaleUnit", and "properties.Os	additional.fields	Dipetakan dari log perubahan
properties.EnrollmentType" and "properties.FailureReason	additional.fields	Dipetakan dari log perubahan
properties.OsVersion", "principal.platform_version", and "properties.StartTimeUtc	additional.fields	Dipetakan dari log perubahan
properties.OperationalLogCategory", "properties.ScenarioName", "properties.UserDisplayName", "properties.UPNSuffix", "properties.DeviceOperatingSystem", "AlertDisplayNameproperties.AlertDisplayName, "properties.DeviceDnsDomain", "properties.DeviceNetBiosName", and "properties.DeviceHostName	security_result.detection_fields	Dipetakan dari log perubahan
identity" and "user_id	target.user.userid	Dipetakan dari log perubahan
properties.SerialNumber	_hardware.serial_number	Dipetakan dari log perubahan
tenantId", "properties.IntuneAccountId", "properties.AADTenantId", "properties.LastContact", "properties.DeviceHealthThreatLevel_loc", "properties.ComplianceState", "properties.InGracePeriodUntil", "properties.RetireAfterDatetime", "properties.ManagementAgents", and "properties.ManagementAgents_loc	additional.fields	Dipetakan dari log perubahan
properties.OS_loc" and "properties.OSDescription	security_result.detection_fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.