Raccogli i log di Azure MDM Intune

Supportato in:

Questo documento spiega come raccogliere i log di Microsoft Intune in Google Security Operations. Puoi configurare l'importazione utilizzando tre metodi: Hub eventi di Azure (consigliato), l'API di terze parti o Archiviazione BLOB di Microsoft Azure V2.

Microsoft Intune è una soluzione di gestione degli endpoint basata su cloud che gestisce l'accesso degli utenti alle risorse dell'organizzazione e semplifica la gestione di app e dispositivi, inclusi dispositivi mobili, computer desktop ed endpoint virtuali.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi al portale Microsoft Azure
  • Un utente con il ruolo Microsoft Entra di Amministratore Intune o Amministratore globale per il tenant Intune
  • Una licenza Intune attiva per il tenant

Questo metodo trasmette in streaming i log di Intune tramite Azure Event Hub con Capture abilitato, che scrive i dati in Azure Blob Storage. Google SecOps inserisce poi i log da Blob Storage utilizzando il tipo di feed Azure Blob Storage V2.

Configura l'account di archiviazione Azure

Crea account di archiviazione

  1. Nel portale Azure, cerca Account di archiviazione.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona il tuo abbonamento Azure
    Gruppo di risorse Seleziona un elemento esistente o creane uno nuovo
    Nome account di archiviazione Inserisci un nome univoco (ad esempio, secopsintuneeh).
    Regione Seleziona la regione più vicina allo spazio dei nomi dell'hub eventi
    Prestazioni Standard (consigliato)
    Ridondanza LRS (archiviazione con ridondanza locale) o GRS (archiviazione con ridondanza geografica)

  4. Fai clic su Review + create (Rivedi e crea).

  5. Rivedi la panoramica e fai clic su Crea.

  6. Attendi il completamento del deployment.

Recuperare le credenziali dell'account Storage

  1. Vai all'account di archiviazione che hai creato.
  2. Nel riquadro di navigazione a sinistra, seleziona Chiavi di accesso in Sicurezza e networking.
  3. Fai clic su Mostra chiavi.
  4. Copia e salva quanto segue:
    • Nome dell'account di archiviazione
    • Chiave 1 o Chiave 2: la chiave di accesso condivisa.

Crea uno spazio dei nomi dell'hub di evento e un hub di evento

Crea spazio dei nomi dell'hub di evento

  1. Nel portale Azure, cerca Event Hubs.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona il tuo abbonamento Azure
    Gruppo di risorse Seleziona lo stesso gruppo di risorse dell'account di archiviazione
    Nome dello spazio dei nomi Inserisci un nome univoco (ad esempio secops-intune-logs)
    Località Seleziona la stessa regione del tuo account di archiviazione
    Livello di prezzo Standard (obbligatorio per Event Hub Capture)

  4. Fai clic su Review + create (Rivedi e crea), quindi su Create (Crea).

  5. Attendi il completamento del deployment.

Crea un Event Hub

  1. Vai allo spazio dei nomi dell'hub di eventi che hai creato.
  2. Fai clic su + Event Hub in alto.
  3. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome (ad esempio, intune-logs).
    • Conteggio partizioni: 2 (valore predefinito, aumentalo per un throughput più elevato).
    • Policy di pulizia: Elimina.
    • Tempo di conservazione (ore): 24 (minimo, aumenta se necessario per la resilienza).
  4. Fai clic su Rivedi e crea, quindi su Crea.

Abilitare un'acquisizione di Hub eventi

  1. Vai all'hub eventi che hai creato (all'interno dello spazio dei nomi).
  2. Nel menu di navigazione a sinistra, seleziona Acquisizione.
  3. Imposta Acquisizione su On.

  4. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Finestra temporale (minuti) 5 (o meno per dati quasi in tempo reale)
    Finestra di dimensioni (MB) 300
    Capture Provider Azure Blob Storage
    Abbonamento Azure Seleziona l'abbonamento
    Account di archiviazione Seleziona l'account di archiviazione che hai creato.
    Blob Container Crea o seleziona un contenitore (ad esempio intune-capture)

  5. Fai clic su Salva.

Configura le impostazioni di diagnostica di Intune

  1. Accedi al centro di amministrazione di Microsoft Intune.
  2. Seleziona Report > Impostazioni diagnostiche.
  3. Fai clic su Aggiungi impostazione di diagnostica.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome impostazione di diagnostica: inserisci un nome descrittivo (ad esempio intune-to-eventhub).
    • Nella sezione Log, seleziona le seguenti categorie:
      • OperationalLogs
      • DeviceComplianceOrg
      • Dispositivi
    • Nella sezione Dettagli destinazione, seleziona Trasmetti in streaming a un hub eventi.
    • Abbonamento: seleziona l'abbonamento contenente lo spazio dei nomi dell'hub eventi.
    • Spazio dei nomi dell'hub eventi: seleziona lo spazio dei nomi che hai creato (ad esempio, secops-intune-logs).
    • Nome dell'hub di eventi: seleziona l'hub di eventi che hai creato (ad esempio, intune-logs).
    • Nome policy dell'hub eventi: seleziona RootManageSharedAccessKey.

  5. Fai clic su Salva.

Configura un feed in Google SecOps per importare i log di Intune

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Intune - Event Hub).
  5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
  6. Seleziona Microsoft Intune come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI di Azure: inserisci l'URL dell'endpoint del servizio BLOB con il percorso del contenitore di acquisizione:

      https://<storage-account>.blob.core.windows.net/intune-capture/

    • Sostituisci <storage-account> con il nome del tuo account di archiviazione Azure.

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:
      • Mai: non elimina mai i file dopo i trasferimenti.
      • Elimina file trasferiti: elimina i file dopo il trasferimento riuscito.
      • Elimina i file trasferiti e le directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito.
    • Età massima file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
    • Chiave condivisa: inserisci il valore della chiave di accesso condivisa dall'account di archiviazione.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Configura il firewall di Azure Storage (se abilitato)

Se il tuo account Azure Storage utilizza un firewall, devi aggiungere gli intervalli IP di Google SecOps.

  1. Nel portale Azure, vai al tuo account di archiviazione.
  2. Seleziona Networking in Sicurezza e networking.
  3. In Firewall e reti virtuali, seleziona Attivato da reti virtuali e indirizzi IP selezionati.
  4. Nella sezione Firewall, in Intervallo di indirizzi, fai clic su + Aggiungi intervallo IP.
  5. Aggiungi ogni intervallo IP di Google SecOps in notazione CIDR.
  6. Fai clic su Salva.

Metodo 2: API di terze parti

Questo metodo utilizza l'API Microsoft Graph per recuperare i log operativi e di controllo di Intune direttamente dal tuo tenant Microsoft.

Configurare la registrazione dell'app Microsoft Entra

Crea registrazione app

  1. Accedi all'interfaccia di amministrazione di Microsoft Entra o al portale di Azure.
  2. Vai a Identità > Applicazioni > Registrazioni app.
  3. Fai clic su Nuova registrazione.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome: inserisci un nome descrittivo (ad esempio Google SecOps Intune Integration).
    • Tipi di account supportati: seleziona Solo account in questa directory dell'organizzazione (singolo tenant).
    • URI di reindirizzamento: lascia vuoto (non obbligatorio per l'autenticazione dell'entità di servizio).
  5. Fai clic su Register (Registrati).
  6. Dopo la registrazione, copia e salva i seguenti valori dalla pagina Panoramica:
    • ID applicazione (client)
    • ID directory (tenant)

Configura le autorizzazioni API

  1. Nella registrazione dell'app, vai ad API permissions (Autorizzazioni API).
  2. Fai clic su Aggiungi un'autorizzazione.
  3. Seleziona Microsoft Graph > Autorizzazioni applicazione.
  4. Cerca e seleziona le seguenti autorizzazioni:
    • DeviceManagementApps.Read.All
    • DeviceManagementConfiguration.Read.All
    • DeviceManagementManagedDevices.Read.All
    • DeviceManagementServiceConfig.Read.All
    • DeviceManagementRBAC.Read.All
  5. Fai clic su Aggiungi autorizzazioni.
  6. Fai clic su Concedi il consenso amministratore per [La tua organizzazione].

  7. Verifica che la colonna Stato mostri Concesso per [La tua organizzazione] per tutte le autorizzazioni.

Autorizzazioni API richieste

Autorizzazione Tipo Finalità
DeviceManagementApps.Read.All Applicazione Leggere i dati di gestione delle app e gli eventi di controllo
DeviceManagementConfiguration.Read.All Applicazione Leggi i criteri di conformità e configurazione dei dispositivi
DeviceManagementManagedDevices.Read.All Applicazione Lettura delle informazioni sui dispositivi gestiti
DeviceManagementServiceConfig.Read.All Applicazione Leggi la configurazione del servizio Intune
DeviceManagementRBAC.Read.All Applicazione Leggere le impostazioni controllo dell'accesso basato sui ruoli

Crea client secret

  1. Nella registrazione dell'app, vai a Certificates & secrets (Certificati e secret).
  2. Fai clic su Nuovo client secret.

  3. Fornisci i seguenti dettagli di configurazione:

    • Descrizione: inserisci un nome descrittivo (ad esempio Google SecOps Feed).
    • Scade: seleziona un periodo di scadenza.

  4. Fai clic su Aggiungi.

  5. Copia immediatamente il valore del client secret.

    Importante: il valore segreto viene visualizzato una sola volta e non può essere recuperato dopo aver lasciato questa pagina. Se perdi il valore, devi creare un nuovo client secret.

Configura un feed in Google SecOps per importare i log di Microsoft Intune

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed di notizie.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio, Microsoft Intune Logs).
  5. Seleziona API di terze parti come Tipo di origine.
  6. Seleziona Microsoft Intune come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • ID client OAuth: inserisci l'ID applicazione (client) della registrazione dell'app (ad esempio, 1234abcd-1234-abcd-1234-abcd1234abcd).
    • Client secret OAuth: inserisci il valore del client secret che hai copiato in precedenza.
    • ID tenant: inserisci l'ID directory (tenant) della registrazione dell'app in formato UUID (ad esempio, 0fc279f9-fe30-41be-97d3-abe1d7681418).

    • Percorso completo dell'API: inserisci l'URL dell'endpoint API REST di Microsoft Graph. Valore predefinito:

      graph.microsoft.com/beta/deviceManagement/auditEvents

    • Endpoint di autenticazione API: inserisci l'endpoint di autenticazione di Microsoft Active Directory. Valore predefinito:

      login.microsoftonline.com

    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.

    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza, quindi fai clic su Invia.

Dopo la configurazione, il feed inizia a recuperare i log operativi e di controllo di Intune dall'API Microsoft Graph.

Endpoint regionali

Per i deployment di Microsoft Intune in cloud sovereign, utilizza gli endpoint regionali appropriati:

Ambiente cloud Percorso completo API Endpoint di autenticazione API
Global graph.microsoft.com/beta/deviceManagement/auditEvents login.microsoftonline.com
US Government L4 graph.microsoft.us/beta/deviceManagement/auditEvents login.microsoftonline.us
US Government L5 (DOD) dod-graph.microsoft.us/beta/deviceManagement/auditEvents login.microsoftonline.us
Cina (21Vianet) microsoftgraph.chinacloudapi.cn/beta/deviceManagement/auditEvents login.chinacloudapi.cn

Metodo 3: Microsoft Azure Blob Storage V2

Questo metodo raccoglie i log di Microsoft Intune esportando i dati diagnostici in un account Azure Storage e configurando un feed di Google SecOps per l'importazione da Azure Blob Storage.

Configura l'account di archiviazione Azure

Crea account di archiviazione

  1. Nel portale Azure, cerca Account di archiviazione.
  2. Fai clic su + Crea.

  3. Fornisci i seguenti dettagli di configurazione:

    Impostazione Valore
    Abbonamento Seleziona il tuo abbonamento Azure
    Gruppo di risorse Seleziona un elemento esistente o creane uno nuovo
    Nome dell'account di archiviazione Inserisci un nome univoco (ad esempio, intunelogs).
    Regione Seleziona la regione (ad esempio East US)
    Prestazioni Standard (consigliato)
    Ridondanza GRS (archiviazione con ridondanza geografica) o LRS (archiviazione con ridondanza locale)

  4. Fai clic su Review + create (Rivedi e crea).

  5. Rivedi la panoramica e fai clic su Crea.

  6. Attendi il completamento del deployment.

Recuperare le credenziali dell'account Storage

  1. Vai all'account di archiviazione che hai creato.
  2. Nel riquadro di navigazione a sinistra, seleziona Chiavi di accesso in Sicurezza e networking.
  3. Fai clic su Mostra chiavi.
  4. Copia e salva quanto segue:
    • Nome account di archiviazione: il nome che hai fornito durante la creazione.
    • Tasto 1 o Tasto 2: la chiave di accesso condivisa.

Recupera l'endpoint del servizio Blob

  1. Nello stesso account di archiviazione, seleziona Endpoint dal menu di navigazione a sinistra.
  2. Copia e salva l'URL dell'endpoint del servizio Blob.
    • Esempio: https://intunelogs.blob.core.windows.net/

Configura le impostazioni di diagnostica di Microsoft Intune

  1. Accedi al centro di amministrazione di Microsoft Intune.
  2. Seleziona Report > Impostazioni di diagnostica.
  3. Fai clic su Aggiungi impostazione di diagnostica.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome impostazione di diagnostica: inserisci un nome descrittivo (ad esempio export-to-secops).
    • Nella sezione Log, seleziona le seguenti categorie:
      • OperationalLogs
      • DeviceComplianceOrg
      • Dispositivi
    • Nella sezione Dettagli destinazione, seleziona la casella di controllo Archivia in un account di archiviazione.
    • Abbonamento: seleziona l'abbonamento contenente il tuo account di archiviazione.
    • Storage account: seleziona l'account di archiviazione che hai creato in precedenza.

  5. Fai clic su Salva.

Configura un feed in Google SecOps per importare i log di Microsoft Intune da Blob Storage

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed di notizie.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Nel campo Nome feed, inserisci un nome per il feed (ad esempio Microsoft Intune Blob Storage).
  5. Seleziona Microsoft Azure Blob Storage V2 come Tipo di origine.
  6. Seleziona Microsoft Intune come Tipo di log.
  7. Fai clic su Avanti.

  8. Specifica i valori per i seguenti parametri di input:

    • URI Azure: inserisci l'URL dell'endpoint del servizio Blob con il percorso del container. Crea feed separati per ogni categoria di log:

    • Per i log operativi:

      https://<storage-account>.blob.core.windows.net/insights-logs-operationallogs/

    • Per i log organizzativi di conformità dei dispositivi:

      https://<storage-account>.blob.core.windows.net/insights-logs-devicecomplianceorg/

    • Per i dispositivi:

      https://<storage-account>.blob.core.windows.net/insights-logs-devices/

    Sostituisci <storage-account> con il nome del tuo account di archiviazione Azure.

    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze:
      • Mai: non elimina mai i file dopo i trasferimenti
      • Elimina file trasferiti: elimina i file dopo il trasferimento riuscito
      • Elimina file trasferiti e directory vuote: elimina i file e le directory vuote dopo il trasferimento riuscito
    • Età massima file: includi i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
    • Chiave condivisa: inserisci il valore della chiave di accesso condivisa dell'account di archiviazione.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.

  9. Fai clic su Avanti.

  10. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

  11. Ripeti i passaggi da 1 a 10 per creare feed aggiuntivi per ogni contenitore di categorie di log di Intune.

Configura il firewall di Azure Storage (se abilitato)

Se il tuo account Azure Storage utilizza un firewall, devi aggiungere gli intervalli IP di Google SecOps.

  1. Nel portale Azure, vai al tuo account di archiviazione.
  2. Seleziona Networking in Sicurezza e networking.
  3. In Firewall e reti virtuali, seleziona Attivato da reti virtuali e indirizzi IP selezionati.
  4. Nella sezione Firewall, in Intervallo di indirizzi, fai clic su + Aggiungi intervallo IP.
  5. Aggiungi ogni intervallo IP di Google SecOps in notazione CIDR.

  6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
AADDeviceId_label additional.fields Unita
AADTenantId_label additional.fields Unita
ComplianceState_label additional.fields Unita
DeviceHealthThreatLevel_loc_label additional.fields Unita
EnrollmentType_label additional.fields Unita
FailureCategory_label additional.fields Unita
FailureReason_label additional.fields Unita
InGracePeriodUntil_label additional.fields Unita
IntuneAccountId_label additional.fields Unita
IntuneDeviceId_label additional.fields Unita
IntuneUserId_label additional.fields Unita
LastContact_label additional.fields Unita
ManagementAgents_label additional.fields Unita
ManagementAgents_loc_label additional.fields Unita
MessageId_label additional.fields Unita
Os_label additional.fields Unita
RetireAfterDatetime_label additional.fields Unita
ScaleUnit_label additional.fields Unita
activityOperationType_label additional.fields Unita
activityResult_label additional.fields Unita
category_label additional.fields Unita
componentName_label additional.fields Unita
correlationId_label additional.fields Unita
current_perm additional.fields Unita
displayName_label additional.fields Unita
id_label additional.fields Unita
old_label additional.fields Unita
resultType_label additional.fields Unita
start_time_utc additional.fields Unita
temp_label additional.fields Unita
tenantId_label additional.fields Unita
properties.Description metadata.description Mappato direttamente
time metadata.event_timestamp Analizzato come ISO8601
when metadata.event_timestamp Analizzato come yyyy-MM-dd HH:mm:ss
event_type metadata.event_type Rinominate/mappate
activityType metadata.product_event_type Mappata direttamente
operationName metadata.product_event_type Mappato direttamente
properties.BatchId metadata.product_log_id Mappato direttamente
properties.SessionId network.session_id Mappato direttamente
actor.applicationDisplayName principal.application Mappato direttamente
properties.Actor.Application principal.application Mappato direttamente
properties.DeviceId principal.asset.asset_id Mappato direttamente
_hardware principal.asset.hardware Unita
properties.DeviceName principal.asset.hostname Mappato direttamente
properties.DeviceId principal.asset_id Mappato direttamente
properties.DeviceName principal.hostname Mappato direttamente
properties.OS principal.platform Mappato direttamente
properties.OSVersion principal.platform_version Mappato direttamente
properties.OsVersion principal.platform_version Mappato direttamente
actor.applicationId principal.resource.id Mappato direttamente
actor_type_label principal.user.attribute.labels Unita
auditActorType_label principal.user.attribute.labels Unita
activityOperationType principal.user.attribute.roles Mappato: Create → role
activityType principal.user.attribute.roles Valori mappati (5 in totale, ad es. "Crea profilo di deployment di Windows Autopilot". WindowsAutopilotD…
role principal.user.attribute.roles Unita
properties.UserEmail principal.user.email_addresses Unita
actor.userId principal.user.product_object_id Mappato direttamente
properties.UserName principal.user.user_display_name Mappato direttamente
actor.userPrincipalName principal.user.userid Mappato direttamente
properties.Actor.UPN principal.user.userid Mappato direttamente
properties.AlertType security_result.description Mappato direttamente
detection_AlertDisplayName security_result.detection_fields Unita
detection_DeviceDnsDomain security_result.detection_fields Unita
detection_DeviceHostName security_result.detection_fields Unita
detection_DeviceNetBiosName security_result.detection_fields Unita
detection_DeviceOperatingSystem security_result.detection_fields Unita
detection_OSDescription security_result.detection_fields Unita
detection_OS_loc security_result.detection_fields Unita
detection_OperationalLogCategory security_result.detection_fields Unita
detection_ScenarioName security_result.detection_fields Unita
detection_UPNSuffix security_result.detection_fields Unita
detection_UserDisplayName security_result.detection_fields Unita
detection_application_id security_result.detection_fields Unita
detection_object_identity security_result.detection_fields Unita
operationName security_result.detection_fields Mappatura: Reprovision CloudPCModel → detection_object_identity, Reprovision CloudPCModel…
application target.application Rinominate/mappate
deployment_status target.asset.deployment_status Rinominate/mappate
activityType target.asset.software Mappato: Patch DeviceConfiguration → software2, Patch DeviceConfiguration → software3…
software target.asset.software Unita
software1 target.asset.software Unita
software2 target.asset.software Unita
software3 target.asset.software Unita
software4 target.asset.software Unita
auditResourceType_label target.resource.attribute.labels Unita
display_name_label target.resource.attribute.labels Unita
resources.0.resourceId target.resource.id Mappato direttamente
resources.0.type target.resource.name Mappato direttamente
resource_type target.resource.resource_type Rinominato/mappato
operationName target.user.email_addresses Mappato: Reprovision CloudPCModel → upn_identity
upn_identity target.user.email_addresses Mappato: ^.+@.+$ → upn_identity
user_identity target.user.email_addresses Mappato: ^.+@.+$ → user_identity
user_id target.user.userid Mappato direttamente
user_identity target.user.userid Mappata direttamente
N/D metadata.product_name Costante: AZURE MDM INTUNE
N/D metadata.vendor_name Costante: Microsoft
N/D principal.platform Costante: MAC
N/D target.cloud.environment Costante: MICROSOFT_AZURE
resources.auditResourceType event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
resultType", "properties.AADDeviceId", "properties.IntuneDeviceId", "properties.IntuneUserId", "properties.MessageId", "properties.ScaleUnit", and "properties.Os additional.fields Mappato dal log delle modifiche
properties.EnrollmentType" and "properties.FailureReason additional.fields Mappato dal log delle modifiche
properties.OsVersion", "principal.platform_version", and "properties.StartTimeUtc additional.fields Mappato dal log delle modifiche
properties.OperationalLogCategory", "properties.ScenarioName", "properties.UserDisplayName", "properties.UPNSuffix", "properties.DeviceOperatingSystem", "AlertDisplayNameproperties.AlertDisplayName, "properties.DeviceDnsDomain", "properties.DeviceNetBiosName", and "properties.DeviceHostName security_result.detection_fields Mappato dal log delle modifiche
identity" and "user_id target.user.userid Mappato dal log delle modifiche
properties.SerialNumber _hardware.serial_number Mappato dal log delle modifiche
tenantId", "properties.IntuneAccountId", "properties.AADTenantId", "properties.LastContact", "properties.DeviceHealthThreatLevel_loc", "properties.ComplianceState", "properties.InGracePeriodUntil", "properties.RetireAfterDatetime", "properties.ManagementAgents", and "properties.ManagementAgents_loc additional.fields Mappato dal log delle modifiche
properties.OS_loc" and "properties.OSDescription security_result.detection_fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.