Azure MDM Intune ログを収集する
以下でサポートされています。
Google SecOps
SIEM
このドキュメントでは、Microsoft Intune のログを Google Security Operations に収集する方法について説明します。取り込みは、Azure Event Hub（推奨）、サードパーティ API、Microsoft Azure Blob Storage V2 の 3 つの方法で構成できます。
Microsoft Intune は、組織のリソースへのユーザー アクセスを管理し、モバイル デバイス、デスクトップ パソコン、仮想エンドポイントなどのデバイス全体でアプリとデバイスの管理を簡素化する、クラウドベースのエンドポイント管理ソリューションです。
始める前に
次の前提条件を満たしていることを確認してください。
- Google SecOps インスタンス
- Microsoft Azure ポータルへの特権アクセス
- Intune テナントの Intune 管理者またはグローバル管理者の Microsoft Entra ロールを持つユーザー
- テナントの有効な Intune ライセンス
方法 1: Azure Event Hub（推奨）
この方法では、キャプチャを有効にした Azure Event Hub を介して Intune ログをストリーミングし、Azure Blob Storage にデータを書き込みます。Google SecOps は、Azure Blob Storage V2 フィードタイプを使用して Blob Storage からログを取り込みます。
Azure ストレージ アカウントを構成する
ストレージ アカウントを作成する
- Azure ポータルで、[ストレージ アカウント] を検索します。
- [+ 作成] をクリックします。
次の構成情報を提供してください。
設定 値 サブスクリプション Azure サブスクリプションを選択する リソース グループ 既存のものを選択するか、新しいものを作成 ストレージ アカウント名 一意の名前を入力します（例: secopsintuneeh）。リージョン Event Hub 名前空間に最も近いリージョンを選択します。 パフォーマンス 標準（推奨） 冗長性 LRS（ローカル冗長ストレージ）または GRS（地理冗長ストレージ） [Review + create] をクリックします。
概要を確認し、[作成] をクリックします。
デプロイが完了するまで待ちます。
ストレージ アカウントの認証情報を取得する
- 作成したストレージ アカウントに移動します。
- 左側のナビゲーションで、[セキュリティ + ネットワーキング] の [アクセスキー] を選択します。
- [キーを表示] をクリックします。
- 以下をコピーして保存します。
- ストレージ アカウント名
- キー 1 またはキー 2: 共有アクセスキー。
Event Hubs 名前空間と Event Hub を作成する
Event Hub 名前空間を作成する
- Azure ポータルで、Event Hubs を検索します。
- [+ 作成] をクリックします。
次の構成情報を提供してください。
設定 値 サブスクリプション Azure サブスクリプションを選択する リソース グループ ストレージ アカウントと同じリソース グループを選択します。 Namespace の名前 一意の名前を入力します（例: secops-intune-logs）。ロケーション ストレージ アカウントと同じリージョンを選択します。 料金ティア 標準（Event Hub Capture に必要） [Review + create] をクリックし、[Create] をクリックします。
デプロイが完了するまで待ちます。
Event Hub を作成する
- 作成した Event Hub 名前空間に移動します。
- 上部の [+ Event Hub] をクリックします。
- 次の構成情報を指定します。
- 名前: 名前を入力します（例:
intune-logs）。 - パーティション数: 2（デフォルト。スループットを向上させるには、この値を増やします）。
- クリーンアップ ポリシー: 削除。
- 保持時間（時間）: 24（最小。復元力が必要な場合は増やします）。
- 名前: 名前を入力します（例:
- [Review + create] をクリックし、[Create] をクリックします。
Event Hubs Capture を有効にする
- 作成した Event Hub（名前空間内）に移動します。
- 左側のナビゲーションで [Capture] を選択します。
- [キャプチャ] を [オン] に設定します。
次の構成情報を提供してください。
設定 値 期間（分） 5（準リアルタイムの場合は 5 以下） サイズ ウィンドウ（MB） 300 Capture Provider Azure Blob Storage Azure サブスクリプション サブスクリプションを選択する ストレージ アカウント 作成したストレージ アカウントを選択します。 Blob コンテナ コンテナ（ intune-captureなど）を作成または選択します。[保存] をクリックします。
Intune の診断設定を構成する
- Microsoft Intune 管理センターにログインします。
- [レポート] > [診断設定] を選択します。
- [診断設定を追加] をクリックします。
- 次の構成情報を指定します。
- 診断設定名: わかりやすい名前を入力します（例:
intune-to-eventhub）。 - [ログ] セクションで、次のカテゴリを選択します。
- OperationalLogs
- DeviceComplianceOrg
- デバイス
- [宛先の詳細] セクションで、[イベントハブにストリーミングする] を選択します。
- Subscription: Event Hub 名前空間を含むサブスクリプションを選択します。
- Event Hub 名前空間: 作成した名前空間（
secops-intune-logsなど）を選択します。 - イベントハブ名: 作成したイベントハブを選択します（例:
intune-logs）。 - イベントハブ ポリシー名: [RootManageSharedAccessKey] を選択します。
- 診断設定名: わかりやすい名前を入力します（例:
[保存] をクリックします。
Intune のログを取り込むように Google SecOps でフィードを構成する
- [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
- [Add New Feed] をクリックします。
- 次のページで、[単一のフィードを構成する] をクリックします。
- [フィード名] フィールドに、フィードの名前を入力します（例:
Microsoft Intune - Event Hub）。 - [ソースタイプ] として [Microsoft Azure Blob Storage V2] を選択します。
- [ログタイプ] として [Microsoft Intune] を選択します。
- [次へ] をクリックします。
次の入力パラメータの値を指定します。
Azure URI: キャプチャ コンテナパスを含む Blob Service エンドポイント URL を入力します。
https://<storage-account>.blob.core.windows.net/intune-capture/<storage-account>は、Azure ストレージ アカウント名に置き換えます。
- Source deletion option: 必要に応じて削除オプションを選択します。
- なし: 転送後にファイルを削除しません。
- 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
- 転送されたファイルと空のディレクトリを削除する: 転送が成功した後にファイルと空のディレクトリを削除します。
- ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます。デフォルトは 180 日です。
- 共有キー: ストレージ アカウントの共有アクセスキーの値を入力します。
- Asset namespace: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。
Azure Storage ファイアウォールを構成する（有効になっている場合）
Azure Storage アカウントでファイアウォールを使用している場合は、Google SecOps の IP 範囲を追加する必要があります。
- Azure ポータルで、[ストレージ アカウント] に移動します。
- [セキュリティ + ネットワーキング] で [ネットワーキング] を選択します。
- [ファイアウォールと仮想ネットワーク] で、[選択した仮想ネットワークと IP アドレスから有効にする] を選択します。
- [ファイアウォール] セクションの [アドレス範囲] で、[+ IP 範囲を追加] をクリックします。
- 各 Google SecOps IP 範囲を CIDR 表記で追加します。
- IP 許可リストのドキュメントをご覧ください。
- または、Feed Management API を使用してプログラムで取得します。
- [保存] をクリックします。
方法 2: サードパーティ API
この方法では、Microsoft Graph API を使用して、Microsoft テナントから Intune の監査ログと運用ログを直接取得します。
Microsoft Entra アプリの登録を構成する
アプリ登録を作成する
- Microsoft Entra 管理センターまたは Azure ポータルにログインします。
- [ID] > [Applications] > [App registrations] に移動します。
- [New registration] をクリックします。
- 次の構成情報を指定します。
- [名前]: わかりやすい名前を入力します（例:
Google SecOps Intune Integration）。 - サポートされているアカウントの種類: [この組織ディレクトリ内のアカウントのみ（単一テナント）] を選択します。
- リダイレクト URI: 空白のままにします（サービス プリンシパル認証には必要ありません）。
- [名前]: わかりやすい名前を入力します（例:
- [Register] をクリックします。
- 登録後、[概要] ページから次の値をコピーして保存します。
- アプリケーション（クライアント）ID
- ディレクトリ（テナント）ID
API 権限を構成する
- アプリの登録で、[API permissions] に移動します。
- [Add a Permission] をクリックします。
- [Microsoft Graph] > [Application permissions] を選択します。
- 次の権限を検索して選択します。
- DeviceManagementApps.Read.All
- DeviceManagementConfiguration.Read.All
- DeviceManagementManagedDevices.Read.All
- DeviceManagementServiceConfig.Read.All
- DeviceManagementRBAC.Read.All
- [権限を追加] をクリックします。
- [[組織名] に管理者の同意を与えます] をクリックします。
[ステータス] 列に、すべての権限について [[組織名] に付与済み] と表示されていることを確認します。
必要な API 権限
| 権限 | 種類 | 目的 |
|---|---|---|
| DeviceManagementApps.Read.All | アプリケーション | アプリ管理データと監査イベントを読み取る |
| DeviceManagementConfiguration.Read.All | アプリケーション | デバイス設定とコンプライアンス ポリシーを読み取る |
| DeviceManagementManagedDevices.Read.All | アプリケーション | 管理対象デバイスの情報を読み取る |
| DeviceManagementServiceConfig.Read.All | アプリケーション | Intune サービス構成を読み取る |
| DeviceManagementRBAC.Read.All | アプリケーション | ロールベース アクセス制御設定を読み取る |
クライアント シークレットを作成する
- アプリの登録で、[Certificates & secrets] に移動します。
- [新しいクライアント シークレット] をクリックします。
次の構成情報を提供してください。
- 説明: わかりやすい名前を入力します（例:
Google SecOps Feed）。 - Expires: 有効期限を選択します。
- 説明: わかりやすい名前を入力します（例:
[追加] をクリックします。
クライアント シークレットの [値] をすぐにコピーします。
重要: シークレット値は 1 回しか表示されず、このページを離れると取得できなくなります。値を紛失した場合は、新しいクライアント シークレットを作成する必要があります。
Microsoft Intune のログを取り込むように Google SecOps でフィードを構成する
- [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
- [Add New Feed] をクリックします。
- 次のページで、[単一のフィードを構成する] をクリックします。
- [フィード名] フィールドに、フィードの名前を入力します（例:
Microsoft Intune Logs）。 - [ソースタイプ] として [サードパーティ API] を選択します。
- [ログタイプ] として [Microsoft Intune] を選択します。
- [次へ] をクリックします。
次の入力パラメータの値を指定します。
- OAuth クライアント ID: アプリ登録のアプリケーション（クライアント）ID（例:
1234abcd-1234-abcd-1234-abcd1234abcd）を入力します。 - OAuth クライアント シークレット: 前にコピーしたクライアント シークレットの値を入力します。
- テナント ID: アプリ登録のディレクトリ（テナント）ID を UUID 形式（例:
0fc279f9-fe30-41be-97d3-abe1d7681418）で入力します。 API のフルパス: Microsoft Graph REST API エンドポイント URL を入力します。デフォルト値:
graph.microsoft.com/beta/deviceManagement/auditEventsAPI 認証エンドポイント: Microsoft Active Directory 認証エンドポイントを入力します。デフォルト値:
login.microsoftonline.comAsset namespace: アセットの名前空間。
Ingestion labels: このフィードのイベントに適用されるラベル。
- OAuth クライアント ID: アプリ登録のアプリケーション（クライアント）ID（例:
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。
設定後、フィードは Microsoft Graph API から Intune の監査ログと運用ログの取得を開始します。
リージョン エンドポイント
Sovereign Cloud での Microsoft Intune のデプロイには、適切なリージョン エンドポイントを使用します。
| クラウド環境 | API のフルパス | API 認証エンドポイント |
|---|---|---|
| グローバル | graph.microsoft.com/beta/deviceManagement/auditEvents |
login.microsoftonline.com |
| 米国政府 L4 | graph.microsoft.us/beta/deviceManagement/auditEvents |
login.microsoftonline.us |
| 米国政府 L5（DOD） | dod-graph.microsoft.us/beta/deviceManagement/auditEvents |
login.microsoftonline.us |
| 中国（21Vianet） | microsoftgraph.chinacloudapi.cn/beta/deviceManagement/auditEvents |
login.chinacloudapi.cn |
方法 3: Microsoft Azure Blob Storage V2
この方法では、診断データを Azure ストレージ アカウントにエクスポートし、Azure Blob Storage から取り込むように Google SecOps フィードを構成することで、Microsoft Intune ログを収集します。
Azure ストレージ アカウントを構成する
ストレージ アカウントを作成する
- Azure ポータルで、[ストレージ アカウント] を検索します。
- [+ 作成] をクリックします。
次の構成情報を提供してください。
設定 値 サブスクリプション Azure サブスクリプションを選択する リソース グループ 既存のものを選択するか、新しいものを作成 ストレージ アカウント名 一意の名前を入力します（例: intunelogs）。リージョン リージョンを選択します（例: East US）。パフォーマンス 標準（推奨） 冗長性 GRS（地理冗長ストレージ）または LRS（ローカル冗長ストレージ） [Review + create] をクリックします。
概要を確認し、[作成] をクリックします。
デプロイが完了するまで待ちます。
ストレージ アカウントの認証情報を取得する
- 作成したストレージ アカウントに移動します。
- 左側のナビゲーションで、[セキュリティ + ネットワーキング] の [アクセスキー] を選択します。
- [キーを表示] をクリックします。
- 以下をコピーして保存します。
- ストレージ アカウント名: 作成時に指定した名前。
- キー 1 またはキー 2: 共有アクセスキー。
Blob サービス エンドポイントを取得する
- 同じストレージ アカウントで、左側のナビゲーションから [エンドポイント] を選択します。
- Blob サービスのエンドポイント URL をコピーして保存します。
- 例:
https://intunelogs.blob.core.windows.net/
- 例:
Microsoft Intune の診断設定を構成する
- Microsoft Intune 管理センターにログインします。
- [レポート] > [診断設定] を選択します。
- [診断設定を追加] をクリックします。
- 次の構成情報を指定します。
- 診断設定名: わかりやすい名前を入力します（例:
export-to-secops）。 - [ログ] セクションで、次のカテゴリを選択します。
- OperationalLogs
- DeviceComplianceOrg
- デバイス
- [宛先の詳細] セクションで、[ストレージ アカウントにアーカイブする] チェックボックスをオンにします。
- Subscription: ストレージ アカウントを含むサブスクリプションを選択します。
- ストレージ アカウント: 以前に作成したストレージ アカウントを選択します。
- 診断設定名: わかりやすい名前を入力します（例:
[保存] をクリックします。
Blob Storage から Microsoft Intune ログを取り込むように Google SecOps でフィードを構成する
- [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
- [Add New Feed] をクリックします。
- 次のページで、[単一のフィードを構成する] をクリックします。
- [フィード名] フィールドに、フィードの名前を入力します（例:
Microsoft Intune Blob Storage）。 - [ソースタイプ] として [Microsoft Azure Blob Storage V2] を選択します。
- [ログタイプ] として [Microsoft Intune] を選択します。
- [次へ] をクリックします。
次の入力パラメータの値を指定します。
Azure URI: コンテナパスを含む Blob Service エンドポイント URL を入力します。ログカテゴリごとに個別のフィードを作成します。
オペレーション ログの場合:
https://<storage-account>.blob.core.windows.net/insights-logs-operationallogs/デバイス コンプライアンスの組織ログの場合:
https://<storage-account>.blob.core.windows.net/insights-logs-devicecomplianceorg/デバイスの場合:
https://<storage-account>.blob.core.windows.net/insights-logs-devices/
<storage-account>は、Azure ストレージ アカウント名に置き換えます。- Source deletion option: 必要に応じて削除オプションを選択します。
- なし: 転送後にファイルを削除しません。
- 転送されたファイルを削除する: 転送が成功した後にファイルを削除します。
- 転送されたファイルと空のディレクトリを削除する: 転送が成功した後にファイルと空のディレクトリを削除します。
- ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます。デフォルトは 180 日です。
- 共有キー: ストレージ アカウントの共有アクセスキーの値を入力します。
- Asset namespace: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。
手順 1 ～ 10 を繰り返して、Intune ログカテゴリ コンテナごとに追加のフィードを作成します。
Azure Storage ファイアウォールを構成する（有効になっている場合）
Azure Storage アカウントでファイアウォールを使用している場合は、Google SecOps の IP 範囲を追加する必要があります。
- Azure ポータルで、[ストレージ アカウント] に移動します。
- [セキュリティ + ネットワーキング] で [ネットワーキング] を選択します。
- [ファイアウォールと仮想ネットワーク] で、[選択した仮想ネットワークと IP アドレスから有効にする] を選択します。
- [ファイアウォール] セクションの [アドレス範囲] で、[+ IP 範囲を追加] をクリックします。
- 各 Google SecOps IP 範囲を CIDR 表記で追加します。
- IP 許可リストのドキュメントをご覧ください。
- または、Feed Management API を使用してプログラムで取得します。
[保存] をクリックします。
UDM マッピング テーブル
| ログフィールド | UDM マッピング | ロジック |
|---|---|---|
AADDeviceId_label |
additional.fields |
統合済み |
AADTenantId_label |
additional.fields |
統合済み |
ComplianceState_label |
additional.fields |
統合済み |
DeviceHealthThreatLevel_loc_label |
additional.fields |
統合済み |
EnrollmentType_label |
additional.fields |
統合済み |
FailureCategory_label |
additional.fields |
統合済み |
FailureReason_label |
additional.fields |
統合済み |
InGracePeriodUntil_label |
additional.fields |
統合済み |
IntuneAccountId_label |
additional.fields |
統合済み |
IntuneDeviceId_label |
additional.fields |
統合済み |
IntuneUserId_label |
additional.fields |
統合済み |
LastContact_label |
additional.fields |
統合済み |
ManagementAgents_label |
additional.fields |
統合済み |
ManagementAgents_loc_label |
additional.fields |
統合済み |
MessageId_label |
additional.fields |
統合済み |
Os_label |
additional.fields |
統合済み |
RetireAfterDatetime_label |
additional.fields |
統合済み |
ScaleUnit_label |
additional.fields |
統合済み |
activityOperationType_label |
additional.fields |
統合済み |
activityResult_label |
additional.fields |
統合済み |
category_label |
additional.fields |
統合済み |
componentName_label |
additional.fields |
統合済み |
correlationId_label |
additional.fields |
統合済み |
current_perm |
additional.fields |
統合済み |
displayName_label |
additional.fields |
統合済み |
id_label |
additional.fields |
統合済み |
old_label |
additional.fields |
統合済み |
resultType_label |
additional.fields |
統合済み |
start_time_utc |
additional.fields |
統合済み |
temp_label |
additional.fields |
統合済み |
tenantId_label |
additional.fields |
統合済み |
properties.Description |
metadata.description |
直接マッピングされます。 |
time |
metadata.event_timestamp |
ISO8601 として解析 |
when |
metadata.event_timestamp |
yyyy-MM-dd HH:mm:ss として解析 |
event_type |
metadata.event_type |
名前変更 / マッピング |
activityType |
metadata.product_event_type |
直接マッピングされます。 |
operationName |
metadata.product_event_type |
直接マッピングされます。 |
properties.BatchId |
metadata.product_log_id |
直接マッピングされます。 |
properties.SessionId |
network.session_id |
直接マッピングされます。 |
actor.applicationDisplayName |
principal.application |
直接マッピングされます。 |
properties.Actor.Application |
principal.application |
直接マッピングされます。 |
properties.DeviceId |
principal.asset.asset_id |
直接マッピングされます。 |
_hardware |
principal.asset.hardware |
統合済み |
properties.DeviceName |
principal.asset.hostname |
直接マッピングされます。 |
properties.DeviceId |
principal.asset_id |
直接マッピングされます。 |
properties.DeviceName |
principal.hostname |
直接マッピングされます。 |
properties.OS |
principal.platform |
直接マッピングされます。 |
properties.OSVersion |
principal.platform_version |
直接マッピングされます。 |
properties.OsVersion |
principal.platform_version |
直接マッピングされます。 |
actor.applicationId |
principal.resource.id |
直接マッピングされます。 |
actor_type_label |
principal.user.attribute.labels |
統合済み |
auditActorType_label |
principal.user.attribute.labels |
統合済み |
activityOperationType |
principal.user.attribute.roles |
マッピング済み: Create → role |
activityType |
principal.user.attribute.roles |
マッピングされた値（合計 5 個、例: 「Windows Autopilot デプロイ プロファイルを作成する。WindowsAutopilotD... |
role |
principal.user.attribute.roles |
統合済み |
properties.UserEmail |
principal.user.email_addresses |
統合済み |
actor.userId |
principal.user.product_object_id |
直接マッピングされます。 |
properties.UserName |
principal.user.user_display_name |
直接マッピングされます。 |
actor.userPrincipalName |
principal.user.userid |
直接マッピングされます。 |
properties.Actor.UPN |
principal.user.userid |
直接マッピングされます。 |
properties.AlertType |
security_result.description |
直接マッピングされます。 |
detection_AlertDisplayName |
security_result.detection_fields |
統合済み |
detection_DeviceDnsDomain |
security_result.detection_fields |
統合済み |
detection_DeviceHostName |
security_result.detection_fields |
統合済み |
detection_DeviceNetBiosName |
security_result.detection_fields |
統合済み |
detection_DeviceOperatingSystem |
security_result.detection_fields |
統合済み |
detection_OSDescription |
security_result.detection_fields |
統合済み |
detection_OS_loc |
security_result.detection_fields |
統合済み |
detection_OperationalLogCategory |
security_result.detection_fields |
統合済み |
detection_ScenarioName |
security_result.detection_fields |
統合済み |
detection_UPNSuffix |
security_result.detection_fields |
統合済み |
detection_UserDisplayName |
security_result.detection_fields |
統合済み |
detection_application_id |
security_result.detection_fields |
統合済み |
detection_object_identity |
security_result.detection_fields |
統合済み |
operationName |
security_result.detection_fields |
マッピング済み: Reprovision CloudPCModel → detection_object_identity、Reprovision CloudPCModel... |
application |
target.application |
名前変更 / マッピング |
deployment_status |
target.asset.deployment_status |
名前変更 / マッピング |
activityType |
target.asset.software |
マッピング済み: Patch DeviceConfiguration → software2、Patch DeviceConfiguration → software3... |
software |
target.asset.software |
統合済み |
software1 |
target.asset.software |
統合済み |
software2 |
target.asset.software |
統合済み |
software3 |
target.asset.software |
統合済み |
software4 |
target.asset.software |
統合済み |
auditResourceType_label |
target.resource.attribute.labels |
統合済み |
display_name_label |
target.resource.attribute.labels |
統合済み |
resources.0.resourceId |
target.resource.id |
直接マッピングされます。 |
resources.0.type |
target.resource.name |
直接マッピングされます。 |
resource_type |
target.resource.resource_type |
名前変更 / マッピング |
operationName |
target.user.email_addresses |
マッピング済み: Reprovision CloudPCModel → upn_identity |
upn_identity |
target.user.email_addresses |
マッピング済み: ^.+@.+$ → upn_identity |
user_identity |
target.user.email_addresses |
マッピング済み: ^.+@.+$ → user_identity |
user_id |
target.user.userid |
直接マッピングされます。 |
user_identity |
target.user.userid |
直接マッピングされます。 |
| なし | metadata.product_name |
定数: AZURE MDM INTUNE |
| なし | metadata.vendor_name |
定数: Microsoft |
| なし | principal.platform |
定数: MAC |
| なし | target.cloud.environment |
定数: MICROSOFT_AZURE |
resources.auditResourceType |
event.idm.read_only_udm.target.resource.attribute.labels |
変更履歴からマッピング |
resultType", "properties.AADDeviceId", "properties.IntuneDeviceId", "properties.IntuneUserId", "properties.MessageId", "properties.ScaleUnit", and "properties.Os |
additional.fields |
変更履歴からマッピング |
properties.EnrollmentType" and "properties.FailureReason |
additional.fields |
変更履歴からマッピング |
properties.OsVersion", "principal.platform_version", and "properties.StartTimeUtc |
additional.fields |
変更履歴からマッピング |
properties.OperationalLogCategory", "properties.ScenarioName", "properties.UserDisplayName", "properties.UPNSuffix", "properties.DeviceOperatingSystem", "AlertDisplayNameproperties.AlertDisplayName, "properties.DeviceDnsDomain", "properties.DeviceNetBiosName", and "properties.DeviceHostName |
security_result.detection_fields |
変更履歴からマッピング |
identity" and "user_id |
target.user.userid |
変更履歴からマッピング |
properties.SerialNumber |
_hardware.serial_number |
変更履歴からマッピング |
tenantId", "properties.IntuneAccountId", "properties.AADTenantId", "properties.LastContact", "properties.DeviceHealthThreatLevel_loc", "properties.ComplianceState", "properties.InGracePeriodUntil", "properties.RetireAfterDatetime", "properties.ManagementAgents", and "properties.ManagementAgents_loc |
additional.fields |
変更履歴からマッピング |
properties.OS_loc" and "properties.OSDescription |
security_result.detection_fields |
変更履歴からマッピング |
変更ログ
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。