Azure MDM Intune 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Microsoft Intune 로그를 Google Security Operations에 수집하는 방법을 설명합니다. Azure Event Hub (권장), 서드 파티 API 또는 Microsoft Azure Blob Storage V2의 세 가지 방법을 사용하여 수집을 구성할 수 있습니다.
Microsoft Intune은 조직 리소스에 대한 사용자 액세스를 관리하고 휴대기기, 데스크톱 컴퓨터, 가상 엔드포인트 등 여러 기기에서 앱 및 기기 관리를 간소화하는 클라우드 기반 엔드포인트 관리 솔루션입니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Microsoft Azure 포털에 대한 권한 있는 액세스
- Intune 테넌트의 Intune 관리자 또는 전역 관리자 Microsoft Entra 역할이 있는 사용자
- 테넌트의 활성 Intune 라이선스
방법 1: Azure Event Hub (권장)
이 방법은 캡처가 사용 설정된 Azure Event Hub를 통해 Intune 로그를 스트리밍하여 데이터를 Azure Blob Storage에 기록합니다. 그러면 Google SecOps는 Azure Blob Storage V2 피드 유형을 사용하여 Blob Storage에서 로그를 수집합니다.
Azure 스토리지 계정 구성
스토리지 계정 만들기
- Azure 포털에서 스토리지 계정을 검색합니다.
- + 만들기를 클릭합니다.
다음 구성 세부정보를 제공합니다.
설정 값 구독 Azure 구독 선택 리소스 그룹 기존 항목 선택 또는 새로 만들기 스토리지 계정 이름 고유한 이름 (예: secopsintuneeh)을 입력합니다.리전 Event Hub 네임스페이스와 가장 가까운 리전을 선택합니다. 성능 표준 (권장) 중복성 LRS (로컬 중복 스토리지) 또는 GRS (지리적 중복 스토리지) 검토 + 만들기를 클릭합니다.
개요를 검토하고 만들기를 클릭합니다.
배포가 완료될 때까지 기다립니다.
스토리지 계정 사용자 인증 정보 가져오기
- 생성한 스토리지 계정으로 이동합니다.
- 왼쪽 탐색에서 보안 + 네트워킹 아래의 액세스 키를 선택합니다.
- 키 표시를 클릭합니다.
- 다음을 복사하여 저장합니다.
- 스토리지 계정 이름
- 키 1 또는 키 2: 공유 액세스 키입니다.
Event Hubs 네임스페이스 및 Event Hub 만들기
Event Hub 네임스페이스 만들기
- Azure 포털에서 Event Hubs를 검색합니다.
- + 만들기를 클릭합니다.
다음 구성 세부정보를 제공합니다.
설정 값 구독 Azure 구독 선택 리소스 그룹 스토리지 계정과 동일한 리소스 그룹을 선택합니다. 네임스페이스 이름 고유한 이름 (예: secops-intune-logs)을 입력합니다.위치 스토리지 계정과 동일한 리전을 선택합니다. 가격 책정 등급 표준 (Event Hubs Capture에 필요) 검토 + 만들기를 클릭한 다음 만들기를 클릭합니다.
배포가 완료될 때까지 기다립니다.
이벤트 허브 만들기
- 만든 Event Hub 네임스페이스로 이동합니다.
- 상단에서 + Event Hub를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 이름: 이름을 입력합니다 (예:
intune-logs). - 파티션 수: 2 (기본값, 처리량을 높이려면 늘림)
- 삭제 정책: 삭제
- 보관 시간 (시간): 24 (최소, 복원력을 위해 필요한 경우 증가).
- 이름: 이름을 입력합니다 (예:
- 검토 + 만들기를 클릭한 다음 만들기를 클릭합니다.
이벤트 허브 캡처 사용 설정
- 생성한 Event Hub (네임스페이스 내부)로 이동합니다.
- 왼쪽 탐색 메뉴에서 캡처를 선택합니다.
- 캡처를 사용으로 설정합니다.
다음 구성 세부정보를 제공합니다.
설정 값 기간 (분) 5 (거의 실시간의 경우 더 낮음) 크기 기간 (MB) 300 캡처 제공자 Azure Blob Storage Azure 구독 구독 선택 스토리지 계정 생성한 스토리지 계정을 선택합니다. Blob 컨테이너 컨테이너 만들기 또는 선택 (예: intune-capture)저장을 클릭합니다.
Intune 진단 설정 구성
- Microsoft Intune 관리 센터에 로그인합니다.
- 보고서 > 진단 설정을 선택합니다.
- 진단 설정 추가를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 진단 설정 이름: 설명이 포함된 이름 (예:
intune-to-eventhub)을 입력합니다. - 로그 섹션에서 다음 카테고리를 선택합니다.
- OperationalLogs
- DeviceComplianceOrg
- 기기
- 대상 세부정보 섹션에서 이벤트 허브로 스트리밍을 선택합니다.
- 구독: 이벤트 허브 네임스페이스가 포함된 구독을 선택합니다.
- 이벤트 허브 네임스페이스: 만든 네임스페이스를 선택합니다 (예:
secops-intune-logs). - 이벤트 허브 이름: 생성한 이벤트 허브를 선택합니다 (예:
intune-logs). - 이벤트 허브 정책 이름: RootManageSharedAccessKey를 선택합니다.
- 진단 설정 이름: 설명이 포함된 이름 (예:
저장을 클릭합니다.
Intune 로그를 수집하도록 Google SecOps에서 피드 구성
- SIEM 설정 > 피드로 이동합니다.
- 새 피드 추가를 클릭합니다.
- 다음 페이지에서 단일 피드 구성을 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다(예:
Microsoft Intune - Event Hub). - 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
- 로그 유형으로 Microsoft Intune을 선택합니다.
- 다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
Azure URI: 캡처 컨테이너 경로와 함께 Blob 서비스 엔드포인트 URL을 입력합니다.
https://<storage-account>.blob.core.windows.net/intune-capture/<storage-account>을 Azure Storage 계정 이름으로 바꿉니다.
- 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
- 삭제 안함: 전송 후 파일을 삭제하지 않습니다.
- 전송된 파일 삭제: 전송이 완료된 후 파일을 삭제합니다.
- 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료되면 파일과 빈 디렉터리를 삭제합니다.
- 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
- 공유 키: 스토리지 계정의 공유 액세스 키 값을 입력합니다.
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.
Azure Storage 방화벽 구성 (사용 설정된 경우)
Azure Storage 계정에서 방화벽을 사용하는 경우 Google SecOps IP 범위를 추가해야 합니다.
- Azure 포털에서 스토리지 계정으로 이동합니다.
- 보안 + 네트워킹에서 네트워킹을 선택합니다.
- 방화벽 및 가상 네트워크에서 선택한 가상 네트워크 및 IP 주소에서 사용 설정됨을 선택합니다.
- 방화벽 섹션의 IP 주소 범위에서 + IP 범위 추가를 클릭합니다.
- 각 Google SecOps IP 범위를 CIDR 표기법으로 추가합니다.
- IP 허용 목록 문서를 참고하세요.
- 또는 피드 관리 API를 사용하여 프로그래매틱 방식으로 가져올 수 있습니다.
- 저장을 클릭합니다.
방법 2: 서드 파티 API
이 방법은 Microsoft Graph API를 사용하여 Microsoft 테넌트에서 직접 Intune 감사 및 작업 로그를 검색합니다.
Microsoft Entra 앱 등록 구성
앱 등록 만들기
- Microsoft Entra 관리 센터 또는 Azure 포털에 로그인합니다.
- ID > 애플리케이션 > 앱 등록으로 이동합니다.
- 신규 등록을 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 이름: 설명이 포함된 이름을 입력합니다 (예:
Google SecOps Intune Integration). - 지원되는 계정 유형: 이 조직 디렉터리의 계정만 (단일 테넌트)을 선택합니다.
- 리디렉션 URI: 비워 둡니다 (서비스 주 구성원 인증에는 필요하지 않음).
- 이름: 설명이 포함된 이름을 입력합니다 (예:
- 등록을 클릭합니다.
- 등록 후 개요 페이지에서 다음 값을 복사하여 저장합니다.
- 애플리케이션 (클라이언트) ID
- 디렉터리 (테넌트) ID
API 권한 구성
- 앱 등록에서 API 권한으로 이동합니다.
- 권한 추가를 클릭합니다.
- Microsoft Graph> 애플리케이션 권한을 선택합니다.
- 다음 권한을 검색하여 선택합니다.
- DeviceManagementApps.Read.All
- DeviceManagementConfiguration.Read.All
- DeviceManagementManagedDevices.Read.All
- DeviceManagementServiceConfig.Read.All
- DeviceManagementRBAC.Read.All
- 권한 추가를 클릭합니다.
- [조직]에 대해 관리자의 동의 제출을 클릭합니다.
모든 권한에 대해 상태 열에 [조직]에 부여됨이 표시되는지 확인합니다.
필수 API 권한
| 권한 | 유형 | 목적 |
|---|---|---|
| DeviceManagementApps.Read.All | 애플리케이션 | 앱 관리 데이터 및 감사 이벤트 읽기 |
| DeviceManagementConfiguration.Read.All | 애플리케이션 | 기기 설정 및 규정 준수 정책 읽기 |
| DeviceManagementManagedDevices.Read.All | 애플리케이션 | 관리 기기 정보 읽기 |
| DeviceManagementServiceConfig.Read.All | 애플리케이션 | Intune 서비스 구성 읽기 |
| DeviceManagementRBAC.Read.All | 애플리케이션 | 역할 기반 액세스 제어 설정 읽기 |
클라이언트 보안 비밀번호 만들기
- 앱 등록에서 인증서 및 보안 비밀로 이동합니다.
- '새 클라이언트 보안 비밀번호'를 클릭합니다.
다음 구성 세부정보를 제공합니다.
- 설명: 설명이 포함된 이름을 입력합니다 (예:
Google SecOps Feed). - 만료: 만료 기간을 선택합니다.
- 설명: 설명이 포함된 이름을 입력합니다 (예:
추가를 클릭합니다.
클라이언트 보안 비밀번호 값을 즉시 복사합니다.
중요: 보안 비밀 값은 한 번만 표시되며 이 페이지를 나간 후에는 검색할 수 없습니다. 값을 분실한 경우 새 클라이언트 보안 비밀번호를 만들어야 합니다.
Microsoft Intune 로그를 수집하도록 Google SecOps에서 피드 구성
- SIEM 설정 > 피드로 이동합니다.
- 새 피드 추가를 클릭합니다.
- 다음 페이지에서 단일 피드 구성을 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다(예:
Microsoft Intune Logs). - 소스 유형으로 서드 파티 API를 선택합니다.
- 로그 유형으로 Microsoft Intune을 선택합니다.
- 다음을 클릭합니다.
다음 입력 매개변수의 값을 지정합니다.
- OAuth 클라이언트 ID: 앱 등록의 애플리케이션 (클라이언트) ID를 입력합니다 (예:
1234abcd-1234-abcd-1234-abcd1234abcd). - OAuth 클라이언트 보안 비밀번호: 이전에 복사한 클라이언트 보안 비밀번호 값을 입력합니다.
- 테넌트 ID: 앱 등록의 디렉터리 (테넌트) ID를 UUID 형식으로 입력합니다 (예:
0fc279f9-fe30-41be-97d3-abe1d7681418). API 전체 경로: Microsoft Graph REST API 엔드포인트 URL을 입력합니다. 기본값:
graph.microsoft.com/beta/deviceManagement/auditEventsAPI 인증 엔드포인트: Microsoft Active Directory 인증 엔드포인트를 입력합니다. 기본값:
login.microsoftonline.com애셋 네임스페이스: 애셋 네임스페이스입니다.
수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
- OAuth 클라이언트 ID: 앱 등록의 애플리케이션 (클라이언트) ID를 입력합니다 (예:
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.
설정이 완료되면 피드가 Microsoft Graph API에서 Intune 감사 및 운영 로그를 가져오기 시작합니다.
리전 엔드포인트
Sovereign Cloud의 Microsoft Intune 배포의 경우 적절한 리전 엔드포인트를 사용하세요.
| 클라우드 환경 | API 전체 경로 | API 인증 엔드포인트 |
|---|---|---|
| 글로벌 | graph.microsoft.com/beta/deviceManagement/auditEvents |
login.microsoftonline.com |
| 미국 정부 L4 | graph.microsoft.us/beta/deviceManagement/auditEvents |
login.microsoftonline.us |
| 미국 정부 L5 (DOD) | dod-graph.microsoft.us/beta/deviceManagement/auditEvents |
login.microsoftonline.us |
| 중국 (21Vianet) | microsoftgraph.chinacloudapi.cn/beta/deviceManagement/auditEvents |
login.chinacloudapi.cn |
방법 3: Microsoft Azure Blob Storage V2
이 메서드는 진단 데이터를 Azure 스토리지 계정으로 내보내고 Azure Blob Storage에서 수집하도록 Google SecOps 피드를 구성하여 Microsoft Intune 로그를 수집합니다.
Azure 스토리지 계정 구성
스토리지 계정 만들기
- Azure 포털에서 스토리지 계정을 검색합니다.
- + 만들기를 클릭합니다.
다음 구성 세부정보를 제공합니다.
설정 값 구독 Azure 구독 선택 리소스 그룹 기존 항목 선택 또는 새로 만들기 스토리지 계정 이름 고유한 이름 (예: intunelogs)을 입력합니다.리전 리전을 선택합니다 (예: East US).성능 표준 (권장) 중복성 GRS (지리적 중복 스토리지) 또는 LRS (로컬 중복 스토리지) 검토 + 만들기를 클릭합니다.
개요를 검토하고 만들기를 클릭합니다.
배포가 완료될 때까지 기다립니다.
스토리지 계정 사용자 인증 정보 가져오기
- 생성한 스토리지 계정으로 이동합니다.
- 왼쪽 탐색에서 보안 + 네트워킹 아래의 액세스 키를 선택합니다.
- 키 표시를 클릭합니다.
- 다음을 복사하여 저장합니다.
- 스토리지 계정 이름: 생성 중에 제공한 이름입니다.
- 키 1 또는 키 2: 공유 액세스 키입니다.
Blob 서비스 엔드포인트 가져오기
- 동일한 스토리지 계정의 왼쪽 탐색에서 엔드포인트를 선택합니다.
- Blob 서비스 엔드포인트 URL을 복사하여 저장합니다.
- 예:
https://intunelogs.blob.core.windows.net/
- 예:
Microsoft Intune 진단 설정 구성
- Microsoft Intune 관리 센터에 로그인합니다.
- 보고서 > 진단 설정을 선택합니다.
- 진단 설정 추가를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 진단 설정 이름: 설명이 포함된 이름 (예:
export-to-secops)을 입력합니다. - 로그 섹션에서 다음 카테고리를 선택합니다.
- OperationalLogs
- DeviceComplianceOrg
- 기기
- 대상 세부정보 섹션에서 스토리지 계정에 보관처리 체크박스를 선택합니다.
- 구독: 스토리지 계정이 포함된 구독을 선택합니다.
- 스토리지 계정: 이전에 만든 스토리지 계정을 선택합니다.
- 진단 설정 이름: 설명이 포함된 이름 (예:
저장을 클릭합니다.
Blob Storage에서 Microsoft Intune 로그를 수집하도록 Google SecOps에서 피드 구성
- SIEM 설정 > 피드로 이동합니다.
- 새 피드 추가를 클릭합니다.
- 다음 페이지에서 단일 피드 구성을 클릭합니다.
- 피드 이름 필드에 피드 이름을 입력합니다(예:
Microsoft Intune Blob Storage). - 소스 유형으로 Microsoft Azure Blob Storage V2를 선택합니다.
- 로그 유형으로 Microsoft Intune을 선택합니다.
- 다음을 클릭합니다.
다음 입력 파라미터의 값을 지정합니다.
Azure URI: 컨테이너 경로가 포함된 Blob 서비스 엔드포인트 URL을 입력합니다. 각 로그 카테고리에 대해 별도의 피드를 만듭니다.
운영 로그의 경우:
https://<storage-account>.blob.core.windows.net/insights-logs-operationallogs/기기 규정 준수 조직 로그:
https://<storage-account>.blob.core.windows.net/insights-logs-devicecomplianceorg/기기:
https://<storage-account>.blob.core.windows.net/insights-logs-devices/
<storage-account>을 Azure 스토리지 계정 이름으로 바꿉니다.- 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
- 삭제 안함: 전송 후 파일을 삭제하지 않습니다.
- 전송된 파일 삭제: 전송이 완료되면 파일을 삭제합니다.
- 전송된 파일 및 빈 디렉터리 삭제: 전송이 완료된 후 파일과 빈 디렉터리를 삭제합니다.
- 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
- 공유 키: 스토리지 계정의 공유 액세스 키 값을 입력합니다.
- 애셋 네임스페이스: 애셋 네임스페이스입니다.
- 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
다음을 클릭합니다.
확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.
1~10단계를 반복하여 각 Intune 로그 카테고리 컨테이너에 대한 피드를 추가로 만듭니다.
Azure Storage 방화벽 구성 (사용 설정된 경우)
Azure Storage 계정에서 방화벽을 사용하는 경우 Google SecOps IP 범위를 추가해야 합니다.
- Azure 포털에서 스토리지 계정으로 이동합니다.
- 보안 + 네트워킹에서 네트워킹을 선택합니다.
- 방화벽 및 가상 네트워크에서 선택한 가상 네트워크 및 IP 주소에서 사용 설정됨을 선택합니다.
- 방화벽 섹션의 IP 주소 범위에서 + IP 범위 추가를 클릭합니다.
- 각 Google SecOps IP 범위를 CIDR 표기법으로 추가합니다.
- IP 허용 목록 문서를 참고하세요.
- 또는 피드 관리 API를 사용하여 프로그래매틱 방식으로 가져옵니다.
저장을 클릭합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 로직 |
|---|---|---|
AADDeviceId_label |
additional.fields |
병합됨 |
AADTenantId_label |
additional.fields |
병합됨 |
ComplianceState_label |
additional.fields |
병합됨 |
DeviceHealthThreatLevel_loc_label |
additional.fields |
병합됨 |
EnrollmentType_label |
additional.fields |
병합됨 |
FailureCategory_label |
additional.fields |
병합됨 |
FailureReason_label |
additional.fields |
병합됨 |
InGracePeriodUntil_label |
additional.fields |
병합됨 |
IntuneAccountId_label |
additional.fields |
병합됨 |
IntuneDeviceId_label |
additional.fields |
병합됨 |
IntuneUserId_label |
additional.fields |
병합됨 |
LastContact_label |
additional.fields |
병합됨 |
ManagementAgents_label |
additional.fields |
병합됨 |
ManagementAgents_loc_label |
additional.fields |
병합됨 |
MessageId_label |
additional.fields |
병합됨 |
Os_label |
additional.fields |
병합됨 |
RetireAfterDatetime_label |
additional.fields |
병합됨 |
ScaleUnit_label |
additional.fields |
병합됨 |
activityOperationType_label |
additional.fields |
병합됨 |
activityResult_label |
additional.fields |
병합됨 |
category_label |
additional.fields |
병합됨 |
componentName_label |
additional.fields |
병합됨 |
correlationId_label |
additional.fields |
병합됨 |
current_perm |
additional.fields |
병합됨 |
displayName_label |
additional.fields |
병합됨 |
id_label |
additional.fields |
병합됨 |
old_label |
additional.fields |
병합됨 |
resultType_label |
additional.fields |
병합됨 |
start_time_utc |
additional.fields |
병합됨 |
temp_label |
additional.fields |
병합됨 |
tenantId_label |
additional.fields |
병합됨 |
properties.Description |
metadata.description |
직접 매핑됨 |
time |
metadata.event_timestamp |
ISO8601(으)로 파싱됨 |
when |
metadata.event_timestamp |
yyyy-MM-dd HH:mm:ss(으)로 파싱됨 |
event_type |
metadata.event_type |
이름이 변경됨/매핑됨 |
activityType |
metadata.product_event_type |
직접 매핑됨 |
operationName |
metadata.product_event_type |
직접 매핑됨 |
properties.BatchId |
metadata.product_log_id |
직접 매핑됨 |
properties.SessionId |
network.session_id |
직접 매핑됨 |
actor.applicationDisplayName |
principal.application |
직접 매핑됨 |
properties.Actor.Application |
principal.application |
직접 매핑됨 |
properties.DeviceId |
principal.asset.asset_id |
직접 매핑됨 |
_hardware |
principal.asset.hardware |
병합됨 |
properties.DeviceName |
principal.asset.hostname |
직접 매핑됨 |
properties.DeviceId |
principal.asset_id |
직접 매핑됨 |
properties.DeviceName |
principal.hostname |
직접 매핑됨 |
properties.OS |
principal.platform |
직접 매핑됨 |
properties.OSVersion |
principal.platform_version |
직접 매핑됨 |
properties.OsVersion |
principal.platform_version |
직접 매핑됨 |
actor.applicationId |
principal.resource.id |
직접 매핑됨 |
actor_type_label |
principal.user.attribute.labels |
병합됨 |
auditActorType_label |
principal.user.attribute.labels |
병합됨 |
activityOperationType |
principal.user.attribute.roles |
매핑됨: Create → role |
activityType |
principal.user.attribute.roles |
매핑된 값 (총 5개, 예: `Create Windows Autopilot Deployment Profile. WindowsAutopilotD… |
role |
principal.user.attribute.roles |
병합됨 |
properties.UserEmail |
principal.user.email_addresses |
병합됨 |
actor.userId |
principal.user.product_object_id |
직접 매핑됨 |
properties.UserName |
principal.user.user_display_name |
직접 매핑됨 |
actor.userPrincipalName |
principal.user.userid |
직접 매핑됨 |
properties.Actor.UPN |
principal.user.userid |
직접 매핑됨 |
properties.AlertType |
security_result.description |
직접 매핑됨 |
detection_AlertDisplayName |
security_result.detection_fields |
병합됨 |
detection_DeviceDnsDomain |
security_result.detection_fields |
병합됨 |
detection_DeviceHostName |
security_result.detection_fields |
병합됨 |
detection_DeviceNetBiosName |
security_result.detection_fields |
병합됨 |
detection_DeviceOperatingSystem |
security_result.detection_fields |
병합됨 |
detection_OSDescription |
security_result.detection_fields |
병합됨 |
detection_OS_loc |
security_result.detection_fields |
병합됨 |
detection_OperationalLogCategory |
security_result.detection_fields |
병합됨 |
detection_ScenarioName |
security_result.detection_fields |
병합됨 |
detection_UPNSuffix |
security_result.detection_fields |
병합됨 |
detection_UserDisplayName |
security_result.detection_fields |
병합됨 |
detection_application_id |
security_result.detection_fields |
병합됨 |
detection_object_identity |
security_result.detection_fields |
병합됨 |
operationName |
security_result.detection_fields |
매핑됨: Reprovision CloudPCModel → detection_object_identity, Reprovision CloudPCModel… |
application |
target.application |
이름 변경/매핑됨 |
deployment_status |
target.asset.deployment_status |
이름이 변경됨/매핑됨 |
activityType |
target.asset.software |
매핑됨: Patch DeviceConfiguration → software2, Patch DeviceConfiguration → software3… |
software |
target.asset.software |
병합됨 |
software1 |
target.asset.software |
병합됨 |
software2 |
target.asset.software |
병합됨 |
software3 |
target.asset.software |
병합됨 |
software4 |
target.asset.software |
병합됨 |
auditResourceType_label |
target.resource.attribute.labels |
병합됨 |
display_name_label |
target.resource.attribute.labels |
병합됨 |
resources.0.resourceId |
target.resource.id |
직접 매핑됨 |
resources.0.type |
target.resource.name |
직접 매핑됨 |
resource_type |
target.resource.resource_type |
이름이 변경됨/매핑됨 |
operationName |
target.user.email_addresses |
매핑됨: Reprovision CloudPCModel → upn_identity |
upn_identity |
target.user.email_addresses |
매핑됨: ^.+@.+$ → upn_identity |
user_identity |
target.user.email_addresses |
매핑됨: ^.+@.+$ → user_identity |
user_id |
target.user.userid |
직접 매핑됨 |
user_identity |
target.user.userid |
직접 매핑됨 |
| 해당 사항 없음 | metadata.product_name |
상수: AZURE MDM INTUNE |
| 해당 사항 없음 | metadata.vendor_name |
상수: Microsoft |
| 해당 사항 없음 | principal.platform |
상수: MAC |
| 해당 사항 없음 | target.cloud.environment |
상수: MICROSOFT_AZURE |
resources.auditResourceType |
event.idm.read_only_udm.target.resource.attribute.labels |
변경 로그에서 매핑됨 |
resultType", "properties.AADDeviceId", "properties.IntuneDeviceId", "properties.IntuneUserId", "properties.MessageId", "properties.ScaleUnit", and "properties.Os |
additional.fields |
변경 로그에서 매핑됨 |
properties.EnrollmentType" and "properties.FailureReason |
additional.fields |
변경 로그에서 매핑됨 |
properties.OsVersion", "principal.platform_version", and "properties.StartTimeUtc |
additional.fields |
변경 로그에서 매핑됨 |
properties.OperationalLogCategory", "properties.ScenarioName", "properties.UserDisplayName", "properties.UPNSuffix", "properties.DeviceOperatingSystem", "AlertDisplayNameproperties.AlertDisplayName, "properties.DeviceDnsDomain", "properties.DeviceNetBiosName", and "properties.DeviceHostName |
security_result.detection_fields |
변경 로그에서 매핑됨 |
identity" and "user_id |
target.user.userid |
변경 로그에서 매핑됨 |
properties.SerialNumber |
_hardware.serial_number |
변경 로그에서 매핑됨 |
tenantId", "properties.IntuneAccountId", "properties.AADTenantId", "properties.LastContact", "properties.DeviceHealthThreatLevel_loc", "properties.ComplianceState", "properties.InGracePeriodUntil", "properties.RetireAfterDatetime", "properties.ManagementAgents", and "properties.ManagementAgents_loc |
additional.fields |
변경 로그에서 매핑됨 |
properties.OS_loc" and "properties.OSDescription |
security_result.detection_fields |
변경 로그에서 매핑됨 |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.