Ivanti Neurons für MDM-Logs (früher MobileIron) erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Ivanti Neurons für MDM-Logs (früher MobileIron) mit Bindplane in Google Security Operations aufnehmen.

Ivanti Neurons for MDM ist eine Unified Endpoint Management-Plattform (UEM), mit der Unternehmen Mobilgeräte, Anwendungen und Inhalte in iOS-, Android-, macOS- und Windows-Umgebungen schützen und verwalten können. Sie bietet Funktionen für die Geräteregistrierung, die Erzwingung von Richtlinien, die Compliance-Überwachung, die App-Bereitstellung und die Erkennung von Bedrohungen für das Enterprise Mobility Management.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Ein Windows 2016- oder höherer oder Linux-Host mit systemd.
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Sie benötigen privilegierten Zugriff auf die Ivanti Neurons für MDM-Admin-Konsole.

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
    • Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

  1. Greifen Sie auf die Konfigurationsdatei zu:

    • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MOBILEIRON
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
  • Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
  • Ersetzen Sie /path/to/ingestion-authentication-file.json durch den Dateipfad, unter dem die Authentifizierungsdatei im Schritt Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen gespeichert wurde.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agent unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Prüfen Sie die Logs auf Fehler:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Services Console:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Prüfen Sie die Logs auf Fehler:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für Ivanti Neurons für MDM konfigurieren

  1. Melden Sie sich in der Admin-Konsole von Ivanti Neurons für MDM an.
  2. Rufen Sie die Einstellungen > Syslog auf.
  3. Klicken Sie auf Hinzufügen, um eine neue Syslog-Konfiguration zu erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
    • Port: Geben Sie 514 ein.
    • Protokoll: Wählen Sie TCP aus.
  5. Wählen Sie im Bereich Ereignistypen die weiterzuleitenden Ereigniskategorien aus:
    • Geräteereignisse
    • Compliance-Ereignisse
    • Sicherheitshinweise
    • Administratorereignisse

  6. Klicken Sie auf Speichern, um die Syslog-Konfiguration anzuwenden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
COMMAND_label additional.fields Zusammengeführt
NI_label additional.fields Zusammengeführt
PR_label additional.fields Zusammengeführt
RES_label additional.fields Zusammengeführt
SHR_label additional.fields Zusammengeführt
S_label additional.fields Zusammengeführt
SystemType_label additional.fields Zusammengeführt
VIRT_label additional.fields Zusammengeführt
apache_error_code_label additional.fields Zusammengeführt
attempts_label additional.fields Zusammengeführt
b_label additional.fields Zusammengeführt
bi_label additional.fields Zusammengeführt
bo_label additional.fields Zusammengeführt
buff_label additional.fields Zusammengeführt
cache_label additional.fields Zusammengeführt
cpuTIME_label additional.fields Zusammengeführt
cpu_percent_label additional.fields Zusammengeführt
cs_label additional.fields Zusammengeführt
duration_ms_label additional.fields Zusammengeführt
error_code_label additional.fields Zusammengeführt
free_label additional.fields Zusammengeführt
in_label additional.fields Zusammengeführt
ip_in_bracket_label additional.fields Zusammengeführt
log_year_label additional.fields Zusammengeführt
mem_percent_label additional.fields Zusammengeführt
module_label additional.fields Zusammengeführt
ns_1_label additional.fields Zusammengeführt
pctCPU_label additional.fields Zusammengeführt
pctMEM_label additional.fields Zusammengeführt
product_label additional.fields Zusammengeführt
r_label additional.fields Zusammengeführt
rss_label additional.fields Zusammengeführt
safepoint_ns_1_label additional.fields Zusammengeführt
safepoint_ns_2_label additional.fields Zusammengeführt
si_label additional.fields Zusammengeführt
so_label additional.fields Zusammengeführt
st_label additional.fields Zusammengeführt
start_label additional.fields Zusammengeführt
stat_label additional.fields Zusammengeführt
swpd_label additional.fields Zusammengeführt
sy_label additional.fields Zusammengeführt
t1_label additional.fields Zusammengeführt
tag_label additional.fields Zusammengeführt
token_id_label additional.fields Zusammengeführt
us_label additional.fields Zusammengeführt
vsz_label additional.fields Zusammengeführt
wa_label additional.fields Zusammengeführt
has_target_user extensions.auth.type Zugeordnet: true → MACHINE
host intermediary.asset.hostname Direkt zugeordnet
host intermediary.hostname Direkt zugeordnet
ip_1 intermediary.ip Zusammengeführt
desc metadata.description Direkt zugeordnet
kv_msg metadata.description Direkt zugeordnet
msg metadata.description Direkt zugeordnet
date_time metadata.event_timestamp Als yyyy-MM-dd--HH-mm-ss geparst
policyViolatedAt metadata.event_timestamp Als UNIX_MS geparst
time metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ss.SSS+0000 geparst
time_1 metadata.event_timestamp Als UNIX geparst
timestamp metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ss.SSSSSS+00:00 geparst
ts metadata.event_timestamp Als MMM DD HH:mm:ss geparst
action metadata.event_type Zugeordnet: Started Session → USER_UNCATEGORIZED
has_resource metadata.event_type Zugeordnet: true → USER_RESOURCE_ACCESS
has_target_user metadata.event_type Zugeordnet: true → USER_LOGOUT
principal_mid_present metadata.event_type Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
msgid metadata.product_log_id Direkt zugeordnet
version metadata.product_version Direkt zugeordnet
protocol network.application_protocol Direkt zugeordnet
protocol_version network.application_protocol_version Direkt zugeordnet
http_method network.http.method Direkt zugeordnet
method network.http.method Direkt zugeordnet
referrer network.http.referral_url Direkt zugeordnet
url network.http.referral_url Direkt zugeordnet
http_status network.http.response_code Umbenannt/zugeordnet
user_agent network.http.user_agent Direkt zugeordnet
response_size network.received_bytes Umbenannt/zugeordnet
sessionId network.session_id Direkt zugeordnet
cipher network.tls.cipher Direkt zugeordnet
tls_version network.tls.version Direkt zugeordnet
app_name principal.application Direkt zugeordnet
hardware principal.asset.hardware Zusammengeführt
client_ip principal.asset.ip Zusammengeführt
src_ip principal.asset.ip Zusammengeführt
platformType principal.asset.platform_software.platform Zugeordnet: (?i)Windows → WINDOWS, (?i)(MAC/OS X/IOS) → MAC, (?i)Linux → LINUX
platformType principal.asset.platform_software.platform_version Direkt zugeordnet
platformVersion principal.asset.platform_software.platform_version Direkt zugeordnet
id principal.asset.product_object_id Direkt zugeordnet
client_ip principal.ip Zusammengeführt
src_ip principal.ip Zusammengeführt
client_port principal.port Direkt zugeordnet
PID principal.process.pid Direkt zugeordnet
procid principal.process.pid Direkt zugeordnet
idle_label principal.resource.attribute.labels Zusammengeführt
iowait_label principal.resource.attribute.labels Zusammengeführt
nice_label principal.resource.attribute.labels Zusammengeführt
steal_label principal.resource.attribute.labels Zusammengeführt
system_label principal.resource.attribute.labels Zusammengeführt
user_label principal.resource.attribute.labels Zusammengeführt
emailAddress principal.user.email_addresses Zusammengeführt
firstName principal.user.first_name Direkt zugeordnet
lastName principal.user.last_name Direkt zugeordnet
displayName principal.user.user_display_name Direkt zugeordnet
USER principal.user.userid Direkt zugeordnet
username principal.user.userid Direkt zugeordnet
policy_Violated_At security_result.about.labels Zusammengeführt
sr_action security_result.action Zusammengeführt
category security_result.category Zusammengeführt
complianceViolationTypeToReason.BLACKLIST_APPS security_result.description Direkt zugeordnet
complianceViolationTypeToReason.PC security_result.description Direkt zugeordnet
complianceViolationTypeToReason.SA security_result.description Direkt zugeordnet
description security_result.description Direkt zugeordnet
http_request_label security_result.detection_fields Zusammengeführt
run_user_label security_result.detection_fields Zusammengeführt
safepoint_type_label security_result.detection_fields Zusammengeführt
systemd_user_label security_result.detection_fields Zusammengeführt
type_label security_result.detection_fields Zusammengeführt
policyViolatedID security_result.rule_id Direkt zugeordnet
loglevel security_result.severity Zugeordnet: (?i)INFO → INFORMATIONAL, (?i)Error → ERROR, (?i)Warning → MEDIUM
loglevel security_result.severity_details Direkt zugeordnet
summary security_result.summary Direkt zugeordnet
target_ip target.asset.ip Zusammengeführt
target_host target.hostname Direkt zugeordnet
target_ip target.ip Zusammengeführt
target_port target.port Direkt zugeordnet
command target.process.command_line Direkt zugeordnet
pid target.process.pid Direkt zugeordnet
program_name target.resource.name Direkt zugeordnet
url_1 target.url Direkt zugeordnet
session_user target.user.userid Direkt zugeordnet
– extensions.auth.type Konstante: MACHINE
– metadata.event_type Konstante: USER_LOGOUT
– metadata.product_name Konstante: Endpoint Manager Mobile
– metadata.vendor_name Konstante: Ivanti
– principal.asset.platform_software.platform Konstante: WINDOWS
– principal.asset.type Konstante: MOBILE
– security_result.severity Konstante: INFORMATIONAL
common_client_id event.idm.read_only_udm.principal.process.product_specific_process_id Aus Änderungsprotokoll zugeordnet
common_client_name event.idm.read_only_udm.principal.asset.software.name Aus dem Änderungsprotokoll zugeordnet
common_client_version event.idm.read_only_udm.principal.asset.software.version Aus dem Änderungsprotokoll zugeordnet
ios_ip_address event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
common_ip_address event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
ios_vpn_ip_address event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
common_creation_date event.idm.read_only_udm.principal.asset.attribute.creation_time Aus dem Änderungsprotokoll zugeordnet
common_current_phone_number event.idm.read_only_udm.principal.user.phone_numbers Aus dem Änderungsprotokoll zugeordnet
common_home_phone_number event.idm.read_only_udm.principal.user.phone_numbers Aus dem Änderungsprotokoll zugeordnet
common_id event.idm.read_only_udm.principal.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
common_manufacturer event.idm.read_only_udm.principal.asset.hardware.manufacturer Aus dem Änderungsprotokoll zugeordnet
common_SerialNumber event.idm.read_only_udm.principal.asset.hardware.serial_number Aus dem Änderungsprotokoll zugeordnet
common_model event.idm.read_only_udm.principal.asset.hardware.model Aus dem Änderungsprotokoll zugeordnet
common_os_version event.idm.read_only_udm.principal.platform_version Aus dem Änderungsprotokoll zugeordnet
user_user_id event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
common_uuid event.idm.read_only_udm.principal.asset_id und event.idm.read_only_udm.principal.asset.asset_id Aus dem Änderungsprotokoll zugeordnet
common_wifi_mac_address event.idm.read_only_udm.principal.mac Aus dem Änderungsprotokoll zugeordnet
ios_BluetoothMAC event.idm.read_only_udm.principal.mac Aus dem Änderungsprotokoll zugeordnet
ios_BuildVersion event.idm.read_only_udm.principal.platform_patch_level Aus dem Änderungsprotokoll zugeordnet
ios_iPhoneUDID event.idm.read_only_udm.principal.asset.product_object_id Aus dem Änderungsprotokoll zugeordnet
user_display_name event.idm.read_only_udm.principal.user.user_display_name Aus dem Änderungsprotokoll zugeordnet
user_email_address event.idm.read_only_udm.principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_mail event.idm.read_only_udm.principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
user_first_name event.idm.read_only_udm.principal.user.first_name Aus dem Änderungsprotokoll zugeordnet
user_last_name event.idm.read_only_udm.principal.user.last_name Aus dem Änderungsprotokoll zugeordnet
user_last_admin_portal_login_time event.idm.read_only_udm.principal.user.last_login_time Aus dem Änderungsprotokoll zugeordnet
user_uuid event.idm.read_only_udm.principal.user.product_object_id Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_object_sid event.idm.read_only_udm.principal.user.windows_sid Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_memberOf event.idm.read_only_udm.principal.user.group_identifiers Aus dem Änderungsprotokoll zugeordnet
user_ldap_groups event.idm.read_only_udm.principal.user.group_identifiers Aus dem Änderungsprotokoll zugeordnet
common_client_build_date event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
common_compliant event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
common_data_protection_enabled event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
common_device_is_compromised event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
ios_DeviceName event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
ios_iPhoneVERSION event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
ios_iPhonePRODUCT event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
ios_ProductName event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_sam_account_name event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_attr_dn event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_dn event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_principal event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_upn event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_sAMAccountName event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_displayName event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_givenName event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_sn event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_userPrincipalName event.idm.read_only_udm.principal.user.attribute.labels Aus dem Änderungsprotokoll zugeordnet
common_apns_capable event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_background_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_battery_level event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_blocked event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_cellular_technology event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_device_admin_enabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_device_encrypted event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_lang_country_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_language event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_language_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_mutual_auth_enabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_locale event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_intune_compliance_azure_device_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_intune_compliance_azure_client_status_code event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_intune_compliance_azure_tenant_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_mdm_managed event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_miclient_last_connected_at event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_mdm_tos_accepted event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_model_name event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_modified_at event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_processor_architecture event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_quarantined_action event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_quarantined event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_registration_date event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_retired event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_roaming event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_sd_card_encrypted event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_security_state event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_storage_capacity event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_storage_free event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_catalog_ids event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_device_space_ids event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_device_space_path event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_device_space_name event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_mtd_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_mtd_anti_phishing_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_mtd_anti_phishing_vpn_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_ccm_migration_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_auth_only event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_EnhancedLoggingEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_apnsToken event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_osUpdateStatus event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_data_protection event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_DataRoamingEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_PersonalHotspotEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_forceEncryptedBackup event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_HardwareEncryptionCaps event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_iOSBackgroundStatus event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsDeviceLocatorServiceEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsDoNotDisturbInEffect event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_iTunesStoreAccountIsActive event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsDEPEnrolledDevice event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsDEPDevice event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsMDMServiceEnrolledDevice event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsCloudBackupEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsNetworkTethered event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsActivationLockEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_ActivationLockBypassCode event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_it_policy_result event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_PasscodeIsCompliant event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_PasscodeIsCompliantWithProfiles event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_PasscodePresent event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_security_reason_code event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_VoiceRoamingEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_wakeup_status event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsMDMLostModeEnabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_IsMultiUser event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_sim_countOfSims event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_Supervised event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_TimeZone event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_apple_user_enrolled_device event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_TrustedDevice event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_ddm_enabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ios_ddm_capabilities_available event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
common_owner event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_account_control_account_disabled event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_account_control_password_expired event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_account_control_locked_out event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_distinguishedName event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_objectSid event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_cn event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
user_ldap_user_attributes_userAccountControl event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
actorId event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
actorName event.idm.read_only_udm.principal.user.user_display_name Aus dem Änderungsprotokoll zugeordnet
actorUid event.idm.read_only_udm.principal.user.email_addresses Aus dem Änderungsprotokoll zugeordnet
actorRoles event.idm.read_only_udm.principal.user.attribute.roles Aus dem Änderungsprotokoll zugeordnet
resultStatus event.idm.read_only_udm.security_result.action Aus dem Änderungsprotokoll zugeordnet
resultStatus event.idm.read_only_udm.security_result.action_details Aus dem Änderungsprotokoll zugeordnet
actionType event.idm.read_only_udm.metadata.product_event_type Aus dem Änderungsprotokoll zugeordnet
entityName event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
entityId event.idm.read_only_udm.target.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
entityType event.idm.read_only_udm.target.resource.resource_subtype Aus dem Änderungsprotokoll zugeordnet
entityGroup event.idm.read_only_udm.target.user.group_identifiers Aus dem Änderungsprotokoll zugeordnet
entityAuditId event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
details event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
entityDeleted event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
expiresAt event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
publishedAt event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
publisherId event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
tenantUuid event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
log_source event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
time event.idm.read_only_udm.security_result.first_discovered_time Aus dem Änderungsprotokoll zugeordnet
host event.idm.read_only_udm.intermediary.hostname Aus dem Änderungsprotokoll zugeordnet
host event.idm.read_only_udm.intermediary.asset.hostname Aus dem Änderungsprotokoll zugeordnet
product event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ip_in_bracket event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten