Collecter les journaux Ivanti Neurons for MDM (anciennement MobileIron)

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Ivanti Neurons for MDM (anciennement MobileIron) dans Google Security Operations à l'aide de BindPlane.

Ivanti Neurons for MDM est une plate-forme de gestion unifiée des points de terminaison (UEM) qui permet aux entreprises de sécuriser et de gérer les appareils mobiles, les applications et les contenus dans les environnements iOS, Android, macOS et Windows. Il offre des fonctionnalités d'enregistrement des appareils, d'application des règles, de surveillance de la conformité, de distribution des applications et de détection des menaces pour la gestion de la mobilité en entreprise.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps.
• Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd.
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
• Accès privilégié à la console d'administration Ivanti Neurons for MDM.

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte Bindplane et faites tourner la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API Ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu l'arrêt le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Profil.
3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation sous Linux

1. Ouvrez un terminal avec des privilèges root ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Autres ressources d'installation

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite le collecteur Bindplane version 1.106.0 ou ultérieure. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Bloc-notes).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MOBILEIRON
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
• Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur.
• Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
• Remplacez <customer_id> par le numéro client réel.
• Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier où la clé du compte de service (option 1) a été enregistrée dans la section Obtenir les identifiants Google SecOps pour l'agent Bindplane.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MOBILEIRON
      raw_log_field: body
      ingestion_labels:
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

1. Exécutez la commande suivante :

   sudo systemctl restart observiq-otel-collector
   

2. Vérifiez que le service est en cours d'exécution :

   sudo systemctl status observiq-otel-collector
   

3. Recherchez les erreurs dans les journaux :

   sudo journalctl -u observiq-otel-collector -f
   

Pour redémarrer l'agent BindPlane sous Windows :

1. Choisissez l'une des options suivantes :

   • Invite de commande ou PowerShell en tant qu'administrateur :

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console Services :
     1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
     2. Recherchez observIQ OpenTelemetry Collector.
     3. Effectuez un clic droit et sélectionnez Redémarrer.

2. Vérifiez que le service est en cours d'exécution :

   sc query observiq-otel-collector
   

3. Recherchez les erreurs dans les journaux :

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurer le transfert syslog Ivanti Neurons for MDM

1. Connectez-vous à la console d'administration Ivanti Neurons for MDM.
2. Accédez à Paramètres > Syslog.
3. Cliquez sur Ajouter pour créer une configuration syslog.
4. Fournissez les informations de configuration suivantes :
   • Hôte : saisissez l'adresse IP de l'hôte de l'agent BindPlane.
   • Port : saisissez 514.
   • Protocole : sélectionnez TCP.
5. Dans la section Types d'événements, sélectionnez les catégories d'événements à transférer :
   • Événements de l'appareil
   • Événements de conformité
   • Événements relatifs à la sécurité
   • Événements d'administration

6. Cliquez sur Enregistrer pour appliquer la configuration syslog.

   Remarque : Vérifiez que l'appliance Ivanti Neurons for MDM peut atteindre l'hôte de l'agent Bindplane sur le port TCP 514. Consultez les journaux de l'agent Bindplane pour vérifier que les messages syslog sont bien reçus.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
COMMAND_label	additional.fields	Fusionné
NI_label	additional.fields	Fusionné
PR_label	additional.fields	Fusionné
RES_label	additional.fields	Fusionné
SHR_label	additional.fields	Fusionné
S_label	additional.fields	Fusionné
SystemType_label	additional.fields	Fusionné
VIRT_label	additional.fields	Fusionné
apache_error_code_label	additional.fields	Fusionné
attempts_label	additional.fields	Fusionné
b_label	additional.fields	Fusionné
bi_label	additional.fields	Fusionné
bo_label	additional.fields	Fusionné
buff_label	additional.fields	Fusionné
cache_label	additional.fields	Fusionné
cpuTIME_label	additional.fields	Fusionné
cpu_percent_label	additional.fields	Fusionné
cs_label	additional.fields	Fusionné
duration_ms_label	additional.fields	Fusionné
error_code_label	additional.fields	Fusionné
free_label	additional.fields	Fusionné
in_label	additional.fields	Fusionné
ip_in_bracket_label	additional.fields	Fusionné
log_year_label	additional.fields	Fusionné
mem_percent_label	additional.fields	Fusionné
module_label	additional.fields	Fusionné
ns_1_label	additional.fields	Fusionné
pctCPU_label	additional.fields	Fusionné
pctMEM_label	additional.fields	Fusionné
product_label	additional.fields	Fusionné
r_label	additional.fields	Fusionné
rss_label	additional.fields	Fusionné
safepoint_ns_1_label	additional.fields	Fusionné
safepoint_ns_2_label	additional.fields	Fusionné
si_label	additional.fields	Fusionné
so_label	additional.fields	Fusionné
st_label	additional.fields	Fusionné
start_label	additional.fields	Fusionné
stat_label	additional.fields	Fusionné
swpd_label	additional.fields	Fusionné
sy_label	additional.fields	Fusionné
t1_label	additional.fields	Fusionné
tag_label	additional.fields	Fusionné
token_id_label	additional.fields	Fusionné
us_label	additional.fields	Fusionné
vsz_label	additional.fields	Fusionné
wa_label	additional.fields	Fusionné
has_target_user	extensions.auth.type	Mappé : true → MACHINE
host	intermediary.asset.hostname	Mappé directement
host	intermediary.hostname	Mappage direct
ip_1	intermediary.ip	Fusionné
desc	metadata.description	Mappage direct
kv_msg	metadata.description	Mappage direct
msg	metadata.description	Mappé directement
date_time	metadata.event_timestamp	Analysé en tant que yyyy-MM-dd--HH-mm-ss
policyViolatedAt	metadata.event_timestamp	Analysé en tant que UNIX_MS
time	metadata.event_timestamp	Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSS+0000
time_1	metadata.event_timestamp	Analysé en tant que UNIX
timestamp	metadata.event_timestamp	Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSSSSS+00:00
ts	metadata.event_timestamp	Analysé en tant que MMM DD HH:mm:ss
action	metadata.event_type	Mappé : Started Session → USER_UNCATEGORIZED
has_resource	metadata.event_type	Mappé : true → USER_RESOURCE_ACCESS
has_target_user	metadata.event_type	Mappé : true → USER_LOGOUT
principal_mid_present	metadata.event_type	Mapped: true → NETWORK_CONNECTION, true → STATUS_UPDATE
msgid	metadata.product_log_id	Mappage direct
version	metadata.product_version	Mappage direct
protocol	network.application_protocol	Mappage direct
protocol_version	network.application_protocol_version	Mappage direct
http_method	network.http.method	Mappage direct
method	network.http.method	Mappage direct
referrer	network.http.referral_url	Mappage direct
url	network.http.referral_url	Mappé directement
http_status	network.http.response_code	Renommé/Mappé
user_agent	network.http.user_agent	Mappage direct
response_size	network.received_bytes	Renommé/Mappé
sessionId	network.session_id	Mappage direct
cipher	network.tls.cipher	Mappage direct
tls_version	network.tls.version	Mappage direct
app_name	principal.application	Mappage direct
hardware	principal.asset.hardware	Fusionné
client_ip	principal.asset.ip	Fusionné
src_ip	principal.asset.ip	Fusionné
platformType	principal.asset.platform_software.platform	Mappé : (?i)Windows → WINDOWS, (?i)(MAC/OS X/IOS) → MAC, (?i)Linux → LINUX
platformType	principal.asset.platform_software.platform_version	Mappage direct
platformVersion	principal.asset.platform_software.platform_version	Mappage direct
id	principal.asset.product_object_id	Mappage direct
client_ip	principal.ip	Fusionné
src_ip	principal.ip	Fusionné
client_port	principal.port	Mappage direct
PID	principal.process.pid	Mappage direct
procid	principal.process.pid	Mappage direct
idle_label	principal.resource.attribute.labels	Fusionné
iowait_label	principal.resource.attribute.labels	Fusionné
nice_label	principal.resource.attribute.labels	Fusionné
steal_label	principal.resource.attribute.labels	Fusionné
system_label	principal.resource.attribute.labels	Fusionné
user_label	principal.resource.attribute.labels	Fusionné
emailAddress	principal.user.email_addresses	Fusionné
firstName	principal.user.first_name	Mappage direct
lastName	principal.user.last_name	Mappage direct
displayName	principal.user.user_display_name	Mappage direct
USER	principal.user.userid	Mappage direct
username	principal.user.userid	Mappage direct
policy_Violated_At	security_result.about.labels	Fusionné
sr_action	security_result.action	Fusionné
category	security_result.category	Fusionné
complianceViolationTypeToReason.BLACKLIST_APPS	security_result.description	Mappage direct
complianceViolationTypeToReason.PC	security_result.description	Mappage direct
complianceViolationTypeToReason.SA	security_result.description	Mappage direct
description	security_result.description	Mappage direct
http_request_label	security_result.detection_fields	Fusionné
run_user_label	security_result.detection_fields	Fusionné
safepoint_type_label	security_result.detection_fields	Fusionné
systemd_user_label	security_result.detection_fields	Fusionné
type_label	security_result.detection_fields	Fusionné
policyViolatedID	security_result.rule_id	Mappé directement
loglevel	security_result.severity	Mappé : (?i)INFO → INFORMATIONAL, (?i)Error → ERROR, (?i)Warning → MEDIUM
loglevel	security_result.severity_details	Mappage direct
summary	security_result.summary	Mappage direct
target_ip	target.asset.ip	Fusionné
target_host	target.hostname	Mappage direct
target_ip	target.ip	Fusionné
target_port	target.port	Mappage direct
command	target.process.command_line	Mappage direct
pid	target.process.pid	Mappage direct
program_name	target.resource.name	Mappage direct
url_1	target.url	Mappage direct
session_user	target.user.userid	Mappage direct
N/A	extensions.auth.type	Constante : MACHINE
N/A	metadata.event_type	Constante : USER_LOGOUT
N/A	metadata.product_name	Constante : Endpoint Manager Mobile
N/A	metadata.vendor_name	Constante : Ivanti
N/A	principal.asset.platform_software.platform	Constante : WINDOWS
N/A	principal.asset.type	Constante : MOBILE
N/A	security_result.severity	Constante : INFORMATIONAL
common_client_id	event.idm.read_only_udm.principal.process.product_specific_process_id	Mappé à partir du journal des modifications
common_client_name	event.idm.read_only_udm.principal.asset.software.name	Mappé à partir du journal des modifications
common_client_version	event.idm.read_only_udm.principal.asset.software.version	Mappé à partir du journal des modifications
ios_ip_address	event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip	Mappé à partir du journal des modifications
common_ip_address	event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip	Mappé à partir du journal des modifications
ios_vpn_ip_address	event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip	Mappé à partir du journal des modifications
common_creation_date	event.idm.read_only_udm.principal.asset.attribute.creation_time	Mappé à partir du journal des modifications
common_current_phone_number	event.idm.read_only_udm.principal.user.phone_numbers	Mappé à partir du journal des modifications
common_home_phone_number	event.idm.read_only_udm.principal.user.phone_numbers	Mappé à partir du journal des modifications
common_id	event.idm.read_only_udm.principal.resource.product_object_id	Mappé à partir du journal des modifications
common_manufacturer	event.idm.read_only_udm.principal.asset.hardware.manufacturer	Mappé à partir du journal des modifications
common_SerialNumber	event.idm.read_only_udm.principal.asset.hardware.serial_number	Mappé à partir du journal des modifications
common_model	event.idm.read_only_udm.principal.asset.hardware.model	Mappé à partir du journal des modifications
common_os_version	event.idm.read_only_udm.principal.platform_version	Mappé à partir du journal des modifications
user_user_id	event.idm.read_only_udm.principal.user.userid	Mappé à partir du journal des modifications
common_uuid	event.idm.read_only_udm.principal.asset_id et event.idm.read_only_udm.principal.asset.asset_id	Mappé à partir du journal des modifications
common_wifi_mac_address	event.idm.read_only_udm.principal.mac	Mappé à partir du journal des modifications
ios_BluetoothMAC	event.idm.read_only_udm.principal.mac	Mappé à partir du journal des modifications
ios_BuildVersion	event.idm.read_only_udm.principal.platform_patch_level	Mappé à partir du journal des modifications
ios_iPhoneUDID	event.idm.read_only_udm.principal.asset.product_object_id	Mappé à partir du journal des modifications
user_display_name	event.idm.read_only_udm.principal.user.user_display_name	Mappé à partir du journal des modifications
user_email_address	event.idm.read_only_udm.principal.user.email_addresses	Mappé à partir du journal des modifications
user_ldap_user_attributes_mail	event.idm.read_only_udm.principal.user.email_addresses	Mappé à partir du journal des modifications
user_first_name	event.idm.read_only_udm.principal.user.first_name	Mappé à partir du journal des modifications
user_last_name	event.idm.read_only_udm.principal.user.last_name	Mappé à partir du journal des modifications
user_last_admin_portal_login_time	event.idm.read_only_udm.principal.user.last_login_time	Mappé à partir du journal des modifications
user_uuid	event.idm.read_only_udm.principal.user.product_object_id	Mappé à partir du journal des modifications
user_ldap_user_object_sid	event.idm.read_only_udm.principal.user.windows_sid	Mappé à partir du journal des modifications
user_ldap_user_attributes_memberOf	event.idm.read_only_udm.principal.user.group_identifiers	Mappé à partir du journal des modifications
user_ldap_groups	event.idm.read_only_udm.principal.user.group_identifiers	Mappé à partir du journal des modifications
common_client_build_date	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
common_compliant	event.idm.read_only_udm.principal.resource.attribute.labels	Mappé à partir du journal des modifications
common_data_protection_enabled	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
common_device_is_compromised	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
ios_DeviceName	event.idm.read_only_udm.principal.asset.attribute.labels	Mappé à partir du journal des modifications
ios_iPhoneVERSION	event.idm.read_only_udm.principal.asset.attribute.labels	Mappé à partir du journal des modifications
ios_iPhonePRODUCT	event.idm.read_only_udm.principal.asset.attribute.labels	Mappé à partir du journal des modifications
ios_ProductName	event.idm.read_only_udm.principal.asset.attribute.labels	Mappé à partir du journal des modifications
user_sam_account_name	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_attr_dn	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_dn	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_principal	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_upn	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_user_attributes_sAMAccountName	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_user_attributes_displayName	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_user_attributes_givenName	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_user_attributes_sn	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
user_ldap_user_attributes_userPrincipalName	event.idm.read_only_udm.principal.user.attribute.labels	Mappé à partir du journal des modifications
common_apns_capable	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_background_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_battery_level	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_blocked	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_cellular_technology	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_device_admin_enabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_device_encrypted	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_lang_country_id	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_language	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_language_id	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_mutual_auth_enabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_locale	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_intune_compliance_azure_device_id	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_intune_compliance_azure_client_status_code	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_intune_compliance_azure_tenant_id	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_mdm_managed	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_miclient_last_connected_at	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_mdm_tos_accepted	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_model_name	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_modified_at	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_processor_architecture	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_quarantined_action	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_quarantined	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_registration_date	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_retired	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_roaming	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_sd_card_encrypted	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_security_state	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_storage_capacity	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_storage_free	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_catalog_ids	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_device_space_ids	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_device_space_path	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_device_space_name	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_mtd_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_mtd_anti_phishing_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_mtd_anti_phishing_vpn_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_ccm_migration_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_auth_only	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_EnhancedLoggingEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_apnsToken	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_osUpdateStatus	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_data_protection	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_DataRoamingEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_PersonalHotspotEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_forceEncryptedBackup	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_HardwareEncryptionCaps	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_iOSBackgroundStatus	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsDeviceLocatorServiceEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsDoNotDisturbInEffect	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_iTunesStoreAccountIsActive	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsDEPEnrolledDevice	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsDEPDevice	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsMDMServiceEnrolledDevice	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsCloudBackupEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsNetworkTethered	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsActivationLockEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_ActivationLockBypassCode	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_it_policy_result	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_PasscodeIsCompliant	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_PasscodeIsCompliantWithProfiles	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_PasscodePresent	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_security_reason_code	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_VoiceRoamingEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_wakeup_status	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsMDMLostModeEnabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_IsMultiUser	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_sim_countOfSims	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_Supervised	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_TimeZone	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_apple_user_enrolled_device	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_TrustedDevice	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_ddm_enabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ios_ddm_capabilities_available	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
common_owner	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_account_control_account_disabled	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_account_control_password_expired	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_account_control_locked_out	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_attributes_distinguishedName	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_attributes_objectSid	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_attributes_cn	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
user_ldap_user_attributes_userAccountControl	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
actorId	event.idm.read_only_udm.principal.user.userid	Mappé à partir du journal des modifications
actorName	event.idm.read_only_udm.principal.user.user_display_name	Mappé à partir du journal des modifications
actorUid	event.idm.read_only_udm.principal.user.email_addresses	Mappé à partir du journal des modifications
actorRoles	event.idm.read_only_udm.principal.user.attribute.roles	Mappé à partir du journal des modifications
resultStatus	event.idm.read_only_udm.security_result.action	Mappé à partir du journal des modifications
resultStatus	event.idm.read_only_udm.security_result.action_details	Mappé à partir du journal des modifications
actionType	event.idm.read_only_udm.metadata.product_event_type	Mappé à partir du journal des modifications
entityName	event.idm.read_only_udm.target.resource.name	Mappé à partir du journal des modifications
entityId	event.idm.read_only_udm.target.resource.product_object_id	Mappé à partir du journal des modifications
entityType	event.idm.read_only_udm.target.resource.resource_subtype	Mappé à partir du journal des modifications
entityGroup	event.idm.read_only_udm.target.user.group_identifiers	Mappé à partir du journal des modifications
entityAuditId	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
details	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
entityDeleted	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
expiresAt	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
publishedAt	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
publisherId	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
tenantUuid	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
log_source	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
time	event.idm.read_only_udm.security_result.first_discovered_time	Mappé à partir du journal des modifications
host	event.idm.read_only_udm.intermediary.hostname	Mappé à partir du journal des modifications
host	event.idm.read_only_udm.intermediary.asset.hostname	Mappé à partir du journal des modifications
product	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ip_in_bracket	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.