איסוף יומנים של Ivanti Neurons for MDM (לשעבר MobileIron)

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Ivanti Neurons for MDM (לשעבר MobileIron) ב-Google Security Operations באמצעות Bindplane.

‫Ivanti Neurons for MDM היא פלטפורמה מאוחדת לניהול נקודות קצה (UEM) שמאפשרת לארגונים לאבטח ולנהל מכשירים ניידים, אפליקציות ותוכן בסביבות iOS,‏ Android,‏ macOS ו-Windows. הוא מספק יכולות של רישום מכשירים, אכיפת מדיניות, מעקב אחרי תאימות, הפצת אפליקציות וזיהוי איומים לניהול ניידות ארגונית.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps.
• מארח Windows 2016 ואילך או מארח Linux עם systemd.
• אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למסוף הניהול של Ivanti Neurons for MDM.

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת Syslog ושליחה ל-Google SecOps

1. ניגשים לקובץ התצורה:

   • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
   • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<customer_id>'
       endpoint: chronicle.googleapis.com
       log_type: MOBILEIRON
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
• מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את <customer_id> במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MOBILEIRON
      raw_log_field: body
      ingestion_labels:
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ב-Ivanti Neurons for MDM

1. נכנסים למסוף Admin של Ivanti Neurons for MDM.
2. עוברים אל הגדרות > Syslog.
3. כדי ליצור הגדרת syslog חדשה, לוחצים על Add (הוספה).
4. מזינים את פרטי ההגדרה הבאים:
   • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות TCP.
5. בקטע Event Types, בוחרים את קטגוריות האירועים להעברה:
   • אירועים במכשיר
   • אירועים שקשורים לתאימות
   • אירועי אבטחה
   • אירועי אדמין

6. לוחצים על שמירה כדי להחיל את ההגדרה של syslog.

   הערה: צריך לוודא שלמכשיר Ivanti Neurons for MDM יש גישה למארח של סוכן Bindplane ביציאת TCP‏ 514. בודקים את יומני הסוכן של Bindplane כדי לוודא שהודעות syslog מתקבלות.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
COMMAND_label	additional.fields	ממוזג
NI_label	additional.fields	ממוזג
PR_label	additional.fields	ממוזג
RES_label	additional.fields	ממוזג
SHR_label	additional.fields	ממוזג
S_label	additional.fields	ממוזג
SystemType_label	additional.fields	ממוזג
VIRT_label	additional.fields	ממוזג
apache_error_code_label	additional.fields	ממוזג
attempts_label	additional.fields	ממוזג
b_label	additional.fields	ממוזג
bi_label	additional.fields	ממוזג
bo_label	additional.fields	ממוזג
buff_label	additional.fields	ממוזג
cache_label	additional.fields	ממוזג
cpuTIME_label	additional.fields	ממוזג
cpu_percent_label	additional.fields	ממוזג
cs_label	additional.fields	ממוזג
duration_ms_label	additional.fields	ממוזג
error_code_label	additional.fields	ממוזג
free_label	additional.fields	ממוזג
in_label	additional.fields	ממוזג
ip_in_bracket_label	additional.fields	ממוזג
log_year_label	additional.fields	ממוזג
mem_percent_label	additional.fields	ממוזג
module_label	additional.fields	ממוזג
ns_1_label	additional.fields	ממוזג
pctCPU_label	additional.fields	ממוזג
pctMEM_label	additional.fields	ממוזג
product_label	additional.fields	ממוזג
r_label	additional.fields	ממוזג
rss_label	additional.fields	ממוזג
safepoint_ns_1_label	additional.fields	ממוזג
safepoint_ns_2_label	additional.fields	ממוזג
si_label	additional.fields	ממוזג
so_label	additional.fields	ממוזג
st_label	additional.fields	ממוזג
start_label	additional.fields	ממוזג
stat_label	additional.fields	ממוזג
swpd_label	additional.fields	ממוזג
sy_label	additional.fields	ממוזג
t1_label	additional.fields	ממוזג
tag_label	additional.fields	ממוזג
token_id_label	additional.fields	ממוזג
us_label	additional.fields	ממוזג
vsz_label	additional.fields	ממוזג
wa_label	additional.fields	ממוזג
has_target_user	extensions.auth.type	מופה: true ← MACHINE
host	intermediary.asset.hostname	מיפוי ישיר
host	intermediary.hostname	מיפוי ישיר
ip_1	intermediary.ip	ממוזג
desc	metadata.description	מיפוי ישיר
kv_msg	metadata.description	מיפוי ישיר
msg	metadata.description	מיפוי ישיר
date_time	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-dd--HH-mm-ss
policyViolatedAt	metadata.event_timestamp	ניתוח הכתובות שברשימה: UNIX_MS
time	metadata.event_timestamp	נותח בתור yyyy-MM-ddTHH:mm:ss.SSS+0000
time_1	metadata.event_timestamp	ניתוח הכתובות שברשימה: UNIX
timestamp	metadata.event_timestamp	נותח בתור yyyy-MM-ddTHH:mm:ss.SSSSSS+00:00
ts	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM DD HH:mm:ss
action	metadata.event_type	מיפוי: Started Session → USER_UNCATEGORIZED
has_resource	metadata.event_type	מיפוי: true → USER_RESOURCE_ACCESS
has_target_user	metadata.event_type	מיפוי: true → USER_LOGOUT
principal_mid_present	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, true ← STATUS_UPDATE
msgid	metadata.product_log_id	מיפוי ישיר
version	metadata.product_version	מיפוי ישיר
protocol	network.application_protocol	מיפוי ישיר
protocol_version	network.application_protocol_version	מיפוי ישיר
http_method	network.http.method	מיפוי ישיר
method	network.http.method	מיפוי ישיר
referrer	network.http.referral_url	מיפוי ישיר
url	network.http.referral_url	מיפוי ישיר
http_status	network.http.response_code	שם שונה/מיפוי
user_agent	network.http.user_agent	מיפוי ישיר
response_size	network.received_bytes	שם שונה/מיפוי
sessionId	network.session_id	מיפוי ישיר
cipher	network.tls.cipher	מיפוי ישיר
tls_version	network.tls.version	מיפוי ישיר
app_name	principal.application	מיפוי ישיר
hardware	principal.asset.hardware	ממוזג
client_ip	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
platformType	principal.asset.platform_software.platform	מופו: (?i)Windows ← WINDOWS, (?i)(MAC/OS X/IOS) ← MAC, (?i)Linux ← LINUX
platformType	principal.asset.platform_software.platform_version	מיפוי ישיר
platformVersion	principal.asset.platform_software.platform_version	מיפוי ישיר
id	principal.asset.product_object_id	מיפוי ישיר
client_ip	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
client_port	principal.port	מיפוי ישיר
PID	principal.process.pid	מיפוי ישיר
procid	principal.process.pid	מיפוי ישיר
idle_label	principal.resource.attribute.labels	ממוזג
iowait_label	principal.resource.attribute.labels	ממוזג
nice_label	principal.resource.attribute.labels	ממוזג
steal_label	principal.resource.attribute.labels	ממוזג
system_label	principal.resource.attribute.labels	ממוזג
user_label	principal.resource.attribute.labels	ממוזג
emailAddress	principal.user.email_addresses	ממוזג
firstName	principal.user.first_name	מיפוי ישיר
lastName	principal.user.last_name	מיפוי ישיר
displayName	principal.user.user_display_name	מיפוי ישיר
USER	principal.user.userid	מיפוי ישיר
username	principal.user.userid	מיפוי ישיר
policy_Violated_At	security_result.about.labels	ממוזג
sr_action	security_result.action	ממוזג
category	security_result.category	ממוזג
complianceViolationTypeToReason.BLACKLIST_APPS	security_result.description	מיפוי ישיר
complianceViolationTypeToReason.PC	security_result.description	מיפוי ישיר
complianceViolationTypeToReason.SA	security_result.description	מיפוי ישיר
description	security_result.description	מיפוי ישיר
http_request_label	security_result.detection_fields	ממוזג
run_user_label	security_result.detection_fields	ממוזג
safepoint_type_label	security_result.detection_fields	ממוזג
systemd_user_label	security_result.detection_fields	ממוזג
type_label	security_result.detection_fields	ממוזג
policyViolatedID	security_result.rule_id	מיפוי ישיר
loglevel	security_result.severity	מופו: (?i)INFO ← INFORMATIONAL, (?i)Error ← ERROR, (?i)Warning ← MEDIUM
loglevel	security_result.severity_details	מיפוי ישיר
summary	security_result.summary	מיפוי ישיר
target_ip	target.asset.ip	ממוזג
target_host	target.hostname	מיפוי ישיר
target_ip	target.ip	ממוזג
target_port	target.port	מיפוי ישיר
command	target.process.command_line	מיפוי ישיר
pid	target.process.pid	מיפוי ישיר
program_name	target.resource.name	מיפוי ישיר
url_1	target.url	מיפוי ישיר
session_user	target.user.userid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: MACHINE
לא רלוונטי	metadata.event_type	קבוע: USER_LOGOUT
לא רלוונטי	metadata.product_name	קבוע: Endpoint Manager Mobile
לא רלוונטי	metadata.vendor_name	קבוע: Ivanti
לא רלוונטי	principal.asset.platform_software.platform	קבוע: WINDOWS
לא רלוונטי	principal.asset.type	קבוע: MOBILE
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
common_client_id	event.idm.read_only_udm.principal.process.product_specific_process_id	מופה מיומן השינויים
common_client_name	event.idm.read_only_udm.principal.asset.software.name	מופה מיומן השינויים
common_client_version	event.idm.read_only_udm.principal.asset.software.version	מופה מיומן השינויים
ios_ip_address	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
common_ip_address	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
ios_vpn_ip_address	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
common_creation_date	event.idm.read_only_udm.principal.asset.attribute.creation_time	מופה מיומן השינויים
common_current_phone_number	event.idm.read_only_udm.principal.user.phone_numbers	מופה מיומן השינויים
common_home_phone_number	event.idm.read_only_udm.principal.user.phone_numbers	מופה מיומן השינויים
common_id	event.idm.read_only_udm.principal.resource.product_object_id	מופה מיומן השינויים
common_manufacturer	event.idm.read_only_udm.principal.asset.hardware.manufacturer	מופה מיומן השינויים
common_SerialNumber	event.idm.read_only_udm.principal.asset.hardware.serial_number	מופה מיומן השינויים
common_model	event.idm.read_only_udm.principal.asset.hardware.model	מופה מיומן השינויים
common_os_version	event.idm.read_only_udm.principal.platform_version	מופה מיומן השינויים
user_user_id	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
common_uuid	event.idm.read_only_udm.principal.asset_id וגם event.idm.read_only_udm.principal.asset.asset_id	מופה מיומן השינויים
common_wifi_mac_address	event.idm.read_only_udm.principal.mac	מופה מיומן השינויים
ios_BluetoothMAC	event.idm.read_only_udm.principal.mac	מופה מיומן השינויים
ios_BuildVersion	event.idm.read_only_udm.principal.platform_patch_level	מופה מיומן השינויים
ios_iPhoneUDID	event.idm.read_only_udm.principal.asset.product_object_id	מופה מיומן השינויים
user_display_name	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
user_email_address	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
user_ldap_user_attributes_mail	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
user_first_name	event.idm.read_only_udm.principal.user.first_name	מופה מיומן השינויים
user_last_name	event.idm.read_only_udm.principal.user.last_name	מופה מיומן השינויים
user_last_admin_portal_login_time	event.idm.read_only_udm.principal.user.last_login_time	מופה מיומן השינויים
user_uuid	event.idm.read_only_udm.principal.user.product_object_id	מופה מיומן השינויים
user_ldap_user_object_sid	event.idm.read_only_udm.principal.user.windows_sid	מופה מיומן השינויים
user_ldap_user_attributes_memberOf	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
user_ldap_groups	event.idm.read_only_udm.principal.user.group_identifiers	מופה מיומן השינויים
common_client_build_date	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
common_compliant	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
common_data_protection_enabled	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
common_device_is_compromised	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
ios_DeviceName	event.idm.read_only_udm.principal.asset.attribute.labels	מופה מיומן השינויים
ios_iPhoneVERSION	event.idm.read_only_udm.principal.asset.attribute.labels	מופה מיומן השינויים
ios_iPhonePRODUCT	event.idm.read_only_udm.principal.asset.attribute.labels	מופה מיומן השינויים
ios_ProductName	event.idm.read_only_udm.principal.asset.attribute.labels	מופה מיומן השינויים
user_sam_account_name	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_attr_dn	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_dn	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_principal	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_upn	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_user_attributes_sAMAccountName	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_user_attributes_displayName	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_user_attributes_givenName	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_user_attributes_sn	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
user_ldap_user_attributes_userPrincipalName	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
common_apns_capable	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_background_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_battery_level	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_blocked	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_cellular_technology	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_device_admin_enabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_device_encrypted	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_lang_country_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_language	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_language_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_mutual_auth_enabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_locale	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_intune_compliance_azure_device_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_intune_compliance_azure_client_status_code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_intune_compliance_azure_tenant_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_mdm_managed	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_miclient_last_connected_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_mdm_tos_accepted	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_model_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_modified_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_processor_architecture	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_quarantined_action	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_quarantined	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_registration_date	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_retired	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_roaming	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_sd_card_encrypted	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_security_state	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_storage_capacity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_storage_free	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_catalog_ids	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_device_space_ids	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_device_space_path	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_device_space_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_mtd_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_mtd_anti_phishing_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_mtd_anti_phishing_vpn_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_ccm_migration_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_auth_only	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_EnhancedLoggingEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_apnsToken	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_osUpdateStatus	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_data_protection	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_DataRoamingEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_PersonalHotspotEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_forceEncryptedBackup	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_HardwareEncryptionCaps	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_iOSBackgroundStatus	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsDeviceLocatorServiceEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsDoNotDisturbInEffect	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_iTunesStoreAccountIsActive	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsDEPEnrolledDevice	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsDEPDevice	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsMDMServiceEnrolledDevice	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsCloudBackupEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsNetworkTethered	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsActivationLockEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_ActivationLockBypassCode	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_it_policy_result	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_PasscodeIsCompliant	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_PasscodeIsCompliantWithProfiles	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_PasscodePresent	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_security_reason_code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_VoiceRoamingEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_wakeup_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsMDMLostModeEnabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_IsMultiUser	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_sim_countOfSims	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_Supervised	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_TimeZone	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_apple_user_enrolled_device	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_TrustedDevice	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_ddm_enabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ios_ddm_capabilities_available	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
common_owner	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_account_control_account_disabled	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_account_control_password_expired	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_account_control_locked_out	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_attributes_distinguishedName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_attributes_objectSid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_attributes_cn	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_ldap_user_attributes_userAccountControl	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
actorId	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
actorName	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
actorUid	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
actorRoles	event.idm.read_only_udm.principal.user.attribute.roles	מופה מיומן השינויים
resultStatus	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
resultStatus	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
actionType	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
entityName	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
entityId	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
entityType	event.idm.read_only_udm.target.resource.resource_subtype	מופה מיומן השינויים
entityGroup	event.idm.read_only_udm.target.user.group_identifiers	מופה מיומן השינויים
entityAuditId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
details	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
entityDeleted	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
expiresAt	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
publishedAt	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
publisherId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tenantUuid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
log_source	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
time	event.idm.read_only_udm.security_result.first_discovered_time	מופה מיומן השינויים
host	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
host	event.idm.read_only_udm.intermediary.asset.hostname	מופה מיומן השינויים
product	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ip_in_bracket	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.