Raccogliere i log di Ivanti Neurons for MDM (in precedenza MobileIron)

Supportato in:

Questo documento spiega come importare i log di Ivanti Neurons for MDM (precedentemente noto come MobileIron) in Google Security Operations utilizzando Bindplane.

Ivanti Neurons for MDM è una piattaforma di gestione unificata degli endpoint (UEM) che consente alle organizzazioni di proteggere e gestire dispositivi mobili, applicazioni e contenuti in ambienti iOS, Android, macOS e Windows. Fornisce funzionalità di registrazione dei dispositivi, applicazione delle policy, monitoraggio della conformità, App Distribution e rilevamento delle minacce per la gestione della mobilità aziendale.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps.
  • Un host Windows 2016 o versioni successive o Linux con systemd.
  • Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso privilegiato alla console di amministrazione di Ivanti Neurons for MDM.

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea service account.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
  7. Fai clic su Continua e poi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere, si trova nella directory /observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: MOBILEIRON
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
  • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
  • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
  • Sostituisci <customer_id> con l'ID cliente effettivo.
  • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nella sezione Ottieni le credenziali di Google SecOps per l'agente Bindplane.

Esportatore API di importazione legacy

  • Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MOBILEIRON
    raw_log_field: body
    ingestion_labels:

Riavvia l'agente Bindplane per applicare le modifiche

Per riavviare l'agente Bindplane in Linux:

  1. Esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifica che il servizio sia in esecuzione:

    sudo systemctl status observiq-otel-collector

  3. Controlla i log per individuare eventuali errori:

    sudo journalctl -u observiq-otel-collector -f

Per riavviare l'agente Bindplane in Windows:

  1. Scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console dei servizi:
      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

  2. Verifica che il servizio sia in esecuzione:

    sc query observiq-otel-collector

  3. Controlla i log per verificare la presenza di errori:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurare l'inoltro di syslog di Ivanti Neurons for MDM

  1. Accedi alla Console di amministrazione di Ivanti Neurons for MDM.
  2. Vai a Impostazioni > Syslog.
  3. Fai clic su Aggiungi per creare una nuova configurazione syslog.
  4. Fornisci i seguenti dettagli di configurazione:
    • Host: inserisci l'indirizzo IP dell'host dell'agente Bindplane.
    • Porta: inserisci 514.
    • Protocollo: seleziona TCP.
  5. Nella sezione Tipi di eventi, seleziona le categorie di eventi da inoltrare:
    • Eventi dispositivo
    • Eventi di conformità
    • Eventi di sicurezza
    • Eventi amministrativi

  6. Fai clic su Salva per applicare la configurazione di syslog.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
COMMAND_label additional.fields Unita
NI_label additional.fields Unita
PR_label additional.fields Unita
RES_label additional.fields Unita
SHR_label additional.fields Unita
S_label additional.fields Unita
SystemType_label additional.fields Unita
VIRT_label additional.fields Unita
apache_error_code_label additional.fields Unita
attempts_label additional.fields Unita
b_label additional.fields Unita
bi_label additional.fields Unita
bo_label additional.fields Unita
buff_label additional.fields Unita
cache_label additional.fields Unita
cpuTIME_label additional.fields Unita
cpu_percent_label additional.fields Unita
cs_label additional.fields Unita
duration_ms_label additional.fields Unita
error_code_label additional.fields Unita
free_label additional.fields Unita
in_label additional.fields Unita
ip_in_bracket_label additional.fields Unita
log_year_label additional.fields Unita
mem_percent_label additional.fields Unita
module_label additional.fields Unita
ns_1_label additional.fields Unita
pctCPU_label additional.fields Unita
pctMEM_label additional.fields Unita
product_label additional.fields Unita
r_label additional.fields Unita
rss_label additional.fields Unita
safepoint_ns_1_label additional.fields Unita
safepoint_ns_2_label additional.fields Unita
si_label additional.fields Unita
so_label additional.fields Unita
st_label additional.fields Unita
start_label additional.fields Unita
stat_label additional.fields Unita
swpd_label additional.fields Unita
sy_label additional.fields Unita
t1_label additional.fields Unita
tag_label additional.fields Unita
token_id_label additional.fields Unita
us_label additional.fields Unita
vsz_label additional.fields Unita
wa_label additional.fields Unita
has_target_user extensions.auth.type Mappato: true → MACHINE
host intermediary.asset.hostname Mappata direttamente
host intermediary.hostname Mappato direttamente
ip_1 intermediary.ip Unita
desc metadata.description Mappato direttamente
kv_msg metadata.description Mappato direttamente
msg metadata.description Mappata direttamente
date_time metadata.event_timestamp Analizzato come yyyy-MM-dd--HH-mm-ss
policyViolatedAt metadata.event_timestamp Analizzato come UNIX_MS
time metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSS+0000
time_1 metadata.event_timestamp Analizzato come UNIX
timestamp metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSSSSS+00:00
ts metadata.event_timestamp Analizzato come MMM DD HH:mm:ss
action metadata.event_type Mappatura: Started Session → USER_UNCATEGORIZED
has_resource metadata.event_type Mappatura: true → USER_RESOURCE_ACCESS
has_target_user metadata.event_type Mappatura: true → USER_LOGOUT
principal_mid_present metadata.event_type Mappatura: true → NETWORK_CONNECTION, true → STATUS_UPDATE
msgid metadata.product_log_id Mappata direttamente
version metadata.product_version Mappato direttamente
protocol network.application_protocol Mappato direttamente
protocol_version network.application_protocol_version Mappato direttamente
http_method network.http.method Mappato direttamente
method network.http.method Mappato direttamente
referrer network.http.referral_url Mappato direttamente
url network.http.referral_url Mappato direttamente
http_status network.http.response_code Rinominate/mappate
user_agent network.http.user_agent Mappata direttamente
response_size network.received_bytes Rinominate/mappate
sessionId network.session_id Mappata direttamente
cipher network.tls.cipher Mappato direttamente
tls_version network.tls.version Mappato direttamente
app_name principal.application Mappato direttamente
hardware principal.asset.hardware Unita
client_ip principal.asset.ip Unita
src_ip principal.asset.ip Unita
platformType principal.asset.platform_software.platform Mappato: (?i)Windows → WINDOWS, (?i)(MAC/OS X/IOS) → MAC, (?i)Linux → LINUX
platformType principal.asset.platform_software.platform_version Mappata direttamente
platformVersion principal.asset.platform_software.platform_version Mappato direttamente
id principal.asset.product_object_id Mappato direttamente
client_ip principal.ip Unita
src_ip principal.ip Unita
client_port principal.port Mappato direttamente
PID principal.process.pid Mappato direttamente
procid principal.process.pid Mappato direttamente
idle_label principal.resource.attribute.labels Unita
iowait_label principal.resource.attribute.labels Unita
nice_label principal.resource.attribute.labels Unita
steal_label principal.resource.attribute.labels Unita
system_label principal.resource.attribute.labels Unita
user_label principal.resource.attribute.labels Unita
emailAddress principal.user.email_addresses Unita
firstName principal.user.first_name Mappato direttamente
lastName principal.user.last_name Mappato direttamente
displayName principal.user.user_display_name Mappato direttamente
USER principal.user.userid Mappato direttamente
username principal.user.userid Mappato direttamente
policy_Violated_At security_result.about.labels Unita
sr_action security_result.action Unita
category security_result.category Unita
complianceViolationTypeToReason.BLACKLIST_APPS security_result.description Mappato direttamente
complianceViolationTypeToReason.PC security_result.description Mappato direttamente
complianceViolationTypeToReason.SA security_result.description Mappato direttamente
description security_result.description Mappato direttamente
http_request_label security_result.detection_fields Unita
run_user_label security_result.detection_fields Unita
safepoint_type_label security_result.detection_fields Unita
systemd_user_label security_result.detection_fields Unita
type_label security_result.detection_fields Unita
policyViolatedID security_result.rule_id Mappata direttamente
loglevel security_result.severity Mappato: (?i)INFO → INFORMATIONAL, (?i)Error → ERROR, (?i)Warning → MEDIUM
loglevel security_result.severity_details Mappata direttamente
summary security_result.summary Mappato direttamente
target_ip target.asset.ip Unita
target_host target.hostname Mappata direttamente
target_ip target.ip Unita
target_port target.port Mappato direttamente
command target.process.command_line Mappato direttamente
pid target.process.pid Mappato direttamente
program_name target.resource.name Mappato direttamente
url_1 target.url Mappato direttamente
session_user target.user.userid Mappata direttamente
N/D extensions.auth.type Costante: MACHINE
N/D metadata.event_type Costante: USER_LOGOUT
N/D metadata.product_name Costante: Endpoint Manager Mobile
N/D metadata.vendor_name Costante: Ivanti
N/D principal.asset.platform_software.platform Costante: WINDOWS
N/D principal.asset.type Costante: MOBILE
N/D security_result.severity Costante: INFORMATIONAL
common_client_id event.idm.read_only_udm.principal.process.product_specific_process_id Mappato dal log delle modifiche
common_client_name event.idm.read_only_udm.principal.asset.software.name Mappato dal log delle modifiche
common_client_version event.idm.read_only_udm.principal.asset.software.version Mappato dal log delle modifiche
ios_ip_address event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
common_ip_address event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
ios_vpn_ip_address event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
common_creation_date event.idm.read_only_udm.principal.asset.attribute.creation_time Mappato dal log delle modifiche
common_current_phone_number event.idm.read_only_udm.principal.user.phone_numbers Mappato dal log delle modifiche
common_home_phone_number event.idm.read_only_udm.principal.user.phone_numbers Mappato dal log delle modifiche
common_id event.idm.read_only_udm.principal.resource.product_object_id Mappato dal log delle modifiche
common_manufacturer event.idm.read_only_udm.principal.asset.hardware.manufacturer Mappato dal log delle modifiche
common_SerialNumber event.idm.read_only_udm.principal.asset.hardware.serial_number Mappato dal log delle modifiche
common_model event.idm.read_only_udm.principal.asset.hardware.model Mappato dal log delle modifiche
common_os_version event.idm.read_only_udm.principal.platform_version Mappato dal log delle modifiche
user_user_id event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
common_uuid event.idm.read_only_udm.principal.asset_id e event.idm.read_only_udm.principal.asset.asset_id Mappato dal log delle modifiche
common_wifi_mac_address event.idm.read_only_udm.principal.mac Mappato dal log delle modifiche
ios_BluetoothMAC event.idm.read_only_udm.principal.mac Mappato dal log delle modifiche
ios_BuildVersion event.idm.read_only_udm.principal.platform_patch_level Mappato dal log delle modifiche
ios_iPhoneUDID event.idm.read_only_udm.principal.asset.product_object_id Mappato dal log delle modifiche
user_display_name event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
user_email_address event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
user_ldap_user_attributes_mail event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
user_first_name event.idm.read_only_udm.principal.user.first_name Mappato dal log delle modifiche
user_last_name event.idm.read_only_udm.principal.user.last_name Mappato dal log delle modifiche
user_last_admin_portal_login_time event.idm.read_only_udm.principal.user.last_login_time Mappato dal log delle modifiche
user_uuid event.idm.read_only_udm.principal.user.product_object_id Mappato dal log delle modifiche
user_ldap_user_object_sid event.idm.read_only_udm.principal.user.windows_sid Mappato dal log delle modifiche
user_ldap_user_attributes_memberOf event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
user_ldap_groups event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
common_client_build_date event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
common_compliant event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
common_data_protection_enabled event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
common_device_is_compromised event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ios_DeviceName event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
ios_iPhoneVERSION event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
ios_iPhonePRODUCT event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
ios_ProductName event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
user_sam_account_name event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_attr_dn event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_dn event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_principal event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_upn event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_user_attributes_sAMAccountName event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_user_attributes_displayName event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_user_attributes_givenName event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_user_attributes_sn event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
user_ldap_user_attributes_userPrincipalName event.idm.read_only_udm.principal.user.attribute.labels Mappato dal log delle modifiche
common_apns_capable event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_background_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_battery_level event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_blocked event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_cellular_technology event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_device_admin_enabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_device_encrypted event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_lang_country_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_language event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_language_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_mutual_auth_enabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_locale event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_intune_compliance_azure_device_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_intune_compliance_azure_client_status_code event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_intune_compliance_azure_tenant_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_mdm_managed event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_miclient_last_connected_at event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_mdm_tos_accepted event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_model_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_modified_at event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_processor_architecture event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_quarantined_action event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_quarantined event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_registration_date event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_retired event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_roaming event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_sd_card_encrypted event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_security_state event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_storage_capacity event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_storage_free event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_catalog_ids event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_device_space_ids event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_device_space_path event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_device_space_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_mtd_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_mtd_anti_phishing_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_mtd_anti_phishing_vpn_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_ccm_migration_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_auth_only event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_EnhancedLoggingEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_apnsToken event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_osUpdateStatus event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_data_protection event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_DataRoamingEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_PersonalHotspotEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_forceEncryptedBackup event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_HardwareEncryptionCaps event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_iOSBackgroundStatus event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsDeviceLocatorServiceEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsDoNotDisturbInEffect event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_iTunesStoreAccountIsActive event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsDEPEnrolledDevice event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsDEPDevice event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsMDMServiceEnrolledDevice event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsCloudBackupEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsNetworkTethered event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsActivationLockEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_ActivationLockBypassCode event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_it_policy_result event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_PasscodeIsCompliant event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_PasscodeIsCompliantWithProfiles event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_PasscodePresent event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_security_reason_code event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_VoiceRoamingEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_wakeup_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsMDMLostModeEnabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_IsMultiUser event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_sim_countOfSims event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_Supervised event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_TimeZone event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_apple_user_enrolled_device event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_TrustedDevice event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_ddm_enabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ios_ddm_capabilities_available event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
common_owner event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_account_control_account_disabled event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_account_control_password_expired event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_account_control_locked_out event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_attributes_distinguishedName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_attributes_objectSid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_attributes_cn event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
user_ldap_user_attributes_userAccountControl event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
actorId event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
actorName event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
actorUid event.idm.read_only_udm.principal.user.email_addresses Mappato dal log delle modifiche
actorRoles event.idm.read_only_udm.principal.user.attribute.roles Mappato dal log delle modifiche
resultStatus event.idm.read_only_udm.security_result.action Mappato dal log delle modifiche
resultStatus event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
actionType event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
entityName event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
entityId event.idm.read_only_udm.target.resource.product_object_id Mappato dal log delle modifiche
entityType event.idm.read_only_udm.target.resource.resource_subtype Mappato dal log delle modifiche
entityGroup event.idm.read_only_udm.target.user.group_identifiers Mappato dal log delle modifiche
entityAuditId event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
details event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
entityDeleted event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
expiresAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
publishedAt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
publisherId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tenantUuid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
log_source event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
time event.idm.read_only_udm.security_result.first_discovered_time Mappato dal log delle modifiche
host event.idm.read_only_udm.intermediary.hostname Mappato dal log delle modifiche
host event.idm.read_only_udm.intermediary.asset.hostname Mappato dal log delle modifiche
product event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ip_in_bracket event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.