Ivanti Neurons for MDM（旧称 MobileIron）のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Ivanti Neurons for MDM（旧称 MobileIron）ログを Google Security Operations に取り込む方法について説明します。

Ivanti Neurons for MDM は、iOS、Android、macOS、Windows 環境全体でモバイル デバイス、アプリケーション、コンテンツの保護と管理を組織が実現できるようにする統合エンドポイント管理（UEM）プラットフォームです。企業向けモバイル管理に、デバイス登録、ポリシー適用、コンプライアンス モニタリング、アプリ配信、脅威検出の機能を提供します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Windows 2016 以降、または systemd を使用する Linux ホスト。
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Ivanti Neurons for MDM 管理コンソールへの特権アクセス権。

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイル をダウンロードします。
    • Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。

    • config.yaml ファイルを見つけます。通常、Linux では /observiq-otel-collector/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MOBILEIRON
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
  • <customer_id> は、実際のお客様 ID に置き換えます。
  • /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するの手順で認証ファイルを保存したファイルパスに更新します。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

  1. 次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. サービスが実行されていることを確認します。

    sudo systemctl status observiq-otel-collector

  3. ログでエラーを確認します。

    sudo journalctl -u observiq-otel-collector -f

Windows で Bindplane エージェントを再起動するには:

  1. 次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。
    net stop observiq-otel-collector && net start observiq-otel-collector
    • サービス コンソール:
      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

  2. サービスが実行されていることを確認します。

    sc query observiq-otel-collector

  3. ログでエラーを確認します。

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Ivanti Neurons for MDM の syslog 転送を構成する

  1. Ivanti Neurons for MDM の管理コンソールにログインします。
  2. [Settings] > [Syslog] に移動します。
  3. [Add] をクリックして、新しい syslog 構成を作成します。
  4. 次の構成情報を指定します。
    • ホスト: Bindplane エージェント ホストの IP アドレスを入力します。
    • ポート: 「514」と入力します。
    • プロトコル: [TCP] を選択します。
  5. [イベントタイプ] セクションで、転送するイベント カテゴリを選択します。
    • デバイスのイベント
    • コンプライアンス イベント
    • セキュリティ イベント
    • 管理イベント

  6. [保存] をクリックして、syslog 構成を適用します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
COMMAND_label additional.fields 統合済み
NI_label additional.fields 統合済み
PR_label additional.fields 統合済み
RES_label additional.fields 統合済み
SHR_label additional.fields 統合済み
S_label additional.fields 統合済み
SystemType_label additional.fields 統合済み
VIRT_label additional.fields 統合済み
apache_error_code_label additional.fields 統合済み
attempts_label additional.fields 統合済み
b_label additional.fields 統合済み
bi_label additional.fields 統合済み
bo_label additional.fields 統合済み
buff_label additional.fields 統合済み
cache_label additional.fields 統合済み
cpuTIME_label additional.fields 統合済み
cpu_percent_label additional.fields 統合済み
cs_label additional.fields 統合済み
duration_ms_label additional.fields 統合済み
error_code_label additional.fields 統合済み
free_label additional.fields 統合済み
in_label additional.fields 統合済み
ip_in_bracket_label additional.fields 統合済み
log_year_label additional.fields 統合済み
mem_percent_label additional.fields 統合済み
module_label additional.fields 統合済み
ns_1_label additional.fields 統合済み
pctCPU_label additional.fields 統合済み
pctMEM_label additional.fields 統合済み
product_label additional.fields 統合済み
r_label additional.fields 統合済み
rss_label additional.fields 統合済み
safepoint_ns_1_label additional.fields 統合済み
safepoint_ns_2_label additional.fields 統合済み
si_label additional.fields 統合済み
so_label additional.fields 統合済み
st_label additional.fields 統合済み
start_label additional.fields 統合済み
stat_label additional.fields 統合済み
swpd_label additional.fields 統合済み
sy_label additional.fields 統合済み
t1_label additional.fields 統合済み
tag_label additional.fields 統合済み
token_id_label additional.fields 統合済み
us_label additional.fields 統合済み
vsz_label additional.fields 統合済み
wa_label additional.fields 統合済み
has_target_user extensions.auth.type マッピング: true → MACHINE
host intermediary.asset.hostname 直接マッピングされます。
host intermediary.hostname 直接マッピングされます。
ip_1 intermediary.ip 統合済み
desc metadata.description 直接マッピングされます。
kv_msg metadata.description 直接マッピングされます。
msg metadata.description 直接マッピングされます。
date_time metadata.event_timestamp yyyy-MM-dd--HH-mm-ss として解析済み
policyViolatedAt metadata.event_timestamp UNIX_MS として解析
time metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSS+0000 として解析
time_1 metadata.event_timestamp UNIX として解析済み
timestamp metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSSSS+00:00 として解析
ts metadata.event_timestamp MMM DD HH:mm:ss として解析
action metadata.event_type マッピング: Started Session → USER_UNCATEGORIZED
has_resource metadata.event_type マッピング: true → USER_RESOURCE_ACCESS
has_target_user metadata.event_type マッピング: true → USER_LOGOUT
principal_mid_present metadata.event_type マッピング済み: true → NETWORK_CONNECTION、true → STATUS_UPDATE
msgid metadata.product_log_id 直接マッピングされます。
version metadata.product_version 直接マッピングされます。
protocol network.application_protocol 直接マッピングされます。
protocol_version network.application_protocol_version 直接マッピングされます。
http_method network.http.method 直接マッピングされます。
method network.http.method 直接マッピングされます。
referrer network.http.referral_url 直接マッピングされます。
url network.http.referral_url 直接マッピングされます。
http_status network.http.response_code 名前変更済み/マッピング済み
user_agent network.http.user_agent 直接マッピングされます。
response_size network.received_bytes 名前変更済み/マッピング済み
sessionId network.session_id 直接マッピングされます。
cipher network.tls.cipher 直接マッピングされます。
tls_version network.tls.version 直接マッピングされます。
app_name principal.application 直接マッピングされます。
hardware principal.asset.hardware 統合済み
client_ip principal.asset.ip 統合済み
src_ip principal.asset.ip 統合済み
platformType principal.asset.platform_software.platform マッピング済み: (?i)Windows → WINDOWS、(?i)(MAC/OS X/IOS) → MAC、(?i)Linux → LINUX
platformType principal.asset.platform_software.platform_version 直接マッピングされます。
platformVersion principal.asset.platform_software.platform_version 直接マッピングされます。
id principal.asset.product_object_id 直接マッピングされます。
client_ip principal.ip 統合済み
src_ip principal.ip 統合済み
client_port principal.port 直接マッピングされます。
PID principal.process.pid 直接マッピングされます。
procid principal.process.pid 直接マッピングされます。
idle_label principal.resource.attribute.labels 統合済み
iowait_label principal.resource.attribute.labels 統合済み
nice_label principal.resource.attribute.labels 統合済み
steal_label principal.resource.attribute.labels 統合済み
system_label principal.resource.attribute.labels 統合済み
user_label principal.resource.attribute.labels 統合済み
emailAddress principal.user.email_addresses 統合済み
firstName principal.user.first_name 直接マッピングされます。
lastName principal.user.last_name 直接マッピングされます。
displayName principal.user.user_display_name 直接マッピングされます。
USER principal.user.userid 直接マッピングされます。
username principal.user.userid 直接マッピングされます。
policy_Violated_At security_result.about.labels 統合済み
sr_action security_result.action 統合済み
category security_result.category 統合済み
complianceViolationTypeToReason.BLACKLIST_APPS security_result.description 直接マッピングされます。
complianceViolationTypeToReason.PC security_result.description 直接マッピングされます。
complianceViolationTypeToReason.SA security_result.description 直接マッピングされます。
description security_result.description 直接マッピングされます。
http_request_label security_result.detection_fields 統合済み
run_user_label security_result.detection_fields 統合済み
safepoint_type_label security_result.detection_fields 統合済み
systemd_user_label security_result.detection_fields 統合済み
type_label security_result.detection_fields 統合済み
policyViolatedID security_result.rule_id 直接マッピングされます。
loglevel security_result.severity マッピング: (?i)INFO → INFORMATIONAL、(?i)Error → ERROR、(?i)Warning → MEDIUM
loglevel security_result.severity_details 直接マッピングされます。
summary security_result.summary 直接マッピングされます。
target_ip target.asset.ip 統合済み
target_host target.hostname 直接マッピングされます。
target_ip target.ip 統合済み
target_port target.port 直接マッピングされます。
command target.process.command_line 直接マッピングされます。
pid target.process.pid 直接マッピングされます。
program_name target.resource.name 直接マッピングされます。
url_1 target.url 直接マッピングされます。
session_user target.user.userid 直接マッピングされます。
なし extensions.auth.type 定数: MACHINE
なし metadata.event_type 定数: USER_LOGOUT
なし metadata.product_name 定数: Endpoint Manager Mobile
なし metadata.vendor_name 定数: Ivanti
なし principal.asset.platform_software.platform 定数: WINDOWS
なし principal.asset.type 定数: MOBILE
なし security_result.severity 定数: INFORMATIONAL
common_client_id event.idm.read_only_udm.principal.process.product_specific_process_id 変更履歴からマッピング
common_client_name event.idm.read_only_udm.principal.asset.software.name 変更履歴からマッピング
common_client_version event.idm.read_only_udm.principal.asset.software.version 変更履歴からマッピング
ios_ip_address event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
common_ip_address event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
ios_vpn_ip_address event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
common_creation_date event.idm.read_only_udm.principal.asset.attribute.creation_time 変更履歴からマッピング
common_current_phone_number event.idm.read_only_udm.principal.user.phone_numbers 変更履歴からマッピング
common_home_phone_number event.idm.read_only_udm.principal.user.phone_numbers 変更履歴からマッピング
common_id event.idm.read_only_udm.principal.resource.product_object_id 変更履歴からマッピング
common_manufacturer event.idm.read_only_udm.principal.asset.hardware.manufacturer 変更履歴からマッピング
common_SerialNumber event.idm.read_only_udm.principal.asset.hardware.serial_number 変更履歴からマッピング
common_model event.idm.read_only_udm.principal.asset.hardware.model 変更履歴からマッピング
common_os_version event.idm.read_only_udm.principal.platform_version 変更履歴からマッピング
user_user_id event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
common_uuid event.idm.read_only_udm.principal.asset_id と event.idm.read_only_udm.principal.asset.asset_id 変更履歴からマッピング
common_wifi_mac_address event.idm.read_only_udm.principal.mac 変更履歴からマッピング
ios_BluetoothMAC event.idm.read_only_udm.principal.mac 変更履歴からマッピング
ios_BuildVersion event.idm.read_only_udm.principal.platform_patch_level 変更履歴からマッピング
ios_iPhoneUDID event.idm.read_only_udm.principal.asset.product_object_id 変更履歴からマッピング
user_display_name event.idm.read_only_udm.principal.user.user_display_name 変更履歴からマッピング
user_email_address event.idm.read_only_udm.principal.user.email_addresses 変更履歴からマッピング
user_ldap_user_attributes_mail event.idm.read_only_udm.principal.user.email_addresses 変更履歴からマッピング
user_first_name event.idm.read_only_udm.principal.user.first_name 変更履歴からマッピング
user_last_name event.idm.read_only_udm.principal.user.last_name 変更履歴からマッピング
user_last_admin_portal_login_time event.idm.read_only_udm.principal.user.last_login_time 変更履歴からマッピング
user_uuid event.idm.read_only_udm.principal.user.product_object_id 変更履歴からマッピング
user_ldap_user_object_sid event.idm.read_only_udm.principal.user.windows_sid 変更履歴からマッピング
user_ldap_user_attributes_memberOf event.idm.read_only_udm.principal.user.group_identifiers 変更履歴からマッピング
user_ldap_groups event.idm.read_only_udm.principal.user.group_identifiers 変更履歴からマッピング
common_client_build_date event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
common_compliant event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
common_data_protection_enabled event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
common_device_is_compromised event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ios_DeviceName event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
ios_iPhoneVERSION event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
ios_iPhonePRODUCT event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
ios_ProductName event.idm.read_only_udm.principal.asset.attribute.labels 変更履歴からマッピング
user_sam_account_name event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_attr_dn event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_dn event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_principal event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_upn event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_user_attributes_sAMAccountName event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_user_attributes_displayName event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_user_attributes_givenName event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_user_attributes_sn event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
user_ldap_user_attributes_userPrincipalName event.idm.read_only_udm.principal.user.attribute.labels 変更履歴からマッピング
common_apns_capable event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_background_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_battery_level event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_blocked event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_cellular_technology event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_device_admin_enabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_device_encrypted event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_lang_country_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_language event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_language_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_mutual_auth_enabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_locale event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_intune_compliance_azure_device_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_intune_compliance_azure_client_status_code event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_intune_compliance_azure_tenant_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_mdm_managed event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_miclient_last_connected_at event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_mdm_tos_accepted event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_model_name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_modified_at event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_processor_architecture event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_quarantined_action event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_quarantined event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_registration_date event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_retired event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_roaming event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_sd_card_encrypted event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_security_state event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_storage_capacity event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_storage_free event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_catalog_ids event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_device_space_ids event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_device_space_path event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_device_space_name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_mtd_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_mtd_anti_phishing_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_mtd_anti_phishing_vpn_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_ccm_migration_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_auth_only event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_EnhancedLoggingEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_apnsToken event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_osUpdateStatus event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_data_protection event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_DataRoamingEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_PersonalHotspotEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_forceEncryptedBackup event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_HardwareEncryptionCaps event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_iOSBackgroundStatus event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsDeviceLocatorServiceEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsDoNotDisturbInEffect event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_iTunesStoreAccountIsActive event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsDEPEnrolledDevice event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsDEPDevice event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsMDMServiceEnrolledDevice event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsCloudBackupEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsNetworkTethered event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsActivationLockEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_ActivationLockBypassCode event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_it_policy_result event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_PasscodeIsCompliant event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_PasscodeIsCompliantWithProfiles event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_PasscodePresent event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_security_reason_code event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_VoiceRoamingEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_wakeup_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsMDMLostModeEnabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_IsMultiUser event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_sim_countOfSims event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_Supervised event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_TimeZone event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_apple_user_enrolled_device event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_TrustedDevice event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_ddm_enabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ios_ddm_capabilities_available event.idm.read_only_udm.additional.fields 変更履歴からマッピング
common_owner event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_account_control_account_disabled event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_account_control_password_expired event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_account_control_locked_out event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_attributes_distinguishedName event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_attributes_objectSid event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_attributes_cn event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_ldap_user_attributes_userAccountControl event.idm.read_only_udm.additional.fields 変更履歴からマッピング
actorId event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
actorName event.idm.read_only_udm.principal.user.user_display_name 変更履歴からマッピング
actorUid event.idm.read_only_udm.principal.user.email_addresses 変更履歴からマッピング
actorRoles event.idm.read_only_udm.principal.user.attribute.roles 変更履歴からマッピング
resultStatus event.idm.read_only_udm.security_result.action 変更履歴からマッピング
resultStatus event.idm.read_only_udm.security_result.action_details 変更履歴からマッピング
actionType event.idm.read_only_udm.metadata.product_event_type 変更履歴からマッピング
entityName event.idm.read_only_udm.target.resource.name 変更履歴からマッピング
entityId event.idm.read_only_udm.target.resource.product_object_id 変更履歴からマッピング
entityType event.idm.read_only_udm.target.resource.resource_subtype 変更履歴からマッピング
entityGroup event.idm.read_only_udm.target.user.group_identifiers 変更履歴からマッピング
entityAuditId event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
details event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
entityDeleted event.idm.read_only_udm.additional.fields 変更履歴からマッピング
expiresAt event.idm.read_only_udm.additional.fields 変更履歴からマッピング
publishedAt event.idm.read_only_udm.additional.fields 変更履歴からマッピング
publisherId event.idm.read_only_udm.additional.fields 変更履歴からマッピング
tenantUuid event.idm.read_only_udm.additional.fields 変更履歴からマッピング
log_source event.idm.read_only_udm.additional.fields 変更履歴からマッピング
time event.idm.read_only_udm.security_result.first_discovered_time 変更履歴からマッピング
host event.idm.read_only_udm.intermediary.hostname 変更履歴からマッピング
host event.idm.read_only_udm.intermediary.asset.hostname 変更履歴からマッピング
product event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ip_in_bracket event.idm.read_only_udm.additional.fields 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。