Coletar alertas do Microsoft Defender para Nuvem

Compatível com:

Neste documento, explicamos como ingerir alertas do Microsoft Defender para nuvem (antigo Azure Security Center) no Google Security Operations. É possível configurar a ingestão usando dois métodos compatíveis:

  • Método 1: Hub de Eventos do Azure (recomendado): o Defender para exportação contínua do Cloud transmite alertas diretamente para um Hub de Eventos do Azure, de onde o Google SecOps os ingere quase em tempo real.
  • Método 2: Armazenamento de blobs do Azure V2: o Defender para exportação contínua do Cloud envia alertas para um espaço de trabalho do Log Analytics, uma regra de exportação de dados do Log Analytics os grava em uma conta de armazenamento do Azure e o Google SecOps os ingere do contêiner de blobs em uma programação de sondagem.

O Microsoft Defender para Nuvem é uma plataforma de proteção de aplicativos nativos da nuvem que oferece gerenciamento unificado de segurança e proteção contra ameaças em cargas de trabalho do Azure, híbridas e multicloud.

Antes de começar

Verifique se você atende os seguintes pré-requisitos:

  • Comum aos dois métodos:

    • Uma instância do Google SecOps.
    • Acesso privilegiado ao portal do Microsoft Azure com permissões para:
      • Configurar a exportação contínua em uma assinatura do Microsoft Defender para nuvem.
    • Papel de Administrador de segurança ou Proprietário na assinatura do Azure que contém o Microsoft Defender para nuvem.
    • Microsoft Defender para nuvem ativado na assinatura com pelo menos um plano do Defender ativo.

  • Pré-requisitos adicionais do Método 1 (Hub de Eventos do Azure):

    • Permissões para criar namespaces de Hubs de Eventos e Hubs de Eventos e gerenciar políticas de acesso de Hubs de Eventos.
    • Permissões de gravação na política do hub de eventos de destino (exigidas pela exportação contínua).

  • Pré-requisitos adicionais do método 2 (Armazenamento de Blobs do Azure V2):

    • Permissões para criar ou gerenciar um espaço de trabalho da Análise de Dados de Registros e criar regras de exportação de dados nele.
    • Permissões para criar uma conta de armazenamento do Azure com um contêiner de blobs e recuperar as chaves de acesso.

Use esse método quando quiser uma ingestão quase em tempo real de alertas do Defender para Cloud e puder conceder ao Google SecOps acesso a um hub de eventos do Azure.

Criar namespace do Hub de Eventos

Um namespace de Hub de Eventos é um contêiner de gerenciamento para um ou mais Hubs de Eventos.

  1. No portal do Azure, pesquise por Hubs de Eventos.
  2. Clique em + Criar.

  3. Informe os seguintes detalhes de configuração:

    Configuração Valor
    Assinatura Selecione a assinatura que contém o Microsoft Defender para Nuvem.
    Grupo de recursos Selecione uma opção ou crie uma nova.
    Nome do namespace Insira um nome exclusivo (por exemplo, secops-defender-ns).
    Local Selecione a mesma região da instância do Google SecOps. Implantar em uma região diferente reduz a capacidade de ingestão.
    Nível de preço Padrão (recomendado para produção).
    Unidades de capacidade de processamento Comece com 1 e ative o Preenchimento automático (recomendado).

  4. Clique em Revisar + criar.

  5. Revise a visão geral e clique em Criar.

  6. Aguarde a conclusão da implantação (1 a 2 minutos).

Criar hub de eventos

  1. Depois que o namespace for implantado, acesse o namespace do Hub de Eventos.
  2. No menu de navegação à esquerda, selecione Hubs de eventos em Entidades.
  3. Clique em + Event Hub.

  4. Informe os seguintes detalhes de configuração:

    Configuração Valor
    Nome Insira um nome exclusivo que corresponda ao tipo de registro (por exemplo, defender-cloud-alerts). Evite deixar o campo em branco durante a configuração da exportação contínua do Defender para impedir que o sistema crie hubs de eventos extras.
    Contagem de partições 40 (recomendado para o escalonamento ideal do Google SecOps).
    Retenção de mensagens 7 dia(s) no mínimo. Defina a retenção mais longa que você puder para que os registros não sejam excluídos antes que a ingestão seja retomada após uma limitação de cota.
    Captura Desativado (não é necessário para a ingestão direta do Hub de Eventos).

  5. Clique em Criar.

Receber a string de conexão do Hub de Eventos

O Google SecOps requer uma string de conexão para autenticar no hub de eventos.

  1. Acesse o namespace do Hub de Eventos.
  2. Na navegação à esquerda, selecione Políticas de acesso compartilhado em Configurações.
  3. Clique na política padrão RootManageSharedAccessKey.
  4. Copie a chave primária da string de conexão.

  5. Salve essa string de conexão com segurança.

    Exemplo:

    Original: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=defender-cloud-alerts

Remove EntityPath: Endpoint=sb://secops-defender-ns.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Opção B: string de conexão no nível do hub de eventos

  1. Acesse o Hub de Eventos (não o namespace).
  2. Na navegação à esquerda, selecione Políticas de acesso compartilhado em Configurações.
  3. Clique em + Adicionar para criar uma nova política.
  4. Informe os seguintes detalhes de configuração:
    • Nome da política: insira um nome descritivo (por exemplo, chronicle-listen).
    • Permissões: selecione apenas Ouvir (acesso somente leitura).
  5. Clique em Criar.
  6. Clique na política recém-criada.
  7. Copie a chave primária da string de conexão.

  8. Salve essa string de conexão com segurança.

Configurar o Microsoft Defender para nuvem para transmitir alertas ao hub de eventos

O Microsoft Defender para nuvem usa o recurso Exportação contínua para transmitir alertas e recomendações para um hub de eventos à medida que são gerados.

  1. Faça login no portal do Azure.
  2. Pesquise e abra o Microsoft Defender para Nuvem.
  3. No menu de recursos do Defender para nuvem, selecione Configurações do ambiente.
  4. Selecione a assinatura para a qual você quer configurar a exportação de dados.
  5. No menu de recursos em Configurações, selecione Exportação contínua.
  6. Selecione a guia Hub de eventos.
  7. Informe os seguintes detalhes de configuração:
    • Exportação ativada?: mude para a posição ativada.
    • Na seção Tipos de dados exportados, selecione os tipos de dados que serão exportados. Para coletar alertas de segurança, marque as seguintes caixas de seleção:
      • Alertas de segurança
      • (Opcional) Recomendações de segurança, Pontuação de segurança, Conformidade regulatória, Caminhos de ataque e outros tipos, conforme necessário
    • Para cada tipo de dado selecionado, configure filtros (por exemplo, exporte apenas os níveis de gravidade Baixo, Médio, Alto ou todos).
    • Na seção Frequência de exportação, selecione a frequência:
      • Streaming: envia alertas conforme são gerados (recomendado para o Google SecOps).
      • Snapshots: envia um snapshot semanal do estado atual (use apenas para relatórios periódicos).
    • Na seção Destino da exportação, configure o destino:
      • Destino de exportação: selecione Hub de eventos.
      • Assinatura: selecione a assinatura que contém o namespace do hub de eventos.
      • Namespace do hub de eventos: selecione secops-defender-ns (ou o namespace que você criou anteriormente).
      • Nome do hub de eventos: selecione defender-cloud-alerts (ou o hub de eventos que você criou anteriormente). Sempre selecione um hub de eventos existente. Se você deixar esse campo em branco, o sistema vai criar hubs de eventos extras e poderá esgotar sua cota de feed.
      • Nome da política do hub de eventos: selecione RootManageSharedAccessKey ou uma política personalizada com permissões de Envio.

  8. Clique em Salvar.

(Opcional) Criar um grupo de consumidores dedicado

Por padrão, o Hub de Eventos fornece um grupo de consumidores chamado $Default. Para ambientes de produção, recomendamos criar um grupo de consumidores dedicado para o Google SecOps.

  1. Acesse o Hub de Eventos (não o namespace).
  2. Na navegação à esquerda, selecione Grupos de consumidores em Entidades.
  3. Clique em + Grupo de consumidores.
  4. Informe os seguintes detalhes de configuração:
    • Nome: insira um nome descritivo (por exemplo, chronicle).

  5. Clique em Criar.

Configurar um feed no Google SecOps para ingerir alertas do Microsoft Defender para nuvem (método 1)

  1. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na página seguinte, clique em Configurar um único feed.
  4. No campo Nome do feed, insira um nome para o feed (por exemplo, Microsoft Defender for Cloud Alerts).
  5. Selecione Hub de Eventos do Microsoft Azure como o Tipo de origem.
  6. Selecione Microsoft Defender For Cloud como o Tipo de registro.
  7. Clique em Próxima.

  8. Especifique valores para os seguintes parâmetros de entrada:

    • Nome do hub de eventos: insira o nome do hub de eventos (por exemplo, defender-cloud-alerts).
    • Grupo de consumidores do hub de eventos: insira o nome do grupo de consumidores.
      • Use $Default para o grupo de consumidores padrão.
      • Se você criou um grupo de consumidores dedicado, digite o nome dele (por exemplo, chronicle).

    • String de conexão do hub de eventos: insira a string de conexão do hub de eventos que você capturou anteriormente.

      Se você estiver usando uma string de conexão no nível do namespace:

      • Verifique se você removeu o parâmetro EntityPath.

      Se estiver usando a string de conexão no nível do hub de eventos: - Use a string de conexão como está (inclui EntityPath).

    • String de conexão do Azure Storage (opcional): campo legado para armazenamento de checkpointing do Hub de Eventos. Deixe em branco.

    • Nome do contêiner do Azure Storage (opcional): campo legado para armazenamento de checkpoint do Hub de Eventos. Deixe em branco.

    • Token SAS do Azure (opcional): autenticação alternativa para o hub de eventos quando sua política de segurança proíbe o compartilhamento da string de conexão do hub de eventos. Deixe em branco quando você fornecer a string de conexão acima.

    • Namespace do recurso: o namespace do recurso.

    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed.

  9. Clique em Próxima.

  10. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.

Método 2: Armazenamento de Blobs do Azure V2

Use esse método quando sua organização já retiver alertas do Defender para Cloud em um espaço de trabalho da Análise de Dados de Registros (para conformidade ou armazenamento de longo prazo) e você quiser que o Google SecOps ingira os mesmos alertas de uma conta de armazenamento do Azure. A exportação contínua do Microsoft Defender para nuvem não grava diretamente em uma conta de armazenamento. Por isso, esse método depende do recurso padrão de exportação de dados da análise de dados de registros para enviar alertas ao armazenamento de blobs, de onde o Google SecOps os lê.

O caminho de dados de ponta a ponta é:

  • Microsoft Defender para Nuvem > Exportação contínua para um espaço de trabalho de análise de dados de registros
  • A regra do espaço de trabalho de análise de dados de registros do Log Analytics > Exportação de dados grava a tabela SecurityAlert em uma conta de armazenamento do Azure (contêiner de blob)
  • O feed do Armazenamento de Blobs do Azure V2 do Google SecOps pesquisa o contêiner de blobs e ingere novos alertas

Configurar o Microsoft Defender para nuvem para transmitir alertas para um espaço de trabalho de análise de dados de registros

  1. Faça login no portal do Azure.
  2. Pesquise e abra o Microsoft Defender para Nuvem.
  3. No menu de recursos do Defender para nuvem, selecione Configurações do ambiente.
  4. Selecione a assinatura para a qual você quer configurar a exportação de dados.
  5. No menu de recursos em Configurações, selecione Exportação contínua.
  6. Selecione a guia Espaço de trabalho da Análise de Dados de Registros.
  7. Informe os seguintes detalhes de configuração:
    • Exportação ativada?: mude para a posição ativada.
    • Na seção Tipos de dados exportados, selecione Alertas de segurança (e outros tipos de dados que você quer capturar).
    • Para cada tipo de dado selecionado, configure os filtros de gravidade conforme necessário.
    • Na seção Frequência de exportação, selecione Streaming para exportação quase em tempo real.
    • Na seção Destino da exportação, configure o destino:
      • Destino de exportação: selecione Espaço de trabalho da Análise de dados de registros.
      • Assinatura: selecione a assinatura que contém o espaço de trabalho.
      • Espaço de trabalho da Análise de Dados de Registros: selecione um espaço de trabalho ou crie um.

  8. Clique em Salvar.

Criar uma conta de armazenamento do Azure e um contêiner de blobs

  1. No portal do Azure, pesquise Contas de armazenamento.
  2. Clique em + Criar.

  3. Informe os seguintes detalhes de configuração:

    Configuração Valor
    Assinatura Selecione a assinatura que contém o espaço de trabalho de análise de dados de registros.
    Grupo de recursos Use o mesmo grupo de recursos do espaço de trabalho (recomendado).
    Nome da conta de armazenamento Insira um nome exclusivo (por exemplo, secopsdefenderblob).
    Região Mesma região do espaço de trabalho da Análise de Dados de Registros (necessário para a exportação de dados).
    Desempenho Standard.
    Redundância LRS (armazenamento com redundância local) ou GRS, de acordo com sua política de durabilidade.

  4. Clique em Revisar + criar e em Criar.

  5. Após a implantação, acesse a conta de armazenamento.

  6. No menu de navegação à esquerda, selecione Contêineres em Repositório de dados.

  7. Clique em + Contêiner.

  8. Informe os seguintes detalhes de configuração:

    • Nome: insira um nome descritivo (por exemplo, defender-cloud-alerts).
    • Nível de acesso público: Particular (sem acesso anônimo).

  9. Clique em Criar.

Configurar uma regra de exportação de dados da Análise de Dados de Registros

  1. No portal do Azure, abra o espaço de trabalho da análise de dados de registros que você selecionou como destino da exportação contínua.
  2. No menu de navegação à esquerda, selecione Exportação de dados em Configurações.
  3. Clique em + Nova regra de exportação.
  4. Informe os seguintes detalhes de configuração:
    • Nome da regra: insira um nome descritivo (por exemplo, defender-alerts-to-blob).
    • Origem: selecione a tabela SecurityAlert (a tabela que a exportação contínua do Defender para nuvem usa para alertas).
    • Tipo de destino: selecione Conta de armazenamento.
    • Assinatura: selecione a assinatura que contém a conta de armazenamento.
    • Conta de armazenamento: selecione a conta de armazenamento que você criou acima.

  5. Clique em Criar.

Receber credenciais da conta de armazenamento

O Google SecOps se autentica na conta de armazenamento com uma chave de acesso compartilhada.

  1. Na conta de armazenamento, selecione Chaves de acesso em Segurança + rede.
  2. Clique em Mostrar chaves.
  3. Localize key1 e copie os seguintes valores:
    • Nome da conta de armazenamento: o nome da conta de armazenamento que você criou.
    • Chave: a chave de acesso compartilhado de 512 bits (codificada em base64).
  4. Salve esses valores com segurança.

Configurar um feed no Google SecOps para ingerir alertas do Microsoft Defender para nuvem (método 2)

  1. Acesse Configurações > Gerenciamento de dados > Feeds. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na página seguinte, clique em Configurar um único feed.
  4. No campo Nome do feed, insira um nome para o feed (por exemplo, Microsoft Defender for Cloud Alerts - Blob).
  5. Selecione Microsoft Azure Blob Storage V2 como o Tipo de origem.
  6. Selecione Microsoft Defender For Cloud como o Tipo de registro.
  7. Clique em Próxima.

  8. Especifique valores para os seguintes parâmetros de entrada:

    • URI do Azure: insira o URL do endpoint do serviço de blob com o caminho do contêiner. Inclua a barra final.

      https://<STORAGE_ACCOUNT>.blob.core.windows.net/<CONTAINER>/

      Substitua:

      • <STORAGE_ACCOUNT>: o nome da sua conta de armazenamento do Azure (por exemplo, secopsdefenderblob).
      • <CONTAINER>: o nome do contêiner de blob em que a exportação de dados da Análise de Dados de Registros armazena as linhas de SecurityAlert (por exemplo, defender-cloud-alerts).

    • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência:

      • Nunca: nunca exclui arquivos após a transferência (recomendado para a configuração inicial e retenção de auditoria).
      • Excluir arquivos transferidos: exclui arquivos após a transferência.
      • Excluir arquivos transferidos e diretórios vazios: exclui arquivos e diretórios vazios após a transferência.

    • Idade máxima do arquivo (dias): inclua arquivos modificados nos últimos dias (o padrão é 180).

    • Chave compartilhada: insira o valor da chave de acesso compartilhada que você capturou da conta de armazenamento.

    • Namespace do recurso: o namespace do recurso.

    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos desse feed.

  9. Clique em Próxima.

  10. Revise a configuração do novo feed na tela Finalizar e clique em Enviar.

Tabela de mapeamento de UDM

Campo de registro mapeamento de UDM Lógica
EndTimeLabel about.labels Mesclado
ProcessingEndTimeLabel about.labels Mesclado
StartTimeLabel about.labels Mesclado
TimeGeneratedLabel about.labels Mesclado
extendedLinkCategoryLabel about.labels Mesclado
extendedLinkLabel about.labels Mesclado
extendedLinkTypeLabel about.labels Mesclado
extendedlinkHrefLabel about.labels Mesclado
EndTimeLabel about.resource.attribute.labels Mesclado
ProcessingEndTimeLabel about.resource.attribute.labels Mesclado
StartTimeLabel about.resource.attribute.labels Mesclado
TimeGeneratedLabel about.resource.attribute.labels Mesclado
extendedLinkCategoryLabel about.resource.attribute.labels Mesclado
extendedLinkLabel about.resource.attribute.labels Mesclado
extendedLinkTypeLabel about.resource.attribute.labels Mesclado
extendedlinkHrefLabel about.resource.attribute.labels Mesclado
EndTimeLabel1 additional.fields Mesclado
IoTHub_ResourceId_label additional.fields Mesclado
IoTHub_Type_label additional.fields Mesclado
Protocols_label additional.fields Mesclado
RemediationSteps_label additional.fields Mesclado
Scopes_label additional.fields Mesclado
StartTimeLabel1 additional.fields Mesclado
TimeGeneratedLabel1 additional.fields Mesclado
account_type additional.fields Mesclado
alert_generation_status_label additional.fields Mesclado
bacnet_service_label additional.fields Mesclado
billed_size_label additional.fields Mesclado
category_label additional.fields Mesclado
event_data_info additional.fields Mesclado
extended_properties_device_id_label additional.fields Mesclado
ip_category additional.fields Mesclado
is_billable_label additional.fields Mesclado
is_learnable_label additional.fields Mesclado
item_id_label additional.fields Mesclado
key additional.fields Mapeado: IpAddress → nic_sub_field
key_value additional.fields Mesclado
mode_label additional.fields Mesclado
nic_field additional.fields Mesclado
nic_sub_field additional.fields Mesclado
owner_label additional.fields Mesclado
processed_by_sentinel_label additional.fields Mesclado
protocol_label additional.fields Mesclado
provider_name_label additional.fields Mesclado
remediation_steps_label additional.fields Mesclado
role_label additional.fields Mesclado
service_object_type additional.fields Mesclado
techniques_label additional.fields Mesclado
tenantIdLabel additional.fields Mesclado
time_received_label additional.fields Mesclado
type_ext_label additional.fields Mesclado
type_label additional.fields Mesclado
value_label additional.fields Mesclado
authentication_type extensions.auth.auth_details Mapeado diretamente
SensorId intermediary.hostname Mapeado diretamente
record.TimeGenerated metadata.event_timestamp Analisado como ISO8601
record.properties.Timestamp metadata.event_timestamp Analisado como ISO8601
record.time metadata.event_timestamp Analisado como ISO8601
has_principal metadata.event_type Mapeado: true → NETWORK_CONNECTION, true → STATUS_UPDATE
record.operationName metadata.product_event_type Mapeado diretamente
raw_event_id metadata.product_log_id Mapeado diretamente
record.SystemAlertId metadata.product_log_id Mapeado diretamente
record.alertId metadata.product_log_id Mapeado diretamente
record.properties.extendedProperties.alert_Id metadata.product_log_id Mapeado diretamente
product_name metadata.product_name Mapeado diretamente
record.properties.productName metadata.product_name Mapeado diretamente
vendor_name metadata.vendor_name Mapeado diretamente
record.properties.RawEventData.AffectedItems.0.InternetMessageId network.email.mail_id Mapeado diretamente
record.properties.RawEventData.Folders.0.FolderItems.0.InternetMessageId network.email.mail_id Mapeado diretamente
record.properties.RawEventData.Item.InternetMessageId network.email.mail_id Mapeado diretamente
email_subject network.email.subject Mesclado
operation network.email.subject Mapeado (tabela de consulta)
record.properties.UserAgent network.http.user_agent Mapeado diretamente
user_agent network.http.user_agent Mapeado diretamente
network_session_id network.session_id Mapeado diretamente
record.ExtendedProperties.accountSessionId network.session_id Mapeado diretamente
record.properties.RawEventData.ClientRequestId network.session_id Mapeado diretamente
record.clientApplication principal.application Mapeado diretamente
record.properties.extendedProperties.clientApplication principal.application Mapeado diretamente
SourceDevice principal.asset.hostname Mapeado diretamente
client_hostname principal.asset.hostname Mapeado diretamente
compromised_hostname principal.asset.hostname Mapeado diretamente
SourceDeviceAddress principal.asset.ip Mapeado: regex IPv4
clientIpAddress principal.asset.ip Mesclado
SourceComputerId principal.asset.product_object_id Mapeado diretamente
SourceDevice principal.hostname Mapeado diretamente
client_hostname principal.hostname Mapeado diretamente
compromised_hostname principal.hostname Mapeado diretamente
SourceDeviceAddress principal.ip Mapeado: regex IPv4
clientIpAddress principal.ip Mesclado
alertLabel principal.labels Mesclado
cityLabel principal.location.city Mapeado diretamente
record.properties.City principal.location.city Mapeado diretamente
countryLabel principal.location.country_or_region Mapeado diretamente
record.clientIpLocation principal.location.country_or_region Mapeado diretamente
record.clientLocation principal.location.country_or_region Mapeado diretamente
record.properties.clientLocation principal.location.country_or_region Mapeado diretamente
record.properties.extendedProperties.clientLocation principal.location.country_or_region Mapeado diretamente
isp principal.location.name Mapeado diretamente
entity.location.latitude principal.location.region_coordinates.latitude Mapeado diretamente
entity.location.longitude principal.location.region_coordinates.longitude Mapeado diretamente
os_platform principal.platform Mapeado: iOS → MAC
record.ExtendedProperties.suspiciousCommandLine principal.process.command_line Mapeado diretamente
record.ExtendedProperties.suspiciousProcess principal.process.file.full_path Mapeado diretamente
record.properties.RawEventData.ClientProcessName principal.process.file.full_path Mapeado diretamente
record.ExtendedProperties.suspiciousProcessId principal.process.pid Mapeado diretamente
account_id principal.resource.attribute.labels Mesclado
account_object_id principal.resource.attribute.labels Mesclado
alertLabel principal.resource.attribute.labels Mesclado
alertLabel1 principal.resource.attribute.labels Mesclado
app_instance_id principal.resource.attribute.labels Mesclado
compromisedEntityLabel principal.resource.attribute.labels Mesclado
compromisedEntityLabel1 principal.resource.attribute.labels Mesclado
correlationKeyLabel principal.resource.attribute.labels Mesclado
effectiveSubscriptionIdLabel principal.resource.attribute.labels Mesclado
object_id principal.resource.attribute.labels Mesclado
object_name principal.resource.attribute.labels Mesclado
object_type principal.resource.attribute.labels Mesclado
potential_causes principal.resource.attribute.labels Mesclado
productComponentNameLabel principal.resource.attribute.labels Mesclado
sql_instance_name_label principal.resource.attribute.labels Mesclado
sql_server_name_label principal.resource.attribute.labels Mesclado
supporting_evidence_label principal.resource.attribute.labels Mesclado
system_alert_id_label principal.resource.attribute.labels Mesclado
zone_interface_label principal.resource.attribute.labels Mesclado
record.properties.extendedProperties.resourceType principal.resource.name Mapeado diretamente
resourceType principal.resource.name Mapeado diretamente
record.ResourceId principal.resource.product_object_id Mapeado diretamente
mailbox_owner_upn principal.user.email_addresses Mesclado
principal_user_display_name principal.user.user_display_name Mapeado diretamente
record.ExtendedProperties.userName principal.user.user_display_name Mapeado diretamente
client_user principal.user.userid Mapeado diretamente
principal_userid principal.user.userid Mapeado diretamente
record.properties.RawEventData.LogonUserSid principal.user.windows_sid Mapeado diretamente
action security_result.action Mesclado
operation security_result.action Mapeado (tabela de consulta)
tacticsLabel security_result.attack_details.tactics Mesclado
category_details_label security_result.category_details Mesclado
threat_category security_result.category_details Mesclado
record.Description security_result.description Mapeado diretamente
record.properties.description security_result.description Mapeado diretamente
KindLabel security_result.detection_fields Mesclado
action_type security_result.detection_fields Mesclado
application_id security_result.detection_fields Mesclado
device_type security_result.detection_fields Mesclado
field security_result.detection_fields Mesclado
incidentdetectionfields security_result.detection_fields Mesclado
incidentdetectionfields1 security_result.detection_fields Mesclado
intent_label security_result.detection_fields Mesclado
is_admin_operation_label security_result.detection_fields Mesclado
is_impersonated_label security_result.detection_fields Mesclado
is_new_label security_result.detection_fields Mesclado
operation security_result.detection_fields Mapeado: MailItemsAccessed → field
product_component_name_ext_label security_result.detection_fields Mesclado
sourcesystemdetectionfields security_result.detection_fields Mesclado
statusdetectionfields security_result.detection_fields Mesclado
statusdetectionfields1 security_result.detection_fields Mesclado
trojan_script_malgent_msr_label security_result.detection_fields Mesclado
vendor_original_id_label security_result.detection_fields Mesclado
violation_count_label security_result.detection_fields Mesclado
report_id security_result.rule_id Mapeado diretamente
alertDisplayName security_result.rule_name Mapeado diretamente
record.AlertName security_result.rule_name Mapeado diretamente
alert_severity security_result.severity Mapeado diretamente
severity security_result.severity Mapeado diretamente
alert_severity security_result.severity_details Mapeado diretamente
record.properties.severity security_result.severity_details Mapeado diretamente
record.DisplayName security_result.summary Mapeado diretamente
summary security_result.summary Mapeado diretamente
record.AlertType security_result.threat_name Mapeado diretamente
record.properties.alertType security_result.threat_name Mapeado diretamente
AlertManagementUri security_result.url_back_to_product Mapeado diretamente
record.properties.RawEventData.Folder.Path src.resource.name Mapeado diretamente
record.properties.RawEventData.Folder.Id src.resource.product_object_id Mapeado diretamente
application target.application Mapeado diretamente
DestinationDevice target.asset.hostname Mapeado diretamente
record.ExtendedProperties.compromisedHost target.asset.hostname Mapeado diretamente
DestinationDeviceAddress target.asset.ip Mapeado: regex IPv4
CompromisedEntityId target.asset.product_object_id Mapeado diretamente
file_name target.file.names Mesclado
operation target.file.names Mapeado (tabela de consulta)
operation target.file.size Mapeado (tabela de consulta)
record.properties.RawEventData.Item.SizeInBytes target.file.size Mapeado diretamente
DestinationDevice target.hostname Mapeado diretamente
originating_server target.hostname Mapeado diretamente
record.ExtendedProperties.compromisedHost target.hostname Mapeado diretamente
DestinationDeviceAddress target.ip Mapeado: regex IPv4
target_process_command_line target.process.command_line Mapeado diretamente
target_process_file target.process.file.full_path Mapeado diretamente
target_process_id target.process.pid Mapeado diretamente
workspaceLabel target.resource.attribute.labels Mesclado
workspaceResourceGroupLabel target.resource.attribute.labels Mesclado
AzureResourceId target.resource.id Mapeado diretamente
record.properties.RawEventData.DestFolder.Path target.resource.name Mapeado diretamente
record.properties.RawEventData.Item.ParentFolder.Path target.resource.name Mapeado diretamente
record._Internal_WorkspaceResourceId target.resource.product_object_id Mapeado diretamente
record.properties.RawEventData.DestFolder.Id target.resource.product_object_id Mapeado diretamente
record.properties.RawEventData.Item.Id target.resource.product_object_id Mapeado diretamente
operation target.user.email_addresses Mapeado (tabela de consulta)
target_user target.user.email_addresses Mapeado: regex de e-mail
N/A metadata.event_type Constante: NETWORK_CONNECTION
N/A metadata.product_name Constante: MICROSOFT_DEFENDER_CLOUD_ALERTS
N/A metadata.vendor_name Constante: MICROSOFT_DEFENDER_CLOUD_ALERTS
N/A principal.platform Constante: MAC
record.ExtendedProperties.clientIpAddress event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
record.ExtendedProperties.clientPrincipalName event.idm.read_only_udm.principal.user.userid Mapeado do registro de alterações
record.ExtendedProperties.clientApplication event.idm.read_only_udm.principal.application Mapeado do registro de alterações
record.ExtendedProperties.Potential causes event.idm.read_only_udm.security_result.summary Mapeado do registro de alterações
record.ExtendedProperties.investigationSteps event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
record.ExtendedProperties.alertId event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
Entity.FriendlyName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entity.SourceAddress.Type event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entity.EntityIds event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entity.Metadata.IsGraphCenter event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
record.ExtendedProperties event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entities.FriendlyName event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha1 Mapeado do registro de alterações
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.md5 Mapeado do registro de alterações
Entities.FileHashes.FriendlyName event.idm.read_only_udm.target.file.sha256 Mapeado do registro de alterações
Entities.AzureResourceId event.idm.read_only_udm.target.resource.product_object_id Mapeado do registro de alterações
Entities.ResourceType event.idm.read_only_udm.target.resource.resource_subtype Mapeado do registro de alterações
Entities.ResourceName event.idm.read_only_udm.target.resource.name Mapeado do registro de alterações
Entities.SourceAddress.Location.CountryName event.idm.read_only_udm.location.country_or_region Mapeado do registro de alterações
Entities.SourceAddress.Location.City event.idm.read_only_udm.location.city Mapeado do registro de alterações
Entities.SourceAddress.Location.State event.idm.read_only_udm.location.state Mapeado do registro de alterações
Entities.SourceAddress.Location.Longitude event.idm.read_only_udm.location.region_coordinates.longitude Mapeado do registro de alterações
Entities.SourceAddress.Location.Latitude event.idm.read_only_udm.location.region_coordinates.latitude Mapeado do registro de alterações
Entities.SourceAddress.Location.Asn event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entities.SourceAddress.Location.Carrier event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entities.SourceAddress.Location.Organization event.idm.read_only_udm.principal.network.organization_name Mapeado do registro de alterações
RecommendationLink event.idm.read_only_udm.metadata.url_back_to_product Mapeado do registro de alterações
Properties.status.statusChangeDate event.idm.read_only_udm.security_result.last_updated_time Mapeado do registro de alterações
StatusChangeDate event.idm.read_only_udm.target.resource.attribute.last_update_time Mapeado do registro de alterações
Type event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de alterações
_TimeReceived event.idm.read_only_udm.metadata.collected_timestamp Mapeado do registro de alterações
Properties.additionalData.scanId event.idm.read_only_udm.observer.resource.product_object_id Mapeado do registro de alterações
Properties.additionalData.parentResource event.idm.read_only_udm.target.resource_ancestors.product_object_id Mapeado do registro de alterações
Properties.additionalData.databasePlatform event.idm.read_only_udm.target.resource.resource_subtype Mapeado do registro de alterações
Properties.metadata_data.techniques.0 event.idm.read_only_udm.security_result.attack_details.techniques.name Mapeado do registro de alterações
Properties.links.azurePortal event.idm.read_only_udm.security_result.url_back_to_product Mapeado do registro de alterações
Properties.displayName event.idm.read_only_udm.security_result.summary Mapeado do registro de alterações
Properties.additionalData.ruleId event.idm.read_only_udm.security_result.rule_id Mapeado do registro de alterações
Properties.additionalData.scanner event.idm.read_only_udm.observer.resource.name Mapeado do registro de alterações
Properties.resourceDetails.id event.idm.read_only_udm.target.resource.product_object_id Mapeado do registro de alterações
Properties.resourceDetails.resourceName event.idm.read_only_udm.target.resource.name Mapeado do registro de alterações
Properties.resourceDetails.resourceProvider event.idm.read_only_udm.target.resource_ancestors.name Mapeado do registro de alterações
FirstEvaluationDate event.idm.read_only_udm.security_result.first_discovered_time Mapeado do registro de alterações
DiscoveredTimeUTC event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de alterações
RecommendationDisplayName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Recommendation DisplayName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RecommendationId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Recommendation Id event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RecommendationName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Recommendation Name event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RecommendationSeverity event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Recommendation Severity event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RecommendationState event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Recommendation State event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RemediationDescription event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Remediation_Description event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
SourceSystem event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Source System event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
_ItemId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Item Id event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.displayName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Metadata Display Name event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.assessmentType event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Assessment Type event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.policyDefinitionId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Policy Definition Id event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.description event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Metadata Description event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.remediationDescription event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Remediation Description event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.preview event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Preview event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.severity event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Metadata Severity event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.userImpact event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
User Impact event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.implementationEffort event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Implementation Effort event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.publishDates.public event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Public Publish Date event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.cloudProviders event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Cloud Providers %{index} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.managementProvider event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Management Provider event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.securityIssue event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Security Issue event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.recommendationCategory event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Recommendation Category event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
_IsBillable event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Is Billable event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
_BilledSize event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Billed Size event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
IsSnapshot event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Is Snapshot event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ResourceTenantId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Resource Tenant ID event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.additionalData.hasBaseline event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Has Baseline event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.additionalData.query event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Query event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.additionalData.remediationDescription event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Additional Remediation Description event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.additionalData.remediationQuery event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Remediation Query event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.additionalData.impact event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Impact event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
benchmarks.json_array2.item.reference event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Benchmark Reference event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.status.firstEvaluationDate event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
First Evaluation Date event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.resourceDetails.nativeResourceId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Native Resource ID event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
benchmarks.json_array2.item.benchmark Chave Benchmark para event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.securityCategories Chave Security Categories para event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.metadata_data.categories Chave Metadata Categories para event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Properties.additionalData.scanTime event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
scanTime event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
Properties.status.code event.idm.read_only_udm.security_result.outcomes Mapeado do registro de alterações
Status Code event.idm.read_only_udm.security_result.outcomes Mapeado do registro de alterações
Properties.status.cause event.idm.read_only_udm.security_result.outcomes Mapeado do registro de alterações
status_cause event.idm.read_only_udm.security_result.outcomes Mapeado do registro de alterações
Properties.resourceDetails.resourceType event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Resource Type event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
record.TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de alterações
record.ExtendedProperties.suspiciousProcessId event.idm.read_only_udm.principal.process.pid Mapeado do registro de alterações
record.ExtendedProperties.suspiciousProcess event.idm.read_only_udm.principal.process.file.full_path Mapeado do registro de alterações
record.ExtendedProperties.suspiciousCommandLine event.idm.read_only_udm.principal.process.command_line Mapeado do registro de alterações
record.ExtendedProperties.userName event.idm.read_only_udm.principal.user.user_display_name Mapeado do registro de alterações
record.ExtendedProperties.compromisedHost event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de alterações
record.ExtendedProperties.accountSessionId event.idm.read_only_udm.network.session_id Mapeado do registro de alterações
SourceDeviceAddress event.idm.read_only_udm.principal.ip Mapeado do registro de alterações
SourceDeviceAddress event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
DestinationDeviceAddress event.idm.read_only_udm.target.ip Mapeado do registro de alterações
DestinationDeviceAddress event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
SourceDevice event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mapeado do registro de alterações
SourceDevice event.idm.read_only_udm.principal.asset.hostname Mapeado do registro de alterações
DestinationDevice event.idm.read_only_udm.target.hostname Mapeado do registro de alterações
DestinationDevice event.idm.read_only_udm.target.asset.hostname Mapeado do registro de alterações
SourceComputerId event.idm.read_only_udm.principal.asset.product_object_id Mapeado do registro de alterações
CompromisedEntityId event.idm.read_only_udm.target.asset.product_object_id Mapeado do registro de alterações
SensorId event.idm.read_only_udm.intermediary.hostname Mapeado do registro de alterações
Category event.idm.read_only_udm.security_result.category_details Mapeado do registro de alterações
AlertManagementUri event.idm.read_only_udm.security_result.url_back_to_product Mapeado do registro de alterações
record.VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
VendorOriginalId event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
ProductComponentName event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
ViolationCount event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
isNew event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
record.ProviderName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ProviderName event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
DeviceId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ExtendedProperties_DeviceId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
_TimeReceived event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Type event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
BACnet Service event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
bacnet_service event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Protocol event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
isLearnable event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
RemediationSteps event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Techniques event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Alert generation status event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
ProcessedBySentinel event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
record.Entities event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Entity: %{key}_%{index} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
IoTHub.ResourceId event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
IoTHub_ResourceId_%{index} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
IoTHub.Type event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
IoTHub_Type_%{index} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Owners event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Owners_%{index}_%{owner_index} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Nics event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Nics_%{index}_%{nic_index}_IpAddress_%{sub_key} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Nics_%{index}_%{nic_index}_%{key} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Protocols event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
Protocols_%{index} event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
record.properties.RawEventData.ClientProcessName event.idm.read_only_udm.principal.process.file.full_path Mapeado do registro de alterações
record.properties.RawEventData.ClientRequestId event.idm.read_only_udm.network.session_id Mapeado do registro de alterações
record.properties.RawEventData.LogonUserSid event.idm.read_only_udm.principal.user.windows_sid Mapeado do registro de alterações
record.properties.RawEventData.MailboxOwnerUPN event.idm.read_only_udm.principal.user.email_addresses Mapeado do registro de alterações
record.properties.ISP event.idm.read_only_udm.principal.location.name Mapeado do registro de alterações
record.properties.RawEventData.OriginatingServer event.idm.read_only_udm.target.hostname Mapeado do registro de alterações
record.properties.Application event.idm.read_only_udm.target.application Mapeado do registro de alterações
record.properties.ReportId event.idm.read_only_udm.security_result.rule_id Mapeado do registro de alterações
record.properties.IsImpersonated event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
record.properties.IsAdminOperation event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
zone_interface event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.extendedProperties.potential causes event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.extendedProperties.productComponentName event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.extendedProperties.effectiveSubscriptionId event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.extendedProperties.sql server name event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.extendedProperties.sql instance name event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.supportingEvidence event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.systemAlertId event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
record.properties.RawEventData.UserId event.idm.read_only_udm.principal.user.userid Mapeado do registro de alterações
record.properties.RawEventData.Id event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.