Collecter les journaux d'événements Windows (format XML)

Compatible avec :

Ce document explique comment ingérer des journaux d'événements Windows au format XML dans Google Security Operations à l'aide de l'agent Bindplane.

Le journal des événements Windows (format XML) contient des événements de sécurité, système et d'application générés par le système d'exploitation Windows. L'agent Bindplane collecte les fichiers journaux d'événements Windows exportés directement à partir du système de fichiers local.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure avec prise en charge du service observiq-otel-collector
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès administrateur aux hôtes Windows générant des journaux d'événements

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent BindPlane pour ingérer les journaux et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  filelog:
    include:
      - C:\Logs\winevtlog\*.evtx
    start_at: beginning

exporters:
  chronicle/winevtlog_xml:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: WINEVTLOG_XML
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/winevtlog_xml_to_chronicle:
      receivers:
        - filelog
      exporters:
        - chronicle/winevtlog_xml

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • filelog : type de récepteur pour collecter les fichiers journaux à partir du disque.
    • include : liste des chemins d'accès aux fichiers à surveiller. Définissez cet argument sur l'emplacement où vous exportez les journaux d'événements Windows (par exemple, C:\Logs\winevtlog\*.evtx).
    • start_at : défini sur beginning pour lire les journaux existants ou sur end pour ne lire que les nouvelles entrées.

  • Configuration de l'exportateur :

    • winevtlog_xml : nom descriptif de l'exportateur
    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id> : ID client de l'étape précédente
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
    • WINEVTLOG_XML : type de journal tel qu'il apparaît dans Chronicle
    • ingestion_labels : étiquettes facultatives au format YAML (par exemple, env: production)

  • Configuration du pipeline :

    • winevtlog_xml_to_chronicle : nom descriptif du pipeline

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/winevtlog_xml:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: WINEVTLOG_XML
    raw_log_field: body
    ingestion_labels:
      env: production

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :

    Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services

      1. Appuyez sur la touche Windows + R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Restart.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer l'exportation du journal des événements Windows

Les journaux d'événements Windows sont stockés dans des canaux tels que "Sécurité", "Système" et "Application". Vous devez exporter ces journaux vers des fichiers sur disque afin que l'agent Bindplane puisse les collecter.

  1. Créez un répertoire pour stocker les fichiers journaux exportés :

    mkdir C:\Logs\winevtlog

  2. Exportez les journaux d'événements Windows à l'aide de wevtutil. Vous pouvez exporter n'importe quelle combinaison de canaux de journaux d'événements :

    wevtutil epl "Security" C:\Logs\winevtlog\security.evtx

    wevtutil epl "System" C:\Logs\winevtlog\system.evtx

    wevtutil epl "Application" C:\Logs\winevtlog\application.evtx

  3. (Facultatif) Planifiez des exportations régulières à l'aide du Planificateur de tâches Windows :

    $action = New-ScheduledTaskAction -Execute "wevtutil" -Argument 'epl "Security" C:\Logs\winevtlog\security.evtx /ow:true'
$trigger = New-ScheduledTaskTrigger -RepetitionInterval (New-TimeSpan -Hours 1) -Once -At (Get-Date)
Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "ExportWinEvtLogs" -Description "Export Windows Event logs for Bindplane agent"

  4. Vérifiez que les fichiers journaux exportés sont créés dans `C:\Logs\winevtlog`.

  5. Assurez-vous que le chemin d'accès de l'agent Bindplane include dans config.yaml correspond au répertoire d'exportation.

Table de mappage UDM

Champ du journal Mappage UDM Logique
EventID metadata.product_event_type Valeur copiée directement
RecordNumber metadata.product_log_id Valeur copiée directement
Message, Description, msg metadata.description Valeur copiée directement
metadata.event_type Définie de manière dynamique en fonction du contenu de l'événement (par exemple, NETWORK_CONNECTION, STATUS_UPDATE, NETWORK_DNS, GENERIC_EVENT)
metadata.product_name Définissez cette option sur "Windows".
metadata.vendor_name Défini sur "Microsoft"
ModuleVersion, ProductVersion metadata.product_version Valeur copiée directement
ProviderGuid metadata.product_deployment_id Valeur copiée directement
Ordinateur, Hôte, Poste de travail, Nom du poste de travail principal.asset.hostname Valeur copiée directement
IpAddress, SourceAddress, client_ip principal.asset.ip Valeur copiée directement
Computer, Host, Workstation, WorkstationName principal.hostname Valeur copiée directement
IpAddress, SourceAddress, client_ip principal.ip Valeur copiée directement
SourcePort, LocalPort, Client_port principal.port Valeur copiée directement, convertie en entier
SubjectUserName, AccountName principal.user.userid Valeur copiée directement
SubjectUserSid principal.user.windows_sid Valeur copiée directement
AccountDomain, SubjectDomainName, Domain principal.administrative_domain Valeur copiée directement
Source, SourceName, EventSourceName principal.application Valeur copiée directement
ProviderGuid principal.asset_id Préfixé par "Provider_GUID:"
SubjectLogonId principal.labels Ajouté en tant que libellé avec la clé "SubjectLogonId"
TargetUserName target.user.userid Valeur copiée directement
TargetUserSid target.user.windows_sid Valeur copiée directement
TargetDomainName target.hostname Valeur copiée directement
DestAddress, Destination target.ip Valeur copiée directement
NewProcessName, ProcessName, ObjectName target.process.file.full_path Valeur copiée directement
NewProcessId, ProcessId, TargetProcessId target.process.pid Valeur copiée directement
HostApplication, ServiceName target.process.command_line Valeur copiée directement
MD5 target.process.file.md5 Valeur copiée directement
SHA1 target.process.file.sha1 Valeur copiée directement
SHA256 target.process.file.sha256 Valeur copiée directement
ObjectName, TargetObject target.registry.registry_value_name Valeur copiée directement (pour les événements de registre)
Détails target.registry.registry_value_data Valeur copiée directement (pour les événements de registre)
ObjectType, Task target.resource.type Valeur copiée directement
ObjectName, RuleName target.resource.name Valeur copiée directement
TargetSid, ObjectGUID target.resource.id Valeur copiée directement
ObjectClass target.resource.resource_subtype Valeur copiée directement
LogonType extensions.auth.auth_details Préfixé par "Type de connexion :"
extensions.auth.type Défini en fonction du type de connexion (MACHINE, SSO, AUTHTYPE_UNSPECIFIED)
HTTPMethod network.http.method Valeur copiée directement
StatusCode network.http.response_code Valeur copiée directement, convertie en entier
UserAgent network.http.user_agent Valeur copiée directement
network.application_protocol Définissez cette option sur "DNS" pour les événements DNS.
network.direction Définissez cette option sur INBOUND ou OUTBOUND en fonction du contexte de l'événement.
network.ip_protocol Définie en fonction du protocole (TCP, UDP, ICMP)
Canal additional.fields Ajouté en tant que libellé avec la clé "Channel"
ActivityID additional.fields Ajouté en tant qu'étiquette avec la clé "ActivityID"
LogonType additional.fields Ajouté en tant qu'étiquette avec la clé "LogonType"
Niveau additional.fields Ajouté en tant qu'étiquette avec la clé "level"
SourceModuleType observer.application Valeur copiée directement
AuthenticationPackageName event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
agent_eventid event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
column4 event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
Logon Account event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
prod_event_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
EventSourceName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
EventIDQualifiers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ipv6_zone_index event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
FQDN event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
FQDN event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
ServiceSid event.idm.read_only_udm.extensions.auth.auth_details Mappé à partir du journal des modifications
details.Object.Handle ID event.idm.read_only_udm.target.resource.id Mappé à partir du journal des modifications
details.New Logon.Logon ID event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
details.Account Information.Account Domain event.idm.read_only_udm.target.administrative_domain Mappé à partir du journal des modifications
details.Operation.Accesses event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
ElevatedToken event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
elevated_token event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
ReadOperation event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details_Subject_Read_Operation event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
TargetName event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
AccessList event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
ClientProcessStartKey event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
RpcCallClientLocality event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
ServiceName event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
CountOfCredentialsReturned event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
PrivilegeList event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
TargetLinkedLogonId event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
TaskName event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
TaskContentNew event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
details_Logon_Process_Name event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
details_Object_Object_Type event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
details_Object_Object_Server event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
details_Access_Mask event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
details_Object_Object_Name event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
details_Service_Information_Available_Keys event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
ProcessCreationTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AdditionalInfo2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ObjectName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Additional_Information_Parameter_2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VirtualAccount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ReturnCode event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ImpersonationLevel event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TargetLogonId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TicketOptions event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TicketEncryptionType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SessionKeyEncryptionType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RequestTicketHash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ResponseTicketHash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ServiceSupportedEncryptionTypes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ServiceAvailableKeys event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DCSupportedEncryptionTypes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
DCAvailableKeys event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ClientAdvertizedEncryptionTypes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details.Privileges event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_New_Logon_Security_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Additional_Information_Parameter_1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_New_Logon_Account_Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_New_Logon_Linked_Logon_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
impersonation_level event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
correlation_activity_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Account_Information_Account_Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Account_Information_Logon_GUID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Operation_Operation_Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_additional_information_failure_code event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Additional_Information_Ticket_Options event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Additional_Information_Ticket_Encryption_Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Additional_Information_Session_Encryption_Type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Domain_Controller_Information_Available_Keys event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Domain_Controller_Information_MSDS_SupportedEncryptionTypes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Service_Information_Service_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
network_information_client_port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details.Network_Information.Advertized_Etypes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
response_ticket_hash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request_ticket_hash event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details_Subject_Logon_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
network_information_client_address event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
network_information_client_address event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
ClientProcessId event.idm.read_only_udm.target.process.pid Mappé à partir du journal des modifications
ParentProcessId event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
details_Service_Information_Service_Name event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
SourceName event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
Source event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
provider.name event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
prod_name event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
EventSourceName event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
NewProcessId event.idm.read_only_udm.target.process.pid Mappé à partir du journal des modifications
details.Network Information.Source Network Address event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
details.Network Information.Source Network Address event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
details.Account For Which Logon Failed.Security ID event.idm.read_only_udm.target.user.product_object_id Mappé à partir du journal des modifications
details.Detailed Authentication Information.Logon Process event.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
details.Failure Information.Failure Reason event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
event_id.qualifiers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TargetUserSid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
WorkstationName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogonType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AuthenticationPackageName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
KeyLength event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogonProcessName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details.Network Information.Source Port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details.Account For Which Logon Failed.Account Name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Msg_1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
details.Account For Which Logon Failed.Account Domain event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
version event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Detailed Authentication Information.Key Length event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
keywords event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Detailed Authentication Information.Authentication Package event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Failure Information.Status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Failure Information.Sub Status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Process Information.Caller Process ID event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Subject.Security ID event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
details.Network Information.Workstation Name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
SamAccountName event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
UserPrincipalName event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
HomeDirectory event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
HomePath event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
ScriptPath event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
ProfilePath event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
UserWorkstations event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
PasswordLastSet event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
AccountExpires event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
PrimaryGroupId event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
AllowedToDelegateTo event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
OldUacValue event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
NewUacValue event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
UserAccountControl event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
UserParameters event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
LogonHours event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
ServicePrincipalNames event.idm.read_only_udm.target.user.attribute.labels Mappé à partir du journal des modifications
DisplayName event.idm.read_only_udm.target.user.user_display_name Mappé à partir du journal des modifications
UserPrincipalName event.idm.read_only_udm.target.user.email_addresses Mappé à partir du journal des modifications
DnsHostName event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
DnsHostName event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
EventReceivedTime event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
SourceModuleName event.idm.read_only_udm.principal.resource.name Mappé à partir du journal des modifications
Opcode event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
ComputerAccountChange event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
ProcessID event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
ThreadID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SeverityValue event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Category event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PrivilegeList event.idm.read_only_udm.principal.user.attribute.labels Mappé à partir du journal des modifications
SourceName event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
EventIdx event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
EventCountTotal event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record.owner event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
record.logGroup event.idm.read_only_udm.security_result.about.resource.name Mappé à partir du journal des modifications
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels Mappé à partir du journal des modifications
Provider event.idm.read_only_udm.security_result.about.resource.attribute.labels Mappé à partir du journal des modifications
record.messageType event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
OldSd event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
NewSd event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
logEvent.id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
Address event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AddressLength event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Keyword event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
BinaryId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Opcode event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
param1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
param2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PrivilegeList event.idm.read_only_udm.target.resource.resource_subtype Mappé à partir du journal des modifications
Version event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
Channel_type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
TimeGenerated event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
SystemProcessId event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
EventRecordId event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
SourceComputerId event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
ManagementGroupName event.idm.read_only_udm.principal.group.group_display_name Mappé à partir du journal des modifications
SystemThreadId event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
EventLevelName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TenantId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogonTypeName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Activity event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
MG event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_SubscriptionId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_ItemId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_IsBillable event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_BilledSize event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_Internal_WorkspaceResourceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TimeCollected event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
SystemUserId event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
_ResourceId event.idm.read_only_udm.principal.resource.product_object_id Mappé à partir du journal des modifications
EventSourceName event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
EventOriginId event.idm.read_only_udm.target.process.product_specific_process_id Mappé à partir du journal des modifications
SourceSystem event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
OldTargetUserName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
NewTargetUserName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
NewTargetUserName event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
SAM Account Name event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
Display Name event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
User Workstations event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
Account Expires event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
Primary Group ID event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
DNS Host Name event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
User Principal Name event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
Service Principal Names event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
Home Directory event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Home Drive event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Script Path event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Profile Path event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AllowedToDelegateTo event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Old UAC Value event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
New UAC Value event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
User Account Control event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
User Parameters event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SID History event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Logon Hours event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
additional_information event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Description_data event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Version event1.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
UserName event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
param1 event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
param3 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
param4 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sourceHealthServiceId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
/Event[%{index}]/TaskName event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
computer event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
computer event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
SubjectUserSid event.idm.read_only_udm.principal.user.windows_sid Mappé à partir du journal des modifications
IpAddress event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
IpAddress event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
IpPort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
LogonGuid event.idm.read_only_udm.principal.resource.product_object_id Mappé à partir du journal des modifications
ProcessId event.idm.read_only_udm.target.process.pid Mappé à partir du journal des modifications
ProcessName event.idm.read_only_udm.target.process.file.full_path Mappé à partir du journal des modifications
SubjectDomainName event.idm.read_only_udm.principal.administrative_domain Mappé à partir du journal des modifications
SubjectUserName event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
SubjectLogonId event.idm.read_only_udm.principal.labels Mappé à partir du journal des modifications
TargetDomainName event.idm.read_only_udm.target.administrative_domain Mappé à partir du journal des modifications
TargetUserName event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
TargetServerName event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
TargetLogonGuid event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
TargetInfo event.idm.read_only_udm.target.labels Mappé à partir du journal des modifications
execution.process_id event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
provider.guid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
system_time event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
execution.thread_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
provider.name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
task event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
opcode event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ServiceFileName event1.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
Computer event1.idm.read_only_udm.principal.hostname et event1.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
OriginatingComputer event1.idm.read_only_udm.principal.ip et event1.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
AccountName event1.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
ServiceAccount event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProviderName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
loggingSourceName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Pid event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
Description event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
EventTickCount event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProductVersion event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
ActivityID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ModuleVersion event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
AppPath event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
QXID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
GUID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Flags event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
CacheScope event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RecursionScope event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
RD event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Source event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
Source event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
InterfaceIP event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
cat event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SecurityId event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AccountName event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
LogonId event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
HandleId event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OperationType event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
NewValueType event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OldValueType event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
OldValue event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
application event1.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
message event1.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
AccountDomain event1.idm.read_only_udm.principal.administrative_domain Mappé à partir du journal des modifications
ProcessName event1.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
xmlns event1.idm.read_only_udm.principal.url Mappé à partir du journal des modifications
SourceName event1.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
ProviderGuid event1.idm.read_only_udm.principal.asset_id Mappé à partir du journal des modifications
powershell_command event.idm.read_only_udm.security_result.about.process.command_line Mappé à partir du journal des modifications
scriptblock_id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Destination event1.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
Destination event1.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
qname event1.idm.read_only_udm.network.dns.questions.name Mappé à partir du journal des modifications
qtype event1.idm.read_only_udm.network.dns.questions.type Mappé à partir du journal des modifications
InterfaceIP event1.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
InterfaceIP event1.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
Flags event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
zone event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
xid event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dnssec event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
PacketData event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
BufferSize event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rcode event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AA event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
TCP event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ElapsedTime event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AD event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
AdditionalInfo event1.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
port event1.idm.read_only_udm.target.port Mappé à partir du journal des modifications
rcode event1.idm.read_only_udm.network.dns.response_code Mappé à partir du journal des modifications
SECURITY_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ingestion_source metadata.ingestion_labels Mappé à partir du journal des modifications
details.Creator Subject.Account Domain principal.administrative_domain Mappé à partir du journal des modifications
details.Creator Subject.Logon ID additional.fields Mappé à partir du journal des modifications
details.Creator Subject.Account Name principal.user.userid Mappé à partir du journal des modifications
details.Creator Subject.Security ID principal.user.windows_sid Mappé à partir du journal des modifications
details.Process Information.Creator Process ID principal.process.pid Mappé à partir du journal des modifications
details.Process Information.Creator Process Name principal.process.file.full_path Mappé à partir du journal des modifications
details.Process Information.Mandatory Label target.labels Mappé à partir du journal des modifications
details.Process Information.New Process ID target.process.pid Mappé à partir du journal des modifications
details.Process Information.New Process Name target.process.file.full_path Mappé à partir du journal des modifications
details.Process Information.Process Command Line target.process.command_line Mappé à partir du journal des modifications
details.Process Information.Token Elevation Type security_result.detection_fields Mappé à partir du journal des modifications
details.Target Subject.Account Domain target.administrative_domain Mappé à partir du journal des modifications
details.Target Subject.Account Name target.user.userid Mappé à partir du journal des modifications
details.Target Subject.Logon ID target.user.windows_sid Mappé à partir du journal des modifications
details.Target Subject.Security ID target.user.windows_sid Mappé à partir du journal des modifications
details.Process Information.Process ID principal.process.pid Mappé à partir du journal des modifications
details.Process Information.Process Name principal.process.file.full_path Mappé à partir du journal des modifications
details.Subject.Account Domain principal.administrative_domain Mappé à partir du journal des modifications
details.Subject.Account Name principal.user.userid Mappé à partir du journal des modifications
details.Subject.Logon ID additional.fields Mappé à partir du journal des modifications
details.Subject.Security ID principal.user.windows_sid Mappé à partir du journal des modifications
details.Transaction Information.New State sec_result.detection_fields Mappé à partir du journal des modifications
details.Transaction Information.RM Transaction ID network.session_id Mappé à partir du journal des modifications
details.Transaction Information.Resource Manager target.resource.name Mappé à partir du journal des modifications
details.Additional_Context security_result.detection_fields Mappé à partir du journal des modifications
event_id.id security_result.rule_name Mappé à partir du journal des modifications
computer intermediary.hostname Mappé à partir du journal des modifications
channel security_result.summary Mappé à partir du journal des modifications
Library target.file.full_path Mappé à partir du journal des modifications
ServiceName target.application Mappé à partir du journal des modifications
ServiceFileName target.process.file.full_path Mappé à partir du journal des modifications
ServiceType", "ServiceStartType security_result.detection_fields Mappé à partir du journal des modifications
ServiceAccount target.user.userid Mappé à partir du journal des modifications
IpAddress1 principal.ip Mappé à partir du journal des modifications
hostname_prin principal.hostname Mappé à partir du journal des modifications
Account Name target.yser.userid Mappé à partir du journal des modifications
AttributeSyntaxOID" and "OperationType additional.fields Mappé à partir du journal des modifications
DomainPolicyChanged security_result.detection_fields Mappé à partir du journal des modifications
MemberSid principal.resource.attribute.labels Mappé à partir du journal des modifications
source about.process.command_line Mappé à partir du journal des modifications
task_command principal.process.file.full_path Mappé à partir du journal des modifications
Param1 target.user.userid Mappé à partir du journal des modifications
Param2 principal.administrative_domain Mappé à partir du journal des modifications
Param3 principal.ip Mappé à partir du journal des modifications
SubjectUserName" and "SubjectUserSid additional.fields Mappé à partir du journal des modifications
Hostname additional.fields Mappé à partir du journal des modifications
UserRight", and "AuditSourceName security_result.detection_fields Mappé à partir du journal des modifications
PackageName security_result.detection_fields Mappé à partir du journal des modifications
AgentLogFile additional.fields Mappé à partir du journal des modifications
SubjectAccountName principal.user.userid Mappé à partir du journal des modifications
TargetServerName additional.fields Mappé à partir du journal des modifications
Privileges security_result.detection_fields Mappé à partir du journal des modifications
AccessRight additional.fields Mappé à partir du journal des modifications
ShareName target.file.names Mappé à partir du journal des modifications
LmPackageName target.labels Mappé à partir du journal des modifications
Hostname principal.asset.hostname Mappé à partir du journal des modifications
WorkstationName", "TargetAccountDomain", "SourceAddress", "DSName", "database_name", and "target_hostname target.asset.hostname Mappé à partir du journal des modifications
Properties target.resource.attribute.labels Mappé à partir du journal des modifications
TargetLogonId", "AccessMask", "CertIssuerName", "TicketOptions", "TargetUserName", "AttributeLDAPDisplayName", "AttributeValues", "ObjectDN additional.fields Mappé à partir du journal des modifications
UserID principal.user.userid Mappé à partir du journal des modifications
UserID target.user.userid Mappé à partir du journal des modifications
Event.System.Provider@Name event1.principal.application Mappé à partir du journal des modifications
Event.System.Correlation@ActivityID event1.security_result.detection_fields Mappé à partir du journal des modifications
Event.System.Execution@ProcessID event1.principal.process.pid Mappé à partir du journal des modifications
Event.EventData.Data@SubjectUserName event1.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
Event.EventData.Data@SubjectDomainName event1.idm.read_only_udm.principal.administrative_domain Mappé à partir du journal des modifications
Event.EventData.Data@Workstation event1.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
Event.EventData.Data@TargetUserName event1.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
Event.EventData.Data@TargetDomainName event1.idm.read_only_udm.target.administrative_domain Mappé à partir du journal des modifications
Keywords additional.fields Mappé à partir du journal des modifications
AttributeLDAPDisplayName target.resource.attribute.labels Mappé à partir du journal des modifications
PrincipalDomain principal.administrative_domain Mappé à partir du journal des modifications
PrincipalAccountName principal.user.userid Mappé à partir du journal des modifications
TargetAccountName target.user.userid Mappé à partir du journal des modifications
TargetDomain target.administrative_domain Mappé à partir du journal des modifications
Logon GUID principal.resource.id Mappé à partir du journal des modifications
ProcessID target.process.pid Mappé à partir du journal des modifications
Security_ID", "VirtualAccount", "EventCategory", "ImpersonationLevel", "LinkedLogonID", "NetworkAccountName", "NetworkAccountDomain",and "RestrictedAdminMode security_result.detection_fields Mappé à partir du journal des modifications
LogonID" and "TargetLogonID about.labels Mappé à partir du journal des modifications
AgentDevice additional.fields Mappé à partir du journal des modifications
EventType target.registry.registry_key Mappé à partir du journal des modifications
ProcessId principal.process.pid Mappé à partir du journal des modifications
SourceName target.application Mappé à partir du journal des modifications
ProviderGuid target.resource.product_object_id Mappé à partir du journal des modifications
Account Name principal.user.userid Mappé à partir du journal des modifications
Account Domain principal.administrative_domain Mappé à partir du journal des modifications
Workstation Name principal.hostname Mappé à partir du journal des modifications
Caller Process Id principal.process.pid Mappé à partir du journal des modifications
Source Network Address principal.ip Mappé à partir du journal des modifications
Source Port principal.port Mappé à partir du journal des modifications
Logon Process additional.fields Mappé à partir du journal des modifications
Opcode about.labels Mappé à partir du journal des modifications
ImpersonationLevel about.labels Mappé à partir du journal des modifications
TargetHandleId about.labels Mappé à partir du journal des modifications
RestrictedAdminMode about.labels Mappé à partir du journal des modifications
TargetOutboundDomainName target.user.attribute.labels Mappé à partir du journal des modifications
KeyLength target.labels Mappé à partir du journal des modifications
TargetLogonId target.labels Mappé à partir du journal des modifications
TransmittedServices target.labels Mappé à partir du journal des modifications
TargetLinkedLogonId target.labels Mappé à partir du journal des modifications
VirtualAccount target.labels Mappé à partir du journal des modifications
OldSd target.resource.attribute.labels Mappé à partir du journal des modifications
NewSd target.resource.attribute.labels Mappé à partir du journal des modifications
Channel", "SubjectLogonId", and "ThreadId additional.labels Mappé à partir du journal des modifications
TargetDomainName target.administrative_domain Mappé à partir du journal des modifications
Keywords","Channel","Level","SChannelName","SChannelType","Opcode `` Mappé à partir du journal des modifications
ThreadID target.resource.attribute.labels Mappé à partir du journal des modifications
UserID target.user.windows_sid Mappé à partir du journal des modifications
ProductName" and "ProductVersion metadata.product_version Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.