Recopila registros de acceso de Microsoft Entra ID

Compatible con:

En este documento, se explica cómo recopilar registros de acceso de Microsoft Entra ID (antes Azure Active Directory) configurando un feed de Google Security Operations. Puedes configurar la transferencia con dos métodos: Azure Event Hub (recomendado) o la API de terceros.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Acceso con privilegios al portal de Microsoft Azure
  • Rol de administrador de seguridad o administrador global en Microsoft Entra ID (obligatorio para la configuración de diagnóstico)
  • Para el método de API de terceros, uno de los siguientes roles para otorgar consentimiento del administrador:
    • Administrador global: Puede otorgar consentimiento para cualquier permiso y cualquier API.
    • Administrador de roles con privilegios: Puede otorgar consentimiento para cualquier permiso y para cualquier API.
    • Administrador de aplicaciones en la nube: Puede otorgar consentimiento para cualquier permiso de cualquier API, excepto los roles de la app de Microsoft Graph (permisos de aplicación).

Este método transmite registros de acceso de Microsoft Entra ID a través de Azure Event Hub con la configuración de diagnóstico. Google SecOps ingiere los registros directamente desde el Centro de eventos con el tipo de feed de Centro de eventos de Azure.

Crea un espacio de nombres de Event Hub

Un espacio de nombres de Event Hubs es un contenedor de administración para uno o más Event Hubs.

  1. En el portal de Azure, busca Event Hubs.
  2. Haz clic en + Crear.

  3. Proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Suscripción Selecciona tu suscripción a Azure
    Grupo de recursos Seleccionar una base de datos existente o ingresar un nombre nuevo
    Nombre del espacio de nombres Ingresa un nombre único (por ejemplo, secops-entraid-signin).
    Ubicación Selecciona la región más cercana a tu inquilino de Microsoft Entra
    Nivel de precios Estándar (recomendado para producción)
    Unidades de capacidad de procesamiento Comienza con 1, habilita la función de inflado automático (recomendado)

  4. Haz clic en Revisar + crear.

  5. Revisa la descripción general y haz clic en Crear.

  6. Espera a que se complete la implementación (de 1 a 2 minutos).

Crea el centro de eventos

  1. Después de implementar el espacio de nombres, ve al espacio de nombres de Event Hub.
  2. En el panel de navegación de la izquierda, selecciona Event Hubs en Entidades.
  3. Haz clic en + Event Hub.

  4. Proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Nombre Ingresa un nombre único (por ejemplo, entraid-signin-logs).
    Recuento de particiones 40 (recomendado para un escalamiento óptimo de Google SecOps)
    Retención de mensajes 7 días (mínimo recomendado)
    Capturar Inhabilitado (no es necesario para Google SecOps)

  5. Haz clic en Crear.

Obtén una cadena de conexión de Event Hub

Google SecOps requiere una cadena de conexión para autenticarse en Event Hub.

  1. Ve al espacio de nombres de Event Hub.
  2. En el panel de navegación de la izquierda, selecciona Políticas de acceso compartido en Configuración.
  3. Haz clic en la política predeterminada RootManageSharedAccessKey.
  4. Copia la cadena de conexión (clave principal).
  5. Guarda esta cadena de conexión de forma segura.

  • Ejemplo:

    Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs

Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

Opción B: Cadena de conexión a nivel del centro de eventos

  1. Ve al Centro de eventos (no al espacio de nombres).
  2. En el panel de navegación de la izquierda, selecciona Políticas de acceso compartido en Configuración.
  3. Haz clic en + Agregar para crear una política nueva.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la política: Ingresa un nombre descriptivo (por ejemplo, chronicle-read).
    • Permisos: Selecciona solo Escuchar (acceso de solo lectura).
  5. Haz clic en Crear.
  6. Haz clic en la política recién creada.
  7. Copia la Cadena de conexión: clave principal.

  8. Guarda esta cadena de conexión de forma segura.

Configura los parámetros de configuración de diagnóstico de Microsoft Entra ID

  1. Accede al centro de administración de Microsoft Entra como, al menos, administrador de seguridad.
  2. Navega a Entra ID > Monitoring & health > Diagnostic settings.
  3. Haz clic en + Agregar parámetro de configuración de diagnóstico.

  4. Proporciona los siguientes detalles de configuración:

    • Nombre del parámetro de configuración de diagnóstico: Ingresa un nombre descriptivo (por ejemplo, signin-logs-to-eventhub).

    • En la sección Registros, selecciona las categorías de registros de acceso que deseas exportar:

      • SignInLogs: Accesos interactivos de usuarios.
      • NonInteractiveUserSignInLogs: Accesos de usuarios no interactivos (recomendado).
      • ServicePrincipalSignInLogs: Accesos de principales de servicio (opcional).
      • ManagedIdentitySignInLogs: Accesos de identidad administrada (opcional).
      • ADFSSignInLogs: Registros de inicio de sesión de AD FS (opcional, si se usa AD FS)
      • RiskyUsers: Usuarios marcados como riesgosos por Microsoft Entra ID Protection (opcional).
      • UserRiskEvents: Detalles de los eventos de acceso riesgosos (opcional).

    • En la sección Detalles del destino, selecciona Transmitir a un centro de eventos.

    • Suscripción: Selecciona la suscripción que contiene tu espacio de nombres de Event Hub.

    • Espacio de nombres de Event Hub: Selecciona el espacio de nombres que creaste (por ejemplo, secops-entraid-signin).

    • Nombre del centro de eventos: Selecciona el centro de eventos que creaste (por ejemplo, entraid-signin-logs).

    • Nombre de la política del centro de eventos: Selecciona RootManageSharedAccessKey.

  5. Haz clic en Guardar.

(Opcional) Configura Azure Blob Storage para la creación de puntos de control

Google SecOps puede usar Azure Blob Storage para almacenar puntos de control de Event Hub, que hacen un seguimiento de los eventos que se procesaron. Esto evita la transferencia duplicada si el feed se interrumpe temporalmente.

Crea una cuenta de almacenamiento para los puntos de control

  1. En el portal de Azure, busca Cuentas de almacenamiento.
  2. Haz clic en + Crear.

  3. Proporciona los siguientes detalles de configuración:

    Parámetro de configuración Valor
    Suscripción Selecciona tu suscripción a Azure
    Grupo de recursos Usa el mismo grupo de recursos que el centro de eventos
    Nombre de la cuenta de almacenamiento Ingresa un nombre único (por ejemplo, secopsaadsignin).
    Región La misma región que el Event Hub
    Rendimiento Estándar
    Redundancia LRS (almacenamiento con redundancia local)

  4. Haz clic en Revisar + crear.

  5. Haz clic en Crear.

Crea el contenedor de blobs

  1. Ve a la cuenta de almacenamiento que creaste.
  2. En el panel de navegación de la izquierda, selecciona Contenedores en Almacén de datos.
  3. Haz clic en + Contenedor.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa checkpoints.
    • Nivel de acceso público: Privado (sin acceso anónimo)
  5. Haz clic en Crear.

Obtén credenciales de la cuenta de almacenamiento

  1. En la cuenta de almacenamiento, selecciona Claves de acceso en Seguridad y redes.
  2. Haz clic en Mostrar claves.
  3. Copia y guarda lo siguiente:
    • Nombre de la cuenta de almacenamiento: Es el nombre de tu cuenta de almacenamiento.
    • Clave 1: Es el valor de la clave de acceso.

(Opcional) Crea un grupo de consumidores exclusivo

De forma predeterminada, Event Hub proporciona un grupo de consumidores llamado $Default. En entornos de producción, se recomienda crear un grupo de consumidores dedicado para Google SecOps.

  1. Ve al Centro de eventos (no al espacio de nombres).
  2. En el panel de navegación de la izquierda, selecciona Grupos de consumidores en Entidades.
  3. Haz clic en + Grupo de consumidores.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre descriptivo (por ejemplo, chronicle).

  5. Haz clic en Crear.

Configura un feed en Google SecOps para transferir registros de acceso de Microsoft Entra ID

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Add New Feed.
  3. En la siguiente página, haz clic en Configurar un solo feed.
  4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Microsoft Entra ID Sign-In Logs - Event Hub).
  5. Selecciona Centro de eventos de Microsoft Azure como el Tipo de fuente.
  6. Selecciona Microsoft Azure AD como el Tipo de registro.
  7. Haz clic en Siguiente.

  8. Especifica valores para los siguientes parámetros de entrada:

    • Cadena de conexión del centro de eventos: Ingresa la cadena de conexión del centro de eventos que capturaste antes.

      Si usas una cadena de conexión a nivel del espacio de nombres, haz lo siguiente:

      • Asegúrate de haber quitado el parámetro EntityPath.
      • También debes proporcionar el Nombre del centro de eventos en el siguiente campo.

      Si usas una cadena de conexión a nivel del centro de eventos, haz lo siguiente:

      • Usa la cadena de conexión tal como está (incluye EntityPath).

      • El campo Nombre del centro de eventos se puede dejar en blanco.

      • Nombre del centro de eventos: Ingresa el nombre del centro de eventos (por ejemplo, entraid-signin-logs).

      Obligatorio si se usa una cadena de conexión a nivel del espacio de nombres. Opcional si se usa la cadena de conexión a nivel del centro de eventos.

      • Grupo de consumidores (opcional): Ingresa el nombre del grupo de consumidores.
      • Déjalo en blanco para usar el grupo de consumidores $Default predeterminado.

      • Si creaste un grupo de consumidores dedicado, ingresa su nombre (por ejemplo, chronicle).

      • Nombre del contenedor de Blob Storage (opcional): Para crear puntos de control, ingresa el nombre del contenedor (por ejemplo, checkpoints).

      Si proporcionas almacenamiento de BLOB para la creación de puntos de control, haz lo siguiente:

      • Nombre de la cuenta de almacenamiento de Azure: Ingresa el nombre de la cuenta de almacenamiento de la configuración de puntos de control.

      • Clave de la cuenta de Azure Storage: Ingresa la clave de acceso de la configuración de puntos de control.

      • Espacio de nombres del recurso: Es el espacio de nombres del recurso.

      • Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.

  9. Haz clic en Siguiente.

  10. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Método 2: API de terceros

Este método usa la API de Microsoft Graph para recuperar los registros de acceso de Microsoft Entra ID directamente desde tu usuario de Microsoft.

Configura la lista de IPs permitidas

Google SecOps requiere que se incluyan en la lista de entidades permitidas los tipos de registros que se transfieren desde APIs de terceros, por lo que debes agregar los rangos de IP de Google en la configuración de red de Microsoft Azure o en las políticas de acceso condicional antes de crear el feed. Esto es importante cuando la fuente de datos aplica restricciones basadas en la IP. Si el feed devuelve un error 403, verifica que la lista de entidades permitidas esté habilitada allí. Ten en cuenta que la lista publicada es la de todos los goog.json de Google, no una lista de salida de Google SecOps, y que Google SecOps no puede garantizar que un feed se origine en direcciones de una región determinada. Para restringir el acceso a un rango más estrecho, abre un ticket de asistencia.

Obtén los rangos de IP de Google SecOps

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Agregar feed nuevo.
  3. Toma nota de los rangos de IP que se muestran en la interfaz de creación de feeds.
  4. También puedes recuperar rangos de IP de forma programática con la API de Feed Management.

Configura el acceso condicional para las identidades para cargas de trabajo (si es necesario)

Si tu organización usa políticas de Acceso Condicional que restringen el acceso por ubicación, haz lo siguiente:

  1. En el centro de administración de Microsoft Entra, ve a Protection > Conditional Access > Named locations.
  2. Haz clic en + Nueva ubicación.
  3. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa Google SecOps IP Ranges.
    • Marcar como ubicación de confianza: Opcional, según tu política de seguridad.
    • Rangos de IP: Agrega cada rango de IP de Google SecOps en notación CIDR.
  4. Haz clic en Crear.
  5. Ve a Acceso condicional > Directivas.
  6. En el caso de las políticas que se aplican a las identidades de cargas de trabajo, configura una exclusión para la ubicación con nombre Google SecOps IP Ranges o la principal de servicio específica.

Configura el acceso a la API de Microsoft Entra ID

Crea el registro de la app

  1. Accede al centro de administración de Microsoft Entra o al portal de Azure.
  2. Ve a Identidad > Aplicaciones > Registros de apps.
  3. Haz clic en New registration.

  4. Proporciona los siguientes detalles de configuración:

    • Nombre: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Sign-In Logs Integration).
    • Tipos de cuentas compatibles: Selecciona Cuentas solo en este directorio de la organización (inquilino único).
    • URI de redireccionamiento: Deja este campo en blanco (no es obligatorio para la autenticación de la principal de servicio).

  5. Haz clic en Registrar.

  6. Después del registro, copia y guarda los siguientes valores:

    • ID de la aplicación (cliente)
    • ID de directorio (usuario)

Configura los permisos de API

La integración requiere los siguientes permisos de la aplicación de Microsoft Graph:

  1. En el registro de la app, ve a Permisos de API.
  2. Haz clic en Agregar un permiso.
  3. Selecciona Microsoft Graph > Permisos de aplicación.
  4. Selecciona los siguientes permisos:
    • AuditLog.Read.All: Se requiere para leer los registros de acceso.
    • Directory.Read.All: Es obligatorio para la API de Microsoft Graph para el acceso a los registros de acceso (problema conocido).
    • SecurityEvents.Read.All: Google SecOps lo requiere.
  5. Opcional: Para capturar también las políticas de acceso condicional aplicadas a cada acceso, agrega un permiso de lectura de acceso condicional:
    • Policy.Read.ConditionalAccess: Se recomienda (privilegio mínimo). Permite que el feed complete el campo appliedConditionalAccessPolicies en cada registro de acceso.
  6. Haz clic en Agregar permisos.
  7. Haz clic en Grant admin consent for [Your Organization].
  8. Verifica que la columna Estado muestre Otorgado para [Tu organización] para cada permiso que agregaste.
Permiso Tipo Descripción
AuditLog.Read.All Aplicación Leer todos los datos de acceso y de registros de auditoría
Directory.Read.All Aplicación Leer datos de directorio (obligatorio para el acceso a la API)
SecurityEvents.Read.All Aplicación Lectura de eventos de seguridad
Policy.Read.ConditionalAccess Aplicación Es opcional. Leer las políticas de acceso condicional para que appliedConditionalAccessPolicies se incluya en los registros de acceso

Crea un secreto del cliente

  1. Ve a Certificates & secrets.
  2. Haz clic en Nuevo secreto de cliente.

  3. Proporciona los siguientes detalles de configuración:

    • Descripción: Ingresa un nombre descriptivo (por ejemplo, Google SecOps Feed).
    • Vence: Selecciona un período de vencimiento.

  4. Haz clic en Agregar.

  5. Importante: Copia el Valor del secreto del cliente de inmediato. Este valor se muestra solo una vez y no se puede recuperar más adelante.

Verifica el acceso a la API antes de crear el feed

Antes de crear el feed de Google SecOps, verifica que la entidad de servicio pueda autenticarse y acceder correctamente a la API de Microsoft Graph.

  • Prueba la autenticación con PowerShell

    # Replace with your actual values
$tenantId = "your-tenant-id"
$clientId = "your-client-id"
$clientSecret = "your-client-secret"

# Token request parameters (must be lowercase)
$tokenBody = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

# Request access token
$tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"

if ($tokenResponse.access_token) {
    Write-Host "✓ Successfully obtained access token" -ForegroundColor Green

    # Test API call to sign-ins endpoint
    $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
    $headers = @{
        Authorization = "Bearer $($tokenResponse.access_token)"
    }

    try {
        $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
        Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
        Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
    }
    catch {
        Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
        Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
    }
}
else {
    Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
}

  • Resultado esperado:

    ✓ Successfully obtained access token
✓ Successfully accessed sign-ins API
Sample sign-in log retrieved successfully

  • Prueba la autenticación con curl

    # Replace with your actual values
TENANT_ID="your-tenant-id"
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"

# Request access token
curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=$CLIENT_ID" \
  -d "client_secret=$CLIENT_SECRET" \
  -d "scope=https://graph.microsoft.com/.default"

# Test API access
curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"

Configura un feed en Google SecOps para transferir registros de acceso de Microsoft Entra ID

Configura el feed

  1. Ve a Configuración de SIEM > Feeds.
  2. Haz clic en Add New Feed.
  3. En la siguiente página, haz clic en Configurar un solo feed.
  4. En el campo Nombre del feed, ingresa un nombre para el feed (por ejemplo, Microsoft Entra ID Sign-In Logs).
  5. Selecciona API de terceros como el Tipo de fuente.
  6. Selecciona Microsoft Azure AD como el Tipo de registro.
  7. Haz clic en Siguiente.

Configura los parámetros del feed

  1. Especifica valores para los siguientes parámetros de entrada:

    • ID de cliente de OAuth: Es el ID de la aplicación (cliente) del registro de la app.
    • Secreto del cliente de OAuth: Es el valor del secreto del cliente que copiaste antes.
    • ID de inquilino: Es el ID de tu inquilino de Microsoft del registro de la app (formato UUID, por ejemplo, 0fc279f9-fe30-41be-97d3-abe1d7681418).

    • Ruta de acceso completa de la API: URL del extremo de API de REST de Microsoft Graph:

      graph.microsoft.com/v1.0/auditLogs/signIns

    • Extremo de autenticación de la API: Extremo de autenticación de Microsoft Active Directory:

      login.microsoftonline.com

    Opciones avanzadas:

    • Nombre del feed: Es un valor prepropagado que identifica el feed.
    • Tipo de fuente: API de terceros (mecanismo para recopilar los registros en Google SecOps)
    • Espacio de nombres del activo: Es el espacio de nombres del activo con el que se asociará el feed.
    • Etiquetas de transferencia: Se agregarán etiquetas a todos los eventos de este feed.

  2. Haz clic en Siguiente.

  3. Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.

Extremos regionales

Para las implementaciones de Microsoft Entra ID en nubes soberanas, usa los extremos regionales adecuados:

Entorno de nube Ruta de acceso completa de la API Extremo de autenticación de la API
Global graph.microsoft.com/v1.0/auditLogs/signIns login.microsoftonline.com
US Government L4 graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
Gobierno de EE.UU. L5 (DOD) dod-graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
China (21Vianet) microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns login.chinacloudapi.cn

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
CertSerialNumber about.artifact.last_https_certificate.serial_number Asignada directamente
modifiedProperty.newValue about.location.city Asignada directamente
modifiedProperty.newValue about.location.country_or_region Asignada directamente
modifiedProperty.newValue about.location.state Asignada directamente
modifiedProperty.newValue about.user.department Combinado
modifiedProperty.newValue about.user.email_addresses Combinado
modifiedProperty.newValue about.user.first_name Asignada directamente
modifiedProperty.newValue about.user.last_name Asignada directamente
modifiedProperty.newValue about.user.phone_numbers Combinado
modifiedProperty.newValue about.user.product_object_id Asignada directamente
modifiedProperty.newValue about.user.title Asignada directamente
modifiedProperty.newValue about.user.user_display_name Asignada directamente
modifiedProperty.newValue about.user.userid Asignada directamente
C_DeviceId_label additional.fields Combinado
C_Iat_label additional.fields Combinado
C_Idtyp_label additional.fields Combinado
C_Sid_label additional.fields Combinado
CorrelationId_label additional.fields Combinado
CrossTenantAccessType_label additional.fields Combinado
ImpersonationLevel_label additional.fields Combinado
KeyLength_label additional.fields Combinado
aadtenant_label additional.fields Combinado
additionalDetails_label additional.fields Combinado
additional_crossTenantAccessType additional.fields Combinado
additional_detail_label additional.fields Combinado
additional_detectedDateTime additional.fields Combinado
additional_detectionTimingType additional.fields Combinado
additional_durationMs additional.fields Combinado
additional_fields additional.fields Combinado
additional_isDeleted additional.fields Combinado
additional_isGuest additional.fields Combinado
additional_isProcessing additional.fields Combinado
additional_lastUpdatedDateTime additional.fields Combinado
additional_resultSignature additional.fields Combinado
additional_source additional.fields Combinado
additional_tokenIssuerName additional.fields Combinado
additional_tokenIssuerType additional.fields Combinado
additional_userType additional.fields Combinado
altitude_loc additional.fields Combinado
appServicePrincipalId_label additional.fields Combinado
atContentH_label additional.fields Combinado
atContentP_label additional.fields Combinado
auth_detail_label additional.fields Combinado
auth_id_label additional.fields Combinado
authentication additional.fields Combinado
authenticationDetail_label additional.fields Combinado
authenticationProtocol_label additional.fields Combinado
authentication_app_device_details_label additional.fields Combinado
authentication_requirement_label additional.fields Combinado
auto_label additional.fields Combinado
autonomousSystemNumber_label additional.fields Combinado
cert_issuer_name_label additional.fields Combinado
cert_thumbprint_label additional.fields Combinado
clientCredentialType_label additional.fields Combinado
client_credential_type additional.fields Combinado
client_credential_type_label additional.fields Combinado
conditionalAccessStatus_label additional.fields Combinado
cribl_pipe_label additional.fields Combinado
crossTenantAccessType_label additional.fields Combinado
cross_tenant_access_type_label additional.fields Combinado
domain_hint_present_label additional.fields Combinado
durationMs_label additional.fields Combinado
error_number_label additional.fields Combinado
federated_credential_id_label additional.fields Combinado
flaggedForReview_label additional.fields Combinado
flagged_for_review_label additional.fields Combinado
hometenant_label additional.fields Combinado
incomingTokenType_label additional.fields Combinado
incoming_token_type_label additional.fields Combinado
isTenantRestricted_label additional.fields Combinado
isThroughGlobalSecureAccess_label additional.fields Combinado
is_interactive_label additional.fields Combinado
is_tenant_restricted_label additional.fields Combinado
latitude_label additional.fields Combinado
login_hint_present_label additional.fields Combinado
longitude_label additional.fields Combinado
mfa_details_label additional.fields Combinado
name_list additional.fields Combinado
networkName_label additional.fields Combinado
networkType_additional_fields additional.fields Combinado
networkType_label additional.fields Combinado
network_location_label additional.fields Combinado
network_names_additional_fields additional.fields Combinado
originalRequestId_label additional.fields Combinado
originalTransferMethod_label additional.fields Combinado
original_transfer_method_label additional.fields Combinado
processing_time_in_milliseconds_label additional.fields Combinado
properties_incomingTokenType additional.fields Combinado
properties_isInteractive additional.fields Combinado
properties_location_geoCoordinates_altitude additional.fields Combinado
properties_processingTimeInMilliseconds additional.fields Combinado
properties_rngcStatus additional.fields Combinado
proxy_restriction_target_tenant_name_label additional.fields Combinado
prp_networkType_additional_fields additional.fields Combinado
prp_network_names_additional_fields additional.fields Combinado
ram_recommended_action_label additional.fields Combinado
ram_recommender_label additional.fields Combinado
record_properties_id_label additional.fields Combinado
resultReason_label additional.fields Combinado
resultType_label additional.fields Combinado
resultstatus_label additional.fields Combinado
rngcStatus_label additional.fields Combinado
service_principal_credential_key_id_label additional.fields Combinado
service_principal_credential_thumbprint_label additional.fields Combinado
service_principal_name_label additional.fields Combinado
signInActivityId_label additional.fields Combinado
signInSessionStatusCode_label additional.fields Combinado
signInSessionStatus_label additional.fields Combinado
signInTokenProtectionStatus_label additional.fields Combinado
sign_in_identifier_type_label additional.fields Combinado
sign_in_token_protection_status_label additional.fields Combinado
ssoExtensionVersion_label additional.fields Combinado
status_additionalDetails_label additional.fields Combinado
tokenIssuedAt_label additional.fields Combinado
tokenIssuerType_label additional.fields Combinado
token_issuer_name_label additional.fields Combinado
token_issuer_type_label additional.fields Combinado
token_protection_status_details_label additional.fields Combinado
token_protection_status_details_signInSessionStatus_label additional.fields Combinado
type_list additional.fields Combinado
uniqueTokenIdentifier_label additional.fields Combinado
unique_token_identifier_label additional.fields Combinado
userType_label additional.fields Combinado
user_type_label additional.fields Combinado
wids_label additional.fields Combinado
workload_label additional.fields Combinado
LogonType extensions.auth.auth_details Asignada directamente
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed extensions.auth.auth_details Asignada directamente
properties_clientAuthMethod extensions.auth.auth_details Asignada directamente
record_properties_clientAuthMethod extensions.auth.auth_details Asignada directamente
auth_mechanism extensions.auth.mechanism Combinado
ext_mech extensions.auth.mechanism Combinado
mechanism extensions.auth.mechanism Combinado
operationName extensions.auth.type Asignado: Sign-in activity → SSO
record_operationName extensions.auth.type Asignado: Sign-in activity → AUTHTYPE_UNSPECIFIED
category metadata.description Asignada directamente
record_category metadata.description Asignada directamente
CreationTime metadata.event_timestamp Se analizó como yyyy-MM-ddTHH:mm:ss
activityDateTime metadata.event_timestamp Se analizó como ISO8601
date metadata.event_timestamp Analizado como ISO8601
properties.activityDateTime metadata.event_timestamp Se analizó como yyyy-MM-ddTHH:mm:ss.SSSZ
record_CreatedDateTime metadata.event_timestamp Se analizó como ISO8601
record_time metadata.event_timestamp Se analizó como ISO8601
when metadata.event_timestamp Se analizó como yyyy-MM-dd HH:mm:ss
category metadata.event_type Asignado: (?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type metadata.event_type Asignada directamente
has_principal metadata.event_type Asignado: true → STATUS_UPDATE
has_principal_user metadata.event_type Asignado: true → USER_UNCATEGORIZED
has_resource metadata.event_type Asignado: true → USER_RESOURCE_ACCESS
has_target metadata.event_type Asignado: true → NETWORK_CONNECTION
has_target_user metadata.event_type Asignado: true → USER_LOGOUT, true → USER_CHANGE_PERMISSIONS, true → USER_LOGIN
record_tenantId metadata.product_deployment_id Asignada directamente
tenantId metadata.product_deployment_id Asignada directamente
Operation metadata.product_event_type Asignada directamente
activityDisplayName metadata.product_event_type Asignada directamente
operationName metadata.product_event_type Asignada directamente
record_OperationName metadata.product_event_type Asignada directamente
record_operationName metadata.product_event_type Asignada directamente
type metadata.product_event_type Asignada directamente
EventRecordID metadata.product_log_id Asignada directamente
Id metadata.product_log_id Asignada directamente
id metadata.product_log_id Asignada directamente
properties.id metadata.product_log_id Asignada directamente
record_Id metadata.product_log_id Asignada directamente
record_correlationId metadata.product_log_id Asignada directamente
Version metadata.product_version Asignada directamente
operationVersion metadata.product_version Asignada directamente
record_operationVersion metadata.product_version Asignada directamente
properties.SignInBondData.ProtocolDetails.Protocol network.application_protocol Asignada directamente
properties_requestMethod network.http.method Asignada directamente
record_properties_requestMethod network.http.method Asignada directamente
browser network.http.parsed_user_agent Asignada directamente
deviceDetail.browser network.http.parsed_user_agent Asignada directamente
properties.deviceDetail.browser network.http.parsed_user_agent Asignada directamente
properties.userAgent network.http.parsed_user_agent Asignada directamente
record_UserAgent network.http.parsed_user_agent Asignada directamente
record_properties_userAgent network.http.parsed_user_agent Asignada directamente
userAgent network.http.parsed_user_agent Asignada directamente
user_agent network.http.parsed_user_agent Asignada directamente
value network.http.parsed_user_agent Asignada directamente
value1 network.http.parsed_user_agent Se cambió el nombre o se asignó
properties_requestUri network.http.referral_url Asignada directamente
record_properties_requestUri network.http.referral_url Asignada directamente
properties_responseStatusCode network.http.response_code Asignada directamente
record_properties_responseStatusCode network.http.response_code Asignada directamente
browser network.http.user_agent Asignada directamente
deviceDetail.browser network.http.user_agent Asignada directamente
properties.deviceDetail.browser network.http.user_agent Asignada directamente
properties.userAgent network.http.user_agent Asignada directamente
record_UserAgent network.http.user_agent Asignada directamente
record_properties_userAgent network.http.user_agent Asignada directamente
userAgent network.http.user_agent Asignada directamente
user_agent network.http.user_agent Asignada directamente
value network.http.user_agent Asignada directamente
value1 network.http.user_agent Asignada directamente
properties_responseSizeBytes network.received_bytes Asignada directamente
record_properties_responseSizeBytes network.received_bytes Asignada directamente
originalRequestId network.session_id Asignada directamente
properties.originalRequestId network.session_id Asignada directamente
properties.sessionId network.session_id Asignada directamente
record_OriginalRequestId network.session_id Asignada directamente
record_properties_sessionId network.session_id Asignada directamente
sessionId network.session_id Asignada directamente
value network.session_id Asignada directamente
loggedByService observer.application Asignada directamente
properties.loggedByService observer.application Asignada directamente
SubjectDomainName principal.administrative_domain Asignada directamente
domain principal.administrative_domain Asignada directamente
initiatedBy_app_displayName principal.application Asignada directamente
record_ClientAppUsed principal.application Asignada directamente
deviceId principal.asset.asset_id Asignada directamente
properties_deviceDetail_deviceId principal.asset.asset_id Asignada directamente
record_DeviceDetail_deviceId principal.asset.asset_id Asignada directamente
record_properties_C_DeviceId principal.asset.asset_id Asignada directamente
record_properties_deviceDetail_deviceId principal.asset.asset_id Asignada directamente
additional_fields principal.asset.attribute.labels Combinado
device_trust_type_label principal.asset.attribute.labels Combinado
isManaged_label principal.asset.attribute.labels Combinado
is_managed_label principal.asset.attribute.labels Combinado
trustType_label principal.asset.attribute.labels Combinado
deviceDetail.displayName principal.asset.hostname Asignada directamente
displayName principal.asset.hostname Asignada directamente
properties.deviceDetail.displayName principal.asset.hostname Asignada directamente
ActorIpAddress principal.asset.ip Combinado
IpAddress principal.asset.ip Combinado
SourceIpAddress principal.asset.ip Combinado
initiatedBy.user.ipAddress principal.asset.ip Combinado
principal_ip principal.asset.ip Combinado
properties.initiatedBy.user.ipAddress principal.asset.ip Combinado
properties_ip_address principal.asset.ip Combinado
record.IPAddress principal.asset.ip Combinado
record_callerIpAddress principal.asset.ip Combinado
deviceId principal.asset_id Asignada directamente
record_DeviceDetail_deviceId principal.asset_id Asignada directamente
record_properties_deviceDetail_deviceId principal.asset_id Asignada directamente
value principal.asset_id Asignada directamente
deviceDetail.displayName principal.hostname Asignada directamente
displayName principal.hostname Asignada directamente
properties.deviceDetail.displayName principal.hostname Asignada directamente
ActorIpAddress principal.ip Combinado
IpAddress principal.ip Combinado
SourceIpAddress principal.ip Combinado
initiatedBy.user.ipAddress principal.ip Combinado
principal_ip principal.ip Combinado
properties.initiatedBy.user.ipAddress principal.ip Combinado
properties_ip_address principal.ip Combinado
record_IPAddress principal.ip Combinado
record_callerIpAddress principal.ip Combinado
location_city principal.location.city Asignada directamente
record_properties_location_city principal.location.city Asignada directamente
location_countryOrRegion principal.location.country_or_region Asignada directamente
properties.tenantGeo principal.location.country_or_region Asignada directamente
record_properties_location_countryOrRegion principal.location.country_or_region Asignada directamente
location_name principal.location.name Asignada directamente
record_location principal.location.name Asignada directamente
location_geo_latitude principal.location.region_coordinates.latitude Asignada directamente
record_LocationDetails_geoCoordinates_latitude principal.location.region_coordinates.latitude Asignada directamente
record_properties_location_geoCoordinates_latitude principal.location.region_coordinates.latitude Asignada directamente
location_geo_longitude principal.location.region_coordinates.longitude Asignada directamente
record_LocationDetails_geoCoordinates_longitude principal.location.region_coordinates.longitude Asignada directamente
record_properties_location_geoCoordinates_longitude principal.location.region_coordinates.longitude Asignada directamente
location_state principal.location.state Asignada directamente
record_properties_location_state principal.location.state Asignada directamente
operatingSystem principal.platform Asignación: Win → WINDOWS, Mac → MAC, Lin → LINUX
properties_deviceDetail_operatingSystem principal.platform Asignación: Win → WINDOWS, Mac → MAC, Lin → LINUX
record_properties_deviceDetail_operatingSystem principal.platform Asignación: Win → WINDOWS, Mac → MAC, Lin → LINUX
operatingSystem principal.platform_version Asignada directamente
properties_deviceDetail_operatingSystem principal.platform_version Asignada directamente
record_properties_deviceDetail_operatingSystem principal.platform_version Asignada directamente
IpPort principal.port Asignada directamente
CallerProcessName principal.process.file.full_path Asignada directamente
CallerProcessId principal.process.pid Asignada directamente
actor_label principal.resource.attribute.labels Combinado
actor_type_label principal.resource.attribute.labels Combinado
autonomousSystemNumber_label principal.resource.attribute.labels Combinado
autonomous_system_number_label principal.resource.attribute.labels Combinado
clientRequestId_label principal.resource.attribute.labels Combinado
displayName principal.resource.attribute.labels Asignado: (?i)(iphone.*) → displayName_label
displayName_label principal.resource.attribute.labels Combinado
ip_address_from_resource_provider_label principal.resource.attribute.labels Combinado
properties_label principal.resource.attribute.labels Combinado
subject_logon_id_label principal.resource.attribute.labels Combinado
record_properties_resourceDisplayName principal.resource.name Asignada directamente
ObjectId principal.resource.product_object_id Asignada directamente
OrganizationId principal.resource.product_object_id Asignada directamente
initializedBy_app_servicePrincipalId principal.resource.product_object_id Asignada directamente
record_properties_UserPrincipalObjectID principal.resource.product_object_id Asignada directamente
userType_label principal.user.attribute.labels Combinado
user_key_label principal.user.attribute.labels Combinado
role_to_merge principal.user.attribute.roles Combinado
roles_to_merge principal.user.attribute.roles Combinado
initiatedBy.user.userPrincipalName principal.user.email_addresses Combinado
operationName principal.user.email_addresses Asignado: Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername principal.user.email_addresses Combinado
properties.initiatedBy.user.userPrincipalName principal.user.email_addresses Combinado
record_UserPrincipalName principal.user.email_addresses Combinado
mfaDetail.authDetail principal.user.phone_numbers Combinado
properties.mfaDetail.authDetail principal.user.phone_numbers Combinado
properties.appId principal.user.product_object_id Asignada directamente
identity principal.user.user_display_name Asignada directamente
initiatedBy.user.displayName principal.user.user_display_name Asignada directamente
properties.initiatedBy.app.displayName principal.user.user_display_name Asignada directamente
properties.initiatedBy.user.displayName principal.user.user_display_name Asignada directamente
properties.userDisplayName principal.user.user_display_name Se cambió el nombre o se asignó
record_UserDisplayName principal.user.user_display_name Asignada directamente
record_properties_deviceDetail_displayName principal.user.user_display_name Asignada directamente
userDisplayName principal.user.user_display_name Asignada directamente
value principal.user.user_display_name Asignada directamente
SubjectUserName principal.user.userid Asignada directamente
UserId principal.user.userid Asignada directamente
first_user_id principal.user.userid Asignada directamente
initiatedBy.user.id principal.user.userid Asignada directamente
properties.initiatedBy.user.userPrincipalName principal.user.userid Asignada directamente
properties.userPrincipalName principal.user.userid Asignada directamente
record_SignInIdentifier principal.user.userid Asignada directamente
record_UserId principal.user.userid Asignada directamente
record_properties_servicePrincipalId principal.user.userid Asignada directamente
SubjectUserSid principal.user.windows_sid Asignada directamente
properties.initiatedBy.user.id principal.user.windows_sid Asignada directamente
auth_sec_res security_result Combinado
sec_res security_result Combinado
sr_result security_result Combinado
AuthenticationPackageName security_result.about.resource.name Asignada directamente
action security_result.action Combinado
errorCode security_result.action Asignado: 0 → action
operationName security_result.action Asignación: Sign-in activity → action, Add member to group → action
properties_status_errorCode security_result.action Asignado: 0 → action
record_properties_status_errorCode security_result.action Asignado: 0 → action
record_resultType security_result.action Asignado: 0 → action
result security_result.action Asignado: success → action
resultType security_result.action Asignado: 0 → action
operationType security_result.action_details Asignada directamente
properties.result security_result.action_details Asignada directamente
Category security_result.category Combinado
operationName security_result.category Asignado: Sign-in activity → Category
properties.category security_result.category_details Combinado
failureReason security_result.description Asignada directamente
operationName security_result.description Asignado: Add member to group → Group membership modified
resultDescription security_result.description Asignada directamente
AuthenticationProtocol_label security_result.detection_fields Combinado
NewSd_label security_result.detection_fields Combinado
OldSd_label security_result.detection_fields Combinado
agent_agentType_label security_result.detection_fields Combinado
apiVersion_label security_result.detection_fields Combinado
associated_admin_units_label security_result.detection_fields Combinado
auth_label security_result.detection_fields Combinado
authenticationContextClassReference_detail_label security_result.detection_fields Combinado
authenticationContextClassReference_id_label security_result.detection_fields Combinado
authenticationProcessingDetails_label security_result.detection_fields Combinado
authenticationProtocol_label security_result.detection_fields Combinado
correlationId_label security_result.detection_fields Combinado
correlationId_label2 security_result.detection_fields Combinado
correlationId_label3 security_result.detection_fields Combinado
detail_label security_result.detection_fields Combinado
detection_ActorContextId security_result.detection_fields Combinado
detection_ApplicationId security_result.detection_fields Combinado
detection_InterSystemsId security_result.detection_fields Combinado
detection_IntraSystemId security_result.detection_fields Combinado
device_property_label security_result.detection_fields Combinado
error_code_label security_result.detection_fields Combinado
expirationRequirement_label security_result.detection_fields Combinado
extended_property_label security_result.detection_fields Combinado
logon_guid_label security_result.detection_fields Combinado
method_label security_result.detection_fields Combinado
modified_property_label security_result.detection_fields Combinado
name_label security_result.detection_fields Combinado
namespace_label security_result.detection_fields Combinado
network_type_label security_result.detection_fields Combinado
prop_risk_event_label security_result.detection_fields Combinado
prop_risk_event_v2_label security_result.detection_fields Combinado
properties.status.errorCode_label security_result.detection_fields Combinado
protocol_label security_result.detection_fields Combinado
record_type_label security_result.detection_fields Combinado
requestId_label security_result.detection_fields Combinado
requirement_provider_label security_result.detection_fields Combinado
riskDetail_label security_result.detection_fields Combinado
riskEventType_label security_result.detection_fields Combinado
riskEventTypes_label security_result.detection_fields Combinado
riskLastUpdatedDateTime_label security_result.detection_fields Combinado
riskLevelAggregated_label security_result.detection_fields Combinado
riskLevelDuringSignIn_label security_result.detection_fields Combinado
riskLevel_label security_result.detection_fields Combinado
riskState_label security_result.detection_fields Combinado
riskType_label security_result.detection_fields Combinado
risk_event_label security_result.detection_fields Combinado
risk_event_label_v2 security_result.detection_fields Combinado
risk_level_aggregated_label security_result.detection_fields Combinado
risk_level_during_sign_in_label security_result.detection_fields Combinado
scopes_label security_result.detection_fields Combinado
signInSessionStatus_label security_result.detection_fields Combinado
status_label security_result.detection_fields Combinado
step_date_label security_result.detection_fields Combinado
step_detail_label security_result.detection_fields Combinado
step_requirement_label security_result.detection_fields Combinado
support_ticket_id_label security_result.detection_fields Combinado
target_displayName_label security_result.detection_fields Combinado
target_label security_result.detection_fields Combinado
target_type security_result.detection_fields Asignado: Policy → target_displayName_label, Policy → target_label, Policy → `modifi...
ticket_encryption_type_label security_result.detection_fields Combinado
ticket_options_label security_result.detection_fields Combinado
transmitted_services_label security_result.detection_fields Combinado
operationName security_result.priority Asignado: Sign-in activity → MEDIUM_PRIORITY
additional_fields security_result.rule_labels Combinado
isCompliant_label security_result.rule_labels Combinado
is_compliant_label security_result.rule_labels Combinado
level security_result.severity Asignado: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3"…
operationName security_result.severity Asignado: Sign-in activity → ERROR
record_Level security_result.severity Asignado: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3"…
record_level security_result.severity Asignado: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3"…
level security_result.severity_details Asignada directamente
record_Level security_result.severity_details Asignada directamente
record_level security_result.severity_details Asignada directamente
AzureActiveDirectoryEventType security_result.summary Asignación: 0 → Account Logon, 1 → Azure Application AuditEvent
activityDisplayName security_result.summary Asignada directamente
errorCode security_result.summary Asignado: 0 → Successful login occurred
operationName security_result.summary Asignado: Sign-in activity → Successful login occurred, Sign-in activity → "Failed login…"
properties.activity security_result.summary Asignada directamente
properties.activityDisplayName security_result.summary Asignada directamente
properties.result security_result.summary Asignada directamente
properties_status_errorCode security_result.summary Asignado: 0 → Successful login occurred
record_properties_status_errorCode security_result.summary Asignado: 0 → Successful login occurred
record_resultType security_result.summary Asignado: 0 → Successful login occurred
resultType security_result.summary Asignado: 0 → Successful login occurred
TargetDomainName target.administrative_domain Asignada directamente
ServiceName target.application Asignada directamente
properties.appDisplayName target.application Asignada directamente
record_AppDisplayName target.application Asignada directamente
record_properties_appDisplayName target.application Asignada directamente
record_AppId target.asset.asset_id Asignada directamente
modified_property_label target.asset.attribute.labels Combinado
target_displayName_label target.asset.attribute.labels Combinado
target_label target.asset.attribute.labels Combinado
target_type target.asset.attribute.labels Asignado: Device → target_displayName_label, Device → target_label, Device → `modifi...
WorkstationName target.asset.hostname Asignada directamente
authenticationDetail.value target.asset.hostname Asignada directamente
ClientIP target.asset.ip Combinado
modifiedProperty.newValue target.group.group_display_name Asignada directamente
modifiedProperty.newValue target.group.product_object_id Asignada directamente
properties.targetResources.modifiedProperties.0.newValue target.group.product_object_id Asignada directamente
WorkstationName target.hostname Asignada directamente
authenticationDetail.value target.hostname Asignada directamente
ClientIP target.ip Combinado
ip target.ip Combinado
properties_regionScope target.location.country_or_region Asignada directamente
record_properties_UDI_RequiredFields_RegionScope target.location.country_or_region Asignada directamente
record_properties_location target.location.name Asignada directamente
ProcessName target.process.file.full_path Asignada directamente
LogonProcessName target.process.file.names Combinado
ProcessId target.process.pid Asignada directamente
__UDI_RequiredFields_EventTime target.resource.attribute.labels Combinado
__UDI_RequiredFields_TenantId target.resource.attribute.labels Combinado
__UDI_RequiredFields_UniqueId target.resource.attribute.labels Combinado
_label target.resource.attribute.labels Combinado
add_label target.resource.attribute.labels Combinado
additional_homeTenantId target.resource.attribute.labels Combinado
additional_resourceServicePrincipalId target.resource.attribute.labels Combinado
app_owner_tenant_id_label target.resource.attribute.labels Combinado
conditionalAccessStatus target.resource.attribute.labels Combinado
detection_TargetContextId target.resource.attribute.labels Combinado
handleId target.resource.attribute.labels Combinado
homeTenantId_label target.resource.attribute.labels Combinado
homeTenantName_label target.resource.attribute.labels Combinado
home_tenant_id_label target.resource.attribute.labels Combinado
home_tenant_name_label target.resource.attribute.labels Combinado
internal_workspace_label target.resource.attribute.labels Combinado
item_id_label target.resource.attribute.labels Combinado
label target.resource.attribute.labels Combinado
lmPackageNameLabel_label target.resource.attribute.labels Combinado
modified_property_label target.resource.attribute.labels Combinado
objectServer target.resource.attribute.labels Combinado
old_label target.resource.attribute.labels Combinado
operationId_label target.resource.attribute.labels Combinado
operationName target.resource.attribute.labels Asignado: Add member to group → add_label
operationType_label target.resource.attribute.labels Combinado
properties_resourceTenantId_label target.resource.attribute.labels Combinado
record_properties_appId_label target.resource.attribute.labels Combinado
requestId_label target.resource.attribute.labels Combinado
resourceOwnerTenantId_label target.resource.attribute.labels Combinado
resource_display_name_label target.resource.attribute.labels Combinado
resource_group_label target.resource.attribute.labels Combinado
resource_id_label target.resource.attribute.labels Combinado
resource_identity_label target.resource.attribute.labels Combinado
resource_label target.resource.attribute.labels Combinado
resource_owner_tenant_id_label target.resource.attribute.labels Combinado
resource_service_principal_id_label target.resource.attribute.labels Combinado
resource_tenant_id_label target.resource.attribute.labels Combinado
resultSignature_label target.resource.attribute.labels Combinado
resultSignature_label1 target.resource.attribute.labels Combinado
service_principal_id_label target.resource.attribute.labels Combinado
source_label target.resource.attribute.labels Combinado
target_displayName_label target.resource.attribute.labels Combinado
target_label target.resource.attribute.labels Combinado
target_logon_id_label target.resource.attribute.labels Combinado
target_type_label target.resource.attribute.labels Combinado
temp_resourceId target.resource.attribute.labels Combinado
tenant_id_label target.resource.attribute.labels Combinado
tokenIssuerType_label target.resource.attribute.labels Combinado
uniqueTokenIdentifier_label target.resource.attribute.labels Combinado
user_type_label target.resource.attribute.labels Combinado
ObjectName target.resource.name Asignada directamente
properties.SignInBondData.DisplayDetails.ResourceDisplayName target.resource.name Asignada directamente
properties.resourceDisplayName target.resource.name Se cambió el nombre o se asignó
resourceDisplayName target.resource.name Se cambió el nombre o se asignó
field.newValue target.resource.product_object_id Asignada directamente
record_resourceId target.resource.product_object_id Asignada directamente
resourceId target.resource.product_object_id Asignada directamente
ObjectType target.resource.resource_subtype Asignada directamente
target.type target.resource.type Asignada directamente
%{ServiceSid} target.resource.user.windows_sid Combinado
record_properties_identityProvider target.url Asignada directamente
value target.url Asignada directamente
modified_property_label target.user.attribute.labels Combinado
target_label target.user.attribute.labels Combinado
target_type target.user.attribute.labels Asignado: User → target_label, User → modified_property_label
user_display_name_label target.user.attribute.labels Combinado
record_properties_userPrincipalName target.user.email_addresses Asignado: ^.+@.+$ → record_properties_userPrincipalName
target_displayName target.user.email_addresses Asignado: ^.+@.+$ → target_displayName
target_userPrincipalName target.user.email_addresses Asignado: ^.+@.+$ → target_userPrincipalName
userPrincipalName target.user.email_addresses Asignado: ^.+@.+$ → userPrincipalName
groupInfo target.user.group_identifiers Combinado
operationName target.user.group_identifiers Asignado: Add member to group → groupInfo
properties.servicePrincipalId target.user.product_object_id Asignada directamente
properties.targetResources.0.id target.user.product_object_id Asignada directamente
properties.userId target.user.product_object_id Asignada directamente
record_properties_userId target.user.product_object_id Asignada directamente
userId target.user.product_object_id Asignada directamente
record_Identity target.user.user_display_name Asignada directamente
record_identity target.user.user_display_name Asignada directamente
targetUser target.user.user_display_name Asignada directamente
target_displayName target.user.user_display_name Asignada directamente
target_userPrincipalName target.user.user_display_name Asignada directamente
TargetUserName target.user.userid Asignada directamente
properties.alternateSignInName target.user.userid Asignada directamente
properties.servicePrincipalName target.user.userid Asignada directamente
properties.userId target.user.userid Asignada directamente
properties.userPrincipalName target.user.userid Asignada directamente
record_AlternateSignInName target.user.userid Asignada directamente
signInIdentifier target.user.userid Asignada directamente
userPrincipalName target.user.userid Asignada directamente
TargetSid target.user.windows_sid Asignada directamente
TargetUserSid target.user.windows_sid Asignada directamente
N/A extensions.auth.type Constante: AUTHTYPE_UNSPECIFIED
N/A metadata.event_type Constante: STATUS_UPDATE
N/A metadata.product_name Constante: Azure AD
N/A metadata.vendor_name Constante: Microsoft
N/A network.http.parsed_user_agent Constante: parseduseragent
N/A principal.platform Constante: WINDOWS
N/A security_result.description Constante: Group membership modified
N/A security_result.priority Constante: MEDIUM_PRIORITY
N/A security_result.severity Constante: INFORMATIONAL
N/A security_result.summary Constante: Successful login occurred

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.