איסוף יומני כניסה של Microsoft Entra ID

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומני כניסה של Microsoft Entra ID (לשעבר Azure Active Directory) על ידי הגדרת פיד של Google Security Operations. אפשר להגדיר את הטמעת הנתונים בשתי שיטות: Azure Event Hub (מומלץ) או API של צד שלישי.

הערה: תווית הטמעה מזהה את מנתח הנתונים שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן עם תווית ההטמעה AZURE_AD.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• גישה עם הרשאות מיוחדות ל-Microsoft Azure portal
• תפקיד Security Administrator (אדמין אבטחה) או Global Administrator (אדמין כללי) ב-Microsoft Entra ID (נדרש להגדרות אבחון)
• בשיטה של API של צד שלישי, אחת מההרשאות הבאות להענקת הסכמת אדמין:
  • אדמין כללי: יכול להעניק הסכמה לכל הרשאה, לכל API
  • אדמין עם הרשאות גישה מיוחדות: יכול להעניק הסכמה לכל הרשאה, לכל API
  • אדמין של אפליקציות בענן: יכול לתת הסכמה לכל הרשאה לכל API, חוץ מתפקידי אפליקציה של Microsoft Graph (הרשאות לאפליקציה)

הערה: כדי להגדיר הרשאות לאפליקציית Microsoft Graph (שמשמשת בשיטת ה-API), צריך להיות לכם תפקיד של אדמין גלובלי או אדמין עם הרשאות מיוחדות.

שיטה 1: Azure Event Hub (מומלץ)

השיטה הזו מאפשרת להזרים יומני כניסה של Microsoft Entra ID דרך Azure Event Hub באמצעות הגדרות אבחון. ‫Google SecOps מבצעת המרה של היומנים ישירות מ-Event Hub באמצעות סוג הפיד Azure Event Hub.

הערה: השיטה הזו מספקת מסירה של יומנים כמעט בזמן אמת, בהשוואה לשיטה של API של צד שלישי.

יצירת מרחב שמות של Event Hub

מרחב שמות של Event Hub הוא מאגר ניהול של Event Hub אחד או יותר.

1. ב-Azure portal, מחפשים את Event Hubs.
2. לוחצים על ‎+ Create.

3. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   מינוי	בוחרים את המינוי ל-Azure.
   קבוצת משאבים	בוחרים קבוצה קיימת או יוצרים קבוצה חדשה
   שם מרחב השמות	מזינים שם ייחודי (לדוגמה, secops-entraid-signin)
   Location	בחירת האזור שהכי קרוב לדייר Microsoft Entra
   רמת מחיר	רגיל (מומלץ לשימוש בסביבת ייצור)
   יחידות תפוקה	מתחילים עם 1, מפעילים את האפשרות "הגדלה אוטומטית" (מומלץ)

4. לוחצים על בדיקה + יצירה.

5. קוראים את הסקירה הכללית ולוחצים על יצירה.

6. מחכים שהפריסה תסתיים (דקה או שתיים).

   הערה: יחידות התפוקה קובעות את הקיבולת של מרחב השמות. יחידת תפוקה אחת מאפשרת כניסה של 1MB לשנייה ויציאה של 2MB לשנייה. מפעילים את האפשרות התאמה אוטומטית לעומס כדי להרחיב אנכית בהתאם לעומס באופן אוטומטי כשתעבורת הנתונים גדלה.

יצירת מרכז האירועים

1. אחרי פריסת מרחב השמות, עוברים למרחב השמות של Event Hub.
2. בחלונית הימנית, בוחרים באפשרות Event Hubs (מרכזי אירועים) בקטע Entities (ישויות).
3. לוחצים על + מרכז אירועים.

4. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   שם	מזינים שם ייחודי (לדוגמה, entraid-signin-logs)
   מספר המחיצות	‫40 (מומלץ לאופטימיזציה של ההתאמה של Google SecOps)
   שמירת הודעות	7 ימים (המינימום המומלץ)
   צילום	מושבת (לא נדרש ל-Google SecOps)

5. לוחצים על יצירה.

   הערה: מומלץ להשתמש במספר מחיצות של 40 בפידים של Google SecOps כדי להשיג קנה מידה אופטימלי. אי אפשר לשנות את ההגדרה הזו אחרי שיוצרים את המרחב, לכן חשוב להגדיר אותה בצורה נכונה במהלך ההגדרה הראשונית.

איך מקבלים מחרוזת חיבור של Event Hub

כדי לבצע אימות ל-Event Hub, צריך מחרוזת חיבור ל-Google SecOps.

אפשרות א': מחרוזת חיבור ברמת מרחב השמות (מומלץ)

1. עוברים אל מרחב השמות של Event Hub.
2. בתפריט הניווט הימני, בקטע הגדרות, לוחצים על מדיניות גישה משותפת.
3. לוחצים על מדיניות ברירת המחדל RootManageSharedAccessKey.
4. מעתיקים את מחרוזת החיבור – מפתח ראשי.
5. שומרים את מחרוזת החיבור הזו באופן מאובטח.

חשוב: כשמשתמשים במחרוזת חיבור ברמת מרחב השמות, צריך להסיר את הפרמטר EntityPath לפני שמספקים אותו ל-Google SecOps.

• לדוגמה:

  Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs
  
  Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==
  

אפשרות ב': מחרוזת חיבור ברמת Event Hub

1. עוברים אל Event Hub (לא אל מרחב השמות).
2. בתפריט הניווט הימני, בוחרים באפשרות מדיניות של גישה משותפת בקטע הגדרות.
3. לוחצים על + הוספה כדי ליצור מדיניות חדשה.
4. מספקים את פרטי ההגדרה הבאים:
   • שם המדיניות: מזינים שם תיאורי (לדוגמה, chronicle-read)
   • הרשאות: בוחרים באפשרות האזנה בלבד (גישה לקריאה בלבד)
5. לוחצים על יצירה.
6. לוחצים על המדיניות החדשה שנוצרה.
7. מעתיקים את מחרוזת החיבור – מפתח ראשי.

8. שומרים את מחרוזת החיבור הזו באופן מאובטח.

   הערה: מחרוזות חיבור ברמת Event Hub כבר כוללות את הפרמטר EntityPath, כך שאין צורך לבצע שינוי.

הגדרת הגדרות אבחון ב-Microsoft Entra ID

1. נכנסים אל מרכז הניהול של Microsoft Entra עם הרשאת אדמין אבטחה לפחות.
2. עוברים אל Entra ID > Monitoring & health > Diagnostic settings (ניטור ובדיקה > הגדרות אבחון).
3. לוחצים על + הוספת הגדרת אבחון.

4. מספקים את פרטי ההגדרה הבאים:

   • Diagnostic setting name: נותנים שם תיאורי (לדוגמה, signin-logs-to-eventhub).

   • בקטע Logs (יומנים), בוחרים את הקטגוריות של יומני הכניסה שרוצים לייצא:

     • ‫SignInLogs – כניסות אינטראקטיביות של משתמשים.
     • ‫NonInteractiveUserSignInLogs – כניסות לא אינטראקטיביות של משתמשים (מומלץ).
     • ‫ServicePrincipalSignInLogs – כניסות של חשבונות משתמשים (אופציונלי).
     • ‫ManagedIdentitySignInLogs – כניסות של זהויות מנוהלות (אופציונלי).
     • ‫ADFSSignInLogs – יומני כניסה ל-AD FS (אופציונלי, אם נעשה שימוש ב-AD FS).
     • ‫RiskyUsers – משתמשים שסומנו בסיכון על ידי Microsoft Entra ID Protection (אופציונלי).
     • ‫UserRiskEvents – פרטים על אירוע כניסה מסוכן (אופציונלי).
     הערה: אם אתם צריכים את סוגי הכניסה האלה, צריך לבחור באפשרויות NonInteractiveUserSignInLogs, ‏ ServicePrincipalSignInLogs ו-ManagedIdentitySignInLogs. אלה הקטגוריות שאי אפשר לאסוף בשיטה 2. תכנון נפח: מיקרוסופט מציינת שכניסות של משתמשים לא אינטראקטיביים ושל חשבונות ראשיים של שירותים יכולות להיות גדולות פי חמישה עד פי עשרה מכניסות אינטראקטיביות.

   • בקטע פרטי היעד, בוחרים באפשרות הזרמה למרכז אירועים.

   • Subscription: בוחרים את המינוי שמכיל את מרחב השמות של Event Hub.

   • מרחב שמות של Event Hub: בוחרים את מרחב השמות שיצרתם (לדוגמה, secops-entraid-signin).

   • Event hub name: בוחרים את מרכז האירועים שיצרתם (לדוגמה, entraid-signin-logs).

   • שם המדיניות של מרכז האירועים: בוחרים באפשרות RootManageSharedAccessKey.

5. לוחצים על Save.

   הערה: מיקרוסופט מציינת שיכול להיות שיחלפו עד שלושה ימים מרגע שיוצרים הגדרת אבחון ועד שהיומנים יתחילו להופיע ביעד. הנתונים מגיעים בדרך כלל הרבה יותר מהר, אבל אל תניחו שמדובר בטעות בהגדרה אם ביום הראשון לא מופיעים נתונים ב-Event Hub. אפשר גם לבחור באפשרות Export Settings (הגדרות ייצוא) בדף Audit Logs (יומני ביקורת) או Sign-ins (כניסות) כדי להגיע להגדרות האבחון.

(אופציונלי) הגדרת Azure Blob Storage ליצירת נקודות ביקורת

‫Google SecOps יכול להשתמש ב-Azure Blob Storage כדי לאחסן נקודות ביקורת של Event Hub, שמאפשרות לעקוב אחרי האירועים שעברו עיבוד. כך נמנעת הטמעה כפולה אם הפיד מופסק באופן זמני.

יצירת חשבון אחסון לנקודות ביקורת

1. ב-Azure portal, מחפשים את Storage accounts.
2. לוחצים על ‎+ Create.

3. מספקים את פרטי ההגדרה הבאים:

   הגדרה	ערך
   מינוי	בוחרים את המינוי ל-Azure.
   קבוצת משאבים	משתמשים באותה קבוצת משאבים כמו ב-Event Hub
   שם חשבון האחסון	מזינים שם ייחודי (לדוגמה, secopsaadsignin)
   אזור	אותו אזור כמו Event Hub
   ביצועים	רגילה
   יתירות	LRS (אחסון עם יתירות מקומית)

4. לוחצים על בדיקה + יצירה.

5. לוחצים על יצירה.

יצירת מאגר ה-Blob

1. עוברים לחשבון האחסון שיצרתם.
2. בתפריט הניווט הימני, בקטע Data storage (מאגר נתונים), לוחצים על Containers (מאגרים).
3. לוחצים על + מאגר תגים.
4. מספקים את פרטי ההגדרה הבאים:
   • שם: מזינים checkpoints
   • רמת הגישה הציבורית: פרטית (אין גישה אנונימית)
5. לוחצים על יצירה.

קבלת פרטי הכניסה לחשבון האחסון

1. בחשבון האחסון, בוחרים באפשרות מפתחות גישה בקטע אבטחה + רשת.
2. לוחצים על הצגת מקשים.
3. העתקה ושמירה:
   • Storage account name: השם של חשבון האחסון.
   • מפתח 1: הערך של מפתח הגישה.

(אופציונלי) יצירת קבוצת צרכנים ייעודית

כברירת מחדל, Event Hub מספק קבוצת צרכנים בשם $Default. בסביבות ייצור, מומלץ ליצור קבוצת צרכנים ייעודית ל-Google SecOps.

1. עוברים אל Event Hub (לא אל מרחב השמות).
2. בתפריט הניווט הימני, בקטע ישויות, לוחצים על קבוצות צרכנים.
3. לוחצים על + קבוצת צרכנים.
4. מספקים את פרטי ההגדרה הבאים:
   • שם: מזינים שם תיאורי (לדוגמה, chronicle)

5. לוחצים על יצירה.

   הערה: אם יוצרים קבוצת לקוח ייעודית, צריך לציין אותה כשיוצרים את הפיד ב-Google SecOps. אחרת, משתמשים בקבוצת הצרכנים שמוגדרת כברירת מחדל, $Default.

הגדרת פיד ב-Google SecOps כדי להטמיע יומני כניסה של Microsoft Entra ID

1. עוברים אל SIEM Settings > Feeds.
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Microsoft Entra ID Sign-In Logs - Event Hub).
5. בוחרים באפשרות Microsoft Azure Event Hub בתור סוג המקור.
6. בוחרים באפשרות Microsoft Azure AD בתור סוג היומן.
7. לוחצים על הבא.

8. מציינים ערכים לפרמטרים הבאים של הקלט:

   • מחרוזת חיבור ל-Event Hub: מזינים את מחרוזת החיבור ל-Event Hub ששמרתם קודם.

     אם משתמשים במחרוזת חיבור ברמת מרחב השמות:

     • חשוב לוודא שהסרתם את הפרמטר EntityPath.
     • צריך גם לציין את שם מרכז האירועים בשדה הבא.

     אם משתמשים במחרוזת חיבור ברמת מרכז האירועים:

     • משתמשים במחרוזת החיבור כמו שהיא (כולל EntityPath).

     • אפשר להשאיר את השדה Event hub name (שם מרכז האירועים) ריק.

     • שם מרכז האירועים: מזינים את שם מרכז האירועים (לדוגמה, entraid-signin-logs).

     חובה אם משתמשים במחרוזת חיבור ברמת מרחב השמות. אופציונלי אם משתמשים במחרוזת חיבור ברמת מרכז האירועים.

     • קבוצת צרכנים (אופציונלי): מזינים את שם קבוצת הצרכנים.
     • אם משאירים את השדה ריק, המערכת משתמשת בקבוצת הצרכנים שמוגדרת כברירת מחדל, $Default.

     • אם יצרתם קבוצת צרכנים ייעודית, הזינו את השם שלה (לדוגמה, chronicle).

     • שם המאגר של Blob Storage (אופציונלי): כדי ליצור נקודת ביקורת, מזינים את שם המאגר (לדוגמה, checkpoints).

     אם מספקים אחסון Blob לנקודות ביקורת:

     • שם חשבון אחסון ב-Azure: מזינים את שם חשבון האחסון מתוך הגדרת יצירת נקודות ביקורת.

     • מפתח חשבון אחסון ב-Azure: מזינים את מפתח הגישה מהגדרת נקודת הבדיקה.

     • מרחב השמות של הנכס: מרחב השמות של הנכס.

     • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.

9. לוחצים על הבא.

10. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

    הערה: אחרי שיוצרים את הפיד, יכול להיות שיעברו דקה או שתיים לפני שהאירועים יתחילו להופיע ב-Google SecOps.

שיטה 2: API של צד שלישי

בשיטה הזו נעשה שימוש ב-Microsoft Graph API כדי לאחזר יומני כניסה של Microsoft Entra ID ישירות מדייר Microsoft שלכם.

חשוב: בשיטה הזו נאספים רק נתונים של כניסות מאוחדות אינטראקטיביות ומוצלחות. הכניסות של משתמשים לא אינטראקטיביים, של מנהלי שירות ושל זהויות מנוהלות לא מוחזרות על ידי graph.microsoft.com/v1.0/auditLogs/signIns, ואי אפשר לבקש אותן ממנו. המאפיין signInEventTypes שבוחר את הקטגוריות האלה קיים רק בגרסת הבטא של Microsoft Graph, ולא בגרסה v1.0. כדי להטמיע את סוגי הכניסה האלה, צריך להשתמש בשיטה 1: Azure Event Hub או ב-Microsoft Azure Blob Storage V2, ולבחור את הקטגוריות NonInteractiveUserSignInLogs, ‏ ServicePrincipalSignInLogs ו-ManagedIdentitySignInLogs בהגדרות האבחון של Microsoft Entra ID.

שימו לב: כדי להטמיע סוגי יומנים מ-API של צד שלישי ב-Google SecOps, צריך להוסיף אותם לרשימת ההיתרים. מידע נוסף על רשימות היתרים לכתובות IP בפועל, זה רלוונטי למקרים שבהם מקור הנתונים אוכף הגבלות שמבוססות על כתובות IP: אם הפיד מחזיר שגיאת 403, צריך לבדוק אם הוספת כתובות לרשימת ההיתרים מופעלת במקור הנתונים ולהוסיף את הטווחים. שימו לב: הרשימה שמתפרסמת היא רשימת היציאה של כל מוצרי Google goog.json, ולא רשימת היציאה של Google SecOps. בנוסף, Google SecOps לא יכולה להבטיח שפיד מגיע מאזור מסוים. כדי להגביל את הגישה לטווח מצומצם יותר, צריך לפתוח כרטיס תמיכה.

הגדרת רשימת היתרים של כתובות IP

‫Google SecOps דורש הוספה לרשימת ההיתרים של סוגי יומנים שמתבצעת בהם קליטה מממשקי API של צד שלישי, לכן צריך להוסיף את טווחי כתובות ה-IP של Google בהגדרות הרשת של Microsoft Azure או במדיניות הגישה המותנית לפני שיוצרים את הפיד. זה חשוב במקרים שבהם מקור הנתונים אוכף הגבלות שמבוססות על כתובות IP. אם הפיד מחזיר שגיאת 403, צריך לוודא שהרשימה הלבנה מופעלת. חשוב לדעת שהרשימה שמתפרסמת היא רשימת היציאה של כל מוצרי Google goog.json, ולא רשימת היציאה של Google SecOps. בנוסף, Google SecOps לא יכולה להבטיח שפיד מגיע מכתובות באזור מסוים. כדי להגביל את הגישה לטווח מצומצם יותר, צריך לפתוח כרטיס תמיכה.

קבלת טווחי כתובות IP של Google SecOps

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. שימו לב לטווח כתובות ה-IP שמוצג בממשק ליצירת פידים.
4. לחלופין, אפשר לאחזר טווחי כתובות IP באופן פרוגרמטי באמצעות Feed Management API.

הגדרת גישה מותנית ל-Workload Identity (אם נדרש)

אם הארגון שלכם משתמש בכללי מדיניות של גישה מותנית שמגבילים את הגישה לפי מיקום:

1. במרכז הניהול של Microsoft Entra, עוברים אל Protection > Conditional Access > Named locations (הגנה > גישה מותנית > מיקומים עם שמות).
2. לוחצים על + מיקום חדש.
3. מספקים את פרטי ההגדרה הבאים:
   • שם: מזינים Google SecOps IP Ranges.
   • סימון כמיקום מהימן: אופציונלי, בהתאם למדיניות האבטחה שלכם.
   • טווח כתובות IP: מוסיפים כל טווח כתובות IP של Google SecOps בסימון CIDR.
4. לוחצים על יצירה.
5. עוברים אל גישה מותנית > מדיניות.
6. בכל כללי המדיניות שחלים על זהויות של עומסי עבודה, מגדירים החרגה למיקום בעל השם Google SecOps IP Ranges או לישות השירות הספציפית.

הגדרת גישה ל-API של Microsoft Entra ID

יצירת רישום של אפליקציה

1. נכנסים למרכז הניהול של Microsoft Entra או לפורטל Azure.
2. עוברים אל Identity > Applications > App registrations.
3. לוחצים על New registration.

4. ממלאים את פרטי ההגדרה הבאים:

   • שם: מזינים שם תיאורי (לדוגמה, Google SecOps Sign-In Logs Integration).
   • סוגי חשבונות נתמכים: בוחרים באפשרות חשבונות רק בספרייה הארגונית הזו (דייר יחיד).
   הערה: בחירה ב-Single tenant היא הבחירה הנכונה לשילובים של ממשקי API של צד שלישי. ‫Google SecOps יקבל גישה ליומני הכניסה רק מהדייר הספציפי שלכם ב-Microsoft Entra. בוחרים באפשרות 'רב-דיירים' רק אם אתם צריכים לגשת ליומנים מכמה דיירים בתרחיש של ספק שירותים מנוהלים.
   • כתובת URI להפניה אוטומטית: משאירים את השדה ריק (לא נדרש לאימות של חשבון שירות).

5. לוחצים על הרשמה.

6. אחרי ההרשמה, מעתיקים ושומרים את הערכים הבאים:

   • מזהה אפליקציה (לקוח)
   • מזהה ספרייה (דייר)

הגדרת הרשאות ל-API

כדי לבצע את השילוב, צריך לתת לאפליקציה את ההרשאות הבאות ב-Microsoft Graph:

1. ברישום האפליקציה, עוברים אל API permissions (הרשאות API).
2. לוחצים על הוספת הרשאה.
3. בוחרים באפשרות Microsoft Graph > הרשאות לאפליקציה.
4. בוחרים את ההרשאות הבאות:
   • ‫AuditLog.Read.All: נדרשת כדי לקרוא יומני כניסה.
   • ‫Directory.Read.All: נדרש על ידי Microsoft Graph API כדי לגשת ליומן הכניסה (בעיה ידועה).
   • ‫SecurityEvents.Read.All: נדרש על ידי Google SecOps.
5. אופציונלי: כדי לכלול גם את כללי המדיניות של הגישה המותנית שחלים על כל כניסה, מוסיפים הרשאת קריאה של גישה מותנית:
   • ‫Policy.Read.ConditionalAccess: מומלץ (הרשאות מינימליות). הפיד מאכלס את השדה appliedConditionalAccessPolicies בכל רשומה של כניסה לחשבון.
6. לוחצים על הוספת הרשאות.
7. לוחצים על Grant admin consent for [Your Organization] (מתן הסכמה של אדמין עבור [הארגון שלך]).
8. מוודאים שבעמודה סטטוס מופיע הערך הוענקה ל[שם הארגון] לכל הרשאה שהוספתם.

הערה: אם הלחצן Grant admin consent (הענקת הסכמה של אדמין) מושבת, צריך לוודא שמוגדר לכם התפקיד Global Administrator (אדמין כללי) או Privileged Role Administrator (אדמין עם הרשאות מיוחדות). לתפקידים 'אדמין של אפליקציות בענן' ו'אדמין של אפליקציות' אין אפשרות להעניק הסכמה להרשאות של אפליקציות Microsoft Graph.

הערה: Policy.Read.ConditionalAccess היא הרשאה אופציונלית. ללא הרשאת קריאה של גישה מותנית, Microsoft Graph משמיט את המאפיין appliedConditionalAccessPolicies מכל רשומה של כניסה (יומני הכניסה עדיין זורמים עם AuditLog.Read.All בלבד). כדאי לתת את ההרשאה הזו אם רוצים לראות אילו כללי מדיניות של גישה מותנית הוערכו בכל התחברות, וכדי ליצור תרחישי שימוש לזיהוי פערים בגישה מותנית ב-Google Security Operations. אם הארגון שלכם מעדיף היקף רחב יותר, גם ההרשאות Policy.Read.All או Policy.ReadWrite.ConditionalAccess עומדות בדרישה.

הרשאה	סוג	תיאור
AuditLog.Read.All	בקשת הצטרפות	קריאה של כל נתוני הכניסה ויומני הביקורת
Directory.Read.All	בקשת הצטרפות	קריאת נתוני ספרייה (נדרש לגישה ל-API)
SecurityEvents.Read.All	בקשת הצטרפות	קריאת אירועי אבטחה
Policy.Read.ConditionalAccess	בקשת הצטרפות	זה שינוי אופציונלי. קריאת כללי מדיניות של גישה מותנית כדי ש-appliedConditionalAccessPolicies ייכלל ביומני הכניסה

יצירת סוד לקוח

1. עוברים אל Certificates & secrets.
2. לוחצים על New client secret (סוד לקוח חדש).

3. ממלאים את פרטי ההגדרה הבאים:

   • תיאור: מזינים שם תיאורי (לדוגמה, Google SecOps Feed).
   • תאריך תפוגה: בוחרים תקופת תפוגה.
   הערה: מיקרוסופט ממליצה להגדיר ערך תפוגה של פחות מ-12 חודשים. התקופה המקסימלית המותרת היא 24 חודשים. כדי לשפר את האבטחה, כדאי להשתמש בפרטי כניסה של אישורים או בפרטי כניסה של זהות מאוחדת במקום בסודות לקוח. איך מעבירים אפליקציות מאימות שמבוסס על סודות

4. לוחצים על הוספה.

5. חשוב: צריך להעתיק מיד את הערך של סוד הלקוח. הערך הזה מוצג רק פעם אחת ואי אפשר לאחזר אותו מאוחר יותר.

אימות גישת API לפני יצירת פיד

לפני שיוצרים את הפיד של Google SecOps, צריך לוודא שהחשבון הראשי של השירות יכול לעבור אימות ולגשת ל-Microsoft Graph API.

• בדיקת האימות באמצעות PowerShell

  # Replace with your actual values
  $tenantId = "your-tenant-id"
  $clientId = "your-client-id"
  $clientSecret = "your-client-secret"
  
  # Token request parameters (must be lowercase)
  $tokenBody = @{
      grant_type    = "client_credentials"
      client_id     = $clientId
      client_secret = $clientSecret
      scope         = "https://graph.microsoft.com/.default"
  }
  
  # Request access token
  $tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
  $tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"
  
  if ($tokenResponse.access_token) {
      Write-Host "✓ Successfully obtained access token" -ForegroundColor Green
  
      # Test API call to sign-ins endpoint
      $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
      $headers = @{
          Authorization = "Bearer $($tokenResponse.access_token)"
      }
  
      try {
          $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
          Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
          Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
      }
      catch {
          Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
          Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  else {
      Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
  }
  

• הפלט אמור להיראות כך:

  ✓ Successfully obtained access token
  ✓ Successfully accessed sign-ins API
  Sample sign-in log retrieved successfully
  

• בדיקת האימות באמצעות curl

  # Replace with your actual values
  TENANT_ID="your-tenant-id"
  CLIENT_ID="your-client-id"
  CLIENT_SECRET="your-client-secret"
  
  # Request access token
  curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=client_credentials" \
    -d "client_id=$CLIENT_ID" \
    -d "client_secret=$CLIENT_SECRET" \
    -d "scope=https://graph.microsoft.com/.default"
  
  # Test API access
  curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
    "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"
  

הגדרת פיד ב-Google SecOps להטמעה של יומני כניסה של Microsoft Entra ID

הגדרת הפיד

1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
2. לוחצים על הוספת פיד חדש.
3. בדף הבא, לוחצים על הגדרת פיד יחיד.
4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Microsoft Entra ID Sign-In Logs).
5. בוחרים באפשרות API של צד שלישי בתור סוג המקור.
6. בוחרים באפשרות Microsoft Azure AD בתור סוג היומן.
7. לוחצים על הבא.

הגדרת פרמטרים של פיד

1. מציינים ערכים לפרמטרים הבאים של הקלט:

   • מזהה לקוח OAuth: מזהה האפליקציה (הלקוח) מרישום האפליקציה.
   • סוד לקוח OAuth: ערך סוד הלקוח שהעתקתם קודם.
   • מזהה הדייר: מזהה הדייר שלכם במיקרוסופט מרישום האפליקציה (בפורמט UUID, לדוגמה, 0fc279f9-fe30-41be-97d3-abe1d7681418).

   • הנתיב המלא של ה-API: כתובת ה-URL של נקודת הקצה ל-API בארכיטקטורת REST של Microsoft Graph:

     graph.microsoft.com/v1.0/auditLogs/signIns
     

     הערה: אל תכללו את הקידומת https://. הפיד יוסיף את הפרוטוקול באופן אוטומטי.

   • נקודת קצה לאימות API: נקודת קצה לאימות של Microsoft Active Directory:

     login.microsoftonline.com
     

     הערה: אין לכלול את הקידומת https:// או את הנתיב /oauth2/v2.0/token. הפיד ייצור באופן אוטומטי את כתובת ה-URL המלאה לאימות באמצעות מזהה הדייר (Tenant ID).

   אפשרויות מתקדמות:

   • שם הפיד: ערך שמזהה את הפיד וממולא מראש.
   • סוג המקור: API של צד שלישי (מנגנון לאיסוף היומנים ב-Google SecOps).
   • מרחב השמות של הנכס: מרחב השמות של הנכס שהפיד ישויך אליו.
   • תוויות של הטמעה: התוויות יתווספו לכל האירועים מהפיד הזה.

2. לוחצים על הבא.

3. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

   הערה: אחרי שיוצרים את הפיד, יכול להיות שיחלפו 5-10 דקות לפני שהיומנים יתחילו להופיע ב-Google SecOps.

נקודות קצה אזוריות

בפריסות של Microsoft Entra ID בעננים ריבוניים, צריך להשתמש בנקודות הקצה האזוריות המתאימות:

סביבת ענן	הנתיב המלא של ה-API	נקודת קצה לאימות API
גלובלי	graph.microsoft.com/v1.0/auditLogs/signIns	login.microsoftonline.com
‫US Government L4	graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
US Government L5 (DOD)	dod-graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
סין (21Vianet)	microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns	login.chinacloudapi.cn

הערה: במסמכי Google SecOps, שם המארח של ה-API מתועד רק כהחלפה אופציונלית עם ברירת מחדל מסחרית, ולא מתועדת תמיכה במארחים של ענן ריבוני. בסוגי הפידים Azure Blob Storage ו-Event Hub מצוין שאין תמיכה ב-Sovereign Cloud. מומלץ לאשר את השימוש בנקודת קצה ריבונית מול התמיכה לפני שמסתמכים עליה.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
CertSerialNumber	about.artifact.last_https_certificate.serial_number	מיפוי ישיר
modifiedProperty.newValue	about.location.city	מיפוי ישיר
modifiedProperty.newValue	about.location.country_or_region	מיפוי ישיר
modifiedProperty.newValue	about.location.state	מיפוי ישיר
modifiedProperty.newValue	about.user.department	ממוזג
modifiedProperty.newValue	about.user.email_addresses	ממוזג
modifiedProperty.newValue	about.user.first_name	מיפוי ישיר
modifiedProperty.newValue	about.user.last_name	מיפוי ישיר
modifiedProperty.newValue	about.user.phone_numbers	ממוזג
modifiedProperty.newValue	about.user.product_object_id	מיפוי ישיר
modifiedProperty.newValue	about.user.title	מיפוי ישיר
modifiedProperty.newValue	about.user.user_display_name	מיפוי ישיר
modifiedProperty.newValue	about.user.userid	מיפוי ישיר
C_DeviceId_label	additional.fields	ממוזג
C_Iat_label	additional.fields	ממוזג
C_Idtyp_label	additional.fields	ממוזג
C_Sid_label	additional.fields	ממוזג
CorrelationId_label	additional.fields	ממוזג
CrossTenantAccessType_label	additional.fields	ממוזג
ImpersonationLevel_label	additional.fields	ממוזג
KeyLength_label	additional.fields	ממוזג
aadtenant_label	additional.fields	ממוזג
additionalDetails_label	additional.fields	ממוזג
additional_crossTenantAccessType	additional.fields	ממוזג
additional_detail_label	additional.fields	ממוזג
additional_detectedDateTime	additional.fields	ממוזג
additional_detectionTimingType	additional.fields	ממוזג
additional_durationMs	additional.fields	ממוזג
additional_fields	additional.fields	ממוזג
additional_isDeleted	additional.fields	ממוזג
additional_isGuest	additional.fields	ממוזג
additional_isProcessing	additional.fields	ממוזג
additional_lastUpdatedDateTime	additional.fields	ממוזג
additional_resultSignature	additional.fields	ממוזג
additional_source	additional.fields	ממוזג
additional_tokenIssuerName	additional.fields	ממוזג
additional_tokenIssuerType	additional.fields	ממוזג
additional_userType	additional.fields	ממוזג
altitude_loc	additional.fields	ממוזג
appServicePrincipalId_label	additional.fields	ממוזג
atContentH_label	additional.fields	ממוזג
atContentP_label	additional.fields	ממוזג
auth_detail_label	additional.fields	ממוזג
auth_id_label	additional.fields	ממוזג
authentication	additional.fields	ממוזג
authenticationDetail_label	additional.fields	ממוזג
authenticationProtocol_label	additional.fields	ממוזג
authentication_app_device_details_label	additional.fields	ממוזג
authentication_requirement_label	additional.fields	ממוזג
auto_label	additional.fields	ממוזג
autonomousSystemNumber_label	additional.fields	ממוזג
cert_issuer_name_label	additional.fields	ממוזג
cert_thumbprint_label	additional.fields	ממוזג
clientCredentialType_label	additional.fields	ממוזג
client_credential_type	additional.fields	ממוזג
client_credential_type_label	additional.fields	ממוזג
conditionalAccessStatus_label	additional.fields	ממוזג
cribl_pipe_label	additional.fields	ממוזג
crossTenantAccessType_label	additional.fields	ממוזג
cross_tenant_access_type_label	additional.fields	ממוזג
domain_hint_present_label	additional.fields	ממוזג
durationMs_label	additional.fields	ממוזג
error_number_label	additional.fields	ממוזג
federated_credential_id_label	additional.fields	ממוזג
flaggedForReview_label	additional.fields	ממוזג
flagged_for_review_label	additional.fields	ממוזג
hometenant_label	additional.fields	ממוזג
incomingTokenType_label	additional.fields	ממוזג
incoming_token_type_label	additional.fields	ממוזג
isTenantRestricted_label	additional.fields	ממוזג
isThroughGlobalSecureAccess_label	additional.fields	ממוזג
is_interactive_label	additional.fields	ממוזג
is_tenant_restricted_label	additional.fields	ממוזג
latitude_label	additional.fields	ממוזג
login_hint_present_label	additional.fields	ממוזג
longitude_label	additional.fields	ממוזג
mfa_details_label	additional.fields	ממוזג
name_list	additional.fields	ממוזג
networkName_label	additional.fields	ממוזג
networkType_additional_fields	additional.fields	ממוזג
networkType_label	additional.fields	ממוזג
network_location_label	additional.fields	ממוזג
network_names_additional_fields	additional.fields	ממוזג
originalRequestId_label	additional.fields	ממוזג
originalTransferMethod_label	additional.fields	ממוזג
original_transfer_method_label	additional.fields	ממוזג
processing_time_in_milliseconds_label	additional.fields	ממוזג
properties_incomingTokenType	additional.fields	ממוזג
properties_isInteractive	additional.fields	ממוזג
properties_location_geoCoordinates_altitude	additional.fields	ממוזג
properties_processingTimeInMilliseconds	additional.fields	ממוזג
properties_rngcStatus	additional.fields	ממוזג
proxy_restriction_target_tenant_name_label	additional.fields	ממוזג
prp_networkType_additional_fields	additional.fields	ממוזג
prp_network_names_additional_fields	additional.fields	ממוזג
ram_recommended_action_label	additional.fields	ממוזג
ram_recommender_label	additional.fields	ממוזג
record_properties_id_label	additional.fields	ממוזג
resultReason_label	additional.fields	ממוזג
resultType_label	additional.fields	ממוזג
resultstatus_label	additional.fields	ממוזג
rngcStatus_label	additional.fields	ממוזג
service_principal_credential_key_id_label	additional.fields	ממוזג
service_principal_credential_thumbprint_label	additional.fields	ממוזג
service_principal_name_label	additional.fields	ממוזג
signInActivityId_label	additional.fields	ממוזג
signInSessionStatusCode_label	additional.fields	ממוזג
signInSessionStatus_label	additional.fields	ממוזג
signInTokenProtectionStatus_label	additional.fields	ממוזג
sign_in_identifier_type_label	additional.fields	ממוזג
sign_in_token_protection_status_label	additional.fields	ממוזג
ssoExtensionVersion_label	additional.fields	ממוזג
status_additionalDetails_label	additional.fields	ממוזג
tokenIssuedAt_label	additional.fields	ממוזג
tokenIssuerType_label	additional.fields	ממוזג
token_issuer_name_label	additional.fields	ממוזג
token_issuer_type_label	additional.fields	ממוזג
token_protection_status_details_label	additional.fields	ממוזג
token_protection_status_details_signInSessionStatus_label	additional.fields	ממוזג
type_list	additional.fields	ממוזג
uniqueTokenIdentifier_label	additional.fields	ממוזג
unique_token_identifier_label	additional.fields	ממוזג
userType_label	additional.fields	ממוזג
user_type_label	additional.fields	ממוזג
wids_label	additional.fields	ממוזג
workload_label	additional.fields	ממוזג
LogonType	extensions.auth.auth_details	מיפוי ישיר
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed	extensions.auth.auth_details	מיפוי ישיר
properties_clientAuthMethod	extensions.auth.auth_details	מיפוי ישיר
record_properties_clientAuthMethod	extensions.auth.auth_details	מיפוי ישיר
auth_mechanism	extensions.auth.mechanism	ממוזג
ext_mech	extensions.auth.mechanism	ממוזג
mechanism	extensions.auth.mechanism	ממוזג
operationName	extensions.auth.type	מיפוי: Sign-in activity → SSO
record_operationName	extensions.auth.type	מיפוי: Sign-in activity → AUTHTYPE_UNSPECIFIED
category	metadata.description	מיפוי ישיר
record_category	metadata.description	מיפוי ישיר
CreationTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-ddTHH:mm:ss
activityDateTime	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
date	metadata.event_timestamp	נותח בתור ISO8601
properties.activityDateTime	metadata.event_timestamp	נותח בתור yyyy-MM-ddTHH:mm:ss.SSSZ
record_CreatedDateTime	metadata.event_timestamp	נותח בתור ISO8601
record_time	metadata.event_timestamp	ניתוח הכתובות שברשימה: ISO8601
when	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-dd HH:mm:ss
category	metadata.event_type	מיפוי: (?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type	metadata.event_type	מיפוי ישיר
has_principal	metadata.event_type	מיפוי: true → STATUS_UPDATE
has_principal_user	metadata.event_type	מופה: true ← USER_UNCATEGORIZED
has_resource	metadata.event_type	מיפוי: true → USER_RESOURCE_ACCESS
has_target	metadata.event_type	מיפוי: true → NETWORK_CONNECTION
has_target_user	metadata.event_type	מיפוי: true ← USER_LOGOUT, ‏ true ← USER_CHANGE_PERMISSIONS, ‏ true ← USER_LOGIN
record_tenantId	metadata.product_deployment_id	מיפוי ישיר
tenantId	metadata.product_deployment_id	מיפוי ישיר
Operation	metadata.product_event_type	מיפוי ישיר
activityDisplayName	metadata.product_event_type	מיפוי ישיר
operationName	metadata.product_event_type	מיפוי ישיר
record_OperationName	metadata.product_event_type	מיפוי ישיר
record_operationName	metadata.product_event_type	מיפוי ישיר
type	metadata.product_event_type	מיפוי ישיר
EventRecordID	metadata.product_log_id	מיפוי ישיר
Id	metadata.product_log_id	מיפוי ישיר
id	metadata.product_log_id	מיפוי ישיר
properties.id	metadata.product_log_id	מיפוי ישיר
record_Id	metadata.product_log_id	מיפוי ישיר
record_correlationId	metadata.product_log_id	מיפוי ישיר
Version	metadata.product_version	מיפוי ישיר
operationVersion	metadata.product_version	מיפוי ישיר
record_operationVersion	metadata.product_version	מיפוי ישיר
properties.SignInBondData.ProtocolDetails.Protocol	network.application_protocol	מיפוי ישיר
properties_requestMethod	network.http.method	מיפוי ישיר
record_properties_requestMethod	network.http.method	מיפוי ישיר
browser	network.http.parsed_user_agent	מיפוי ישיר
deviceDetail.browser	network.http.parsed_user_agent	מיפוי ישיר
properties.deviceDetail.browser	network.http.parsed_user_agent	מיפוי ישיר
properties.userAgent	network.http.parsed_user_agent	מיפוי ישיר
record_UserAgent	network.http.parsed_user_agent	מיפוי ישיר
record_properties_userAgent	network.http.parsed_user_agent	מיפוי ישיר
userAgent	network.http.parsed_user_agent	מיפוי ישיר
user_agent	network.http.parsed_user_agent	מיפוי ישיר
value	network.http.parsed_user_agent	מיפוי ישיר
value1	network.http.parsed_user_agent	שינוי שם/מיפוי
properties_requestUri	network.http.referral_url	מיפוי ישיר
record_properties_requestUri	network.http.referral_url	מיפוי ישיר
properties_responseStatusCode	network.http.response_code	מיפוי ישיר
record_properties_responseStatusCode	network.http.response_code	מיפוי ישיר
browser	network.http.user_agent	מיפוי ישיר
deviceDetail.browser	network.http.user_agent	מיפוי ישיר
properties.deviceDetail.browser	network.http.user_agent	מיפוי ישיר
properties.userAgent	network.http.user_agent	מיפוי ישיר
record_UserAgent	network.http.user_agent	מיפוי ישיר
record_properties_userAgent	network.http.user_agent	מיפוי ישיר
userAgent	network.http.user_agent	מיפוי ישיר
user_agent	network.http.user_agent	מיפוי ישיר
value	network.http.user_agent	מיפוי ישיר
value1	network.http.user_agent	מיפוי ישיר
properties_responseSizeBytes	network.received_bytes	מיפוי ישיר
record_properties_responseSizeBytes	network.received_bytes	מיפוי ישיר
originalRequestId	network.session_id	מיפוי ישיר
properties.originalRequestId	network.session_id	מיפוי ישיר
properties.sessionId	network.session_id	מיפוי ישיר
record_OriginalRequestId	network.session_id	מיפוי ישיר
record_properties_sessionId	network.session_id	מיפוי ישיר
sessionId	network.session_id	מיפוי ישיר
value	network.session_id	מיפוי ישיר
loggedByService	observer.application	מיפוי ישיר
properties.loggedByService	observer.application	מיפוי ישיר
SubjectDomainName	principal.administrative_domain	מיפוי ישיר
domain	principal.administrative_domain	מיפוי ישיר
initiatedBy_app_displayName	principal.application	מיפוי ישיר
record_ClientAppUsed	principal.application	מיפוי ישיר
deviceId	principal.asset.asset_id	מיפוי ישיר
properties_deviceDetail_deviceId	principal.asset.asset_id	מיפוי ישיר
record_DeviceDetail_deviceId	principal.asset.asset_id	מיפוי ישיר
record_properties_C_DeviceId	principal.asset.asset_id	מיפוי ישיר
record_properties_deviceDetail_deviceId	principal.asset.asset_id	מיפוי ישיר
additional_fields	principal.asset.attribute.labels	ממוזג
device_trust_type_label	principal.asset.attribute.labels	ממוזג
isManaged_label	principal.asset.attribute.labels	ממוזג
is_managed_label	principal.asset.attribute.labels	ממוזג
trustType_label	principal.asset.attribute.labels	ממוזג
deviceDetail.displayName	principal.asset.hostname	מיפוי ישיר
displayName	principal.asset.hostname	מיפוי ישיר
properties.deviceDetail.displayName	principal.asset.hostname	מיפוי ישיר
ActorIpAddress	principal.asset.ip	ממוזג
IpAddress	principal.asset.ip	ממוזג
SourceIpAddress	principal.asset.ip	ממוזג
initiatedBy.user.ipAddress	principal.asset.ip	ממוזג
principal_ip	principal.asset.ip	ממוזג
properties.initiatedBy.user.ipAddress	principal.asset.ip	ממוזג
properties_ip_address	principal.asset.ip	ממוזג
record.IPAddress	principal.asset.ip	ממוזג
record_callerIpAddress	principal.asset.ip	ממוזג
deviceId	principal.asset_id	מיפוי ישיר
record_DeviceDetail_deviceId	principal.asset_id	מיפוי ישיר
record_properties_deviceDetail_deviceId	principal.asset_id	מיפוי ישיר
value	principal.asset_id	מיפוי ישיר
deviceDetail.displayName	principal.hostname	מיפוי ישיר
displayName	principal.hostname	מיפוי ישיר
properties.deviceDetail.displayName	principal.hostname	מיפוי ישיר
ActorIpAddress	principal.ip	ממוזג
IpAddress	principal.ip	ממוזג
SourceIpAddress	principal.ip	ממוזג
initiatedBy.user.ipAddress	principal.ip	ממוזג
principal_ip	principal.ip	ממוזג
properties.initiatedBy.user.ipAddress	principal.ip	ממוזג
properties_ip_address	principal.ip	ממוזג
record_IPAddress	principal.ip	ממוזג
record_callerIpAddress	principal.ip	ממוזג
location_city	principal.location.city	מיפוי ישיר
record_properties_location_city	principal.location.city	מיפוי ישיר
location_countryOrRegion	principal.location.country_or_region	מיפוי ישיר
properties.tenantGeo	principal.location.country_or_region	מיפוי ישיר
record_properties_location_countryOrRegion	principal.location.country_or_region	מיפוי ישיר
location_name	principal.location.name	מיפוי ישיר
record_location	principal.location.name	מיפוי ישיר
location_geo_latitude	principal.location.region_coordinates.latitude	מיפוי ישיר
record_LocationDetails_geoCoordinates_latitude	principal.location.region_coordinates.latitude	מיפוי ישיר
record_properties_location_geoCoordinates_latitude	principal.location.region_coordinates.latitude	מיפוי ישיר
location_geo_longitude	principal.location.region_coordinates.longitude	מיפוי ישיר
record_LocationDetails_geoCoordinates_longitude	principal.location.region_coordinates.longitude	מיפוי ישיר
record_properties_location_geoCoordinates_longitude	principal.location.region_coordinates.longitude	מיפוי ישיר
location_state	principal.location.state	מיפוי ישיר
record_properties_location_state	principal.location.state	מיפוי ישיר
operatingSystem	principal.platform	מיפוי: Win ← WINDOWS, ‏ Mac ← MAC, ‏ Lin ← LINUX
properties_deviceDetail_operatingSystem	principal.platform	מופו: Win ← WINDOWS, Mac ← MAC, Lin ← LINUX
record_properties_deviceDetail_operatingSystem	principal.platform	מופו: Win ← WINDOWS, Mac ← MAC, Lin ← LINUX
operatingSystem	principal.platform_version	מיפוי ישיר
properties_deviceDetail_operatingSystem	principal.platform_version	מיפוי ישיר
record_properties_deviceDetail_operatingSystem	principal.platform_version	מיפוי ישיר
IpPort	principal.port	מיפוי ישיר
CallerProcessName	principal.process.file.full_path	מיפוי ישיר
CallerProcessId	principal.process.pid	מיפוי ישיר
actor_label	principal.resource.attribute.labels	ממוזג
actor_type_label	principal.resource.attribute.labels	ממוזג
autonomousSystemNumber_label	principal.resource.attribute.labels	ממוזג
autonomous_system_number_label	principal.resource.attribute.labels	ממוזג
clientRequestId_label	principal.resource.attribute.labels	ממוזג
displayName	principal.resource.attribute.labels	מיפוי: (?i)(iphone.*) → displayName_label
displayName_label	principal.resource.attribute.labels	ממוזג
ip_address_from_resource_provider_label	principal.resource.attribute.labels	ממוזג
properties_label	principal.resource.attribute.labels	ממוזג
subject_logon_id_label	principal.resource.attribute.labels	ממוזג
record_properties_resourceDisplayName	principal.resource.name	מיפוי ישיר
ObjectId	principal.resource.product_object_id	מיפוי ישיר
OrganizationId	principal.resource.product_object_id	מיפוי ישיר
initializedBy_app_servicePrincipalId	principal.resource.product_object_id	מיפוי ישיר
record_properties_UserPrincipalObjectID	principal.resource.product_object_id	מיפוי ישיר
userType_label	principal.user.attribute.labels	ממוזג
user_key_label	principal.user.attribute.labels	ממוזג
role_to_merge	principal.user.attribute.roles	ממוזג
roles_to_merge	principal.user.attribute.roles	ממוזג
initiatedBy.user.userPrincipalName	principal.user.email_addresses	ממוזג
operationName	principal.user.email_addresses	מיפוי: Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername	principal.user.email_addresses	ממוזג
properties.initiatedBy.user.userPrincipalName	principal.user.email_addresses	ממוזג
record_UserPrincipalName	principal.user.email_addresses	ממוזג
mfaDetail.authDetail	principal.user.phone_numbers	ממוזג
properties.mfaDetail.authDetail	principal.user.phone_numbers	ממוזג
properties.appId	principal.user.product_object_id	מיפוי ישיר
identity	principal.user.user_display_name	מיפוי ישיר
initiatedBy.user.displayName	principal.user.user_display_name	מיפוי ישיר
properties.initiatedBy.app.displayName	principal.user.user_display_name	מיפוי ישיר
properties.initiatedBy.user.displayName	principal.user.user_display_name	מיפוי ישיר
properties.userDisplayName	principal.user.user_display_name	שינוי שם/מיפוי
record_UserDisplayName	principal.user.user_display_name	מיפוי ישיר
record_properties_deviceDetail_displayName	principal.user.user_display_name	מיפוי ישיר
userDisplayName	principal.user.user_display_name	מיפוי ישיר
value	principal.user.user_display_name	מיפוי ישיר
SubjectUserName	principal.user.userid	מיפוי ישיר
UserId	principal.user.userid	מיפוי ישיר
first_user_id	principal.user.userid	מיפוי ישיר
initiatedBy.user.id	principal.user.userid	מיפוי ישיר
properties.initiatedBy.user.userPrincipalName	principal.user.userid	מיפוי ישיר
properties.userPrincipalName	principal.user.userid	מיפוי ישיר
record_SignInIdentifier	principal.user.userid	מיפוי ישיר
record_UserId	principal.user.userid	מיפוי ישיר
record_properties_servicePrincipalId	principal.user.userid	מיפוי ישיר
SubjectUserSid	principal.user.windows_sid	מיפוי ישיר
properties.initiatedBy.user.id	principal.user.windows_sid	מיפוי ישיר
auth_sec_res	security_result	ממוזג
sec_res	security_result	ממוזג
sr_result	security_result	ממוזג
AuthenticationPackageName	security_result.about.resource.name	מיפוי ישיר
action	security_result.action	ממוזג
errorCode	security_result.action	מופה: 0 ← action
operationName	security_result.action	מיפוי: Sign-in activity ← action, ‏ Add member to group ← action
properties_status_errorCode	security_result.action	מופה: 0 ← action
record_properties_status_errorCode	security_result.action	מיפוי: 0 → action
record_resultType	security_result.action	מיפוי: 0 → action
result	security_result.action	מיפוי: success → action
resultType	security_result.action	מיפוי: 0 → action
operationType	security_result.action_details	מיפוי ישיר
properties.result	security_result.action_details	מיפוי ישיר
Category	security_result.category	ממוזג
operationName	security_result.category	מיפוי: Sign-in activity → Category
properties.category	security_result.category_details	ממוזג
failureReason	security_result.description	מיפוי ישיר
operationName	security_result.description	מופה: Add member to group ← Group membership modified
resultDescription	security_result.description	מיפוי ישיר
AuthenticationProtocol_label	security_result.detection_fields	ממוזג
NewSd_label	security_result.detection_fields	ממוזג
OldSd_label	security_result.detection_fields	ממוזג
agent_agentType_label	security_result.detection_fields	ממוזג
apiVersion_label	security_result.detection_fields	ממוזג
associated_admin_units_label	security_result.detection_fields	ממוזג
auth_label	security_result.detection_fields	ממוזג
authenticationContextClassReference_detail_label	security_result.detection_fields	ממוזג
authenticationContextClassReference_id_label	security_result.detection_fields	ממוזג
authenticationProcessingDetails_label	security_result.detection_fields	ממוזג
authenticationProtocol_label	security_result.detection_fields	ממוזג
correlationId_label	security_result.detection_fields	ממוזג
correlationId_label2	security_result.detection_fields	ממוזג
correlationId_label3	security_result.detection_fields	ממוזג
detail_label	security_result.detection_fields	ממוזג
detection_ActorContextId	security_result.detection_fields	ממוזג
detection_ApplicationId	security_result.detection_fields	ממוזג
detection_InterSystemsId	security_result.detection_fields	ממוזג
detection_IntraSystemId	security_result.detection_fields	ממוזג
device_property_label	security_result.detection_fields	ממוזג
error_code_label	security_result.detection_fields	ממוזג
expirationRequirement_label	security_result.detection_fields	ממוזג
extended_property_label	security_result.detection_fields	ממוזג
logon_guid_label	security_result.detection_fields	ממוזג
method_label	security_result.detection_fields	ממוזג
modified_property_label	security_result.detection_fields	ממוזג
name_label	security_result.detection_fields	ממוזג
namespace_label	security_result.detection_fields	ממוזג
network_type_label	security_result.detection_fields	ממוזג
prop_risk_event_label	security_result.detection_fields	ממוזג
prop_risk_event_v2_label	security_result.detection_fields	ממוזג
properties.status.errorCode_label	security_result.detection_fields	ממוזג
protocol_label	security_result.detection_fields	ממוזג
record_type_label	security_result.detection_fields	ממוזג
requestId_label	security_result.detection_fields	ממוזג
requirement_provider_label	security_result.detection_fields	ממוזג
riskDetail_label	security_result.detection_fields	ממוזג
riskEventType_label	security_result.detection_fields	ממוזג
riskEventTypes_label	security_result.detection_fields	ממוזג
riskLastUpdatedDateTime_label	security_result.detection_fields	ממוזג
riskLevelAggregated_label	security_result.detection_fields	ממוזג
riskLevelDuringSignIn_label	security_result.detection_fields	ממוזג
riskLevel_label	security_result.detection_fields	ממוזג
riskState_label	security_result.detection_fields	ממוזג
riskType_label	security_result.detection_fields	ממוזג
risk_event_label	security_result.detection_fields	ממוזג
risk_event_label_v2	security_result.detection_fields	ממוזג
risk_level_aggregated_label	security_result.detection_fields	ממוזג
risk_level_during_sign_in_label	security_result.detection_fields	ממוזג
scopes_label	security_result.detection_fields	ממוזג
signInSessionStatus_label	security_result.detection_fields	ממוזג
status_label	security_result.detection_fields	ממוזג
step_date_label	security_result.detection_fields	ממוזג
step_detail_label	security_result.detection_fields	ממוזג
step_requirement_label	security_result.detection_fields	ממוזג
support_ticket_id_label	security_result.detection_fields	ממוזג
target_displayName_label	security_result.detection_fields	ממוזג
target_label	security_result.detection_fields	ממוזג
target_type	security_result.detection_fields	ממופה: Policy ← target_displayName_label, ‏ Policy ← target_label, ‏ Policy ← `modifi...
ticket_encryption_type_label	security_result.detection_fields	ממוזג
ticket_options_label	security_result.detection_fields	ממוזג
transmitted_services_label	security_result.detection_fields	ממוזג
operationName	security_result.priority	מופה: Sign-in activity ← MEDIUM_PRIORITY
additional_fields	security_result.rule_labels	ממוזג
isCompliant_label	security_result.rule_labels	ממוזג
is_compliant_label	security_result.rule_labels	ממוזג
level	security_result.severity	מופו: "INFORMATION", "INFORMATIONAL", "0", "4" ← INFORMATIONAL, "WARNING", "1", "3" ...
operationName	security_result.severity	מיפוי: Sign-in activity → ERROR
record_Level	security_result.severity	מיפוי: "INFORMATION", "INFORMATIONAL", "0", "4" ← INFORMATIONAL, "WARNING", "1", "3" ...
record_level	security_result.severity	מופו: "INFORMATION", "INFORMATIONAL", "0", "4" ← INFORMATIONAL, "WARNING", "1", "3" ...
level	security_result.severity_details	מיפוי ישיר
record_Level	security_result.severity_details	מיפוי ישיר
record_level	security_result.severity_details	מיפוי ישיר
AzureActiveDirectoryEventType	security_result.summary	מופו: 0 ← Account Logon, 1 ← Azure Application AuditEvent
activityDisplayName	security_result.summary	מיפוי ישיר
errorCode	security_result.summary	מיפוי: 0 → Successful login occurred
operationName	security_result.summary	מיפוי: Sign-in activity ← Successful login occurred, ‏ Sign-in activity ← `Failed login...
properties.activity	security_result.summary	מיפוי ישיר
properties.activityDisplayName	security_result.summary	מיפוי ישיר
properties.result	security_result.summary	מיפוי ישיר
properties_status_errorCode	security_result.summary	מיפוי: 0 → Successful login occurred
record_properties_status_errorCode	security_result.summary	מופה: 0 ← Successful login occurred
record_resultType	security_result.summary	מופה: 0 ← Successful login occurred
resultType	security_result.summary	מיפוי: 0 → Successful login occurred
TargetDomainName	target.administrative_domain	מיפוי ישיר
ServiceName	target.application	מיפוי ישיר
properties.appDisplayName	target.application	מיפוי ישיר
record_AppDisplayName	target.application	מיפוי ישיר
record_properties_appDisplayName	target.application	מיפוי ישיר
record_AppId	target.asset.asset_id	מיפוי ישיר
modified_property_label	target.asset.attribute.labels	ממוזג
target_displayName_label	target.asset.attribute.labels	ממוזג
target_label	target.asset.attribute.labels	ממוזג
target_type	target.asset.attribute.labels	ממופה: Device ← target_displayName_label, ‏ Device ← target_label, ‏ Device ← `modifi...
WorkstationName	target.asset.hostname	מיפוי ישיר
authenticationDetail.value	target.asset.hostname	מיפוי ישיר
ClientIP	target.asset.ip	ממוזג
modifiedProperty.newValue	target.group.group_display_name	מיפוי ישיר
modifiedProperty.newValue	target.group.product_object_id	מיפוי ישיר
properties.targetResources.modifiedProperties.0.newValue	target.group.product_object_id	מיפוי ישיר
WorkstationName	target.hostname	מיפוי ישיר
authenticationDetail.value	target.hostname	מיפוי ישיר
ClientIP	target.ip	ממוזג
ip	target.ip	ממוזג
properties_regionScope	target.location.country_or_region	מיפוי ישיר
record_properties_UDI_RequiredFields_RegionScope	target.location.country_or_region	מיפוי ישיר
record_properties_location	target.location.name	מיפוי ישיר
ProcessName	target.process.file.full_path	מיפוי ישיר
LogonProcessName	target.process.file.names	ממוזג
ProcessId	target.process.pid	מיפוי ישיר
__UDI_RequiredFields_EventTime	target.resource.attribute.labels	ממוזג
__UDI_RequiredFields_TenantId	target.resource.attribute.labels	ממוזג
__UDI_RequiredFields_UniqueId	target.resource.attribute.labels	ממוזג
_label	target.resource.attribute.labels	ממוזג
add_label	target.resource.attribute.labels	ממוזג
additional_homeTenantId	target.resource.attribute.labels	ממוזג
additional_resourceServicePrincipalId	target.resource.attribute.labels	ממוזג
app_owner_tenant_id_label	target.resource.attribute.labels	ממוזג
conditionalAccessStatus	target.resource.attribute.labels	ממוזג
detection_TargetContextId	target.resource.attribute.labels	ממוזג
handleId	target.resource.attribute.labels	ממוזג
homeTenantId_label	target.resource.attribute.labels	ממוזג
homeTenantName_label	target.resource.attribute.labels	ממוזג
home_tenant_id_label	target.resource.attribute.labels	ממוזג
home_tenant_name_label	target.resource.attribute.labels	ממוזג
internal_workspace_label	target.resource.attribute.labels	ממוזג
item_id_label	target.resource.attribute.labels	ממוזג
label	target.resource.attribute.labels	ממוזג
lmPackageNameLabel_label	target.resource.attribute.labels	ממוזג
modified_property_label	target.resource.attribute.labels	ממוזג
objectServer	target.resource.attribute.labels	ממוזג
old_label	target.resource.attribute.labels	ממוזג
operationId_label	target.resource.attribute.labels	ממוזג
operationName	target.resource.attribute.labels	מיפוי: Add member to group → add_label
operationType_label	target.resource.attribute.labels	ממוזג
properties_resourceTenantId_label	target.resource.attribute.labels	ממוזג
record_properties_appId_label	target.resource.attribute.labels	ממוזג
requestId_label	target.resource.attribute.labels	ממוזג
resourceOwnerTenantId_label	target.resource.attribute.labels	ממוזג
resource_display_name_label	target.resource.attribute.labels	ממוזג
resource_group_label	target.resource.attribute.labels	ממוזג
resource_id_label	target.resource.attribute.labels	ממוזג
resource_identity_label	target.resource.attribute.labels	ממוזג
resource_label	target.resource.attribute.labels	ממוזג
resource_owner_tenant_id_label	target.resource.attribute.labels	ממוזג
resource_service_principal_id_label	target.resource.attribute.labels	ממוזג
resource_tenant_id_label	target.resource.attribute.labels	ממוזג
resultSignature_label	target.resource.attribute.labels	ממוזג
resultSignature_label1	target.resource.attribute.labels	ממוזג
service_principal_id_label	target.resource.attribute.labels	ממוזג
source_label	target.resource.attribute.labels	ממוזג
target_displayName_label	target.resource.attribute.labels	ממוזג
target_label	target.resource.attribute.labels	ממוזג
target_logon_id_label	target.resource.attribute.labels	ממוזג
target_type_label	target.resource.attribute.labels	ממוזג
temp_resourceId	target.resource.attribute.labels	ממוזג
tenant_id_label	target.resource.attribute.labels	ממוזג
tokenIssuerType_label	target.resource.attribute.labels	ממוזג
uniqueTokenIdentifier_label	target.resource.attribute.labels	ממוזג
user_type_label	target.resource.attribute.labels	ממוזג
ObjectName	target.resource.name	מיפוי ישיר
properties.SignInBondData.DisplayDetails.ResourceDisplayName	target.resource.name	מיפוי ישיר
properties.resourceDisplayName	target.resource.name	שינוי שם/מיפוי
resourceDisplayName	target.resource.name	שינוי שם/מיפוי
field.newValue	target.resource.product_object_id	מיפוי ישיר
record_resourceId	target.resource.product_object_id	מיפוי ישיר
resourceId	target.resource.product_object_id	מיפוי ישיר
ObjectType	target.resource.resource_subtype	מיפוי ישיר
target.type	target.resource.type	מיפוי ישיר
%{ServiceSid}	target.resource.user.windows_sid	ממוזג
record_properties_identityProvider	target.url	מיפוי ישיר
value	target.url	מיפוי ישיר
modified_property_label	target.user.attribute.labels	ממוזג
target_label	target.user.attribute.labels	ממוזג
target_type	target.user.attribute.labels	מיפוי: User ← target_label, User ← modified_property_label
user_display_name_label	target.user.attribute.labels	ממוזג
record_properties_userPrincipalName	target.user.email_addresses	מיפוי: ^.+@.+$ → record_properties_userPrincipalName
target_displayName	target.user.email_addresses	מיפוי: ^.+@.+$ → target_displayName
target_userPrincipalName	target.user.email_addresses	מיפוי: ^.+@.+$ → target_userPrincipalName
userPrincipalName	target.user.email_addresses	מיפוי: ^.+@.+$ → userPrincipalName
groupInfo	target.user.group_identifiers	ממוזג
operationName	target.user.group_identifiers	מיפוי: Add member to group → groupInfo
properties.servicePrincipalId	target.user.product_object_id	מיפוי ישיר
properties.targetResources.0.id	target.user.product_object_id	מיפוי ישיר
properties.userId	target.user.product_object_id	מיפוי ישיר
record_properties_userId	target.user.product_object_id	מיפוי ישיר
userId	target.user.product_object_id	מיפוי ישיר
record_Identity	target.user.user_display_name	מיפוי ישיר
record_identity	target.user.user_display_name	מיפוי ישיר
targetUser	target.user.user_display_name	מיפוי ישיר
target_displayName	target.user.user_display_name	מיפוי ישיר
target_userPrincipalName	target.user.user_display_name	מיפוי ישיר
TargetUserName	target.user.userid	מיפוי ישיר
properties.alternateSignInName	target.user.userid	מיפוי ישיר
properties.servicePrincipalName	target.user.userid	מיפוי ישיר
properties.userId	target.user.userid	מיפוי ישיר
properties.userPrincipalName	target.user.userid	מיפוי ישיר
record_AlternateSignInName	target.user.userid	מיפוי ישיר
signInIdentifier	target.user.userid	מיפוי ישיר
userPrincipalName	target.user.userid	מיפוי ישיר
TargetSid	target.user.windows_sid	מיפוי ישיר
TargetUserSid	target.user.windows_sid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: AUTHTYPE_UNSPECIFIED
לא רלוונטי	metadata.event_type	קבוע: STATUS_UPDATE
לא רלוונטי	metadata.product_name	קבוע: Azure AD
לא רלוונטי	metadata.vendor_name	קבוע: Microsoft
לא רלוונטי	network.http.parsed_user_agent	קבוע: parseduseragent
לא רלוונטי	principal.platform	קבוע: WINDOWS
לא רלוונטי	security_result.description	קבוע: Group membership modified
לא רלוונטי	security_result.priority	קבוע: MEDIUM_PRIORITY
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
לא רלוונטי	security_result.summary	קבוע: Successful login occurred

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.