Microsoft Entra ID 로그인 로그 수집

다음에서 지원:

이 문서에서는 Google Security Operations 피드를 설정하여 Microsoft Entra ID (이전의 Azure Active Directory) 로그인 로그를 수집하는 방법을 설명합니다. Azure Event Hub (권장) 또는 서드 파티 API의 두 가지 방법을 사용하여 수집을 구성할 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Microsoft Azure 포털에 대한 액세스 권한 관리
  • Microsoft Entra ID의 보안 관리자 또는 전역 관리자 역할 (진단 설정에 필요)
  • 서드 파티 API 메서드의 경우 관리자 동의를 부여하는 다음 역할 중 하나:
    • 전역 관리자: 모든 API의 모든 권한에 대한 동의를 부여할 수 있습니다.
    • 독점 역할 관리자: 모든 API의 모든 권한에 동의를 부여할 수 있습니다.
    • Cloud Application Administrator: Microsoft Graph 앱 역할 (애플리케이션 권한)을 제외한 모든 API의 모든 권한에 동의를 부여할 수 있습니다.

이 메서드는 진단 설정을 사용하여 Azure Event Hub를 통해 Microsoft Entra ID 로그인 로그를 스트리밍합니다. Google SecOps는 Azure Event Hub 피드 유형을 사용하여 Event Hub에서 직접 로그를 수집합니다.

Event Hub 네임스페이스 만들기

Event Hubs 네임스페이스는 하나 이상의 Event Hubs의 관리 컨테이너입니다.

  1. Azure 포털에서 Event Hubs를 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 Azure 구독 선택
    리소스 그룹 기존 항목 선택 또는 새로 만들기
    네임스페이스 이름 고유한 이름 (예: secops-entraid-signin)을 입력합니다.
    위치 Microsoft Entra 테넌트와 가장 가까운 리전을 선택합니다.
    가격 책정 등급 표준 (프로덕션에 권장)
    처리량 단위 1로 시작, 자동 팽창 사용 설정 (권장)

  4. 검토 + 만들기를 클릭합니다.

  5. 개요를 검토하고 만들기를 클릭합니다.

  6. 배포가 완료될 때까지 기다립니다 (1~2분).

이벤트 허브 만들기

  1. 네임스페이스가 배포되면 Event Hub 네임스페이스로 이동합니다.
  2. 왼쪽 탐색 메뉴의 엔터티에서 Event Hubs를 선택합니다.
  3. + 이벤트 허브를 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    설정 값
    이름 고유한 이름 (예: entraid-signin-logs)을 입력합니다.
    파티션 수 40 (Google SecOps의 최적의 확장성을 위해 권장)
    메시지 보관 7일 (최소 권장)
    캡처 사용 중지됨 (Google SecOps에는 필요하지 않음)

  5. 만들기를 클릭합니다.

이벤트 허브 연결 문자열 가져오기

Google SecOps에서 Event Hub에 인증하려면 연결 문자열이 필요합니다.

  1. Event Hub 네임스페이스로 이동합니다.
  2. 왼쪽 탐색에서 설정 아래의 공유 액세스 정책을 선택합니다.
  3. 기본 정책 RootManageSharedAccessKey를 클릭합니다.
  4. 연결 문자열 - 기본 키를 복사합니다.
  5. 이 연결 문자열을 안전하게 저장합니다.

  • 예:

    Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs

Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==

옵션 B: 이벤트 허브 수준 연결 문자열

  1. 이벤트 허브 (네임스페이스 아님)로 이동합니다.
  2. 왼쪽 탐색에서 설정 아래의 공유 액세스 정책을 선택합니다.
  3. + 추가를 클릭하여 새 정책을 만듭니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 정책 이름: 설명이 포함된 이름을 입력합니다 (예: chronicle-read).
    • 권한: 듣기만 선택 (읽기 전용 액세스)
  5. 만들기를 클릭합니다.
  6. 새로 만든 정책을 클릭합니다.
  7. 연결 문자열 - 기본 키를 복사합니다.

  8. 이 연결 문자열을 안전하게 저장합니다.

Microsoft Entra ID 진단 설정 구성

  1. 보안 관리자 이상의 권한으로 Microsoft Entra 관리 센터에 로그인합니다.
  2. Entra ID > 모니터링 및 상태 > 진단 설정으로 이동합니다.
  3. + 진단 설정 추가를 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    • 진단 설정 이름: 설명이 포함된 이름 (예: signin-logs-to-eventhub)을 입력합니다.

    • 로그 섹션에서 내보낼 로그인 로그 카테고리를 선택합니다.

      • SignInLogs - 대화형 사용자 로그인입니다.
      • NonInteractiveUserSignInLogs - 비대화형 사용자 로그인 (권장)
      • ServicePrincipalSignInLogs - 서비스 주체 로그인 (선택사항).
      • ManagedIdentitySignInLogs - 관리형 ID 로그인 (선택사항).
      • ADFSSignInLogs - AD FS 로그인 로그 (AD FS를 사용하는 경우 선택사항).
      • RiskyUsers - Microsoft Entra ID Protection에서 위험으로 표시한 사용자입니다 (선택사항).
      • UserRiskEvents - 위험한 로그인 이벤트 세부정보 (선택사항)

    • 대상 세부정보 섹션에서 이벤트 허브로 스트리밍을 선택합니다.

    • 구독: Event Hub 네임스페이스가 포함된 구독을 선택합니다.

    • 이벤트 허브 네임스페이스: 만든 네임스페이스를 선택합니다 (예: secops-entraid-signin).

    • 이벤트 허브 이름: 만든 이벤트 허브를 선택합니다 (예: entraid-signin-logs).

    • 이벤트 허브 정책 이름: RootManageSharedAccessKey를 선택합니다.

  5. 저장을 클릭합니다.

(선택사항) 체크포인트 저장을 위해 Azure Blob Storage 구성

Google SecOps는 Azure Blob Storage를 사용하여 처리된 이벤트를 추적하는 Event Hub 체크포인트를 저장할 수 있습니다. 이렇게 하면 피드가 일시적으로 중단된 경우 중복 수집을 방지할 수 있습니다.

체크포인트를 위한 스토리지 계정 만들기

  1. Azure 포털에서 스토리지 계정을 검색합니다.
  2. + 만들기를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    구독 Azure 구독 선택
    리소스 그룹 Event Hub와 동일한 리소스 그룹 사용
    스토리지 계정 이름 고유한 이름 (예: secopsaadsignin)을 입력합니다.
    리전 Event Hub와 동일한 리전
    성능 표준
    중복성 LRS (로컬 중복 스토리지)

  4. 검토 + 만들기를 클릭합니다.

  5. 만들기를 클릭합니다.

Blob 컨테이너 만들기

  1. 만든 스토리지 계정으로 이동합니다.
  2. 왼쪽 탐색 메뉴의 데이터 스토리지에서 컨테이너를 선택합니다.
  3. + 컨테이너를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 이름: checkpoints을 입력합니다.
    • 공개 액세스 수준: 비공개 (익명 액세스 없음)
  5. 만들기를 클릭합니다.

스토리지 계정 사용자 인증 정보 가져오기

  1. 스토리지 계정의 보안 + 네트워킹에서 액세스 키를 선택합니다.
  2. 키 표시를 클릭합니다.
  3. 복사하여 저장합니다.
    • 스토리지 계정 이름: 스토리지 계정의 이름입니다.
    • 키 1: 액세스 키 값입니다.

(선택사항) 전용 소비자 그룹 만들기

기본적으로 Event Hub는 $Default라는 소비자 그룹을 제공합니다. 프로덕션 환경의 경우 Google SecOps 전용 소비자 그룹을 만드는 것이 좋습니다.

  1. Event Hub (네임스페이스 아님)로 이동합니다.
  2. 왼쪽 탐색에서 엔티티 아래의 소비자 그룹을 선택합니다.
  3. + 소비자 그룹을 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 이름: 구체적인 이름을 입력합니다 (예: chronicle).

  5. 만들기를 클릭합니다.

Microsoft Entra ID 로그인 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: Microsoft Entra ID Sign-In Logs - Event Hub).
  5. 소스 유형으로 Microsoft Azure Event Hub를 선택합니다.
  6. 로그 유형으로 Microsoft Azure AD를 선택합니다.
  7. 다음을 클릭합니다.

  8. 다음 입력 파라미터의 값을 지정합니다.

    • 이벤트 허브 연결 문자열: 이전에 캡처한 이벤트 허브 연결 문자열을 입력합니다.

      네임스페이스 수준 연결 문자열을 사용하는 경우:

      • EntityPath 매개변수를 삭제했는지 확인합니다.
      • 다음 필드에 이벤트 허브 이름도 입력해야 합니다.

      이벤트 허브 수준 연결 문자열을 사용하는 경우:

      • 연결 문자열을 있는 그대로 사용합니다 (EntityPath 포함).

      • 이벤트 허브 이름 필드는 비워둘 수 있습니다.

      • 이벤트 허브 이름: 이벤트 허브 이름을 입력합니다 (예: entraid-signin-logs).

      네임스페이스 수준 연결 문자열을 사용하는 경우 필수입니다. 이벤트 허브 수준 연결 문자열을 사용하는 경우 선택사항입니다.

      • 소비자 그룹 (선택사항): 소비자 그룹 이름을 입력합니다.
      • 기본 $Default 소비자 그룹을 사용하려면 비워 둡니다.

      • 전용 소비자 그룹을 만든 경우 해당 이름을 입력합니다 (예: chronicle).

      • Blob 스토리지 컨테이너 이름 (선택사항): 체크포인트를 위해 컨테이너 이름 (예: checkpoints)을 입력합니다.

      체크포인트를 위해 blob 스토리지를 제공하는 경우:

      • Azure 스토리지 계정 이름: 체크포인트 구성에서 스토리지 계정 이름을 입력합니다.

      • Azure 스토리지 계정 키: 체크포인트 구성의 액세스 키를 입력합니다.

      • 애셋 네임스페이스: 애셋 네임스페이스입니다.

      • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.

  9. 다음을 클릭합니다.

  10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

방법 2: 서드 파티 API

이 메서드는 Microsoft Graph API를 사용하여 Microsoft 테넌트에서 Microsoft Entra ID 로그인 로그를 직접 가져옵니다.

IP 허용 목록 구성

Google SecOps는 서드 파티 API에서 수집하는 로그 유형에 대해 허용 목록을 요구하므로 피드를 만들기 전에 Microsoft Azure 네트워크 설정 또는 조건부 액세스 정책에 Google IP 범위를 추가하세요. 데이터 소스에서 IP 기반 제한을 적용하는 경우에 중요합니다. 피드에서 403 오류가 반환되면 허용 목록이 사용 설정되어 있는지 확인합니다. 게시된 목록은 Google SecOps 이그레스 목록이 아닌 모든 Google goog.json이며, Google SecOps는 피드가 특정 리전의 주소에서 시작된다고 보장할 수 없습니다. 더 좁은 범위로 액세스를 제한하려면 지원 티켓을 여세요.

Google SecOps IP 범위 가져오기

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 피드 생성 인터페이스에 표시된 IP 범위를 확인합니다.
  4. 또는 피드 관리 API를 사용하여 프로그래매틱 방식으로 IP 범위를 가져옵니다.

워크로드 아이덴티티에 대한 조건부 액세스 구성 (필요한 경우)

조직에서 위치별 액세스를 제한하는 조건부 액세스 정책을 사용하는 경우 다음 안내를 따르세요.

  1. Microsoft Entra 관리 센터에서 보호> 조건부 액세스> 명명된 위치로 이동합니다.
  2. + 새 위치를 클릭합니다.
  3. 다음 구성 세부정보를 제공합니다.
    • 이름: Google SecOps IP Ranges를 입력합니다.
    • 신뢰할 수 있는 위치로 표시: 선택사항이며 보안 정책에 따라 다릅니다.
    • IP 범위: CIDR 표기법으로 각 Google SecOps IP 범위를 추가합니다.
  4. 만들기를 클릭합니다.
  5. 조건부 액세스 > 정책으로 이동합니다.
  6. 워크로드 아이덴티티에 적용되는 정책의 경우 Google SecOps IP Ranges라는 위치 또는 특정 서비스 주체에 대한 제외를 구성합니다.

Microsoft Entra ID API 액세스 구성

앱 등록 만들기

  1. Microsoft Entra 관리 센터 또는 Azure 포털에 로그인합니다.
  2. ID > 애플리케이션 > 앱 등록으로 이동합니다.
  3. 신규 등록을 클릭합니다.

  4. 다음 구성 세부정보를 제공합니다.

    • 이름: 설명이 포함된 이름을 입력합니다 (예: Google SecOps Sign-In Logs Integration).
    • 지원되는 계정 유형: 이 조직 디렉터리의 계정만 (단일 테넌트)을 선택합니다.
    • 리디렉션 URI: 비워 둡니다 (서비스 주 구성원 인증에는 필요하지 않음).

  5. 등록을 클릭합니다.

  6. 등록 후 다음 값을 복사하여 저장합니다.

    • 애플리케이션 (클라이언트) ID
    • 디렉터리 (테넌트) ID

API 권한 구성

통합에는 다음 Microsoft Graph 애플리케이션 권한이 필요합니다.

  1. 앱 등록에서 API 권한으로 이동합니다.
  2. 권한 추가를 클릭합니다.
  3. Microsoft Graph > 애플리케이션 권한을 선택합니다.
  4. 다음 권한을 선택합니다.
    • AuditLog.Read.All: 로그인 로그를 읽는 데 필요합니다.
    • Directory.Read.All: 로그인 로그 액세스를 위해 Microsoft Graph API에서 필요합니다 (알려진 문제).
    • SecurityEvents.Read.All: Google SecOps에 필요합니다.
  5. 선택사항: 각 로그인에 적용된 조건부 액세스 정책도 캡처하려면 조건부 액세스 읽기 권한을 추가합니다.
    • Policy.Read.ConditionalAccess: 권장 (최소 권한). 피드에서 각 로그인 기록의 appliedConditionalAccessPolicies 필드를 채울 수 있습니다.
  6. 권한 추가를 클릭합니다.
  7. [조직 이름]에 대해 관리자의 동의 제출을 클릭합니다.
  8. 추가한 모든 권한의 상태 열에 [조직]에 부여됨이 표시되는지 확인합니다.
권한 유형 설명
AuditLog.Read.All 애플리케이션 모든 로그인 및 감사 로그 데이터 읽기
Directory.Read.All 애플리케이션 디렉터리 데이터 읽기 (API 액세스에 필요)
SecurityEvents.Read.All 애플리케이션 보안 이벤트 읽기
Policy.Read.ConditionalAccess 애플리케이션 (선택사항) appliedConditionalAccessPolicies이 로그인 로그에 포함되도록 조건부 액세스 정책 읽기

클라이언트 보안 비밀번호 만들기

  1. 인증서 및 보안 비밀로 이동합니다.
  2. '새 클라이언트 보안 비밀번호'를 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    • 설명: 설명이 포함된 이름을 입력합니다 (예: Google SecOps Feed).
    • 만료: 만료 기간을 선택합니다.

  4. 추가를 클릭합니다.

  5. 중요: 클라이언트 보안 비밀번호 값을 즉시 복사하세요. 이 값은 한 번만 표시되며 나중에 가져올 수 없습니다.

피드를 만들기 전에 API 액세스 확인

Google SecOps 피드를 만들기 전에 서비스 주체가 Microsoft Graph API를 성공적으로 인증하고 액세스할 수 있는지 확인합니다.

  • PowerShell을 사용하여 인증 테스트

    # Replace with your actual values
$tenantId = "your-tenant-id"
$clientId = "your-client-id"
$clientSecret = "your-client-secret"

# Token request parameters (must be lowercase)
$tokenBody = @{
    grant_type    = "client_credentials"
    client_id     = $clientId
    client_secret = $clientSecret
    scope         = "https://graph.microsoft.com/.default"
}

# Request access token
$tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
$tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"

if ($tokenResponse.access_token) {
    Write-Host "✓ Successfully obtained access token" -ForegroundColor Green

    # Test API call to sign-ins endpoint
    $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
    $headers = @{
        Authorization = "Bearer $($tokenResponse.access_token)"
    }

    try {
        $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
        Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
        Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
    }
    catch {
        Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
        Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
    }
}
else {
    Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
}

  • 예상 출력:

    ✓ Successfully obtained access token
✓ Successfully accessed sign-ins API
Sample sign-in log retrieved successfully

  • curl을 사용하여 인증 테스트

    # Replace with your actual values
TENANT_ID="your-tenant-id"
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"

# Request access token
curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials" \
  -d "client_id=$CLIENT_ID" \
  -d "client_secret=$CLIENT_SECRET" \
  -d "scope=https://graph.microsoft.com/.default"

# Test API access
curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"

Microsoft Entra ID 로그인 로그를 수집하도록 Google SecOps에서 피드 구성

피드 설정

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
  4. 피드 이름 필드에 피드 이름을 입력합니다(예: Microsoft Entra ID Sign-In Logs).
  5. 소스 유형으로 서드 파티 API를 선택합니다.
  6. 로그 유형으로 Microsoft Azure AD를 선택합니다.
  7. 다음을 클릭합니다.

피드 매개변수 구성

  1. 다음 입력 매개변수의 값을 지정합니다.

    • OAuth 클라이언트 ID: 앱 등록의 애플리케이션 (클라이언트) ID입니다.
    • OAuth 클라이언트 보안 비밀번호: 이전에 복사한 클라이언트 보안 비밀번호 값입니다.
    • 테넌트 ID: 앱 등록에서 가져온 Microsoft 테넌트 ID입니다 (UUID 형식, 예: 0fc279f9-fe30-41be-97d3-abe1d7681418).

    • API 전체 경로: Microsoft Graph REST API 엔드포인트 URL입니다.

      graph.microsoft.com/v1.0/auditLogs/signIns

    • API 인증 엔드포인트: Microsoft Active Directory 인증 엔드포인트:

      login.microsoftonline.com

    고급 옵션:

    • 피드 이름: 피드를 식별하는 미리 입력된 값입니다.
    • 소스 유형: 서드 파티 API (Google SecOps에 로그를 수집하는 메커니즘)
    • 애셋 네임스페이스: 피드가 연결될 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 모든 이벤트에 라벨이 추가됩니다.

  2. 다음을 클릭합니다.

  3. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

리전 엔드포인트

소버린 클라우드에서 Microsoft Entra ID를 배포하는 경우 적절한 리전 엔드포인트를 사용하세요.

클라우드 환경 API 전체 경로 API 인증 엔드포인트
글로벌 graph.microsoft.com/v1.0/auditLogs/signIns login.microsoftonline.com
미국 정부 L4 graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
미국 정부 L5 (DOD) dod-graph.microsoft.us/v1.0/auditLogs/signIns login.microsoftonline.us
중국 (21Vianet) microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns login.chinacloudapi.cn

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
CertSerialNumber about.artifact.last_https_certificate.serial_number 직접 매핑됨
modifiedProperty.newValue about.location.city 직접 매핑됨
modifiedProperty.newValue about.location.country_or_region 직접 매핑됨
modifiedProperty.newValue about.location.state 직접 매핑됨
modifiedProperty.newValue about.user.department 병합됨
modifiedProperty.newValue about.user.email_addresses 병합됨
modifiedProperty.newValue about.user.first_name 직접 매핑됨
modifiedProperty.newValue about.user.last_name 직접 매핑됨
modifiedProperty.newValue about.user.phone_numbers 병합됨
modifiedProperty.newValue about.user.product_object_id 직접 매핑됨
modifiedProperty.newValue about.user.title 직접 매핑됨
modifiedProperty.newValue about.user.user_display_name 직접 매핑됨
modifiedProperty.newValue about.user.userid 직접 매핑됨
C_DeviceId_label additional.fields 병합됨
C_Iat_label additional.fields 병합됨
C_Idtyp_label additional.fields 병합됨
C_Sid_label additional.fields 병합됨
CorrelationId_label additional.fields 병합됨
CrossTenantAccessType_label additional.fields 병합됨
ImpersonationLevel_label additional.fields 병합됨
KeyLength_label additional.fields 병합됨
aadtenant_label additional.fields 병합됨
additionalDetails_label additional.fields 병합됨
additional_crossTenantAccessType additional.fields 병합됨
additional_detail_label additional.fields 병합됨
additional_detectedDateTime additional.fields 병합됨
additional_detectionTimingType additional.fields 병합됨
additional_durationMs additional.fields 병합됨
additional_fields additional.fields 병합됨
additional_isDeleted additional.fields 병합됨
additional_isGuest additional.fields 병합됨
additional_isProcessing additional.fields 병합됨
additional_lastUpdatedDateTime additional.fields 병합됨
additional_resultSignature additional.fields 병합됨
additional_source additional.fields 병합됨
additional_tokenIssuerName additional.fields 병합됨
additional_tokenIssuerType additional.fields 병합됨
additional_userType additional.fields 병합됨
altitude_loc additional.fields 병합됨
appServicePrincipalId_label additional.fields 병합됨
atContentH_label additional.fields 병합됨
atContentP_label additional.fields 병합됨
auth_detail_label additional.fields 병합됨
auth_id_label additional.fields 병합됨
authentication additional.fields 병합됨
authenticationDetail_label additional.fields 병합됨
authenticationProtocol_label additional.fields 병합됨
authentication_app_device_details_label additional.fields 병합됨
authentication_requirement_label additional.fields 병합됨
auto_label additional.fields 병합됨
autonomousSystemNumber_label additional.fields 병합됨
cert_issuer_name_label additional.fields 병합됨
cert_thumbprint_label additional.fields 병합됨
clientCredentialType_label additional.fields 병합됨
client_credential_type additional.fields 병합됨
client_credential_type_label additional.fields 병합됨
conditionalAccessStatus_label additional.fields 병합됨
cribl_pipe_label additional.fields 병합됨
crossTenantAccessType_label additional.fields 병합됨
cross_tenant_access_type_label additional.fields 병합됨
domain_hint_present_label additional.fields 병합됨
durationMs_label additional.fields 병합됨
error_number_label additional.fields 병합됨
federated_credential_id_label additional.fields 병합됨
flaggedForReview_label additional.fields 병합됨
flagged_for_review_label additional.fields 병합됨
hometenant_label additional.fields 병합됨
incomingTokenType_label additional.fields 병합됨
incoming_token_type_label additional.fields 병합됨
isTenantRestricted_label additional.fields 병합됨
isThroughGlobalSecureAccess_label additional.fields 병합됨
is_interactive_label additional.fields 병합됨
is_tenant_restricted_label additional.fields 병합됨
latitude_label additional.fields 병합됨
login_hint_present_label additional.fields 병합됨
longitude_label additional.fields 병합됨
mfa_details_label additional.fields 병합됨
name_list additional.fields 병합됨
networkName_label additional.fields 병합됨
networkType_additional_fields additional.fields 병합됨
networkType_label additional.fields 병합됨
network_location_label additional.fields 병합됨
network_names_additional_fields additional.fields 병합됨
originalRequestId_label additional.fields 병합됨
originalTransferMethod_label additional.fields 병합됨
original_transfer_method_label additional.fields 병합됨
processing_time_in_milliseconds_label additional.fields 병합됨
properties_incomingTokenType additional.fields 병합됨
properties_isInteractive additional.fields 병합됨
properties_location_geoCoordinates_altitude additional.fields 병합됨
properties_processingTimeInMilliseconds additional.fields 병합됨
properties_rngcStatus additional.fields 병합됨
proxy_restriction_target_tenant_name_label additional.fields 병합됨
prp_networkType_additional_fields additional.fields 병합됨
prp_network_names_additional_fields additional.fields 병합됨
ram_recommended_action_label additional.fields 병합됨
ram_recommender_label additional.fields 병합됨
record_properties_id_label additional.fields 병합됨
resultReason_label additional.fields 병합됨
resultType_label additional.fields 병합됨
resultstatus_label additional.fields 병합됨
rngcStatus_label additional.fields 병합됨
service_principal_credential_key_id_label additional.fields 병합됨
service_principal_credential_thumbprint_label additional.fields 병합됨
service_principal_name_label additional.fields 병합됨
signInActivityId_label additional.fields 병합됨
signInSessionStatusCode_label additional.fields 병합됨
signInSessionStatus_label additional.fields 병합됨
signInTokenProtectionStatus_label additional.fields 병합됨
sign_in_identifier_type_label additional.fields 병합됨
sign_in_token_protection_status_label additional.fields 병합됨
ssoExtensionVersion_label additional.fields 병합됨
status_additionalDetails_label additional.fields 병합됨
tokenIssuedAt_label additional.fields 병합됨
tokenIssuerType_label additional.fields 병합됨
token_issuer_name_label additional.fields 병합됨
token_issuer_type_label additional.fields 병합됨
token_protection_status_details_label additional.fields 병합됨
token_protection_status_details_signInSessionStatus_label additional.fields 병합됨
type_list additional.fields 병합됨
uniqueTokenIdentifier_label additional.fields 병합됨
unique_token_identifier_label additional.fields 병합됨
userType_label additional.fields 병합됨
user_type_label additional.fields 병합됨
wids_label additional.fields 병합됨
workload_label additional.fields 병합됨
LogonType extensions.auth.auth_details 직접 매핑됨
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed extensions.auth.auth_details 직접 매핑됨
properties_clientAuthMethod extensions.auth.auth_details 직접 매핑됨
record_properties_clientAuthMethod extensions.auth.auth_details 직접 매핑됨
auth_mechanism extensions.auth.mechanism 병합됨
ext_mech extensions.auth.mechanism 병합됨
mechanism extensions.auth.mechanism 병합됨
operationName extensions.auth.type 매핑됨: Sign-in activity → SSO
record_operationName extensions.auth.type 매핑됨: Sign-in activity → AUTHTYPE_UNSPECIFIED
category metadata.description 직접 매핑됨
record_category metadata.description 직접 매핑됨
CreationTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ss로 파싱됨
activityDateTime metadata.event_timestamp ISO8601(으)로 파싱됨
date metadata.event_timestamp ISO8601로 파싱됨
properties.activityDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSZ로 파싱됨
record_CreatedDateTime metadata.event_timestamp ISO8601로 파싱됨
record_time metadata.event_timestamp ISO8601로 파싱됨
when metadata.event_timestamp yyyy-MM-dd HH:mm:ss로 파싱됨
category metadata.event_type 매핑됨: (?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type metadata.event_type 직접 매핑됨
has_principal metadata.event_type 매핑됨: true → STATUS_UPDATE
has_principal_user metadata.event_type 매핑됨: true → USER_UNCATEGORIZED
has_resource metadata.event_type 매핑됨: true → USER_RESOURCE_ACCESS
has_target metadata.event_type 매핑됨: true → NETWORK_CONNECTION
has_target_user metadata.event_type 매핑됨: true → USER_LOGOUT, true → USER_CHANGE_PERMISSIONS, true → USER_LOGIN
record_tenantId metadata.product_deployment_id 직접 매핑됨
tenantId metadata.product_deployment_id 직접 매핑됨
Operation metadata.product_event_type 직접 매핑됨
activityDisplayName metadata.product_event_type 직접 매핑됨
operationName metadata.product_event_type 직접 매핑됨
record_OperationName metadata.product_event_type 직접 매핑됨
record_operationName metadata.product_event_type 직접 매핑됨
type metadata.product_event_type 직접 매핑됨
EventRecordID metadata.product_log_id 직접 매핑됨
Id metadata.product_log_id 직접 매핑됨
id metadata.product_log_id 직접 매핑됨
properties.id metadata.product_log_id 직접 매핑됨
record_Id metadata.product_log_id 직접 매핑됨
record_correlationId metadata.product_log_id 직접 매핑됨
Version metadata.product_version 직접 매핑됨
operationVersion metadata.product_version 직접 매핑됨
record_operationVersion metadata.product_version 직접 매핑됨
properties.SignInBondData.ProtocolDetails.Protocol network.application_protocol 직접 매핑됨
properties_requestMethod network.http.method 직접 매핑됨
record_properties_requestMethod network.http.method 직접 매핑됨
browser network.http.parsed_user_agent 직접 매핑됨
deviceDetail.browser network.http.parsed_user_agent 직접 매핑됨
properties.deviceDetail.browser network.http.parsed_user_agent 직접 매핑됨
properties.userAgent network.http.parsed_user_agent 직접 매핑됨
record_UserAgent network.http.parsed_user_agent 직접 매핑됨
record_properties_userAgent network.http.parsed_user_agent 직접 매핑됨
userAgent network.http.parsed_user_agent 직접 매핑됨
user_agent network.http.parsed_user_agent 직접 매핑됨
value network.http.parsed_user_agent 직접 매핑됨
value1 network.http.parsed_user_agent 이름이 변경됨/매핑됨
properties_requestUri network.http.referral_url 직접 매핑됨
record_properties_requestUri network.http.referral_url 직접 매핑됨
properties_responseStatusCode network.http.response_code 직접 매핑됨
record_properties_responseStatusCode network.http.response_code 직접 매핑됨
browser network.http.user_agent 직접 매핑됨
deviceDetail.browser network.http.user_agent 직접 매핑됨
properties.deviceDetail.browser network.http.user_agent 직접 매핑됨
properties.userAgent network.http.user_agent 직접 매핑됨
record_UserAgent network.http.user_agent 직접 매핑됨
record_properties_userAgent network.http.user_agent 직접 매핑됨
userAgent network.http.user_agent 직접 매핑됨
user_agent network.http.user_agent 직접 매핑됨
value network.http.user_agent 직접 매핑됨
value1 network.http.user_agent 직접 매핑됨
properties_responseSizeBytes network.received_bytes 직접 매핑됨
record_properties_responseSizeBytes network.received_bytes 직접 매핑됨
originalRequestId network.session_id 직접 매핑됨
properties.originalRequestId network.session_id 직접 매핑됨
properties.sessionId network.session_id 직접 매핑됨
record_OriginalRequestId network.session_id 직접 매핑됨
record_properties_sessionId network.session_id 직접 매핑됨
sessionId network.session_id 직접 매핑됨
value network.session_id 직접 매핑됨
loggedByService observer.application 직접 매핑됨
properties.loggedByService observer.application 직접 매핑됨
SubjectDomainName principal.administrative_domain 직접 매핑됨
domain principal.administrative_domain 직접 매핑됨
initiatedBy_app_displayName principal.application 직접 매핑됨
record_ClientAppUsed principal.application 직접 매핑됨
deviceId principal.asset.asset_id 직접 매핑됨
properties_deviceDetail_deviceId principal.asset.asset_id 직접 매핑됨
record_DeviceDetail_deviceId principal.asset.asset_id 직접 매핑됨
record_properties_C_DeviceId principal.asset.asset_id 직접 매핑됨
record_properties_deviceDetail_deviceId principal.asset.asset_id 직접 매핑됨
additional_fields principal.asset.attribute.labels 병합됨
device_trust_type_label principal.asset.attribute.labels 병합됨
isManaged_label principal.asset.attribute.labels 병합됨
is_managed_label principal.asset.attribute.labels 병합됨
trustType_label principal.asset.attribute.labels 병합됨
deviceDetail.displayName principal.asset.hostname 직접 매핑됨
displayName principal.asset.hostname 직접 매핑됨
properties.deviceDetail.displayName principal.asset.hostname 직접 매핑됨
ActorIpAddress principal.asset.ip 병합됨
IpAddress principal.asset.ip 병합됨
SourceIpAddress principal.asset.ip 병합됨
initiatedBy.user.ipAddress principal.asset.ip 병합됨
principal_ip principal.asset.ip 병합됨
properties.initiatedBy.user.ipAddress principal.asset.ip 병합됨
properties_ip_address principal.asset.ip 병합됨
record.IPAddress principal.asset.ip 병합됨
record_callerIpAddress principal.asset.ip 병합됨
deviceId principal.asset_id 직접 매핑됨
record_DeviceDetail_deviceId principal.asset_id 직접 매핑됨
record_properties_deviceDetail_deviceId principal.asset_id 직접 매핑됨
value principal.asset_id 직접 매핑됨
deviceDetail.displayName principal.hostname 직접 매핑됨
displayName principal.hostname 직접 매핑됨
properties.deviceDetail.displayName principal.hostname 직접 매핑됨
ActorIpAddress principal.ip 병합됨
IpAddress principal.ip 병합됨
SourceIpAddress principal.ip 병합됨
initiatedBy.user.ipAddress principal.ip 병합됨
principal_ip principal.ip 병합됨
properties.initiatedBy.user.ipAddress principal.ip 병합됨
properties_ip_address principal.ip 병합됨
record_IPAddress principal.ip 병합됨
record_callerIpAddress principal.ip 병합됨
location_city principal.location.city 직접 매핑됨
record_properties_location_city principal.location.city 직접 매핑됨
location_countryOrRegion principal.location.country_or_region 직접 매핑됨
properties.tenantGeo principal.location.country_or_region 직접 매핑됨
record_properties_location_countryOrRegion principal.location.country_or_region 직접 매핑됨
location_name principal.location.name 직접 매핑됨
record_location principal.location.name 직접 매핑됨
location_geo_latitude principal.location.region_coordinates.latitude 직접 매핑됨
record_LocationDetails_geoCoordinates_latitude principal.location.region_coordinates.latitude 직접 매핑됨
record_properties_location_geoCoordinates_latitude principal.location.region_coordinates.latitude 직접 매핑됨
location_geo_longitude principal.location.region_coordinates.longitude 직접 매핑됨
record_LocationDetails_geoCoordinates_longitude principal.location.region_coordinates.longitude 직접 매핑됨
record_properties_location_geoCoordinates_longitude principal.location.region_coordinates.longitude 직접 매핑됨
location_state principal.location.state 직접 매핑됨
record_properties_location_state principal.location.state 직접 매핑됨
operatingSystem principal.platform 매핑됨: Win → WINDOWS, Mac → MAC, Lin → LINUX
properties_deviceDetail_operatingSystem principal.platform 매핑됨: Win → WINDOWS, Mac → MAC, Lin → LINUX
record_properties_deviceDetail_operatingSystem principal.platform 매핑됨: Win → WINDOWS, Mac → MAC, Lin → LINUX
operatingSystem principal.platform_version 직접 매핑됨
properties_deviceDetail_operatingSystem principal.platform_version 직접 매핑됨
record_properties_deviceDetail_operatingSystem principal.platform_version 직접 매핑됨
IpPort principal.port 직접 매핑됨
CallerProcessName principal.process.file.full_path 직접 매핑됨
CallerProcessId principal.process.pid 직접 매핑됨
actor_label principal.resource.attribute.labels 병합됨
actor_type_label principal.resource.attribute.labels 병합됨
autonomousSystemNumber_label principal.resource.attribute.labels 병합됨
autonomous_system_number_label principal.resource.attribute.labels 병합됨
clientRequestId_label principal.resource.attribute.labels 병합됨
displayName principal.resource.attribute.labels 매핑됨: (?i)(iphone.*) → displayName_label
displayName_label principal.resource.attribute.labels 병합됨
ip_address_from_resource_provider_label principal.resource.attribute.labels 병합됨
properties_label principal.resource.attribute.labels 병합됨
subject_logon_id_label principal.resource.attribute.labels 병합됨
record_properties_resourceDisplayName principal.resource.name 직접 매핑됨
ObjectId principal.resource.product_object_id 직접 매핑됨
OrganizationId principal.resource.product_object_id 직접 매핑됨
initializedBy_app_servicePrincipalId principal.resource.product_object_id 직접 매핑됨
record_properties_UserPrincipalObjectID principal.resource.product_object_id 직접 매핑됨
userType_label principal.user.attribute.labels 병합됨
user_key_label principal.user.attribute.labels 병합됨
role_to_merge principal.user.attribute.roles 병합됨
roles_to_merge principal.user.attribute.roles 병합됨
initiatedBy.user.userPrincipalName principal.user.email_addresses 병합됨
operationName principal.user.email_addresses 매핑됨: Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername principal.user.email_addresses 병합됨
properties.initiatedBy.user.userPrincipalName principal.user.email_addresses 병합됨
record_UserPrincipalName principal.user.email_addresses 병합됨
mfaDetail.authDetail principal.user.phone_numbers 병합됨
properties.mfaDetail.authDetail principal.user.phone_numbers 병합됨
properties.appId principal.user.product_object_id 직접 매핑됨
identity principal.user.user_display_name 직접 매핑됨
initiatedBy.user.displayName principal.user.user_display_name 직접 매핑됨
properties.initiatedBy.app.displayName principal.user.user_display_name 직접 매핑됨
properties.initiatedBy.user.displayName principal.user.user_display_name 직접 매핑됨
properties.userDisplayName principal.user.user_display_name 이름이 변경됨/매핑됨
record_UserDisplayName principal.user.user_display_name 직접 매핑됨
record_properties_deviceDetail_displayName principal.user.user_display_name 직접 매핑됨
userDisplayName principal.user.user_display_name 직접 매핑됨
value principal.user.user_display_name 직접 매핑됨
SubjectUserName principal.user.userid 직접 매핑됨
UserId principal.user.userid 직접 매핑됨
first_user_id principal.user.userid 직접 매핑됨
initiatedBy.user.id principal.user.userid 직접 매핑됨
properties.initiatedBy.user.userPrincipalName principal.user.userid 직접 매핑됨
properties.userPrincipalName principal.user.userid 직접 매핑됨
record_SignInIdentifier principal.user.userid 직접 매핑됨
record_UserId principal.user.userid 직접 매핑됨
record_properties_servicePrincipalId principal.user.userid 직접 매핑됨
SubjectUserSid principal.user.windows_sid 직접 매핑됨
properties.initiatedBy.user.id principal.user.windows_sid 직접 매핑됨
auth_sec_res security_result 병합됨
sec_res security_result 병합됨
sr_result security_result 병합됨
AuthenticationPackageName security_result.about.resource.name 직접 매핑됨
action security_result.action 병합됨
errorCode security_result.action 매핑됨: 0 → action
operationName security_result.action 매핑됨: Sign-in activity → action, Add member to group → action
properties_status_errorCode security_result.action 매핑됨: 0 → action
record_properties_status_errorCode security_result.action 매핑됨: 0 → action
record_resultType security_result.action 매핑됨: 0 → action
result security_result.action 매핑됨: success → action
resultType security_result.action 매핑됨: 0 → action
operationType security_result.action_details 직접 매핑됨
properties.result security_result.action_details 직접 매핑됨
Category security_result.category 병합됨
operationName security_result.category 매핑됨: Sign-in activity → Category
properties.category security_result.category_details 병합됨
failureReason security_result.description 직접 매핑됨
operationName security_result.description 매핑됨: Add member to group → Group membership modified
resultDescription security_result.description 직접 매핑됨
AuthenticationProtocol_label security_result.detection_fields 병합됨
NewSd_label security_result.detection_fields 병합됨
OldSd_label security_result.detection_fields 병합됨
agent_agentType_label security_result.detection_fields 병합됨
apiVersion_label security_result.detection_fields 병합됨
associated_admin_units_label security_result.detection_fields 병합됨
auth_label security_result.detection_fields 병합됨
authenticationContextClassReference_detail_label security_result.detection_fields 병합됨
authenticationContextClassReference_id_label security_result.detection_fields 병합됨
authenticationProcessingDetails_label security_result.detection_fields 병합됨
authenticationProtocol_label security_result.detection_fields 병합됨
correlationId_label security_result.detection_fields 병합됨
correlationId_label2 security_result.detection_fields 병합됨
correlationId_label3 security_result.detection_fields 병합됨
detail_label security_result.detection_fields 병합됨
detection_ActorContextId security_result.detection_fields 병합됨
detection_ApplicationId security_result.detection_fields 병합됨
detection_InterSystemsId security_result.detection_fields 병합됨
detection_IntraSystemId security_result.detection_fields 병합됨
device_property_label security_result.detection_fields 병합됨
error_code_label security_result.detection_fields 병합됨
expirationRequirement_label security_result.detection_fields 병합됨
extended_property_label security_result.detection_fields 병합됨
logon_guid_label security_result.detection_fields 병합됨
method_label security_result.detection_fields 병합됨
modified_property_label security_result.detection_fields 병합됨
name_label security_result.detection_fields 병합됨
namespace_label security_result.detection_fields 병합됨
network_type_label security_result.detection_fields 병합됨
prop_risk_event_label security_result.detection_fields 병합됨
prop_risk_event_v2_label security_result.detection_fields 병합됨
properties.status.errorCode_label security_result.detection_fields 병합됨
protocol_label security_result.detection_fields 병합됨
record_type_label security_result.detection_fields 병합됨
requestId_label security_result.detection_fields 병합됨
requirement_provider_label security_result.detection_fields 병합됨
riskDetail_label security_result.detection_fields 병합됨
riskEventType_label security_result.detection_fields 병합됨
riskEventTypes_label security_result.detection_fields 병합됨
riskLastUpdatedDateTime_label security_result.detection_fields 병합됨
riskLevelAggregated_label security_result.detection_fields 병합됨
riskLevelDuringSignIn_label security_result.detection_fields 병합됨
riskLevel_label security_result.detection_fields 병합됨
riskState_label security_result.detection_fields 병합됨
riskType_label security_result.detection_fields 병합됨
risk_event_label security_result.detection_fields 병합됨
risk_event_label_v2 security_result.detection_fields 병합됨
risk_level_aggregated_label security_result.detection_fields 병합됨
risk_level_during_sign_in_label security_result.detection_fields 병합됨
scopes_label security_result.detection_fields 병합됨
signInSessionStatus_label security_result.detection_fields 병합됨
status_label security_result.detection_fields 병합됨
step_date_label security_result.detection_fields 병합됨
step_detail_label security_result.detection_fields 병합됨
step_requirement_label security_result.detection_fields 병합됨
support_ticket_id_label security_result.detection_fields 병합됨
target_displayName_label security_result.detection_fields 병합됨
target_label security_result.detection_fields 병합됨
target_type security_result.detection_fields 매핑됨: Policy → target_displayName_label, Policy → target_label, Policy → `modifi…
ticket_encryption_type_label security_result.detection_fields 병합됨
ticket_options_label security_result.detection_fields 병합됨
transmitted_services_label security_result.detection_fields 병합됨
operationName security_result.priority 매핑됨: Sign-in activity → MEDIUM_PRIORITY
additional_fields security_result.rule_labels 병합됨
isCompliant_label security_result.rule_labels 병합됨
is_compliant_label security_result.rule_labels 병합됨
level security_result.severity 매핑됨: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3" …
operationName security_result.severity 매핑됨: Sign-in activity → ERROR
record_Level security_result.severity 매핑됨: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3" …
record_level security_result.severity 매핑됨: "INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL, "WARNING", "1", "3" …
level security_result.severity_details 직접 매핑됨
record_Level security_result.severity_details 직접 매핑됨
record_level security_result.severity_details 직접 매핑됨
AzureActiveDirectoryEventType security_result.summary 매핑됨: 0 → Account Logon, 1 → Azure Application AuditEvent
activityDisplayName security_result.summary 직접 매핑됨
errorCode security_result.summary 매핑됨: 0 → Successful login occurred
operationName security_result.summary 매핑됨: Sign-in activity → Successful login occurred, Sign-in activity → `Failed login…
properties.activity security_result.summary 직접 매핑됨
properties.activityDisplayName security_result.summary 직접 매핑됨
properties.result security_result.summary 직접 매핑됨
properties_status_errorCode security_result.summary 매핑됨: 0 → Successful login occurred
record_properties_status_errorCode security_result.summary 매핑됨: 0 → Successful login occurred
record_resultType security_result.summary 매핑됨: 0 → Successful login occurred
resultType security_result.summary 매핑됨: 0 → Successful login occurred
TargetDomainName target.administrative_domain 직접 매핑됨
ServiceName target.application 직접 매핑됨
properties.appDisplayName target.application 직접 매핑됨
record_AppDisplayName target.application 직접 매핑됨
record_properties_appDisplayName target.application 직접 매핑됨
record_AppId target.asset.asset_id 직접 매핑됨
modified_property_label target.asset.attribute.labels 병합됨
target_displayName_label target.asset.attribute.labels 병합됨
target_label target.asset.attribute.labels 병합됨
target_type target.asset.attribute.labels 매핑됨: Device → target_displayName_label, Device → target_label, Device → `modifi…
WorkstationName target.asset.hostname 직접 매핑됨
authenticationDetail.value target.asset.hostname 직접 매핑됨
ClientIP target.asset.ip 병합됨
modifiedProperty.newValue target.group.group_display_name 직접 매핑됨
modifiedProperty.newValue target.group.product_object_id 직접 매핑됨
properties.targetResources.modifiedProperties.0.newValue target.group.product_object_id 직접 매핑됨
WorkstationName target.hostname 직접 매핑됨
authenticationDetail.value target.hostname 직접 매핑됨
ClientIP target.ip 병합됨
ip target.ip 병합됨
properties_regionScope target.location.country_or_region 직접 매핑됨
record_properties_UDI_RequiredFields_RegionScope target.location.country_or_region 직접 매핑됨
record_properties_location target.location.name 직접 매핑됨
ProcessName target.process.file.full_path 직접 매핑됨
LogonProcessName target.process.file.names 병합됨
ProcessId target.process.pid 직접 매핑됨
__UDI_RequiredFields_EventTime target.resource.attribute.labels 병합됨
__UDI_RequiredFields_TenantId target.resource.attribute.labels 병합됨
__UDI_RequiredFields_UniqueId target.resource.attribute.labels 병합됨
_label target.resource.attribute.labels 병합됨
add_label target.resource.attribute.labels 병합됨
additional_homeTenantId target.resource.attribute.labels 병합됨
additional_resourceServicePrincipalId target.resource.attribute.labels 병합됨
app_owner_tenant_id_label target.resource.attribute.labels 병합됨
conditionalAccessStatus target.resource.attribute.labels 병합됨
detection_TargetContextId target.resource.attribute.labels 병합됨
handleId target.resource.attribute.labels 병합됨
homeTenantId_label target.resource.attribute.labels 병합됨
homeTenantName_label target.resource.attribute.labels 병합됨
home_tenant_id_label target.resource.attribute.labels 병합됨
home_tenant_name_label target.resource.attribute.labels 병합됨
internal_workspace_label target.resource.attribute.labels 병합됨
item_id_label target.resource.attribute.labels 병합됨
label target.resource.attribute.labels 병합됨
lmPackageNameLabel_label target.resource.attribute.labels 병합됨
modified_property_label target.resource.attribute.labels 병합됨
objectServer target.resource.attribute.labels 병합됨
old_label target.resource.attribute.labels 병합됨
operationId_label target.resource.attribute.labels 병합됨
operationName target.resource.attribute.labels 매핑됨: Add member to group → add_label
operationType_label target.resource.attribute.labels 병합됨
properties_resourceTenantId_label target.resource.attribute.labels 병합됨
record_properties_appId_label target.resource.attribute.labels 병합됨
requestId_label target.resource.attribute.labels 병합됨
resourceOwnerTenantId_label target.resource.attribute.labels 병합됨
resource_display_name_label target.resource.attribute.labels 병합됨
resource_group_label target.resource.attribute.labels 병합됨
resource_id_label target.resource.attribute.labels 병합됨
resource_identity_label target.resource.attribute.labels 병합됨
resource_label target.resource.attribute.labels 병합됨
resource_owner_tenant_id_label target.resource.attribute.labels 병합됨
resource_service_principal_id_label target.resource.attribute.labels 병합됨
resource_tenant_id_label target.resource.attribute.labels 병합됨
resultSignature_label target.resource.attribute.labels 병합됨
resultSignature_label1 target.resource.attribute.labels 병합됨
service_principal_id_label target.resource.attribute.labels 병합됨
source_label target.resource.attribute.labels 병합됨
target_displayName_label target.resource.attribute.labels 병합됨
target_label target.resource.attribute.labels 병합됨
target_logon_id_label target.resource.attribute.labels 병합됨
target_type_label target.resource.attribute.labels 병합됨
temp_resourceId target.resource.attribute.labels 병합됨
tenant_id_label target.resource.attribute.labels 병합됨
tokenIssuerType_label target.resource.attribute.labels 병합됨
uniqueTokenIdentifier_label target.resource.attribute.labels 병합됨
user_type_label target.resource.attribute.labels 병합됨
ObjectName target.resource.name 직접 매핑됨
properties.SignInBondData.DisplayDetails.ResourceDisplayName target.resource.name 직접 매핑됨
properties.resourceDisplayName target.resource.name 이름 변경/매핑됨
resourceDisplayName target.resource.name 이름이 변경됨/매핑됨
field.newValue target.resource.product_object_id 직접 매핑됨
record_resourceId target.resource.product_object_id 직접 매핑됨
resourceId target.resource.product_object_id 직접 매핑됨
ObjectType target.resource.resource_subtype 직접 매핑됨
target.type target.resource.type 직접 매핑됨
%{ServiceSid} target.resource.user.windows_sid 병합됨
record_properties_identityProvider target.url 직접 매핑됨
value target.url 직접 매핑됨
modified_property_label target.user.attribute.labels 병합됨
target_label target.user.attribute.labels 병합됨
target_type target.user.attribute.labels 매핑됨: User → target_label, User → modified_property_label
user_display_name_label target.user.attribute.labels 병합됨
record_properties_userPrincipalName target.user.email_addresses 매핑됨: ^.+@.+$ → record_properties_userPrincipalName
target_displayName target.user.email_addresses 매핑됨: ^.+@.+$ → target_displayName
target_userPrincipalName target.user.email_addresses 매핑됨: ^.+@.+$ → target_userPrincipalName
userPrincipalName target.user.email_addresses 매핑됨: ^.+@.+$ → userPrincipalName
groupInfo target.user.group_identifiers 병합됨
operationName target.user.group_identifiers 매핑됨: Add member to group → groupInfo
properties.servicePrincipalId target.user.product_object_id 직접 매핑됨
properties.targetResources.0.id target.user.product_object_id 직접 매핑됨
properties.userId target.user.product_object_id 직접 매핑됨
record_properties_userId target.user.product_object_id 직접 매핑됨
userId target.user.product_object_id 직접 매핑됨
record_Identity target.user.user_display_name 직접 매핑됨
record_identity target.user.user_display_name 직접 매핑됨
targetUser target.user.user_display_name 직접 매핑됨
target_displayName target.user.user_display_name 직접 매핑됨
target_userPrincipalName target.user.user_display_name 직접 매핑됨
TargetUserName target.user.userid 직접 매핑됨
properties.alternateSignInName target.user.userid 직접 매핑됨
properties.servicePrincipalName target.user.userid 직접 매핑됨
properties.userId target.user.userid 직접 매핑됨
properties.userPrincipalName target.user.userid 직접 매핑됨
record_AlternateSignInName target.user.userid 직접 매핑됨
signInIdentifier target.user.userid 직접 매핑됨
userPrincipalName target.user.userid 직접 매핑됨
TargetSid target.user.windows_sid 직접 매핑됨
TargetUserSid target.user.windows_sid 직접 매핑됨
해당 사항 없음 extensions.auth.type 상수: AUTHTYPE_UNSPECIFIED
해당 사항 없음 metadata.event_type 상수: STATUS_UPDATE
해당 사항 없음 metadata.product_name 상수: Azure AD
해당 사항 없음 metadata.vendor_name 상수: Microsoft
해당 사항 없음 network.http.parsed_user_agent 상수: parseduseragent
해당 사항 없음 principal.platform 상수: WINDOWS
해당 사항 없음 security_result.description 상수: Group membership modified
해당 사항 없음 security_result.priority 상수: MEDIUM_PRIORITY
해당 사항 없음 security_result.severity 상수: INFORMATIONAL
해당 사항 없음 security_result.summary 상수: Successful login occurred

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.