收集 Microsoft Entra ID 登入記錄

支援的服務：

Google SecOps SIEM

本文說明如何設定 Google Security Operations 動態饋給，收集 Microsoft Entra ID (原稱「Azure Active Directory」) 登入記錄。您可以透過兩種方法設定擷取作業：Azure 事件中心 (建議) 或第三方 API。

注意：擷取標籤會識別剖析器，將原始記錄資料正規化為結構化 UDM 格式。本文資訊適用於具有 AZURE_AD 擷取標籤的剖析器。

事前準備

請確認您符合下列必要條件：

• Google SecOps 執行個體
• Microsoft Azure 入口網站的特殊存取權
• Microsoft Entra ID 的安全性管理員或全域管理員角色 (診斷設定必要)
• 如要使用第三方 API 方法，請具備下列其中一個角色，以便授予管理員同意聲明：
  • 全域管理員：可授予任何 API 的任何權限
  • Privileged Role Administrator：可為任何 API 授予任何權限
  • 雲端應用程式管理員：可同意任何 API 的任何權限，但 Microsoft Graph 應用程式角色 (應用程式權限) 除外

注意：如要使用 Microsoft Graph 應用程式權限 (用於 API 方法)，您必須具備全域管理員或特殊權限角色管理員角色。

方法 1：Azure Event Hub (建議)

這個方法會使用診斷設定，透過 Azure 事件中心串流 Microsoft Entra ID 登入記錄。Google SecOps 會使用 Azure 事件中樞動態饋給類型，直接從事件中樞擷取記錄。

注意：與第三方 API 方法相比，這個方法可近乎即時地傳送記錄。

建立事件中樞命名空間

事件中樞命名空間是一或多個事件中樞的管理容器。

1. 在 Azure 入口網站中搜尋「Event Hubs」。
2. 點選「+ 建立」。

3. 提供下列設定詳細資料：

   設定	值
   訂閱項目	選取 Azure 訂閱
   資源群組	選取現有項目或建立新項目
   命名空間名稱	輸入不重複的名稱 (例如 secops-entraid-signin)
   位置	選取最靠近 Microsoft Entra 租戶的區域
   定價級別	標準 (建議用於正式環境)
   處理量單位	從 1 開始，啟用自動擴充 (建議)

4. 按一下「Review + create」。

5. 查看總覽，然後按一下「建立」。

6. 等待部署作業完成 (1 至 2 分鐘)。

   注意：處理量單位會決定命名空間容量。一個處理量單位允許 1 MBps 輸入和 2 MBps 輸出。啟用「Auto-inflate」(自動擴充)，在流量增加時自動擴充。

建立事件中心

1. 部署命名空間後，請前往 Event Hub 命名空間。
2. 在左側導覽面板中，選取「Entities」(實體) 下方的「Event Hubs」(事件中心)。
3. 按一下「+ Event Hub」。

4. 提供下列設定詳細資料：

   設定	值
   名稱	輸入不重複的名稱 (例如 entraid-signin-logs)
   分區數量	40 (建議採用，可達到最佳 Google SecOps 擴充效果)
   訊息保留	7 天 (建議最短時間)
   擷取	已停用 (Google SecOps 不需要)

5. 點選「建立」。

   注意：建議將 Google SecOps 動態饋給的分區數量設為 40，以達到最佳擴充效果。這項設定建立後即無法變更，因此請務必在初始設定期間正確設定。

取得事件中樞連線字串

Google SecOps 需要連線字串，才能向事件中心進行驗證。

做法 A：命名空間層級連線字串 (建議)

1. 前往「Event Hub namespace」(事件中樞命名空間)。
2. 在左側導覽選單中，選取「設定」下方的「共用存取權政策」。
3. 按一下預設政策「RootManageSharedAccessKey」RootManageSharedAccessKey。
4. 複製「Connection string - primary key」(連線字串 - 主鍵)。
5. 請妥善儲存這個連線字串。

重要事項：使用命名空間層級的連線字串時，請務必先移除 EntityPath 參數，再提供給 Google SecOps。

• 範例：

  Original: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==;EntityPath=entraid-signin-logs
  
  Remove EntityPath: Endpoint=sb://secops-entraid-signin.servicebus.windows.net/;SharedAccessKeyName=RootManageSharedAccessKey;SharedAccessKey=abc123==
  

做法 B：事件中心層級連線字串

1. 前往事件中樞 (而非命名空間)。
2. 在左側導覽選單中，選取「設定」下方的「共用存取權政策」。
3. 按一下「+ 新增」建立新政策。
4. 提供下列設定詳細資料：
   • 政策名稱：輸入描述性名稱 (例如 chronicle-read)
   • 權限：選取「Listen」(僅限讀取權限)
5. 點選「建立」。
6. 按一下新建立的政策。
7. 複製「Connection string - primary key」(連線字串 - 主鍵)。

8. 請妥善儲存這個連線字串。

   注意：事件中樞層級的連線字串已包含 EntityPath 參數，因此不需修改。

調整 Microsoft Entra ID 診斷設定

1. 登入 Microsoft Entra 系統管理中心，至少須具備安全性管理員權限。
2. 依序前往「Entra ID」>「Monitoring & health」>「Diagnostic settings」。
3. 按一下「+ Add diagnostic setting」。

4. 提供下列設定詳細資料：

   • 診斷設定名稱：輸入描述性名稱 (例如 signin-logs-to-eventhub)。

   • 在「記錄」部分，選取要匯出的登入記錄類別：

     • SignInLogs：互動式使用者登入。
     • NonInteractiveUserSignInLogs：非互動式使用者登入 (建議)。
     • ServicePrincipalSignInLogs：服務主體登入 (選用)。
     • ManagedIdentitySignInLogs：受管理的身分登入 (選用)。
     • ADFSSignInLogs：AD FS 登入記錄 (選用，如果使用 AD FS)。
     • RiskyUsers：Microsoft Entra ID Protection 標記為有風險的使用者 (選用)。
     • UserRiskEvents：高風險登入事件詳細資料 (選用)。
     注意：如需這些登入類型，請選取「NonInteractiveUserSignInLogs」、「ServicePrincipalSignInLogs」和「ManagedIdentitySignInLogs」。這些是方法 2 無法收集的類別。預估記錄量：Microsoft 指出，非互動式使用者和服務主體登入記錄的數量，可能是互動式登入記錄的五到十倍。

   • 在「目的地詳細資料」部分，選取「串流至事件中樞」。

   • 「Subscription」(訂閱項目)：選取包含 Event Hub 命名空間的訂閱項目。

   • Event hub namespace：選取您建立的命名空間 (例如 secops-entraid-signin)。

   • 事件中樞名稱：選取您建立的事件中樞 (例如 entraid-signin-logs)。

   • 事件中心政策名稱：選取「RootManageSharedAccessKey」。

5. 按一下「儲存」。

   注意：Microsoft 表示，建立診斷設定後，記錄最多可能需要三天，才會開始顯示在目的地。資料通常會更快顯示，但如果第一天事件中心沒有資料，請不要認為是設定錯誤。您也可以在「稽核記錄」或「登入」頁面中選取「匯出設定」，前往診斷設定。

(選用) 設定 Azure Blob 儲存體，以便建立檢查點

Google SecOps 可使用 Azure Blob 儲存體儲存事件中心檢查點，追蹤已處理的事件。如果動態饋給暫時中斷，這項設定可避免重複擷取。

建立用於檢查點的儲存體帳戶

1. 在 Azure 入口網站中，搜尋「Storage accounts」。
2. 點選「+ 建立」。

3. 提供下列設定詳細資料：

   設定	值
   訂閱項目	選取 Azure 訂閱
   資源群組	使用與事件中樞相同的資源群組
   儲存體帳戶名稱	輸入不重複的名稱 (例如 secopsaadsignin)
   區域	與事件中樞位於相同區域
   效能	標準
   備援	LRS (本地備援儲存體)

4. 按一下「Review + create」。

5. 點選「建立」。

建立 Blob 容器

1. 前往您建立的儲存體帳戶。
2. 在左側導覽列中，選取「資料儲存庫」下方的「容器」。
3. 按一下「+ 容器」。
4. 提供下列設定詳細資料：
   • Name：輸入 checkpoints
   • 公開存取層級：私人 (不允許匿名存取)
5. 點選「建立」。

取得儲存空間帳戶憑證

1. 在儲存體帳戶中，選取「安全性 + 網路」底下的「存取金鑰」。
2. 按一下「顯示金鑰」。
3. 複製並儲存：
   • 儲存體帳戶名稱：儲存體帳戶的名稱。
   • Key 1：存取金鑰值。

(選用) 建立專屬消費者群組

根據預設，事件中樞會提供名為 $Default 的取用者群組。在正式環境中，建議為 Google SecOps 建立專屬使用者群組。

1. 前往事件中樞 (而非命名空間)。
2. 在左側導覽面板中，選取「Entities」下方的「Consumer groups」。
3. 按一下「+ Consumer group」。
4. 提供下列設定詳細資料：
   • 名稱：輸入描述性名稱 (例如 chronicle)

5. 點選「建立」。

   注意：如果建立專屬消費者群組，在 Google SecOps 建立動態饋給時，必須指定該群組。否則，請使用預設的 $Default 消費者群組。

在 Google SecOps 設定動態饋給，擷取 Microsoft Entra ID 登入記錄

1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一頁，點按「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Microsoft Entra ID Sign-In Logs - Event Hub)。
5. 在「Source type」(來源類型) 選取「Microsoft Azure Event Hub」。
6. 在「Log type」(記錄類型) 中選取「Microsoft Azure AD」。
7. 點選「下一步」。

8. 指定下列輸入參數的值：

   • Event Hub 連接字串：輸入先前擷取的 Event Hub 連接字串。

     如果使用命名空間層級的連線字串：

     • 請確認您已移除 EntityPath 參數。
     • 您也必須在下一個欄位中提供事件中樞名稱。

     如果使用事件中樞層級的連線字串：

     • 直接使用連線字串 (包含 EntityPath)。

     • 「Event hub name」(事件中樞名稱) 欄位可留空。

     • 事件中樞名稱：輸入事件中樞名稱 (例如 entraid-signin-logs)。

     如果使用命名空間層級的連線字串，則為必要。如果使用事件中心層級的連線字串，則為選用。

     • 用戶群組 (選用)：輸入用戶群組名稱。
     • 留空即可使用預設的 $Default 消費者群組。

     • 如果您建立了專屬消費者群組，請輸入群組名稱 (例如 chronicle)。

     • Blob 儲存體容器名稱 (選用)：如要設定檢查點，請輸入容器名稱 (例如 checkpoints)。

     如果提供 Blob 儲存空間用於檢查點：

     • Azure storage account name：輸入檢查點設定中的儲存體帳戶名稱。

     • Azure 儲存體帳戶金鑰：輸入檢查點設定中的存取金鑰。

     • Asset namespace：資產命名空間。

     • 擷取標籤：要套用至這個動態饋給事件的標籤。

9. 點選「下一步」。

10. 在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

    注意：建立動態饋給後，事件可能需要 1 到 2 分鐘才會顯示在 Google SecOps。

方法 2：第三方 API

這個方法會使用 Microsoft Graph API，直接從 Microsoft 租戶擷取 Microsoft Entra ID 登入記錄。

重要事項：這個方法只會收集互動式和成功的聯合登入。graph.microsoft.com/v1.0/auditLogs/signIns 不會傳回非互動式使用者、服務主體和受管理身分的登入資訊，也無法要求提供這些資訊。用於選取這些類別的 signInEventTypes 屬性僅存在於 Microsoft Graph 的 Beta 版中，而非 1.0 版。如要擷取這些登入類型，請使用方法 1：Azure 事件中樞或 Microsoft Azure Blob Storage V2，並在 Microsoft Entra ID 診斷設定中選取 NonInteractiveUserSignInLogs、ServicePrincipalSignInLogs 和 ManagedIdentitySignInLogs 類別。

注意：Google SecOps 必須將從第三方 API 擷取的記錄類型加入許可清單。請參閱「IP 許可清單」。在實際操作中，這適用於資料來源強制執行 IP 限制的情況：如果動態饋給傳回 403 錯誤，請檢查資料來源是否已啟用許可清單，並新增範圍。請注意，發布的清單是所有 Google goog.json，而非 Google SecOps 輸出清單，且 Google SecOps 無法保證動態饋給來自特定區域。如要進一步限制存取權，請提交支援單。

設定 IP 許可清單

Google SecOps 必須將從第三方 API 擷取的記錄類型加入許可清單，因此請先在 Microsoft Azure 網路設定或條件式存取政策中新增 Google IP 範圍，再建立動態饋給。如果資料來源強制執行 IP 限制，這項設定就很重要。如果動態饋給傳回 403 錯誤，請確認已啟用許可清單。請注意，發布的清單是所有 Google goog.json，而非 Google SecOps 輸出清單，且 Google SecOps 無法保證動態饋給來自特定區域的位址。如要進一步限制存取權，請提交支援單。

取得 Google SecOps IP 範圍

1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 請記下動態饋給建立介面中顯示的 IP 範圍。
4. 或者，您也可以使用 Feed Management API，透過程式輔助方式擷取 IP 範圍。

設定 Workload Identity 的條件式存取權 (如有需要)

如果貴組織使用條件式存取政策，限制特定位置的存取權：

1. 在 Microsoft Entra 系統管理中心，依序前往「Protection」(保護) >「Conditional Access」(條件式存取) >「Named locations」(具名位置)。
2. 按一下「+ 新增位置」。
3. 提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 Google SecOps IP Ranges。
   • 標示為信任的位置：選用，視安全性政策而定。
   • IP 範圍：以 CIDR 標記法新增各個 Google SecOps IP 範圍。
4. 點選「建立」。
5. 依序前往「Conditional Access」>「Policies」。
6. 針對適用於 Workload Identity 的任何政策，請為 Google SecOps IP Ranges 命名位置或特定服務主體設定排除條件。

設定 Microsoft Entra ID API 存取權

建立應用程式註冊

1. 登入 Microsoft Entra 系統管理中心或 Azure 入口網站。
2. 依序前往「Identity」>「Applications」>「App registrations」。
3. 按一下 [新增註冊]。

4. 提供下列設定詳細資料：

   • 名稱：輸入描述性名稱 (例如 Google SecOps Sign-In Logs Integration)。
   • 支援的帳戶類型：選取「僅限此組織目錄中的帳戶 (單一租戶)」。
   注意：單一租用戶是第三方 API 整合的正確選擇。Google SecOps 只會存取特定 Microsoft Entra 租戶的登入記錄。只有在代管服務供應商情境中，需要存取多個租戶的記錄檔時，才應選擇多租戶。
   • 重新導向 URI：留空 (服務主體驗證不需要)。

5. 按一下「註冊」。

6. 註冊後，請複製並儲存下列值：

   • 應用程式 (用戶端) ID
   • 目錄 (租戶) ID

設定 API 權限

整合功能需要下列 Microsoft Graph 應用程式權限：

1. 在應用程式註冊頁面中，前往「API permissions」。
2. 按一下「新增權限」。
3. 依序選取「Microsoft Graph」>「Application permissions」。
4. 選取下列權限：
   • AuditLog.Read.All：讀取登入記錄時必須具備。
   • Directory.Read.All：Microsoft Graph API 存取登入記錄時需要 (已知問題)。
   • SecurityEvents.Read.All：Google SecOps 必須具備這項權限。
5. 選用：如要一併擷取每次登入時套用的條件式存取政策，請新增條件式存取讀取權限：
   • Policy.Read.ConditionalAccess：建議 (最小權限)。允許動態饋給在每筆登入記錄中填入 appliedConditionalAccessPolicies 欄位。
6. 按一下「Add permissions」。
7. 按一下「Grant admin consent for [Your Organization]」。
8. 確認您新增的每項權限，「狀態」欄都顯示「已授予 [貴機構]」。

注意：如果「Grant admin consent」按鈕已停用，請確認您具備「Global Administrator」或「Privileged Role Administrator」角色。雲端應用程式管理員和應用程式管理員角色無法授予 Microsoft Graph 應用程式權限。

注意：Policy.Read.ConditionalAccess 為選用權限。如果沒有條件式存取讀取的權限，Microsoft Graph 會從每筆登入記錄中省略 appliedConditionalAccessPolicies 屬性 (登入記錄仍會單獨與 AuditLog.Read.All 一起流動)。如要查看每次登入時評估的條件式存取政策，並在 Google Security Operations 中建立條件式存取差距偵測用途，請授予這項權限。如果貴組織偏好更廣泛的範圍，Policy.Read.All 或 Policy.ReadWrite.ConditionalAccess 也符合要求。

權限	類型	說明
AuditLog.Read.All	應用程式	讀取所有登入和稽核記錄資料
Directory.Read.All	應用程式	讀取目錄資料 (API 存取權必要條件)
SecurityEvents.Read.All	應用程式	讀取安全性事件
Policy.Read.ConditionalAccess	應用程式	選用。讀取條件式存取政策，以便在登入記錄中加入 appliedConditionalAccessPolicies

建立用戶端密鑰

1. 前往「Certificates & secrets」。
2. 按一下「New client secret」。

3. 提供下列設定詳細資料：

   • 說明：輸入描述性名稱 (例如 Google SecOps Feed)。
   • 到期日：選取到期時間。
   注意：Microsoft 建議將到期值設為少於 12 個月。最長為 24 個月。為提高安全性，建議使用憑證或聯合身分憑證，而非用戶端密鑰。請參閱「從 Secret 驗證機制遷移應用程式」。

4. 按一下「新增」。

5. 重要事項：請立即複製用戶端密鑰值。這個值只會顯示一次，之後便無法擷取。

建立動態饋給前，請先驗證 API 存取權

建立 Google SecOps 動態饋給前，請確認服務主體可以成功驗證及存取 Microsoft Graph API。

• 使用 PowerShell 測試驗證

  # Replace with your actual values
  $tenantId = "your-tenant-id"
  $clientId = "your-client-id"
  $clientSecret = "your-client-secret"
  
  # Token request parameters (must be lowercase)
  $tokenBody = @{
      grant_type    = "client_credentials"
      client_id     = $clientId
      client_secret = $clientSecret
      scope         = "https://graph.microsoft.com/.default"
  }
  
  # Request access token
  $tokenEndpoint = "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/token"
  $tokenResponse = Invoke-RestMethod -Method Post -Uri $tokenEndpoint -Body $tokenBody -ContentType "application/x-www-form-urlencoded"
  
  if ($tokenResponse.access_token) {
      Write-Host "✓ Successfully obtained access token" -ForegroundColor Green
  
      # Test API call to sign-ins endpoint
      $apiUrl = "https://graph.microsoft.com/v1.0/auditLogs/signIns?`$top=1"
      $headers = @{
          Authorization = "Bearer $($tokenResponse.access_token)"
      }
  
      try {
          $signInResponse = Invoke-RestMethod -Method Get -Uri $apiUrl -Headers $headers
          Write-Host "✓ Successfully accessed sign-ins API" -ForegroundColor Green
          Write-Host "Sample sign-in log retrieved successfully" -ForegroundColor Green
      }
      catch {
          Write-Host "✗ Failed to access sign-ins API" -ForegroundColor Red
          Write-Host "Error: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  else {
      Write-Host "✗ Failed to obtain access token" -ForegroundColor Red
  }
  

• 預期輸出內容：

  ✓ Successfully obtained access token
  ✓ Successfully accessed sign-ins API
  Sample sign-in log retrieved successfully
  

• 使用 curl 測試驗證

  # Replace with your actual values
  TENANT_ID="your-tenant-id"
  CLIENT_ID="your-client-id"
  CLIENT_SECRET="your-client-secret"
  
  # Request access token
  curl -X POST "https://login.microsoftonline.com/$TENANT_ID/oauth2/v2.0/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=client_credentials" \
    -d "client_id=$CLIENT_ID" \
    -d "client_secret=$CLIENT_SECRET" \
    -d "scope=https://graph.microsoft.com/.default"
  
  # Test API access
  curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" \
    "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$top=1"
  

在 Google SecOps 設定動態饋給，擷取 Microsoft Entra ID 登入記錄

設定動態饋給

1. 依序前往「設定」>「資料管理」>「動態饋給」。如果使用的是 SIEM 專用平台，請依序前往「設定」>「動態饋給」。
2. 按一下「新增動態饋給」。
3. 在下一頁，點按「設定單一動態饋給」。
4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱 (例如 Microsoft Entra ID Sign-In Logs)。
5. 在「Source type」(來源類型) 中選取「Third party API」(第三方 API)。
6. 在「Log type」(記錄類型) 中選取「Microsoft Azure AD」。
7. 點選「下一步」。

設定動態饋給參數

1. 指定下列輸入參數的值：

   • OAuth 用戶端 ID：應用程式註冊時獲得的應用程式 (用戶端) ID。
   • OAuth 用戶端密鑰：您先前複製的用戶端密鑰值。
   • 用戶群 ID：應用程式註冊時取得的 Microsoft 用戶群 ID (UUID 格式，例如 0fc279f9-fe30-41be-97d3-abe1d7681418)。

   • API Full Path：Microsoft Graph REST API 端點網址：

     graph.microsoft.com/v1.0/auditLogs/signIns
     

     注意：請勿加入 https:// 前置字元。動態饋給會自動新增通訊協定。

   • API 驗證端點：Microsoft Active Directory 驗證端點：

     login.microsoftonline.com
     

     注意：請勿加入 https:// 前置字元或 /oauth2/v2.0/token 路徑。動態饋給會使用您的租戶 ID 自動建構完整的驗證網址。

   進階選項：

   • 動態饋給名稱：系統預先填入的值，用於識別動態饋給。
   • 來源類型：第三方 API (將記錄收集到 Google SecOps 的機制)。
   • 資產命名空間：與動態饋給相關聯的資產命名空間。
   • 擷取標籤：系統會為這個動態饋給的所有事件加上標籤。

2. 點選「下一步」。

3. 在「完成」畫面中檢查新的新聞動態消息設定，然後按一下「提交」。

   注意：建立動態饋給後，記錄可能需要 5 到 10 分鐘才會顯示在 Google SecOps。

地區端點

如要在 Sovereign Cloud 部署 Microsoft Entra ID，請使用適當的區域端點：

雲端環境	API 完整路徑	API 驗證端點
全球	graph.microsoft.com/v1.0/auditLogs/signIns	login.microsoftonline.com
美國政府 L4	graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
美國政府 L5 (DOD)	dod-graph.microsoft.us/v1.0/auditLogs/signIns	login.microsoftonline.us
中國 (世紀互聯)	microsoftgraph.chinacloudapi.cn/v1.0/auditLogs/signIns	login.chinacloudapi.cn

注意：Google SecOps 僅將 API 主機名稱記錄為選用的覆寫值，並採用商業預設值，不支援 Sovereign Cloud 主機。Azure Blob Storage 和 Event Hub 動態饋給類型不支援 Sovereign Cloud。請先向支援團隊確認，再使用主權端點。

UDM 對應表

記錄欄位	UDM 對應	邏輯
CertSerialNumber	about.artifact.last_https_certificate.serial_number	直接對應
modifiedProperty.newValue	about.location.city	直接對應
modifiedProperty.newValue	about.location.country_or_region	直接對應
modifiedProperty.newValue	about.location.state	直接對應
modifiedProperty.newValue	about.user.department	已合併
modifiedProperty.newValue	about.user.email_addresses	已合併
modifiedProperty.newValue	about.user.first_name	直接對應
modifiedProperty.newValue	about.user.last_name	直接對應
modifiedProperty.newValue	about.user.phone_numbers	已合併
modifiedProperty.newValue	about.user.product_object_id	直接對應
modifiedProperty.newValue	about.user.title	直接對應
modifiedProperty.newValue	about.user.user_display_name	直接對應
modifiedProperty.newValue	about.user.userid	直接對應
C_DeviceId_label	additional.fields	已合併
C_Iat_label	additional.fields	已合併
C_Idtyp_label	additional.fields	已合併
C_Sid_label	additional.fields	已合併
CorrelationId_label	additional.fields	已合併
CrossTenantAccessType_label	additional.fields	已合併
ImpersonationLevel_label	additional.fields	已合併
KeyLength_label	additional.fields	已合併
aadtenant_label	additional.fields	已合併
additionalDetails_label	additional.fields	已合併
additional_crossTenantAccessType	additional.fields	已合併
additional_detail_label	additional.fields	已合併
additional_detectedDateTime	additional.fields	已合併
additional_detectionTimingType	additional.fields	已合併
additional_durationMs	additional.fields	已合併
additional_fields	additional.fields	已合併
additional_isDeleted	additional.fields	已合併
additional_isGuest	additional.fields	已合併
additional_isProcessing	additional.fields	已合併
additional_lastUpdatedDateTime	additional.fields	已合併
additional_resultSignature	additional.fields	已合併
additional_source	additional.fields	已合併
additional_tokenIssuerName	additional.fields	已合併
additional_tokenIssuerType	additional.fields	已合併
additional_userType	additional.fields	已合併
altitude_loc	additional.fields	已合併
appServicePrincipalId_label	additional.fields	已合併
atContentH_label	additional.fields	已合併
atContentP_label	additional.fields	已合併
auth_detail_label	additional.fields	已合併
auth_id_label	additional.fields	已合併
authentication	additional.fields	已合併
authenticationDetail_label	additional.fields	已合併
authenticationProtocol_label	additional.fields	已合併
authentication_app_device_details_label	additional.fields	已合併
authentication_requirement_label	additional.fields	已合併
auto_label	additional.fields	已合併
autonomousSystemNumber_label	additional.fields	已合併
cert_issuer_name_label	additional.fields	已合併
cert_thumbprint_label	additional.fields	已合併
clientCredentialType_label	additional.fields	已合併
client_credential_type	additional.fields	已合併
client_credential_type_label	additional.fields	已合併
conditionalAccessStatus_label	additional.fields	已合併
cribl_pipe_label	additional.fields	已合併
crossTenantAccessType_label	additional.fields	已合併
cross_tenant_access_type_label	additional.fields	已合併
domain_hint_present_label	additional.fields	已合併
durationMs_label	additional.fields	已合併
error_number_label	additional.fields	已合併
federated_credential_id_label	additional.fields	已合併
flaggedForReview_label	additional.fields	已合併
flagged_for_review_label	additional.fields	已合併
hometenant_label	additional.fields	已合併
incomingTokenType_label	additional.fields	已合併
incoming_token_type_label	additional.fields	已合併
isTenantRestricted_label	additional.fields	已合併
isThroughGlobalSecureAccess_label	additional.fields	已合併
is_interactive_label	additional.fields	已合併
is_tenant_restricted_label	additional.fields	已合併
latitude_label	additional.fields	已合併
login_hint_present_label	additional.fields	已合併
longitude_label	additional.fields	已合併
mfa_details_label	additional.fields	已合併
name_list	additional.fields	已合併
networkName_label	additional.fields	已合併
networkType_additional_fields	additional.fields	已合併
networkType_label	additional.fields	已合併
network_location_label	additional.fields	已合併
network_names_additional_fields	additional.fields	已合併
originalRequestId_label	additional.fields	已合併
originalTransferMethod_label	additional.fields	已合併
original_transfer_method_label	additional.fields	已合併
processing_time_in_milliseconds_label	additional.fields	已合併
properties_incomingTokenType	additional.fields	已合併
properties_isInteractive	additional.fields	已合併
properties_location_geoCoordinates_altitude	additional.fields	已合併
properties_processingTimeInMilliseconds	additional.fields	已合併
properties_rngcStatus	additional.fields	已合併
proxy_restriction_target_tenant_name_label	additional.fields	已合併
prp_networkType_additional_fields	additional.fields	已合併
prp_network_names_additional_fields	additional.fields	已合併
ram_recommended_action_label	additional.fields	已合併
ram_recommender_label	additional.fields	已合併
record_properties_id_label	additional.fields	已合併
resultReason_label	additional.fields	已合併
resultType_label	additional.fields	已合併
resultstatus_label	additional.fields	已合併
rngcStatus_label	additional.fields	已合併
service_principal_credential_key_id_label	additional.fields	已合併
service_principal_credential_thumbprint_label	additional.fields	已合併
service_principal_name_label	additional.fields	已合併
signInActivityId_label	additional.fields	已合併
signInSessionStatusCode_label	additional.fields	已合併
signInSessionStatus_label	additional.fields	已合併
signInTokenProtectionStatus_label	additional.fields	已合併
sign_in_identifier_type_label	additional.fields	已合併
sign_in_token_protection_status_label	additional.fields	已合併
ssoExtensionVersion_label	additional.fields	已合併
status_additionalDetails_label	additional.fields	已合併
tokenIssuedAt_label	additional.fields	已合併
tokenIssuerType_label	additional.fields	已合併
token_issuer_name_label	additional.fields	已合併
token_issuer_type_label	additional.fields	已合併
token_protection_status_details_label	additional.fields	已合併
token_protection_status_details_signInSessionStatus_label	additional.fields	已合併
type_list	additional.fields	已合併
uniqueTokenIdentifier_label	additional.fields	已合併
unique_token_identifier_label	additional.fields	已合併
userType_label	additional.fields	已合併
user_type_label	additional.fields	已合併
wids_label	additional.fields	已合併
workload_label	additional.fields	已合併
LogonType	extensions.auth.auth_details	直接對應
properties.SignInBondData.ProtocolDetails.AuthenticationMethodsUsed	extensions.auth.auth_details	直接對應
properties_clientAuthMethod	extensions.auth.auth_details	直接對應
record_properties_clientAuthMethod	extensions.auth.auth_details	直接對應
auth_mechanism	extensions.auth.mechanism	已合併
ext_mech	extensions.auth.mechanism	已合併
mechanism	extensions.auth.mechanism	已合併
operationName	extensions.auth.type	對應：Sign-in activity → SSO
record_operationName	extensions.auth.type	對應：Sign-in activity → AUTHTYPE_UNSPECIFIED
category	metadata.description	直接對應
record_category	metadata.description	直接對應
CreationTime	metadata.event_timestamp	剖析為 yyyy-MM-ddTHH:mm:ss
activityDateTime	metadata.event_timestamp	剖析為 ISO8601
date	metadata.event_timestamp	剖析為 ISO8601
properties.activityDateTime	metadata.event_timestamp	剖析為 yyyy-MM-ddTHH:mm:ss.SSSZ
record_CreatedDateTime	metadata.event_timestamp	剖析為 ISO8601
record_time	metadata.event_timestamp	剖析為 ISO8601
when	metadata.event_timestamp	剖析為 yyyy-MM-dd HH:mm:ss
category	metadata.event_type	對應：(?i)AccountManagement → USER_CHANGE_PERMISSIONS
event_type	metadata.event_type	直接對應
has_principal	metadata.event_type	對應：true → STATUS_UPDATE
has_principal_user	metadata.event_type	對應：true → USER_UNCATEGORIZED
has_resource	metadata.event_type	對應：true → USER_RESOURCE_ACCESS
has_target	metadata.event_type	對應：true → NETWORK_CONNECTION
has_target_user	metadata.event_type	對應：true → USER_LOGOUT、true → USER_CHANGE_PERMISSIONS、true → USER_LOGIN
record_tenantId	metadata.product_deployment_id	直接對應
tenantId	metadata.product_deployment_id	直接對應
Operation	metadata.product_event_type	直接對應
activityDisplayName	metadata.product_event_type	直接對應
operationName	metadata.product_event_type	直接對應
record_OperationName	metadata.product_event_type	直接對應
record_operationName	metadata.product_event_type	直接對應
type	metadata.product_event_type	直接對應
EventRecordID	metadata.product_log_id	直接對應
Id	metadata.product_log_id	直接對應
id	metadata.product_log_id	直接對應
properties.id	metadata.product_log_id	直接對應
record_Id	metadata.product_log_id	直接對應
record_correlationId	metadata.product_log_id	直接對應
Version	metadata.product_version	直接對應
operationVersion	metadata.product_version	直接對應
record_operationVersion	metadata.product_version	直接對應
properties.SignInBondData.ProtocolDetails.Protocol	network.application_protocol	直接對應
properties_requestMethod	network.http.method	直接對應
record_properties_requestMethod	network.http.method	直接對應
browser	network.http.parsed_user_agent	直接對應
deviceDetail.browser	network.http.parsed_user_agent	直接對應
properties.deviceDetail.browser	network.http.parsed_user_agent	直接對應
properties.userAgent	network.http.parsed_user_agent	直接對應
record_UserAgent	network.http.parsed_user_agent	直接對應
record_properties_userAgent	network.http.parsed_user_agent	直接對應
userAgent	network.http.parsed_user_agent	直接對應
user_agent	network.http.parsed_user_agent	直接對應
value	network.http.parsed_user_agent	直接對應
value1	network.http.parsed_user_agent	已重新命名/對應
properties_requestUri	network.http.referral_url	直接對應
record_properties_requestUri	network.http.referral_url	直接對應
properties_responseStatusCode	network.http.response_code	直接對應
record_properties_responseStatusCode	network.http.response_code	直接對應
browser	network.http.user_agent	直接對應
deviceDetail.browser	network.http.user_agent	直接對應
properties.deviceDetail.browser	network.http.user_agent	直接對應
properties.userAgent	network.http.user_agent	直接對應
record_UserAgent	network.http.user_agent	直接對應
record_properties_userAgent	network.http.user_agent	直接對應
userAgent	network.http.user_agent	直接對應
user_agent	network.http.user_agent	直接對應
value	network.http.user_agent	直接對應
value1	network.http.user_agent	直接對應
properties_responseSizeBytes	network.received_bytes	直接對應
record_properties_responseSizeBytes	network.received_bytes	直接對應
originalRequestId	network.session_id	直接對應
properties.originalRequestId	network.session_id	直接對應
properties.sessionId	network.session_id	直接對應
record_OriginalRequestId	network.session_id	直接對應
record_properties_sessionId	network.session_id	直接對應
sessionId	network.session_id	直接對應
value	network.session_id	直接對應
loggedByService	observer.application	直接對應
properties.loggedByService	observer.application	直接對應
SubjectDomainName	principal.administrative_domain	直接對應
domain	principal.administrative_domain	直接對應
initiatedBy_app_displayName	principal.application	直接對應
record_ClientAppUsed	principal.application	直接對應
deviceId	principal.asset.asset_id	直接對應
properties_deviceDetail_deviceId	principal.asset.asset_id	直接對應
record_DeviceDetail_deviceId	principal.asset.asset_id	直接對應
record_properties_C_DeviceId	principal.asset.asset_id	直接對應
record_properties_deviceDetail_deviceId	principal.asset.asset_id	直接對應
additional_fields	principal.asset.attribute.labels	已合併
device_trust_type_label	principal.asset.attribute.labels	已合併
isManaged_label	principal.asset.attribute.labels	已合併
is_managed_label	principal.asset.attribute.labels	已合併
trustType_label	principal.asset.attribute.labels	已合併
deviceDetail.displayName	principal.asset.hostname	直接對應
displayName	principal.asset.hostname	直接對應
properties.deviceDetail.displayName	principal.asset.hostname	直接對應
ActorIpAddress	principal.asset.ip	已合併
IpAddress	principal.asset.ip	已合併
SourceIpAddress	principal.asset.ip	已合併
initiatedBy.user.ipAddress	principal.asset.ip	已合併
principal_ip	principal.asset.ip	已合併
properties.initiatedBy.user.ipAddress	principal.asset.ip	已合併
properties_ip_address	principal.asset.ip	已合併
record.IPAddress	principal.asset.ip	已合併
record_callerIpAddress	principal.asset.ip	已合併
deviceId	principal.asset_id	直接對應
record_DeviceDetail_deviceId	principal.asset_id	直接對應
record_properties_deviceDetail_deviceId	principal.asset_id	直接對應
value	principal.asset_id	直接對應
deviceDetail.displayName	principal.hostname	直接對應
displayName	principal.hostname	直接對應
properties.deviceDetail.displayName	principal.hostname	直接對應
ActorIpAddress	principal.ip	已合併
IpAddress	principal.ip	已合併
SourceIpAddress	principal.ip	已合併
initiatedBy.user.ipAddress	principal.ip	已合併
principal_ip	principal.ip	已合併
properties.initiatedBy.user.ipAddress	principal.ip	已合併
properties_ip_address	principal.ip	已合併
record_IPAddress	principal.ip	已合併
record_callerIpAddress	principal.ip	已合併
location_city	principal.location.city	直接對應
record_properties_location_city	principal.location.city	直接對應
location_countryOrRegion	principal.location.country_or_region	直接對應
properties.tenantGeo	principal.location.country_or_region	直接對應
record_properties_location_countryOrRegion	principal.location.country_or_region	直接對應
location_name	principal.location.name	直接對應
record_location	principal.location.name	直接對應
location_geo_latitude	principal.location.region_coordinates.latitude	直接對應
record_LocationDetails_geoCoordinates_latitude	principal.location.region_coordinates.latitude	直接對應
record_properties_location_geoCoordinates_latitude	principal.location.region_coordinates.latitude	直接對應
location_geo_longitude	principal.location.region_coordinates.longitude	直接對應
record_LocationDetails_geoCoordinates_longitude	principal.location.region_coordinates.longitude	直接對應
record_properties_location_geoCoordinates_longitude	principal.location.region_coordinates.longitude	直接對應
location_state	principal.location.state	直接對應
record_properties_location_state	principal.location.state	直接對應
operatingSystem	principal.platform	對應：Win → WINDOWS、Mac → MAC、Lin → LINUX
properties_deviceDetail_operatingSystem	principal.platform	對應：Win → WINDOWS、Mac → MAC、Lin → LINUX
record_properties_deviceDetail_operatingSystem	principal.platform	對應：Win → WINDOWS、Mac → MAC、Lin → LINUX
operatingSystem	principal.platform_version	直接對應
properties_deviceDetail_operatingSystem	principal.platform_version	直接對應
record_properties_deviceDetail_operatingSystem	principal.platform_version	直接對應
IpPort	principal.port	直接對應
CallerProcessName	principal.process.file.full_path	直接對應
CallerProcessId	principal.process.pid	直接對應
actor_label	principal.resource.attribute.labels	已合併
actor_type_label	principal.resource.attribute.labels	已合併
autonomousSystemNumber_label	principal.resource.attribute.labels	已合併
autonomous_system_number_label	principal.resource.attribute.labels	已合併
clientRequestId_label	principal.resource.attribute.labels	已合併
displayName	principal.resource.attribute.labels	對應：(?i)(iphone.*) → displayName_label
displayName_label	principal.resource.attribute.labels	已合併
ip_address_from_resource_provider_label	principal.resource.attribute.labels	已合併
properties_label	principal.resource.attribute.labels	已合併
subject_logon_id_label	principal.resource.attribute.labels	已合併
record_properties_resourceDisplayName	principal.resource.name	直接對應
ObjectId	principal.resource.product_object_id	直接對應
OrganizationId	principal.resource.product_object_id	直接對應
initializedBy_app_servicePrincipalId	principal.resource.product_object_id	直接對應
record_properties_UserPrincipalObjectID	principal.resource.product_object_id	直接對應
userType_label	principal.user.attribute.labels	已合併
user_key_label	principal.user.attribute.labels	已合併
role_to_merge	principal.user.attribute.roles	已合併
roles_to_merge	principal.user.attribute.roles	已合併
initiatedBy.user.userPrincipalName	principal.user.email_addresses	已合併
operationName	principal.user.email_addresses	對應：Add member to group → properties.initiatedBy.user.userPrincipalName
properties.SignInBondData.DisplayDetails.AttemptedUsername	principal.user.email_addresses	已合併
properties.initiatedBy.user.userPrincipalName	principal.user.email_addresses	已合併
record_UserPrincipalName	principal.user.email_addresses	已合併
mfaDetail.authDetail	principal.user.phone_numbers	已合併
properties.mfaDetail.authDetail	principal.user.phone_numbers	已合併
properties.appId	principal.user.product_object_id	直接對應
identity	principal.user.user_display_name	直接對應
initiatedBy.user.displayName	principal.user.user_display_name	直接對應
properties.initiatedBy.app.displayName	principal.user.user_display_name	直接對應
properties.initiatedBy.user.displayName	principal.user.user_display_name	直接對應
properties.userDisplayName	principal.user.user_display_name	已重新命名/對應
record_UserDisplayName	principal.user.user_display_name	直接對應
record_properties_deviceDetail_displayName	principal.user.user_display_name	直接對應
userDisplayName	principal.user.user_display_name	直接對應
value	principal.user.user_display_name	直接對應
SubjectUserName	principal.user.userid	直接對應
UserId	principal.user.userid	直接對應
first_user_id	principal.user.userid	直接對應
initiatedBy.user.id	principal.user.userid	直接對應
properties.initiatedBy.user.userPrincipalName	principal.user.userid	直接對應
properties.userPrincipalName	principal.user.userid	直接對應
record_SignInIdentifier	principal.user.userid	直接對應
record_UserId	principal.user.userid	直接對應
record_properties_servicePrincipalId	principal.user.userid	直接對應
SubjectUserSid	principal.user.windows_sid	直接對應
properties.initiatedBy.user.id	principal.user.windows_sid	直接對應
auth_sec_res	security_result	已合併
sec_res	security_result	已合併
sr_result	security_result	已合併
AuthenticationPackageName	security_result.about.resource.name	直接對應
action	security_result.action	已合併
errorCode	security_result.action	對應：0 → action
operationName	security_result.action	對應：Sign-in activity → action，Add member to group → action
properties_status_errorCode	security_result.action	對應：0 → action
record_properties_status_errorCode	security_result.action	對應：0 → action
record_resultType	security_result.action	對應：0 → action
result	security_result.action	對應：success → action
resultType	security_result.action	對應：0 → action
operationType	security_result.action_details	直接對應
properties.result	security_result.action_details	直接對應
Category	security_result.category	已合併
operationName	security_result.category	對應：Sign-in activity → Category
properties.category	security_result.category_details	已合併
failureReason	security_result.description	直接對應
operationName	security_result.description	對應：Add member to group → Group membership modified
resultDescription	security_result.description	直接對應
AuthenticationProtocol_label	security_result.detection_fields	已合併
NewSd_label	security_result.detection_fields	已合併
OldSd_label	security_result.detection_fields	已合併
agent_agentType_label	security_result.detection_fields	已合併
apiVersion_label	security_result.detection_fields	已合併
associated_admin_units_label	security_result.detection_fields	已合併
auth_label	security_result.detection_fields	已合併
authenticationContextClassReference_detail_label	security_result.detection_fields	已合併
authenticationContextClassReference_id_label	security_result.detection_fields	已合併
authenticationProcessingDetails_label	security_result.detection_fields	已合併
authenticationProtocol_label	security_result.detection_fields	已合併
correlationId_label	security_result.detection_fields	已合併
correlationId_label2	security_result.detection_fields	已合併
correlationId_label3	security_result.detection_fields	已合併
detail_label	security_result.detection_fields	已合併
detection_ActorContextId	security_result.detection_fields	已合併
detection_ApplicationId	security_result.detection_fields	已合併
detection_InterSystemsId	security_result.detection_fields	已合併
detection_IntraSystemId	security_result.detection_fields	已合併
device_property_label	security_result.detection_fields	已合併
error_code_label	security_result.detection_fields	已合併
expirationRequirement_label	security_result.detection_fields	已合併
extended_property_label	security_result.detection_fields	已合併
logon_guid_label	security_result.detection_fields	已合併
method_label	security_result.detection_fields	已合併
modified_property_label	security_result.detection_fields	已合併
name_label	security_result.detection_fields	已合併
namespace_label	security_result.detection_fields	已合併
network_type_label	security_result.detection_fields	已合併
prop_risk_event_label	security_result.detection_fields	已合併
prop_risk_event_v2_label	security_result.detection_fields	已合併
properties.status.errorCode_label	security_result.detection_fields	已合併
protocol_label	security_result.detection_fields	已合併
record_type_label	security_result.detection_fields	已合併
requestId_label	security_result.detection_fields	已合併
requirement_provider_label	security_result.detection_fields	已合併
riskDetail_label	security_result.detection_fields	已合併
riskEventType_label	security_result.detection_fields	已合併
riskEventTypes_label	security_result.detection_fields	已合併
riskLastUpdatedDateTime_label	security_result.detection_fields	已合併
riskLevelAggregated_label	security_result.detection_fields	已合併
riskLevelDuringSignIn_label	security_result.detection_fields	已合併
riskLevel_label	security_result.detection_fields	已合併
riskState_label	security_result.detection_fields	已合併
riskType_label	security_result.detection_fields	已合併
risk_event_label	security_result.detection_fields	已合併
risk_event_label_v2	security_result.detection_fields	已合併
risk_level_aggregated_label	security_result.detection_fields	已合併
risk_level_during_sign_in_label	security_result.detection_fields	已合併
scopes_label	security_result.detection_fields	已合併
signInSessionStatus_label	security_result.detection_fields	已合併
status_label	security_result.detection_fields	已合併
step_date_label	security_result.detection_fields	已合併
step_detail_label	security_result.detection_fields	已合併
step_requirement_label	security_result.detection_fields	已合併
support_ticket_id_label	security_result.detection_fields	已合併
target_displayName_label	security_result.detection_fields	已合併
target_label	security_result.detection_fields	已合併
target_type	security_result.detection_fields	對應：Policy → target_displayName_label、Policy → target_label、Policy → `modifi...
ticket_encryption_type_label	security_result.detection_fields	已合併
ticket_options_label	security_result.detection_fields	已合併
transmitted_services_label	security_result.detection_fields	已合併
operationName	security_result.priority	對應：Sign-in activity → MEDIUM_PRIORITY
additional_fields	security_result.rule_labels	已合併
isCompliant_label	security_result.rule_labels	已合併
is_compliant_label	security_result.rule_labels	已合併
level	security_result.severity	對應："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
operationName	security_result.severity	對應：Sign-in activity → ERROR
record_Level	security_result.severity	對應："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
record_level	security_result.severity	對應："INFORMATION", "INFORMATIONAL", "0", "4" → INFORMATIONAL、"WARNING", "1", "3" ...
level	security_result.severity_details	直接對應
record_Level	security_result.severity_details	直接對應
record_level	security_result.severity_details	直接對應
AzureActiveDirectoryEventType	security_result.summary	對應：0 → Account Logon，1 → Azure Application AuditEvent
activityDisplayName	security_result.summary	直接對應
errorCode	security_result.summary	對應：0 → Successful login occurred
operationName	security_result.summary	對應：Sign-in activity → Successful login occurred、Sign-in activity → `Failed login...
properties.activity	security_result.summary	直接對應
properties.activityDisplayName	security_result.summary	直接對應
properties.result	security_result.summary	直接對應
properties_status_errorCode	security_result.summary	對應：0 → Successful login occurred
record_properties_status_errorCode	security_result.summary	對應：0 → Successful login occurred
record_resultType	security_result.summary	對應：0 → Successful login occurred
resultType	security_result.summary	對應：0 → Successful login occurred
TargetDomainName	target.administrative_domain	直接對應
ServiceName	target.application	直接對應
properties.appDisplayName	target.application	直接對應
record_AppDisplayName	target.application	直接對應
record_properties_appDisplayName	target.application	直接對應
record_AppId	target.asset.asset_id	直接對應
modified_property_label	target.asset.attribute.labels	已合併
target_displayName_label	target.asset.attribute.labels	已合併
target_label	target.asset.attribute.labels	已合併
target_type	target.asset.attribute.labels	對應：Device → target_displayName_label、Device → target_label、Device → `modifi...
WorkstationName	target.asset.hostname	直接對應
authenticationDetail.value	target.asset.hostname	直接對應
ClientIP	target.asset.ip	已合併
modifiedProperty.newValue	target.group.group_display_name	直接對應
modifiedProperty.newValue	target.group.product_object_id	直接對應
properties.targetResources.modifiedProperties.0.newValue	target.group.product_object_id	直接對應
WorkstationName	target.hostname	直接對應
authenticationDetail.value	target.hostname	直接對應
ClientIP	target.ip	已合併
ip	target.ip	已合併
properties_regionScope	target.location.country_or_region	直接對應
record_properties_UDI_RequiredFields_RegionScope	target.location.country_or_region	直接對應
record_properties_location	target.location.name	直接對應
ProcessName	target.process.file.full_path	直接對應
LogonProcessName	target.process.file.names	已合併
ProcessId	target.process.pid	直接對應
__UDI_RequiredFields_EventTime	target.resource.attribute.labels	已合併
__UDI_RequiredFields_TenantId	target.resource.attribute.labels	已合併
__UDI_RequiredFields_UniqueId	target.resource.attribute.labels	已合併
_label	target.resource.attribute.labels	已合併
add_label	target.resource.attribute.labels	已合併
additional_homeTenantId	target.resource.attribute.labels	已合併
additional_resourceServicePrincipalId	target.resource.attribute.labels	已合併
app_owner_tenant_id_label	target.resource.attribute.labels	已合併
conditionalAccessStatus	target.resource.attribute.labels	已合併
detection_TargetContextId	target.resource.attribute.labels	已合併
handleId	target.resource.attribute.labels	已合併
homeTenantId_label	target.resource.attribute.labels	已合併
homeTenantName_label	target.resource.attribute.labels	已合併
home_tenant_id_label	target.resource.attribute.labels	已合併
home_tenant_name_label	target.resource.attribute.labels	已合併
internal_workspace_label	target.resource.attribute.labels	已合併
item_id_label	target.resource.attribute.labels	已合併
label	target.resource.attribute.labels	已合併
lmPackageNameLabel_label	target.resource.attribute.labels	已合併
modified_property_label	target.resource.attribute.labels	已合併
objectServer	target.resource.attribute.labels	已合併
old_label	target.resource.attribute.labels	已合併
operationId_label	target.resource.attribute.labels	已合併
operationName	target.resource.attribute.labels	對應：Add member to group → add_label
operationType_label	target.resource.attribute.labels	已合併
properties_resourceTenantId_label	target.resource.attribute.labels	已合併
record_properties_appId_label	target.resource.attribute.labels	已合併
requestId_label	target.resource.attribute.labels	已合併
resourceOwnerTenantId_label	target.resource.attribute.labels	已合併
resource_display_name_label	target.resource.attribute.labels	已合併
resource_group_label	target.resource.attribute.labels	已合併
resource_id_label	target.resource.attribute.labels	已合併
resource_identity_label	target.resource.attribute.labels	已合併
resource_label	target.resource.attribute.labels	已合併
resource_owner_tenant_id_label	target.resource.attribute.labels	已合併
resource_service_principal_id_label	target.resource.attribute.labels	已合併
resource_tenant_id_label	target.resource.attribute.labels	已合併
resultSignature_label	target.resource.attribute.labels	已合併
resultSignature_label1	target.resource.attribute.labels	已合併
service_principal_id_label	target.resource.attribute.labels	已合併
source_label	target.resource.attribute.labels	已合併
target_displayName_label	target.resource.attribute.labels	已合併
target_label	target.resource.attribute.labels	已合併
target_logon_id_label	target.resource.attribute.labels	已合併
target_type_label	target.resource.attribute.labels	已合併
temp_resourceId	target.resource.attribute.labels	已合併
tenant_id_label	target.resource.attribute.labels	已合併
tokenIssuerType_label	target.resource.attribute.labels	已合併
uniqueTokenIdentifier_label	target.resource.attribute.labels	已合併
user_type_label	target.resource.attribute.labels	已合併
ObjectName	target.resource.name	直接對應
properties.SignInBondData.DisplayDetails.ResourceDisplayName	target.resource.name	直接對應
properties.resourceDisplayName	target.resource.name	已重新命名/對應
resourceDisplayName	target.resource.name	已重新命名/對應
field.newValue	target.resource.product_object_id	直接對應
record_resourceId	target.resource.product_object_id	直接對應
resourceId	target.resource.product_object_id	直接對應
ObjectType	target.resource.resource_subtype	直接對應
target.type	target.resource.type	直接對應
%{ServiceSid}	target.resource.user.windows_sid	已合併
record_properties_identityProvider	target.url	直接對應
value	target.url	直接對應
modified_property_label	target.user.attribute.labels	已合併
target_label	target.user.attribute.labels	已合併
target_type	target.user.attribute.labels	對應：User → target_label，User → modified_property_label
user_display_name_label	target.user.attribute.labels	已合併
record_properties_userPrincipalName	target.user.email_addresses	對應：^.+@.+$ → record_properties_userPrincipalName
target_displayName	target.user.email_addresses	對應：^.+@.+$ → target_displayName
target_userPrincipalName	target.user.email_addresses	對應：^.+@.+$ → target_userPrincipalName
userPrincipalName	target.user.email_addresses	對應：^.+@.+$ → userPrincipalName
groupInfo	target.user.group_identifiers	已合併
operationName	target.user.group_identifiers	對應：Add member to group → groupInfo
properties.servicePrincipalId	target.user.product_object_id	直接對應
properties.targetResources.0.id	target.user.product_object_id	直接對應
properties.userId	target.user.product_object_id	直接對應
record_properties_userId	target.user.product_object_id	直接對應
userId	target.user.product_object_id	直接對應
record_Identity	target.user.user_display_name	直接對應
record_identity	target.user.user_display_name	直接對應
targetUser	target.user.user_display_name	直接對應
target_displayName	target.user.user_display_name	直接對應
target_userPrincipalName	target.user.user_display_name	直接對應
TargetUserName	target.user.userid	直接對應
properties.alternateSignInName	target.user.userid	直接對應
properties.servicePrincipalName	target.user.userid	直接對應
properties.userId	target.user.userid	直接對應
properties.userPrincipalName	target.user.userid	直接對應
record_AlternateSignInName	target.user.userid	直接對應
signInIdentifier	target.user.userid	直接對應
userPrincipalName	target.user.userid	直接對應
TargetSid	target.user.windows_sid	直接對應
TargetUserSid	target.user.windows_sid	直接對應
不適用	extensions.auth.type	常數：AUTHTYPE_UNSPECIFIED
不適用	metadata.event_type	常數：STATUS_UPDATE
不適用	metadata.product_name	常數：Azure AD
不適用	metadata.vendor_name	常數：Microsoft
不適用	network.http.parsed_user_agent	常數：parseduseragent
不適用	principal.platform	常數：WINDOWS
不適用	security_result.description	常數：Group membership modified
不適用	security_result.priority	常數：MEDIUM_PRIORITY
不適用	security_result.severity	常數：INFORMATIONAL
不適用	security_result.summary	常數：Successful login occurred

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。