收集適用於端點的 Microsoft Defender 記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Microsoft Defender for Endpoint (進階威脅防護) 記錄檔擷取至 Google Security Operations。

適用於端點的 Microsoft Defender 是企業端點安全平台，提供預防性保護、入侵後偵測、自動調查和回應功能。這項服務會產生快訊、事件、裝置清單和進階搜尋遙測資料，並透過 Microsoft Security API 串流至外部儲存空間，以便在 Google SecOps 中進行分析。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • Microsoft 365 E5 或適用於端點的 Microsoft Defender P2 授權
  • Microsoft Entra ID (Azure AD) 中的全域管理員或安全性管理員角色
  • 在 Microsoft Entra ID 中註冊的應用程式，並具備必要的 API 權限

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 defender-atp-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取最接近 Google SecOps 執行個體的位置
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

在 Microsoft Entra ID 中註冊應用程式

  1. 登入 Microsoft Entra 系統管理中心。
  2. 依序前往「身分識別」>「應用程式」>「應用程式註冊」。
  3. 按一下 [新增註冊]。
  4. 請提供下列設定詳細資料：
    • 名稱：輸入描述性名稱 (例如 SecOps-Defender-ATP-Integration)
    • 支援的帳戶類型：選取「僅限這個機構組織目錄中的帳戶」
    • 重新導向 URI：留空
  5. 按一下「註冊」。
  6. 在應用程式總覽頁面中，複製並儲存下列值：
    • 應用程式 (用戶端) ID
    • 目錄 (租戶) ID

建立用戶端密鑰

  1. 在應用程式頁面中，前往「Certificates & secrets」。
  2. 按一下 [新增用戶端密碼]。
  3. 請提供下列設定詳細資料：
    • 說明：輸入 SecOps Integration Secret
    • 到期：選取到期期限 (例如 24 個月)
  4. 按一下「新增」。

  5. 立即複製並儲存用戶端密鑰的「值」。

授予 API 權限

  1. 在應用程式頁面中，前往「API permissions」。
  2. 按一下「新增權限」。
  3. 選取「貴機構使用的 API」。
  4. 搜尋並選取「WindowsDefenderATP」WindowsDefenderATP。
  5. 選取「應用程式權限」。
  6. 選取下列權限：
    • Alert.Read.All - 讀取所有快訊
    • Machine.Read.All - 讀取所有電腦資訊
    • SecurityRecommendation.Read.All - 讀取安全性建議
    • Vulnerability.Read.All - 讀取安全漏洞資訊
    • AdvancedQuery.Read.All - 執行進階查詢
  7. 按一下「Add permissions」。
  8. 按一下「Grant admin consent for (your organization)」。
  9. 按一下「是」確認。

驗證權限

  1. 在「API 權限」頁面中，確認「狀態」欄中的所有權限都顯示「已授予 (貴機構)」。
  2. 如果任何權限顯示「未授予」，請再次按一下「授予系統管理員同意」。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    TENANT_ID="<your-tenant-id>"
CLIENT_ID="<your-client-id>"
CLIENT_SECRET="<your-client-secret>"

# Get OAuth token
TOKEN=$(curl -s -X POST "https://login.microsoftonline.com/${TENANT_ID}/oauth2/v2.0/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "client_id=${CLIENT_ID}&scope=https://api.securitycenter.microsoft.com/.default&client_secret=${CLIENT_SECRET}&grant_type=client_credentials" | python3 -c "import sys,json;print(json.load(sys.stdin)['access_token'])")

# Test API access
curl -s -H "Authorization: Bearer ${TOKEN}" "https://api.securitycenter.microsoft.com/api/alerts?\$top=1" | python3 -m json.tool

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限，且可由 Pub/Sub 叫用的服務帳戶。

建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 defender-atp-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Microsoft Defender for Endpoint logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

這些角色適用於：

  • Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
  • Cloud Run 叫用者：允許 Pub/Sub 叫用函式
  • Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

將 GCS bucket 的寫入權限授予服務帳戶：

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 點按 bucket 名稱 (例如 defender-atp-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (例如 defender-atp-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，Cloud Scheduler 會將訊息發布至該主題，而 Cloud Run 函式會訂閱該主題。

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 defender-atp-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Microsoft Defender for Endpoint API 擷取記錄，並寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 defender-atp-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「Select a Cloud Pub/Sub topic」(選取 Cloud Pub/Sub 主題) 中，選擇 defender-atp-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取 defender-atp-collector-sa

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET defender-atp-logs GCS bucket 名稱
    GCS_PREFIX defender-atp 記錄檔的前置字串
    STATE_KEY defender-atp/state.json 狀態檔案路徑
    TENANT_ID your-tenant-id Microsoft Entra ID 租戶 ID
    CLIENT_ID your-client-id 應用程式 (用戶端) ID
    CLIENT_SECRET your-client-secret 用戶端密鑰值
    MAX_RECORDS 10000 每次執行的記錄數上限
    PAGE_SIZE 1000 每個 API 頁面的記錄
    LOOKBACK_HOURS 24 初始回溯期

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。

  2. 在內嵌程式碼編輯器中，建立兩個檔案：

    • 第一個檔案 main.py:

      import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=5.0, read=30.0),
  retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'defender-atp')
STATE_KEY = os.environ.get('STATE_KEY', 'defender-atp/state.json')
TENANT_ID = os.environ.get('TENANT_ID')
CLIENT_ID = os.environ.get('CLIENT_ID')
CLIENT_SECRET = os.environ.get('CLIENT_SECRET')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '10000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))

def get_access_token(tenant_id, client_id, client_secret):
  """Get OAuth 2.0 access token from Microsoft Entra ID."""
  token_url = f"https://login.microsoftonline.com/{tenant_id}/oauth2/v2.0/token"
  body = (
    f"client_id={client_id}"
    f"&scope=https%3A%2F%2Fapi.securitycenter.microsoft.com%2F.default"
    f"&client_secret={client_secret}"
    f"&grant_type=client_credentials"
  )
  headers = {'Content-Type': 'application/x-www-form-urlencoded'}
  response = http.request('POST', token_url, body=body.encode('utf-8'), headers=headers)
  if response.status != 200:
    raise Exception(f"Token request failed: {response.status} - {response.data.decode('utf-8')}")
  token_data = json.loads(response.data.decode('utf-8'))
  return token_data['access_token']

def parse_datetime(value):
  """Parse ISO datetime string to datetime object."""
  if value.endswith("Z"):
    value = value[:-1] + "+00:00"
  return datetime.fromisoformat(value)

@functions_framework.cloud_event
def main(cloud_event):
  """Cloud Run function triggered by Pub/Sub to fetch Defender for Endpoint logs."""
  if not all([GCS_BUCKET, TENANT_ID, CLIENT_ID, CLIENT_SECRET]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket, STATE_KEY)

    now = datetime.now(timezone.utc)
    last_time = None

    if isinstance(state, dict) and state.get("last_event_time"):
      try:
        last_time = parse_datetime(state["last_event_time"])
        last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")

    if last_time is None:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(f"Fetching alerts from {last_time.isoformat()} to {now.isoformat()}")

    token = get_access_token(TENANT_ID, CLIENT_ID, CLIENT_SECRET)

    records, newest_event_time = fetch_alerts(
      token=token,
      start_time=last_time,
      end_time=now,
      page_size=PAGE_SIZE,
      max_records=MAX_RECORDS,
    )

    if not records:
      print("No new alert records found.")
      save_state(bucket, STATE_KEY, now.isoformat())
      return

    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join([json.dumps(record, ensure_ascii=False) for record in records]) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

    if newest_event_time:
      save_state(bucket, STATE_KEY, newest_event_time)
    else:
      save_state(bucket, STATE_KEY, now.isoformat())

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def load_state(bucket, key):
  """Load state from GCS."""
  try:
    blob = bucket.blob(key)
    if blob.exists():
      state_data = blob.download_as_text()
      return json.loads(state_data)
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, key, last_event_time_iso):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {'last_event_time': last_event_time_iso}
    blob = bucket.blob(key)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

def fetch_alerts(token, start_time, end_time, page_size, max_records):
  """Fetch alerts from Microsoft Defender for Endpoint API with pagination."""
  base_url = "https://api.securitycenter.microsoft.com/api/alerts"
  headers = {
    'Authorization': f'Bearer {token}',
    'Accept': 'application/json',
    'Content-Type': 'application/json',
  }

  start_iso = start_time.strftime('%Y-%m-%dT%H:%M:%SZ')
  end_iso = end_time.strftime('%Y-%m-%dT%H:%M:%SZ')

  filter_query = f"alertCreationTime ge {start_iso} and alertCreationTime le {end_iso}"
  url = f"{base_url}?$filter={filter_query}&$top={page_size}&$orderby=alertCreationTime asc"

  records = []
  newest_time = None
  page_num = 0
  backoff = 1.0

  while url:
    page_num += 1

    if len(records) >= max_records:
      print(f"Reached max_records limit ({max_records})")
      break

    try:
      response = http.request('GET', url, headers=headers)

      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 30.0)
        continue

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return [], None

      data = json.loads(response.data.decode('utf-8'))
      page_results = data.get('value', [])

      if not page_results:
        print(f"No more results (empty page)")
        break

      print(f"Page {page_num}: Retrieved {len(page_results)} alerts")
      records.extend(page_results)

      for alert in page_results:
        try:
          event_time = alert.get('alertCreationTime')
          if event_time:
            if newest_time is None or parse_datetime(event_time) > parse_datetime(newest_time):
              newest_time = event_time
        except Exception as e:
          print(f"Warning: Could not parse event time: {e}")

      url = data.get('@odata.nextLink')

    except Exception as e:
      print(f"Error fetching alerts: {e}")
      return [], None

  print(f"Retrieved {len(records)} total records from {page_num} pages")
  return records, newest_time

    • 第二個檔案 requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 defender-atp-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取「defender-atp-trigger」
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 5 分鐘 */5 * * * * 大量低延遲
每 15 分鐘 */15 * * * * 中等
每小時 0 * * * * 標準 (建議)
每 6 小時 0 */6 * * * 少量、批次處理

測試整合項目

  1. 在 Cloud Scheduler 控制台中找出您的工作。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下 defender-atp-collector。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否已順利執行。尋找：

    Fetching alerts from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Page 1: Retrieved X alerts
Wrote X records to gs://defender-atp-logs/defender-atp/logs_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 點按 bucket 名稱 (例如 defender-atp-logs)。

  10. 前往 defender-atp/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401：檢查環境變數中的 API 憑證 (TENANT_ID、CLIENT_ID、CLIENT_SECRET)
  • HTTP 403：確認應用程式具備必要的 API 權限，且已授予管理員同意聲明
  • HTTP 429：頻率限制 - 函式會自動重試，並延遲一段時間
  • 缺少環境變數：檢查是否已設定所有必要變數

擷取 Google SecOps 服務帳戶

Google SecOps 會使用專屬服務帳戶，從 GCS bucket 讀取資料。您必須授予這個服務帳戶值區存取權。

取得服務帳戶電子郵件地址

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Defender ATP Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「適用於端點的 Microsoft Defender」做為「記錄類型」。
  7. 按一下「取得服務帳戶」。

  8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 複製這個電子郵件地址，以便在下一步中使用。

  10. 點選「下一步」。

  11. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://defender-atp-logs/defender-atp/

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。
      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

  12. 點選「下一步」。

  13. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 點按 bucket 名稱 (例如 defender-atp-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」

  6. 按一下 [儲存]。

UDM 對應表

記錄欄位 UDM 對應 邏輯
metadata.vendor_name metadata.vendor_name UDM 欄位設為 Microsoft。
metadata.product_name metadata.product_name UDM 欄位設為「適用於端點的 Microsoft Defender」。
id metadata.product_log_id ID 記錄欄位會對應至 metadata.product_log_id UDM 欄位。
alertCreationTime metadata.event_timestamp alertCreationTime 記錄欄位會對應至 metadata.event_timestamp UDM 欄位。
title security_result.summary 標題記錄欄位會對應至 security_result.summary UDM 欄位。
說明 security_result.description 說明記錄欄位會對應至 security_result.description UDM 欄位。
category security_result.category_details 類別記錄欄位會對應至 security_result.category_details UDM 欄位。
嚴重性 security_result.severity 嚴重性記錄欄位會對應至 security_result.severity UDM 欄位。
狀態 security_result.detection_fields[status] 狀態記錄欄位會對應至 security_result.detection_fields UDM 欄位。
將內容分類 security_result.detection_fields[classification] 分類記錄欄位會對應至 security_result.detection_fields UDM 欄位。
判定 security_result.detection_fields[determination] determination log 欄位會對應至 security_result.detection_fields UDM 欄位。
investigationState security_result.detection_fields[investigationState] investigationState 記錄欄位會對應至 security_result.detection_fields UDM 欄位。
computerDnsName principal.hostname computerDnsName 記錄欄位會對應至 principal.hostname UDM 欄位。
machineId principal.asset.asset_id machineId 記錄欄位會對應至 principal.asset.asset_id UDM 欄位。
relatedUser.userName principal.user.userid relatedUser.userName 記錄欄位會對應至 principal.user.userid UDM 欄位。
relatedUser.domainName principal.administrative_domain relatedUser.domainName 記錄欄位會對應至 principal.administrative_domain UDM 欄位。
threatName security_result.threat_name threatName 記錄欄位會對應至 security_result.threat_name UDM 欄位。
threatFamilyName security_result.threat_name threatFamilyName 記錄欄位會對應至 security_result.threat_name UDM 欄位。
detectionSource security_result.detection_fields[detectionSource] detectionSource 記錄欄位會對應至 security_result.detection_fields UDM 欄位。
證據 security_result.detection_fields[evidence] 證據記錄欄位會對應至 security_result.detection_fields UDM 欄位。
properties.Application principal.application 從變更記錄對應
properties.AccountDisplayName principal.user.user_display_name 從變更記錄對應
properties.AccountId principal.user.product_object_id 從變更記錄對應
properties.AccountType principal.user.attribute.labels 從變更記錄對應
properties.UserAgent network.http.user_agent 從變更記錄對應
properties.RawEventData.Id", "properties.RawEventData.item.id", "properties.RawEventData.ParentFolder.Id", "properties.AppInstanceId", "properties.ActivityType", "properties.ActivityObjects", "properties.ApplicationId", "properties.DeviceType", "properties.EnforcementMode", "properties.IsAnonymousProxy", "properties.IsAdminOperation", "properties.IsExternalUser", "properties.IsImpersonated", "properties.RawEventData.MDATPDeviceId", "properties.AdditionalFields.IsSatelliteProvider", "properties.RawEventData.DestinationLocationType", "properties.RawEventData.CreationTime", "properties.RawEventData.FileExtension", "properties.RawEventData.Hidden", "properties.RawEventData.FileType", "properties.IPCategory", "properties.ISP", "properties.IPTags", "properties.RawEventData.UserType", "properties.RawEventData.Version" and "properties.RawEventData.Workload", "properties.UserAgentTags", "operationName", "properties.ObjectType", "properties.RawEventData.Operation", "properties.ObjectName", "properties.RawEventData.Scope","properties.RawEventData.ClientProcessName", "properties.RawEventData.ClientInfoString", "properties.RawEventData.ClientRequestId", "properties.RawEventData.ClientVersion", "properties.RawEventData.ExternalAccess", "properties.RawEventData.LogonType", "properties.RawEventData.LogonUserSid", "properties.RawEventData.MailboxGuid", and "properties.RawEventData.UserKey additional.fields 從變更記錄對應
properties.RawEventData.ClientIP" and "properties.IPAddress principal.ip 從變更記錄對應
properties.RawEventData.DeviceName principal.hostname 從變更記錄對應
metadata.event_type FILE_CREATION 從變更記錄對應
properties.AccountObjectId principal.user.userid 從變更記錄對應
properties.CountryCode principal.location.country_or_region 從變更記錄對應
properties.City principal.location.city 從變更記錄對應
properties.RawEventData.Application principal.application 從變更記錄對應
properties.RawEventData.TargetFilePath target.file.full_path 從變更記錄對應
properties.IPAddress principal.ip 從變更記錄對應
properties.ApplicationId additional.fields 從變更記錄對應
properties.RawEventData.FileExtension additional.fields 從變更記錄對應
properties.RawEventData.MDATPDeviceId additional.fields 從變更記錄對應
properties.RawEventData.FileType additional.fields 從變更記錄對應
properties.RawEventData.Sha1 target.process.file.sha1 從變更記錄對應
properties.RawEventData.Sha256 target.process.file.sha256 從變更記錄對應
properties.RawEventData.FileSize target.process.file.size 從變更記錄對應
metadata.entity_type ASSET 從變更記錄對應
properties.DeviceId entity.asset.asset_id 從變更記錄對應
AdditionalFields" and "properties.AdditionalFields principal.resource.attribute.labels 從變更記錄對應
tenantId resource_ancestors.product_object_id 從變更記錄對應
properties.RawEventData.Sha1 principal.process.file.sha1 從變更記錄對應
properties.RawEventData.Sha256 principal.process.file.sha256 從變更記錄對應
properties.RawEventData.FileSize principal.process.file.size 從變更記錄對應
properties.InitiatingProcessVersionInfoCompanyName principal.user.company_name 從變更記錄對應
properties.InitiatingProcessVersionInfoProductVersion metadata.product_version 從變更記錄對應
properties.InitiatingProcessVersionInfoInternalFileName principal.resource.attribute.labels 從變更記錄對應
properties.InitiatingProcessVersionInfoOriginalFileName principal.resource.attribute.labels 從變更記錄對應
properties.properties.InitiatingProcessVersionInfoFileDescription principal.resource.attribute.labels 從變更記錄對應
properties.AlertId metadata.product_log_id 從變更記錄對應
properties.ReportId target.resource.product_object_id 從變更記錄對應
properties.DeviceId principal.asset_id 從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。