VMware AirWatch-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie VMware Airwatch-Logs (VMware Workspace ONE UEM) mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Daten zu Sicherheitsereignissen aus den Logs in verschiedenen Formaten (SYSLOG + KV, CEF). Zuerst wird versucht, die Log-Nachricht mithilfe einer Reihe von Grok-Mustern zu parsen, die speziell für AirWatch-Logstrukturen entwickelt wurden. Anschließend werden Schlüssel/Wert-Paare aus den Ereignisdaten extrahiert und den UDM-Feldern (Unified Data Model) zugeordnet. Dabei werden Ereignisse kategorisiert und mit Kontextinformationen für die Sicherheitsanalyse angereichert.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows 2016 oder höher oder ein Linux-Host mit systemd
  • Wenn die Ausführung hinter einem Proxy erfolgt, müssen die Firewallports geöffnet sein.
  • Privilegierter Zugriff auf VMware Airwatch

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Rufen Sie die Konfigurationsdatei auf:
    • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'AIRWATCH'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog für VMware Airwatch (VMware Workspace ONE UEM) konfigurieren

  1. Melden Sie sich in der VMware AirWatch-Web-UI an.
  2. Gehen Sie zu Monitor> „Berichte und Analysen“ > „Ereignisse“ > „Syslog“.
  3. Geben Sie die folgenden Konfigurationsdetails an:
    • Syslog Integration (Syslog-Integration): Wählen Sie Enabled (Aktiviert) aus.
    • Hostname: Geben Sie die IP-Adresse des BindPlane-Agents ein.
    • Protokoll: Wählen Sie UDP aus.
    • Port: Geben Sie die Portnummer des Bindplane-Agents ein.
    • Message Tag (Nachrichtentag): Geben Sie Airwatch ein.
    • Nachrichteninhalt: Übernehmen Sie die Standardeinstellung.
  4. Rufen Sie den Tab Erweitert auf.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Console Events (Konsolenereignisse): Wählen Sie Enable (Aktivieren) aus.
    • Select Console Events to Send to Syslog (Konsolenereignisse auswählen, die an Syslog gesendet werden sollen): Klicken Sie auf Select All (Alle auswählen).
    • Geräteereignisse: Wählen Sie Aktivieren aus.
    • Geräteereignisse auswählen, die an Syslog gesendet werden sollen: Klicken Sie auf Alle auswählen.
  6. Klicken Sie auf Speichern.
  7. Klicken Sie auf Test Connection.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
AdminAccount principal.user.userid Der Wert wird aus dem Feld „AdminAccount“ im Rohlog übernommen.
Application target.application Der Wert wird aus dem Feld „Anwendung“ im Rohlog übernommen.
ApplicationUUID additional.fields[].value.string_value Der Wert wird aus dem Feld „ApplicationUUID“ im Rohlog übernommen. Der Schlüssel ist auf „ApplicationUUID“ gesetzt.
BytesReceived network.received_bytes Der Wert wird aus dem Feld „BytesReceived“ im Rohlog übernommen.
Device target.hostname Der Wert wird aus dem Feld „Device“ (Gerät) im Rohlog übernommen.
DeviceEventLogDescription metadata.description Der Wert wird aus dem Feld „DeviceEventLogDescription“ im Rohlog übernommen.
Enrollment User principal.user.userid Der Wert wird aus dem Feld „Enrollment User“ (Registrierungsnutzer) im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: AppCatalogLaunch, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
Event Category additional.fields[].value.string_value Der Wert wird aus dem Feld „Event Category“ (Ereigniskategorie) im Rohlog übernommen. Der Schlüssel wird auf „Ereigniskategorie“ festgelegt.
Event Module additional.fields[].value.string_value Der Wert wird aus dem Feld „Event Module“ im Rohlog übernommen. Der Schlüssel wird auf „Event Module“ (Ereignismodul) festgelegt.
Event Source additional.fields[].value.string_value Der Wert wird aus dem Feld „Event Source“ (Ereignisquelle) im Rohlog übernommen. Der Schlüssel wird auf „Event Source“ (Ereignisquelle) festgelegt.
Event Timestamp metadata.event_timestamp.seconds Der Wert wird aus dem Feld „Event Timestamp“ (Zeitstempel des Ereignisses) im Rohlog übernommen.
FriendlyName target.hostname Der Wert wird aus dem Feld „FriendlyName“ im Rohlog übernommen.
GroupManagementData security_result.description Der Wert wird aus dem Feld „GroupManagementData“ im Rohlog übernommen.
Hmac additional.fields[].value.string_value Der Wert wird aus dem Feld „Hmac“ im Rohlog übernommen. Der Schlüssel ist auf „Hmac“ gesetzt.
LoginSessionID network.session_id Der Wert wird aus dem Feld „LoginSessionID“ im Rohlog übernommen.
MessageText metadata.description Der Wert wird aus dem Feld „MessageText“ im Rohlog übernommen.
OriginatingOrganizationGroup principal.user.group_identifiers Der Wert wird aus dem Feld „OriginatingOrganizationGroup“ im Rohlog übernommen.
OwnershipType additional.fields[].value.string_value Der Wert wird aus dem Feld „OwnershipType“ im Rohlog übernommen. Der Schlüssel ist auf „OwnershipType“ festgelegt.
Profile target.resource.name Der Wert wird aus dem Profilfeld im Rohlog übernommen.
ProfileName target.resource.name Der Wert wird aus dem Feld „ProfileName“ im Rohlog übernommen.
Request Url target.url Der Wert wird aus dem Feld „Request Url“ (Anfrage-URL) im Rohlog übernommen.
SmartGroupName target.group.group_display_name Der Wert wird aus dem Feld „SmartGroupName“ im Rohlog übernommen.
Tags additional.fields[].value.string_value Der Wert wird aus dem Feld „Tags“ im Rohlog übernommen. Der Schlüssel ist auf „Tags“ festgelegt.
User target.user.userid Der Wert wird aus dem Feld „User“ im Rohlog übernommen, wenn „event_name“ „SSPUserLoginAttemptFailed“ ist.
event_name metadata.product_event_type Der Wert wird aus dem Feld „Event“ im Rohlog übernommen.
extensions.auth.type Der Wert wird auf „SSO“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: AdminUserLoggedIn, SSPUserLoginAttemptFailed, AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
is_alert Der Wert wird auf „true“ gesetzt, wenn „event_name“ einer der folgenden Werte ist: „ComplianceStatusChanged“, „DeviceProfileTypeBlocked“, „ComplianceActionTaken“.
is_significant Der Wert wird auf „true“ gesetzt, wenn „event_name“ „ComplianceStatusChanged“ ist.
is_significant Der Wert wird auf „false“ festgelegt, wenn „event_name“ „DeviceProfileTypeBlocked“ ist.
metadata.event_type Der Wert wird auf „GENERIC_EVENT“ festgelegt, wenn event_name „SecureChannelCheckIn“ ist.
metadata.event_type Der Wert wird auf „GROUP_CREATION“ festgelegt, wenn „event_name“ „ApplicationGroupCreated“ ist.
metadata.event_type Der Wert wird auf „GROUP_DELETION“ festgelegt, wenn „event_name“ „SmartGroupsDeleted“ ist.
metadata.event_type Der Wert wird auf „GROUP_MODIFICATION“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „SmartGroupsModified“, „ApplicationGroupAssignmentModified“.
metadata.event_type Der Wert wird auf „NETWORK_CONNECTION“ festgelegt, wenn das Feld „event_data“ „session“ enthält und das Feld „hash_value“ mit „org“ endet.
metadata.event_type Der Wert wird auf „NETWORK_CONNECTION“ gesetzt, wenn die Felder „principal_hostname“ oder „src_ip“ nicht leer sind und die Felder „target_hostname“ oder „target_ip“ nicht leer sind.
metadata.event_type Der Wert wird auf „SETTING_DELETION“ festgelegt, wenn „event_name“ „Revoked“ ist und das Feld „event_data“ nicht „Certificate“ enthält.
metadata.event_type Der Wert wird auf „SETTING_MODIFICATION“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „DeviceAttributeDeviceMCCModified“, „DeviceAttributePhoneNumberModified“, „ComplianceStatusChanged“, „DeviceProfileTypeBlocked“, „DeviceProfileTypeUnblocked“.
metadata.event_type Der Wert wird auf „STATUS_UNCATEGORIZED“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „AppListSampleRefused“, „CertificateListSampleRefused“, „DeviceInformationRefused“, „ProfileListRefused“, „SecurityInformation“, „StartACMRequested“, „AvailableOSUpdatesList“, „AvailableOsUpdatesConfirmed“, „AvailableOsUpdatesRequested“.
metadata.event_type Der Wert wird auf „STATUS_UPDATE“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „BreakMDMRequested“, „CertificateIssued“, „CompromisedStatusChanged“, „SecureChannelCheckIn“, „EditDevice“.
metadata.event_type Der Wert wird auf „USER_LOGOUT“ festgelegt, wenn event_name einer der folgenden Werte ist: AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
metadata.event_type Der Wert wird auf „USER_LOGIN“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „AdminUserLoggedIn“, „SSPUserLoginAttemptFailed“.
metadata.event_type Der Wert wird auf „USER_RESOURCE_ACCESS“ gesetzt, wenn das Feld „request_url“ nicht leer ist.
metadata.event_type Der Wert wird auf „USER_RESOURCE_ACCESS“ festgelegt, wenn „event_name“ „AppCatalogLaunch“ ist.
metadata.event_type Der Wert wird auf „USER_RESOURCE_CREATION“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „ApplicationDownload“, „EnrollmentComplete“, „InstallApplicationConfirmed“, „InstallProfileConfirmed“.
metadata.event_type Der Wert wird auf „USER_RESOURCE_DELETION“ festgelegt, wenn event_name einer der folgenden Werte ist: BreakMDMConfirmed, RemoveProfileConfirmed.
metadata.event_type Der Wert wird auf „USER_RESOURCE_UPDATE_CONTENT“ festgelegt, wenn event_name einer der folgenden Werte ist: ProfileModified, ProfilePublished, ProfileSetToInactive, ProfileVersionAdded, RestrictionPayloadModified, DeviceOperatingSystemChanged.
metadata.event_type Der Wert wird auf „USER_RESOURCE_UPDATE_PERMISSIONS“ festgelegt, wenn „event_name“ „EULAAccepted“ ist.
metadata.event_type Der Wert wird auf „USER_UNCATEGORIZED“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: Revoked, ComplianceNotificationSent, DeleteDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, InstallProfileConfirmed, TagAssignmentChanged.
metadata.log_type Der Wert ist auf „AIRWATCH“ festgelegt.
metadata.product_name Der Wert ist auf „AirWatch“ festgelegt.
metadata.vendor_name Der Wert ist auf „VMWare“ festgelegt.
network.application_protocol Der Wert wird auf „HTTP“ festgelegt, wenn das Feld „application_protocol“ „HTTP“ enthält.
network.http.method Der Wert wird aus dem Feld „method_url“ im Rohlog übernommen.
network.http.referral_url Der Wert wird aus dem Feld „referral_url“ im Rohlog entnommen.
network.http.response_code Der Wert wird aus dem Feld „http_status“ im Rohlog übernommen.
network.http.user_agent Der Wert wird aus dem Feld „user_agent“ im Rohlog übernommen.
network.ip_protocol Der Wert wird auf „TCP“ gesetzt, wenn das Protokollfeld „TCP“ lautet.
network.ip_protocol Der Wert wird auf „UDP“ gesetzt, wenn das Protokollfeld „UDP“ lautet.
principal.administrative_domain Der Wert wird aus dem Feld „domain“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: SmartGroupsDeleted, SmartGroupsModified, ProfileModified, ProfilePublished, ProfileSetToInactive, DeleteDeviceRequested, DeviceEnterpriseWipeRequested, InstallProfileRequested, RemoveProfileRequested, FindDeviceRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, UserDeleted.
principal.hostname Der Wert wird aus dem Feld „Hostname“ im Rohlog übernommen.
principal.ip Der Wert wird aus dem Feld „sys_ip“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested.
principal.process.pid Der Wert wird aus dem Feld „process_id“ im Rohlog übernommen.
principal.user.group_identifiers Der Wert wird aus dem Feld „auth_group“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: „AuthTokenIssued“, „AuthTokenRevoked“.
principal.user.user_display_name Der Wert wird aus dem Feld „user_info“ im Rohlog übernommen.
principal.user.userid Der Wert wird aus dem Feld „user_name“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, EditDevice.
security_result.action Der Wert wird auf „ALLOW“ festgelegt, wenn der event_name „DeviceProfileTypeUnblocked“ ist.
security_result.action Der Wert wird auf „BLOCK“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „DeviceProfileTypeBlocked“, „SyncAdminFailure“, „SyncGroupFailureEvent“, „SyncUserFailureEvent“.
security_result.category Der Wert wird auf „AUTH_VIOLATION“ festgelegt, wenn „event_name“ „SSPUserLoginAttemptFailed“ ist.
security_result.category Der Wert wird auf „POLICY_VIOLATION“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „ComplianceStatusChanged“, „DeviceProfileTypeBlocked“, „DeviceProfileTypeUnblocked“, „ComplianceNotificationSent“, „CompromisedStatusChanged“.
security_result.category_details Der Wert wird aus dem Feld „Event Category“ (Ereigniskategorie) im Rohlog übernommen.
security_result.description Der Wert wird aus dem Feld „des“ im Rohlog übernommen, wenn das Beschreibungsfeld eine IP-Adresse enthält.
security_result.description Der Wert wird aus dem Beschreibungsfeld im Rohlog übernommen, wenn das Beschreibungsfeld keine IP-Adresse enthält.
security_result.description Der Wert wird auf „unexpected error occurred, check logs for details“ (Unerwarteter Fehler ist aufgetreten. Weitere Informationen finden Sie in den Logs.) festgelegt, wenn event_name „SyncAdminFailure“ ist.
security_result.description Der Wert wird aus dem Feld „GroupManagementData“ im Rohprotokoll übernommen, wenn „event_name“ „MergeGroupCompletedEvent“ ist.
security_result.summary Der Wert wird aus dem Zusammenfassungsfeld im Rohlog übernommen.
target.administrative_domain Der Wert wird aus dem Feld „domain“ im Rohlog übernommen, wenn „event_name“ „CompliancePolicyModified“ ist.
target.application Der Wert wird aus dem Feld „app_name“ im Rohprotokoll übernommen, wenn „event_name“ einer der folgenden Werte ist: „InstallApplicationRequested“, „ApplicationInstallOnDeviceRequested“, „RemoveApplicationRequested“, „ApplicationAdded“, „ApplicationDeleted“, „ApplicationRemoveFromDeviceRequested“, „ApplicationModified“, „ApplicationPublished“, „ApplicationPublishFailed“, „ApplicationPublishStarted“, „ApplicationVersionAdded“, „ApplicationDownload“, „InstallApplicationConfirmed“.
target.asset_id Der Wert wird auf „device_serial_number:device_udid“ festgelegt, wenn „event_name“ „DeleteDeviceRequested“ ist und die Felder „device_serial_number“ und „device_udid“ nicht leer sind.
target.group.group_display_name Der Wert wird aus dem Feld „ApplicationGroup“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: „ApplicationGroupAssignmentModified“, „ApplicationGroupCreated“.
target.hostname Der Wert wird aus dem Feld „Device“ (Gerät) im Rohlog übernommen, wenn „event_name“ „DeviceLocationGroupChanged“ ist.
target.ip Der Wert wird aus dem Feld „sys_ip“ im Rohlog übernommen, wenn „event_name“ „SSPUserLoginAttemptFailed“ ist.
target.ip Der Wert wird aus dem Feld „target_ip“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: „CompliancePolicyModified“, „CertificateIssued“, „CompromisedStatusChanged“, „AppListSampleRefused“, „CertificateListSampleRefused“, „DeviceInformationRefused“, „ProfileListRefused“, „SecurityInformation“, „SecureChannelCheckIn“, „SecurityInformationConfirmed“, „StartACMConfirmed“, „AdminUserLoggedIn“, „AdminUserLoggedOut“, „AvailableOSUpdatesList“, „AvailableOsUpdatesConfirmed“.
target.port Der Wert wird aus dem Feld „target_port“ im Rohlog übernommen.
target.resource.name Der Wert wird auf „SETTING“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „Revoked“, „CompliancePolicyModified“, „ComplianceStatusChanged“, „DeviceProfileTypeBlocked“, „DeviceProfileTypeUnblocked“.
target.resource.type Der Wert wird auf „APP“ festgelegt, wenn „event_name“ „ApplicationDownload“ ist.
target.resource.type Der Wert wird auf „DEVICE“ festgelegt, wenn „event_name“ „EnrollmentComplete“ ist.
target.resource.type Der Wert wird auf „EULA“ festgelegt, wenn „event_name“ „EULAAccepted“ ist.
target.resource.type Der Wert wird auf „OS“ festgelegt, wenn „event_name“ „DeviceOperatingSystemChanged“ ist.
target.resource.type Der Wert wird auf „PROFILE“ festgelegt, wenn „event_name“ „InstallProfileConfirmed“ ist.
target.resource.type Der Wert wird auf „SETTING“ festgelegt, wenn „event_name“ einer der folgenden Werte ist: „Revoked“, „CompliancePolicyModified“, „ComplianceStatusChanged“, „DeviceProfileTypeBlocked“, „DeviceProfileTypeUnblocked“.
target.url Der Wert wird aus dem Feld „target_url“ im Rohlog übernommen, wenn das Feld „method_url“ nicht leer ist.
target.user.group_identifiers Der Wert wird aus dem Feld „auth_group“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: „AuthTokenIssued“, „AuthTokenRevoked“.
target.user.userid Der Wert wird aus dem Feld „group_user“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: „AddMissingUserCompletedEvent“, „AddMissingUserFailureEvent“.
target.user.userid Der Wert wird aus dem Feld „enrollment_user“ im Rohlog übernommen, wenn „event_name“ einer der folgenden Werte ist: „BreakMDMRequested“, „ComplianceNotificationSent“, „DeleteDeviceRequested“, „Revoked“, „ComplianceStatusChanged“, „ApplicationDownload“, „EnrollmentComplete“, „EULAAccepted“, „StartACMRequested“, „DeviceEnterpriseWipeRequested“, „InstallApplicationRequested“, „InstallProfileRequested“, „RemoveProfileRequested“, „ApplicationInstallOnDeviceRequested“, „FindDeviceRequested“, „RemoveApplicationRequested“, „SendMessageRequested“, „AuthTokenIssued“, „AuthTokenRevoked“, „InstallApplicationConfirmed“, „InstallProfileConfirmed“, „BreakMDMConfirmed“, „DeviceOperatingSystemChanged“, „RemoveProfileConfirmed“, „DeviceAttributeDeviceMCCModified“, „DeviceAttributePhoneNumberModified“, „AvailableOsUpdatesRequested“, „DeviceProfileTypeBlocked“, „DeviceProfileTypeUnblocked“, „ApplicationRemoveFromDeviceRequested“, „DeviceClearPasscodeRequested“, „DeviceWipeRequested“.
target.user.userid Der Wert wird aus dem Feld „User“ im Rohlog übernommen, wenn „event_name“ „UserDeleted“ ist.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten