Recoger registros de VMware AirWatch

Disponible en:

En este documento se explica cómo ingerir registros de VMware AirWatch (VMware Workspace ONE UEM) en Google Security Operations mediante Bindplane. El analizador extrae datos de eventos de seguridad de los registros en varios formatos (SYSLOG + KV y CEF). Primero, intenta analizar el mensaje de registro mediante una serie de patrones Grok específicos de las estructuras de registro de AirWatch. Después, extrae pares de clave-valor de los datos de eventos y los asigna a los campos del modelo de datos unificado (UDM). Por último, clasifica los eventos y los enriquece con información contextual para el análisis de seguridad.

Antes de empezar

Asegúrate de que cumples los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host Linux con systemd
  • Si se ejecuta a través de un proxy, asegúrate de que los puertos del cortafuegos estén abiertos.
  • Acceso privilegiado a VMware AirWatch

Obtener el archivo de autenticación de ingestión de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recogida.
  3. Descarga el archivo de autenticación de ingestión. Guarda el archivo de forma segura en el sistema en el que se instalará Bindplane.

Obtener el ID de cliente de Google SecOps

  1. Inicia sesión en la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instalar el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux siguiendo las instrucciones que se indican a continuación.

Instalación de ventanas

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación de Linux

  1. Abre un terminal con privilegios de superusuario o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para ver más opciones de instalación, consulta la guía de instalación.

Configurar el agente de BindPlane para ingerir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Busca el archivo config.yaml. Normalmente, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'AIRWATCH'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola Servicios o introducir el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar Syslog para VMware AirWatch (VMware Workspace ONE UEM)

  1. Inicia sesión en la interfaz de usuario web de VMware AirWatch.
  2. Ve a Monitor > Informes y estadísticas > Eventos > Syslog.
  3. Proporcione los siguientes detalles de configuración:
    • Integración de Syslog: selecciona Habilitado.
    • Nombre de host: introduce la dirección IP del agente de Bindplane.
    • Protocolo: selecciona UDP.
    • Puerto: introduce el número de puerto del agente de Bindplane.
    • Etiqueta de mensaje: introduce Airwatch.
    • Contenido del mensaje: déjalo como está.
  4. Ve a la pestaña Avanzado.
  5. Proporcione los siguientes detalles de configuración:
    • Eventos de consola: selecciona Habilitar.
    • Seleccionar eventos de consola para enviar a Syslog: haz clic en Seleccionar todo.
    • Eventos de dispositivos: selecciona Habilitar.
    • Seleccionar eventos de dispositivo que enviar a Syslog: haz clic en Seleccionar todo.
  6. Haz clic en Guardar.
  7. Haz clic en Test Connection (Probar conexión).

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
AdminAccount principal.user.userid El valor se toma del campo AdminAccount del registro sin procesar.
Application target.application El valor se toma del campo Application del registro sin procesar.
ApplicationUUID additional.fields[].value.string_value El valor se toma del campo ApplicationUUID del registro sin procesar. La clave es "ApplicationUUID".
BytesReceived network.received_bytes El valor se toma del campo BytesReceived del registro sin procesar.
Device target.hostname El valor se toma del campo Device (Dispositivo) del registro sin procesar.
DeviceEventLogDescription metadata.description El valor se toma del campo DeviceEventLogDescription del registro sin procesar.
Enrollment User principal.user.userid El valor se toma del campo Usuario de registro del registro sin procesar cuando event_name es uno de los siguientes: AppCatalogLaunch, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOSUpdatesList o AvailableOsUpdatesConfirmed.
Event Category additional.fields[].value.string_value El valor se toma del campo Categoría del evento del registro sin procesar. La clave se define como "Event Category".
Event Module additional.fields[].value.string_value El valor se toma del campo Módulo de evento del registro sin procesar. La clave se define como "Event Module".
Event Source additional.fields[].value.string_value El valor se toma del campo Event Source (Fuente del evento) del registro sin procesar. La clave es "Event Source".
Event Timestamp metadata.event_timestamp.seconds El valor se toma del campo Marca de tiempo del evento del registro sin procesar.
FriendlyName target.hostname El valor se toma del campo FriendlyName del registro sin procesar.
GroupManagementData security_result.description El valor se toma del campo GroupManagementData del registro sin procesar.
Hmac additional.fields[].value.string_value El valor se toma del campo Hmac del registro sin procesar. La clave es "Hmac".
LoginSessionID network.session_id El valor se toma del campo LoginSessionID del registro sin procesar.
MessageText metadata.description El valor se toma del campo MessageText del registro sin procesar.
OriginatingOrganizationGroup principal.user.group_identifiers El valor se toma del campo OriginatingOrganizationGroup del registro sin procesar.
OwnershipType additional.fields[].value.string_value El valor se toma del campo OwnershipType del registro sin procesar. La clave es "OwnershipType".
Profile target.resource.name El valor se toma del campo Profile (Perfil) del registro sin procesar.
ProfileName target.resource.name El valor se toma del campo ProfileName del registro sin procesar.
Request Url target.url El valor se toma del campo URL de solicitud del registro sin procesar.
SmartGroupName target.group.group_display_name El valor se toma del campo SmartGroupName del registro sin procesar.
Tags additional.fields[].value.string_value El valor se toma del campo Tags del registro sin procesar. La clave es "Tags".
User target.user.userid El valor se toma del campo Usuario del registro sin procesar cuando event_name es SSPUserLoginAttemptFailed.
event_name metadata.product_event_type El valor se toma del campo Event del registro sin procesar.
extensions.auth.type El valor se define como "SSO" cuando event_name es uno de los siguientes: AdminUserLoggedIn, SSPUserLoginAttemptFailed, AdminUserLoggedOut, AuthTokenIssued o AuthTokenRevoked.
is_alert El valor es "true" cuando event_name es uno de los siguientes: ComplianceStatusChanged, DeviceProfileTypeBlocked o ComplianceActionTaken.
is_significant El valor es "true" cuando event_name es ComplianceStatusChanged.
is_significant El valor es "false" cuando event_name es DeviceProfileTypeBlocked.
metadata.event_type El valor es "GENERIC_EVENT" cuando event_name es SecureChannelCheckIn.
metadata.event_type El valor es "GROUP_CREATION" cuando event_name es ApplicationGroupCreated.
metadata.event_type El valor es "GROUP_DELETION" cuando event_name es SmartGroupsDeleted.
metadata.event_type El valor es "GROUP_MODIFICATION" cuando event_name es uno de los siguientes: SmartGroupsModified o ApplicationGroupAssignmentModified.
metadata.event_type El valor es "NETWORK_CONNECTION" cuando el campo event_data contiene "session" y el campo hash_value termina con "org".
metadata.event_type El valor es "NETWORK_CONNECTION" cuando los campos principal_hostname o src_ip no están vacíos y los campos target_hostname o target_ip tampoco.
metadata.event_type El valor es "SETTING_DELETION" cuando event_name es Revoked y el campo event_data no contiene "Certificate".
metadata.event_type El valor es "SETTING_MODIFICATION" cuando event_name es uno de los siguientes: DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, ComplianceStatusChanged, DeviceProfileTypeBlocked o DeviceProfileTypeUnblocked.
metadata.event_type El valor es "STATUS_UNCATEGORIZED" cuando event_name es uno de los siguientes: AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, StartACMRequested, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed o AvailableOsUpdatesRequested.
metadata.event_type El valor se define como "STATUS_UPDATE" cuando event_name es uno de los siguientes: BreakMDMRequested, CertificateIssued, CompromisedStatusChanged, SecureChannelCheckIn o EditDevice.
metadata.event_type El valor es "USER_LOGOUT" cuando event_name es uno de los siguientes: AdminUserLoggedOut, AuthTokenIssued o AuthTokenRevoked.
metadata.event_type El valor es "USER_LOGIN" cuando event_name es uno de los siguientes: AdminUserLoggedIn o SSPUserLoginAttemptFailed.
metadata.event_type El valor es "USER_RESOURCE_ACCESS" cuando el campo request_url no está vacío.
metadata.event_type El valor es "USER_RESOURCE_ACCESS" cuando event_name es AppCatalogLaunch.
metadata.event_type El valor es "USER_RESOURCE_CREATION" cuando event_name es uno de los siguientes: ApplicationDownload, EnrollmentComplete, InstallApplicationConfirmed o InstallProfileConfirmed.
metadata.event_type El valor es "USER_RESOURCE_DELETION" cuando event_name es uno de los siguientes: BreakMDMConfirmed o RemoveProfileConfirmed.
metadata.event_type El valor se define como "USER_RESOURCE_UPDATE_CONTENT" cuando event_name es uno de los siguientes: ProfileModified, ProfilePublished, ProfileSetToInactive, ProfileVersionAdded, RestrictionPayloadModified o DeviceOperatingSystemChanged.
metadata.event_type El valor es "USER_RESOURCE_UPDATE_PERMISSIONS" cuando el valor de event_name es EULAAccepted.
metadata.event_type El valor es "USER_UNCATEGORIZED" cuando el valor de event_name es uno de los siguientes: Revoked, ComplianceNotificationSent, DeleteDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, InstallProfileConfirmed, TagAssignmentChanged.
metadata.log_type El valor es "AIRWATCH".
metadata.product_name El valor es "AirWatch".
metadata.vendor_name El valor es "VMWare".
network.application_protocol El valor se establece en "HTTP" cuando el campo application_protocol contiene "HTTP".
network.http.method El valor se toma del campo method_url del registro sin procesar.
network.http.referral_url El valor se toma del campo referral_url del registro sin procesar.
network.http.response_code El valor se toma del campo http_status del registro sin procesar.
network.http.user_agent El valor se toma del campo user_agent del registro sin procesar.
network.ip_protocol El valor es "TCP" cuando el campo de protocolo es "TCP".
network.ip_protocol El valor es "UDP" cuando el campo de protocolo es "UDP".
principal.administrative_domain El valor se toma del campo de dominio del registro sin procesar cuando event_name es uno de los siguientes: SmartGroupsDeleted, SmartGroupsModified, ProfileModified, ProfilePublished, ProfileSetToInactive, DeleteDeviceRequested, DeviceEnterpriseWipeRequested, InstallProfileRequested, RemoveProfileRequested, FindDeviceRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded o UserDeleted.
principal.hostname El valor se toma del campo de nombre de host del registro sin procesar.
principal.ip El valor se toma del campo sys_ip del registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested.
principal.process.pid El valor se toma del campo process_id del registro sin procesar.
principal.user.group_identifiers El valor se toma del campo auth_group del registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued o AuthTokenRevoked.
principal.user.user_display_name El valor se toma del campo user_info del registro sin procesar.
principal.user.userid El valor se toma del campo user_name del registro sin formato cuando event_name es uno de los siguientes: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, EditDevice.
security_result.action El valor es "ALLOW" cuando el nombre del evento es DeviceProfileTypeUnblocked.
security_result.action El valor es "BLOCK" cuando event_name es uno de los siguientes: DeviceProfileTypeBlocked, SyncAdminFailure, SyncGroupFailureEvent o SyncUserFailureEvent.
security_result.category El valor es "AUTH_VIOLATION" cuando event_name es SSPUserLoginAttemptFailed.
security_result.category El valor es "POLICY_VIOLATION" cuando event_name es uno de los siguientes: ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ComplianceNotificationSent o CompromisedStatusChanged.
security_result.category_details El valor se toma del campo Categoría del evento del registro sin procesar.
security_result.description El valor se toma del campo "des" del registro sin procesar cuando el campo de descripción contiene una dirección IP.
security_result.description El valor se toma del campo de descripción del registro sin procesar cuando este campo no contiene una dirección IP.
security_result.description El valor es "unexpected error occurred, check logs for details" cuando event_name es SyncAdminFailure.
security_result.description El valor se toma del campo GroupManagementData del registro sin procesar cuando event_name es MergeGroupCompletedEvent.
security_result.summary El valor se toma del campo de resumen del registro sin procesar.
target.administrative_domain El valor se toma del campo de dominio del registro sin procesar cuando el valor de event_name es CompliancePolicyModified.
target.application El valor se toma del campo app_name del registro sin procesar cuando event_name es uno de los siguientes: InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, ApplicationDownload o InstallApplicationConfirmed.
target.asset_id Se le asigna el valor "device_serial_number:device_udid" cuando event_name es DeleteDeviceRequested y los campos device_serial_number y device_udid no están vacíos.
target.group.group_display_name El valor se toma del campo ApplicationGroup del registro sin procesar cuando el valor de event_name es uno de los siguientes: ApplicationGroupAssignmentModified o ApplicationGroupCreated.
target.hostname El valor se toma del campo Device del registro sin procesar cuando event_name es DeviceLocationGroupChanged.
target.ip El valor se toma del campo sys_ip del registro sin procesar cuando el valor de event_name es SSPUserLoginAttemptFailed.
target.ip El valor se toma del campo target_ip del registro sin procesar cuando event_name es uno de los siguientes: CompliancePolicyModified, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, AdminUserLoggedIn, AdminUserLoggedOut, AvailableOSUpdatesList o AvailableOsUpdatesConfirmed.
target.port El valor se toma del campo target_port del registro sin procesar.
target.resource.name El valor es "SETTING" cuando event_name es uno de los siguientes: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked o DeviceProfileTypeUnblocked.
target.resource.type El valor es "APP" cuando el nombre del evento es ApplicationDownload.
target.resource.type El valor es "DEVICE" cuando event_name es EnrollmentComplete.
target.resource.type El valor es "EULA" cuando el valor de event_name es EULAAccepted.
target.resource.type El valor es "OS" cuando event_name es DeviceOperatingSystemChanged.
target.resource.type El valor es "PROFILE" cuando event_name es InstallProfileConfirmed.
target.resource.type El valor es "SETTING" cuando event_name es uno de los siguientes: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked o DeviceProfileTypeUnblocked.
target.url El valor se toma del campo target_url del registro sin procesar cuando el campo method_url no está vacío.
target.user.group_identifiers El valor se toma del campo auth_group del registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued o AuthTokenRevoked.
target.user.userid El valor se toma del campo group_user del registro sin procesar cuando el valor de event_name es uno de los siguientes: AddMissingUserCompletedEvent o AddMissingUserFailureEvent.
target.user.userid El valor se toma del campo enrollment_user del registro sin procesar cuando event_name es uno de los siguientes: BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AuthTokenIssued, AuthTokenRevoked, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ApplicationRemoveFromDeviceRequested, DeviceClearPasscodeRequested o DeviceWipeRequested.
target.user.userid El valor se toma del campo Usuario del registro sin procesar cuando event_name es UserDeleted.

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.