Recopila registros de VMware AirWatch

Compatible con:

En este documento, se explica cómo transferir registros de VMware Airwatch (UEM de VMware Workspace ONE) a Google Security Operations con Bindplane. El analizador extrae datos de eventos de seguridad de los registros en varios formatos (SYSLOG + KV, CEF). Primero, intenta analizar el mensaje de registro con una serie de patrones de Grok específicos para las estructuras de registro de AirWatch. Luego, extrae pares clave-valor de los datos del evento y los asigna a los campos del Modelo de datos unificado (UDM), categorizando los eventos y enriqueciéndolos con información contextual para el análisis de seguridad.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Instancia de Google SecOps
  • Windows 2016 o versiones posteriores, o un host de Linux con systemd
  • Si ejecutas la herramienta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
  • Acceso con privilegios a VMware AirWatch

Obtén el archivo de autenticación de transferencia de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Collection Agents.
  3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a SIEM Settings > Profile.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el siguiente comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el siguiente comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

  1. Accede al archivo de configuración:
    • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
    • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

  2. Edita el archivo config.yaml de la siguiente manera:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'AIRWATCH'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar el agente de Bindplane en Windows, puedes usar la consola de Servicios o ingresar el siguiente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configura Syslog para VMware Airwatch (VMware Workspace ONE UEM)

  1. Accede a la IU web de VMware AirWatch.
  2. Ve a Monitor > Reports and Analytics > Events > Syslog.
  3. Proporciona los siguientes detalles de configuración:
    • Integración de Syslog: Selecciona Habilitada.
    • Nombre de host: Ingresa la dirección IP del agente de BindPlane.
    • Protocolo: Selecciona UDP.
    • Puerto: Ingresa el número de puerto del agente de Bindplane.
    • Etiqueta de mensaje: Ingresa Airwatch.
    • Contenido del mensaje: Déjalo como predeterminado.
  4. Ve a la pestaña Avanzado.
  5. Proporciona los siguientes detalles de configuración:
    • Console Events: Selecciona Enable.
    • Select Console Events to Send to Syslog: Haz clic en Select All.
    • Eventos del dispositivo: Selecciona Habilitar.
    • Select Device Events to Send to Syslog: Haz clic en Select All.
  6. Haz clic en Guardar.
  7. Haz clic en Test Connection.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
AdminAccount principal.user.userid El valor se toma del campo AdminAccount en el registro sin procesar.
Application target.application El valor se toma del campo Application en el registro sin procesar.
ApplicationUUID additional.fields[].value.string_value El valor se toma del campo ApplicationUUID en el registro sin procesar. La clave se establece en "ApplicationUUID".
BytesReceived network.received_bytes El valor se toma del campo BytesReceived en el registro sin procesar.
Device target.hostname El valor se toma del campo Device en el registro sin procesar.
DeviceEventLogDescription metadata.description El valor se toma del campo DeviceEventLogDescription en el registro sin procesar.
Enrollment User principal.user.userid El valor se toma del campo Usuario de inscripción en el registro sin procesar cuando event_name es uno de los siguientes: AppCatalogLaunch, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
Event Category additional.fields[].value.string_value El valor se toma del campo Event Category en el registro sin procesar. La clave se establece en "Categoría del evento".
Event Module additional.fields[].value.string_value El valor se toma del campo Módulo de eventos en el registro sin procesar. La clave se establece en "Módulo de eventos".
Event Source additional.fields[].value.string_value El valor se toma del campo Event Source en el registro sin procesar. La clave se establece en "Fuente del evento".
Event Timestamp metadata.event_timestamp.seconds El valor se toma del campo Marca de tiempo del evento en el registro sin procesar.
FriendlyName target.hostname El valor se toma del campo FriendlyName en el registro sin procesar.
GroupManagementData security_result.description El valor se toma del campo GroupManagementData en el registro sin procesar.
Hmac additional.fields[].value.string_value El valor se toma del campo Hmac en el registro sin procesar. La clave se establece en "Hmac".
LoginSessionID network.session_id El valor se toma del campo LoginSessionID en el registro sin procesar.
MessageText metadata.description El valor se toma del campo MessageText en el registro sin procesar.
OriginatingOrganizationGroup principal.user.group_identifiers El valor se toma del campo OriginatingOrganizationGroup en el registro sin procesar.
OwnershipType additional.fields[].value.string_value El valor se toma del campo OwnershipType en el registro sin procesar. La clave se establece en "OwnershipType".
Profile target.resource.name El valor se toma del campo Profile en el registro sin procesar.
ProfileName target.resource.name El valor se toma del campo ProfileName en el registro sin procesar.
Request Url target.url El valor se toma del campo URL de la solicitud en el registro sin procesar.
SmartGroupName target.group.group_display_name El valor se toma del campo SmartGroupName en el registro sin procesar.
Tags additional.fields[].value.string_value El valor se toma del campo Tags en el registro sin procesar. La clave se establece en "Etiquetas".
User target.user.userid El valor se toma del campo Usuario en el registro sin procesar cuando event_name es SSPUserLoginAttemptFailed.
event_name metadata.product_event_type El valor se toma del campo Evento en el registro sin procesar.
extensions.auth.type El valor se establece en "SSO" cuando event_name es uno de los siguientes: AdminUserLoggedIn, SSPUserLoginAttemptFailed, AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
is_alert El valor se establece en "true" cuando event_name es uno de los siguientes: ComplianceStatusChanged, DeviceProfileTypeBlocked, ComplianceActionTaken.
is_significant El valor se establece en "true" cuando event_name es ComplianceStatusChanged.
is_significant El valor se establece en "false" cuando el event_name es DeviceProfileTypeBlocked.
metadata.event_type El valor se establece en "GENERIC_EVENT" cuando event_name es SecureChannelCheckIn.
metadata.event_type El valor se establece en "GROUP_CREATION" cuando event_name es ApplicationGroupCreated.
metadata.event_type El valor se establece en "GROUP_DELETION" cuando event_name es SmartGroupsDeleted.
metadata.event_type El valor se establece en "GROUP_MODIFICATION" cuando event_name es uno de los siguientes: SmartGroupsModified, ApplicationGroupAssignmentModified.
metadata.event_type El valor se establece en "NETWORK_CONNECTION" cuando el campo event_data contiene "session" y el campo hash_value termina con "org".
metadata.event_type El valor se establece en "NETWORK_CONNECTION" cuando los campos principal_hostname o src_ip no están vacíos y los campos target_hostname o target_ip no están vacíos.
metadata.event_type El valor se establece en "SETTING_DELETION" cuando event_name es Revoked y el campo event_data no contiene "Certificate".
metadata.event_type El valor se establece en "SETTING_MODIFICATION" cuando event_name es uno de los siguientes: DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, ComplianceStatusChanged, DeviceProfileTypeBlocked o DeviceProfileTypeUnblocked.
metadata.event_type El valor se establece en "STATUS_UNCATEGORIZED" cuando event_name es uno de los siguientes: AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, StartACMRequested, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed, AvailableOsUpdatesRequested.
metadata.event_type El valor se establece en "STATUS_UPDATE" cuando event_name es uno de los siguientes: BreakMDMRequested, CertificateIssued, CompromisedStatusChanged, SecureChannelCheckIn o EditDevice.
metadata.event_type El valor se establece en "USER_LOGOUT" cuando event_name es uno de los siguientes: AdminUserLoggedOut, AuthTokenIssued o AuthTokenRevoked.
metadata.event_type El valor se establece en "USER_LOGIN" cuando event_name es uno de los siguientes: AdminUserLoggedIn o SSPUserLoginAttemptFailed.
metadata.event_type El valor se establece en "USER_RESOURCE_ACCESS" cuando el campo request_url no está vacío.
metadata.event_type El valor se establece en "USER_RESOURCE_ACCESS" cuando el valor de event_name es AppCatalogLaunch.
metadata.event_type El valor se establece en "USER_RESOURCE_CREATION" cuando event_name es uno de los siguientes: ApplicationDownload, EnrollmentComplete, InstallApplicationConfirmed o InstallProfileConfirmed.
metadata.event_type El valor se establece en "USER_RESOURCE_DELETION" cuando event_name es uno de los siguientes: BreakMDMConfirmed o RemoveProfileConfirmed.
metadata.event_type El valor se establece en "USER_RESOURCE_UPDATE_CONTENT" cuando event_name es uno de los siguientes: ProfileModified, ProfilePublished, ProfileSetToInactive, ProfileVersionAdded, RestrictionPayloadModified, DeviceOperatingSystemChanged.
metadata.event_type El valor se establece en "USER_RESOURCE_UPDATE_PERMISSIONS" cuando event_name es EULAAccepted.
metadata.event_type El valor se establece en "USER_UNCATEGORIZED" cuando event_name es uno de los siguientes: Revoked, ComplianceNotificationSent, DeleteDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, InstallProfileConfirmed, TagAssignmentChanged.
metadata.log_type El valor se establece en "AIRWATCH".
metadata.product_name El valor se establece en "AirWatch".
metadata.vendor_name El valor se establece en "VMWare".
network.application_protocol El valor se establece en "HTTP" cuando el campo application_protocol contiene "HTTP".
network.http.method El valor se toma del campo method_url en el registro sin procesar.
network.http.referral_url El valor se toma del campo referral_url en el registro sin procesar.
network.http.response_code El valor se toma del campo http_status en el registro sin procesar.
network.http.user_agent El valor se toma del campo user_agent en el registro sin procesar.
network.ip_protocol El valor se establece en "TCP" cuando el campo de protocolo es "TCP".
network.ip_protocol El valor se establece en "UDP" cuando el campo de protocolo es "UDP".
principal.administrative_domain El valor se toma del campo de dominio en el registro sin procesar cuando event_name es uno de los siguientes: SmartGroupsDeleted, SmartGroupsModified, ProfileModified, ProfilePublished, ProfileSetToInactive, DeleteDeviceRequested, DeviceEnterpriseWipeRequested, InstallProfileRequested, RemoveProfileRequested, FindDeviceRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, UserDeleted.
principal.hostname El valor se toma del campo de nombre de host en el registro sin procesar.
principal.ip El valor se toma del campo sys_ip en el registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested.
principal.process.pid El valor se toma del campo process_id en el registro sin procesar.
principal.user.group_identifiers El valor se toma del campo auth_group en el registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued o AuthTokenRevoked.
principal.user.user_display_name El valor se toma del campo user_info en el registro sin procesar.
principal.user.userid El valor se toma del campo user_name en el registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, EditDevice.
security_result.action El valor se establece en "ALLOW" cuando event_name es DeviceProfileTypeUnblocked.
security_result.action El valor se establece en "BLOCK" cuando event_name es uno de los siguientes: DeviceProfileTypeBlocked, SyncAdminFailure, SyncGroupFailureEvent o SyncUserFailureEvent.
security_result.category El valor se establece en "AUTH_VIOLATION" cuando event_name es SSPUserLoginAttemptFailed.
security_result.category El valor se establece en "POLICY_VIOLATION" cuando event_name es uno de los siguientes: ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ComplianceNotificationSent, CompromisedStatusChanged.
security_result.category_details El valor se toma del campo Event Category en el registro sin procesar.
security_result.description El valor se toma del campo des en el registro sin procesar cuando el campo de descripción contiene una dirección IP.
security_result.description El valor se toma del campo de descripción en el registro sin procesar cuando este campo no contiene una dirección IP.
security_result.description El valor se establece en "Se produjo un error inesperado. Consulta los registros para obtener más detalles" cuando event_name es SyncAdminFailure.
security_result.description El valor se toma del campo GroupManagementData en el registro sin procesar cuando event_name es MergeGroupCompletedEvent.
security_result.summary El valor se toma del campo de resumen en el registro sin procesar.
target.administrative_domain El valor se toma del campo de dominio en el registro sin procesar cuando event_name es CompliancePolicyModified.
target.application El valor se toma del campo app_name en el registro sin procesar cuando event_name es uno de los siguientes: InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, ApplicationDownload, InstallApplicationConfirmed.
target.asset_id El valor se establece en "device_serial_number:device_udid" cuando event_name es DeleteDeviceRequested y los campos device_serial_number y device_udid no están vacíos.
target.group.group_display_name El valor se toma del campo ApplicationGroup en el registro sin procesar cuando event_name es uno de los siguientes: ApplicationGroupAssignmentModified o ApplicationGroupCreated.
target.hostname El valor se toma del campo Dispositivo en el registro sin procesar cuando el valor de event_name es DeviceLocationGroupChanged.
target.ip El valor se toma del campo sys_ip en el registro sin procesar cuando event_name es SSPUserLoginAttemptFailed.
target.ip El valor se toma del campo target_ip en el registro sin procesar cuando event_name es uno de los siguientes: CompliancePolicyModified, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, AdminUserLoggedIn, AdminUserLoggedOut, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
target.port El valor se toma del campo target_port en el registro sin procesar.
target.resource.name El valor se establece en "SETTING" cuando event_name es uno de los siguientes: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked o DeviceProfileTypeUnblocked.
target.resource.type El valor se establece en "APP" cuando event_name es ApplicationDownload.
target.resource.type El valor se establece en "DEVICE" cuando event_name es EnrollmentComplete.
target.resource.type El valor se establece en "EULA" cuando event_name es EULAAccepted.
target.resource.type El valor se establece en "OS" cuando event_name es DeviceOperatingSystemChanged.
target.resource.type El valor se establece en "PROFILE" cuando event_name es InstallProfileConfirmed.
target.resource.type El valor se establece en "SETTING" cuando event_name es uno de los siguientes: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked o DeviceProfileTypeUnblocked.
target.url El valor se toma del campo target_url en el registro sin procesar cuando el campo method_url no está vacío.
target.user.group_identifiers El valor se toma del campo auth_group en el registro sin procesar cuando event_name es uno de los siguientes: AuthTokenIssued o AuthTokenRevoked.
target.user.userid El valor se toma del campo group_user en el registro sin procesar cuando event_name es uno de los siguientes: AddMissingUserCompletedEvent o AddMissingUserFailureEvent.
target.user.userid El valor se toma del campo enrollment_user en el registro sin procesar cuando event_name es uno de los siguientes: BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AuthTokenIssued, AuthTokenRevoked, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ApplicationRemoveFromDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested.
target.user.userid El valor se toma del campo Usuario en el registro sin procesar cuando event_name es UserDeleted.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.