Raccogliere i log di VMware Airwatch

Supportato in:

Questo documento spiega come importare i log di VMware Airwatch (VMware Workspace ONE UEM) in Google Security Operations utilizzando Bindplane. Il parser estrae i dati sugli eventi di sicurezza dai log in vari formati (SYSLOG + KV, CEF). Innanzitutto, tenta di analizzare il messaggio di log utilizzando una serie di pattern Grok specifici per le strutture dei log di AirWatch, quindi estrae le coppie chiave-valore dai dati degli eventi e le mappa ai campi del modello di dati unificato (UDM), classificando gli eventi e arricchendoli con informazioni contestuali per l'analisi della sicurezza.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Istanza Google SecOps
  • Windows 2016 o versioni successive o un host Linux con systemd
  • Se l'esecuzione avviene tramite un proxy, assicurati che le porte del firewall siano aperte.
  • Accesso privilegiato a VMware Airwatch

Recuperare il file di autenticazione importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione importazione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta la guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

  1. Accedi al file di configurazione:
    • Individua il file config.yaml. In genere, si trova nella directory /etc/bindplane-agent/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'AIRWATCH'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart bindplane-agent

  • Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurare Syslog per VMware Airwatch (VMware Workspace ONE UEM)

  1. Accedi alla UI web di VMware AirWatch.
  2. Vai a Monitoraggio > Report e analisi > Eventi > Syslog.
  3. Fornisci i seguenti dettagli di configurazione:
    • Integrazione Syslog: seleziona Attivata.
    • Nome host: inserisci l'indirizzo IP dell'agente Bindplane.
    • Protocollo: seleziona UDP.
    • Porta: inserisci il numero di porta dell'agente Bindplane.
    • Tag messaggio: inserisci Airwatch.
    • Contenuto del messaggio: lascia invariato il valore predefinito.
  4. Vai alla scheda Avanzate.
  5. Fornisci i seguenti dettagli di configurazione:
    • Console Events (Eventi della console): seleziona Enable (Attiva).
    • Seleziona eventi della console da inviare a Syslog: fai clic su Seleziona tutto.
    • Eventi dei dispositivi: seleziona Attiva.
    • Seleziona eventi dispositivo da inviare a Syslog: fai clic su Seleziona tutto.
  6. Fai clic su Salva.
  7. Fai clic su Prova connessione.

Tabella di mappatura UDM

Campo log Mappatura UDM Logic
AdminAccount principal.user.userid Il valore viene estratto dal campo AdminAccount nel log non elaborato.
Application target.application Il valore viene estratto dal campo Applicazione nel log non elaborato.
ApplicationUUID additional.fields[].value.string_value Il valore viene estratto dal campo ApplicationUUID nel log non elaborato. La chiave è impostata su "ApplicationUUID".
BytesReceived network.received_bytes Il valore viene estratto dal campo BytesReceived nel log non elaborato.
Device target.hostname Il valore viene estratto dal campo Dispositivo nel log non elaborato.
DeviceEventLogDescription metadata.description Il valore viene estratto dal campo DeviceEventLogDescription nel log non elaborato.
Enrollment User principal.user.userid Il valore viene estratto dal campo Utente registrazione nel log non elaborato quando event_name è uno dei seguenti: AppCatalogLaunch, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
Event Category additional.fields[].value.string_value Il valore viene estratto dal campo Categoria evento nel log non elaborato. La chiave è impostata su "Categoria evento".
Event Module additional.fields[].value.string_value Il valore viene estratto dal campo Modulo evento nel log non elaborato. La chiave è impostata su "Event Module".
Event Source additional.fields[].value.string_value Il valore viene estratto dal campo Origine evento nel log non elaborato. La chiave è impostata su "Origine evento".
Event Timestamp metadata.event_timestamp.seconds Il valore viene estratto dal campo Timestamp evento nel log non elaborato.
FriendlyName target.hostname Il valore viene estratto dal campo FriendlyName nel log non elaborato.
GroupManagementData security_result.description Il valore viene estratto dal campo GroupManagementData nel log non elaborato.
Hmac additional.fields[].value.string_value Il valore viene estratto dal campo Hmac nel log non elaborato. La chiave è impostata su "Hmac".
LoginSessionID network.session_id Il valore viene estratto dal campo LoginSessionID nel log non elaborato.
MessageText metadata.description Il valore viene estratto dal campo MessageText nel log non elaborato.
OriginatingOrganizationGroup principal.user.group_identifiers Il valore viene estratto dal campo OriginatingOrganizationGroup nel log non elaborato.
OwnershipType additional.fields[].value.string_value Il valore viene estratto dal campo OwnershipType nel log non elaborato. La chiave è impostata su "OwnershipType".
Profile target.resource.name Il valore viene estratto dal campo Profilo nel log non elaborato.
ProfileName target.resource.name Il valore viene estratto dal campo ProfileName nel log non elaborato.
Request Url target.url Il valore viene estratto dal campo URL richiesta nel log non elaborato.
SmartGroupName target.group.group_display_name Il valore viene preso dal campo SmartGroupName nel log non elaborato.
Tags additional.fields[].value.string_value Il valore viene estratto dal campo Tag nel log non elaborato. La chiave è impostata su "Tag".
User target.user.userid Il valore viene estratto dal campo Utente nel log non elaborato quando event_name è SSPUserLoginAttemptFailed.
event_name metadata.product_event_type Il valore viene estratto dal campo Evento nel log non elaborato.
extensions.auth.type Il valore è impostato su "SSO" quando event_name è uno dei seguenti: AdminUserLoggedIn, SSPUserLoginAttemptFailed, AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
is_alert Il valore è impostato su "true" quando event_name è uno dei seguenti: ComplianceStatusChanged, DeviceProfileTypeBlocked, ComplianceActionTaken.
is_significant Il valore è impostato su "true" quando event_name è ComplianceStatusChanged.
is_significant Il valore è impostato su "false" quando event_name è DeviceProfileTypeBlocked.
metadata.event_type Il valore è impostato su "GENERIC_EVENT" quando event_name è SecureChannelCheckIn.
metadata.event_type Il valore è impostato su "GROUP_CREATION" quando event_name è ApplicationGroupCreated.
metadata.event_type Il valore è impostato su "GROUP_DELETION" quando event_name è SmartGroupsDeleted.
metadata.event_type Il valore è impostato su "GROUP_MODIFICATION" quando event_name è uno dei seguenti: SmartGroupsModified, ApplicationGroupAssignmentModified.
metadata.event_type Il valore è impostato su "NETWORK_CONNECTION" quando il campo event_data contiene "session" e il campo hash_value termina con "org".
metadata.event_type Il valore è impostato su "NETWORK_CONNECTION" quando i campi principal_hostname o src_ip non sono vuoti e i campi target_hostname o target_ip non sono vuoti.
metadata.event_type Il valore è impostato su "SETTING_DELETION" quando event_name è Revoked e il campo event_data non contiene "Certificate".
metadata.event_type Il valore è impostato su "SETTING_MODIFICATION" quando event_name è uno dei seguenti: DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked.
metadata.event_type Il valore è impostato su "STATUS_UNCATEGORIZED" quando event_name è uno dei seguenti: AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, StartACMRequested, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed, AvailableOsUpdatesRequested.
metadata.event_type Il valore è impostato su "STATUS_UPDATE" quando event_name è uno dei seguenti: BreakMDMRequested, CertificateIssued, CompromisedStatusChanged, SecureChannelCheckIn, EditDevice.
metadata.event_type Il valore è impostato su "USER_LOGOUT" quando event_name è uno dei seguenti: AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
metadata.event_type Il valore è impostato su "USER_LOGIN" quando event_name è uno dei seguenti: AdminUserLoggedIn, SSPUserLoginAttemptFailed.
metadata.event_type Il valore è impostato su "USER_RESOURCE_ACCESS" quando il campo request_url non è vuoto.
metadata.event_type Il valore è impostato su "USER_RESOURCE_ACCESS" quando event_name è AppCatalogLaunch.
metadata.event_type Il valore è impostato su "USER_RESOURCE_CREATION" quando event_name è uno dei seguenti: ApplicationDownload, EnrollmentComplete, InstallApplicationConfirmed, InstallProfileConfirmed.
metadata.event_type Il valore è impostato su "USER_RESOURCE_DELETION" quando event_name è uno dei seguenti: BreakMDMConfirmed, RemoveProfileConfirmed.
metadata.event_type Il valore è impostato su "USER_RESOURCE_UPDATE_CONTENT" quando event_name è uno dei seguenti: ProfileModified, ProfilePublished, ProfileSetToInactive, ProfileVersionAdded, RestrictionPayloadModified, DeviceOperatingSystemChanged.
metadata.event_type Il valore è impostato su "USER_RESOURCE_UPDATE_PERMISSIONS" quando event_name è EULAAccepted.
metadata.event_type Il valore è impostato su "USER_UNCATEGORIZED" quando event_name è uno dei seguenti: Revoked, ComplianceNotificationSent, DeleteDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, InstallProfileConfirmed, TagAssignmentChanged.
metadata.log_type Il valore è impostato su "AIRWATCH".
metadata.product_name Il valore è impostato su "AirWatch".
metadata.vendor_name Il valore è impostato su "VMWare".
network.application_protocol Il valore è impostato su "HTTP" quando il campo application_protocol contiene "HTTP".
network.http.method Il valore viene estratto dal campo method_url nel log non elaborato.
network.http.referral_url Il valore viene estratto dal campo referral_url nel log non elaborato.
network.http.response_code Il valore viene estratto dal campo http_status nel log non elaborato.
network.http.user_agent Il valore viene estratto dal campo user_agent nel log non elaborato.
network.ip_protocol Il valore è impostato su "TCP" quando il campo del protocollo è "TCP".
network.ip_protocol Il valore è impostato su "UDP" quando il campo del protocollo è "UDP".
principal.administrative_domain Il valore viene estratto dal campo del dominio nel log non elaborato quando event_name è uno dei seguenti: SmartGroupsDeleted, SmartGroupsModified, ProfileModified, ProfilePublished, ProfileSetToInactive, DeleteDeviceRequested, DeviceEnterpriseWipeRequested, InstallProfileRequested, RemoveProfileRequested, FindDeviceRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, UserDeleted.
principal.hostname Il valore viene estratto dal campo del nome host nel log non elaborato.
principal.ip Il valore viene estratto dal campo sys_ip nel log non elaborato quando event_name è uno dei seguenti: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested.
principal.process.pid Il valore viene estratto dal campo process_id nel log non elaborato.
principal.user.group_identifiers Il valore viene estratto dal campo auth_group nel log non elaborato quando event_name è uno dei seguenti: AuthTokenIssued, AuthTokenRevoked.
principal.user.user_display_name Il valore viene estratto dal campo user_info nel log non elaborato.
principal.user.userid Il valore viene estratto dal campo user_name nel log non elaborato quando event_name è uno dei seguenti: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, EditDevice.
security_result.action Il valore è impostato su "ALLOW" quando event_name è DeviceProfileTypeUnblocked.
security_result.action Il valore è impostato su "BLOCK" quando event_name è uno dei seguenti: DeviceProfileTypeBlocked, SyncAdminFailure, SyncGroupFailureEvent, SyncUserFailureEvent.
security_result.category Il valore è impostato su "AUTH_VIOLATION" quando event_name è SSPUserLoginAttemptFailed.
security_result.category Il valore è impostato su "POLICY_VIOLATION" quando event_name è uno dei seguenti: ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ComplianceNotificationSent, CompromisedStatusChanged.
security_result.category_details Il valore viene estratto dal campo Categoria evento nel log non elaborato.
security_result.description Il valore viene estratto dal campo des nel log non elaborato quando il campo della descrizione contiene un indirizzo IP.
security_result.description Il valore viene estratto dal campo Descrizione nel log non elaborato quando il campo Descrizione non contiene un indirizzo IP.
security_result.description Il valore è impostato su "Si è verificato un errore imprevisto, controlla i log per i dettagli" quando event_name è SyncAdminFailure.
security_result.description Il valore viene estratto dal campo GroupManagementData nel log non elaborato quando event_name è MergeGroupCompletedEvent.
security_result.summary Il valore viene estratto dal campo di riepilogo nel log non elaborato.
target.administrative_domain Il valore viene estratto dal campo del dominio nel log non elaborato quando event_name è CompliancePolicyModified.
target.application Il valore viene estratto dal campo app_name nel log non elaborato quando event_name è uno dei seguenti: InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, ApplicationDownload, InstallApplicationConfirmed.
target.asset_id Il valore è impostato su "device_serial_number:device_udid" quando event_name è DeleteDeviceRequested e i campi device_serial_number e device_udid non sono vuoti.
target.group.group_display_name Il valore viene estratto dal campo ApplicationGroup nel log non elaborato quando event_name è uno dei seguenti: ApplicationGroupAssignmentModified, ApplicationGroupCreated.
target.hostname Il valore viene estratto dal campo Dispositivo nel log non elaborato quando event_name è DeviceLocationGroupChanged.
target.ip Il valore viene preso dal campo sys_ip nel log non elaborato quando event_name è SSPUserLoginAttemptFailed.
target.ip Il valore viene estratto dal campo target_ip nel log non elaborato quando event_name è uno dei seguenti: CompliancePolicyModified, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, AdminUserLoggedIn, AdminUserLoggedOut, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
target.port Il valore viene estratto dal campo target_port nel log non elaborato.
target.resource.name Il valore è impostato su "SETTING" quando event_name è uno dei seguenti: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked.
target.resource.type Il valore è impostato su "APP" quando event_name è ApplicationDownload.
target.resource.type Il valore è impostato su "DEVICE" quando event_name è EnrollmentComplete.
target.resource.type Il valore è impostato su "EULA" quando event_name è EULAAccepted.
target.resource.type Il valore è impostato su "OS" quando event_name è DeviceOperatingSystemChanged.
target.resource.type Il valore è impostato su "PROFILE" quando event_name è InstallProfileConfirmed.
target.resource.type Il valore è impostato su "SETTING" quando event_name è uno dei seguenti: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked.
target.url Il valore viene estratto dal campo target_url nel log non elaborato quando il campo method_url non è vuoto.
target.user.group_identifiers Il valore viene estratto dal campo auth_group nel log non elaborato quando event_name è uno dei seguenti: AuthTokenIssued, AuthTokenRevoked.
target.user.userid Il valore viene estratto dal campo group_user nel log non elaborato quando event_name è uno dei seguenti: AddMissingUserCompletedEvent, AddMissingUserFailureEvent.
target.user.userid Il valore viene estratto dal campo enrollment_user nel log non elaborato quando event_name è uno dei seguenti: BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AuthTokenIssued, AuthTokenRevoked, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ApplicationRemoveFromDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested.
target.user.userid Il valore viene estratto dal campo Utente nel log non elaborato quando event_name è UserDeleted.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.