Coletar registros do VMware Airwatch

Compatível com:

Este documento explica como ingerir registros do VMware Airwatch (VMware Workspace ONE UEM) no Google Security Operations usando o Bindplane. O analisador extrai dados de ocorrência de segurança dos registros em vários formatos (SYSLOG + KV, CEF). Primeiro, ele tenta analisar a mensagem de registro usando uma série de padrões Grok específicos para estruturas de registro do AirWatch. Em seguida, extrai pares de chave-valor dos dados de eventos e os mapeia para os campos do Modelo Unificado de Dados (UDM, na sigla em inglês), categorizando e enriquecendo os eventos com informações contextuais para análise de segurança.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Instância do Google SecOps
  • Windows 2016 ou mais recente ou um host Linux com systemd
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas.
  • Acesso privilegiado ao VMware Airwatch

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão. Salve o arquivo de forma segura no sistema em que o Bindplane será instalado.

Receber o ID do cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de Comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação.

Configurar o agente do Bindplane para ingerir o Syslog e enviar ao Google SecOps

  1. Acesse o arquivo de configuração:
    • Localize o arquivo config.yaml. Normalmente, ele fica no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
    • Abra o arquivo usando um editor de texto (por exemplo, nano, vi ou Bloco de Notas).

  2. Edite o arquivo config.yaml da seguinte forma:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'AIRWATCH'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels
    • Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
    • Substitua <customer_id> pelo ID do cliente real.
    • Atualize /path/to/ingestion-authentication-file.json para o caminho em que o arquivo de autenticação foi salvo na seção Receber arquivo de autenticação de ingestão do Google SecOps.

Reinicie o agente do Bindplane para aplicar as mudanças

  • Para reiniciar o agente do Bindplane em Linux, execute o seguinte comando:

    sudo systemctl restart bindplane-agent

  • Para reiniciar o agente do Bindplane no Windows, use o console Serviços ou insira o seguinte comando:

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurar o Syslog para o VMware Airwatch (VMware Workspace ONE UEM)

  1. Faça login na UI da Web do VMware AirWatch.
  2. Acesse Monitorar > Relatórios e análises > Eventos > Syslog.
  3. Informe os seguintes detalhes de configuração:
    • Integração do Syslog: selecione Ativado.
    • Nome do host: insira o endereço IP do agente do Bindplane.
    • Protocolo: selecione UDP.
    • Porta: digite o número da porta do agente do Bindplane.
    • Tag da mensagem: insira Airwatch.
    • Conteúdo da mensagem: deixe como padrão.
  4. Acesse a guia Avançado.
  5. Informe os seguintes detalhes de configuração:
    • Eventos do console: selecione Ativar.
    • Selecionar eventos do console para enviar ao Syslog: clique em Selecionar tudo.
    • Eventos de dispositivos: selecione Ativar.
    • Selecionar eventos de dispositivo para enviar ao Syslog: clique em Selecionar tudo.
  6. Clique em Salvar.
  7. Clique em Testar conexão.

Tabela de mapeamento da UDM

Campo de registro Mapeamento da UDM Lógica
AdminAccount principal.user.userid O valor é extraído do campo "AdminAccount" no registro bruto.
Application target.application O valor é extraído do campo "Application" no registro bruto.
ApplicationUUID additional.fields[].value.string_value O valor é extraído do campo "ApplicationUUID" no registro bruto. A chave é definida como "ApplicationUUID".
BytesReceived network.received_bytes O valor é extraído do campo "BytesReceived" no registro bruto.
Device target.hostname O valor é extraído do campo "Dispositivo" no registro bruto.
DeviceEventLogDescription metadata.description O valor é extraído do campo "DeviceEventLogDescription" no registro bruto.
Enrollment User principal.user.userid O valor é extraído do campo "Usuário da inscrição" no registro bruto quando o event_name é um dos seguintes: AppCatalogLaunch, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
Event Category additional.fields[].value.string_value O valor é extraído do campo "Categoria do evento" no registro bruto. A chave é definida como "Categoria do evento".
Event Module additional.fields[].value.string_value O valor é extraído do campo "Módulo do evento" no registro bruto. A chave é definida como "Módulo de evento".
Event Source additional.fields[].value.string_value O valor é extraído do campo "Origem do evento" no registro bruto. A chave é definida como "Origem do evento".
Event Timestamp metadata.event_timestamp.seconds O valor é extraído do campo "Carimbo de data/hora do evento" no registro bruto.
FriendlyName target.hostname O valor é extraído do campo "FriendlyName" no registro bruto.
GroupManagementData security_result.description O valor é extraído do campo "GroupManagementData" no registro bruto.
Hmac additional.fields[].value.string_value O valor é extraído do campo "Hmac" no registro bruto. A chave é definida como "Hmac".
LoginSessionID network.session_id O valor é extraído do campo "LoginSessionID" no registro bruto.
MessageText metadata.description O valor é extraído do campo "MessageText" no registro bruto.
OriginatingOrganizationGroup principal.user.group_identifiers O valor é extraído do campo "OriginatingOrganizationGroup" no registro bruto.
OwnershipType additional.fields[].value.string_value O valor é extraído do campo "OwnershipType" no registro bruto. A chave é definida como "OwnershipType".
Profile target.resource.name O valor é extraído do campo "Perfil" no registro bruto.
ProfileName target.resource.name O valor é extraído do campo "ProfileName" no registro bruto.
Request Url target.url O valor é extraído do campo "URL da solicitação" no registro bruto.
SmartGroupName target.group.group_display_name O valor é extraído do campo "SmartGroupName" no registro bruto.
Tags additional.fields[].value.string_value O valor é extraído do campo "Tags" no registro bruto. A chave é definida como "Tags".
User target.user.userid O valor é extraído do campo "User" no registro bruto quando o event_name é "SSPUserLoginAttemptFailed".
event_name metadata.product_event_type O valor é extraído do campo "Evento" no registro bruto.
extensions.auth.type O valor é definido como "SSO" quando o event_name é um dos seguintes: AdminUserLoggedIn, SSPUserLoginAttemptFailed, AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
is_alert O valor é definido como "true" quando o event_name é um dos seguintes: ComplianceStatusChanged, DeviceProfileTypeBlocked, ComplianceActionTaken.
is_significant O valor é definido como "true" quando o event_name é ComplianceStatusChanged.
is_significant O valor é definido como "false" quando o event_name é DeviceProfileTypeBlocked.
metadata.event_type O valor é definido como "GENERIC_EVENT" quando o event_name é SecureChannelCheckIn.
metadata.event_type O valor é definido como "GROUP_CREATION" quando o event_name é ApplicationGroupCreated.
metadata.event_type O valor é definido como "GROUP_DELETION" quando o event_name é SmartGroupsDeleted.
metadata.event_type O valor é definido como "GROUP_MODIFICATION" quando o event_name é um dos seguintes: SmartGroupsModified, ApplicationGroupAssignmentModified.
metadata.event_type O valor é definido como "NETWORK_CONNECTION" quando o campo "event_data" contém "session" e o campo "hash_value" termina com "org".
metadata.event_type O valor é definido como "NETWORK_CONNECTION" quando os campos "principal_hostname" ou "src_ip" não estão vazios e os campos "target_hostname" ou "target_ip" também não estão vazios.
metadata.event_type O valor é definido como "SETTING_DELETION" quando o event_name é "Revoked" e o campo event_data não contém "Certificate".
metadata.event_type O valor é definido como "SETTING_MODIFICATION" quando o event_name é um dos seguintes: DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked.
metadata.event_type O valor é definido como "STATUS_UNCATEGORIZED" quando o event_name é um dos seguintes: AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, StartACMRequested, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed, AvailableOsUpdatesRequested.
metadata.event_type O valor é definido como "STATUS_UPDATE" quando o event_name é um destes: BreakMDMRequested, CertificateIssued, CompromisedStatusChanged, SecureChannelCheckIn, EditDevice.
metadata.event_type O valor é definido como "USER_LOGOUT" quando o event_name é um dos seguintes: AdminUserLoggedOut, AuthTokenIssued, AuthTokenRevoked.
metadata.event_type O valor é definido como "USER_LOGIN" quando o event_name é um dos seguintes: AdminUserLoggedIn, SSPUserLoginAttemptFailed.
metadata.event_type O valor é definido como "USER_RESOURCE_ACCESS" quando o campo "request_url" não está vazio.
metadata.event_type O valor é definido como "USER_RESOURCE_ACCESS" quando o event_name é AppCatalogLaunch.
metadata.event_type O valor é definido como "USER_RESOURCE_CREATION" quando o event_name é um dos seguintes: ApplicationDownload, EnrollmentComplete, InstallApplicationConfirmed, InstallProfileConfirmed.
metadata.event_type O valor é definido como "USER_RESOURCE_DELETION" quando o event_name é um destes: BreakMDMConfirmed, RemoveProfileConfirmed.
metadata.event_type O valor é definido como "USER_RESOURCE_UPDATE_CONTENT" quando o event_name é um dos seguintes: ProfileModified, ProfilePublished, ProfileSetToInactive, ProfileVersionAdded, RestrictionPayloadModified, DeviceOperatingSystemChanged.
metadata.event_type O valor é definido como "USER_RESOURCE_UPDATE_PERMISSIONS" quando o event_name é EULAAccepted.
metadata.event_type O valor é definido como "USER_UNCATEGORIZED" quando o event_name é um dos seguintes: Revoked, ComplianceNotificationSent, DeleteDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, InstallProfileConfirmed, TagAssignmentChanged.
metadata.log_type O valor é definido como "AIRWATCH".
metadata.product_name O valor é definido como "AirWatch".
metadata.vendor_name O valor é definido como "VMWare".
network.application_protocol O valor é definido como "HTTP" quando o campo "application_protocol" contém "HTTP".
network.http.method O valor é extraído do campo "method_url" no registro bruto.
network.http.referral_url O valor é extraído do campo "referral_url" no registro bruto.
network.http.response_code O valor é extraído do campo "http_status" no registro bruto.
network.http.user_agent O valor é extraído do campo "user_agent" no registro bruto.
network.ip_protocol O valor é definido como "TCP" quando o campo de protocolo é "TCP".
network.ip_protocol O valor é definido como "UDP" quando o campo de protocolo é "UDP".
principal.administrative_domain O valor é extraído do campo "domain" no registro bruto quando o event_name é um destes: SmartGroupsDeleted, SmartGroupsModified, ProfileModified, ProfilePublished, ProfileSetToInactive, DeleteDeviceRequested, DeviceEnterpriseWipeRequested, InstallProfileRequested, RemoveProfileRequested, FindDeviceRequested, InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, SendMessageRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, UserDeleted.
principal.hostname O valor é extraído do campo "hostname" no registro bruto.
principal.ip O valor é extraído do campo "sys_ip" no log bruto quando o "event_name" é um dos seguintes: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested.
principal.process.pid O valor é extraído do campo "process_id" no registro bruto.
principal.user.group_identifiers O valor é extraído do campo "auth_group" no registro bruto quando o "event_name" é um dos seguintes: "AuthTokenIssued", "AuthTokenRevoked".
principal.user.user_display_name O valor é extraído do campo "user_info" no registro bruto.
principal.user.userid O valor é extraído do campo "user_name" no registro bruto quando o "event_name" é um dos seguintes: AuthTokenIssued, AuthTokenRevoked, BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, CompliancePolicyModified, ProfileModified, ProfilePublished, ProfileSetToInactive, SmartGroupsDeleted, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, AddMissingUserCompletedEvent, AddMissingUserFailureEvent, ApplicationAdded, ApplicationDeleted, ApplicationGroupAssignmentModified, ApplicationGroupCreated, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, DeviceWipeRequested, ProfileVersionAdded, RestrictionPayloadModified, SmartGroupsModified, SyncGroupCompletedEvent, SyncGroupFailureEvent, SearchMissingUserCompleteEvent, SyncAdminFailure, SyncUserCompletedEvent, SyncUserFailureEvent, UserDeleted, HealthAttestationCertificateRequestConfirmed, WindowsDeviceCheckInMode, SampleResponseListReceived, HealthAttestationCertificateRequested, WindowsInformationConfirmed, RemoteManagement, HealthAttestationServerToServerSyncReqConfirmed, ScepThumbprintSampleConfirmed, HealthAttestationSampleRequestConfirmed, HealthAttestationServerToServerSyncRequested, HealthAttestationServerToServerSyncRequestFailed, WipeRequest, InstallApplicationFailed, OwnershipChanged, WipeConfirmed, FreshDeviceCreatedInDeviceState, UserSetToInactive, ExistingDeviceUpdatedInDeviceState, HealthAttestationCertificateRequestFailed, AppleOsXmdmDeviceTokenUpdate, DeviceUnenrolled, ScheduleOsUpdateResults, UserRoleAssignmentModified, UserModified, ComplianceActionTaken, AppleTokenUpdateComplete, UserEnrollmentTokenCreated, ScheduleOsUpdatesConfirmed, OsUpdateStatusRequested, EditDevice.
security_result.action O valor é definido como "ALLOW" quando o event_name é DeviceProfileTypeUnblocked.
security_result.action O valor é definido como "BLOCK" quando o event_name é um dos seguintes: DeviceProfileTypeBlocked, SyncAdminFailure, SyncGroupFailureEvent, SyncUserFailureEvent.
security_result.category O valor é definido como "AUTH_VIOLATION" quando o event_name é SSPUserLoginAttemptFailed.
security_result.category O valor é definido como "POLICY_VIOLATION" quando o event_name é um dos seguintes: ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ComplianceNotificationSent, CompromisedStatusChanged.
security_result.category_details O valor é extraído do campo "Categoria do evento" no registro bruto.
security_result.description O valor é extraído do campo "des" no registro bruto quando o campo de descrição contém um endereço IP.
security_result.description O valor é extraído do campo de descrição no registro bruto quando ele não contém um endereço IP.
security_result.description O valor é definido como "Ocorreu um erro inesperado. Consulte os registros para mais detalhes" quando o event_name é SyncAdminFailure.
security_result.description O valor é extraído do campo "GroupManagementData" no registro bruto quando o "event_name" é "MergeGroupCompletedEvent".
security_result.summary O valor é extraído do campo de resumo no registro bruto.
target.administrative_domain O valor é extraído do campo "domain" no registro bruto quando o event_name é CompliancePolicyModified.
target.application O valor é extraído do campo "app_name" no registro bruto quando o "event_name" é um dos seguintes: InstallApplicationRequested, ApplicationInstallOnDeviceRequested, RemoveApplicationRequested, ApplicationAdded, ApplicationDeleted, ApplicationRemoveFromDeviceRequested, ApplicationModified, ApplicationPublished, ApplicationPublishFailed, ApplicationPublishStarted, ApplicationVersionAdded, ApplicationDownload, InstallApplicationConfirmed.
target.asset_id O valor é definido como "device_serial_number:device_udid" quando o event_name é DeleteDeviceRequested e os campos device_serial_number e device_udid não estão vazios.
target.group.group_display_name O valor é extraído do campo "ApplicationGroup" no log bruto quando o event_name é um destes: ApplicationGroupAssignmentModified, ApplicationGroupCreated.
target.hostname O valor é extraído do campo "Dispositivo" no registro bruto quando o event_name é "DeviceLocationGroupChanged".
target.ip O valor é retirado do campo sys_ip no log bruto quando o event_name é SSPUserLoginAttemptFailed.
target.ip O valor é extraído do campo "target_ip" no log bruto quando o event_name é um dos seguintes: CompliancePolicyModified, CertificateIssued, CompromisedStatusChanged, AppListSampleRefused, CertificateListSampleRefused, DeviceInformationRefused, ProfileListRefused, SecurityInformation, SecureChannelCheckIn, SecurityInformationConfirmed, StartACMConfirmed, AdminUserLoggedIn, AdminUserLoggedOut, AvailableOSUpdatesList, AvailableOsUpdatesConfirmed.
target.port O valor é extraído do campo "target_port" no registro bruto.
target.resource.name O valor é definido como "SETTING" quando o event_name é um dos seguintes: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked.
target.resource.type O valor é definido como "APP" quando o event_name é ApplicationDownload.
target.resource.type O valor é definido como "DEVICE" quando o event_name é EnrollmentComplete.
target.resource.type O valor é definido como "EULA" quando o event_name é EULAAccepted.
target.resource.type O valor é definido como "OS" quando o event_name é DeviceOperatingSystemChanged.
target.resource.type O valor é definido como "PROFILE" quando o event_name é InstallProfileConfirmed.
target.resource.type O valor é definido como "SETTING" quando o event_name é um dos seguintes: Revoked, CompliancePolicyModified, ComplianceStatusChanged, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked.
target.url O valor é extraído do campo "target_url" no registro bruto quando o campo "method_url" não está vazio.
target.user.group_identifiers O valor é extraído do campo "auth_group" no registro bruto quando o "event_name" é um dos seguintes: "AuthTokenIssued", "AuthTokenRevoked".
target.user.userid O valor é extraído do campo "group_user" no registro bruto quando o "event_name" é um destes: "AddMissingUserCompletedEvent", "AddMissingUserFailureEvent".
target.user.userid O valor é extraído do campo "enrollment_user" no registro bruto quando o "event_name" é um dos seguintes: BreakMDMRequested, ComplianceNotificationSent, DeleteDeviceRequested, Revoked, ComplianceStatusChanged, ApplicationDownload, EnrollmentComplete, EULAAccepted, StartACMRequested, DeviceEnterpriseWipeRequested, InstallApplicationRequested, InstallProfileRequested, RemoveProfileRequested, ApplicationInstallOnDeviceRequested, FindDeviceRequested, RemoveApplicationRequested, SendMessageRequested, AuthTokenIssued, AuthTokenRevoked, InstallApplicationConfirmed, InstallProfileConfirmed, BreakMDMConfirmed, DeviceOperatingSystemChanged, RemoveProfileConfirmed, DeviceAttributeDeviceMCCModified, DeviceAttributePhoneNumberModified, AvailableOsUpdatesRequested, DeviceProfileTypeBlocked, DeviceProfileTypeUnblocked, ApplicationRemoveFromDeviceRequested, DeviceClearPasscodeRequested, DeviceWipeRequested.
target.user.userid O valor é extraído do campo "User" no registro bruto quando o event_name é "UserDeleted".

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.