Compartir a través de

Okta系统日志

Okta 系统日志数据连接器提供将审核和事件日志从 Okta Sysem 日志 API 引入 Microsoft Sentinel 的功能。 数据连接器基于 Microsoft Sentinel 无代码连接器平台构建，并使用 Okta 系统日志 API 提取事件。 连接器支持基于 DCR 的 引入时间转换 ，这些转换将收到的安全事件数据分析为自定义列，以便查询不需要再次分析它，从而提供更好的性能。

数据表属性

特征 价值
资源类型 -
类别 安全性
解决方案 SecurityInsights
基本日志 是的
引入时转换 否
示例查询 是的

列

列 类型 DESCRIPTION
ActingAppName 字符串 发起操作的应用程序名称。
ActingAppType 字符串 启动作的应用程序的类型（例如浏览器、API 客户端）。
ActorDetailEntry 动态的 有关执行该动作的演员的详细信息（如果可用）。
演员显示名称 字符串 执行操作的操作者的显示名称。
ActorSessionId 字符串 与执行操作的操作者关联的会话 ID。
ActorUserId 字符串 执行操作的参与者的用户 ID（如果适用）。
演员用户ID类型 字符串 行为主体的用户 ID 类型（例如 OktaId）。
演员用户名 字符串 执行操作的行为者的用户名。
演员用户名类型 (ActorUsernameType) 字符串 操作者的用户名类型（例如 UPN）。
演员用户类型 字符串 操作者的类型（例如普通用户、系统主体）。
AuthenticationContextAuthenticationProvider 字符串 在操作上下文中使用的身份验证提供程序。
认证上下文认证步骤 整数 (int) 发生操作时身份验证过程中的步骤。
AuthenticationContextCredentialProvider 字符串 身份验证过程中使用的凭据提供程序。
身份验证上下文接口（AuthenticationContextInterface） 字符串 身份验证过程中使用的接口（例如 Web、移动）。
AuthenticationContextIssuerId (身份验证上下文发布者 ID) 字符串 身份验证过程中涉及的颁发者的 ID。
认证上下文发布者类型 字符串 身份验证过程中涉及的颁发者的类型。
_BilledSize（账单大小） 真实 记录大小（字节）
DebugData 动态的 与事件相关的其他调试数据。
DvcAction 字符串 设备操作的结果（例如允许、拒绝、部分）。
事件信息 字符串 与事件关联的描述性消息。
事件原始结果详情 字符串 事件结果的原始结果详细信息。
事件原始类型 字符串 转换前事件的原始类型。
EventOriginalUid 字符串 原始事件的唯一标识符。
事件结果 字符串 事件的高级结果（例如成功、失败）。
EventSeverity 字符串 事件的严重性级别（例如信息、高）。
HTTP用户代理 (HttpUserAgent) 字符串 发起事件的客户端的原始用户代理字符串。
_是否计费 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
遗留事件类型 字符串 事件的旧类型标识符（如果适用）。
登录方法 字符串 用于登录的方法（例如密码、令牌）。
原始演员替代ID 字符串 原始事件数据中参与者的替代 ID。
原始客户端设备 字符串 启动事件的客户端设备类型（例如计算机）。
原始结果结果 字符串 原始事件的原始结果。
OriginalSeverity 字符串 原始事件的原始严重性级别。
原始目标 动态的 事件中涉及的原始目标。
原始用户ID (OriginalUserId) 字符串 事件数据中的原始用户 ID。
原始用户类型 字符串 原始事件数据中的用户类型。
请求 动态的 与事件关联的请求的详细信息。
安全上下文编号 整数 (int) 安全性上下文中的自治系统 (AS) 编号。
SecurityContextAsOrg 字符串 与安全性上下文中 AS 编号关联的组织。
安全上下文域 字符串 安全性上下文中涉及的域。
SecurityContextIsProxy 布尔 指示代理是否在安全上下文中使用。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure Diagnostics 的 Azure。
SrcDeviceType 字符串 源设备的类型（例如计算机）。
SrcDvcId 字符串 源设备的唯一标识符。
SrcDvcIdType 字符串 源设备 ID 的类型（例如 OktaId）。
SrcDvcOs 字符串 源设备的操作系统。
SrcGeoCity 字符串 源设备所在地的城市。
SrcGeoCountry 字符串 源设备所在国家的地理位置。
SrcGeoLatitude 真实 源设备地理位置的纬度。
SrcGeoLongtitude 真实 源设备地理位置的经度。
SrcGeoPostalCode 字符串 源设备的地理位置的邮政编码。
SrcGeoRegion 字符串 源设备地理位置所在的地区或州。
SrcIpAddr 字符串 源设备的 IP 地址。
SrcIsp 字符串 源设备的 Internet 服务提供商 （ISP）。
SrcZone 字符串 源设备的网络区域。
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 生成事件的时间。
交易详情 动态的 有关与事件关联的交易的详细信息。
TransactionId 字符串 交易的唯一标识符。
交易类型 字符串 与事件关联的事务的类型。
类型 字符串 表的名称
版本 字符串 事件格式或架构的版本。
  • Last updated on