DeviceLogonEvents

Tato tabulka je součástí Microsoft Defender pro koncové body se službou Azure Sentinel. Tato tabulka obsahuje přihlášení a další události ověřování.

Atributy tabulky

Atribut	Hodnota
Typy prostředků	-
Kategorie	Zabezpečení
Řešení	SecurityInsights
Základní protokol	No
Transformace doby příjmu dat	Yes
Ukázkové dotazy	-

Sloupce

Sloupec	Typ	Description
Doména účtu	řetězec	Doména účtu.
AccountName	řetězec	Uživatelské jméno účtu.
Id účtu	řetězec	Identifikátor zabezpečení (SID) účtu.
ActionType	řetězec	Typ aktivity, která událost aktivovala.
Další pole	dynamic	Další informace o entitě nebo události
AppGuardContainerId	řetězec	Identifikátor virtualizovaného kontejneru, který Ochrana Application Guard používá k izolaci aktivity prohlížeče.
_BilledSize	real	Velikost záznamu v bajtech
DeviceId	řetězec	Jedinečný identifikátor zařízení ve službě.
DeviceName	řetězec	Plně kvalifikovaný název domény (FQDN) zařízení.
FailureReason	řetězec	Informace vysvětlující, proč se zaznamenaná akce nezdařila.
InitiatingProcessAccountDomain	řetězec	Doména účtu, který spustil proces zodpovědný za událost.
InitiatingProcessAccountName	řetězec	Uživatelské jméno účtu, který spustil proces zodpovědný za událost.
InitiatingProcessAccountObjectId	řetězec	Azure AD ID objektu uživatelského účtu, který spustil proces zodpovědný za událost.
InitiatingProcessAccountSid	řetězec	Identifikátor zabezpečení (SID) účtu, který spustil proces zodpovědný za událost.
InitiatingProcessAccountUpn	řetězec	Hlavní název uživatele (UPN) účtu, který spustil proces zodpovědný za událost.
InitiatingProcessCommandLine	řetězec	Příkazový řádek použitý ke spuštění procesu, který událost inicioval.
InitiatingProcessCreationTime	datetime	Datum a čas, kdy byl proces, který událost inicioval, spuštěn.
InitiatingProcessFileName	řetězec	Název procesu, který událost inicioval.
InitiatingProcessFileSize	long	Velikost v bajtech procesu (souboru obrázku), který událost inicioval.
InitiatingProcessFolderPath	řetězec	Složka obsahující proces (soubor obrázku), který událost inicioval.
InitiatingProcessId	long	ID procesu (PID) procesu, který událost inicioval.
InitiatingProcessIntegrityLevel	řetězec	Úroveň integrity procesu, který událost inicioval. Systém Windows přiřazuje procesům úrovně integrity na základě určitých charakteristik, například pokud byly spuštěny ze stahování z internetu. Tyto úrovně integrity ovlivňují oprávnění k prostředkům.
InitiatingProcessMD5	řetězec	Hodnota hash MD5 procesu (soubor obrázku), který událost inicioval.
InitiatingProcessParentCreationTime	datetime	Datum a čas, kdy byl spuštěn nadřazený proces zodpovědný za událost.
InitiatingProcessParentFileName	řetězec	Název nadřazeného procesu, ze kterého vznikl proces zodpovědný za událost.
InitiatingProcessParentId	long	ID procesu (PID) nadřazeného procesu, který vytvořila proces zodpovědný za událost.
InitiatingProcessSHA1	řetězec	Sha-1 hash procesu (soubor obrázku), který událost inicioval.
InicializováníProcessSHA256	řetězec	SHA-256 hash procesu (soubor obrázku), který inicioval událost. Toto pole se obvykle nevyplní – pokud je k dispozici, použijte sloupec SHA1.
InicializaceProcessTokenElevation	řetězec	Typ tokenu označující přítomnost nebo absenci zvýšení oprávnění uživatelského Access Control (UAC) použitého u procesu, který událost inicioval.
InitiatingProcessVersionInfoCompanyName	řetězec	Název společnosti z informací o verzi procesu (soubor obrázku) zodpovědného za událost.
InitiatingProcessVersionInfoFileDescription	řetězec	Popis z informací o verzi procesu (soubor obrázku) zodpovědného za událost.
InitiatingProcessVersionInfoInternalFileName	řetězec	Název interního souboru z informací o verzi procesu (soubor obrázku) zodpovědného za událost.
InitiatingProcessVersionInfoOriginalFileName	řetězec	Původní název souboru z informací o verzi procesu (soubor obrázku) zodpovědného za událost.
InitiatingProcessVersionInfoProductName	řetězec	Název produktu z informací o verzi procesu (soubor obrázku) zodpovědného za událost.
InitiatingProcessVersionInfoProductVersion	řetězec	Verze produktu z informací o verzi procesu (soubor obrázku) zodpovědného za událost.
_IsBillable	řetězec	Určuje, jestli je příjem dat fakturovatelný. Pokud _IsBillable je false příjem dat, neúčtuje se na váš účet Azure
IsLocalAdmin	bool	Logický indikátor toho, jestli je uživatel místním správcem počítače.
Id přihlášení	long	Identifikátor přihlašovací relace. Tento identifikátor je jedinečný na stejném počítači pouze mezi restartováními.
Typ přihlášení	řetězec	Typ přihlašovací relace, konkrétně interaktivní, vzdáleně interaktivní (RDP), síť, dávka a služba.
MachineGroup	řetězec	Skupina počítačů počítače. Tuto skupinu používá řízení přístupu na základě role k určení přístupu k počítači.
Protokol	řetězec	Protokol použitý během komunikace.
RemoteDeviceName	řetězec	Název zařízení, které na ovlivněném počítači provedlo vzdálenou operaci. V závislosti na hlášené události může být tento název plně kvalifikovaný název domény (FQDN), název NetBIOS nebo název hostitele bez informací o doméně.
RemoteIP	řetězec	IP adresa, ke které bylo připojeno.
RemoteIPType	řetězec	Typ IP adresy, například Veřejná, Privátní, Reserved, Loopback, Teredo, FourToSixMapping a Všesměrové vysílání.
RemotePort	int	Port TCP na vzdáleném zařízení, ke kterému bylo připojeno.
Id sestavy	long	Identifikátor události na základě opakujícího se čítače. K identifikaci jedinečných událostí musí být tento sloupec použit ve spojení se sloupci ComputerName a EventTime.
SourceSystem	řetězec	Typ agenta, který událost shromáždil. Například OpsManager pro agenta pro Windows buď přímé připojení, nebo Operations Manager, Linux pro všechny agenty linuxu nebo Azure pro Azure Diagnostics
TenantId	řetězec	ID pracovního prostoru služby Log Analytics
TimeGenerated	datetime	Datum a čas, kdy byla událost zaznamenána agentem MDE v koncovém bodu.
Typ	řetězec	Název tabulky