Share via


ASimAuthenticationEventLogs

Tabelle mit normalisierten Authentifizierungsereignissen in Microsoft Sentinel. Speichert Ereignisse, die z. B. der Benutzerauthentifizierung, der Anmeldung und der Abmeldung zugeordnet sind.

Tabellenattribute

attribute Wert
Ressourcentypen microsoft.securityinsights/authenticationevent
Kategorien Sicherheit
Lösungen SecurityInsights
Standardprotokoll No
Transformation zur Erfassungszeit Yes
Beispielabfragen -

Spalten

Spalte Typ BESCHREIBUNG
ActingAppId Zeichenfolge Die ID der Anwendung, die im Auftrag des Akteurs Autorisierungen durchführt. Dabei kann es sich um einen Prozess, einen Browser oder einen Dienst handeln.
ActingAppName Zeichenfolge Der Name der Anwendung, die im Auftrag des Akteurs Autorisierungen durchführt. Dabei kann es sich um einen Prozess, einen Browser oder einen Dienst handeln.
ActingAppType Zeichenfolge Der Typ der agierenden Anwendung.
ActingOriginalAppType Zeichenfolge Der vom meldenden Gerät gemeldete anwendungstyp.
ActorOriginalUserType Zeichenfolge Der Benutzertyp, wie vom Gerät gemeldet.
ActorScope Zeichenfolge Der Bereich, z. B. der Azure AD-Mandant, in dem ActorUserId und ActorUsername definiert sind.
ActorScopeId Zeichenfolge Die Bereichs-ID, z. B. die Azure AD-Mandanten-ID, in der ActorUserId und ActorUsername definiert sind.
ActorSessionId Zeichenfolge Die eindeutige ID der Anmeldesitzung des Akteurs.
ActorUserId Zeichenfolge Eine maschinenlesbare, alphanumerische, eindeutige Darstellung des Akteurs.
ActorUserIdType Zeichenfolge Der Typ der ID, die im Feld ActorUserId gespeichert ist.
ActorUsername Zeichenfolge Der Benutzername des Akteurs, einschließlich Domäneninformationen, falls verfügbar.
ActorUsernameType Zeichenfolge Gibt den Typ des Benutzernamens an, der im Feld ActorUsername gespeichert ist.
ActorUserType Zeichenfolge Der Typ des Akteurs.
AdditionalFields dynamisch Zusätzliche Informationen, dargestellt mithilfe von Schlüssel-Wert-Paaren, die von der Quelle bereitgestellt werden und nicht ASim zugeordnet sind.
_BilledSize real Die Datensatzgröße in Bytes
DvcAction Zeichenfolge Zum Melden von Sicherheitssystemen die vom System ausgeführte Aktion.
DvcDescription Zeichenfolge Ein mit dem Gerät verknüpfter beschreibender Text.
DvcDomain Zeichenfolge Die Domäne des Geräts, das das Ereignis meldet.
DvcDomainType Zeichenfolge Der Typ von DvcDomain.
DvcFQDN Zeichenfolge Der Hostname des Geräts, auf dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat.
DvcHostname Zeichenfolge Der Hostname des Geräts, das das Ereignis meldet.
DvcId Zeichenfolge Die eindeutige ID des Geräts, auf dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat.
DvcIdType Zeichenfolge Der Typ von DvcId.
DvcInterface Zeichenfolge Die Netzwerkschnittstelle, über die Daten erfasst wurden.
DvcIpAddr Zeichenfolge Die IP-Adresse des Geräts, das das Ereignis meldet.
DvcMacAddr Zeichenfolge Die MAC-Adresse des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcOriginalAction Zeichenfolge Die ursprüngliche DvcAction, wie vom meldenden Gerät angegeben.
DvcOs Zeichenfolge Das Betriebssystem, das auf dem Gerät ausgeführt wird, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcOsVersion Zeichenfolge Die Version des Betriebssystems auf dem Gerät, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcScope Zeichenfolge Der Cloudplattformbereich, zu dem das Gerät gehört. DvcScope wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
DvcScopeId Zeichenfolge Die ID des Cloudplattformbereichs, zu dem das Gerät gehört. DvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
DvcZone Zeichenfolge Das Netzwerk, in dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat.
EventCount INT Die Anzahl der Ereignisse, die vom Datensatz beschrieben werden.
EventEndTime datetime Der Zeitpunkt, zu dem das Ereignis geendet hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, die Zeit, zu der das letzte Ereignis generiert wurde. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar.
EventMessage Zeichenfolge Eine allgemeine Nachricht oder Beschreibung.
EventOriginalResultDetails Zeichenfolge Die ursprünglichen Ergebnisdetails, die von der Quelle bereitgestellt werden.
EventOriginalSeverity Zeichenfolge Der ursprüngliche Schweregrad, wie vom meldenden Gerät angegeben.
EventOriginalSubType Zeichenfolge Der ursprüngliche Ereignisuntertyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt.
EventOriginalType Zeichenfolge Der ursprüngliche Ereignistyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt.
EventOriginalUid Zeichenfolge Eine eindeutige ID des ursprünglichen Datensatzes, sofern von der Quelle bereitgestellt.
EventOwner Zeichenfolge Der Besitzer des Ereignisses, bei dem es sich in der Regel um die Abteilung oder Niederlassung handelt, in der das Ereignis generiert wurde
EventProduct Zeichenfolge Das Produkt, das das Ereignis erzeugt.
EventProductVersion Zeichenfolge Die Version des Produkts, das das Ereignis erzeugt.
EventReportUrl Zeichenfolge Eine URL, die im Ereignis für eine Ressource bereitgestellt wird, die weitere Informationen zum Ereignis enthält.
EventResult Zeichenfolge Das Ergebnis des Ereignisses, das durch einen der folgenden Werte dargestellt wird: Success, Partial, Failure, NA (Nicht zutreffend). Der Wert wird möglicherweise nicht direkt von den Quellen bereitgestellt, in diesem Fall wird er von anderen Ereignisfeldern abgeleitet, z. B. dem Feld EventResultDetails.
EventResultDetails Zeichenfolge Die Details, die dem Ereignisergebnis zugeordnet sind. Dieses Feld wird in der Regel aufgefüllt, wenn das Ergebnis ein Fehler ist.
EventSchemaVersion Zeichenfolge Die Version des Schemas.
EventSeverity Zeichenfolge Der Schweregrad des Ereignisses. Gültige Werte sind: Informational, Low, Medium oder High.
EventStartTime datetime Der Zeitpunkt, zu dem das Ereignis begonnen hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, die Zeit, zu der das erste Ereignis generiert wurde. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar.
EventSubType Zeichenfolge Der Anmeldetyp z. B. System, Interactive, RemoteInteractive, Service, RemoteService, Remote oder AssumeRole.
EventType Zeichenfolge Beschreibt den vom Datensatz gemeldeten Vorgang.
EventVendor Zeichenfolge Der Hersteller des Produkts, das das Ereignis erzeugt.
HttpUserAgent Zeichenfolge Wenn die Authentifizierung über HTTP oder HTTPS erfolgt, entspricht der Wert dieses Felds dem HTTP-Header „user_agent“, der von der agierenden Anwendung beim Durchführen der Authentifizierung bereitgestellt wird.
_IsBillable Zeichenfolge Gibt an, ob die Erfassung der Daten abrechenbar ist. Wenn _IsBillable erfasst wird false , wird Ihrem Azure-Konto nicht in Rechnung gestellt.
LogonMethod Zeichenfolge Die zum Durchführen der Authentifizierung verwendete Methode.
LogonProtocol Zeichenfolge Das zum Durchführen der Authentifizierung verwendete Protokoll.
_ResourceId Zeichenfolge Ein eindeutiger Bezeichner für die Ressource, der der Datensatz zugeordnet ist.
RuleName Zeichenfolge Der Name oder die ID der Regel, die den Überprüfungsergebnissen zugeordnet ist.
RuleNumber INT Die Nummer der Regel, die den Inspektionsergebnissen zugeordnet ist.
SourceSystem Zeichenfolge Der Typ des Agents, von dem das Ereignis erfasst wurde. Beispielsweise OpsManager für den Windows-Agent, entweder direkte Verbindung oder Operations Manager, Linux für alle Linux-Agents oder Azure für Azure-Diagnose
SrcDescription Zeichenfolge Ein beschreibender Text, der dem Quellgerät zugeordnet ist.
SrcDeviceType Zeichenfolge Der Typ des Quellgeräts.
SrcDomain Zeichenfolge Die Domäne des Quellgeräts.
SrcDomainType Zeichenfolge Der Typ von SrcDomain.
SrcDvcId Zeichenfolge Die ID des Quellgeräts.
SrcDvcIdType Zeichenfolge Der Typ von SrcDvcId.
SrcDvcOs Zeichenfolge Das Betriebssystem des Quellgeräts.
SrcDvcScope Zeichenfolge Der Cloudplattformbereich, zu dem das Quellgerät gehört. SrcDvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
SrcDvcScopeId Zeichenfolge Die Bereichs-ID der Cloudplattform, zu der das Quellgerät gehört. SrcDvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
SrcFQDN Zeichenfolge Der Hostname des Quellgeräts ggf. mit Informationen zur Domäne.
SrcGeoCity Zeichenfolge Die Stadt, die der Quell-IP-Adresse zugeordnet ist.
SrcGeoCountry Zeichenfolge Das Land/die Region, das bzw. die der Quell-IP-Adresse zugeordnet ist.
SrcGeoLatitude real Der Breitengrad der geografischen Koordinate, die der Quell-IP-Adresse zugeordnet ist.
SrcGeoLongitude real Der Längengrad der geografischen Koordinate, die der Quell-IP-Adresse zugeordnet ist.
SrcGeoRegion Zeichenfolge Die Region innerhalb eines Landes, die der Quell-IP-Adresse zugeordnet ist.
SrcHostname Zeichenfolge Der Hostname des Quellgeräts ohne Domäneninformationen.
SrcIpAddr Zeichenfolge Die IP-Adresse des Quellgeräts.
SrcIsp Zeichenfolge Der Internetdienstanbieter (Internet Service Provider, ISP), der vom Quellgerät zum Herstellen einer Internetverbindung verwendet wird.
SrcOriginalRiskLevel Zeichenfolge Die Risikostufe, die mit der identifizierten Quelle verbunden ist, wie vom Melden des Geräts gemeldet.
SrcPortNumber INT Der IP-Port, von dem die Verbindung stammt.
SrcRiskLevel INT Die Risikostufe, die der identifizierten Quelle zugeordnet ist.
_SubscriptionId Zeichenfolge Ein eindeutiger Bezeichner für das Abonnement, dem der Datensatz zugeordnet ist.
TargetAppId Zeichenfolge Die ID der Anwendung, für die die Autorisierung erforderlich ist und die häufig vom meldenden Gerät zugewiesen wird.
TargetAppName Zeichenfolge Der Name der Anwendung, für die die Autorisierung erforderlich ist. Dabei kann es sich um einen Dienst, eine URL oder eine SaaS-Anwendung handeln.
TargetAppType Zeichenfolge Der Typ der Anwendung, die im Auftrag des Akteurs Autorisierungen durchführt.
TargetDescription Zeichenfolge Ein beschreibender Text, der dem Zielgerät zugeordnet ist.
TargetDeviceType Zeichenfolge Der Typ des Zielgeräts.
TargetDomain Zeichenfolge Die Domäne des Zielgeräts.
TargetDomainType Zeichenfolge Der Typ von TargetDomain.
TargetDvcId Zeichenfolge Die ID des Zielgeräts
TargetDvcIdType Zeichenfolge Der Typ von TargetDvcId.
TargetDvcOs Zeichenfolge Das Betriebssystem des Zielgeräts.
TargetDvcScope Zeichenfolge Der Cloudplattformbereich, zu dem das Zielgerät gehört. TargetDvcScope wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
TargetDvcScopeId Zeichenfolge Die Bereichs-ID der Cloudplattform, zu der das Zielgerät gehört. TargetDvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
TargetFQDN Zeichenfolge Der Hostname des Zielgeräts ggf. mit Informationen zur Domäne.
TargetGeoCity Zeichenfolge Die Stadt, die der Ziel-IP-Adresse zugeordnet ist.
TargetGeoCountry Zeichenfolge Das Land/die Region, das bzw. die der Ziel-IP-Adresse zugeordnet ist.
TargetGeoLatitude real Der Breitengrad der geografischen Koordinate, die der Ziel-IP-Adresse zugeordnet ist.
TargetGeoLongitude real Der Längengrad der geografischen Koordinate, die der Ziel-IP-Adresse zugeordnet ist.
TargetGeoRegion Zeichenfolge Die Region innerhalb eines Landes, die der Ziel-IP-Adresse zugeordnet ist.
TargetHostname Zeichenfolge Der Hostname des Zielgeräts ohne Domäneninformationen.
TargetIpAddr Zeichenfolge Die IP-Adresse des Zielgeräts.
TargetOriginalAppType Zeichenfolge Der Zielanwendungstyp, der vom meldend-Gerät gemeldet wird.
TargetOriginalRiskLevel Zeichenfolge Die dem Ziel zugeordnete Risikostufe, wie vom Gerät gemeldet.
TargetOriginalUserType Zeichenfolge Der Benutzertyp, wie vom Gerät gemeldet.
TargetPortNumber INT Der Port des Zielgeräts.
TargetRiskLevel INT Die dem Ziel zugeordnete Risikostufe.
TargetSessionId Zeichenfolge Die eindeutige ID der Anmeldesitzung des Zielakteurs.
TargetUrl Zeichenfolge Eine URL, die der Zielanwendung zugeordnet ist.
TargetUserId Zeichenfolge Eine maschinenlesbare, alphanumerische, eindeutige Darstellung des Akteurs.
TargetUserIdType Zeichenfolge Der Typ der ID, die im Feld TargetUserId gespeichert ist.
TargetUsername Zeichenfolge Der Benutzername des Zielakteurs, einschließlich Domäneninformationen, sofern verfügbar.
TargetUsernameType Zeichenfolge Der Im Feld TargetUsername angegebene Typ des Benutzernamens des Zielakteurs.
TargetUserScope Zeichenfolge Der Bereich, z. B. der Azure AD-Mandant, in dem TargetUserId und TargetUsername definiert sind.
TargetUserScopeId Zeichenfolge Die Bereichs-ID, z. B. die Azure AD-Mandanten-ID, in der TargetUserId und TargetUsername definiert sind.
TargetUserType Zeichenfolge Der Typ des Zielakteurs.
TenantId Zeichenfolge Die Log Analytics-Arbeitsbereichs-ID
ThreatCategory Zeichenfolge Die Kategorie der Bedrohung oder Schadsoftware, die in der Überwachungsaktivität identifiziert wurde.
ThreatConfidence INT Die Konfidenzstufe der identifizierten Bedrohung, normalisiert auf einen Wert zwischen 0 und 100
ThreatField Zeichenfolge Das Feld, für das eine Bedrohung identifiziert wurde.
ThreatFirstReportedTime datetime Das erste Mal, dass die IP-Adresse oder Domäne als Bedrohung identifiziert wurde
ThreatId Zeichenfolge Die ID der in der Überwachungsaktivität identifizierten Bedrohung oder Schadsoftware
ThreatIpAddr Zeichenfolge Eine IP-Adresse, für die eine Bedrohung identifiziert wurde.
ThreatIsActive bool TRUE, wenn die identifizierte Bedrohung als aktive Bedrohung betrachtet wird.
ThreatLastReportedTime datetime Das letzte Mal, dass die IP-Adresse oder Domäne als Bedrohung identifiziert wurde
ThreatName Zeichenfolge Der Name der in der Überwachungsaktivität identifizierten Bedrohung oder Schadsoftware
ThreatOriginalConfidence Zeichenfolge Die ursprüngliche Konfidenzstufe der identifizierten Bedrohung, wie vom meldenden Gerät gemeldet.
ThreatOriginalRiskLevel Zeichenfolge Die Risikostufe, wie vom meldenden Gerät gemeldet.
ThreatRiskLevel INT Die Risikostufe, die der identifizierten Bedrohung zugeordnet ist. Hierbei muss es sich um eine Zahl zwischen 0 und 100 handeln.
TimeGenerated datetime Der Zeitstempel (UTC), der die Zeit widerspiegelt, zu der das Ereignis generiert wurde.
type Zeichenfolge Der Name der Tabelle.