DeviceRegistryEvents

  • Article

Microsoft Defender pour la table des événements du Registre d’appareils points de terminaison (MDE). Ce tableau contient la création et la modification d’entrées de Registre sur le point de terminaison, ainsi que des informations sur les processus à l’origine de tels événements.

Attributs de table

Attribut Valeur
Types de ressource -
Catégories Sécurité
Solutions SecurityInsights
Journal de base No
Transformation au moment de l’ingestion Yes
Exemples de requêtes -

Colonnes

Colonne Type Description
ActionType string Type d’activité qui a déclenché l’événement.
AppGuardContainerId string Identificateur du conteneur virtualisé utilisé par Protection d'application pour isoler l’activité du navigateur.
_BilledSize real Taille de l’enregistrement en octets
deviceId string Identificateur unique de l’appareil dans le service.
DeviceName string Nom de domaine complet (FQDN) de l’appareil.
Lancement deProcessAccountDomain string Domaine du compte qui a exécuté le processus de lancement.
InitialingProcessAccountName string Nom d’utilisateur du compte qui a exécuté le processus d’initiation.
Lancement deProcessAccountObjectId string ID d’objet Azure AD du compte d’utilisateur qui a exécuté le processus de lancement.
InitialingProcessAccountSid string Identificateur de sécurité (SID) du compte qui a exécuté le processus de lancement.
Lancement deProcessAccountUpn string Nom d’utilisateur principal (UPN) du compte qui a exécuté le processus d’initiation.
Lancement deProcessCommandLine string Ligne de commande utilisée pour exécuter le processus d’initiation.
InitiatingProcessCreationTime DATETIME Date et heure de démarrage du processus à l’origine de l’événement.
InitialingProcessFileName string Nom du processus de lancement.
Lancement deProcessFileSize long Taille du fichier (octets) qui a exécuté le processus responsable de l’événement.
Lancement deProcessFolderPath string Dossier contenant le processus initial (fichier image).
Lancement deProcessId long ID de processus (PID) du processus initial.
InitiatingProcessIntegrityLevel string Niveau d’intégrité du processus de lancement. Windows affecte des niveaux d’intégrité aux processus en fonction de certaines caractéristiques, par exemple s’ils ont été lancés à partir d’un téléchargement Internet. Ces niveaux d’intégrité influencent les autorisations sur les ressources..
Lancement deProcessMD5 string Hachage MD5 du processus d’initiation (fichier image).
Lancement deProcessParentCreationTime DATETIME Date et heure de démarrage du parent du processus responsable de l’événement.
Lancement deProcessParentFileName string Nom du processus parent qui a généré le processus initial.
Lancement deProcessParentId long ID de processus (PID) du processus parent qui a généré le processus initial.
InitialingProcessSHA1 string Hachage SHA-1 du processus initial (fichier image).
InitialingProcessSHA256 string Hachage SHA-256 du processus initial (fichier image). Dans certains cas, cette colonne peut ne pas être remplie. Utilisez plutôt la colonne InitiatingProcessSHA1.
Lancement deProcessTokenElevation string Type de jeton indiquant la présence ou l’absence d’élévation de privilèges utilisateur Access Control (UAC) appliquée au processus de lancement.
InitiatingProcessVersionInfoCompanyName string Nom de la société dans les informations de version (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoFileDescription string Description dans les informations de version (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoInternalFileName string Nom de fichier interne dans les informations de version (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoOriginalFileName string Nom de fichier d’origine dans les informations de version (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoProductName string Nom du produit dans les informations de version (fichier image) responsable de l’événement.
Lancement deProcessVersionInfoProductVersion string Version du produit dans les informations de version (fichier image) responsable de l’événement.
_IsBillable string Spécifie si l’ingestion des données est facturable. Lorsque _IsBillable l’ingestion n’est false pas facturée à votre compte Azure
MachineGroup string Groupe d’ordinateurs de la machine. Ce groupe est utilisé par le contrôle d’accès en fonction du rôle pour déterminer l’accès à l’ordinateur.
PreviousRegistryKey string Clé de Registre d’origine avant sa modification.
PreviousRegistryValueData string Données d’origine de la valeur du Registre avant leur modification.
PreviousRegistryValueName string Nom d’origine de la valeur du Registre avant sa modification.
RegistryKey string Clé de Registre à laquelle l’action enregistrée a été appliquée.
RegistryValueData string Données de la valeur de Registre à laquelle l’action enregistrée a été appliquée.
RegistryValueName string Nom de la valeur de Registre à laquelle l’action enregistrée a été appliquée.
RegistryValueType string Type de données, tel que binaire ou chaîne, de la valeur de Registre à laquelle l’action enregistrée a été appliquée.
ReportId long Identificateur d’événement basé sur un compteur répétiteur. Pour identifier les événements uniques, cette colonne doit être utilisée conjointement avec les colonnes ComputerName et EventTime.
SourceSystem string Type d’agent par lequel l’événement a été collecté. Par exemple, OpsManager pour l’agent Windows, la connexion directe ou Operations Manager, Linux pour tous les agents Linux ou Azure pour Diagnostics Azure
TenantId string ID de l’espace de travail Log Analytics
TimeGenerated DATETIME Date et heure d’enregistrement de l’événement par l’agent MDE sur le point de terminaison.
Type string Le nom de la table