ASimProcessEventLogs
La table normalisée des événements de processus Microsoft Sentinel stocke les événements à l’aide du schéma normalisé ASIM de l’événement de processus associé à la création ou à l’arrêt d’un processus. Ces événements sont signalés par les systèmes d’exploitation et les systèmes de sécurité, tels que les systèmes de détection de points de terminaison et de réponse.
Attributs de table
Attribut | Valeur |
---|---|
Types de ressource | microsoft.securityinsights/processeventnormalized |
Catégories | Sécurité |
Solutions | SecurityInsights |
Journal de base | No |
Transformation au moment de l’ingestion | Yes |
Exemples de requêtes | - |
Colonnes
Colonne | Type | Description |
---|---|---|
ActingProcessCommandLine | string | Ligne de commande utilisée pour exécuter le processus agissant. |
ActingProcessCreationTime | DATETIME | Date et heure du début du processus agissant. |
ActingProcessFileCompany | string | Société qui a créé le fichier d’image de processus agissant. |
ActingProcessFileDescription | string | Description incorporée dans les informations de version du fichier image du processus agissant. |
ActingProcessFileInternalName | string | Nom de fichier interne de produit issu des informations de version dans le fichier image du processus agissant. |
ActingProcessFilename | string | Nom du fichier produit à partir des informations de version du fichier image de processus agissant. |
ActingProcessFileOriginalName | string | Nom de fichier d’origine de produit issu des informations de version dans le fichier image du processus agissant. |
ActingProcessFileProduct | string | Nom de produit issu des informations de version dans le fichier image du processus agissant. |
ActingProcessFileSize | long | Taille du fichier, en octets, qui a exécuté le processus agissant. |
ActingProcessFileVersion | string | Version de produit issue des informations de version dans le fichier image du processus agissant. |
ActingProcessGuid | string | GUID du processus agissant. |
ActingProcessId | string | ID de processus du processus en cours d’action. |
ActingProcessIMPHASH | string | Le hachage d’importation de toutes les dll de bibliothèque utilisées par le processus agissant. |
ActingProcessInjectedAddress | string | Adresse mémoire dans laquelle le processus agissant responsable est stocké. |
ActingProcessIntegrityLevel | string | Niveau d’intégrité pour le processus d’action. |
ActingProcessIsHidden | bool | Indique si le processus agissant est en mode masqué. |
ActingProcessMD5 | string | Hachage MD5 du fichier image du processus agissant. |
ActingProcessName | string | Nom du processus agissant. |
ActingProcessSHA1 | string | Hachage SHA-1 du fichier image du processus agissant. |
ActingProcessSHA256 | string | Hachage SHA-256 du fichier image du processus agissant. |
ActingProcessSHA512 | string | Hachage SHA-512 du fichier image du processus agissant. |
ActingProcessTokenElevation | string | Jeton indiquant la présence ou l’absence de l’élévation des privilèges de l’utilisateur Access Control (UAC) appliquée au processus agissant. |
ActorOriginalUserType | string | Type d’utilisateur signalé par le dispositif de reporting. |
ActorScope | string | L’étendue, par exemple l’abonné Azure AD, dans laquelle ActorUserId et ActorUsername sont définis. |
ActorScopeId | string | ID d’étendue, tel que l’ID de locataire Azure AD, dans lequel ActorUserId et ActorUsername sont définis. |
ActorSessionId | string | ID unique de la session de connexion de l’intervenant. |
ActorUserId | string | Représentation unique, alphanumérique et lisible par ordinateur de l’acteur. |
ActorUserIdType | string | Type de l’ID stocké dans le champ ActorUserId. |
ActorUsername | string | Nom d’utilisateur de l’acteur, y compris les informations de domaine lorsqu’elles sont disponibles. |
ActorUsernameType | string | Type du nom d’utilisateur de l’acteur spécifié dans le champ ActionNomutilisateur |
ActorUserType | string | Type de l’intervenant. |
AdditionalFields | dynamique | Informations supplémentaires, représentées à l’aide de paires clé/valeur fournies par la source qui ne sont pas mappées à ASim. |
_BilledSize | real | Taille de l’enregistrement en octets |
DvcAction | string | Pour les systèmes de sécurité de création de rapports, action entreprise par le système. |
DvcDescription | string | Obtient le texte descriptif associé à l’appareil. |
DvcDomain | string | Domaine de l’appareil signalant l’événement. |
DvcDomainType | string | Type de DvcDomain. Les valeurs possibles incluent « Windows » et « FQDN ». |
DvcFQDN | string | Nom d’hôte de l’appareil sur lequel l’événement s’est produit ou qui a signalé l’événement. |
DvcHostname | string | Nom d’hôte de l’appareil signalant l’événement. |
DvcId | string | ID unique de l’appareil sur lequel l’événement s’est produit ou qui a signalé l’événement. |
DvcIdType | string | Type de DvcId. |
DvcInterface | string | Interface réseau sur laquelle les données ont été capturées. |
DvcIpAddr | string | Adresse IP de l’appareil signalant l’événement. |
DvcMacAddr | string | L'adresse MAC du dispositif sur lequel l'événement s'est produit ou qui a signalé l'événement. |
DvcOriginalAction | string | Le DvcAction d’origine, tel que fourni par l’appareil de reporting. |
DvcOs | string | Le système d’exploitation exécuté sur le dispositif sur lequel l'événement s'est produit ou qui a signalé l'événement. |
DvcOsVersion | string | La version du système d’exploitation du dispositif sur lequel l'événement s'est produit ou qui a signalé l'événement. |
DvcScope | string | Étendue de la plateforme cloud à laquelle appartient l’appareil source. DvcScope correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
DvcScopeId | string | ID de l’étendue de la plateforme cloud à laquelle appartient l’appareil source. DvcScopeId correspond à un ID d’abonnement sur Azure et à un ID de compte sur AWS. |
DvcZone | string | Réseau sur lequel l’événement s’est produit ou qui a signalé l’événement. |
EventCount | int | Nombre d’événements décrits par l’enregistrement. |
EventEndTime | DATETIME | Heure de fin de l’événement. Si la source prend en charge l’agrégation et que l’enregistrement représente plusieurs événements, il s’agit de l’heure à laquelle le dernier événement a été généré. S’il n’est pas fourni par l’enregistrement source, ce champ est un alias du champ TimeGenerated. |
EventMessage | string | Message ou description général. |
EventOriginalResultDetails | string | Détails des résultats d’origine fournis par la source. |
EventOriginalSeverity | string | La gravité d’origine, telle que fournie par l’appareil de reporting. |
EventOriginalSubType | string | Sous-type ou ID d’événement d’origine, s’il est fourni par la source. |
EventOriginalType | string | Type ou ID d’événement d’origine, s’il est fourni par la source. |
EventOriginalUid | string | ID unique de l’enregistrement d’origine, s’il est fourni par la source. |
EventOwner | string | Le propriétaire de l’événement, qui est généralement le service ou la filiale dans lequel il a été généré. |
EventProduct | string | Produit générant l’événement. |
EventProductVersion | string | Version du produit générant l’événement. |
EventReportUrl | string | URL fournie dans l’événement pour une ressource qui apporte plus d’informations sur l’événement. |
EventResult | string | Résultat de l’événement, représenté par l’une des valeurs suivantes : Réussite, Partielle, Échec, NA (Non applicable). La valeur peut ne pas être fournie directement par les sources, auquel cas elle est dérivée d’autres champs d’événement, par exemple le champ EventResultDetails. |
EventResultDetails | string | Raison ou détails du résultat rapporté dans le champ EventResult. |
EventSchemaVersion | string | Version du schéma. |
EventSeverity | string | La gravité de l’événement. Les valeurs valides sont les suivantes : Informational, Low, Medium ou High. |
EventStartTime | DATETIME | Heure de début de l’événement. Si la source prend en charge l’agrégation et que l’enregistrement représente plusieurs événements, il s’agit de l’heure à laquelle le premier événement a été généré. S’il n’est pas fourni par l’enregistrement source, ce champ est un alias du champ TimeGenerated. |
EventSubType | string | Décrit une subdivision de l’opération rapportée dans le champ EventType. |
Type d’événement | string | Décrit l’opération signalée par l’enregistrement |
EventVendor | string | Fournisseur du produit générant l’événement. |
_IsBillable | string | Spécifie si l’ingestion des données est facturable. Quand _IsBillable est l’ingestion false n’est pas facturée à votre compte Azure |
ParentProcessCreationTime | DATETIME | Date et heure du début du processus parent. |
ParentProcessFileCompany | string | Société qui a créé le fichier image de processus parent. |
ParentProcessFileDescription | string | Description des informations de version du fichier image de processus parent. |
ParentProcessFileProduct | string | Nom du produit à partir des informations de version dans le fichier image de processus parent. |
ParentProcessFileVersion | string | Version du produit à partir des informations de version du fichier image de processus parent. |
ParentProcessGuid | string | GUID du processus parent. |
ParentProcessId | string | ID de processus du processus parent. |
ParentProcessIMPHASH | string | Le hachage d’importation de toutes les dll de bibliothèque utilisées par le processus parent. |
ParentProcessInjectedAddress | string | Adresse mémoire dans laquelle le processus parent responsable est stocké. |
ParentProcessIntegrityLevel | string | Niveau d’intégrité pour le processus parent. |
ParentProcessIsHidden | bool | Indique si le processus parent est en mode masqué. |
ParentProcessMD5 | string | Hachage MD5 du fichier image du processus parent. |
ParentProcessName | string | Nom du processus parent. |
ParentProcessSHA1 | string | Hachage SHA-1 du fichier image du processus parent. |
ParentProcessSHA256 | string | Hachage SHA-256 du fichier image du processus parent. |
ParentProcessSHA512 | string | Hachage SHA-512 du fichier image du processus parent. |
ParentProcessTokenElevation | string | Jeton indiquant la présence ou l’absence de l’élévation des privilèges de l’utilisateur Access Control (UAC) appliquée au processus parent. |
_ResourceId | string | Un identificateur unique de la ressource à laquelle l’enregistrement est associé |
RuleName | string | Nom ou ID de la règle associée aux résultats de l’inspection. |
RuleNumber | int | Numéro de la règle associée aux résultats de l’inspection. |
SourceSystem | string | Type d’agent par lequel l’événement a été collecté. Par exemple, OpsManager pour l’agent Windows, la connexion directe ou Operations Manager, Linux pour tous les agents Linux ou Azure pour Diagnostics Azure |
_SubscriptionId | string | Un identificateur unique de l’abonnement auquel l’enregistrement est associé |
TargetOriginalUserType | string | Type d’utilisateur signalé par le dispositif de reporting. |
TargetProcessCommandLine | string | Ligne de commande utilisée pour exécuter le processus cible. |
TargetProcessCreationTime | DATETIME | Date et heure de démarrage du processus cible. |
TargetProcessCurrentDirectory | string | Répertoire actif dans lequel le processus cible est exécuté. |
TargetProcessFileCompany | string | Société qui a créé le fichier image de processus cible. |
TargetProcessFileDescription | string | Description des informations de version du fichier image du processus cible. |
TargetProcessFileInternalName | string | Nom de fichier interne du produit à partir des informations de version du fichier image du processus cible. |
TargetProcessFilename | string | Nom du fichier produit à partir des informations de version du fichier image du processus cible. |
TargetProcessFileOriginalName | string | Nom de fichier d’origine du produit à partir des informations de version du fichier image de processus cible. |
TargetProcessFileProduct | string | Nom du produit à partir des informations de version dans le fichier image du processus cible. |
TargetProcessFileSize | long | Taille du fichier en octets qui a exécuté le processus responsable de l’événement. |
TargetProcessFileVersion | string | Version de produit issue des informations de version dans le fichier image du processus cible. |
TargetProcessGuid | string | GUID du processus cible. |
TargetProcessId | string | ID de processus du processus cible. |
TargetProcessIMPHASH | string | Le hachage d’importation de toutes les dll de bibliothèque utilisées par le processus cible. |
TargetProcessInjectedAddress | string | Adresse mémoire dans laquelle le processus cible responsable est stocké. |
TargetProcessIntegrityLevel | string | Niveau d’intégrité pour le processus cible. |
TargetProcessIsHidden | bool | Indique si le processus cible est en mode masqué. |
TargetProcessMD5 | string | Hachage MD5 du fichier image du processus cible. |
TargetProcessName | string | Nom du processus cible. |
TargetProcessSHA1 | string | Hachage SHA-1 du fichier image du processus cible. |
TargetProcessSHA256 | string | Hachage SHA-256 du fichier image du processus cible. |
TargetProcessSHA512 | string | Hachage SHA-512 du fichier image du processus cible. |
TargetProcessStatusCode | string | Code de sortie retourné par le processus cible en cas d’arrêt. |
TargetProcessTokenElevation | string | Jeton indiquant la présence ou l’absence d’élévation de privilèges Utilisateur Access Control (UAC) appliquée au processus cible. |
TargetScope | string | Étendue, par exemple l’abonné Azure AD, dans laquelle DstUserId et DstUsername sont définis. |
TargetScopeId | string | ID d’étendue, tel que l’ID de locataire Azure AD, dans lequel TargetUserId et TargetUsername sont définis. |
TargetUserId | string | Représentation unique, alphanumérique et lisible par machine de l’acteur. |
TargetUserIdType | string | Type de l’ID stocké dans le champ TargetUserId. |
TargetUsername | string | Nom d’utilisateur de l’acteur cible, y compris les informations de domaine lorsqu’elles sont disponibles. |
TargetUsernameType | string | Type du nom d’utilisateur de l’acteur cible spécifié dans le champ TargetUsername |
TargetUserSessionGuid | string | GUID unique de la session de connexion de l’acteur cible. |
TargetUserSessionId | string | ID unique de la session de connexion de l’acteur cible. |
TargetUserType | string | Type de l’acteur cible. |
TenantId | string | ID de l’espace de travail Log Analytics |
ThreatCategory | string | Catégorie de la menace ou du programme malveillant identifié dans l’activité. |
ThreatConfidence | int | Niveau de confiance de la menace identifiée, normalisé à une valeur comprise entre 0 et 100. |
ThreatField | string | Champ pour lequel une menace a été identifiée. |
ThreatFirstReportedTime | DATETIME | Indique la première fois que l’adresse IP ou le domaine ont été identifiés comme une menace. |
ThreatId | string | ID de la menace ou du programme malveillant identifié dans l’activité. |
ThreatIsActive | bool | True ID de la menace identifiée qui est considérée comme une menace active. |
ThreatLastReportedTime | DATETIME | La dernière fois que l’adresse IP ou le domaine ont été identifiés comme une menace. |
ThreatName | string | Nom de la menace ou du programme malveillant identifié dans l’activité. |
ThreatOriginalConfidence | string | Niveau de confiance d’origine de la menace identifiée, comme indiqué par l’appareil de création de rapports. |
ThreatOriginalRiskLevel | string | Niveau de risque signalé par le périphérique de reporting. |
ThreatRiskLevel | int | Niveau de risque associé à la menace identifiée. Le niveau doit être un nombre compris entre 0 et 100. |
TimeGenerated | DATETIME | Horodatage (UTC) qui reflète l’heure à laquelle l’événement a été généré. |
Type | string | Le nom de la table |
Commentaires
https://aka.ms/ContentUserFeedback.
Bientôt disponible : Tout au long de 2024, nous allons supprimer progressivement GitHub Issues comme mécanisme de commentaires pour le contenu et le remplacer par un nouveau système de commentaires. Pour plus d’informations, consultezEnvoyer et afficher des commentaires pour