IdentityQueryEvents

Si applica a:

• Microsoft Defender XDR

La IdentityQueryEvents tabella nello schema di ricerca avanzata contiene informazioni sulle query eseguite su oggetti Active Directory, ad esempio utenti, gruppi, dispositivi e domini. Usare questo riferimento per creare query che restituiscono informazioni dalla tabella.

Consiglio

Per informazioni dettagliate sui tipi di eventi (ActionTypevalori) supportati da una tabella, usare il riferimento allo schema predefinito disponibile in Microsoft Defender XDR.

Per informazioni su altre tabelle nello schema per Ricerca avanzata, vedere il riferimento sulla Ricerca avanzata.

Nome colonna	Tipo di dati	Descrizione
Timestamp	datetime	Data e ora di registrazione dell'evento
ActionType	string	Tipo di attività che ha attivato l'evento. Per informazioni dettagliate, vedere le informazioni di riferimento sullo schema nel portale
Application	string	Applicazione che ha eseguito l'azione registrata
QueryType	string	Tipo di query, ad esempio QueryGroup, QueryUser o EnumerateUsers
QueryTarget	string	Nome dell'utente, del gruppo, del dispositivo, del dominio o di qualsiasi altro tipo di entità sottoposto a query
Query	string	Stringa usata per eseguire la query
Protocol	string	Protocollo usato durante la comunicazione
AccountName	string	Nome utente dell'account
AccountDomain	string	Dominio dell'account
AccountUpn	string	Nome dell'entità utente (UPN) dell'account
AccountSid	string	Identificatore di sicurezza (SID) dell'account
AccountObjectId	string	Identificatore univoco per l'account in Microsoft Entra ID
AccountDisplayName	string	Nome dell'utente dell'account visualizzato nella rubrica. In genere una combinazione di un nome specificato o di un nome, un iniziale centrale e un cognome o un cognome.
DeviceName	string	Nome di dominio completo (FQDN) del dispositivo
IPAddress	string	Indirizzo IP assegnato all'endpoint e usato durante le comunicazioni di rete correlate
Port	int	Porta TCP usata durante la comunicazione
DestinationDeviceName	string	Nome del dispositivo che esegue l'applicazione server che ha elaborato l'azione registrata
DestinationIPAddress	string	Indirizzo IP del dispositivo che esegue l'applicazione server che ha elaborato l'azione registrata
DestinationPort	int	Porta di destinazione delle comunicazioni di rete correlate
TargetDeviceName	string	Nome di dominio completo (FQDN) del dispositivo a cui è stata applicata l'azione registrata
TargetAccountUpn	string	Nome dell'entità utente (UPN) dell'account a cui è stata applicata l'azione registrata
TargetAccountDisplayName	string	Nome visualizzato dell'account a cui è stata applicata l'azione registrata
Location	string	Città, paese/area geografica o altra posizione geografica associata all'evento
ReportId	string	Identificatore univoco per l'evento
AdditionalFields	dynamic	Informazioni aggiuntive sull'entità o sull'evento

Argomenti correlati

• Panoramica della rilevazione avanzata
• Capire il linguaggio delle query
• Utilizzare le query condivise
• Cercare tra dispositivi, posta elettronica, app e identità
• Comprendere lo schema
• Applicare le procedure consigliate per le query

Consiglio

Per saperne di più, Engage con la community Microsoft Security nella community tech: Microsoft Defender XDR Tech Community.