AlertEvidence
참고
Microsoft 365 Defender를 경험해 보고 싶으신가요? Microsoft 365 Defender 평가하고 파일럿하는 방법에 대해 자세히 알아보세요.
적용 대상:
- Microsoft 365 Defender
고급 헌팅 계획의 표에는 AlertEvidence 끝점용 Microsoft Defender, Office 365용 Microsoft Defender, 클라우드 앱용 Microsoft Defender 및 ID용 Microsoft Defender의 경고와 관련된 다양한 엔터티(파일, IP 주소, URL, 사용자 또는 장치)에 대한 정보가 포함되어 있습니다. 이 참조를 사용하여 이 표의 정보를 반환하는 쿼리를 생성합니다.
고급 헌팅 스키마의 다른 표에 대한 자세한 내용은 고급 헌팅 참조를 참조하세요.
| 열 이름 | 데이터 형식 | 설명 |
|---|---|---|
Timestamp |
datetime |
이벤트가 기록된 날짜와 시간 |
AlertId |
string |
경고의 고유 식별자입니다. |
ServiceSource |
string |
경고 정보를 제공한 제품 또는 서비스 |
EntityType |
string |
파일, 프로세스, 장치 또는 사용자와 같은 개체 유형 |
EvidenceRole |
string |
엔터티가 경고에 관여하는 방법, 영향이 있는지 아니면 그와만 관련이 있는지를 나타내는 알림 |
EvidenceDirection |
string |
엔터티가 네트워크 연결의 원본인지 아니면 대상인지를 나타냅니다. |
FileName |
string |
기록된 조치가 적용된 파일의 이름 |
FolderPath |
string |
기록된 작업이 적용된 파일이 들어 있는 폴더 |
SHA1 |
string |
기록된 조치가 적용된 파일의 SHA-1 |
SHA256 |
string |
기록된 조치가 적용된 파일의 SHA-256 이 필드는 일반적으로 채워지지 않습니다. 사용 가능한 경우 SHA1 열을 사용 합니다. |
FileSize |
int |
파일 크기(bytes)입니다. |
ThreatFamily |
string |
의심스러운 파일 또는 악의적인 파일 또는 프로세스가 분류된 맬웨어 패밀리 |
RemoteIP |
string |
연결된 IP 주소 |
RemoteUrl |
string |
연결된 URL 또는 FQDN(정규화된 도메인 이름) |
AccountName |
string |
계정의 사용자 이름 |
AccountDomain |
string |
계정의 도메인 |
AccountSid |
string |
계정의 SID(보안 식별자)입니다. |
AccountObjectId |
string |
계정의 고유 식별자입니다Azure Active Directory |
AccountUpn |
string |
계정의 UPN(사용자 계정 이름) |
DeviceId |
string |
서비스에서 디바이스의 고유 식별자 |
DeviceName |
string |
컴퓨터의 FQDN(정규화된 도메인 이름) |
LocalIP |
string |
통신 중에 사용되는 로컬 장치에 할당된 IP 주소 |
NetworkMessageId |
string |
Office 365에서 생성되는 전자 메일의 고유 식별자 |
EmailSubject |
string |
전자 메일 제목 |
ApplicationId |
string |
응용 프로그램의 고유 식별자 |
Application |
string |
기록된 작업을 수행한 응용 프로그램 |
ProcessCommandLine |
string |
새 프로세스를 만드는 데 사용되는 명령줄 |
AdditionalFields |
string |
JSON 배열 형식의 이벤트에 대한 추가 정보 |
RegistryKey |
string |
기록된 작업이 적용된 레지스트리 키 |
RegistryValueName |
string |
기록된 작업이 적용된 레지스트리 값의 이름입니다. |
RegistryValueData |
string |
기록된 작업이 적용된 레지스트리 값의 데이터 |