DeviceProcessEventsDeviceProcessEvents

중요

개선된 Microsoft 365 보안 센터를 사용할 수 있습니다.The improved Microsoft 365 security center is now available. 이 새로운 환경은 엔드포인트용 Defender, Office 365용 Defender, Microsoft 365 Defender 등을 Microsoft 365 보안 센터에 제공합니다.This new experience brings Defender for Endpoint, Defender for Office 365, Microsoft 365 Defender, and more into the Microsoft 365 security center. 새로운 기능에 대해 알아보세요.Learn what's new.

적용 대상:Applies to:

  • Microsoft 365 DefenderMicrosoft 365 Defender
  • 끝점용 Microsoft DefenderMicrosoft Defender for Endpoint

고급 DeviceProcessEvents 헌팅 계획의 표에는 프로세스 만들기 및 관련 이벤트에 대한 정보가 포함되어 있습니다.The DeviceProcessEvents table in the advanced hunting schema contains information about process creation and related events. 이 참조를 사용하여 이 표의 정보를 반환하는 쿼리를 생성합니다.Use this reference to construct queries that return information from this table.

테이블에서 지원하는 이벤트 유형(값)에 대한 자세한 내용은 보안 센터에서 사용할 수 있는 기본 제공 ActionType Schema 참조를 사용합니다.For detailed information about the events types (ActionType values) supported by a table, use the built-in schema reference available in the security center.

고급 헌팅 스키마의 다른 표에 대한 자세한 내용은 고급 헌팅 참조를 참조하세요.For information on other tables in the advanced hunting schema, see the advanced hunting reference.

열 이름Column name 데이터 형식Data type 설명Description
Timestamp datetimedatetime 이벤트가 기록된 날짜와 시간Date and time when the event was recorded
DeviceId 문자열string 서비스에서 시스템의 고유 식별자Unique identifier for the machine in the service
DeviceName 문자열string 컴퓨터의 FQDN(정규화된 도메인 이름)Fully qualified domain name (FQDN) of the machine
ActionType 문자열string 이벤트를 트리거한 활동의 유형입니다.Type of activity that triggered the event. 자세한 내용은 포털 내 Schema 참조를 참조합니다.See the in-portal schema reference for details
FileName 문자열string 기록된 조치가 적용된 파일의 이름Name of the file that the recorded action was applied to
FolderPath 문자열string 기록된 작업이 적용된 파일이 들어 있는 폴더Folder containing the file that the recorded action was applied to
SHA1 문자열string 기록된 조치가 적용된 파일의 SHA-1SHA-1 of the file that the recorded action was applied to
SHA256 문자열string 기록된 조치가 적용된 파일의 SHA-256SHA-256 of the file that the recorded action was applied to. 일반적으로이 필드는 채워지지 않습니다. 가능한 경우 SHA1 열을 사용합니다.This field is usually not populated — use the SHA1 column when available.
MD5 문자열string 기록된 작업이 적용된 파일의 MD5 해시입니다.MD5 hash of the file that the recorded action was applied to
FileSize longlong 파일 크기(bytes)입니다.Size of the file in bytes
ProcessVersionInfoCompanyName 문자열string 새로 만든 프로세스의 버전 정보의 회사 이름Company name from the version information of the newly created process
ProcessVersionInfoProductName 문자열string 새로 만든 프로세스의 버전 정보의 제품 이름Product name from the version information of the newly created process
ProcessVersionInfoProductVersion 문자열string 새로 만든 프로세스의 버전 정보의 제품 버전Product version from the version information of the newly created process
ProcessVersionInfoInternalFileName 문자열string 새로 만든 프로세스의 버전 정보의 내부 파일 이름Internal file name from the version information of the newly created process
ProcessVersionInfoOriginalFileName 문자열string 새로 만든 프로세스의 버전 정보의 원래 파일 이름Original file name from the version information of the newly created process
ProcessVersionInfoFileDescription 문자열string 새로 만든 프로세스의 버전 정보 설명Description from the version information of the newly created process
ProcessId intint 새로 만든 프로세스의 PID(프로세스 ID)입니다.Process ID (PID) of the newly created process
ProcessCommandLine 문자열string 새 프로세스를 만드는 데 사용되는 명령줄Command line used to create the new process
ProcessIntegrityLevel 문자열string 새로 만든 프로세스의 무결성 수준입니다.Integrity level of the newly created process. Windows 다운로드한 인터넷에서 시작된 경우와 같이 특정 특성을 기반으로 프로세스에 무결성 수준을 할당합니다.Windows assigns integrity levels to processes based on certain characteristics, such as if they were launched from an internet downloaded. 이러한 무결성 수준은 리소스에 대한 사용 권한에 영향을 미치기These integrity levels influence permissions to resources
ProcessTokenElevation 문자열string 새로 만든 프로세스에 적용되는 토큰 권한 상승 유형을 나타냅니다.Indicates the type of token elevation applied to the newly created process. 가능한 값: TokenElevationTypeLimited(제한), TokenElevationTypeDefault(표준) 및 TokenElevationTypeFull(상승)Possible values: TokenElevationTypeLimited (restricted), TokenElevationTypeDefault (standard), and TokenElevationTypeFull (elevated)
ProcessCreationTime datetimedatetime 프로세스가 만들어진 날짜 및 시간Date and time the process was created
AccountDomain 문자열string 계정의 도메인Domain of the account
AccountName 문자열string 계정의 사용자 이름User name of the account
AccountSid 문자열string 계정의 SID(보안 식별자)입니다.Security Identifier (SID) of the account
AccountUpn 문자열string 계정의 UPN(사용자 계정 이름)User principal name (UPN) of the account
AccountObjectId 문자열string Azure AD에서 계정의 고유 식별자Unique identifier for the account in Azure AD
LogonId 문자열string 로그온 세션의 식별자입니다.Identifier for a logon session. 이 식별자는 다시 시작 사이에 동일한 컴퓨터만 고유합니다.This identifier is unique on the same machine only between restarts
InitiatingProcessAccountDomain 문자열string 이벤트를 담당하는 프로세스를 시작한 계정의 도메인입니다.Domain of the account that ran the process responsible for the event
InitiatingProcessAccountName 문자열string 이벤트를 담당하는 프로세스를 시작한 계정의 사용자 이름입니다.User name of the account that ran the process responsible for the event
InitiatingProcessAccountSid 문자열string 이벤트를 담당하는 프로세스를 시작한 계정의 SID(보안 식별자)입니다.Security Identifier (SID) of the account that ran the process responsible for the event
InitiatingProcessAccountUpn 문자열string 이벤트를 담당하는 프로세스를 시작한 계정의 UPN(사용자 계정 이름)입니다.User principal name (UPN) of the account that ran the process responsible for the event
InitiatingProcessAccountObjectId 문자열string 이벤트를 담당하는 프로세스를 시작한 사용자 계정의 Azure AD 개체 ID입니다.Azure AD object ID of the user account that ran the process responsible for the event
InitiatingProcessLogonId 문자열string 이벤트를 시작한 프로세스의 로그온 세션 식별자입니다.Identifier for a logon session of the process that initiated the event. 이 식별자는 다시 시작 사이에만 동일한 컴퓨터의 고유합니다.This identifier is unique on the same machine only between restarts.
InitiatingProcessIntegrityLevel 문자열string 이벤트를 시작한 프로세스의 무결성 수준입니다.Integrity level of the process that initiated the event. Windows 인터넷 다운로드에서 시작된 경우와 같은 특정 특성을 기반으로 프로세스에 무결성 수준을 할당합니다.Windows assigns integrity levels to processes based on certain characteristics, such as if they were launched from an internet download. 이러한 무결성 수준은 리소스에 대한 사용 권한에 영향을 미치기These integrity levels influence permissions to resources
InitiatingProcessTokenElevation 문자열string 이벤트를 시작한 프로세스에 적용되는 UAC(사용자 액세스 제어) 권한 상승의 유무를 나타내는 토큰 형식입니다.Token type indicating the presence or absence of User Access Control (UAC) privilege elevation applied to the process that initiated the event
InitiatingProcessSHA1 문자열string 이벤트를 시작한 프로세스(이미지 파일)의 SHA-1SHA-1 of the process (image file) that initiated the event
InitiatingProcessSHA256 문자열string 이벤트를 시작한 프로세스(이미지 파일)의 SHA-256입니다.SHA-256 of the process (image file) that initiated the event. 일반적으로이 필드는 채워지지 않습니다. 가능한 경우 SHA1 열을 사용합니다.This field is usually not populated — use the SHA1 column when available.
InitiatingProcessMD5 문자열string 이벤트를 시작한 프로세스(이미지 파일)의 MD5 해시입니다.MD5 hash of the process (image file) that initiated the event
InitiatingProcessFileName 문자열string 이벤트를 시작한 프로세스의 이름입니다.Name of the process that initiated the event
InitiatingProcessFileSize longlong 이벤트를 담당하는 프로세스를 시작한 파일의 크기입니다.Size of the file that ran the process responsible for the event
InitiatingProcessVersionInfoCompanyName 문자열string 이벤트를 담당하는 프로세스의 버전 정보(이미지 파일)의 회사 이름Company name from the version information of the process (image file) responsible for the event
InitiatingProcessVersionInfoProductName 문자열string 이벤트를 담당하는 프로세스의 버전 정보(이미지 파일)의 제품 이름Product name from the version information of the process (image file) responsible for the event
InitiatingProcessVersionInfoProductVersion 문자열string 이벤트를 담당하는 프로세스의 버전 정보(이미지 파일)의 제품 버전Product version from the version information of the process (image file) responsible for the event
InitiatingProcessVersionInfoInternalFileName 문자열string 이벤트를 담당하는 프로세스의 버전 정보(이미지 파일)의 내부 파일 이름Internal file name from the version information of the process (image file) responsible for the event
InitiatingProcessVersionInfoOriginalFileName 문자열string 이벤트를 담당하는 프로세스의 버전 정보(이미지 파일)의 원래 파일 이름입니다.Original file name from the version information of the process (image file) responsible for the event
InitiatingProcessVersionInfoFileDescription 문자열string 이벤트를 담당하는 프로세스(이미지 파일)의 버전 정보 설명Description from the version information of the process (image file) responsible for the event
InitiatingProcessId intint 이벤트를 시작한 프로세스의 PID(프로세스 ID)입니다.Process ID (PID) of the process that initiated the event
InitiatingProcessCommandLine 문자열string 이벤트를 시작한 프로세스를 실행하는 데 사용되는 명령줄Command line used to run the process that initiated the event
InitiatingProcessCreationTime datetimedatetime 이벤트를 시작한 프로세스가 시작된 날짜 및 시간Date and time when the process that initiated the event was started
InitiatingProcessFolderPath 문자열string 이벤트를 시작한 프로세스(이미지 파일)가 포함된 폴더Folder containing the process (image file) that initiated the event
InitiatingProcessParentId intint 이벤트를 담당하는 프로세스를 시작한 상위 프로세스의 PID(프로세스 ID)입니다.Process ID (PID) of the parent process that spawned the process responsible for the event
InitiatingProcessParentFileName 문자열string 이벤트를 담당하는 프로세스를 시작한 상위 프로세스의 이름입니다.Name of the parent process that spawned the process responsible for the event
InitiatingProcessParentCreationTime datetimedatetime 이벤트를 담당하는 프로세스의 부모가 시작된 날짜 및 시간입니다.Date and time when the parent of the process responsible for the event was started
InitiatingProcessSignerType 문자열string 이벤트를 시작한 프로세스의 파일 서명자 유형(이미지 파일)Type of file signer of the process (image file) that initiated the event
InitiatingProcessSignatureStatus 문자열string 이벤트를 시작한 프로세스(이미지 파일)의 서명 상태에 대한 정보Information about the signature status of the process (image file) that initiated the event
ReportId longlong 반복 카운터를 기반으로 하는 이벤트 식별자입니다.Event identifier based on a repeating counter. 고유한 이벤트를 식별하려면 이 열을 DeviceName 및 Timestamp 열과 함께 사용해야 합니다.To identify unique events, this column must be used in conjunction with the DeviceName and Timestamp columns
AppGuardContainerId 문자열string Application Guard에서 브라우저 활동을 격리하기 위해 사용하는 가상화된 컨테이너의 식별자Identifier for the virtualized container used by Application Guard to isolate browser activity
AdditionalFields 문자열string JSON 배열 형식의 이벤트에 대한 추가 정보Additional information about the event in JSON array format