DeviceEvents

  • Artikel

Deze tabel maakt deel uit van Microsoft Defender voor eindpunten met Azure Sentinel. Deze tabel bevat meerdere gebeurtenistypen, waaronder gebeurtenissen die worden geactiveerd door beveiligingsbesturingselementen zoals Windows Defender Antivirus en Exploit Protection.

Tabelkenmerken

Kenmerk Waarde
Resourcetypen -
Categorieën Beveiliging
Oplossingen SecurityInsights
Basic-logboek No
Opnametijdtransformatie Yes
Voorbeeldquery's -

Kolommen

Kolom Type Description
AccountDomain tekenreeks Domein van het account.
AccountName tekenreeks Gebruikersnaam van het account.
AccountSid tekenreeks Beveiligings-id (SID) van het account.
ActionType tekenreeks Type activiteit dat de gebeurtenis heeft geactiveerd.
AdditionalFields dynamisch Aanvullende informatie over de entiteit of gebeurtenis.
AppGuardContainerId tekenreeks Id voor de gevirtualiseerde container die door Application Guard wordt gebruikt om browseractiviteit te isoleren.
_BilledSize werkelijk De recordgrootte in bytes
DeviceId tekenreeks Unieke id voor het apparaat in de service.
DeviceName tekenreeks Fully Qualified Domain Name (FQDN) van het apparaat.
Bestandsnaam tekenreeks Domein van het account.
FileOriginIP tekenreeks IP-adres waarvandaan het bestand is gedownload.
FileOriginUrl tekenreeks URL van waaruit het bestand is gedownload.
Bestandsgrootte long Grootte van het bestand in bytes.
FolderPath tekenreeks Domein van het account.
InitiatingProcessAccountDomain tekenreeks Domein van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountName tekenreeks Gebruikersnaam van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountObjectId tekenreeks Azure AD object-id van het gebruikersaccount dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountSid tekenreeks Beveiligings-id (SID) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountUpn tekenreeks Upn (User Principal Name) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessCommandLine tekenreeks Opdrachtregel die wordt gebruikt om het proces uit te voeren dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessCreationTime datum/tijd De datum en tijd waarop het proces dat de gebeurtenis heeft geïnitieerd, is gestart.
InitiatingProcessFileName tekenreeks Naam van het proces dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessFileSize long Grootte in bytes van het bestand dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessFolderPath tekenreeks Map met het proces (afbeeldingsbestand) waarmee de gebeurtenis is gestart.
InitiatingProcessId long Proces-id (PID) van het proces dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessLogonId long Id voor een aanmeldingssessie van het proces dat de gebeurtenis heeft geïnitieerd. Deze id is alleen uniek op dezelfde computer tijdens het opnieuw opstarten.
InitiatingProcessMD5 tekenreeks MD5-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessParentCreationTime datum/tijd De datum en tijd waarop de bovenliggende instantie van het proces dat verantwoordelijk is voor de gebeurtenis is gestart.
InitiatingProcessParentFileName tekenreeks Naam van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessParentId long Proces-id (PID) van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessSHA1 tekenreeks SHA-1-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessSHA256 tekenreeks SHA-256-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd. Dit veld wordt meestal niet ingevuld. Gebruik de kolom SHA1 indien beschikbaar.
InitiatingProcessVersionInfoCompanyName tekenreeks Bedrijfsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoFileDescription tekenreeks Beschrijving van de versie-informatie van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoInternalFileName tekenreeks Interne bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoOriginalFileName tekenreeks Oorspronkelijke bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoProductName tekenreeks Productnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoProductVersion tekenreeks Productversie van de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
_IsBillable tekenreeks Hiermee geeft u op of het opnemen van de gegevens factureerbaar is. Wanneer _IsBillable is false opgenomen, wordt er geen rekening gehouden met uw Azure-account
LocalIP tekenreeks IP-adres dat is toegewezen aan de lokale computer die tijdens de communicatie wordt gebruikt.
LocalPort int TCP-poort op de lokale computer die wordt gebruikt tijdens de communicatie.
Aanmeldings-id long Id voor een aanmeldingssessie. Deze id is alleen uniek op dezelfde computer tijdens het opnieuw opstarten.
MachineGroup tekenreeks Computergroep van de machine. Deze groep wordt gebruikt door op rollen gebaseerd toegangsbeheer om toegang tot de machine te bepalen.
MD5 tekenreeks MD5-hash van het bestand waarop de vastgelegde actie is toegepast.
ProcessCommandLine tekenreeks Opdrachtregel die wordt gebruikt om het nieuwe proces te maken.
ProcessCreationTime datum/tijd De datum en tijd waarop het proces is gemaakt.
ProcessId long Proces-id (PID) van het zojuist gemaakte proces.
ProcessTokenElevation tekenreeks Tokentype dat de aanwezigheid of afwezigheid aangeeft van uitbreiding van gebruikersrechten Access Control (UAC) die is toegepast op het zojuist gemaakte proces.
RegistryKey tekenreeks Registersleutel waarop de vastgelegde actie is toegepast.
RegistryValueData tekenreeks Gegevens van de registerwaarde waarop de vastgelegde actie is toegepast.
RegistryValueName tekenreeks Naam van de registerwaarde waarop de vastgelegde actie is toegepast.
RemoteDeviceName tekenreeks De naam van het apparaat dat een externe bewerking heeft uitgevoerd op de betreffende computer. Afhankelijk van de gebeurtenis die wordt gerapporteerd, kan deze naam een FQDN (Fully Qualified Domain Name), een NetBIOS-naam of een hostnaam zonder domeingegevens zijn.
RemoteIP tekenreeks IP-adres waarmee verbinding werd gemaakt.
RemotePort int TCP-poort op het externe apparaat waarmee verbinding werd gemaakt.
RemoteUrl tekenreeks URL of FQDN (Fully Qualified Domain Name) waarmee verbinding werd gemaakt.
ReportId long Gebeurtenis-id op basis van een herhalend teller. Als u unieke gebeurtenissen wilt identificeren, moet deze kolom worden gebruikt in combinatie met de kolommen ComputerName en EventTime.
SHA1 tekenreeks SHA-1-hash van het bestand waarop de vastgelegde actie is toegepast.
SHA256 tekenreeks SHA-256 van het bestand waarop de vastgelegde actie is toegepast.
SourceSystem tekenreeks Het type agent dat de gebeurtenis heeft verzameld. Bijvoorbeeld OpsManager voor Windows-agent, direct verbinden of Operations Manager, Linux voor alle Linux-agents of Azure voor Azure Diagnostics
TenantId tekenreeks De id van de Log Analytics-werkruimte
TimeGenerated datum/tijd De datum en tijd waarop de gebeurtenis is vastgelegd door de MDE-agent op het eindpunt.
Type tekenreeks De naam van de tabel