DeviceLogonEvents

  • Artikel

Deze tabel maakt deel uit van Microsoft Defender voor eindpunten met Azure Sentinel. Deze tabel bevat aanmeldingen en andere verificatiegebeurtenissen.

Tabelkenmerken

Kenmerk Waarde
Resourcetypen -
Categorieën Beveiliging
Oplossingen SecurityInsights
Basic-logboek No
Opnametijdtransformatie Yes
Voorbeeldquery's -

Kolommen

Kolom Type Description
AccountDomain tekenreeks Domein van het account.
AccountName tekenreeks Gebruikersnaam van het account.
AccountSid tekenreeks Beveiligings-id (SID) van het account.
ActionType tekenreeks Type activiteit dat de gebeurtenis heeft geactiveerd.
AdditionalFields dynamisch Aanvullende informatie over de entiteit of gebeurtenis.
AppGuardContainerId tekenreeks Id voor de gevirtualiseerde container die door Application Guard wordt gebruikt om browseractiviteit te isoleren.
_BilledSize werkelijk De recordgrootte in bytes
DeviceId tekenreeks Unieke id voor het apparaat in de service.
DeviceName tekenreeks Fully Qualified Domain Name (FQDN) van het apparaat.
FailureReason tekenreeks Informatie over waarom de vastgelegde actie is mislukt.
InitiatingProcessAccountDomain tekenreeks Domein van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountName tekenreeks Gebruikersnaam van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountObjectId tekenreeks Azure AD object-id van het gebruikersaccount dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountSid tekenreeks Beveiligings-id (SID) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessAccountUpn tekenreeks Upn (User Principal Name) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessCommandLine tekenreeks Opdrachtregel die wordt gebruikt om het proces uit te voeren dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessCreationTime datum/tijd De datum en tijd waarop het proces dat de gebeurtenis heeft geïnitieerd, is gestart.
InitiatingProcessFileName tekenreeks Naam van het proces dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessFileSize long Grootte in bytes van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessFolderPath tekenreeks Map met het proces (afbeeldingsbestand) waarmee de gebeurtenis is gestart.
InitiatingProcessId long Proces-id (PID) van het proces dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessIntegrityLevel tekenreeks Integriteitsniveau van het proces dat de gebeurtenis heeft geïnitieerd. Windows wijst integriteitsniveaus toe aan processen op basis van bepaalde kenmerken, bijvoorbeeld als ze zijn gestart vanuit een internetdownload. Deze integriteitsniveaus zijn van invloed op machtigingen voor resources.
InitiatingProcessMD5 tekenreeks MD5-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessParentCreationTime datum/tijd De datum en tijd waarop de bovenliggende instantie van het proces dat verantwoordelijk is voor de gebeurtenis is gestart.
InitiatingProcessParentFileName tekenreeks Naam van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessParentId long Proces-id (PID) van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessSHA1 tekenreeks SHA-1-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessSHA256 tekenreeks SHA-256-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd. Dit veld wordt meestal niet ingevuld. Gebruik de kolom SHA1 indien beschikbaar.
InitiatingProcessTokenElevation tekenreeks Tokentype dat de aanwezigheid of afwezigheid aangeeft van uitbreiding van gebruikersrechten Access Control (UAC) die is toegepast op het proces dat de gebeurtenis heeft geïnitieerd.
InitiatingProcessVersionInfoCompanyName tekenreeks Bedrijfsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoFileDescription tekenreeks Beschrijving van de versie-informatie van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoInternalFileName tekenreeks Interne bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoOriginalFileName tekenreeks Oorspronkelijke bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoProductName tekenreeks Productnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
InitiatingProcessVersionInfoProductVersion tekenreeks Productversie van de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis.
_IsBillable tekenreeks Hiermee geeft u op of het opnemen van de gegevens factureerbaar is. Wanneer _IsBillable opname niet wordt false gefactureerd voor uw Azure-account
IsLocalAdmin booleaans Booleaanse indicator die aangeeft of de gebruiker een lokale beheerder op de computer is.
LogonId long Id voor een aanmeldingssessie. Deze id is alleen uniek op dezelfde computer tussen het opnieuw opstarten.
LogonType tekenreeks Type aanmeldingssessie, met name interactief, extern interactief (RDP), netwerk, batch en service.
MachineGroup tekenreeks Computergroep van de machine. Deze groep wordt gebruikt door op rollen gebaseerd toegangsbeheer om toegang tot de computer te bepalen.
Protocol tekenreeks Protocol dat tijdens de communicatie wordt gebruikt.
RemoteDeviceName tekenreeks Naam van het apparaat dat een externe bewerking heeft uitgevoerd op de betreffende computer. Afhankelijk van de gebeurtenis die wordt gerapporteerd, kan deze naam een FQDN (Fully Qualified Domain Name), een NetBIOS-naam of een hostnaam zonder domeingegevens zijn.
RemoteIP tekenreeks IP-adres waarmee verbinding werd gemaakt.
RemoteIPType tekenreeks Type IP-adres, bijvoorbeeld Openbaar, Privé, Gereserveerd, Loopback, Teredo, FourToSixMapping en Broadcast.
RemotePort int TCP-poort op het externe apparaat waarmee verbinding werd gemaakt.
ReportId long Gebeurtenis-id op basis van een herhalend teller. Om unieke gebeurtenissen te identificeren, moet deze kolom worden gebruikt in combinatie met de kolommen ComputerName en EventTime.
SourceSystem tekenreeks Het type agent waarvan de gebeurtenis is verzameld. Bijvoorbeeld OpsManager voor Windows-agent, direct verbinden of Operations Manager, Linux voor alle Linux-agents of Azure voor Azure Diagnostics
TenantId tekenreeks De id van de Log Analytics-werkruimte
TimeGenerated datum/tijd De datum en tijd waarop de gebeurtenis is vastgelegd door de MDE-agent op het eindpunt.
Type tekenreeks De naam van de tabel