ASimRegistryEventLogs

O esquema de Eventos de Registo do ASim representa a atividade do Windows de criar, modificar ou eliminar entidades do Registo do Windows. Os eventos de registo são específicos dos sistemas Windows, mas são reportados por sistemas diferentes que monitorizam o Windows, como sistemas EDR (Deteção e Resposta de Ponto Final), Sysmon ou o próprio Windows.

Atributos de tabela

Atributo	Valor
Tipos de recurso	microsoft.securityinsights/asimtables
Categorias	Segurança
Soluções	SecurityInsights
Registo básico	No
Transformação em tempo de ingestão	Yes
Consultas de Exemplo	-

Colunas

Coluna	Tipo	Description
ActingProcessCommandLine	string	A linha de comandos utilizada para executar o processo.
ActingProcessGuid	string	Um identificador exclusivo gerado do processo de atuação.
ActingProcessId	string	O ID do processo de ação.
ActingProcessName	string	O nome de ficheiro do ficheiro de imagem do processo de representação.
ActorOriginalUserType	string	O tipo de utilizador do ator original, se for fornecido pela origem.
ActorScope	string	O âmbito, como Azure AD inquilino, no qual ActorUserId e ActorUsername são definidos.
ActorScopeId	string	O ID de âmbito, como Azure AD ID de inquilino, no qual ActorUserId e ActorUsername são definidos.
ActorSessionId	string	O ID exclusivo da sessão de início de sessão do Ator.
ActorUserAadId	string	O ID do Azure Active Directory do ator.
ActorUserId	string	Um ID exclusivo do Ator.
ActorUserIdType	string	O tipo do ID armazenado no campo ActorUserId.
ActorUsername	string	O nome de utilizador do utilizador que iniciou o evento.
ActorUsernameType	string	Especifica o tipo de nome de utilizador armazenado no campo ActorUsername.
ActorUserSid	string	O ID de utilizador (SIDs) do Windows do ator.
ActorUserType	string	O tipo de Actor.
Campos Adicionais	dynamic	Informações adicionais, representadas através de pares chave/valor fornecidos pela origem que não mapeiam para o ASim.
_BilledSize	real	O tamanho do registo em bytes
DvcAction	string	Para comunicar sistemas de segurança, a ação tomada pelo sistema.
DvcDescription	string	Um texto descritivo associado ao dispositivo.
DvcDomain	string	O domínio do dispositivo que reporta o evento.
DvcDomainType	string	O tipo de DvcDomain.
DvcFQDN	string	O nome do anfitrião do dispositivo no qual ocorreu o evento ou que comunicou o evento.
DvcHostname	string	O nome do anfitrião do dispositivo que reporta o evento.
DvcId	string	O ID exclusivo do dispositivo no qual ocorreu o evento ou que comunicou o evento.
DvcIdType	string	O tipo de DvcId.
DvcInterface	string	A interface de rede na qual os dados foram capturados.
DvcIpAddr	string	O Endereço IP do dispositivo que reporta o evento.
DvcMacAddr	string	O endereço MAC do dispositivo no qual ocorreu o evento ou que comunicou o evento.
DvcOriginalAction	string	O DvcAction original, conforme fornecido pelo dispositivo de relatório.
DvcOs	string	O sistema operativo em execução no dispositivo no qual ocorreu o evento ou que comunicou o evento.
DvcOsVersion	string	A versão do sistema operativo no dispositivo em que ocorreu o evento ou que comunicou o evento.
DvcScope	string	O âmbito da plataforma na cloud ao qual o dispositivo pertence. DvcScope mapeie para um nome de subscrição no Azure e para um ID de conta no AWS.
DvcScopeId	string	O ID de âmbito da plataforma na cloud ao qual o dispositivo pertence. DvcScopeId mapeia para um ID de subscrição no Azure e para um ID de conta no AWS.
DvcZone	string	A rede na qual ocorreu o evento ou que comunicou o evento.
EventCount	int	O número de eventos descritos pelo registo.
EventEndTime	datetime	A hora em que o evento terminou. Se a origem suportar a agregação e o registo representar vários eventos, a hora em que o último evento foi gerado. Se não for fornecido pelo registo de origem, este campo alia o campo TimeGenerated.
EventMessage	string	Uma mensagem ou descrição geral.
EventOriginalResultDetails	string	Os detalhes do resultado original fornecidos pela origem.
EventOriginalSeverity	string	A gravidade original, conforme fornecido pelo dispositivo de relatório.
EventOriginalSubType	string	O subtipo ou ID do evento original, se fornecido pela origem.
EventOriginalType	string	Um ID exclusivo do registo original, se for fornecido pela origem.
EventOriginalUid	string	.
EventOwner	string	O proprietário do evento, que é normalmente o departamento ou subsidiária em que foi gerado.
EventProduct	string	O produto que está a gerar o evento.
EventProductVersion	string	A versão do produto que está a gerar o evento.
EventReportUrl	string	Um URL fornecido no evento para um recurso que fornece mais informações sobre o evento.
EventResult	string	O resultado do evento, representado por um dos seguintes valores: Êxito, Parcial, Falha, NA (Não Aplicável). O valor não pode ser fornecido diretamente pelas origens, caso em que é derivado de outros campos de eventos, por exemplo, o campo EventResultDetails.
EventResultDetails	string	Motivo ou detalhes do resultado comunicado no campo EventResult.
EventSchema	string	O nome do esquema.
EventSchemaVersion	string	A versão do esquema.
EventSeverity	string	A gravidade do evento. Os valores válidos são: Informativo, Baixo, Médio ou Alto.
EventStartTime	datetime	A hora em que o evento foi iniciado. Se a origem suportar a agregação e o registo representar vários eventos, a hora em que o primeiro evento foi gerado. Se não for fornecido pelo registo de origem, este campo alia o campo TimeGenerated.
EventSubType	string	Descreve uma subdivisão da operação reportada no campo EventType.
EventType	string	Descreve a operação comunicada pelo registo.
EventVendor	string	O fornecedor do produto que está a gerar o evento.
_IsBillable	string	Especifica se a ingestão de dados é faturável. Quando _IsBillable é ingestão não é false faturada na sua conta do Azure
ParentProcessCommandLine	string	A linha de comandos utilizada para executar o processo.
ParentProcessGuid	string	Um identificador exclusivo gerado do processo principal.
ParentProcessId	string	O ID do processo principal.
ParentProcessName	string	O nome de ficheiro do ficheiro de imagem do processo principal.
RegistryKey	string	A chave de registo associada à operação, normalizada para convenções de nomenclatura de chaves de raiz padrão.
RegistryPreviousKey	string	Para operações que modificam o registo, a chave de registo original, normalizou para a nomenclatura de chave de raiz padrão.
RegistryPreviousValue	string	Para operações que modificam o registo, o tipo de valor original, normalizado para o formulário padrão.
RegistryPreviousValueData	string	Os dados de registo originais, para operações que modificam o registo.
RegistryPreviousValueType	string	Para operações que modificam o registo, o tipo de valor original.
RegistryValue	string	O valor de registo associado à operação.
RegistryValueData	string	Os dados armazenados no valor do registo.
RegistryValueType	string	O tipo de valor de registo, normalizado para o formulário padrão.
_ResourceId	string	Um identificador exclusivo para o recurso ao qual o registo está associado
RuleName	string	O nome ou ID da regra associado aos resultados da inspeção.
RuleNumber	int	O número da regra associada aos resultados da inspeção.
SourceSystem	string	O tipo de agente pelo que o evento foi recolhido. Por exemplo, para o OpsManager agente do Windows, ligação direta ou Operations Manager, Linux para todos os agentes linux ou Azure para Diagnóstico do Azure
_SubscriptionId	string	Um identificador exclusivo para a subscrição à qual o registo está associado
TenantId	string	O ID da área de trabalho do Log Analytics
ThreatCategory	string	A categoria da ameaça ou software maligno identificado na atividade.
ThreatConfidence	int	O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatField	string	O campo para o qual foi identificada uma ameaça.
ThreatFirstReportedTime	datetime	A primeira vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatId	string	O ID da ameaça ou software maligno identificado na atividade.
ThreatIsActive	bool	ID verdadeiro a ameaça identificada é considerada uma ameaça ativa.
ThreatLastReportedTime	datetime	A última vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatName	string	O nome da ameaça ou software maligno identificado na atividade.
ThreatOriginalConfidence	string	O nível de confiança original da ameaça identificado, conforme comunicado pelo dispositivo de relatório.
ThreatOriginalRiskLevel	string	O nível de risco, conforme comunicado pelo dispositivo de relatório.
ThreatRiskLevel	int	O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.
TimeGenerated	datetime	O carimbo de data/hora (UTC) que reflete a hora em que o evento foi gerado.
Tipo	string	O nome da tabela