DeviceEvents

Den här tabellen är en del av Microsoft Defender för slutpunkter med Azure Sentinel. Den här tabellen innehåller flera händelsetyper, inklusive händelser som utlöses av säkerhetskontroller, till exempel Windows Defender Antivirus och sårbarhetsskydd.

Tabellattribut

Attribut	Värde
Resurstyper	-
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	No
Inmatningstidstransformering	Yes
Exempelfrågor	-

Kolumner

Kolumn	Typ	Description
AccountDomain	sträng	Domän för kontot.
AccountName	sträng	Användarkontots namn.
AccountSid	sträng	Säkerhetsidentifierare (SID) för kontot.
ActionType	sträng	Typ av aktivitet som utlöste händelsen.
AdditionalFields	dynamisk	Ytterligare information om entiteten eller händelsen.
AppGuardContainerId	sträng	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_BilledSize	real	Poststorleken i byte
DeviceId	sträng	Unik identifierare för enheten i tjänsten.
DeviceName	sträng	Fullständigt kvalificerat domännamn (FQDN) för enheten.
Filnamn	sträng	Domän för kontot.
FileOriginIP	sträng	IP-adress som filen laddades ned från.
FileOriginUrl	sträng	URL som filen laddades ned från.
Filstorlek	long	Filens storlek i byte.
FolderPath	sträng	Domän för kontot.
InitieraProcessAccountDomain	sträng	Domän för det konto som körde processen som ansvarar för händelsen.
InitieraProcessAccountName	sträng	Användarnamnet för det konto som körde processen som ansvarar för händelsen.
InitieraProcessAccountObjectId	sträng	Azure AD objekt-ID för det användarkonto som körde processen som ansvarar för händelsen.
InitieraProcessAccountSid	sträng	Säkerhetsidentifierare (SID) för kontot som körde processen som ansvarar för händelsen.
InitieraProcessAccountUpn	sträng	Användarens huvudnamn (UPN) för det konto som körde processen som ansvarar för händelsen.
InitieraProcessCommandLine	sträng	Kommandoraden som används för att köra processen som initierade händelsen.
InitieraProcessCreationTime	datetime	Datum och tid då processen som initierade händelsen startades.
InitieraProcessFileName	sträng	Namnet på processen som initierade händelsen.
InitieraProcessFileSize	long	Storlek i byte för filen som körde processen som ansvarar för händelsen.
InitieraProcessFolderPath	sträng	Mapp som innehåller processen (bildfilen) som initierade händelsen.
InitieraProcessId	long	Process-ID (PID) för den process som initierade händelsen.
InitieraProcessLogonId	long	Identifierare för en inloggningssession för processen som initierade händelsen. Den här identifieraren är unik på samma dator endast mellan omstarter.
InitieraProcessMD5	sträng	MD5-hash för processen (bildfilen) som initierade händelsen.
InitieraProcessParentCreationTime	datetime	Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitieraProcessParentFileName	sträng	Namnet på den överordnade processen som skapade processen som ansvarar för händelsen.
InitieraProcessParentId	long	Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen.
InitieraProcessSHA1	sträng	SHA-1-hash för processen (bildfilen) som initierade händelsen.
InitieraProcessSHA256	sträng	SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet är vanligtvis inte ifyllt – använd SHA1-kolumnen när det är tillgängligt.
InitieraProcessVersionInfoCompanyName	sträng	Företagsnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoFileDescription	sträng	Beskrivning från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoInternalFileName	sträng	Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoOriginalFileName	sträng	Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductName	sträng	Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion	sträng	Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
_IsBillable	sträng	Anger om inmatning av data är fakturerbart. När _IsBillable är false debiteras inte inmatningen till ditt Azure-konto
LocalIP	sträng	IP-adress tilldelad till den lokala datorn som används under kommunikationen.
LocalPort	int	TCP-port på den lokala datorn som används under kommunikationen.
Inloggnings-ID	long	Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator endast mellan omstarter.
MachineGroup	sträng	Datorns datorgrupp. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
MD5	sträng	MD5-hash för filen som den registrerade åtgärden tillämpades på.
ProcessCommandLine	sträng	Kommandorad som används för att skapa den nya processen.
ProcessCreationTime	datetime	Datum och tid då processen skapades.
Processid	long	Process-ID (PID) för den nya processen.
ProcessTokenElevation	sträng	Tokentyp som anger förekomsten eller frånvaron av behörighetshöjning för användare Access Control (UAC) som tillämpas på den nyligen skapade processen.
RegistryKey	sträng	Registernyckel som den registrerade åtgärden tillämpades på.
RegistryValueData	sträng	Data för registervärdet som den registrerade åtgärden tillämpades på.
RegistryValueName	sträng	Namnet på registervärdet som den registrerade åtgärden tillämpades på.
RemoteDeviceName	sträng	Namnet på enheten som utförde en fjärråtgärd på den berörda datorn. Beroende på vilken händelse som rapporteras kan det här namnet vara ett fullständigt kvalificerat domännamn (FQDN), ett NetBIOS-namn eller ett värdnamn utan domäninformation..
RemoteIP	sträng	IP-adress som var ansluten till.
RemotePort	int	TCP-port på fjärrenheten som var ansluten till.
RemoteUrl	sträng	URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till.
ReportId	long	Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
SHA1	sträng	SHA-1-hash för filen som den registrerade åtgärden tillämpades på.
SHA256	sträng	SHA-256 av filen som den registrerade åtgärden tillämpades på.
SourceSystem	sträng	Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId	sträng	Log Analytics-arbetsytans ID
TimeGenerated	datetime	Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ	sträng	Namnet på tabellen