DeviceNetworkEvents

  • Artikel

Microsoft Defender för händelsetabellen för slutpunkter (MDE) för enhetens nätverk. Den här tabellen innehåller information om nätverksanslutningar och relaterade händelser som initieras av processer som körs på slutpunkten.

Tabellattribut

Attribut Värde
Resurstyper -
Kategorier Säkerhet
Lösningar SecurityInsights
Grundläggande logg No
Inmatningstidstransformering Yes
Exempelfrågor -

Kolumner

Kolumn Typ Description
ActionType sträng Typ av aktivitet som utlöste händelsen.
AdditionalFields dynamisk Ytterligare information om entiteten eller händelsen.
AppGuardContainerId sträng Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_BilledSize real Poststorleken i byte
DeviceId sträng Unik identifierare för enheten i tjänsten.
DeviceName sträng Fullständigt kvalificerat domännamn (FQDN) för enheten.
InitieraProcessAccountDomain sträng Domän för det konto som körde initieringsprocessen.
InitieraProcessAccountName sträng Användarnamnet för det konto som körde initieringsprocessen.
InitieraProcessAccountObjectId sträng Azure AD objekt-ID för användarkontot som körde den inledande processen.
InitieraProcessAccountSid sträng Säkerhetsidentifierare (SID) för kontot som körde initieringsprocessen.
InitieraProcessAccountUpn sträng Användarens huvudnamn (UPN) för det konto som körde den inledande processen.
InitieraProcessCommandLine sträng Kommandorad som används för att köra den inledande processen.
InitieraProcessCreationTime datetime Datum och tid då processen som initierade händelsen startades.
InitieraProcessFileName sträng Namnet på den inledande processen.
InitieraProcessFileSize long Storleken på filen (byte) som körde processen som ansvarar för händelsen.
InitieraProcessFolderPath sträng Mapp som innehåller den inledande processen (bildfil).
InitieraProcessId long Process-ID (PID) för den inledande processen.
InitieraProcessIntegrityLevel sträng Integritetsnivån för den inledande processen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en nedladdning via Internet. Dessa integritetsnivåer påverkar behörigheter till resurser..
InitieraProcessMD5 sträng MD5-hash för den inledande processen (bildfil).
InitieraProcessParentCreationTime datetime Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitieraProcessParentFileName sträng Namnet på den överordnade process som skapade den inledande processen.
InitieraProcessParentId long Process-ID (PID) för den överordnade process som skapade den inledande processen.
InitieraProcessSHA1 sträng SHA-1-hash för den inledande processen (bildfil).
InitieraProcessSHA256 sträng SHA-256-hash för den inledande processen (bildfil). I vissa fall kanske den här kolumnen inte fylls i – använd kolumnen InitieraProcessSHA1 i stället.
InitieraProcessTokenElevation sträng Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den inledande processen.
InitieraProcessVersionInfoCompanyName sträng Företagsnamnet i versionsinformationen (avbildningsfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoFileDescription sträng Beskrivningen i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoInternalFileName sträng Det interna filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoOriginalFileName sträng Det ursprungliga filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductName sträng Produktnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion sträng Produktversionen i versionsinformationen (avbildningsfilen) som ansvarar för händelsen.
_IsBillable sträng Anger om inmatning av data är fakturerbar. När _IsBillable är false debiteras inte inmatningen till ditt Azure-konto
LocalIP sträng IP-adress tilldelad till den lokala datorn som användes under kommunikationen.
LocalIPType sträng Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast.
LocalPort int TCP-port på den lokala datorn som används under kommunikationen.
MachineGroup sträng Datorns datorgrupp. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
Protokoll sträng IP-protokoll som används, oavsett om TCP eller UDP används.
RemoteIP sträng IP-adress som var ansluten till.
RemoteIPType sträng Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast.
RemotePort int TCP-port på den fjärranslutna enhet som var ansluten till.
RemoteUrl sträng URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till.
ReportId long Händelseidentifierare baserad på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
SourceSystem sträng Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId sträng Log Analytics-arbetsytans ID
TimeGenerated datetime Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ sträng Namnet på tabellen