DeviceProcessEvents
Viktigt
Den förbättrade Microsoft 365 Defender-portalen är nu tillgänglig. Med den här nya upplevelsen kommer Defender för Endpoint, Defender för Office 365, 365 Microsoft 365 Defender och annat till Microsoft Defender for Cloud Apps. Läs om de senaste.
Gäller för:
- Microsoft 365 Defender
- Microsoft Defender för Endpoint
Tabellen DeviceProcessEvents i det avancerade sökschemat innehåller information om processskapande och relaterade händelser. Använd den här referensen för att skapa frågor som returnerar information från den här tabellen.
Tips
Om du vill ha detaljerad information om de händelsetyper (värden) som stöds av en tabell kan du använda den ActionType inbyggda schemareferensen som finns i Defender för molnet.
Information om andra tabeller i det avancerade sökschemat finns i den avancerade referensen för sökning.
| Kolumnnamn | Datatyp | Beskrivning |
|---|---|---|
Timestamp |
datetime |
Datum och tid då händelsen spelades in |
DeviceId |
string |
Unikt ID för datorn i tjänsten |
DeviceName |
string |
Fullständigt kvalificerat domännamn (FQDN) för datorn |
ActionType |
string |
Typ av aktivitet som utlöste händelsen. Mer information finns i schemareferensen i portalen |
FileName |
string |
Namnet på filen som den inspelade åtgärden tillämpats på |
FolderPath |
string |
Mapp som innehåller den fil som den inspelade åtgärden tillämpats på |
SHA1 |
string |
SHA-1 för filen som den inspelade åtgärden tillämpats på |
SHA256 |
string |
SHA-256 av filen som den inspelade åtgärden tillämpats på. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när den är tillgänglig. |
MD5 |
string |
MD5-hash för filen som den inspelade åtgärden tillämpats på |
FileSize |
long |
Storlek på filen i byte |
ProcessVersionInfoCompanyName |
string |
Företagsnamn från versionsinformationen för den nya processen |
ProcessVersionInfoProductName |
string |
Produktnamn från versionsinformationen för den nya processen |
ProcessVersionInfoProductVersion |
string |
Produktversion från versionsinformationen för den nya processen |
ProcessVersionInfoInternalFileName |
string |
Internt filnamn från versionsinformationen för den nya processen |
ProcessVersionInfoOriginalFileName |
string |
Det ursprungliga filnamnet från versionsinformationen för den nya processen |
ProcessVersionInfoFileDescription |
string |
Beskrivning av versionsinformationen för den nya processen |
ProcessId |
int |
Process-ID (PID) för den nya processen |
ProcessCommandLine |
string |
Kommandorad som används för att skapa den nya processen |
ProcessIntegrityLevel |
string |
Integritetsnivån för den nyligen skapade processen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startas från ett internetnedladdningsbaserat program. De här integritetsnivåerna påverkar behörigheter till resurser |
ProcessTokenElevation |
string |
Anger vilken typ av tokenhöjd som används för den nya processen. Möjliga värden: TokenElevationTypeLimited (begränsad), TokenElevationTypeDefault (standard) och TokenElevationTypeFull (förhöjd) |
ProcessCreationTime |
datetime |
Datum och tid då processen skapades |
AccountDomain |
string |
Domän för kontot |
AccountName |
string |
Användarnamn för kontot |
AccountSid |
string |
Säkerhetsidentifierare (SID) för kontot |
AccountUpn |
string |
Användarkontons huvudnamn (UPN) |
AccountObjectId |
string |
Unikt ID för kontot i Azure AD |
LogonId |
string |
Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator bara mellan omstarter |
InitiatingProcessAccountDomain |
string |
Domän för kontot som körde processen som ansvarar för händelsen |
InitiatingProcessAccountName |
string |
Användarnamn för det konto som körde processen som ansvarar för händelsen |
InitiatingProcessAccountSid |
string |
Säkerhetsidentifierare (SID) för kontot som körde processen som ansvarar för händelsen |
InitiatingProcessAccountUpn |
string |
Användarkontons huvudnamn (UPN) för det konto som körde processen som ansvarar för händelsen |
InitiatingProcessAccountObjectId |
string |
Azure AD-objekt-ID för användarkontot som körde processen som ansvarar för händelsen |
InitiatingProcessLogonId |
string |
Identifierare för en inloggningssession i processen som initierade händelsen. Den här identifieraren är unik på samma dator bara mellan omstarter. |
InitiatingProcessIntegrityLevel |
string |
Integritetsnivån för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startas från en Internetnedladdning. De här integritetsnivåerna påverkar behörigheter till resurser |
InitiatingProcessTokenElevation |
string |
Tokentyp som anger närvaro eller frånvaro av UAC-behörighets ökning (User Access Control) som används för processen som initierade händelsen |
InitiatingProcessSHA1 |
string |
SHA-1 för processen (bildfil) som initierade händelsen |
InitiatingProcessSHA256 |
string |
SHA-256 för processen (bildfil) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när den är tillgänglig. |
InitiatingProcessMD5 |
string |
MD5-hash för processen (bildfil) som initierade händelsen |
InitiatingProcessFileName |
string |
Namn på processen som initierade händelsen |
InitiatingProcessFileSize |
long |
Storlek på filen som körde processen som ansvarar för händelsen |
InitiatingProcessVersionInfoCompanyName |
string |
Företagsnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoProductName |
string |
Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoProductVersion |
string |
Produktversion från versionsinformationen för processen (bildfil) som ansvarar för händelsen |
InitiatingProcessVersionInfoInternalFileName |
string |
Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoOriginalFileName |
string |
Det ursprungliga filnamnet från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoFileDescription |
string |
Beskrivning av versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessId |
int |
Process-ID (PID) för processen som initierade händelsen |
InitiatingProcessCommandLine |
string |
Kommandorad som används för att köra processen som initierade händelsen |
InitiatingProcessCreationTime |
datetime |
Datum och tid då processen som initierade händelsen startades |
InitiatingProcessFolderPath |
string |
Mapp som innehåller den process (bildfil) som initierade händelsen |
InitiatingProcessParentId |
int |
Process-ID (PID) för den överordnade process som hanterade processen som ansvarar för händelsen |
InitiatingProcessParentFileName |
string |
Namn på den överordnade process som gav upphov till processen som ansvarar för händelsen |
InitiatingProcessParentCreationTime |
datetime |
Datum och tid då föräldern till processen som ansvarar för händelsen startades |
InitiatingProcessSignerType |
string |
Typ av fil signering av processen (bildfil) som initierade händelsen |
InitiatingProcessSignatureStatus |
string |
Information om signaturstatus för processen (bildfil) som initierade händelsen |
ReportId |
long |
Händelseidentifierare baserat på en räknare för upprepande händelser. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna DeviceName och Timestamp |
AppGuardContainerId |
string |
Identifierare för den virtualiserade behållaren som används av Application Guard för att isolera webbläsaraktivitet |
AdditionalFields |
string |
Ytterligare information om händelsen i JSON-matrisformat |