DeviceProcessEvents

Viktigt

Den förbättrade Microsoft 365 Defender-portalen är nu tillgänglig. Med den här nya upplevelsen kommer Defender för Endpoint, Defender för Office 365, 365 Microsoft 365 Defender och annat till Microsoft Defender for Cloud Apps. Läs om de senaste.

Gäller för:

  • Microsoft 365 Defender
  • Microsoft Defender för Endpoint

Tabellen DeviceProcessEvents i det avancerade sökschemat innehåller information om processskapande och relaterade händelser. Använd den här referensen för att skapa frågor som returnerar information från den här tabellen.

Tips

Om du vill ha detaljerad information om de händelsetyper (värden) som stöds av en tabell kan du använda den ActionType inbyggda schemareferensen som finns i Defender för molnet.

Information om andra tabeller i det avancerade sökschemat finns i den avancerade referensen för sökning.

Kolumnnamn Datatyp Beskrivning
Timestamp datetime Datum och tid då händelsen spelades in
DeviceId string Unikt ID för datorn i tjänsten
DeviceName string Fullständigt kvalificerat domännamn (FQDN) för datorn
ActionType string Typ av aktivitet som utlöste händelsen. Mer information finns i schemareferensen i portalen
FileName string Namnet på filen som den inspelade åtgärden tillämpats på
FolderPath string Mapp som innehåller den fil som den inspelade åtgärden tillämpats på
SHA1 string SHA-1 för filen som den inspelade åtgärden tillämpats på
SHA256 string SHA-256 av filen som den inspelade åtgärden tillämpats på. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när den är tillgänglig.
MD5 string MD5-hash för filen som den inspelade åtgärden tillämpats på
FileSize long Storlek på filen i byte
ProcessVersionInfoCompanyName string Företagsnamn från versionsinformationen för den nya processen
ProcessVersionInfoProductName string Produktnamn från versionsinformationen för den nya processen
ProcessVersionInfoProductVersion string Produktversion från versionsinformationen för den nya processen
ProcessVersionInfoInternalFileName string Internt filnamn från versionsinformationen för den nya processen
ProcessVersionInfoOriginalFileName string Det ursprungliga filnamnet från versionsinformationen för den nya processen
ProcessVersionInfoFileDescription string Beskrivning av versionsinformationen för den nya processen
ProcessId int Process-ID (PID) för den nya processen
ProcessCommandLine string Kommandorad som används för att skapa den nya processen
ProcessIntegrityLevel string Integritetsnivån för den nyligen skapade processen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startas från ett internetnedladdningsbaserat program. De här integritetsnivåerna påverkar behörigheter till resurser
ProcessTokenElevation string Anger vilken typ av tokenhöjd som används för den nya processen. Möjliga värden: TokenElevationTypeLimited (begränsad), TokenElevationTypeDefault (standard) och TokenElevationTypeFull (förhöjd)
ProcessCreationTime datetime Datum och tid då processen skapades
AccountDomain string Domän för kontot
AccountName string Användarnamn för kontot
AccountSid string Säkerhetsidentifierare (SID) för kontot
AccountUpn string Användarkontons huvudnamn (UPN)
AccountObjectId string Unikt ID för kontot i Azure AD
LogonId string Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator bara mellan omstarter
InitiatingProcessAccountDomain string Domän för kontot som körde processen som ansvarar för händelsen
InitiatingProcessAccountName string Användarnamn för det konto som körde processen som ansvarar för händelsen
InitiatingProcessAccountSid string Säkerhetsidentifierare (SID) för kontot som körde processen som ansvarar för händelsen
InitiatingProcessAccountUpn string Användarkontons huvudnamn (UPN) för det konto som körde processen som ansvarar för händelsen
InitiatingProcessAccountObjectId string Azure AD-objekt-ID för användarkontot som körde processen som ansvarar för händelsen
InitiatingProcessLogonId string Identifierare för en inloggningssession i processen som initierade händelsen. Den här identifieraren är unik på samma dator bara mellan omstarter.
InitiatingProcessIntegrityLevel string Integritetsnivån för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startas från en Internetnedladdning. De här integritetsnivåerna påverkar behörigheter till resurser
InitiatingProcessTokenElevation string Tokentyp som anger närvaro eller frånvaro av UAC-behörighets ökning (User Access Control) som används för processen som initierade händelsen
InitiatingProcessSHA1 string SHA-1 för processen (bildfil) som initierade händelsen
InitiatingProcessSHA256 string SHA-256 för processen (bildfil) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när den är tillgänglig.
InitiatingProcessMD5 string MD5-hash för processen (bildfil) som initierade händelsen
InitiatingProcessFileName string Namn på processen som initierade händelsen
InitiatingProcessFileSize long Storlek på filen som körde processen som ansvarar för händelsen
InitiatingProcessVersionInfoCompanyName string Företagsnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoProductName string Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoProductVersion string Produktversion från versionsinformationen för processen (bildfil) som ansvarar för händelsen
InitiatingProcessVersionInfoInternalFileName string Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoOriginalFileName string Det ursprungliga filnamnet från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoFileDescription string Beskrivning av versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessId int Process-ID (PID) för processen som initierade händelsen
InitiatingProcessCommandLine string Kommandorad som används för att köra processen som initierade händelsen
InitiatingProcessCreationTime datetime Datum och tid då processen som initierade händelsen startades
InitiatingProcessFolderPath string Mapp som innehåller den process (bildfil) som initierade händelsen
InitiatingProcessParentId int Process-ID (PID) för den överordnade process som hanterade processen som ansvarar för händelsen
InitiatingProcessParentFileName string Namn på den överordnade process som gav upphov till processen som ansvarar för händelsen
InitiatingProcessParentCreationTime datetime Datum och tid då föräldern till processen som ansvarar för händelsen startades
InitiatingProcessSignerType string Typ av fil signering av processen (bildfil) som initierade händelsen
InitiatingProcessSignatureStatus string Information om signaturstatus för processen (bildfil) som initierade händelsen
ReportId long Händelseidentifierare baserat på en räknare för upprepande händelser. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna DeviceName och Timestamp
AppGuardContainerId string Identifierare för den virtualiserade behållaren som används av Application Guard för att isolera webbläsaraktivitet
AdditionalFields string Ytterligare information om händelsen i JSON-matrisformat