DeviceEve
此表是 Azure Sentinel 终结点Microsoft Defender的一部分。 此表包含多个事件类型,包括Windows Defender防病毒和漏洞保护等安全控件触发的事件。
表属性
Attribute | 值 |
---|---|
资源类型 | - |
类别 | 安全性 |
解决方案 | SecurityInsights |
基本日志 | 否 |
引入时间转换 | 是 |
示例查询 | - |
列
列 | 类型 | 说明 |
---|---|---|
AccountDomain | 字符串 | 帐户的域。 |
AccountName | 字符串 | 帐户的用户名。 |
AccountSid | 字符串 | 安全标识符 (帐户的 SID) 。 |
ActionType | 字符串 | 触发事件的活动的类型。 |
AdditionalFields | dynamic | 有关实体或事件的其他信息。 |
AppGuardContainerId | 字符串 | 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
_BilledSize | real | 记录大小(以字节为单位) |
DeviceId | string | 服务中设备的唯一标识符。 |
DeviceName | 字符串 | 设备的 FQDN) (完全限定的域名。 |
FileName | string | 帐户的域。 |
FileOriginIP | 字符串 | 从中下载文件的 IP 地址。 |
FileOriginUrl | 字符串 | 从中下载文件的 URL。 |
FileSize | long | 文件的大小(以字节为单位)。 |
FolderPath | 字符串 | 帐户的域。 |
InitiatingProcessAccountDomain | 字符串 | 运行负责事件的进程的帐户的域。 |
InitiatingProcessAccountName | 字符串 | 运行负责事件的进程的帐户的用户名。 |
InitiatingProcessAccountObjectId | 字符串 | 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
InitiatingProcessAccountSid | 字符串 | 安全标识符 (运行负责事件的进程的帐户的 SID) 。 |
InitiatingProcessAccountUpn | 字符串 | 用户主体名称 (运行负责事件的进程的帐户的 UPN) 。 |
InitiatingProcessCommandLine | 字符串 | 用于运行启动事件的进程的命令行。 |
InitiatingProcessCreationTime | datetime | 启动事件的进程的日期和时间。 |
InitiatingProcessFileName | 字符串 | 启动事件的进程的名称。 |
InitiatingProcessFileSize | long | 运行负责事件的进程的文件的大小(以字节为单位)。 |
InitiatingProcessFolderPath | 字符串 | 包含发起事件的进程 (图像文件) 的文件夹。 |
InitiatingProcessId | long | 进程 ID (启动事件的进程的 PID) 。 |
InitiatingProcessLogonId | long | 启动事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。 |
InitiatingProcessMD5 | 字符串 | 发起事件的进程的 MD5 哈希 (映像文件) 。 |
InitiatingProcessParentCreationTime | datetime | 负责事件的进程的父级启动日期和时间。 |
InitiatingProcessParentFileName | 字符串 | 生成负责事件的进程的父进程的名称。 |
InitiatingProcessParentId | long | 进程 ID (生成负责事件的进程的父进程的 PID) 。 |
InitiatingProcessSHA1 | 字符串 | 发起事件的进程 (图像文件) 的 SHA-1 哈希。 |
InitiatingProcessSHA256 | 字符串 | 发起事件的进程的 SHA-256 哈希 (图像文件) 。 此字段通常不会填充 - 使用 SHA1 列(如果可用)。 |
InitiatingProcessVersionInfoCompanyName | 字符串 | 进程版本信息中的公司名称 (图像文件) 负责事件。 |
InitiatingProcessVersionInfoFileDescription | 字符串 | 进程版本信息中的说明 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoInternalFileName | 字符串 | 进程版本信息中的内部文件名 (负责事件的映像文件) 。 |
InitiatingProcessVersionInfoOriginalFileName | 字符串 | 进程版本信息的原始文件名 (图像文件) 负责事件。 |
InitiatingProcessVersionInfoProductName | 字符串 | 进程版本信息中的产品名称 (负责事件的映像文件) 。 |
InitiatingProcessVersionInfoProductVersion | 字符串 | 来自进程版本信息的产品版本 (映像文件) 负责事件。 |
_IsBillable | 字符串 | 指定引入数据是否可计费。 当_IsBillable false 引入时,不会向 Azure 帐户计费 |
LocalIP | 字符串 | 分配给通信期间使用的本地计算机的 IP 地址。 |
LocalPort | int | 通信期间使用的本地计算机上的 TCP 端口。 |
LogonId | long | 登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。 |
MachineGroup | 字符串 | 计算机的计算机组。 基于角色的访问控制使用此组来确定对计算机的访问权限。 |
MD5 | 字符串 | 记录的操作应用到的文件的 MD5 哈希。 |
ProcessCommandLine | 字符串 | 用于创建新进程的命令行。 |
ProcessCreationTime | datetime | 进程的创建日期和时间。 |
ProcessId | long | 新创建的进程的进程 ID (PID) 。 |
ProcessTokenElevation | 字符串 | 标记类型,指示应用于新创建的进程的用户访问控制 (UAC) 特权提升是否存在。 |
RegistryKey | string | 记录的操作应用于的注册表项。 |
RegistryValueData | 字符串 | 记录的操作应用到的注册表值的数据。 |
RegistryValueName | 字符串 | 记录的操作应用到的注册表值的名称。 |
RemoteDeviceName | 字符串 | 在受影响的计算机上执行远程操作的设备的名称。 根据所报告的事件,此名称可以是完全限定的域名 (FQDN) 、NetBIOS 名称或不包含域信息的主机名。 |
RemoteIP | 字符串 | 要连接到的 IP 地址。 |
RemotePort | int | 连接到的远程设备上的 TCP 端口。 |
RemoteUrl | 字符串 | 所连接的 FQDN) (URL 或完全限定的域名。 |
ReportId | long | 基于重复计数器的事件标识符。 若要标识唯一事件,必须将此列与 ComputerName 和 EventTime 列结合使用。 |
SHA1 | 字符串 | 已记录操作应用到的文件的 SHA-1 哈希。 |
SHA256 | 字符串 | 已记录操作应用于的文件的 SHA-256。 |
SourceSystem | 字符串 | 事件所收集的代理的类型。 例如,OpsManager 对于 Windows 代理,直接连接或 Operations Manager,Linux 对于所有 Linux 代理,或者Azure 对于 Azure 诊断 |
TenantId | 字符串 | Log Analytics 工作区 ID |
TimeGenerated | datetime | 终结点上的 MDE 代理记录事件的日期和时间。 |
类型 | 字符串 | 表的名称 |
反馈
https://aka.ms/ContentUserFeedback。
即将发布:在整个 2024 年,我们将逐步淘汰作为内容反馈机制的“GitHub 问题”,并将其取代为新的反馈系统。 有关详细信息,请参阅:提交和查看相关反馈