DeviceLogonEvents

  • 项目

适用于：

  • Microsoft Defender XDR
  • Microsoft Defender for Endpoint

DeviceLogonEvents高级搜寻架构中的表包含有关设备上的用户登录和其他身份验证事件的信息。 使用此参考来构建从此表返回信息的查询。

提示

有关表支持的事件类型 (ActionType 值) 的详细信息，请使用 Microsoft Defender XDR 中提供的内置架构参考。

有关高级搜寻架构中其他表的信息，请参阅高级搜寻参考。

列名称 数据类型 说明
Timestamp datetime 记录事件的日期和时间
DeviceId string 服务中设备的唯一标识符
DeviceName string 设备的 FQDN) (完全限定的域名
ActionType string 触发事件的活动类型
LogonType string 登录会话的类型，具体来说：

- 交互式 - 用户使用本地键盘和屏幕以物理方式与设备交互

- 远程交互式 (RDP) 登录 - 用户使用远程桌面、终端服务、远程协助或其他 RDP 客户端与设备远程交互

- 网络 - 使用 PsExec 访问设备或访问设备上的共享资源（如打印机和共享文件夹）时启动的会话

- Batch - 由计划任务启动的会话

- 服务 - 服务启动时由服务启动的会话
AccountDomain string 帐户的域
AccountName string 帐户的用户名
AccountSid string 帐户的安全标识符 (SID)
Protocol string 通信期间使用的协议
FailureReason string 说明录制的操作失败的原因的信息
IsLocalAdmin boolean 指示用户是否为设备上的本地管理员的布尔指示器
LogonId long 登录会话的标识符。 此标识符仅在重启之间在同一设备上是唯一的。
RemoteDeviceName string 在受影响的设备上执行远程操作的设备的名称。 根据所报告的事件，此名称可以是完全限定的域名 (FQDN) 、NetBIOS 名称或主机名（不包含域信息）。
RemoteIP string 从中执行登录尝试的设备 IP 地址
RemoteIPType string IP 地址类型，例如公共、专用、保留、环回、Teredo、FourToSixMapping 和 Broadcast
RemotePort int 连接到的远程设备上的 TCP 端口
InitiatingProcessAccountDomain string 运行负责事件的进程的帐户的域
InitiatingProcessAccountName string 运行负责事件的进程的帐户的用户名
InitiatingProcessAccountSid string 安全标识符 (SID) 运行负责事件的进程的帐户
InitiatingProcessAccountUpn string 用户主体名称 (运行负责事件的进程的帐户的 UPN)
InitiatingProcessAccountObjectId string Microsoft Entra运行负责事件的进程的用户帐户的对象 ID
InitiatingProcessIntegrityLevel string 启动事件的进程的完整性级别。 Windows 根据某些特征（例如，是否从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响对资源的权限。
InitiatingProcessTokenElevation string 指示是否存在用户访问控制 (UAC 的令牌类型，) 特权提升应用于发起事件的进程
InitiatingProcessSHA1 string 启动事件的进程的 SHA-1 哈希 (图像文件)
InitiatingProcessSHA256 string 启动事件的进程的 SHA-256 哈希 (图像文件) 。 此字段通常不会填充 - 使用 SHA1 列（如果可用）。
InitiatingProcessMD5 string 发起事件的进程 (映像文件) 的 MD5 哈希
InitiatingProcessFileName string 启动事件的进程的名称
InitiatingProcessFileSize long 运行负责事件的进程的文件的大小
InitiatingProcessVersionInfoCompanyName string 进程版本信息中的公司名称 (映像文件) 负责事件
InitiatingProcessVersionInfoProductName string 进程版本信息中的产品名称 (图像文件) 负责事件
InitiatingProcessVersionInfoProductVersion string 来自进程版本信息的产品版本 (映像文件) 负责事件
InitiatingProcessVersionInfoInternalFileName string 进程版本信息中的内部文件名 (负责事件的映像文件)
InitiatingProcessVersionInfoOriginalFileName string 进程版本信息中的原始文件名 (负责事件的映像文件)
InitiatingProcessVersionInfoFileDescription string 来自进程版本信息的说明 (负责事件的映像文件)
InitiatingProcessId long 进程 ID (启动事件的进程的 PID)
InitiatingProcessCommandLine string 用于运行启动事件的进程的命令行
InitiatingProcessCreationTime datetime 启动事件的进程的日期和时间
InitiatingProcessFolderPath string 包含发起事件的进程 (图像文件) 的文件夹
InitiatingProcessParentId long 进程 ID (PID) 生成负责事件的进程的父进程
InitiatingProcessParentFileName string 生成负责事件的进程的父进程的名称或完整路径
InitiatingProcessParentCreationTime datetime 负责事件的进程的父级的启动日期和时间
ReportId long 基于重复计数器的事件标识符。 若要标识唯一事件，此列必须与 DeviceName 和 Timestamp 列结合使用。
AppGuardContainerId string 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符
AdditionalFields string 有关 JSON 数组格式的事件的其他信息

注意

载入到 Defender for Endpoint 的 Windows 7 或 Windows Server 2008R2 设备不支持 DeviceLogonEvents 的集合。 建议升级到更新的操作系统，以最佳方式了解用户登录活动。

提示

想要了解更多信息？ Engage技术社区中的 Microsoft 安全社区：Microsoft Defender XDR技术社区。