DeviceEvents

  • Článek

Tato tabulka je součástí Microsoft Defenderu pro koncové body se službou Azure Sentinel. Tato tabulka obsahuje více typů událostí, včetně událostí aktivovaných ovládacími prvky zabezpečení, jako je Antivirová ochrana v programu Windows Defender a ochrana před zneužitím.

Atributy tabulky

Atribut Hodnota
Typy prostředků -
Kategorie Zabezpečení
Řešení SecurityInsights
Základní protokol No
Transformace v čase příjmu dat Ano
Ukázkové dotazy -

Sloupce

Column Type Popis
AccountDomain string Doména účtu.
AccountName string Uživatelské jméno účtu.
AccountSid string Identifikátor zabezpečení (SID) účtu.
ActionType string Typ aktivity, která aktivovala událost
Další pole dynamic Další informace o entitě nebo události
AppGuardContainerId string Identifikátor virtualizovaného kontejneru používaného Ochrana Application Guard k izolaci aktivity prohlížeče.
_BilledSize real Velikost záznamu v bajtech
CreatedProcessSessionId long ID relace Systému Windows vytvořeného procesu.
DeviceId string Jedinečný identifikátor zařízení ve službě.
DeviceName string Plně kvalifikovaný název domény (FQDN) zařízení.
FileName string Doména účtu.
FileOriginIP string IP adresa, ze které byl soubor stažen.
FileOriginUrl string Adresa URL, ze které byl soubor stažen.
Velikost souboru long Velikost souboru v bajtech
FolderPath string Doména účtu.
Inicializování doményProcessAccountDomain string Doména účtu, který spustil proces zodpovědný za událost.
Inicializování názvu účtuProcessAccountName string Uživatelské jméno účtu, který spustil proces zodpovědný za událost.
IniciaceProcessAccountObjectId string ID objektu Azure AD uživatelského účtu, který spustil proces zodpovědný za událost.
IniciaceProcessAccountSid string Identifikátor zabezpečení (SID) účtu, který spustil proces zodpovědný za událost.
Inicializování účtuProcessAccountUpn string Hlavní název uživatele (UPN) účtu, který spustil proces zodpovědný za událost.
IniciaceProcessCommandLine string Příkazový řádek použitý ke spuštění procesu, který událost inicioval.
IniciaceProcessCreationTime datetime Datum a čas zahájení procesu, který spustil událost.
IniciaceProcessFileName string Název procesu, který událost inicioval.
IniciaceProcessFileSize long Velikost v bajtech souboru, který spustil proces zodpovědný za událost.
IniciaceProcessFolderPath string Složka obsahující proces (soubor obrázku), která událost iniciovala.
IniciaceProcessId long ID procesu (PID) procesu, který událost inicioval.
IniciaceProcessLogonId long Identifikátor přihlašovací relace procesu, který událost inicioval. Tento identifikátor je jedinečný pouze na stejném počítači mezi restartováními.
IniciaceProcessMD5 string Hodnota hash MD5 procesu (souboru obrázku), která událost iniciovala.
IniciaceProcessParentCreationTime datetime Datum a čas, kdy byl spuštěn nadřazený proces zodpovědný za událost.
IniciaceProcessParentFileName string Název nadřazeného procesu, který vyvolal proces zodpovědný za událost.
IniciaceProcessParentId long ID procesu (PID) nadřazeného procesu, který vytvořila proces zodpovědný za událost.
IniciaceProcessRemoteSessionDeviceName string Název zařízení vzdáleného zařízení, ze kterého byla zahájena relace protokolu RDP iniciátoru procesu.
IniciaceProcessRemoteSessionIP string IP adresa vzdáleného zařízení, ze kterého byla zahájena relace protokolu RDP iniciátoru procesu.
IniciaceProcessSessionId long ID relace Systému Windows při zahájení procesu.
IniciaceProcessSHA1 string Hodnota hash SHA-1 procesu (souboru obrázku), která událost iniciovala.
IniciaceProcessSHA256 string Hodnota hash SHA-256 procesu (souboru obrázku), která událost iniciovala. Toto pole se obvykle nenaplní – pokud je k dispozici, použijte sloupec SHA1.
IniciaceProcessVersionInfoCompanyName string Název společnosti z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoFileDescription string Popis z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoInternalFileName string Interní název souboru z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoOriginalFileName string Původní název souboru z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoProductName string Název produktu z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoProductVersion string Verze produktu z informací o verzi procesu (souboru obrázku) zodpovědné za událost.
_IsBillable string Určuje, jestli je ingestování dat fakturovatelné. Pokud se příjem dat _IsBillable false neúčtuje vašemu účtu Azure
IsInitiatingProcessRemoteSession bool Označuje, jestli byl proces iniciace spuštěný v relaci protokolu RDP (Remote Desktop Protocol) (true) nebo místně (false).
IsProcessRemoteSession bool Označuje, jestli byl vytvořený proces spuštěný v relaci protokolu RDP (Remote Desktop Protocol) (true) nebo místně (false).
LocalIP string IP adresa přiřazená místnímu počítači používanému během komunikace.
LocalPort int Port TCP na místním počítači, který se používá při komunikaci.
LogonId long Identifikátor pro přihlašovací relaci. Tento identifikátor je jedinečný pouze na stejném počítači mezi restartováními.
MachineGroup string Skupina počítačů počítače. Tuto skupinu používá řízení přístupu na základě role k určení přístupu k počítači.
MD5 string Hodnota hash MD5 souboru, na který byla zaznamenána akce použita.
ProcessCommandLine string Příkazový řádek použitý k vytvoření nového procesu
ProcessCreationTime datetime Datum a čas vytvoření procesu
ProcessId long ID procesu (PID) nově vytvořeného procesu.
ProcessRemoteSessionDeviceName string Název zařízení vzdáleného zařízení, ze kterého byla spuštěna relace protokolu RDP vytvořeného procesu.
ProcessRemoteSessionIP string IP adresa vzdáleného zařízení, ze kterého byla zahájena relace protokolu RDP vytvořeného procesu.
ProcessTokenElevation string Typ tokenu označující přítomnost nebo absenci zvýšení oprávnění řízení přístupu uživatele (UAC) použitého u nově vytvořeného procesu.
Klíč registru string Klíč registru, na který byla zaznamenána akce.
RegistryValueData string Data hodnoty registru, na kterou byla zaznamenána akce použita.
Název_hodnoty_registru string Název hodnoty registru, na kterou byla zaznamenána akce.
RemoteDeviceName string Název zařízení, které provedlo vzdálenou operaci na ovlivněném počítači V závislosti na hlášené události může být tento název plně kvalifikovaný název domény (FQDN), název netBIOS nebo název hostitele bez informací o doméně.
RemoteIP string IP adresa, ke které se připojila.
RemotePort int Port TCP na vzdáleném zařízení, ke kterému se připojujete.
RemoteUrl string Adresa URL nebo plně kvalifikovaný název domény, ke kterému se připojil.
ReportId long Identifikátor události založený na opakujícím se čítači. Chcete-li identifikovat jedinečné události, musí být tento sloupec použit ve spojení se sloupci ComputerName a EventTime.
SHA1 string Hodnota hash SHA-1 souboru, na který byla zaznamenána akce použitá.
SHA256 string SHA-256 souboru, na který byla zaznamenána akce.
SourceSystem string Typ agenta, který událost shromáždil. Například OpsManager pro agenta Windows, přímé připojení nebo Operations Manager, Linux pro všechny agenty Linuxu nebo Azure pro diagnostiku Azure
TenantId string ID pracovního prostoru služby Log Analytics
TimeGenerated datetime Datum a čas, kdy událost zaznamenal agent MDE na koncovém bodu.
Typ string Název tabulky