DeviceFileEvents

  • Článek

Tato tabulka je součástí Microsoft Defenderu pro koncové body se službou Azure Sentinel. Tato tabulka obsahuje vytváření, úpravy souborů a další události systému souborů.

Atributy tabulky

Atribut Hodnota
Typy prostředků -
Kategorie Zabezpečení
Řešení SecurityInsights
Základní protokol No
Transformace v čase příjmu dat Ano
Ukázkové dotazy -

Sloupce

Column Type Popis
ActionType string Typ aktivity, která aktivovala událost
Další pole dynamic Další informace o entitě nebo události
AppGuardContainerId string Identifikátor virtualizovaného kontejneru používaného Ochrana Application Guard k izolaci aktivity prohlížeče.
_BilledSize real Velikost záznamu v bajtech
DeviceId string Jedinečný identifikátor zařízení ve službě.
DeviceName string Plně kvalifikovaný název domény (FQDN) zařízení.
FileName string Název souboru, na který byla zaznamenána akce.
FileOriginIP string IP adresa, ze které byl soubor stažen.
FileOriginReferrerUrl string Adresa URL webové stránky, která odkazuje na stažený soubor.
FileOriginUrl string Adresa URL, ze které byl soubor stažen.
Velikost souboru long Velikost souboru v bajtech
FolderPath string Složka obsahující soubor, na který byla zaznamenána akce.
Inicializování doményProcessAccountDomain string Doména účtu, který spustil proces zodpovědný za událost.
Inicializování názvu účtuProcessAccountName string Uživatelské jméno účtu, který spustil proces zodpovědný za událost.
IniciaceProcessAccountObjectId string ID objektu Azure AD uživatelského účtu, který spustil proces zodpovědný za událost.
IniciaceProcessAccountSid string Identifikátor zabezpečení (SID) účtu, který spustil proces zodpovědný za událost.
Inicializování účtuProcessAccountUpn string Hlavní název uživatele (UPN) účtu, který spustil proces zodpovědný za událost.
IniciaceProcessCommandLine string Příkazový řádek použitý ke spuštění procesu, který událost inicioval.
IniciaceProcessCreationTime datetime Datum a čas zahájení procesu, který spustil událost.
IniciaceProcessFileName string Název procesu, který událost inicioval.
IniciaceProcessFileSize long Velikost vbajch
IniciaceProcessFolderPath string Složka obsahující proces (soubor obrázku), která událost iniciovala.
IniciaceProcessId long ID procesu (PID) procesu, který událost inicioval.
Iniciace ÚrovněProcessIntegrity string Úroveň integrity procesu, který událost inicioval. Systém Windows přiřazuje úrovně integrity procesům na základě určitých charakteristik, například pokud byly spuštěny ze stahování z internetu. Tyto úrovně integrity ovlivňují oprávnění k prostředkům.
IniciaceProcessMD5 string Hodnota hash MD5 procesu (souboru obrázku), která událost iniciovala.
IniciaceProcessParentCreationTime datetime Datum a čas, kdy byl spuštěn nadřazený proces zodpovědný za událost.
IniciaceProcessParentFileName string Název nadřazeného procesu, který vyvolal proces zodpovědný za událost.
IniciaceProcessParentId long ID procesu (PID) nadřazeného procesu, který vytvořila proces zodpovědný za událost.
IniciaceProcessRemoteSessionDeviceName string Název zařízení vzdáleného zařízení, ze kterého byla zahájena relace protokolu RDP iniciátoru procesu.
IniciaceProcessRemoteSessionIP string IP adresa vzdáleného zařízení, ze kterého byla zahájena relace protokolu RDP iniciátoru procesu.
IniciaceProcessSessionId long ID relace Systému Windows při zahájení procesu.
IniciaceProcessSHA1 string Hodnota hash SHA-1 procesu (souboru obrázku), která událost iniciovala.
IniciaceProcessSHA256 string Hodnota hash SHA-256 procesu (souboru obrázku), která událost iniciovala. Toto pole se obvykle nenaplní – pokud je k dispozici, použijte sloupec SHA1.
IniciaceProcessTokenElevation string Typ tokenu označující přítomnost nebo absenci zvýšení oprávnění řízení přístupu uživatele (UAC) použitého u procesu, který událost inicioval.
IniciaceProcessVersionInfoCompanyName string Název společnosti z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoFileDescription string Popis z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoInternalFileName string Interní název souboru z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoOriginalFileName string Původní název souboru z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoProductName string Název produktu z informací o verzi procesu (souboru obrázku) zodpovědného za událost.
IniciaceProcessVersionInfoProductVersion string Verze produktu z informací o verzi procesu (souboru obrázku) zodpovědné za událost.
IsAzureInfoProtectionApplied bool Určuje, jestli je soubor zašifrovaný službou Azure Information Protection.
_IsBillable string Určuje, jestli je ingestování dat fakturovatelné. Pokud se příjem dat _IsBillable false neúčtuje vašemu účtu Azure
IsInitiatingProcessRemoteSession bool Označuje, jestli byl proces iniciace spuštěný v relaci protokolu RDP (Remote Desktop Protocol) (true) nebo místně (false).
MachineGroup string Skupina počítačů počítače. Tuto skupinu používá řízení přístupu na základě role k určení přístupu k počítači.
MD5 string Hodnota hash MD5 souboru, na který byla zaznamenána akce použita.
PreviousFileName string Původní název souboru, který byl přejmenován v důsledku akce.
PreviousFolderPath string Původní složka obsahující soubor před provedením zaznamenané akce.
ReportId long Identifikátor události založený na opakujícím se čítači. Chcete-li identifikovat jedinečné události, musí být tento sloupec použit ve spojení se sloupci ComputerName a EventTime.
RequestAccountDomain string Doména účtu používaného k vzdálenému zahájení aktivity.
RequestAccountName string Uživatelské jméno účtu použitého k vzdálenému zahájení aktivity.
RequestAccountSid string Identifikátor zabezpečení (SID) účtu použitého k vzdálenému zahájení aktivity.
RequestProtocol string Síťový protokol(pokud je k dispozici) použitý k zahájení aktivity: Neznámý, Místní, SMB nebo NFS.
RequestSourceIP string Adresa IPv4 nebo IPv6 vzdáleného zařízení, které aktivitu iniciovalo.
RequestSourcePort int Zdrojový port na vzdáleném zařízení, které aktivitu iniciovalo.
CitlivostLabel string Popisek použitý u e-mailu, souboru nebo jiného obsahu, který ho klasifikuje pro ochranu informací.
CitlivostSubLabel string Podlabel použitý u e-mailu, souboru nebo jiného obsahu ke klasifikaci pro ochranu informací; Podnabídky citlivosti jsou seskupeny pod popisky citlivosti, ale jsou zpracovávány nezávisle.
SHA1 string Hodnota hash SHA-1 souboru, na který byla zaznamenána akce použitá.
SHA256 string SHA-256 souboru, na který byla zaznamenána akce.
Název_sdílené složky string Název sdílené složky obsahující soubor.
SourceSystem string Typ agenta, který událost shromáždil. Například OpsManager pro agenta Windows, přímé připojení nebo Operations Manager, Linux pro všechny agenty Linuxu nebo Azure pro diagnostiku Azure
TenantId string ID pracovního prostoru služby Log Analytics
TimeGenerated datetime Datum a čas, kdy událost zaznamenal agent MDE na koncovém bodu.
Typ string Název tabulky