SecurityEvent
Sicherheitsereignisse, die von Windows-Computern von Azure Security Center oder Azure Sentinel gesammelt werden.
Tabellenattribute
| attribute | Wert |
|---|---|
| Ressourcentypen | microsoft.securityinsights/securityinsights, microsoft.compute/virtualmachines, microsoft.conenctedvmwarevsphere/virtualmachines, microsoft.azurestackhci/virtualmachines, microsoft.scvmm/virtualmachines, microsoft.compute/virtualmachinescalesets |
| Kategorien | Sicherheit |
| Lösungen | Sicherheit, SecurityInsights |
| Standardprotokoll | No |
| Erfassungszeittransformation | Ja |
| Beispielabfragen | Ja |
Spalten
| Spalte | Type | Beschreibung |
|---|---|---|
| AccessMask | Zeichenfolge | Hexadezimalmaske für den angeforderten oder ausgeführten Vorgang. |
| Konto | Zeichenfolge | Der Sicherheitskontext für Dienste oder Benutzer. |
| AccountDomain | Zeichenfolge | Der Domänen- oder Computername des Betreffs. |
| AccountExpires | Zeichenfolge | Das Datum, an dem das Konto abläuft. |
| AccountName | Zeichenfolge | Der Name des Kontos, das den Vorgang "Domänenvertrauensstellung entfernen" angefordert hat. |
| AccountSessionIdentifier | Zeichenfolge | Ein eindeutiger Bezeichner, der beim Erstellen der Sitzung vom Computer generiert wird. |
| AccountType | Zeichenfolge | Gibt an, ob es sich bei dem Konto um ein Computerkonto (Computer) oder um ein Benutzer handelt. |
| Aktivität | Zeichenfolge | Der beschreibende Titel des Ereignisses ist aufgetreten. |
| AdditionalInfo | Zeichenfolge | Zusätzliche Informationen, die von der Quelle bereitgestellt werden, die nicht anderen Feldern zugeordnet sind, dargestellt durch die Liste. |
| AdditionalInfo2 | Zeichenfolge | Zusätzliche Informationen, die von der Quelle bereitgestellt werden, die nicht anderen Feldern zugeordnet sind, dargestellt durch die Liste. |
| AllowedToDelegateTo | Zeichenfolge | Die Liste der SPNs, für die dieses Konto delegierte Anmeldeinformationen darstellen kann. |
| Attribute | Zeichenfolge | Weitere Informationen zum Ereignis. |
| AuditPolicyChanges | Zeichenfolge | Ereignisse, die generiert werden, wenn Änderungen an der Systemüberwachungsrichtlinie oder den Überwachungseinstellungen für eine Datei oder einen Registrierungsschlüssel vorgenommen werden. |
| AuditsDiscarded | int | Anzahl der Überwachungsnachrichten, die verworfen wurden. |
| AuthenticationLevel | int | Anzahl der Überwachungsnachrichten, die verworfen wurden. |
| AuthenticationPackageName | Zeichenfolge | der Name des geladenen Authentifizierungspakets. Das Format lautet: DLL_PATH_AND_NAME: AUTHENTICATION_PACKAGE_NAME. |
| AuthenticationProvider | Zeichenfolge | Die Identität des anbieters, der für den Authentifizierungsprozess verantwortlich ist (kann eine Zertifizierungsstelle, einen Benutzernamen, ein Kennwortauthentifizierungssystem usw.) umfassen. |
| AuthenticationServer | Zeichenfolge | Der Server, auf dem sich der Authentifizierungsanbieter befindet. |
| AuthenticationService | int | Der Dienst, in dem sich der Authentifizierungsanbieter befindet. |
| AuthenticationType | Zeichenfolge | Der Typ der Authentifizierung, die für das Ereignis verwendet wurde (zweistufige Authentifizierung, biometrische Authentifizierung usw.). |
| AzureDeploymentID | Zeichenfolge | Die Azure-Bereitstellungs-ID des Clouddiensts, zu dem das Protokoll gehört |
| _BilledSize | real | Die Datensatzgröße in Bytes. |
| CACertificateHash | Zeichenfolge | Der Hashwert des Zertifikats der Zertifizierungsstelle, das verwendet wurde, um den Benutzer zu authentifizieren, der das Ereignis ausgeführt hat. |
| CalledStationID | Zeichenfolge | Informationen zur ID der Station, die die Aktion initiiert hat, die zum Sicherheitsereignis führte. |
| CallerProcessId | Zeichenfolge | Hexadezimale Prozess-ID des Prozesses, der die Anmeldung versucht hat. Die Prozess-ID (PROCESS ID, PID) ist eine Zahl, die vom Betriebssystem verwendet wird, um einen aktiven Prozess eindeutig zu identifizieren. |
| CallerProcessName | Zeichenfolge | Vollständiger Pfad und der Name der ausführbaren Datei für den Prozess. |
| CallingStationID | Zeichenfolge | Informationen zur ID der Station, die die Aktion initiiert hat, die zum Sicherheitsereignis führte. |
| CAPublicKeyHash | Zeichenfolge | Hashwert, der den öffentlichen Schlüssel einer Zertifizierungsstelle identifiziert, die ein Zertifikat ausgestellt hat. |
| CategoryId | Zeichenfolge | Die Kategorie des aufgetretenen Sicherheitsereignisses (Anmeldeversuch, Datenschutzverletzung usw.). |
| CertificateDatabaseHash | Zeichenfolge | Hashwert, der die Datenbank identifiziert, die ein Zertifikat ausgestellt hat. |
| Kanal | Zeichenfolge | Der Kanal, in dem das Ereignis protokolliert wurde. |
| ClassId | Zeichenfolge | 'Class Guid'-Attribut des Geräts. |
| ClassName | Zeichenfolge | 'Class'-Attribut des Geräts. |
| ClientAddress | Zeichenfolge | IP-Adresse des Computers, von dem die TGT-Anforderung empfangen wurde. |
| ClientIPAddress | Zeichenfolge | IP-Adresse des Computers, der die Aktion initiiert hat, die zum Ereignis geführt hat. |
| ClientName | Zeichenfolge | Computername, von dem der Benutzer erneut verbunden wurde. Hat den Wert "Unbekannt" für konsolensitzung. |
| CommandLine | Zeichenfolge | Die Befehlszeilenargumente, die an eine Anwendung oder einen Prozess übergeben wurden, die an das Ereignis beteiligt waren. |
| CompatibleIds | Zeichenfolge | Attribut "Kompatible IDs" des Geräts. Um Geräteeigenschaften anzuzeigen, starten Sie Geräte-Manager, öffnen Sie bestimmte Geräteeigenschaften, und klicken Sie auf "Details": |
| Computer | Zeichenfolge | Der Name des Computers, auf dem das Ereignis aufgetreten ist. |
| Correlation | Zeichenfolge | Die Aktivitäts-IDs, die Consumer zum Gruppieren verwandter Ereignisse verwenden können. |
| DCDNSName | Zeichenfolge | Der DNS-Name des Domänencontrollers, der an dem Ereignis beteiligt war. |
| DeviceDescription | Zeichenfolge | die Beschreibung des Geräts, das an dem Ereignis beteiligt war. |
| DeviceId | Zeichenfolge | Der eindeutige Bezeichner des Geräts, das an dem Ereignis beteiligt war. |
| DisplayName | Zeichenfolge | Es handelt sich um einen Namen, der im Adressbuch für ein bestimmtes Konto angezeigt wird. Dies ist in der Regel die Kombination aus vornamen, vornamen und nachname des Benutzers. |
| Disposition | Zeichenfolge | Das Ereignisergebnis/die Auflösung, z. B. ob das Ereignis aufgelöst wurde oder ob eine Aktion als Reaktion auf das Ereignis ausgeführt wurde. |
| DomainBehaviorVersion | Zeichenfolge | msDS-Behavior-Version-Domänenattribut wurde geändert. Ein numerischer Wert. |
| DomainName | Zeichenfolge | Der Name der entfernten vertrauenswürdigen Domäne. |
| DomainPolicyChanged | Zeichenfolge | Gibt an, ob Domänenrichtlinien im Rahmen des Ereignisses geändert wurden (Kennwortrichtlinien, Sicherheitsrichtlinien usw.). |
| DomainSid | Zeichenfolge | SID des Vertrauenspartners. Dieser Parameter wird möglicherweise nicht im Ereignis erfasst und in diesem Fall als "NULL SID" angezeigt. |
| EAPType | Zeichenfolge | Der Typ des Extensible Authentication Protocol (EAP), der für den Ereignisauthentifizierungsprozess verwendet wurde. |
| ElevatedToken | Zeichenfolge | Ein Flag "Ja" oder "Nein". Wenn "Ja" lautet, wird die Sitzung dieses Ereignis mit erhöhten Rechten versehen und verfügt über Administratorrechte. |
| ErrorCode | int | Enthält Fehlercode für Fehlerereignisse. Für Erfolgsereignisse hat dieser Parameter den Wert "0x0". |
| EventData | Zeichenfolge | Ereignisspezifische Daten, die dem Ereignis zugeordnet sind. |
| EventID | int | Der Bezeichner, den der Anbieter zum Identifizieren des Ereignisses verwendet hat. |
| EventLevelName | Zeichenfolge | Die gerenderte Nachrichtenzeichenfolge der im Ereignis angegebenen Ebene. |
| EventRecordId | Zeichenfolge | Die Datensatznummer, die dem Ereignis zugewiesen wurde, als es protokolliert wurde. |
| EventSourceName | Zeichenfolge | Der Name der Software, die das Ereignis protokolliert (applicationor a succomponent). |
| ExtendedQuarantineState | Zeichenfolge | Der Status des Netzwerkquarantäneprozesses, falls zutreffend. Die Netzwerkquarantäne ist ein Prozess, bei dem nicht autorisierte Geräte nicht auf ein Netzwerk zugreifen können, bis sie bestimmte Sicherheitsanforderungen erfüllen oder auf Schadsoftware überprüft wurden. |
| FailureReason | Zeichenfolge | Texterklärung des Status-Feldwerts. Für dieses Ereignis weist es in der Regel den Wert "Konto gesperrt" auf. |
| Dateihash | Zeichenfolge | Der Hashwert für alle Dateien, auf die als Teil des Ereignisses zugegriffen oder geändert wurde, oder dateien, die im Authentifizierungs- oder Autorisierungsprozess verwendet wurden. |
| FilePath | Zeichenfolge | Vollständiger Pfad und Dateiname der Schlüsseldatei, für die der Vorgang ausgeführt wurde. |
| FilePathNoUser | Zeichenfolge | Der Pfad aller Dateien, die sich auf das Ereignis beziehen, mit Ausnahme des Benutzernamens oder anderer benutzerspezifischer Informationen. |
| Filter | Zeichenfolge | Filter, die im ausgeführten Ereignis verwendet werden. |
| ForceLogoff | Zeichenfolge | "\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen\Netzwerksicherheit: Abmelden beim Ablauf der Anmeldezeiten erzwingen" Gruppenrichtlinie. |
| Fqbn | Zeichenfolge | Der vollqualifizierte Binärname (FQBN) für alle Dateien, die mit dem Ereignis zusammenhängen. |
| FullyQualifiedSubjectMachineName | Zeichenfolge | Der vollqualifizierte Domänenname (FQDN) des Computers, der das Ereignis initiiert hat. |
| FullyQualifiedSubjectUserName | Zeichenfolge | Der Benutzername des Benutzers oder Diensts, der das Ereignis im FQDN-Format initiiert hat. |
| GroupMembership | Zeichenfolge | Die Liste der Gruppen-SIDs, zu denen das protokollierte Konto gehört (Mitglied). Ereignisanzeige versucht automatisch, SIDs aufzulösen und den Kontonamen anzuzeigen. Wenn die SID nicht aufgelöst werden kann, werden die Quelldaten im Ereignis angezeigt. |
| HandleId | Zeichenfolge | Hexadezimalwert eines Handles für den Objektnamen. Dieses Feld kann für die Korrelation mit anderen Ereignissen verwendet werden. |
| HardwareIds | Zeichenfolge | Attribut "Hardware-IDs" des Geräts. Um Geräteeigenschaften anzuzeigen, starten Sie Geräte-Manager, öffnen Sie bestimmte Geräteeigenschaften, und klicken Sie auf "Details": |
| HomeDirectory | Zeichenfolge | Das Startverzeichnis des Benutzers. Wenn das HomeDrive-Attribut festgelegt ist und einen Laufwerkbuchstaben angibt, sollte homeDirectory ein UNC-Pfad sein. Der Pfad muss ein Netzwerk-UNC des Formulars \Server\Share\Directory sein. |
| HomePath | Zeichenfolge | Der Startpfad des Benutzers. Der Pfad muss ein Netzwerk-UNC des Formulars \Server\Share\Directory sein. |
| InterfaceUuid | Zeichenfolge | Der eindeutige Bezeichner (UUID) für die Netzwerkschnittstelle, die für das Ereignis verwendet wurde. |
| IP-Adresse | Zeichenfolge | die dem Ereignis zugeordnete Netzwerkadresse (in der Regel IPv4 oder IPv6). |
| IpPort | Zeichenfolge | Die dem Ereignis zugeordnete Netzwerkportnummer. |
| _IsBillable | Zeichenfolge | Gibt an, ob die Erfassung der Daten gebührenpflichtig ist. Wenn _IsBillable aufgenommen wird false , wird Ihrem Azure-Konto nicht in Rechnung gestellt. |
| KeyLength | int | Die Länge des NTLM-Sitzungssicherheitsschlüssels. In der Regel hat es 128 Bit oder 56 Bit Länge. |
| Schlüsselwörter | Zeichenfolge | Eine Bitmaske der im Ereignis definierten Schlüsselwörter. |
| Ebene | Zeichenfolge | Windows kategorisiert jedes Ereignis mit einem Schweregrad. Die Ebenen in der Reihenfolge des Schweregrads sind Informationen, ausführliche, Warnungen, Fehler und kritisch, die in Zahlen ausgedrückt werden. |
| LmPackageName | Zeichenfolge | Der Name der Paket- oder Softwarekomponente, die derzeit die lokale Sicherheitsbehörde (Local Security Authority, LSA) auf dem Computer verwendet, auf dem das Ereignis generiert wird. |
| LocationInformation | Zeichenfolge | Attribut "Standortinformationen" des Geräts. Um Geräteeigenschaften anzuzeigen, starten Sie Geräte-Manager, öffnen Sie bestimmte Geräteeigenschaften, und klicken Sie auf "Details": |
| LockoutDuration | Zeichenfolge | "\Sicherheitseinstellungen\Kontorichtlinien\Kontosperrrichtlinie\Kontosperrdauer" Gruppenrichtlinie. Ein numerischer Wert. |
| LockoutObservationWindow | Zeichenfolge | "\Sicherheitseinstellungen\Kontorichtlinien\Kontosperrrichtlinie\Kontosperrungsindikator zurücksetzen nach" Gruppenrichtlinie. Ein numerischer Wert. |
| LockoutThreshold | Zeichenfolge | Gruppenrichtlinie "\Sicherheitseinstellungen\Kontorichtlinien\Kontosperrrichtlinie\Schwellenwert für Kontosperrung". Ein numerischer Wert. |
| LoggingResult | Zeichenfolge | Das Ergebnis des Anmeldevorgangs. |
| LogonGuid | Zeichenfolge | Eine GUID, die Ihnen dabei helfen kann, dieses Ereignis mit einem anderen Ereignis zu korrelieren, das dieselbe Anmelde-GUID enthalten kann. |
| LogonHours | Zeichenfolge | Stunden, zu denen das Konto sich bei der Domäne anmelden darf. |
| LogonID | Zeichenfolge | Hexadezimalwert, der Ihnen dabei helfen kann, dieses Ereignis mit aktuellen Ereignissen zu korrelieren, die möglicherweise dieselbe Anmelde-ID enthalten. |
| LogonProcessName | Zeichenfolge | Der Name des registrierten Anmeldevorgangs. |
| LogonType | int | Der Typ der Anmeldung, die ausgeführt wurde. |
| LogonTypeName | Zeichenfolge | Der Typ des Anmelde- oder Authentifizierungsereignisses, das vom Ereignisprotokoll erfasst wird (allgemeine Werte: Interactive, Network, RemoteInteractive, Unlock). |
| MachineAccountQuota | Zeichenfolge | ms-DS-MachineAccountQuota domain attribute was modified. Ein numerischer Wert. |
| MachineInventory | Zeichenfolge | Informationen zur Hardwarekonfiguration und Softwareumgebung des Computers, auf dem das Ereignis generiert wird. Es kann verschiedene Datenpunkte enthalten, z. B. die Herstellung und das Modell des Computers, die Menge des verfügbaren RAM oder Speicherplatzes, die Versionsnummern verschiedener Softwareanwendungen usw. |
| MachineLogon | Zeichenfolge | Informationen zu einem erfolgreichen Anmeldeereignis auf dem Computer. |
| ManagementGroupName | Zeichenfolge | Zusätzliche Informationen basierend auf dem Ressourcentyp. |
| ObligatorLabel | Zeichenfolge | ID der Integritätsbezeichnung, die dem neuen Prozess zugewiesen wurde. |
| MaxPasswordAge | Zeichenfolge | Der Zeitraum (in Tagen), in dem ein Kennwort verwendet werden kann, bevor der Benutzer es ändern muss. |
| MemberName | Zeichenfolge | Das Benutzerkonto, das an dem Ereignis beteiligt war. |
| MemberSid | Zeichenfolge | Die Sicherheits-ID (SID), die dem Benutzerkonto zugeordnet ist, das an dem Ereignis beteiligt war. |
| MinPasswordAge | Zeichenfolge | Der Zeitraum (in Tagen), für den ein Kennwort verwendet werden muss, bevor der Benutzer es ändern muss. |
| MinPasswordLength | Zeichenfolge | Die geringste Anzahl von Zeichen, aus denen ein Kennwort für ein Benutzerkonto bestehen kann. |
| MixedDomainMode | Zeichenfolge | Der Domänenmodus eines Systems oder Domänencontrollers. |
| NASIdentifier | Zeichenfolge | Der Bezeichner des Netzwerkzugriffsservers (NAS), der an dem Ereignis beteiligt war. |
| NASIPv4Address | Zeichenfolge | Die IPv4Address des Netzwerkzugriffsservers (NAS), der ggf. an dem Ereignis beteiligt war. |
| NASIPv6Address | Zeichenfolge | Die IPv6Address des Netzwerkzugriffsservers (NAS), der ggf. an dem Ereignis beteiligt war. |
| NASPort | Zeichenfolge | den Port auf dem Netzwerkzugriffsserver, der im Ereignis verwendet wurde. |
| NASPortType | Zeichenfolge | der Typ des netzwerkzugriffsservers (NAS), der im Ereignis verwendet wird. |
| NetworkPolicyName | Zeichenfolge | Der Name der Netzwerkrichtlinie, die dem Ereignis zugeordnet ist. |
| NewDate | Zeichenfolge | Neues Datum in UTC-Zeitzone. Das Format lautet JJJJ-MM-TT. |
| NewMaxUsers | Zeichenfolge | Die neue maximale Anzahl von Benutzern, die für eine Ressource im Ereignis zulässig sind. |
| NewProcessId | Zeichenfolge | Hexadezimale Prozess-ID des neuen Prozesses. Die Prozess-ID (PROCESS ID, PID) ist eine Zahl, die vom Betriebssystem verwendet wird, um einen aktiven Prozess eindeutig zu identifizieren. |
| NewProcessName | Zeichenfolge | Vollständiger Pfad und der Name der ausführbaren Datei für den neuen Prozess. |
| NewRemark | Zeichenfolge | Der neue Wert der Netzwerkfreigabe "Comments:" field. Hat den Wert "N/A", wenn er nicht festgelegt ist. |
| NewShareFlags | Zeichenfolge | Die Freigabekennzeichnungen, die einer Ressource im Ereignis zugeordnet sind, z. B.: Informationen dazu, ob die Ressource schreibgeschützt oder schreibgeschützt ist, ob sie ausgeblendet ist, und andere Parameter, die sich auf Zugriff und Berechtigungen auswirken können. |
| NewTime | Zeichenfolge | Neue Zeit, die in der UTC-Zeitzone festgelegt wurde. Das Format ist JJJJ-MM-DDThh:mm:ss.nnnZ |
| NewUacValue | Zeichenfolge | Gibt Kennzeichnungen an, die Kennwort, Sperrung, Deaktivierung/Aktivierung, Skript und anderes Verhalten für das Benutzerkonto steuern. |
| NewValue | Zeichenfolge | Neuer Wert für den geänderten Registrierungsschlüsselwert. |
| NewValueType | Zeichenfolge | Neuer Typ des geänderten Registrierungsschlüsselwerts. |
| ObjectName | Zeichenfolge | Name und andere identifizierende Informationen für das Objekt, für das der Zugriff angefordert wurde. For example, for a file, the path would be included. |
| ObjectServer | Zeichenfolge | Enthält den Namen des Windows-Subsystems, das die Routine aufruft. |
| ObjectType | Zeichenfolge | Der Typ eines Objekts, auf das während des Vorgangs zugegriffen wurde. |
| ObjectValueName | Zeichenfolge | Der Name des geänderten Registrierungsschlüsselwerts. |
| OemInformation | Zeichenfolge | Der Originalgerätehersteller (OEM), der einem Gerät oder System zugeordnet ist, im Ereignis. |
| OldMaxUsers | Zeichenfolge | Die vorherige maximale Anzahl von Benutzern, die für eine Ressource im Ereignis zulässig sind. |
| OldRemark | Zeichenfolge | der alte Wert der Netzwerkfreigabe "Comments:" field. Hat den Wert "N/A", wenn er nicht festgelegt ist. |
| OldShareFlags | Zeichenfolge | Die vorherigen Freigabekennzeichnungen, die einer Ressource im Ereignis zugeordnet sind, z. B.: Informationen dazu, ob die Ressource schreibgeschützt oder schreibgeschützt ist, ob sie ausgeblendet ist, und andere Parameter, die sich auf Zugriff und Berechtigungen auswirken können. |
| OldUacValue | Zeichenfolge | Gibt Kennzeichnungen an, die Kennwort, Sperrung, Deaktivierung/Aktivierung, Skript und anderes Verhalten für das Benutzerkonto steuern. Dieser Parameter enthält den vorherigen Wert des UserAccountControl-Attributs des Benutzerobjekts. |
| OldValue | Zeichenfolge | Alter Wert für geänderten Registrierungsschlüsselwert. |
| OldValueType | Zeichenfolge | Alter Typ des geänderten Registrierungsschlüsselwerts. |
| Opcode | Zeichenfolge | Das opcode-Element wird vom komplexen Typ "SystemPropertiesType" definiert. |
| OperationType | Zeichenfolge | Der Typ des Vorgangs, der für ein Objekt ausgeführt wurde |
| PackageName | Zeichenfolge | Der Name des LAN Manager-Unterpakets (NTLM-Family-Protokollname), das bei der Anmeldung verwendet wurde. |
| ParentProcessName | Zeichenfolge | Der Name des übergeordneten Prozesses, der dem Ereignis zugeordnet ist. |
| PasswordHistoryLength | Zeichenfolge | \Sicherheitseinstellungen\Kontorichtlinien\Kennwortrichtlinie\Kennwortverlauf erzwingen" Gruppenrichtlinie. Ein numerischer Wert. |
| PasswordLastSet | Zeichenfolge | Zeitpunkt der letzten Änderung des Kennworts des Kontos. |
| PasswordProperties | Zeichenfolge | Die Kennwortrichtlinien oder Eigenschaften, die dem Ereignis zugeordnet sind, z. B. Kennwortlänge, Komplexität und Ablaufdatum. |
| Vorheriges Datum | Zeichenfolge | Das vorherige Datum, das dem Ereignis zugeordnet ist. |
| PreviousTime | Zeichenfolge | Vorherige Zeit in UTC-Zeitzone. Das Format ist JJJJ-MM-DDThh:mm:ss.nnnZ. |
| PrimaryGroupId | Zeichenfolge | Relative Id (RID) der primären Gruppe des Objekts des Benutzers. |
| PrivateKeyUsageCount | Zeichenfolge | Die Häufigkeit, mit der ein privater Schlüssel verwendet wurde. |
| PrivilegeList | Zeichenfolge | Die Berechtigungen, einschließlich Benutzer-, Gruppen- oder Systemberechtigungen, die dem Ereignis zugeordnet sind. |
| Prozess | Zeichenfolge | Der Name des Prozesses, der das Ereignis generiert. |
| ProcessId | Zeichenfolge | Gibt den Prozess an, der das Ereignis generiert hat |
| ProcessName | Zeichenfolge | Vollständiger Pfad und der Name der ausführbaren Datei für den Prozess. |
| ProfilePath | Zeichenfolge | Gibt einen Pfad zum Profil des Kontos an. Dieser Wert kann eine NULL-Zeichenfolge, ein lokaler absoluter Pfad oder ein UNC-Pfad sein. |
| Eigenschaften | Zeichenfolge | Hängt vom Objekttyp ab. Dieses Feld kann leer sein oder die Liste der Objekteigenschaften enthalten, auf die zugegriffen wurde. |
| ProtocolSequence | Zeichenfolge | Informationen zum Protokoll, das für einen Authentifizierungsversuch verwendet wird. |
| ProxyPolicyName | Zeichenfolge | Name der Richtlinie, die zum Konfigurieren des Proxyservers für die Verbindung mit dem Netzwerk verwendet wurde. |
| QuarantineHelpURL | Zeichenfolge | URL, die Hilfe bei der Problembehandlung eines Netzwerkquarantäneproblems bietet. |
| QuarantineSessionID | Zeichenfolge | Bezeichner der Sitzung, in der die Datei zur Quarantäne bewertet wurde. |
| QuarantineSessionIdentifier | Zeichenfolge | Bezeichner der Sitzung, in der die Datei zur Quarantäne bewertet wurde. |
| QuarantineState | Zeichenfolge | Es wird angezeigt, ob die Datei unter Quarantäne gestellt wird. |
| QuarantineSystemHealthResult | Zeichenfolge | Bericht, der den Status der Dateien anzeigt, die unter Quarantäne gestellt wurden. |
| RelativeTargetName | Zeichenfolge | Relativer Name der Zieldatei oder des Ordners, auf die zugegriffen wird. Dieser Dateipfad ist relativ zur Netzwerkfreigabe. Wenn der Zugriff für die Freigabe selbst angefordert wurde, wird dieses Feld als "" angezeigt. |
| RemoteIpAddress | Zeichenfolge | Die IP-Adresse des Computers, der eine Remoteverbindung initiiert hat. |
| RemotePort | Zeichenfolge | Die Portnummer des Remotecomputers, der eine Verbindung initiiert hat. |
| Name der anfordernden Person | Zeichenfolge | Der Ereignisanforderungsbezeichner. |
| RequestId | Zeichenfolge | Ein eindeutiger Bezeichner, der bestimmten Anforderungen zugeordnet ist, z. B. solche, die über HTTP vorgenommen wurden. |
| _ResourceId | Zeichenfolge | Ein eindeutiger Bezeichner für die Ressource, der der Datensatz zugeordnet ist. |
| RestrictedAdminMode | Zeichenfolge | Wird nur für RemoteInteractive-Anmeldetypsitzungen aufgefüllt. Dies ist ein Ja/Nein-Flag, das angibt, ob die bereitgestellten Anmeldeinformationen im Eingeschränkten Administratormodus übergeben wurden. Der eingeschränkte Administratormodus wurde in Win8.1/2012R2 hinzugefügt, dieses Flag wurde jedoch dem Ereignis in Win10 hinzugefügt. |
| RowsDeleted | Zeichenfolge | Die Anzahl der Zeilen, die als Teil eines bestimmten Vorgangs gelöscht wurden. |
| SamAccountName | Zeichenfolge | Anmeldename für konto, der zur Unterstützung von Clients und Servern aus früheren Versionen von Windows verwendet wird (Vor-Windows 2000-Anmeldename). |
| scriptPath | Zeichenfolge | Gibt den Pfad des Anmeldeskripts des Kontos an. |
| SecurityDescriptor | Zeichenfolge | Informationen zu den Sicherheitseinstellungen und Berechtigungen eines bestimmten Objekts oder einer bestimmten Ressource. |
| ServiceAccount | Zeichenfolge | Der Sicherheitskontext, den der Dienst beim Starten ausführt. |
| ServiceFileName | Zeichenfolge | Gibt den Diensttyp an, der beim Dienststeuerungs-Manager registriert wurde. |
| ServiceName | Zeichenfolge | Der Name des installierten Diensts. |
| ServiceStartType | int | Enthält Informationen dazu, wie ein bestimmter Dienst gestartet werden soll, unabhängig davon, ob er automatisch oder manuell gestartet werden soll. |
| ServiceType | Zeichenfolge | Gibt den Diensttyp an, der beim Dienststeuerungs-Manager registriert wurde. |
| SessionName | Zeichenfolge | Der Name der Sitzung, mit der der Benutzer erneut verbunden wurde. |
| ShareLocalPath | Zeichenfolge | Der lokale Pfad der Netzwerkfreigabe. |
| ShareName | Zeichenfolge | Der Name der netzwerkfreigabe, auf die zugegriffen wird. Das Format lautet: \*\SHARE_NAME. |
| SidHistory | Zeichenfolge | Enthält vorherige SIDs, die für das Objekt verwendet werden, wenn das Objekt aus einer anderen Domäne verschoben wurde. |
| SourceComputerId | Zeichenfolge | Eindeutiger Bezeichner, der jedem Computer in einer Windows-Domäne zugewiesen ist. |
| SourceSystem | Zeichenfolge | Der Typ des Agents, von dem das Ereignis erfasst wurde. For example, for Windows agent, OpsManager either direct connect or Operations Manager, for all Linux agents, Linux or Azure for Azure-Diagnose |
| Status | Zeichenfolge | Der Grund, warum die Anmeldung fehlgeschlagen ist. Für dieses Ereignis weist es in der Regel den Wert "0xC0000234" auf. Die häufigsten Statuscodes sind in Tabelle 12 aufgeführt. Windows-Anmeldestatuscodes. |
| StorageAccount | Zeichenfolge | Legt den Zugriffsschlüssel für das Speicherkonto fest. |
| SubcategoryGuid | Zeichenfolge | Die eindeutige GUID der geänderten Unterkategorie. |
| SubcategoryId | Zeichenfolge | Ein eindeutiger Bezeichner für einen bestimmten Typ des Ereignisses. |
| Betreff | Zeichenfolge | Informationen zum Sicherheitsprinzipal (z. B. Benutzerkonto), das das Ereignis initiiert hat. |
| SubjectAccount | Zeichenfolge | Informationen zum Konto, das das Ereignis initiiert. |
| SubjectDomainName | Zeichenfolge | Informationen zur Domäne oder Arbeitsgruppe, zu der das Betreffkonto gehört. |
| SubjectKeyIdentifier | Zeichenfolge | Ein eindeutiger Bezeichner für einen bestimmten Zertifikatantragsteller. |
| SubjectLogonId | Zeichenfolge | Ein eindeutiger Bezeichner für die Anmeldesitzung, die dem Betreffkonto zugeordnet ist. |
| SubjectMachineName | Zeichenfolge | Informationen zum Computer oder System, von dem das Ereignis erstellt wurde. |
| SubjectMachineSID | Zeichenfolge | Die Sicherheits-ID (SID) für den Computer, auf dem das Ereignis generiert wurde. |
| SubjectUserName | Zeichenfolge | Der Name des Benutzerkontos, das das Ereignis generiert hat. |
| SubjectUserSid | Zeichenfolge | Die Sicherheits-ID (SID) für das Benutzerkonto, das das Ereignis generiert hat. |
| _SubscriptionId | Zeichenfolge | Ein eindeutiger Bezeichner für das Abonnement, dem der Datensatz zugeordnet ist. |
| SubStatus | Zeichenfolge | Zusätzliche Informationen zum Anmeldefehler. Die häufigsten Unterstatuscodes, die in der Tabelle 12 aufgeführt sind. Windows-Anmeldestatuscodes'. |
| SystemProcessId | int | Gibt den Prozess an, der das Ereignis generiert hat |
| SystemThreadId | int | Gibt den Thread an, der das Ereignis generiert hat |
| SystemUserId | Zeichenfolge | Die ID des Benutzers, der für das Ereignis verantwortlich ist. |
| TableId | Zeichenfolge | Die spezifische Datentabelle bezeichner, in der die Ereignisdaten gespeichert werden. |
| TargetAccount | Zeichenfolge | Das Konto, das auf das Ereignis abzielt (Benutzername, Computername usw.). |
| TargetDomainName | Zeichenfolge | Der Name der Domäne, zu der das Zielkonto gehört. |
| TargetInfo | Zeichenfolge | Zusätzliche Informationen zum Ereignisziel (z. B. der Pfad zu einer Datei oder einem Ordner, der Name eines Registrierungsschlüssels usw.). |
| TargetLinkedLogonId | Zeichenfolge | Informationen, die dazu beiträgt, verwandte Ereignisse anhand ihrer Anmeldeversuchs-IDs miteinander zu verknüpfen. Es kann hilfreich sein, alle relevanten Ereignisse organisiert zu halten, Aktivitäten über mehrere Sitzungen hinweg zu verfolgen und die Angriffsquelle zu identifizieren. |
| TargetLogonGuid | Zeichenfolge | Eine GUID (Globally Unique Identifier), die der Anmeldesitzung im Zusammenhang mit dem Ereignis zugeordnet ist. |
| TargetLogonId | Zeichenfolge | Ein eindeutiger Bezeichner, der der Anmeldesitzung im Zusammenhang mit dem Ereignis zugeordnet ist. |
| TargetOutboundDomainName | Zeichenfolge | Die Domäne, für die das im Feld "TargetAccount" angegebene Konto bei einem ausgehenden Authentifizierungsversuch authentifiziert wurde. |
| TargetOutboundUserName | Zeichenfolge | Der Name des Benutzerkontos, das bei einem ausgehenden Authentifizierungsversuch authentifiziert wurde. |
| TargetServerName | Zeichenfolge | Der Name des Servers, auf dem der neue Prozess ausgeführt wurde. Hat den Wert "localhost", wenn der Prozess lokal ausgeführt wurde. |
| TargetSid | Zeichenfolge | Die Sicherheits-ID (SID) des Servers, auf dem der neue Prozess ausgeführt wurde. |
| TargetUser | Zeichenfolge | Der Benutzerkontobezeichner, der den neuen Prozess generiert hat. |
| TargetUserName | Zeichenfolge | Der Name des Benutzerkontos, das den neuen Prozess generiert hat. |
| TargetUserSid | Zeichenfolge | Die Sicherheits-ID (SID), die dem Benutzer oder der Ressource zugeordnet ist, der an dem Ereignis beteiligt ist. |
| Aufgabe | int | Die im Ereignis definierte Aufgabe. |
| TemplateContent | Zeichenfolge | Der Inhalt der Ereignisnachricht oder Benachrichtigung in einem strukturierten Formular. |
| TemplateDSObjectFQDN | Zeichenfolge | FQDN des DS-Objekts, das die GPO-Vorlage darstellt. |
| TemplateInternalName | Zeichenfolge | Der interne Name der GPO-Vorlage. |
| TemplateOID | Zeichenfolge | der eindeutige Bezeichner für die Vorlage, die zum Erstellen des Ereignisses verwendet wurde. |
| TemplateSchemaVersion | Zeichenfolge | Version des Vorlagenschemas, das die Daten definiert, die in ein Ereignis eingeschlossen werden sollen. |
| TemplateVersion | Zeichenfolge | Version der Vorlage, die die Daten definiert, die in ein Ereignis eingeschlossen werden sollen. |
| TenantId | Zeichenfolge | Die ID des Log Analytics-Arbeitsbereichs. |
| TimeGenerated | datetime | Der Zeitstempel, zu dem das Ereignis auf dem Computer generiert wurde. |
| TokenElevationType | Zeichenfolge | Typ des Tokens, das einem neuen Prozess gemäß der Richtlinie zur Benutzerkontensteuerung zugewiesen wurde. |
| Übertragene Dienste | Zeichenfolge | Die Liste der übertragenen Dienste. Übertragene Dienste werden aufgefüllt, wenn die Anmeldung ein Ergebnis eines S4U-Anmeldevorgangs (Service for User) war. S4U ist eine Microsoft-Erweiterung für das Kerberos-Protokoll, um einem Anwendungsdienst das Abrufen eines Kerberos-Diensttickets im Namen eines Benutzers zu ermöglichen . Dies geschieht am häufigsten von einer Front-End-Website für den Zugriff auf eine interne Ressource im Namen eines Benutzers. Weitere Informationen zu S4U finden Sie unter https://msdn.microsoft.com/library/cc246072.aspx. |
| type | Zeichenfolge | Der Name der Tabelle. |
| UserAccountControl | Zeichenfolge | Zeigt die Liste der Änderungen im UserAccountControl-Attribut an. Für jede Änderung wird eine Textzeile angezeigt. |
| UserParameters | Zeichenfolge | Wenn Sie eine Einstellung mithilfe von Active Directory-Benutzer und -Computer Verwaltungskonsole in der Registerkarte "Einwahl" der Kontoeigenschaften des Benutzers ändern, wird <der Wert geändert, aber in diesem Feld nicht angezeigt>. Für lokale Konten ist dieses Feld nicht anwendbar und hat <immer keinen Wert festgelegt> . |
| UserPrincipalName | Zeichenfolge | Anmeldename im Internetstil für das Konto, basierend auf dem Internetstandard RFC 822. In der Konvention sollte dies dem E-Mail-Namen des Kontos zugeordnet werden. |
| UserWorkstations | Zeichenfolge | Enthält die Liste der NetBIOS- oder DNS-Namen der Computer, von denen sich der Benutzer anmelden kann. Jeder Computername wird durch ein Komma getrennt. Der Name eines Computers ist die sAMAccountName-Eigenschaft eines Computerobjekts. |
| VendorIds | Zeichenfolge | Attribut "Hardware-IDs" des Geräts. Um Geräteeigenschaften anzuzeigen, starten Sie Geräte-Manager, öffnen Sie bestimmte Geräteeigenschaften, und klicken Sie auf "Details". |
| Version | int | Enthält die Versionsnummer der Ereignisdefinition. |
| VirtualAccount | Zeichenfolge | Ein Flag "Ja" oder "Nein", das angibt, ob das Konto ein virtuelles Konto ist (z. B. "Verwaltetes Dienstkonto"), das in Windows 7 und Windows Server 2008 R2 eingeführt wurde, um das Konto zu identifizieren, das ein bestimmter Dienst verwendet, anstatt nur "NetworkService" zu verwenden. |
| Arbeitsstation | Zeichenfolge | Der Name des Computers, der zum Ausführen des Ereignisses verwendet wurde. |
| WorkstationName | Zeichenfolge | Computername, von dem ein Anmeldeversuch ausgeführt wurde. |