IdentityDirectoryEvents

  • Artikel

Gilt für:

  • Microsoft Defender XDR

Die IdentityDirectoryEvents Tabelle im Schema der erweiterten Suche enthält Ereignisse, die einen lokalen Domänencontroller mit Active Directory (AD) betreffen. In dieser Tabelle werden verschiedene identitätsbezogene Ereignisse wie Kennwortänderungen, Kennwortablauf und Änderungen des Benutzerprinzipalnamens (UPN) erfasst. Außerdem werden Systemereignisse auf dem Domänencontroller erfasst, z. B. die Planung von Aufgaben und PowerShell-Aktivitäten. Verwenden Sie dieser Referenz, um Abfragen zu erstellen, die Informationen aus dieser Tabelle zurückgeben.

Tipp

Ausführliche Informationen zu den Ereignistypen (ActionTypeWerten), die von einer Tabelle unterstützt werden, finden Sie in der integrierten Schemareferenz, die in Microsoft Defender XDR verfügbar ist.

Informationen zu anderen Tabellen im Schema "Erweiterte Suche" finden Sie unter Referenz zur erweiterten Suche.

Spaltenname Datentyp Beschreibung
Timestamp datetime Datum und Uhrzeit der Aufzeichnung des Ereignisses
ActionType string Typ der Aktivität, die das Ereignis ausgelöst hat. Ausführliche Informationen finden Sie in der Schemareferenz im Portal .
Application string Anwendung, die die aufgezeichnete Aktion ausgeführt hat
TargetAccountUpn string Benutzerprinzipalname (UPN) des Kontos, auf das die aufgezeichnete Aktion angewendet wurde
TargetAccountDisplayName string Anzeigename des Kontos, auf das die aufgezeichnete Aktion angewendet wurde
TargetDeviceName string Vollqualifizierter Domänenname (FQDN) des Geräts, auf das die aufgezeichnete Aktion angewendet wurde
DestinationDeviceName string Name des Geräts, auf dem die Serveranwendung ausgeführt wird, die die aufgezeichnete Aktion verarbeitet hat
DestinationIPAddress string IP-Adresse des Geräts, auf dem die Serveranwendung ausgeführt wird, die die aufgezeichnete Aktion verarbeitet hat
DestinationPort int Zielport der Aktivität
Protocol string Während der Kommunikation verwendetes Protokoll
AccountName string Benutzername des Kontos
AccountDomain string Domäne des Kontos
AccountUpn string Benutzerprinzipalname (UPN) des Kontos
AccountSid string Sicherheits-ID (SID) des Kontos
AccountObjectId string Eindeutiger Bezeichner für das Konto in Microsoft Entra ID
AccountDisplayName string Der Name des Kontobenutzers, der im Adressbuch angezeigt wird. In der Regel eine Kombination aus einem vornamen oder einem Vornamen, einem zweiten Vornamen und einem Nachnamen oder Nachnamen.
DeviceName string Vollqualifizierter Domänenname (FQDN) des Geräts
IPAddress string Dem Gerät während der Kommunikation zugewiesene IP-Adresse
Port int TCP-Port, der während der Kommunikation verwendet wird
Location string Ort, Land/Region oder anderer geografischer Standort, der dem Ereignis zugeordnet ist
ISP string Internetdienstanbieter, der der IP-Adresse zugeordnet ist
ReportId string Eindeutiger Bezeichner für das Ereignis
AdditionalFields dynamic Zusätzliche Informationen zur Entität oder zum Ereignis

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender XDR Tech Community.