MDCFileIntegrityMonitoringEvents

  • Artículo

Vea los cambios de archivos de Windows y Linux, así como de las claves del Registro de software. Los eventos de esta tabla se recopilan mediante Microsoft Defender para punto de conexión (MDE).

Atributos de tabla

Attribute Valor
Tipos de recursos -
Categorías Seguridad
Soluciones LogManagement
Registro básico Sí
Transformación en tiempo de ingesta No
Consultas de ejemplo -

Columnas

Columna Type Descripción
AADTenantID string Identificador de inquilino de AAD de la suscripción en la que se creó, cambió el nombre, modificó o eliminó la entidad supervisada.
AzureResourceId string Identificador de recurso de Azure del recurso cuya entidad supervisada se creó, cambió el nombre, modificó o eliminó.
_BilledSize real Tamaño del registro en bytes
ChangeType string Tipo de cambio que se produjo en la entidad. Para la entidad "File" debe ser "Created", "Modified", "Renamed" o "Deleted". Para la entidad "Registry" debe ser "RegistryKeyCreated", "RegistryKeyDeleted", "RegistryValueSet", "RegistryValueDeleted", "RegistryKeyRenamed".
CloudIdentifier string Identificador de nube del recurso.
CloudProvider string Proveedor de nube del recurso.
CloudResourceType string Tipo del recurso en la nube.
Computer string Nombre de la máquina en la que se creó, cambió el nombre, modificó o eliminó la entidad supervisada.
FileMd5 string Relevante para el tipo de entidad supervisado "File". Contiene el MD5 del archivo que se modificó, creó o eliminó.
FileName string Relevante para el tipo de entidad supervisado "File". Contiene el nombre del archivo que se creó, cambió, modificó o eliminó.
FilePath string Relevante para el tipo de entidad supervisado "File". Contiene la ruta de acceso del archivo que se creó, cambió, modificó o eliminó.
FileSha1 string Relevante para el tipo de entidad supervisado "File". Contiene el SHA1 del archivo que se modificó, creó o eliminó.
FileSha256 string Relevante para el tipo de entidad supervisado "File". Contiene el SHA256 del archivo que se modificó, creó o eliminó.
FileSize long Relevante para el tipo de entidad supervisado "File". Contiene el tamaño actual (en bytes) del archivo creado, cambiado, modificado o eliminado.
FileType string Relevante para el tipo de entidad supervisado "File". Contiene el tipo del archivo que se creó, cambió el nombre, modificó o eliminó. Ejemplo de posibles valores: Zip, PDF, Xar, etc.
InitiatingProcessAccountDomainName string Contiene el nombre de dominio de la cuenta del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessAccountName string Contiene el nombre de cuenta del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessAccountSid string Contiene el SID de cuenta del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessCreationTime datetime Contiene el tiempo de creación del proceso de inicio que provocó el evento de entidad supervisada.
IniciandoProcessFirstSeen datetime Contiene la primera vez que se ve el proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessId long Contiene el identificador de proceso del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessImageFileName string Contiene el nombre del archivo de imagen del proceso de inicio que provocó el evento de entidad supervisada.
IniciandoProcessImageFilePath string Contiene la ruta de acceso del archivo de imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessImageFileType string Contiene el tipo de archivo de imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessName string Contiene el nombre del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessSessionId long Contiene el identificador de sesión del proceso de inicio que provocó el evento de entidad supervisada.
InitiatingProcessSource string Contiene el origen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageCreationTimeUtc datetime Contiene el tiempo de creación de la imagen de la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageFileSizeInBytes long Contiene el tamaño del archivo de imagen (en bytes) del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageLastAccessTimeUtc datetime Contiene la última hora de acceso de la imagen de la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageLastWriteTimeUtc datetime Contiene la hora de última escritura de la imagen de la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageLsHash string Contiene el hash LS de la imagen de la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageMd5 string Contiene la imagen MD5 para la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImagePeTimestampUtc datetime Contiene la hora pe de la imagen de la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageSha1 string Contiene la imagen SHA 1 para la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcImageSha256 string Contiene la imagen SHA 256 para la imagen del proceso de inicio que provocó el evento de entidad supervisada.
InitProcVersionInfoCompanyName string Contiene el nombre de la compañía de información de versión del proceso de inicio que provocó el evento de entidad supervisada.
InitProcVersionInfoFileDescription string Contiene la descripción del archivo de información de versión del proceso de inicio que provocó el evento de entidad supervisada.
InitProcVersionInfoInternalFileName string Contiene el nombre de archivo interno de información de versión del proceso de inicio que provocó el evento de entidad supervisada.
InitProcVersionInfoOriginalFileName string Contiene el nombre de archivo original de la información de versión del proceso de inicio que provocó el evento de entidad supervisada.
InitProcVersionInfoProductName string Contiene el nombre del producto de información de versión del proceso iniciado que provocó el evento de entidad supervisada.
InitProcVersionInfoProductVersion string Contiene la versión del producto de información de versión del proceso de inicio que provocó el evento de entidad supervisada.
_IsBillable string Especifica si la ingesta de los datos es facturable. Cuando _IsBillable la ingesta no se false factura a su cuenta de Azure
MonitoredEntityType string Tipo de la entidad supervisada que se creó, cambió el nombre, modificó o eliminó. Puede ser "Archivo" o "Registro".
NewValueData string Relevante para el tipo de entidad supervisado "Registro". Contiene los datos de valor del Registro nuevo.
NewValueName string Relevante para el tipo de entidad supervisado "Registro". Contiene el nombre del valor del Registro Nuevo.
NewValueType string Relevante para el tipo de entidad supervisado "Registro". Contiene el tipo de valor Nuevo registro.
OldValueData string Relevante para el tipo de entidad supervisado "Registro". Contiene los datos de valor del Registro anteriores.
OldValueFullRegistryKey string Relevante para el tipo de entidad supervisado "Registro". Contiene la clave completa del Registro anterior.
OldValueName string Relevante para el tipo de entidad supervisado "Registro". Contiene el nombre del valor del Registro anterior.
OldValueType string Relevante para el tipo de entidad supervisado "Registro". Contiene el tipo de valor del Registro anterior.
OriginalFileName string Relevante para el tipo de entidad supervisado "File" y para un tipo de cambio "Rename". Contiene el nombre original del archivo cuyo nombre se cambió antes de que se produjera el cambio de nombre.
OriginalFilePath string Relevante para el tipo de entidad supervisado "File" y para un tipo de cambio "Rename". Contiene la ruta de acceso original del archivo cuyo nombre se cambió antes de que se produjera el cambio de nombre.
RegistryHive string Relevante para el tipo de entidad supervisado "Registro". Contiene los valores de configuración de agrupación para el sistema operativo y las aplicaciones.
RegistryKey string Relevante para el tipo de entidad supervisado "Registro". Contiene la clave del Registro completa del Registro que se creó o la nueva clave del Registro cuyo nombre se cambió.
RequestAccountDomain string Relevante para el tipo de entidad supervisado "File". Contiene el dominio de la cuenta del usuario que provocó el evento de archivo.
RequestAccountName string Relevante para el tipo de entidad supervisado "File". Contiene el nombre de la cuenta del usuario que provocó el evento de archivo.
RequestAccountSid string Relevante para el tipo de entidad supervisado "File". Contiene el SID de la cuenta del usuario que provocó el evento de archivo.
RequestSource string Relevante para el tipo de entidad supervisado "File". Contiene el origen de la cuenta del usuario que provocó el evento de archivo. Por ejemplo, Local/SMB/NFS.
RequestSourceIP string Relevante para el tipo de entidad supervisado "File". Contiene la dirección IP de origen de la cuenta del usuario que provocó el evento de archivo. En el caso del archivo remoto, la dirección IP desde la que vino la solicitud.
RequestSourcePort string Relevante para el tipo de entidad supervisado "File". Contiene el puerto de origen de la cuenta del usuario que provocó el evento de archivo. Para el archivo remoto, el puerto desde el que vino la solicitud.
SourceSystem string Tipo de agente por el que se recopiló el evento. Por ejemplo, OpsManager para el agente de Windows, conexión directa o Operations Manager, Linux para todos los agentes de Linux o Azure para Diagnósticos de Azure
TenantId string Id. del área de trabajo de Log Analytics
TimeGenerated datetime Hora (UTC) en la que se creó, cambió el nombre, modificó o eliminó la entidad supervisada.
Tipo string Nombre de la tabla.