ASimUserManagementActivityLogs
ASim ユーザー管理スキーマは、ユーザーまたはグループの作成、ユーザー属性の変更、グループへのユーザーの追加などのユーザー管理アクティビティを表します。 このようなイベントは、たとえばオペレーティング システム、ディレクトリ サービス、ID 管理システム、およびローカル ユーザー管理アクティビティに関するその他のシステム レポートによって報告されます。
テーブル属性
属性 | 値 |
---|---|
リソースの種類 | microsoft.securityinsights/asimtables |
Categories (カテゴリ) | セキュリティ |
ソリューション | SecurityInsights |
基本的なログ | いいえ |
インジェスト時間変換 | Yes |
サンプル クエリ | - |
列
Column | Type | 説明 |
---|---|---|
ActingAppId | string | プロセス、ブラウザー、サービスなどのアクティビティを実行するためにアクターが使用するアプリケーションの ID。 |
ActingAppName | string | プロセス、ブラウザー、サービスなどのアクティビティを実行するためにアクターが使用するアプリケーションの名前。 |
ActingAppType | string | 代理アプリケーションの種類。 |
ActingOriginalAppType | string | レポート デバイスによって報告される動作するアプリケーションの種類。 |
ActorOriginalUserType | string | ソースによって提供されている場合、元のアクター ユーザーの種類。 |
ActorScope | string | ActorUserId と ActorUsername が定義されているスコープ (Azure AD テナントなど)。 |
ActorScopeId | string | ActorUserId と ActorUsername が定義されているスコープ ID (Azure AD テナント ID など)。 |
ActorSessionId | string | アクターのサインイン セッションの一意の ID。 |
ActorUserAadId | string | アクターの Azure Active Directory ID。 |
string | マシンが読み取り可能な英数字、アクターの一意の表現。 | |
ActorUserIdType | string | ActorUserId フィールドに格納されている ID の種類。 |
string | アクターのユーザー名(使用可能な場合はドメイン情報を含む)。 | |
ActorUsernameType | string | ActorUsername フィールドに格納されているユーザー名の種類を指定します。 |
ActorUserSid | string | アクターの Windows ユーザー ID (SID)。 |
ActorUserType | string | アクターの種類。 |
AdditionalFields | 動的 | ASim にマップされないソースによって提供されるキーと値のペアを使用して表される追加情報。 |
_BilledSize | real | レコード サイズ (バイト単位) |
DvcAction | string | セキュリティ システムのレポートの場合、システムによって実行されるアクション。 |
DvcDescription | string | デバイスに関連付けられる説明のテキスト。 |
DvcDomain | string | イベントを報告するデバイスのドメイン。 |
DvcDomainType | string | DvcDomain の種類。 |
DvcFQDN | string | イベントが発生した、またはイベントを報告したデバイスのホスト名。 |
DvcHostname | string | イベントを報告するデバイスのホスト名。 |
DvcId | string | イベントが発生した、またはイベントを報告したデバイスの一意の ID。 |
DvcIdType | string | DvcId の種類。 |
DvcInterface | string | データがキャプチャされたネットワーク インターフェイス。 |
DvcIpAddr | string | イベントを報告するデバイスの IP アドレス。 |
DvcMacAddr | string | イベントが発生した、またはイベントを報告したデバイスの MAC アドレス。 |
string | レポート デバイスによって提供された元の DvcAction。 | |
DvcOs | string | イベントが発生した、またはイベントを報告したデバイスで実行されているオペレーティング システム。 |
DvcOsVersion | string | イベントが発生した、またはイベントを報告したデバイスのオペレーティング システムのバージョン。 |
DvcScope | string | デバイスが属するクラウド プラットフォームのスコープ。 DvcScope は、Azure のサブスクリプション名と AWS のアカウント ID にマップされます。 |
DvcScopeId | string | デバイスが属するクラウド プラットフォームのスコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。 |
DvcZone | string | イベントが発生したネットワーク、またはイベントを報告したネットワーク。 |
EventCount | INT | レコードによって記述されるイベントの数。 |
EventEndTime | DATETIME | イベントが終了した時刻。 ソースが集計をサポートし、レコードが複数のイベントを表す場合は、最後のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。 |
EventMessage | string | 一般的なメッセージまたは説明。 |
string | ソースによって提供される元の結果の詳細。 | |
EventOriginalSeverity | string | レポート デバイスによって提供された元の重大度。 |
string | 元のイベントのサブタイプまたは ID (ソースによって提供されている場合)。 | |
EventOriginalType | string | 元のイベントの種類または ID (ソースによって提供されている場合)。 |
EventOriginalUid | string | 元のレコードの一意の ID (ソースによって提供されている場合)。 |
EventOwner | string | イベントの所有者。通常は、イベントが生成された部門または子会社です。 |
EventProduct | string | イベントを生成している製品。 |
EventProductVersion | string | イベントを生成している製品のバージョン。 |
EventReportUrl | string | リソースのイベントで提供された、そのイベントに関する他の情報を提供する URL。 |
EventResult | string | イベントの結果。Success、Partial、Failure、NA (該当なし) のいずれかの値で表されます。 この値は、ソースによって直接提供されない場合があります。その場合は、EventResultDetails フィールドなどの他のイベント フィールドから派生します。 |
EventResultDetails | string | EventResult でレポートされた結果の理由または詳細。 |
EventSchema | string | スキーマの名前 |
EventSchemaVersion | string | スキーマのバージョン。 |
EventSeverity | string | イベントの重大度。 有効な値は、Informational、Low、Medium、High です。 |
EventStartTime | DATETIME | イベントが開始した時刻。 ソースが集計をサポートし、レコードが複数のイベントを表す場合は、最初のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。 |
EventSubType | string | EventType フィールドでレポートされた操作を細分化して記述します。 |
EventType | string | レコードによって報告される操作を記述します。 |
EventVendor | string | イベントを生成している製品のベンダー。 |
GroupId | string | グループに関連するアクティビティで、コンピューターが判読できる、英数字で、グループを一意に表現したもの。 |
GroupIdType | string | GroupId フィールドに格納されている ID の種類。 |
GroupName | string | グループに関連するアクティビティでのグループ名 (使用可能な場合はドメイン情報を含む)。 |
GroupNameType | string | GroupName フィールドに格納されているグループ名の種類を指定 します。 |
GroupOriginalType | string | ソースによって提供されている場合、元のグループの種類。 |
GroupType | string | グループに関連するアクティビティでの、グループの種類。 |
HttpUserAgent | string | HTTP または HTTPS で認証が行われる場、このフィールドの値は、認証を実行するときに代理アプリケーションによって提供される user_agent HTTP ヘッダーです。 |
_IsBillable | string | データの取り込みに課金されるかどうかを指定します。 _IsBillableインジェストが false Azure アカウントに課金されない場合 |
NewPropertyValue | string | 指定したプロパティに格納される新しい値。 |
PreviousPropertyValue | string | 指定したプロパティに格納されていた以前の値。 |
_ResourceId | string | レコードが関連付けられているリソースの一意識別子 |
RuleName | string | 検査結果に関連付けられたルールの名前または ID。 |
RuleNumber | INT | 検査結果に関連付けられたルールの番号。 |
SourceSystem | string | イベントが収集されたエージェントの種類。 たとえば、 OpsManager Windows エージェントの場合、直接接続または Operations Manager、すべての Linux エージェントのLinux 場合、または Azure Azure Diagnostics |
SrcDescription | string | ソース デバイスに関連付けられている説明テキスト。 |
SrcDeviceType | string | ソース デバイスの種類。 |
SrcDomain | string | ソース デバイスのドメイン。 |
SrcDomainType | string | SrcDomain の種類。 |
SrcDvcId | string | レコードで報告されるソース デバイスの ID。 |
SrcDvcIdType | string | SrcDvcId の種類。 |
SrcDvcScope | string | ソース デバイスが属するクラウド プラットフォーム スコープ。 SrcDvcScope は、Azure のサブスクリプション名と AWS のアカウント ID にマップされます。 |
SrcDvcScopeId | string | ソース デバイスが属しているクラウド プラットフォーム スコープ ID。 SrcDvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。 |
SrcFQDN | string | ソース デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。 |
SrcGeoCity | string | 発信元 IP アドレスに関連付けられている都市。 |
SrcGeoCountry | string | 発信元 IP アドレスに関連付けられている国。 |
SrcGeoLatitude | real | 発信元 IP アドレスに関連付けられている地理的座標の緯度。 |
SrcGeoLongitude | real | 発信元 IP アドレスに関連付けられている地理的座標の経度。 |
SrcGeoRegion | string | 送信元 IP アドレスに関連付けられている国内のリージョン。 |
SrcHostname | string | ドメイン情報を除いた、ソース デバイスのホスト名。 |
SrcIpAddr | string | ソース デバイスの IP アドレス。 |
SrcMacAddr | string | ソース デバイスの MAC アドレス。 |
SrcOriginalRiskLevel | string | レポート デバイスによって報告された、識別されたソースに関連付けられているリスク レベル。 |
SrcPortNumber | INT | 接続元のソース IP ポート。 |
SrcRiskLevel | INT | 特定されたソースに関連付けられているリスク レベル。 |
_SubscriptionId | string | レコードが関連付けられているサブスクリプションの一意識別子 |
TargetOriginalUserType | string | ソースによって提供されている場合、元のターゲット ユーザーの種類。 |
string | コンピューターが判読できる、英数字で、ターゲット ユーザーを一意に表現したもの。 | |
TargetUserIdType | string | TargetUserId フィールドに格納されている ID の種類。 |
string | ターゲット ユーザーのユーザー名 (使用可能な場合はドメイン情報を含む)。 | |
TargetUsernameType | string | TargetUsername フィールドに格納されているユーザー名の種類を指定します。 |
TargetUserScope | string | TargetUserId と TargetUsername が定義されているスコープ (Azure AD テナント名など)。 |
TargetUserScopeId | string | TargetUserId と TargetUsername が定義されているスコープ ID (Azure AD テナント ID など)。 |
TargetUserSessionId | string | ユーザーのサインイン セッションの一意の ID。 |
TargetUserType | string | ターゲット ユーザーの種類。 |
TargetUserUid | string | ユーザーの Unix または Linux ユーザー ID。 |
TenantId | string | Log Analytics ワークスペース ID |
ThreatCategory | string | アクティビティで特定された脅威またはマルウェアのカテゴリ。 |
ThreatConfidence | INT | 識別された脅威の信頼レベル。0 から 100 の間の値に正規化されます。 |
ThreatField | string | 脅威が特定されたフィールド。 |
ThreatFirstReportedTime | DATETIME | IP アドレスまたはドメインが脅威として初めて識別された場合。 |
ThreatId | string | アクティビティで識別された脅威またはマルウェアの ID。 |
ThreatIsActive | [bool] | 特定された脅威がアクティブな脅威と見なされる真の ID。 |
ThreatLastReportedTime | DATETIME | 最後に IP アドレスまたはドメインが脅威として識別された時刻。 |
ThreatName | string | アクティビティで識別された脅威またはマルウェアの名前。 |
ThreatOriginalConfidence | string | レポート デバイスによって報告される、特定された脅威の元の信頼レベル。 |
ThreatOriginalRiskLevel | string | レポート デバイスによって報告されたリスク レベル。 |
ThreatRiskLevel | INT | 識別された脅威に関連付けられているリスク レベル。 レベルは、0 から 100 の間の数値である必要があります。 |
TimeGenerated | DATETIME | イベントが生成された時刻を反映するタイムスタンプ (UTC)。 |
Type | string | テーブルの名前 |
フィードバック
https://aka.ms/ContentUserFeedback」を参照してください。
以下は間もなく提供いたします。2024 年を通じて、コンテンツのフィードバック メカニズムとして GitHub の issue を段階的に廃止し、新しいフィードバック システムに置き換えます。 詳細については、「フィードバックの送信と表示