CommonSecurityLog

  • [アーティクル]

この表は、一般的なイベント形式でイベントを収集するためのものであり、多くの場合、Check Point、Palo Alto などのさまざまなセキュリティ アプライアンスから送信されます。

テーブル属性

属性 Value
リソースの種類 microsoft.securityinsights/cef,
microsoft.compute/virtualmachines,
microsoft.conenctedvmwarevsphere/virtualmachines,
microsoft.azurestackhci/virtualmachines,
microsoft.scvmm/virtualmachines,
microsoft.compute/virtualmachinescalesets
Categories (カテゴリ) セキュリティ
ソリューション Security、SecurityInsights
基本的なログ いいえ
インジェスト時間変換 はい
サンプル クエリ はい

列

列 タイプ 説明
アクティビティ string 人間が判読でき、理解できるイベントの説明を表している文字列。
AdditionalExtensions string その他のフィールドのプレースホルダー。 フィールドはキーと値のペアとしてログに記録されます。
ApplicationProtocol string アプリケーションで使用される、HTTP、HTTPS、SSHv2、Telnet、POP、IMPA、IMAPS などのプロトコル。
_BilledSize real レコード サイズ (バイト単位)
CollectorHostName string エージェントを実行しているコレクター マシンのホスト名。
CommunicationDirection string 観察された通信が行われた方向に関する何らかの情報。 有効な値: 0 = 受信、1 = 送信。
コンピューター string ホスト(Syslog から)。
destinationDnsDomain string 完全修飾ドメイン名 (FQDN) の DNS 部分。
DestinationHostName string IP ネットワーク内でイベントによって参照されている発信元。 ノードを使用できる場合は、その形式を、送信先ノードに関連付けられている FQDN にする必要があります。 例: host.domain.com またはホスト。
DestinationIP string IP ネットワーク内でイベントによって参照されている送信先の IpV4 アドレス。
DestinationMACAddress string 宛先 MAC アドレス (FQDN)。
DestinationNTDomain string 宛先アドレスの Windows ドメイン名。
DestinationPort int 送信先ポート。 有効な値: 0 から 65535。
DestinationProcessId int イベントに関連付けられている送信先プロセスの ID。
DestinationProcessName string telnetd や sshd など、イベントの宛先プロセスの名前。
DestinationServiceName string イベントによりターゲットとされるサービス。 例: sshd。
DestinationTranslatedAddress string IP ネットワーク内でイベントによって参照されている、変換後の送信先を IPv4 IP アドレスとして識別します。
DestinationTranslatedPort int ファイアウォールの有効なポート番号など、変換後のポート: 0 から 65535。
DestinationUserID string ID で宛先ユーザーを識別します。 たとえば、Unix では、ルート ユーザーは通常、ユーザー ID 0 に関連付けられています。
DestinationUserName string 名前で宛先ユーザーを識別します。
DestinationUserPrivileges string 宛先で使用する特権を定義します。 有効な値: Admninistrator、User、Guest。
DeviceAction string イベントで触れられているアクション。
DeviceAddress string イベントを生成しているデバイスの IPv4 アドレス。
DeviceCustomDate1 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 2 つのタイムスタンプ フィールドのいずれか。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomDate1Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomDate2 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 2 つのタイムスタンプ フィールドのいずれか。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomDate2Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint1 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint1Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint2 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint2Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint3 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint3Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint4 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint4Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address1 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address1Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address2 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address2Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address3 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address3Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address4 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address4Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomNumber1 int 間もなく非推奨のフィールドになります。 FieldDeviceCustomNumber1 に置き換えられます。
DeviceCustomNumber1Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomNumber2 int 間もなく非推奨のフィールドになります。 FieldDeviceCustomNumber2 に置き換えられます。
DeviceCustomNumber2Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomNumber3 int 間もなく非推奨のフィールドになります。 FieldDeviceCustomNumber3 に置き換えられます。
DeviceCustomNumber3Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString1 string このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomString1Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString2 string このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomString2Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString3 string このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomString3Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString4 string このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomString4Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString5 string このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomString5Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString6 string このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
DeviceCustomString6Label string すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceDnsDomain string 完全修飾ドメイン名 (FQDN) の DNS ドメイン部分。
DeviceEventCategory string 発信元デバイスによって割り当てられたカテゴリを表します。 多くの場合、デバイスは独自の分類スキーマを使用してイベントを分類します。 例: '/Monitor/Disk/Read'。
DeviceEventClassID string イベントの種類ごとの一意の識別子として機能する文字列または整数。
DeviceExternalID string イベントを生成しているデバイスを一意に識別する名前。
DeviceFacility string イベントを生成している機能。 たとえば、認証または local1 などです。
DeviceInboundInterface string デバイスにパケットまたはデータが入力されたインターフェイス。 例: ethernet1/2。
DeviceMacAddress string イベントを生成しているデバイスの MAC アドレス。
DeviceName string ノードを使用できる場合は、デバイス ノードに関連付けられている FQDN。 例: host.domain.com またはホスト。
DeviceNtDomain string デバイス アドレスの Windows ドメイン。
DeviceOutboundInterface string デバイスにパケットまたはデータが残されたインターフェイス。
DevicePayloadId string イベントに関連付けられているペイロードの一意の識別子。
DeviceProduct string デバイス製品とバージョンの定義と共に、送信デバイスの種類を一意に識別する文字列。
DeviceTimeZone string イベントを生成するデバイスのタイムゾーン。
DeviceTranslatedAddress string IP ネットワーク内でイベントによって参照されている、変換後のデバイス アドレスを識別します。 形式は Ipv4 アドレスです。
DeviceVendor string デバイス製品とバージョンの定義と共に、送信デバイスの種類を一意に識別する文字列。
DeviceVersion string デバイス製品とバージョンの定義と共に、送信デバイスの種類を一意に識別する文字列。
EndTime datetime イベントに関連するアクティビティが終了した時刻。
EventCount int イベントに関連付けられているカウントで、同じイベントが観察された回数を示します。
EventOutcome string 結果 (通常は "success" または "failure") が表示されます。
EventType int イベントの種類。 値には、0: 基本イベント、1: 集計、2: 相関イベント、3: アクション イベントが含まれます。 注: 基本イベントについてはこのイベントを省略できます。
ExternalID int 間もなく非推奨のフィールドになります。 ExtID に置き換えられます。
ExtID string 元のデバイスによって使用される ID (レガシ ExternalID に代わる)。 一般に、これらの値は、イベントにそれぞれが関連付けられている、増加してゆく値です。
FieldDeviceCustomNumber1 long このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 3 つの数値フィールドのいずれか (従来の DeviceCustomNumber1 を置き換えます)。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
FieldDeviceCustomNumber2 long このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 3 つの数値フィールドのいずれか (従来の DeviceCustomNumber2 を置き換えます)。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
FieldDeviceCustomNumber3 long このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 3 つの数値フィールドのいずれか (レガシ DeviceCustomNumber3 に置き換えられます)。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。
FileCreateTime string ファイルが作成された日時。
FileHash string ファイルのハッシュ。
FileID string ファイルに関連付けられている ID (inode など)。
FileModificationTime string ファイルが最後に変更された日時。
FileName string パスを含まないファイルの名前。
FilePath string ファイル名を含む、ファイルへの完全なパス。 例: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe または /usr/bin/zip。
FilePermission string ファイルのアクセス許可。 例: '2,1,1'。
FileSize int ファイルのサイズをバイト単位で指定します。
FileType string パイプやソケットなどのファイルの種類。
FlexDate1 string このディクショナリ内の他の定義されたタイムスタンプ フィールドには適用されないタイムスタンプをマップするために使用できるタイムスタンプ フィールド。 すべてのフレックス フィールドを控えめに使用し、可能な場合は、より具体的なディクショナリ指定フィールドをシークします。 これらのフィールドは通常、顧客用に予約されており、必要な場合を除き、ベンダーが設定しないでください。
FlexDate1Label string ラベル フィールドは文字列であり、flex フィールドの目的を記述します。
FlexNumber1 int このディクショナリ内の他のフィールドには適用されない Int データをマップするために使用できる数値フィールド。
FlexNumber1Label string FlexNumber1 の値を表すラベル
FlexNumber2 int このディクショナリ内の他のフィールドには適用されない Int データをマップするために使用できる数値フィールド。
FlexNumber2Label string FlexNumber2 の値を表すラベル
FlexString1 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。 これらのフィールドは通常、顧客用に予約されており、必要な場合を除き、ベンダーが設定しないでください。
FlexString1Label string ラベル フィールドは文字列であり、flex フィールドの目的を記述します。
FlexString2 string このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。 慎重に使用し、可能な場合は、より具体的な辞書指定フィールドをシークします。 これらのフィールドは通常、顧客用に予約されており、必要な場合を除き、ベンダーが設定しないでください。
FlexString2Label string ラベル フィールドは文字列であり、flex フィールドの目的を記述します。
IndicatorThreatType string TI フィードに従った MaliciousIP の脅威の種類。
_IsBillable string データ インジェストが課金対象かどうかを指定します。 _IsBillable false インジェストが Azure アカウントに課金されない場合
LogSeverity string イベントの重要度を記述する文字列または整数。 有効な文字列値: Unknown、Low、Medium、High、Very-High の有効な整数値は、0 から 3 = Low、4-6 = Medium、7-8 = High、9-10 = Very-High です。
MaliciousIP string メッセージ内の IP の 1 つが現在の TI フィードと関連付けられていた場合は、ここに表示されます。
MaliciousIPCountry string レコード インジェスト時の GEO 情報に従った MaliciousIP の国。
MaliciousIPLatitude real レコード インジェスト時の GEO 情報に従った MaliciousIP の緯度。
MaliciousIPLongitude real レコード インジェスト時の GEO 情報に従った MaliciousIP の経度。
メッセージ string イベントに関する詳細情報を示すメッセージ。
OldFileCreateTime string 古いファイルが作成された日時。
OldFileHash string 古いファイルのハッシュ。
OldFileID string 古いファイルに関連付けられている、inode などの ID。
OldFileModificationTime string 古いファイルが最後に変更された日時。
OldFileName string 古いファイルの名前。
OldFilePath string ファイル名を含む、古いファイルへの完全なパス。 例: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe または /usr/bin/zip。
OldFilePermission string 古いファイルのアクセス許可。 例: '2,1,1'。
OldFileSize int 古いファイルのサイズ (バイト単位)。
OldFileType string パイプやソケットなど、古いファイルのファイルの種類。
OriginalLogSeverity string マップされていないバージョンの LogSeverity。 例: LogSeverity フィールドの正規化された Low/Medium/High ではなく、警告/クリティカル/情報
ProcessID int イベントを生成しているデバイス上のプロセスの ID を定義します。
ProcessName string イベントに関連付けられているプロセス名。 たとえば、UNIX では、syslog エントリを生成するプロセスです。
Protocol string 使用されているレイヤー 4 プロトコルを識別するトランスポート プロトコル。 使用可能な値には、TCP や UDP などのプロトコル名が含まれます。
理由 string 監査イベントが生成された理由。 たとえば、"無効なパスワード" や "不明なユーザー" などです。 これは、エラーまたはリターン コードである場合もあります。 例: '0x1234'。
ReceiptTime string アクティビティに関連するイベントが受信された時刻。 "Timegenerated" フィールドとは異なります。これは、イベントがログ コレクター コンピューターで受信されたときです。
ReceivedBytes long 内側へ転送されたバイト数。
RemoteIP string 可能であれば、イベントの方向の値から派生したリモート IP アドレス。
リモート ポート string 可能であれば、イベントの方向の値から派生したリモート ポート。
ReportReferenceLink string TI フィードのレポートへのリンク。
RequestClientApplication string 要求に関連付けられているユーザー エージェント。
RequestContext string HTTP 参照元など、要求送信元のコンテンツについて説明します。
RequestCookies string 要求に関連付けられている Cookie。
RequestMethod string URL にアクセスするために使用されるメソッド。 有効な値には、POST、GET などのメソッドが含まれます。
RequestURL string HTTP 要求のためにアクセスされる URL (プロトコルを含む)。 例: http://www/secure.com.
_ResourceId string レコードが関連付けられているリソースの一意識別子
SentBytes long 外側へ転送されたバイト数。
SimplifiedDeviceAction string マップされたバージョンの DeviceAction (Denyed > Deny など)。
SourceDnsDomain string 完全な FQDN の DNS ドメインの部分。
SourceHostName string IP ネットワーク内でイベントによって参照されている発信元を識別します。 ノードを使用できる場合は、形式を、ソース ノードに関連付けられている完全修飾ドメイン名 (DQDN) にする必要があります。 たとえば、ホストまたは host.domain.com。
SourceIP string IP ネットワーク内でイベントによって参照されている、IPv4 アドレスとしての発信元。
SourceMACAddress string 発信元 MAC アドレス。
SourceNTDomain string 発信元アドレスの Windows ドメイン名。
SourcePort int 発信元ポート番号。 有効なポート番号は 0 から 65535 です。
SourceProcessId int イベントに関連付けられている発信元プロセスの ID。
SourceProcessName string イベントの発信元プロセスの名前。
SourceServiceName string イベントの生成を担っているサービス。
SourceSystem string イベントが収集されたエージェントの種類。 たとえば、Windows エージェントの OpsManager 、直接接続または Operations Manager、すべての Linux エージェントの Linux 、Azure Diagnostics の Azure などです。
SourceTranslatedAddress string IP ネットワーク内でイベントによって参照されている、変換後の発信元を識別します。
SourceTranslatedPort int 変換後の、ファイアウォールなどの発信元ポート。 有効なポート番号は 0 から 65535 です。
SourceUserID string ID で発信元ユーザーを識別します。
SourceUserName string 名前で発信元ユーザーを識別します。 電子メール アドレスは、UserName フィールドにもマップされます。 送信者は、このフィールドに入力する候補です。
SourceUserPrivileges string 発信元ユーザーの特権。 有効な値は、管理者、ユーザー、ゲストです。
StartTime datetime イベントによって参照されているアクティビティが開始された時刻。
_SubscriptionId string レコードが関連付けられているサブスクリプションの一意識別子
TenantId string Log Analytics ワークスペース ID
ThreatConfidence string TI フィードに従った MaliciousIP の脅威の信頼度。
ThreatDescription string TI フィードに従った MaliciousIP の脅威の説明。
ThreatSeverity int レコード インジェスト時の TI フィードに従った MaliciousIP の脅威の重大度。
TimeGenerated datetime イベント収集時刻 (UTC)。
種類 string テーブルの名前