ASimRegistryEventLogs

  • Artigo

O esquema de Evento do Registro ASim representa a atividade do Windows de criar, modificar ou excluir entidades do Registro do Windows. Os eventos do Registro são específicos para sistemas Windows, mas são relatados por diferentes sistemas que monitoram o Windows, como sistemas EDR (End Point Detection and Response), Sysmon ou o próprio Windows.

Atributos da tabela

Atributo Value
Tipos de recursos Microsoft.SecurityInsights/Asimtables
Categorias Segurança
Soluções SecurityInsights
Log básico Não
Transformação do tempo de ingestão Sim
Consultas de Exemplo -

Colunas

Column Tipo Description
ActingProcessCommandLine string A linha de comando usada para executar o processo.
AtuaçãoProcessoGuid string Um identificador único gerado do processo de atuação.
ActingProcessId string A ID do processo de atuação.
ActingProcessName string O nome do arquivo de imagem do processo de atuação.
ActorOriginalUserType string O tipo de usuário do ator original, se fornecido pela fonte.
ActorScope string O escopo, como locatário do Azure AD, no qual ActorUserId e ActorUsername são definidos.
ActorScopeId string A ID de escopo, como a ID de locatário do Azure AD, na qual ActorUserId e ActorUsername são definidos.
ActorSessionId string O ID exclusivo da sessão de login do Ator.
ActorUserAadId string A ID do Ative Directory do Azure do ator.
ActorUserId string Um ID exclusivo do ator.
ActorUserIdType string O tipo de ID armazenado no campo ActorUserId.
ActorUsername string O nome de usuário do usuário que iniciou o evento.
ActorUsernameType string Especifica o tipo do nome de usuário armazenado no campo ActorUsername.
ActorUserSid string O ID de usuário do Windows (SIDs) do ator.
ActorUserType string O tipo do ator.
Campos Adicionais dynamic Informações adicionais, representadas usando pares chave/valor fornecidos pela fonte que não são mapeados para ASim.
_BilledSize real O tamanho do registo em bytes
DvcAction string Para relatar sistemas de segurança, a ação tomada pelo sistema.
DvcDescrição string Um texto descritivo associado ao dispositivo.
DvcDomínio string O domínio do dispositivo que relata o evento.
DvcDomainType string O tipo de DvcDomain.
DvcFQDN string O nome do host do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcNome do host string O nome do host do dispositivo que relata o evento.
DvcId string A ID exclusiva do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcIdType string O tipo de DvcId.
DvcInterface string A interface de rede na qual os dados foram capturados.
DvcIpAddr string O endereço IP do dispositivo que relata o evento.
DvcMacAddr string O endereço MAC do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcOriginalAction string O DvcAction original, conforme fornecido pelo dispositivo de relatório.
DvcOs string O sistema operacional em execução no dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcOsVersion string A versão do sistema operacional no dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcScope string O escopo da plataforma de nuvem ao qual o dispositivo pertence. O DvcScope é mapeado para um nome de assinatura no Azure e para um ID de conta na AWS.
DvcScopeId string O ID de escopo da plataforma de nuvem ao qual o dispositivo pertence. O DvcScopeId é mapeado para uma ID de assinatura no Azure e para uma ID de conta na AWS.
DvcZona string A rede na qual o evento ocorreu ou que relatou o evento.
EventCount número inteiro O número de eventos descritos pelo registro.
EventEndTime datetime A hora em que o evento terminou. Se a origem oferecer suporte à agregação e o registro representar vários eventos, a hora em que o último evento foi gerado. Se não for fornecido pelo registro de origem, esse campo aliasará o campo TimeGerado.
EventMessage string Uma mensagem ou descrição geral.
EventOriginalResultDetails string Os detalhes do resultado original fornecidos pela fonte.
EventOriginalSeverity string A gravidade original, conforme fornecido pelo dispositivo de relatório.
EventOriginalSubType string O subtipo ou ID do evento original, se fornecido pela fonte.
EventOriginalType string Um ID exclusivo do registro original, se fornecido pela fonte.
EventOriginalUid string .
Proprietário do Evento string O proprietário do evento, que geralmente é o departamento ou subsidiária em que foi gerado.
EventoProduto string O produto gerador do evento.
EventProductVersion string A versão do produto que gera o evento.
EventReportUrl string Uma URL fornecida no evento para um recurso que fornece mais informações sobre o evento.
EventResult string O resultado do evento, representado por um dos seguintes valores: Sucesso, Parcial, Fracasso, NA (Não Aplicável). O valor não pode ser fornecido diretamente pelas fontes, caso em que é derivado de outros campos de evento, por exemplo, o campo EventResultDetails.
EventResultDetails string Motivo ou detalhes do resultado relatado no campo EventResult.
EventSchema string O nome do esquema.
EventSchemaVersion string A versão do esquema.
EventSeverity string A gravidade do evento. Os valores válidos são: Informativo, Baixo, Médio ou Alto.
EventStartTime datetime A hora em que o evento começou. Se a origem oferecer suporte à agregação e o registro representar vários eventos, a hora em que o primeiro evento foi gerado. Se não for fornecido pelo registro de origem, esse campo aliasará o campo TimeGerado.
SubTipo de Evento string Descreve uma subdivisão da operação relatada no campo EventType.
EventType string Descreve a operação relatada pelo registro.
EventVendor string O fornecedor do produto que gera o evento.
_IsBillable string Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false ingerido, a não é cobrada na sua conta do Azure
ParentProcessCommandLine string A linha de comando usada para executar o processo.
ParentProcessGuid string Um identificador exclusivo gerado do processo pai.
ParentProcessId string A ID do processo pai.
ParentProcessName string O nome do arquivo de imagem do processo pai.
RegistryKey string A chave do Registro associada à operação, normalizada para convenções de nomenclatura de chave raiz padrão.
RegistryPreviousKey string Para operações que modificam o Registro, a chave do Registro original, normalizada para nomenclatura de chave raiz padrão.
RegistroAnteriorValor string Para operações que modificam o registro, o tipo de valor original, normalizado para o formulário padrão.
RegistroPreviousValueData string Os dados originais do Registro, para operações que modificam o Registro.
RegistryPreviousValueType string Para operações que modificam o Registro, o tipo de valor original.
RegistryValue string O valor do Registro associado à operação.
RegistryValueData string Os dados armazenados no valor do Registro.
RegistryValueType string O tipo de valor do Registro, normalizado para o formulário padrão.
_ResourceId string Um identificador exclusivo para o recurso ao qual o registro está associado
RuleName string O nome ou ID da regra associado aos resultados da inspeção.
Número da regra número inteiro O número da regra associada aos resultados da inspeção.
SourceSystem string O tipo de agente pelo qual o evento foi coletado. Por exemplo, OpsManager para o agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes Linux ou Azure para o Diagnóstico do Azure
_SubscriptionId string Um identificador exclusivo para a assinatura à qual o registro está associado
TenantId cadeia O ID do espaço de trabalho do Log Analytics
ThreatCategory string A categoria da ameaça ou malware identificado na atividade.
ThreatConfidence número inteiro O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
Campo de Ameaças string O campo para o qual foi identificada uma ameaça.
ThreatFirstReportedTime datetime A primeira vez que o endereço IP ou domínio foram identificados como uma ameaça.
ThreatId string O ID da ameaça ou malware identificado na atividade.
ThreatIsActive booleano True ID a ameaça identificada é considerada uma ameaça ativa.
ThreatLastReportedTime datetime A última vez que o endereço IP ou domínio foi identificado como uma ameaça.
Nome da Ameaça string O nome da ameaça ou malware identificado na atividade.
ThreatOriginalConfidence string O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório.
ThreatOriginalRiskLevel string O nível de risco comunicado pelo dispositivo de notificação.
ThreatRiskLevel número inteiro O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.
TimeGenerated datetime O carimbo de data/hora (UTC) que reflete a hora em que o evento foi gerado.
Type string O nome da tabela