MDCFileIntegrityMonitoringEvents

  • Artigo

Visualize alterações de arquivos Windows e Linux, bem como de chaves de registro de software. Os eventos desta tabela são coletados pelo Microsoft Defender for Endpoint (MDE).

Atributos da tabela

Atributo Value
Tipos de recursos -
Categorias Segurança
Soluções LogManagement
Log básico Sim
Transformação do tempo de ingestão Não
Consultas de Exemplo -

Colunas

Column Tipo Description
AADTenantID string O ID do locatário do AAD da assinatura na qual a entidade monitorada foi criada, renomeada, modificada ou excluída.
AzureResourceId string A ID de recurso do Azure do recurso cuja entidade monitorada foi criada, renomeada, modificada ou excluída.
_BilledSize real O tamanho do registo em bytes
ChangeType string O tipo de alteração que ocorreu na entidade. Para a entidade 'Arquivo' deve ser 'Criado', 'Modificado', 'Renomeado' ou 'Excluído'. Para a entidade 'Registry' deve ser 'RegistryKeyCreated', 'RegistryKeyDeleted', 'RegistryValueSet', 'RegistryValueDeleted', 'RegistryKeyRenamed'.
CloudIdentifier string O identificador de nuvem do recurso.
CloudProvider string O provedor de nuvem do recurso.
CloudResourceType string O tipo do recurso de nuvem.
Computador string O nome da máquina na qual a entidade monitorada foi criada, renomeada, modificada ou excluída.
FileMd5 string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o MD5 do arquivo que foi modificado, criado ou excluído.
FileName string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o nome do arquivo que foi criado, renomeado, modificado ou excluído.
FilePath string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o caminho do arquivo que foi criado, renomeado, modificado ou excluído.
FileSha1 string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o SHA1 do arquivo que foi modificado, criado ou excluído.
FileSha256 string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o SHA256 do arquivo que foi modificado, criado ou excluído.
Tamanho do arquivo long Relevante para o tipo de entidade monitorizada «Ficheiro». Mantém o tamanho atual (em bytes) do arquivo que foi criado, renomeado, modificado ou excluído.
Tipo de ficheiro string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o tipo de arquivo que foi criado, renomeado, modificado ou excluído. Exemplo de valores possíveis: Zip, PDF, Xar etc.
IniciandoProcessoContaDomínioNome string Mantém o nome de domínio da conta do processo inicial que causou o evento da entidade monitorada.
IniciandoProcessAccountName string Contém o nome da conta do processo inicial que causou o evento da entidade monitorada.
IniciandoProcessAccountSid string Mantém o SID da conta do processo de iniciação que causou o evento da entidade monitorada.
IniciandoProcessoCriaçãoTempo datetime Mantém o tempo de criação do processo de iniciação que causou o evento da entidade monitorada.
IniciandoProcessoVisto pela Primeira Vez datetime Contém a primeira hora vista do processo de iniciação que causou o evento da entidade monitorada.
IniciandoProcessId long Contém a ID do processo do processo inicial que causou o evento da entidade monitorada.
IniciandoProcessImageFileName string Contém o nome do arquivo de imagem do processo de iniciação que causou o evento da entidade monitorada.
IniciandoProcessImageFilePath string Contém o caminho do arquivo de imagem do processo inicial que causou o evento de entidade monitorado.
IniciandoProcessImageFileType string Contém o tipo de arquivo de imagem do processo de iniciação que causou o evento de entidade monitorado.
IniciandoProcessName string Contém o nome do processo de iniciação que causou o evento da entidade monitorada.
IniciandoProcessSessionId long Contém a ID da sessão do processo de iniciação que causou o evento da entidade monitorada.
IniciandoProcessSource string Contém a origem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageCreationTimeUtc datetime Mantém o tempo de criação da imagem para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageFileSizeInBytes long Contém o tamanho do arquivo de imagem (em bytes) do processo de iniciação que causou o evento de entidade monitorado.
InitProcImageLastAccessTimeUtc datetime Mantém a hora do último acesso da imagem para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageLastWriteTimeUtc datetime Mantém o último tempo de gravação da imagem para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageLsHash string Mantém o hash LS da imagem para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageMd5 string Contém a imagem MD5 para a imagem do processo de iniciação que causou o evento de entidade monitorada.
InitProcImagePeTimestampUtc datetime Mantém o tempo de PE da imagem para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageSha1 string Contém a imagem SHA 1 para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcImageSha256 string Contém a imagem SHA 256 para a imagem do processo de iniciação que causou o evento da entidade monitorada.
InitProcVersionInfoCompanyName string Contém o nome da empresa de informações de versão do processo de iniciação que causou o evento de entidade monitorado.
InitProcVersionInfoFileDescription string Contém a descrição do arquivo de informações da versão do processo de iniciação que causou o evento da entidade monitorada.
InitProcVersionInfoInternalFileName string Contém o nome do arquivo interno de informações de versão do processo de iniciação que causou o evento de entidade monitorado.
InitProcVersionInfoOriginalFileName string Contém o nome do arquivo original de informações de versão do processo de iniciação que causou o evento de entidade monitorado.
InitProcVersionInfoProductName string Contém o nome do produto de informações da versão do processo de iniciação que causou o evento da entidade monitorada.
InitProcVersionInfoProductVersion string Contém a versão do produto de informações do processo de iniciação que causou o evento de entidade monitorada.
_IsBillable string Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false ingerido, a não é cobrada na sua conta do Azure
MonitoredEntityType string O tipo da entidade monitorada que foi criada, renomeada, modificada ou excluída. Pode ser 'Ficheiro' ou 'Registo'.
NewValueData string Relevante para o tipo de entidade monitorizada «Registo». Contém os dados do novo valor do Registro.
NewValueName string Relevante para o tipo de entidade monitorizada «Registo». Contém o nome do novo valor do Registro.
NewValueType string Relevante para o tipo de entidade monitorizada «Registo». Contém o novo tipo de valor do Registro.
OldValueData string Relevante para o tipo de entidade monitorizada «Registo». Contém os dados de valor do Registro anterior.
OldValueFullRegistryKey string Relevante para o tipo de entidade monitorizada «Registo». Contém a chave de registo completa anterior.
OldValueName string Relevante para o tipo de entidade monitorizada «Registo». Contém o nome do valor do Registro anterior.
OldValueType string Relevante para o tipo de entidade monitorizada «Registo». Contém o tipo de valor do Registro anterior.
Nome_do_arquivo original string Relevante para o tipo de entidade monitorizada «Ficheiro» e para o tipo de alteração «Renomear». Mantém o nome original do arquivo que foi renomeado, antes da renomeação ocorrer.
OriginalFilePath string Relevante para o tipo de entidade monitorizada «Ficheiro» e para o tipo de alteração «Renomear». Mantém o caminho original do arquivo que foi renomeado, antes da renomeação ocorrer.
RegistryHive string Relevante para o tipo de entidade monitorizada «Registo». Contém as definições de configuração de agrupamento para o sistema operacional e os aplicativos.
RegistryKey string Relevante para o tipo de entidade monitorizada «Registo». Contém a chave de registo completa do registo que foi criado ou a nova chave de registo do registo que foi renomeado.
RequestAccountDomain string Relevante para o tipo de entidade monitorizada «Ficheiro». Mantém o domínio da conta do usuário que causou o evento de arquivo.
RequestAccountName string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o nome da conta do usuário que causou o evento de arquivo.
RequestAccountSid string Relevante para o tipo de entidade monitorizada «Ficheiro». Mantém o SID da conta do usuário que causou o evento de arquivo.
Fonte de solicitação string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém a origem da conta do usuário que causou o evento de arquivo. Por exemplo, Local/SMB/NFS.
RequestSourceIP string Relevante para o tipo de entidade monitorizada «Ficheiro». Contém o IP de origem da conta do usuário que causou o evento de arquivo. Para o arquivo remoto, o IP do qual a solicitação veio.
RequestSourcePort string Relevante para o tipo de entidade monitorizada «Ficheiro». Mantém a porta de origem da conta do usuário que causou o evento de arquivo. Para arquivo remoto, a porta de onde veio a solicitação.
SourceSystem string O tipo de agente pelo qual o evento foi coletado. Por exemplo, OpsManager para o agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes Linux ou Azure para o Diagnóstico do Azure
TenantId cadeia O ID do espaço de trabalho do Log Analytics
TimeGenerated datetime A hora (UTC) em que a entidade monitorada foi criada, renomeada, modificada ou excluída.
Type string O nome da tabela