| ActionType |
sträng |
Typ av aktivitet som utlöste händelsen. |
| AdditionalFields |
dynamisk |
Ytterligare information om entiteten eller händelsen. |
| AppGuardContainerId |
sträng |
Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet. |
| _BilledSize |
real |
Poststorleken i byte |
| DeviceId |
sträng |
Unik identifierare för enheten i tjänsten. |
| DeviceName |
sträng |
Fullständigt kvalificerat domännamn (FQDN) för enheten. |
| InitieraProcessAccountDomain |
sträng |
Domän för det konto som körde initieringsprocessen. |
| InitieraProcessAccountName |
sträng |
Användarnamnet för det konto som körde initieringsprocessen. |
| InitieraProcessAccountObjectId |
sträng |
Azure AD-objekt-ID för användarkontot som körde initieringsprocessen. |
| InitieraProcessAccountSid |
sträng |
Säkerhetsidentifierare (SID) för kontot som körde initieringsprocessen. |
| InitieraProcessAccountUpn |
sträng |
Användarens huvudnamn (UPN) för kontot som körde initieringsprocessen. |
| InitieraProcessCommandLine |
sträng |
Kommandorad som används för att köra den inledande processen. |
| InitieraProcessCreationTime |
datetime |
Datum och tid då processen som initierade händelsen startades. |
| InitieraProcessFileName |
sträng |
Namnet på den inledande processen. |
| InitieraProcessFileSize |
lång |
Storleken på filen (byte) som körde processen som var ansvarig för händelsen. |
| InitieraProcessFolderPath |
sträng |
Mapp som innehåller den inledande processen (bildfil). |
| InitieraProcessId |
lång |
Process-ID (PID) för den inledande processen. |
| InitieraProcessIntegrityLevel |
sträng |
Integritetsnivå för den inledande processen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser.. |
| InitieraProcessMD5 |
sträng |
MD5-hash för den inledande processen (bildfil). |
| InitieraProcessParentCreationTime |
datetime |
Datum och tid då den överordnade processen som ansvarar för händelsen startades. |
| InitieraProcessParentFileName |
sträng |
Namnet på den överordnade process som skapade den inledande processen. |
| InitieraProcessParentId |
lång |
Process-ID (PID) för den överordnade process som skapade den inledande processen. |
| InitieraProcessRemoteSessionDeviceName |
sträng |
Enhetsnamnet på den fjärrenhet som RDP-sessionen initierades från. |
| InitieraProcessRemoteSessionIP |
sträng |
IP-adressen för den fjärrenhet som RDP-sessionen initierades från. |
| InitieraProcessSessionId |
lång |
Windows-sessions-ID för den inledande processen. |
| InitieraProcessSHA1 |
sträng |
SHA-1-hash för den inledande processen (bildfil). |
| InitieraProcessSHA256 |
sträng |
SHA-256-hash för den inledande processen (bildfil). I vissa fall kanske den här kolumnen inte fylls i – använd kolumnen InitieraProcessSHA1 i stället. |
| InitieraProcessTokenElevation |
sträng |
Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den inledande processen. |
| InitieraProcessVersionInfoCompanyName |
sträng |
Företagsnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoFileDescription |
sträng |
Beskrivningen i versionsinformationen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoInternalFileName |
sträng |
Det interna filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoOriginalFileName |
sträng |
Det ursprungliga filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoProductName |
sträng |
Produktnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoProductVersion |
sträng |
Produktversionen i versionsinformation (bildfil) som ansvarar för händelsen. |
| _IsBillable |
sträng |
Anger om inmatningen av data är fakturerbar. När _IsBillable är false inmatning debiteras inte ditt Azure-konto |
| IsInitiatingProcessRemoteSession |
bool |
Anger om initieringsprocessen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (false). |
| LocalIP |
sträng |
IP-adress tilldelad till den lokala dator som användes under kommunikationen. |
| LocalIPType |
sträng |
Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast. |
| LocalPort |
heltal |
TCP-port på den lokala datorn som används under kommunikationen. |
| MachineGroup |
sträng |
Datorgruppen för datorn. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn. |
| Protokoll |
sträng |
IP-protokoll som används, oavsett om TCP eller UDP används. |
| RemoteIP |
sträng |
IP-adress som var ansluten till. |
| RemoteIPType |
sträng |
Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast. |
| RemotePort |
heltal |
TCP-port på den fjärrenhet som var ansluten till. |
| RemoteUrl |
sträng |
URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till. |
| ReportId |
lång |
Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.. |
| SourceSystem |
sträng |
Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics |
| TenantId |
sträng |
Log Analytics-arbetsytans ID |
| TimeGenerated |
datetime |
Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten. |
| Typ |
sträng |
Namnet på tabellen |