MDECustomCollectionDeviceFileEvents

  • Artikel

Den här tabellen är en del av Microsoft Defender för Endpoint för scenariot anpassad samling. Den här tabellen innehåller filskapande, ändring och andra filsystemhändelser för allt som uttryckligen begärs av kunden för insamling.

Tabellattribut

Attribut Värde
Resurstyper -
Kategorier Säkerhet
Lösningar LogManagement
Grundläggande logg Nej
Inmatningstidstransformering Nej
Exempelfrågor -

Kolumner

Column Type Beskrivning
ActionType sträng Typ av aktivitet som utlöste händelsen.
AdditionalFields dynamisk Ytterligare information om entiteten eller händelsen.
AppGuardContainerId sträng Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_BilledSize real Poststorleken i byte
DeviceId sträng Unik identifierare för enheten i tjänsten.
DeviceName sträng Fullständigt kvalificerat domännamn (FQDN) för enheten.
FileName sträng Namnet på filen som den inspelade åtgärden tillämpades på.
FileOriginIP sträng IP-adress där filen laddades ned från.
FileOriginReferrerUrl sträng URL för webbsidan som länkar till den nedladdade filen.
FileOriginUrl sträng URL där filen laddades ned från.
FileSize lång Filens storlek i byte.
FolderPath sträng Mapp som innehåller filen som den inspelade åtgärden tillämpades på.
InitProcessAccountDomain sträng Domän för det konto som körde processen som var ansvarig för händelsen.
InitProcessAccountName sträng Användarnamnet för det konto som körde processen som var ansvarig för händelsen.
InitProcessAccountObjectId sträng Azure AD-objekt-ID för användarkontot som körde processen som var ansvarig för händelsen.
InitProcessAccountSid sträng Säkerhetsidentifierare (SID) för det konto som körde processen som var ansvarig för händelsen.
InitProcessAccountUpn sträng Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen.
InitProcessCommandLine sträng Kommandorad som används för att köra processen som initierade händelsen.
InitProcessCreationTime datetime Datum och tid då processen som initierade händelsen startades.
InitProcessFileName sträng Namnet på den process som initierade händelsen.
InitProcessFileSize lång Storlek i byte av den process (bildfil) som initierade händelsen.
InitProcessFolderPath sträng Mapp som innehåller processen (bildfilen) som initierade händelsen.
InitProcessId lång Process-ID (PID) för den process som initierade händelsen.
InitProcessIntegrityLevel sträng Integritetsnivå för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser.
InitProcessMD5 sträng MD5-hash för processen (bildfilen) som initierade händelsen.
InitProcessParentCreationTime datetime Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitProcessParentFileName sträng Namnet på den överordnade process som skapade processen som ansvarar för händelsen.
InitProcessParentId lång Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen.
InitProcessSHA1 sträng SHA-1-hash för processen (bildfilen) som initierade händelsen.
InitProcessSHA256 sträng SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när det är tillgängligt.
InitProcessTokenElevation sträng Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den process som initierade händelsen.
InitProcessVersionInfoCompanyName sträng Företagsnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitProcessVersionInfoFileDescription sträng Beskrivning från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitProcessVersionInfoInternalFileName sträng Internt filnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitProcessVersionInfoOriginalFileName sträng Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitProcessVersionInfoProductName sträng Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitProcessVersionInfoProductVersion sträng Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
IsAzureInfoProtectionApplied bool Anger om filen krypteras av Azure Information Protection.
_IsBillable sträng Anger om inmatningen av data är fakturerbar. När _IsBillable är false inmatning debiteras inte ditt Azure-konto
MachineGroup sträng Datorgruppen för datorn. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
MD5 sträng MD5-hash för filen som den inspelade åtgärden tillämpades på.
PreviousFileName sträng Ursprungligt namn på filen som ändrades till följd av åtgärden.
PreviousFolderPath sträng Ursprunglig mapp som innehåller filen innan den inspelade åtgärden tillämpades.
ReportId lång Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
RequestAccountDomain sträng Domän för det konto som används för att fjärrinitiering av aktiviteten.
RequestAccountName sträng Användarnamnet för det konto som används för att fjärrinitiering av aktiviteten.
RequestAccountSid sträng Säkerhetsidentifierare (SID) för det konto som används för att fjärrinitiering av aktiviteten.
RequestProtocol sträng Nätverksprotokoll, om tillämpligt, används för att initiera aktiviteten: Okänd, Lokal, SMB eller NFS.
RequestSourceIP sträng IPv4- eller IPv6-adressen för fjärrenheten som initierade aktiviteten.
RequestSourcePort heltal Källport på fjärrenheten som initierade aktiviteten.
SensitivityLabel sträng Etikett som tillämpas på ett e-postmeddelande, en fil eller annat innehåll för att klassificera det för informationsskydd.
SensitivitySubLabel sträng Underetikett som tillämpas på ett e-postmeddelande, en fil eller annat innehåll för att klassificera det för informationsskydd. känslighetsunderetiketter grupperas under känslighetsetiketter men behandlas oberoende av varandra.
SHA1 sträng SHA-1-hash för filen som den inspelade åtgärden tillämpades på.
SHA256 sträng SHA-256 av filen som den registrerade åtgärden tillämpades på.
ShareName sträng Namnet på den delade mappen som innehåller filen.
SourceSystem sträng Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId sträng Log Analytics-arbetsytans ID
TimeGenerated datetime Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ sträng Namnet på tabellen