Sdílet prostřednictvím

DeviceFileEvents

  • Článek

Platí pro:

  • Microsoft Defender XDR
  • Microsoft Defender for Endpoint

Tabulka DeviceFileEvents ve schématu rozšířeného proaktivního vyhledávání obsahuje informace o vytváření, úpravách souborů a dalších událostech systému souborů. Tento odkaz slouží k vytvoření dotazů, které vracejí informace z této tabulky.

Tip

Podrobné informace o typech událostí (ActionTypehodnotách) podporovaných tabulkou získáte pomocí předdefinovaných odkazů na schéma, které jsou dostupné v Microsoft Defender XDR.

Informace o dalších tabulkách ve schématu rozšířeného proaktivního vyhledávání najdete v referenčních informacích k rozšířenému proaktivnímu vyhledávání.

Název sloupce Datový typ Popis
Timestamp datetime Datum a čas, kdy byla událost zaznamenána
DeviceId string Jedinečný identifikátor zařízení ve službě
DeviceName string Plně kvalifikovaný název domény (FQDN) zařízení
ActionType string Typ aktivity, která aktivovala událost. Podrobnosti najdete v referenčních informacích o schématu na portálu .
FileName string Název souboru, na který se zaznamenaná akce použila
FolderPath string Složka obsahující soubor, u kterého byla zaznamenána akce použita
SHA1 string SHA-1 souboru, u kterého byla zaznamenaná akce použita
SHA256 string SHA-256 souboru, na který byla zaznamenaná akce použita. Toto pole se obvykle nevyplní – pokud je k dispozici, použijte sloupec SHA1.
MD5 string Hodnota hash MD5 souboru, u kterého byla zaznamenaná akce použita
FileOriginUrl string Adresa URL, ze které byl soubor stažen
FileOriginReferrerUrl string Adresa URL webové stránky, která odkazuje na stažený soubor
FileOriginIP string IP adresa, ze které se soubor stáhl
PreviousFolderPath string Původní složka obsahující soubor před provedením zaznamenané akce
PreviousFileName string Původní název souboru, který byl přejmenován v důsledku akce
FileSize long Velikost souboru v bajtech
InitiatingProcessAccountDomain string Doména účtu, který spustil proces zodpovědný za událost
InitiatingProcessAccountName string Uživatelské jméno účtu, který spustil proces zodpovědný za událost; Pokud je zařízení zaregistrované v Microsoft Entra ID, může se místo toho zobrazit uživatelské jméno Entra ID účtu, který spustil proces zodpovědný za danou událost.
InitiatingProcessAccountSid string Identifikátor zabezpečení (SID) účtu, který spustil proces zodpovědný za událost
InitiatingProcessAccountUpn string Hlavní název uživatele (UPN) účtu, který spustil proces zodpovědný za událost; Pokud je zařízení zaregistrované v Microsoft Entra ID, může se místo toho zobrazit hlavní název uživatele (UPN) Entra ID účtu, který spustil proces zodpovědný za danou událost.
InitiatingProcessAccountObjectId string Microsoft Entra ID objektu uživatelského účtu, který spustil proces zodpovědný za událost
InitiatingProcessMD5 string Hodnota hash MD5 procesu (souboru obrázku), který událost inicioval
InitiatingProcessSHA1 string SHA-1 procesu (souboru obrázku), který událost inicioval
InitiatingProcessSHA256 string SHA-256 procesu (souboru obrázku), který událost inicioval. Toto pole se obvykle nevyplní – pokud je k dispozici, použijte sloupec SHA1.
InitiatingProcessFolderPath string Složka obsahující proces (soubor obrázku), který událost inicioval
InitiatingProcessFileName string Název souboru procesu, který událost inicioval; Pokud není k dispozici, může se místo toho zobrazit název procesu, který událost inicioval.
InitiatingProcessFileSize long Velikost procesu (souboru obrázku), který událost inicioval
InitiatingProcessVersionInfoCompanyName string Název společnosti z informací o verzi procesu (souboru obrázku) zodpovědného za událost
InitiatingProcessVersionInfoProductName string Název produktu z informací o verzi procesu (souboru obrázku) zodpovědného za událost
InitiatingProcessVersionInfoProductVersion string Verze produktu z informací o verzi procesu (soubor obrázku) zodpovědného za událost
InitiatingProcessVersionInfoInternalFileName string Název interního souboru z informací o verzi procesu (souboru obrázku) zodpovědného za událost
InitiatingProcessVersionInfoOriginalFileName string Původní název souboru z informací o verzi procesu (soubor obrázku) zodpovědného za událost
InitiatingProcessVersionInfoFileDescription string Popis z informací o verzi procesu (souboru obrázku) zodpovědného za událost
InitiatingProcessId long ID procesu (PID) procesu, který událost inicioval
InitiatingProcessCommandLine string Příkazový řádek použitý ke spuštění procesu, který událost inicioval
InitiatingProcessCreationTime datetime Datum a čas spuštění procesu, který událost inicioval
InitiatingProcessIntegrityLevel string Úroveň integrity procesu, který událost inicioval. Systém Windows přiřazuje procesům úrovně integrity na základě určitých charakteristik, například pokud byly spuštěny z internetu ke stažení. Tyto úrovně integrity ovlivňují oprávnění k prostředkům.
InitiatingProcessTokenElevation string Typ tokenu označující přítomnost nebo nepřítomnost zvýšení oprávnění user Access Control (UAC) použitého u procesu, který událost inicioval
InitiatingProcessParentId long ID procesu (PID) nadřazeného procesu, ze kterého vznikl proces zodpovědný za událost
InitiatingProcessParentFileName string Název nadřazeného procesu, který zprovozní proces zodpovědný za událost
InitiatingProcessParentCreationTime datetime Datum a čas spuštění nadřazeného procesu zodpovědného za událost
RequestProtocol string Síťový protokol, pokud je k dispozici, použitý k zahájení aktivity: Neznámý, Místní, SMB nebo NFS
RequestSourceIP string IPv4 nebo IPv6 adresa vzdáleného zařízení, které aktivitu iniciovalo
RequestSourcePort int Zdrojový port na vzdáleném zařízení, které aktivitu zahájilo
RequestAccountName string Uživatelské jméno účtu použitého ke vzdálenému zahájení aktivity
RequestAccountDomain string Doména účtu použitého ke vzdálenému zahájení aktivity
RequestAccountSid string Identifikátor zabezpečení (SID) účtu použitého ke vzdálenému zahájení aktivity
ShareName string Název sdílené složky obsahující soubor
SensitivityLabel string Popisek použitý u e-mailu, souboru nebo jiného obsahu pro klasifikaci pro ochranu informací
SensitivitySubLabel string Dílčí popisek použitý u e-mailu, souboru nebo jiného obsahu pro klasifikaci pro ochranu informací; podpopisky citlivosti jsou seskupeny pod popisky citlivosti, ale zpracovávají se nezávisle na
IsAzureInfoProtectionApplied boolean Označuje, jestli je soubor šifrovaný službou Azure Information Protection
ReportId long Identifikátor události založený na opakujícím se čítači. K identifikaci jedinečných událostí musí být tento sloupec použit ve spojení se sloupci DeviceName a Timestamp.
AppGuardContainerId string Identifikátor virtualizovaného kontejneru používaného Ochrana Application Guard k izolaci aktivity prohlížeče
AdditionalFields string Další informace o entitě nebo události
InitiatingProcessSessionId long ID relace windows procesu inicializování
IsInitiatingProcessRemoteSession bool Označuje, jestli byl proces inicializován v relaci protokolu RDP (Remote Desktop Protocol) (true) nebo místně (false).
InitiatingProcessRemoteSessionDeviceName string Název zařízení vzdáleného zařízení, ze kterého byla iniciována relace RDP inicializovaného procesu
InitiatingProcessRemoteSessionIP string IP adresa vzdáleného zařízení, ze kterého byla spuštěna relace RDP inicializovaného procesu

Poznámka

Informace o hodnotě hash souboru se vždy zobrazí, jakmile je k dispozici. Existuje však několik možných důvodů, proč sha1, SHA256 nebo MD5 nelze vypočítat. Soubor může být například umístěn ve vzdáleném úložišti, uzamčen jiným procesem, komprimován nebo označen jako virtuální. V těchto scénářích se informace o hodnotě hash souboru zdají být prázdné.

Tip

Chcete se dozvědět více? Spojte se s komunitou zabezpečení společnosti Microsoft v naší technické komunitě: Technická komunita Microsoft Defender XDR.