IdentityQueryEvents

Gilt für:

• Microsoft Defender XDR

Die IdentityQueryEvents Tabelle im Schema der erweiterten Suche enthält Informationen zu Abfragen, die für Active Directory-Objekte wie Benutzer, Gruppen, Geräte und Domänen ausgeführt werden. Verwenden Sie dieser Referenz, um Abfragen zu erstellen, die Informationen aus dieser Tabelle zurückgeben.

Tipp

Ausführliche Informationen zu den Ereignistypen (ActionTypeWerten), die von einer Tabelle unterstützt werden, finden Sie in der integrierten Schemareferenz, die in Microsoft Defender XDR verfügbar ist.

Informationen zu anderen Tabellen im Schema "Erweiterte Suche" finden Sie unter Referenz zur erweiterten Suche.

Spaltenname	Datentyp	Beschreibung
Timestamp	datetime	Datum und Uhrzeit der Aufzeichnung des Ereignisses
ActionType	string	Typ der Aktivität, die das Ereignis ausgelöst hat. Ausführliche Informationen finden Sie in der Schemareferenz im Portal .
Application	string	Anwendung, die die aufgezeichnete Aktion ausgeführt hat
QueryType	string	Abfragetyp, z. B. QueryGroup, QueryUser oder EnumerateUsers
QueryTarget	string	Name des Benutzers, der Gruppe, des Geräts, der Domäne oder eines anderen Entitätstyps, der abgefragt wird
Query	string	Zum Ausführen der Abfrage verwendete Zeichenfolge
Protocol	string	Während der Kommunikation verwendetes Protokoll
AccountName	string	Benutzername des Kontos
AccountDomain	string	Domäne des Kontos
AccountUpn	string	Benutzerprinzipalname (UPN) des Kontos
AccountSid	string	Sicherheits-ID (SID) des Kontos
AccountObjectId	string	Eindeutiger Bezeichner für das Konto in Microsoft Entra ID
AccountDisplayName	string	Der Name des Kontobenutzers, der im Adressbuch angezeigt wird. In der Regel eine Kombination aus einem vornamen oder einem Vornamen, einem zweiten Vornamen und einem Nachnamen oder Nachnamen.
DeviceName	string	Vollqualifizierter Domänenname (FQDN) des Geräts
IPAddress	string	IP-Adresse, die dem Endpunkt zugewiesen und während der zugehörigen Netzwerkkommunikation verwendet wird
Port	int	TCP-Port, der während der Kommunikation verwendet wird
DestinationDeviceName	string	Name des Geräts, auf dem die Serveranwendung ausgeführt wird, die die aufgezeichnete Aktion verarbeitet hat
DestinationIPAddress	string	IP-Adresse des Geräts, auf dem die Serveranwendung ausgeführt wird, die die aufgezeichnete Aktion verarbeitet hat
DestinationPort	int	Zielport der zugehörigen Netzwerkkommunikation
TargetDeviceName	string	Vollqualifizierter Domänenname (FQDN) des Geräts, auf das die aufgezeichnete Aktion angewendet wurde
TargetAccountUpn	string	Benutzerprinzipalname (UPN) des Kontos, auf das die aufgezeichnete Aktion angewendet wurde
TargetAccountDisplayName	string	Anzeigename des Kontos, auf das die aufgezeichnete Aktion angewendet wurde
Location	string	Ort, Land/Region oder anderer geografischer Standort, der dem Ereignis zugeordnet ist
ReportId	string	Eindeutiger Bezeichner für das Ereignis
AdditionalFields	dynamic	Zusätzliche Informationen zur Entität oder zum Ereignis

Verwandte Themen

• Übersicht über die erweiterte Suche
• Lernen der Abfragesprache
• Verwenden freigegebener Abfragen
• Suche über Geräte, E-Mails, Apps und Identitäten hinweg
• Grundlegendes zum Schema
• Anwenden bewährter Methoden für Abfragen

Tipp

Möchten Sie mehr erfahren? Engage mit der Microsoft-Sicherheitscommunity in unserer Tech Community: Microsoft Defender XDR Tech Community.