Comprendre le schéma de repérage avancé

S’applique à :

• Microsoft Defender XDR

Importante

Certaines informations contenues dans cet article concernent le produit en préversion, qui peut être considérablement modifié avant sa publication commerciale. Microsoft n’offre aucune garantie, explicite ou implicite, concernant les informations fournies ici.

Le schéma de repérage avancé est constitué de plusieurs tables qui fournissent des informations sur les événements ou des informations sur les appareils, les alertes, les identités et d’autres types d’entités. Pour générer efficacement des requêtes qui s’étendent sur plusieurs tables, vous devez comprendre les tables et les colonnes du schéma de repérage avancé.

Obtenir des informations sur le schéma

Lors de la construction de requêtes, utilisez la référence de schéma intégrée pour obtenir rapidement les informations suivantes sur chaque table du schéma :

• Description des tables : type de données contenues dans la table et source de ces données.
• Colonnes : toutes les colonnes de la table.
• Types d’action : valeurs possibles dans la ActionType colonne représentant les types d’événements pris en charge par la table. Ces informations sont fournies uniquement pour les tables qui contiennent des informations sur les événements.
• Exemple de requête : exemples de requêtes qui présentent la façon dont la table peut être utilisée.

Accéder à la référence de schéma

Pour accéder rapidement à la référence de schéma, sélectionnez l’action Afficher la référence en regard du nom de la table dans la représentation du schéma. Vous pouvez également sélectionner Référence de schéma pour rechercher une table.

Découvrir les tables de schéma

La référence suivante répertorie les tableaux du schéma. Chaque nom de tableau renvoie à une page décrivant les noms des colonnes de ce tableau. Les noms de table et de colonne sont également répertoriés dans Microsoft Defender XDR dans le cadre de la représentation du schéma sur l’écran de repérage avancé.

Nom du tableau	Description
AADSignInEventsBeta	Microsoft Entra les connexions interactives et non interactives
AADSpnSignInEventsBeta	Microsoft Entra principal de service et connexions d’identité managée
AlertEvidence	Fichiers, adresses IP, URL, utilisateurs ou appareils associés aux alertes
AlertInfo	Alertes de Microsoft Defender pour point de terminaison, Microsoft Defender pour Office 365, Microsoft Defender for Cloud Apps et Microsoft Defender pour Identity, y compris les informations de gravité et la catégorisation des menaces
BehaviorEntities	Types de données de comportement dans Microsoft Defender for Cloud Apps
BehaviorInfo	Alertes de Microsoft Defender for Cloud Apps
CloudAppEvents	Événements impliquant des comptes et des objets dans Office 365 et d’autres applications et services cloud
DeviceEvents	Plusieurs types d’événements, y compris les événements déclenchés par des contrôles de sécurité tels que l’antivirus Microsoft Defender et la protection contre les attaques
DeviceFileCertificateInfo	Informations de certificat des fichiers signés obtenus à partir d’événements de vérification de certificat sur les points de terminaison
DeviceFileEvents	Création de fichier, modification et autres événements de système de fichiers
DeviceImageLoadEvents	Événements de chargement de DLL
DeviceInfo	Informations sur l’ordinateur, y compris les informations de système d’exploitation
DeviceLogonEvents	Connexions et autres événements d’authentification
DeviceNetworkEvents	Connexion réseau et événements connexes
DeviceNetworkInfo	Propriétés réseau des ordinateurs, y compris les adaptateurs, les adresses IP et MAC, ainsi que les réseaux et domaines connectés
DeviceProcessEvents	Création de processus et événements associés
DeviceRegistryEvents	Création et modification d'entrées de registre
DeviceTvmHardwareFirmware	Informations sur le matériel et le microprogramme des appareils, telles qu’elles sont vérifiées par La gestion des vulnérabilités Defender
DeviceTvmInfoGathering	Événements d’évaluation de la gestion des vulnérabilités Defender, y compris les états de la surface d’attaque et de la configuration
DeviceTvmInfoGatheringKB	Métadonnées pour les événements d’évaluation collectés dans la DeviceTvmInfogathering table
DeviceTvmSecureConfigurationAssessment	Gestion des vulnérabilités Microsoft Defender des événements d’évaluation, indiquant la status de différentes configurations de sécurité sur les appareils
DeviceTvmSecureConfigurationAssessmentKB	Base de connaissances des différentes configurations de sécurité utilisées par Gestion des vulnérabilités Microsoft Defender pour évaluer les appareils ; comprend des mappages à différents standards et points de référence
DeviceTvmSoftwareEvidenceBeta	Informations de preuve sur l’endroit où un logiciel spécifique a été détecté sur un appareil
DeviceTvmSoftwareInventory	Inventaire des logiciels installés sur les appareils, y compris les informations de version et l’état de fin de prise en charge
DeviceTvmSoftwareVulnerabilities	Vulnérabilités logicielles trouvées sur les appareils et liste des mises à jour de sécurité disponibles qui s’adressent à chaque vulnérabilité
DeviceTvmSoftwareVulnerabilitiesKB	Base de connaissances des vulnérabilités révélées publiquement, notamment si le code d’exploitation est disponible au public
EmailAttachmentInfo	Informations sur les fichiers joints aux e-mails
EmailEvents	Événements d’e-mails Microsoft 365, y compris les événements de remise et de blocage d’e-mail
EmailPostDeliveryEvents	Événements de sécurité qui se produisent après la remise, après que Microsoft 365 a remis les e-mails à la boîte aux lettres du destinataire
EmailUrlInfo	Informations sur les URL des e-mails
ExposureGraphEdges	Les informations de bord du graphe d’exposition Microsoft Security Exposure Management fournissent une visibilité sur les relations entre les entités et les ressources dans le graphe
ExposureGraphNodes	Informations sur le nœud du graphique d’exposition Microsoft Security Exposure Management, sur les entités organisationnelles et leurs propriétés
IdentityDirectoryEvents	Événements impliquant un contrôleur de domaine local exécutant Active Directory (AD). Ce tableau couvre un ensemble d’événements liés à l’identité, ainsi que des événements système sur le contrôleur de domaine.
IdentityInfo	Informations de compte provenant de diverses sources, notamment Microsoft Entra ID
IdentityLogonEvents	Événements d’authentification sur Active Directory et les services en ligne Microsoft
IdentityQueryEvents	Requêtes pour les objets Active Directory, tels que les utilisateurs, les groupes, les appareils et les domaines
UrlClickEvents	Liens fiables en cliquant sur les messages électroniques, Teams et les applications Office 365

Voir aussi

• Vue d’ensemble du repérage avancé
• Apprendre le langage de requête
• Utiliser les résultats d’une requête
• Utiliser des requêtes partagées
• Repérer des menaces sur les appareils, les e-mails, les applications et les identités
• Appliquer les meilleures pratiques de requête

Conseil

Voulez-vous en savoir plus ? Engage avec la communauté Microsoft Security dans notre communauté technique : Microsoft Defender XDR Tech Community.