AADRiskyUsers

Journaux générés par Identity Protection pour les utilisateurs à risque Azure AD.

Attributs de table

Attribut	Valeur
Types de ressource	-
Catégories	Audit, Sécurité
Solutions	LogManagement
Journal de base	No
Transformation au moment de l’ingestion	Yes
Exemples de requêtes	Oui

Colonnes

Colonne	Type	Description
_BilledSize	real	Taille de l’enregistrement en octets
CorrelationId	string	ID des événements Log Analytics corrélés. Peut être utilisé pour identifier les événements corrélés entre plusieurs tables.
Id	string	ID unique de l’utilisateur à risque.
_IsBillable	string	Spécifie si l’ingestion des données est facturable. Lorsque _IsBillable l’ingestion n’est false pas facturée à votre compte Azure
IsDeleted	bool	Indique si l’utilisateur est supprimé.
IsProcessing	bool	Indique si l’état à risque d’un utilisateur est en cours de traitement par le back-end.
NomOpération	string	Nom de l’opération.
RiskDetail	string	Détails du risque détecté. Les valeurs possibles sont : none, adminGeneratedTemporaryPassword, userPerformedSecuredPasswordChange, userPerformedSecuredPasswordReset, adminConfirmedSigninSafe, aiConfirmedSigninSafe, userPassedMFADrivenByRiskBasedPolicy, adminDismissedAllRiskForUser, adminConfirmedSigninCompromised, hidden, adminConfirmedUserCompromised, unknownFutureValue.
RiskLastUpdatedDateTime	DATETIME	Date et heure de la dernière mise à jour de l’utilisateur à risque.
RiskLevel	string	Niveau de l’utilisateur à risque détecté. Les valeurs possibles sont : faible, moyen, élevé, masqué, aucun, unknownFutureValue.
RiskState	string	État du risque de l’utilisateur. Les valeurs possibles sont : none, confirmedSafe, remediated, dismissed, atRisk, confirmedCompromated, unknownFutureValue.
SourceSystem	string	Type d’agent par lequel l’événement a été collecté. Par exemple, OpsManager pour l’agent Windows, la connexion directe ou Operations Manager, Linux pour tous les agents Linux ou Azure pour Diagnostics Azure
TenantId	string	ID de l’espace de travail Log Analytics
TimeGenerated	DATETIME	Date et heure de l’événement en UTC.
Type	string	Le nom de la table
UserDisplayName	string	Nom d’affichage de l’utilisateur à risque.
UserPrincipalName	string	Nom d’utilisateur principal risqué.