DeviceImageLoadEvents

Cet table fait partie de Microsoft Defender pour points de terminaison avec Azure Sentinel. Cette table contient des événements de chargement DLL.

Attributs de la table

Attribut	Valeur
Types de ressources	-
Catégories	Sécurité
Solutions	SecurityInsights
Journal de base	Oui
Transformation au moment de l’ingestion	Oui
Exemples de requêtes	-

Colonnes

Colonne	Catégorie	Descriptif
Type d'action	chaîne	Type d’activité qui a déclenché l’événement.
AppGuardContainerId	chaîne	Identificateur du conteneur virtualisé utilisé par Application Guard pour isoler l’activité du navigateur.
_BilledSize	réel	Taille de l’enregistrement en octets
DeviceId	chaîne	Identificateur unique de l’appareil dans le service.
Nom du dispositif	chaîne	Nom de domaine complet (FQDN) de l’appareil.
Nom du fichier	chaîne	Domaine du compte.
Taille du fichier	long	Taille du fichier en octets.
FolderPath	chaîne	Domaine du compte.
Démarrage de ProcessAccountDomain	chaîne	Domaine du compte qui a exécuté le processus responsable de l’événement.
InitiatingProcessAccountName	chaîne	Nom d’utilisateur du compte qui a exécuté le processus responsable de l’événement.
InitiatingProcessAccountObjectId	chaîne	ID d’objet Azure AD du compte d’utilisateur qui a exécuté le processus responsable de l’événement.
Démarrage de ProcessAccountSid	chaîne	Identificateur de sécurité (SID) du compte qui a exécuté le processus responsable de l’événement.
InitiatingProcessAccountUpn	chaîne	Nom d’utilisateur principal (UPN) du compte qui a exécuté le processus responsable de l’événement.
InitiatingProcessCommandLine	chaîne	Ligne de commande utilisée pour exécuter le processus qui a lancé l’événement.
InitiatingProcessCreationTime	DATETIME	Date et heure de démarrage du processus qui a lancé l’événement.
InitiatingProcessFileName	chaîne	Nom du processus qui a lancé l’événement.
InitiatingProcessFileSize	long	Taille en octets du processus (fichier image) qui a lancé l’événement.
InitiatingProcessFolderPath	chaîne	Dossier contenant le processus (fichier image) qui a lancé l’événement.
Lancement de ProcessId	long	ID de processus (PID) du processus qui a lancé l’événement.
InitiatingProcessIntegrityLevel	chaîne	Niveau d’intégrité du processus qui a lancé l’événement. Windows affecte des niveaux d’intégrité aux processus en fonction de certaines caractéristiques, par exemple s’ils ont été lancés à partir d’un téléchargement Internet. Ces niveaux d’intégrité influencent les autorisations sur les ressources.
Lancement de ProcessMD5	chaîne	Hachage MD5 du processus (fichier image) qui a lancé l’événement.
InitiatingProcessParentCreationTime	DATETIME	Date et heure de démarrage du parent du processus responsable de l’événement.
InitiatingProcessParentFileName	chaîne	Nom du processus parent qui a généré le processus responsable de l’événement.
InitiatingProcessParentId	long	ID de processus (PID) du processus parent qui a généré le processus responsable de l’événement.
InitiatingProcessRemoteSessionDeviceName	chaîne	Nom de l’appareil distant à partir duquel la session RDP du processus de lancement a été lancée.
InitiatingProcessRemoteSessionIP	chaîne	Adresse IP de l’appareil distant à partir duquel la session RDP du processus de lancement a été lancée.
InitiatingProcessSessionId	long	ID de session Windows du processus de lancement.
InitiatingProcessSHA1	chaîne	Hachage SHA-1 du processus (fichier image) qui a lancé l’événement.
Lancement du processus SHA256	chaîne	Hachage SHA-256 du processus (fichier image) qui a lancé l’événement. Ce champ n’est généralement pas rempli : utilisez la colonne SHA1 quand elle est disponible.
InitiatingProcessTokenElevation	chaîne	Type de jeton indiquant la présence ou l’absence d’élévation de privilèges UAC (User Access Control) appliquée au processus qui a lancé l’événement.
InitiatingProcessUniqueId	chaîne	Identificateur unique du processus de lancement ; il s’agit de la clé de démarrage du processus sur les appareils Windows.
InitiatingProcessVersionInfoCompanyName	chaîne	Nom de la société à partir des informations de version du processus (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoFileDescription	chaîne	Description des informations de version du processus (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoInternalFileName	chaîne	Nom de fichier interne à partir des informations de version du processus (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoOriginalFileName	chaîne	Nom de fichier d’origine à partir des informations de version du processus (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoProductName	chaîne	Nom du produit à partir des informations de version du processus (fichier image) responsable de l’événement.
InitiatingProcessVersionInfoProductVersion	chaîne	Version du produit à partir des informations de version du processus (fichier image) responsable de l’événement.
_IsBillable	chaîne	Spécifie si l’ingestion des données est facturable. Quand _IsBillable est false, l’ingestion n’est pas facturée sur votre compte Azure.
IsInitiatingProcessRemoteSession	valeur booléenne	Indique si le processus de lancement a été exécuté sous une session RDP (Remote Desktop Protocol) (true) ou localement (false).
MachineGroup	chaîne	Groupe de machines de la machine. Ce groupe est utilisé par le contrôle d’accès en fonction du rôle pour déterminer l’accès à l’ordinateur.
MD5	chaîne	Hachage MD5 du fichier auquel l’action enregistrée a été appliquée.
ReportId	long	Identificateur d’événement basé sur un compteur répétitif. Pour identifier des événements uniques, cette colonne doit être utilisée conjointement avec les colonnes ComputerName et EventTime.
SHA1	chaîne	Hachage SHA-1 du fichier auquel l’action enregistrée a été appliquée.
SHA256	chaîne	SHA-256 du fichier auquel l’action enregistrée a été appliquée.
SourceSystem	chaîne	Type d’agent ayant collecté l’événement. Par exemple, OpsManager pour l’agent Windows (connexion directe ou Operations Manager), Linux pour tous les agents Linux, ou Azure pour Diagnostics Azure.
Identifiant du locataire	chaîne	ID de l’espace de travail Log Analytics
TimeGenerated	DATETIME	Date et heure d’enregistrement de l’événement par l’agent MDE sur le point de terminaison.
Catégorie	chaîne	Le nom de la table