Lire en anglais

Partager via

Liste de surveillance

  • Article

Azure Sentinel Watchlist contient des données importées à partir de fichiers CSV qui peuvent être utilisées pour joindre ou filtrer en tant que condition d’alerte/incident.

Attributs de table

Attribut Valeur
Types de ressources -
Catégories Sécurité
Solutions SecurityInsights
Journal de base Non
Transformation au moment de l’ingestion Oui
Exemples de requêtes Oui

Colonnes

Colonne Type Description
AzureTenantId string ID de locataire AAD auquel appartient cette table Watchlist.
_BilledSize real Taille de l’enregistrement en octets
CorrelationId string ID des événements corrélés.
CreatedBy dynamic Objet JSON avec l’utilisateur qui a créé l’élément Watchlist ou Watchlist, notamment l’ID d’objet, l’e-mail et le nom.
CreatedTimeUTC DATETIME Heure (UTC) de création de l’élément Watchlist ou Watchlist.
DefaultDuration string Objet JSON décrivant la durée par défaut à laquelle chaque élément d’une Watchlist doit hériter lors de la création. La durée par défaut a ce format : P(n)Y(n)M(n)DT(n)H(n)M(n)S, où P, Y, M, DT, H, M et S sont invariants. Par exemple, P3Y6M4DT12H30M9S représente une durée de trois ans, six mois, quatre jours, douze heures, trente minutes et neuf secondes.
_DTItemId string ID unique de l’élément Watchlist ou Watchlist. Par exemple, une watchlist ' RiskyUsers' peut contenir l’élément Watchlist 'Name :John Doe ; email :johndoe@contoso.com'. Un élément Watchlist a un ID unique et appartient à une Watchlist. La watchlist contenant peut être identifiée à l’aide du « WatchlistId ».
_DTItemStatus string L’élément Watchlist ou Watchlist a-t-il été créé, mis à jour ou supprimé par l’utilisateur. Par exemple, une watchlist ' RiskyUsers' peut contenir l’élément Watchlist 'Name :John Doe ; email :johndoe@contoso.com'. Si une watchlist est ajoutée, l’état est « Créé ». Si le nom de la Watchlist est mis à jour de « RiskyUsers » à « RiskyEmployees », l’état est « Mis à jour ».
_DTItemType string Faire la distinction entre une liste de surveillance et un élément Watchlist. Par exemple, une watchlist ' RiskyUsers' peut contenir l’élément Watchlist 'Name :John Doe ; email :johndoe@contoso.com'. Un type d’élément Watchlist appartient à un type Watchlist et le Watchlist contenant peut être identifié à l’aide du « WatchlistId ».
_DTTimestamp DATETIME Heure (UTC) de la génération de l’événement.
EntityMapping dynamic Objet JSON avec mappage d’entité Azure Sentinel aux colonnes d’entrée.
_IsBillable string Spécifie si l’ingestion des données est facturable. Quand _IsBillable est false, l’ingestion n’est pas facturée sur votre compte Azure.
LastUpdatedTimeUTC DATETIME Heure (UTC) de la dernière mise à jour de l’élément Watchlist ou Watchlist.
Notes string Notes fournies par l’utilisateur.
Fournisseur string Fournisseur d’entrée de la Watchlist.
Clé de recherche string SearchKey est utilisé pour optimiser les performances des requêtes lors de l’utilisation de watchlists pour les jointures avec d’autres données. Par exemple, activez une colonne avec des adresses IP comme champ SearchKey désigné, puis utilisez ce champ pour joindre d’autres tables d’événements par adresse IP.
Source string Source d’entrée de la Watchlist.
SourceSystem string Type d’agent ayant collecté l’événement. Par exemple, OpsManager pour l’agent Windows (connexion directe ou Operations Manager), Linux pour tous les agents Linux, ou Azure pour Diagnostics Azure.
Balises string Tableau JSON de balises fournies par l’utilisateur.
TenantId string ID de l’espace de travail Log Analytics
TimeGenerated DATETIME Horodatage (UTC) de l’heure de génération de l’événement.
TimeToLive DATETIME Durée de vie d’un enregistrement Watchlist, exprimée sous forme de date et d’heure du jour (par exemple, 2020-08-20T17:00:00.9618037Z). Sa valeur d’origine est héritée de la durée par défaut de Watchlist. Si TimeToLive passe, l’enregistrement est considéré comme supprimé. La durée d’un enregistrement peut être prolongée à tout moment en mettant à jour la valeur TimeToLive.
Type string Le nom de la table
UpdatedBy dynamic Objet JSON avec l’utilisateur qui a mis à jour l’élément Watchlist ou Watchlist, notamment l’ID d’objet, l’e-mail et le nom.
WatchlistAlias string Chaîne unique faisant référence à la Watchlist.
WatchlistCategory string Catégorie Watchlist fournie par l’utilisateur.
WatchlistId string Nom de la ressource Watchlist Resource Manager.
WatchlistItem dynamic Objet JSON avec paires clé-valeur de la source Watchlist d’entrée.
WatchlistItemId string ID unique de l’élément Watchlist.
WatchlistName string Nom complet de Watchlist.