DeviceNetworkEvents
S’applique à :
- Microsoft Defender XDR
- Microsoft Defender pour point de terminaison
Le DeviceNetworkEvents
tableau du schéma de repérage avancé contient des informations sur les connexions réseau et les événements associés. Utilisez cette référence pour créer des requêtes qui renvoient des informations de cette table.
Conseil
Pour plus d’informations sur les types d’événements (ActionType
valeurs) pris en charge par une table, utilisez la référence de schéma intégrée disponible dans Microsoft Defender XDR.
Pour plus d’informations sur les autres tables du schéma de repérage avancé, consultez la référence de repérage avancé.
Nom de colonne | Type de données | Description |
---|---|---|
Timestamp |
datetime |
Date et heure d’enregistrement de l’événement |
DeviceId |
string |
Identificateur unique de l’appareil dans le service |
DeviceName |
string |
Nom de domaine complet (FQDN) de l’appareil |
ActionType |
string |
Type d’activité qui a déclenché l’événement. Pour plus d’informations, consultez les informations de référence sur le schéma dans le portail . |
RemoteIP |
string |
Adresse IP à laquelle la connexion était en cours |
RemotePort |
int |
Port TCP sur l’appareil distant auquel était connecté |
RemoteUrl |
string |
URL ou nom de domaine complet (FQDN) à laquelle/auquel la connexion était en cours |
LocalIP |
string |
Adresse IP source ou adresse IP d’où provient la communication |
LocalPort |
int |
Port TCP sur l’appareil local utilisé pendant la communication |
Protocol |
string |
Protocole utilisé pendant la communication |
LocalIPType |
string |
Type d’adresse IP, par exemple Public, Private, Reserved, Loopback, Teredo, FourToSixMapping et Broadcast |
RemoteIPType |
string |
Type d’adresse IP, par exemple Public, Private, Reserved, Loopback, Teredo, FourToSixMapping et Broadcast |
InitiatingProcessSHA1 |
string |
SHA-1 du processus (fichier image) qui a lancé l’événement |
InitiatingProcessSHA256 |
string |
SHA-256 du processus (fichier image) qui a lancé l’événement. Ce champ n’est généralement pas rempli. Utilisez la colonne SHA1 lorsque celle-ci est disponible. |
InitiatingProcessMD5 |
string |
Hachage MD5 du processus (fichier image) qui a lancé l’événement |
InitiatingProcessFileName |
string |
Nom du fichier de processus qui a lancé l’événement ; s’il n’est pas disponible, le nom du processus à l’origine de l’événement peut être affiché à la place |
InitiatingProcessFileSize |
long |
Taille du fichier qui a exécuté le processus responsable de l’événement |
InitiatingProcessVersionInfoCompanyName |
string |
Nom de la société à partir des informations de version du processus (fichier image) responsable de l’événement |
InitiatingProcessVersionInfoProductName |
string |
Nom du produit à partir des informations de version du processus (fichier image) responsable de l’événement |
InitiatingProcessVersionInfoProductVersion |
string |
Version du produit à partir des informations de version du processus (fichier image) responsable de l’événement |
InitiatingProcessVersionInfoInternalFileName |
string |
Nom de fichier interne à partir des informations de version du processus (fichier image) responsable de l’événement |
InitiatingProcessVersionInfoOriginalFileName |
string |
Nom de fichier d’origine à partir des informations de version du processus (fichier image) responsable de l’événement |
InitiatingProcessVersionInfoFileDescription |
string |
Description des informations de version du processus (fichier image) responsable de l’événement |
InitiatingProcessId |
long |
ID de processus (PID) du processus qui a lancé l’événement |
InitiatingProcessCommandLine |
string |
Ligne de commande utilisée pour exécuter le processus qui a lancé l’événement |
InitiatingProcessCreationTime |
datetime |
Date et heure de démarrage du processus qui a lancé l’événement |
InitiatingProcessFolderPath |
string |
Dossier contenant le processus (fichier image) qui a lancé l’événement |
InitiatingProcessParentFileName |
string |
Nom du processus parent qui a généré le processus responsable de l’événement |
InitiatingProcessParentId |
long |
ID de processus (PID) du processus parent qui a généré le processus responsable de l’événement |
InitiatingProcessParentCreationTime |
datetime |
Date et heure de démarrage du parent du processus responsable de l’événement |
InitiatingProcessAccountDomain |
string |
Domaine du compte qui a exécuté le processus responsable de l’événement |
InitiatingProcessAccountName |
string |
Nom d’utilisateur du compte qui a exécuté le processus responsable de l’événement ; si l’appareil est inscrit dans Microsoft Entra ID, le nom d’utilisateur de l’ID Entra du compte qui a exécuté le processus responsable de l’événement peut s’afficher à la place |
InitiatingProcessAccountSid |
string |
Identificateur de sécurité (SID) du compte qui a exécuté le processus responsable de l’événement |
InitiatingProcessAccountUpn |
string |
Nom d’utilisateur principal (UPN) du compte qui a exécuté le processus responsable de l’événement ; si l’appareil est inscrit dans Microsoft Entra ID, l’UPN de l’ID Entra du compte qui a exécuté le processus responsable de l’événement peut s’afficher à la place |
InitiatingProcessAccountObjectId |
string |
Microsoft Entra’ID d’objet du compte d’utilisateur qui a exécuté le processus responsable de l’événement |
InitiatingProcessIntegrityLevel |
string |
Niveau d’intégrité du processus qui a lancé l’événement. Windows attribue des niveaux d’intégrité aux processus en fonction de certaines caractéristiques, par exemple s’ils étaient lancés à partir d’un téléchargement Sur Internet. Ces niveaux d’intégrité influencent les autorisations d’accès aux ressources. |
InitiatingProcessTokenElevation |
string |
Type de jeton indiquant la présence ou l’absence d’élévation de privilèges utilisateur Access Control (UAC) appliquée au processus qui a lancé l’événement |
ReportId |
long |
Identificateur d’événement basé sur un compteur extensible. Pour identifier les événements uniques, cette colonne doit être utilisée conjointement avec les colonnes DeviceName et Timestamp. |
AppGuardContainerId |
string |
Identificateur du conteneur virtualisé utilisé par Protection d'application pour isoler l’activité du navigateur |
AdditionalFields |
string |
Informations supplémentaires sur l’événement au format tableau JSON |
InitiatingProcessSessionId |
long |
ID de session Windows du processus initial |
IsInitiatingProcessRemoteSession |
bool |
Indique si le processus de lancement a été exécuté sous une session RDP (remote Desktop Protocol) (true) ou localement (false) |
InitiatingProcessRemoteSessionDeviceName |
string |
Nom de l’appareil distant à partir duquel la session RDP du processus initial a été lancée |
InitiatingProcessRemoteSessionIP |
string |
Adresse IP de l’appareil distant à partir duquel la session RDP du processus initial a été lancée |
Voir aussi
- Vue d’ensemble du repérage avancé
- Apprendre le langage de requête
- Utiliser des requêtes partagées
- Repérer des menaces sur les appareils, les e-mails, les applications et les identités
- Comprendre le schéma
- Appliquer les meilleures pratiques de requête
Conseil
Voulez-vous en savoir plus ? Collaborez avec la communauté Microsoft Security dans notre communauté technique : communauté technique Microsoft Defender XDR.