Bagikan melalui

DeviceEvents

  • Artikel

Tabel ini adalah bagian dari Microsoft Defender untuk Titik Akhir dengan Azure Sentinel. Tabel ini berisi Beberapa jenis peristiwa, termasuk peristiwa yang dipicu oleh kontrol keamanan seperti Antivirus Pertahanan Windows dan perlindungan eksploitasi.

Atribut tabel

Atribut Nilai
Jenis sumber daya -
Kategori Keamanan
Solusi SecurityInsights
Log dasar No
Transformasi waktu penyerapan Ya
Kueri Sampel -

Kolom

Column Tipe Deskripsi
AccountDomain string Domain akun.
AccountName string Nama pengguna akun.
AccountSid string Pengidentifikasi keamanan (SID) akun.
ActionType string Jenis aktivitas yang memicu peristiwa.
AdditionalFields dinamis Informasi tambahan tentang entitas atau peristiwa.
AppGuardContainerId string Pengidentifikasi untuk kontainer virtual yang digunakan oleh Application Guard untuk mengisolasi aktivitas browser.
_BilledSize real Ukuran rekaman dalam byte
CreatedProcessSessionId long ID sesi Windows dari proses yang dibuat.
DeviceId string Pengidentifikasi unik untuk perangkat dalam layanan.
DeviceName string Nama domain yang sepenuhnya memenuhi syarat (FQDN) perangkat.
FileName string Domain akun.
FileOriginIP string Alamat IP tempat file diunduh.
FileOriginUrl string URL tempat file diunduh.
FileSize long Ukuran file dalam byte.
FolderPath string Domain akun.
InitiatingProcessAccountDomain string Domain akun yang menjalankan proses yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessAccountName string Nama pengguna akun yang menjalankan proses yang bertanggung jawab atas peristiwa tersebut.
InisiatingProcessAccountObjectId string ID objek Azure ACTIVE Directory dari akun pengguna yang menjalankan proses yang bertanggung jawab atas peristiwa tersebut.
InisiatingProcessAccountSid string Pengidentifikasi Keamanan (SID) akun yang menjalankan proses yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessAccountUpn string Nama prinsipal pengguna (UPN) akun yang menjalankan proses yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessCommandLine string Baris perintah yang digunakan untuk menjalankan proses yang memulai peristiwa.
InitiatingProcessCreationTime datetime Tanggal dan waktu ketika proses yang memulai peristiwa dimulai.
InitiatingProcessFileName string Nama proses yang memulai peristiwa.
InisiatingProcessFileSize long Ukuran dalam byte file yang menjalankan proses yang bertanggung jawab atas peristiwa tersebut.
InisiatingProcessFolderPath string Folder yang berisi proses (file gambar) yang memulai peristiwa.
InitiatingProcessId long ID Proses (PID) dari proses yang memulai peristiwa.
InisiatingProcessLogonId long Pengidentifikasi untuk sesi masuk proses yang memulai peristiwa. Pengidentifikasi ini unik pada komputer yang sama hanya di antara mulai ulang.
InisiatingProcessMD5 string Hash MD5 dari proses (file gambar) yang memulai peristiwa.
InitiatingProcessParentCreationTime datetime Tanggal dan waktu ketika induk proses yang bertanggung jawab atas peristiwa dimulai.
InitiatingProcessParentFileName string Nama proses induk yang menelurkan proses yang bertanggung jawab atas peristiwa tersebut.
InisiatingProcessParentId long ID Proses (PID) dari proses induk yang menelurkan proses yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessRemoteSessionDeviceName string Nama perangkat perangkat jarak jauh tempat sesi RDP proses ini dimulai.
InitiatingProcessRemoteSessionIP string Alamat IP perangkat jarak jauh tempat sesi RDP proses ini dimulai.
InisiatingProcessSessionId long ID sesi Windows dari proses memulai.
InisiatingProcessSHA1 string Hash SHA-1 dari proses (file gambar) yang memulai peristiwa.
InisiatingProcessSHA256 string Hash SHA-256 dari proses (file gambar) yang memulai peristiwa. Bidang ini biasanya tidak diisi - gunakan kolom SHA1 jika tersedia.
InitiatingProcessVersionInfoCompanyName string Nama perusahaan dari informasi versi proses (file gambar) yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessVersionInfoFileDescription string Deskripsi dari informasi versi proses (file gambar) yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessVersionInfoInternalFileName string Nama file internal dari informasi versi proses (file gambar) yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessVersionInfoOriginalFileName string Nama file asli dari informasi versi proses (file gambar) yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessVersionInfoProductName string Nama produk dari informasi versi proses (file gambar) yang bertanggung jawab atas peristiwa tersebut.
InitiatingProcessVersionInfoProductVersion string Versi produk dari informasi versi proses (file gambar) yang bertanggung jawab atas peristiwa tersebut.
_IsBillable string Menentukan apakah menyerap data dapat ditagih. Saat _IsBillable false penyerapan tidak ditagih ke akun Azure Anda
IsInitiatingProcessRemoteSession bool Menunjukkan apakah proses memulai dijalankan di bawah sesi protokol desktop jarak jauh (RDP) (benar) atau secara lokal (salah).
IsProcessRemoteSession bool Menunjukkan apakah proses yang dibuat dijalankan di bawah sesi protokol desktop jarak jauh (RDP) (true) atau secara lokal (false).
LocalIP string Alamat IP yang ditetapkan ke komputer lokal yang digunakan selama komunikasi.
LocalPort int Port TCP pada komputer lokal yang digunakan selama komunikasi.
LogonId long Pengidentifikasi untuk sesi masuk. Pengidentifikasi ini unik pada komputer yang sama hanya di antara mulai ulang.
MachineGroup string Grup mesin mesin. Grup ini digunakan oleh kontrol akses berbasis peran untuk menentukan akses ke komputer.
MD5 string Hash MD5 dari file tempat tindakan yang direkam diterapkan.
ProcessCommandLine string Baris perintah yang digunakan untuk membuat proses baru.
ProcessCreationTime datetime Tanggal dan waktu proses dibuat.
ProcessId long ID Proses (PID) dari proses yang baru dibuat.
ProcessRemoteSessionDeviceName string Nama perangkat dari perangkat jarak jauh tempat sesi RDP proses yang dibuat dimulai.
ProcessRemoteSessionIP string Alamat IP perangkat jarak jauh tempat sesi RDP proses yang dibuat dimulai.
ProcessTokenElevation string Jenis token yang menunjukkan ada atau tidak adanya elevasi hak istimewa Kontrol Akses Pengguna (UAC) yang diterapkan pada proses yang baru dibuat.
RegistryKey string Kunci registri tempat tindakan yang direkam diterapkan.
RegistryValueData string Data nilai registri tempat tindakan yang direkam diterapkan.
RegistryValueName string Nama nilai registri tempat tindakan yang direkam diterapkan.
RemoteDeviceName string Nama perangkat yang melakukan operasi jarak jauh pada komputer yang terpengaruh. Bergantung pada peristiwa yang dilaporkan, nama ini bisa menjadi nama domain yang sepenuhnya memenuhi syarat (FQDN), nama NetBIOS, atau nama host tanpa informasi domain..
RemoteIP string Alamat IP yang sedang tersambung.
Port Jarak Jauh int Port TCP pada perangkat jarak jauh yang sedang tersambung.
RemoteUrl string URL atau nama domain yang sepenuhnya memenuhi syarat (FQDN) yang sedang tersambung.
ReportId long Pengidentifikasi peristiwa berdasarkan penghitung berulang. Untuk mengidentifikasi peristiwa unik, kolom ini harus digunakan bersama dengan kolom ComputerName dan EventTime.
SHA1 string Hash SHA-1 file tempat tindakan yang direkam diterapkan.
SHA256 string SHA-256 dari file tempat tindakan yang direkam diterapkan.
SourceSystem string Jenis agen yang dikumpulkan oleh peristiwa. Misalnya, OpsManager untuk agen Windows, baik direct connect atau Operations Manager, Linux untuk semua agen Linux, atau Azure untuk Azure Diagnostics
TenantId string ID ruang kerja Analitik Log
TimeGenerated datetime Tanggal dan waktu peristiwa direkam oleh agen MDE pada titik akhir.
Jenis string Nama tabel