DeviceLogonEvents

Questa tabella fa parte di Microsoft Defender per gli endpoint con Azure Sentinel. Questa tabella contiene gli accessi e altri eventi di autenticazione.

Attributi di tabella

Attributo	Valore
Tipi di risorsa	-
Categorie	Sicurezza
Soluzioni	SecurityInsights
Log di base	No
Trasformazione in fase di inserimento	Sì
Query di esempio	-

Colonne

Colonna	Tipo	Descrizione
AccountDomain	string	Dominio dell'account.
AccountName	string	Nome utente dell'account.
AccountSid	string	Identificatore di sicurezza (SID) dell'account.
ActionType	string	Tipo di attività che ha attivato l'evento.
Campi aggiuntivi	dinamico	Informazioni aggiuntive sull'entità o sull'evento.
AppGuardContainerId	string	Identificatore del contenitore virtualizzato usato da Application Guard per isolare l'attività del browser.
_BilledSize	real	Dimensioni del record in byte
DeviceId	string	Identificatore univoco per il dispositivo nel servizio.
DeviceName	string	Nome di dominio completo (FQDN) del dispositivo.
FailureReason	string	Informazioni che spiegano il motivo per cui l'azione registrata non è riuscita.
AvvioprocessAccountDomain	string	Dominio dell'account che ha eseguito il processo responsabile dell'evento.
AvvioProcessAccountName	string	Nome utente dell'account che ha eseguito il processo responsabile dell'evento.
AvvioprocessAccountObjectId	string	ID oggetto di Azure AD dell'account utente che ha eseguito il processo responsabile dell'evento.
AvvioprocessAccountSid	string	ID di sicurezza (SID) dell'account che ha eseguito il processo responsabile dell'evento.
StartingProcessAccountUpn	string	Nome dell'entità utente (UPN) dell'account che ha eseguito il processo responsabile dell'evento.
AvvioprocessCommandLine	string	Riga di comando usata per eseguire il processo che ha avviato l'evento.
AvvioProcessCreationTime	Datetime	Data e ora in cui è stato avviato il processo che ha avviato l'evento.
AvvioProcessFileName	string	Nome del processo che ha avviato l'evento.
AvvioProcessFileSize	long	Dimensioni in byte del processo (file di immagine) che ha avviato l'evento.
AvvioProcessFolderPath	string	Cartella contenente il processo (file di immagine) che ha avviato l'evento.
AvvioProcessId	long	ID processo (PID) del processo che ha avviato l'evento.
AvvioprocessIntegrityLevel	string	Livello di integrità del processo che ha avviato l'evento. Windows assegna livelli di integrità ai processi in base a determinate caratteristiche, ad esempio se sono state avviate da un download Internet. Questi livelli di integrità influiscono sulle autorizzazioni per le risorse.
AvvioprocessMD5	string	Hash MD5 del processo (file di immagine) che ha avviato l'evento.
AvvioProcessParentCreationTime	Datetime	Data e ora dell'avvio dell'elemento padre del processo responsabile dell'evento.
AvvioProcessParentFileName	string	Nome del processo padre che ha generato il processo responsabile dell'evento.
AvvioprocessParentId	long	ID processo (PID) del processo padre che ha generato il processo responsabile dell'evento.
AvvioprocessSHA1	string	Hash SHA-1 del processo (file di immagine) che ha avviato l'evento.
AvvioprocessSHA256	string	Hash SHA-256 del processo (file di immagine) che ha avviato l'evento. Questo campo in genere non viene popolato. Usare la colonna SHA1, se disponibile.
AvvioprocessTokenElevation	string	Tipo di token che indica la presenza o l'assenza dell'elevazione dei privilegi di Controllo di accesso utente applicata al processo che ha avviato l'evento.
AvvioProcessVersionInfoCompanyName	string	Nome della società dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoFileDescription	string	Descrizione delle informazioni sulla versione del processo (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoInternalFileName	string	Nome file interno dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoOriginalFileName	string	Nome file originale dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoProductName	string	Nome del prodotto dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoProductVersion	string	Versione del prodotto dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento.
_IsBillable	string	Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable l'inserimento false non viene fatturato all'account Azure
IsLocalAdmin	bool	Indicatore booleano che indica se l'utente è un amministratore locale nel computer.
LogonId	long	Identificatore per una sessione di accesso. Questo identificatore è univoco nello stesso computer solo tra i riavvii.
LogonType	string	Tipo di sessione di accesso, in particolare interattivo, remoto (RDP), rete, batch e servizio.
MachineGroup	string	Gruppo di computer del computer. Questo gruppo viene usato dal controllo degli accessi in base al ruolo per determinare l'accesso al computer.
Protocollo	string	Protocollo utilizzato durante la comunicazione.
RemoteDeviceName	string	Nome del dispositivo che ha eseguito un'operazione remota nel computer interessato. A seconda dell'evento segnalato, questo nome potrebbe essere un nome di dominio completo (FQDN), un nome NetBIOS o un nome host senza informazioni di dominio.
RemoteIP	string	Indirizzo IP a cui si è connessi.
RemoteIPType	string	Tipo di indirizzo IP, ad esempio Public, Private, Reserved, Loopback, Teredo, FourToSixMapping e Broadcast.
Porta remota	INT	Porta TCP nel dispositivo remoto a cui è stata stabilita la connessione.
ReportId	long	Identificatore di evento basato su un contatore ripetuto. Per identificare gli eventi univoci, questa colonna deve essere utilizzata insieme alle colonne ComputerName e EventTime.
SourceSystem	string	Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, connessione diretta o Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
TenantId	string	ID area di lavoro Log Analytics
TimeGenerated	Datetime	Data e ora in cui l'evento è stato registrato dall'agente MDE nell'endpoint.
Type	string	Nome della tabella