DeviceNetworkEvents

  • Articolo

Microsoft Defender per la tabella degli eventi di rete del dispositivo (MDE). Questa tabella contiene informazioni sulle connessioni di rete e sugli eventi correlati avviati dai processi in esecuzione nell'endpoint.

Attributi tabella

Attributo Valore
Tipi di risorsa -
Categorie Sicurezza
Soluzioni SecurityInsights
Log di base No
Trasformazione in fase di inserimento Sì
Query di esempio -

Colonne

Colonna Tipo Descrizione
ActionType string Tipo di attività che ha attivato l'evento.
Campi aggiuntivi dinamico Informazioni aggiuntive sull'entità o sull'evento.
AppGuardContainerId string Identificatore per il contenitore virtualizzato usato da Application Guard per isolare l'attività del browser.
_BilledSize real Dimensioni del record in byte
DeviceId string Identificatore univoco per il dispositivo nel servizio.
DeviceName string Nome di dominio completo (FQDN) del dispositivo.
AvvioprocessAccountDomain string Dominio dell'account che ha eseguito il processo di avvio.
AvvioprocessAccountName string Nome utente dell'account che ha eseguito il processo di avvio.
AvvioprocessAccountObjectId string ID oggetto Azure AD dell'account utente che ha eseguito il processo di avvio.
Avvio diProcessAccountSid string Identificatore di sicurezza (SID) dell'account che ha eseguito il processo di avvio.
AvvioprocessAccountUpn string Nome entità utente (UPN) dell'account che ha eseguito il processo di avvio.
AvvioprocessCommandLine string Riga di comando usata per eseguire il processo di avvio.
AvvioprocessCreationTime Datetime Data e ora dell'avvio del processo avviato dall'evento.
AvvioProcessFileName string Nome del processo di avvio.
AvvioprocessFileSize long Dimensioni del file (byte) che ha eseguito il processo responsabile dell'evento.
Avvio diProcessFolderPath string Cartella contenente il processo di avvio (file immagine).
AvvioprocessId long ID processo (PID) del processo di avvio.
AvvioprocessIntegrityLevel string Livello di integrità del processo di avvio. Windows assegna livelli di integrità ai processi in base a determinate caratteristiche, ad esempio se sono stati avviati da un download Internet. Questi livelli di integrità influiscono sulle autorizzazioni per le risorse.
AvvioprocessMD5 string Hash MD5 del processo di avvio (file di immagine).
AvvioprocessParentCreationTime Datetime Data e ora dell'avvio del processo responsabile del processo.
AvvioprocessParentFileName string Nome del processo padre che ha generato il processo di avvio.
Avvio diProcessParentId long ID processo (PID) del processo padre che ha generato il processo di avvio.
AvvioprocessSHA1 string HASH SHA-1 del processo di avvio (file di immagine).
AvvioprocessSHA256 string HASH SHA-256 del processo di avvio (file di immagine). In alcuni casi questa colonna potrebbe non essere popolata. Usare invece la colonnaAvvioProcessSHA1.
AvvioprocessTokenElevation string Tipo di token che indica la presenza o l'assenza di privilegi utente Controllo di accesso (UAC) applicati al processo di avvio.
AvvioProcessVersionInfoCompanyName string Nome della società nelle informazioni sulla versione (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoFileDescription string Descrizione nelle informazioni sulla versione (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoInternalFileName string Nome file interno nelle informazioni sulla versione (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoOriginalFileName string Nome file originale nelle informazioni sulla versione (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoProductName string Nome del prodotto nelle informazioni sulla versione (file di immagine) responsabile dell'evento.
AvvioProcessVersionInfoProductVersion string Versione del prodotto nelle informazioni sulla versione (file di immagine) responsabile dell'evento.
_IsBillable string Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable l'inserimento false non viene fatturato all'account Azure
LocalIP string Indirizzo IP assegnato al computer locale usato durante la comunicazione.
LocalIPType string Tipo di indirizzo IP, ad esempio Public, Private, Reserved, Loopback, Teredo, FourToSixMapping e Broadcast.
Porta locale INT Porta TCP nel computer locale usato durante la comunicazione.
MachineGroup string Gruppo di computer del computer. Questo gruppo viene usato dal controllo degli accessi in base al ruolo per determinare l'accesso al computer.
Protocollo string Protocollo IP usato, sia TCP che UDP.
RemoteIP string Indirizzo IP a cui si è connessi.
RemoteIPType string Tipo di indirizzo IP, ad esempio Public, Private, Reserved, Loopback, Teredo, FourToSixMapping e Broadcast.
Porta remota INT Porta TCP nel dispositivo remoto a cui è stata stabilita la connessione.
RemoteUrl string URL o nome di dominio completo (FQDN) a cui è stata stabilita la connessione.
ReportId long Identificatore di evento basato su un contatore ripetuto. Per identificare gli eventi univoci, questa colonna deve essere utilizzata insieme alle colonne ComputerName e EventTime.
SourceSystem string Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, connessione diretta o Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
TenantId string ID area di lavoro Log Analytics
TimeGenerated Datetime Data e ora in cui l'evento è stato registrato dall'agente MDE nell'endpoint.
Type string Nome della tabella