MDCFileIntegrityMonitoringEvents

Visualizzare le modifiche apportate a File Windows e Linux, nonché alle chiavi del Registro di sistema software. Gli eventi di questa tabella vengono raccolti da Microsoft Defender per endpoint (MDE).

Attributi di tabella

Attributo	Valore
Tipi di risorse	-
Categorie	Sicurezza
Soluzioni	LogManagement
Log di base	Sì
Trasformazione in fase di inserimento	No
Query di esempio	-

Colonne

Column	Type	Descrizione
AADTenantID	string	ID tenant di AAD della sottoscrizione in cui è stata creata, rinominata, modificata o eliminata l'entità monitorata.
AzureResourceId	string	ID risorsa di Azure della risorsa la cui entità monitorata è stata creata, rinominata, modificata o eliminata.
_BilledSize	real	Dimensioni del record in byte
ChangeType	string	Tipo di modifica che si è verificata nell'entità. Per l'entità 'File' deve essere 'Created', 'Modified', 'Renamed' o 'Deleted'. Per l'entità 'Registry' deve essere 'RegistryKeyCreated', 'RegistryKeyDeleted', 'RegistryValueSet', 'RegistryValueDeleted', 'RegistryKeyRenamed'.
CloudIdentifier	string	Identificatore cloud della risorsa.
CloudProvider	string	Provider di servizi cloud della risorsa.
CloudResourceType	string	Tipo di risorsa cloud.
Computer	string	Nome del computer in cui è stata creata, rinominata, modificata o eliminata l'entità monitorata.
FileMd5	string	Rilevante per il tipo di entità monitorata 'File'. Contiene l'MD5 del file modificato, creato o eliminato.
FileName	string	Rilevante per il tipo di entità monitorata 'File'. Contiene il nome del file creato, rinominato, modificato o eliminato.
FilePath	string	Rilevante per il tipo di entità monitorata 'File'. Contiene il percorso del file creato, rinominato, modificato o eliminato.
FileSha1	string	Rilevante per il tipo di entità monitorata 'File'. Contiene l'sha1 del file modificato, creato o eliminato.
FileSha256	string	Rilevante per il tipo di entità monitorata 'File'. Contiene l'oggetto SHA256 del file modificato, creato o eliminato.
FileSize	long	Rilevante per il tipo di entità monitorata 'File'. Contiene le dimensioni correnti (in byte) del file creato, rinominato, modificato o eliminato.
FileType	string	Rilevante per il tipo di entità monitorata 'File'. Contiene il tipo del file creato, rinominato, modificato o eliminato. Esempio di valori possibili: Zip, PDF, Xar e così via.
AvvioprocessAccountDomainName	string	Contiene il nome di dominio dell'account del processo di avvio che ha causato l'evento di entità monitorata.
AvvioprocessAccountName	string	Contiene il nome dell'account del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessAccountSid	string	Contiene il SID dell'account del processo di avvio che ha causato l'evento di entità monitorata.
AvvioprocessCreationTime	datetime	Contiene l'ora di creazione del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessFirstSeen	datetime	Contiene la prima volta visualizzata del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessId	long	Contiene l'ID del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessImageFileName	string	Contiene il nome del file di immagine del processo di avvio che ha causato l'evento di entità monitorata.
AvvioprocessImageFilePath	string	Contiene il percorso del file di immagine del processo di avvio che ha causato l'evento di entità monitorata.
AvvioprocessImageFileType	string	Contiene il tipo di file di immagine del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessName	string	Contiene il nome del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessSessionId	long	Contiene l'ID sessione del processo di avvio che ha causato l'evento dell'entità monitorata.
AvvioprocessSource	string	Contiene l'origine del processo di avvio che ha causato l'evento di entità monitorata.
InitProcImageCreationTimeUtc	datetime	Mantiene il tempo di creazione dell'immagine per l'immagine del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcImageFileSizeInBytes	long	Contiene le dimensioni del file di immagine (in byte) del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcImageLastAccessTimeUtc	datetime	Contiene l'ora dell'ultimo accesso dell'immagine per l'immagine del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcImageLastWriteTimeUtc	datetime	Contiene l'ultima ora di scrittura dell'immagine per l'immagine del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcImageLsHash	string	Contiene l'hash LS dell'immagine per l'immagine del processo di avvio che ha causato l'evento di entità monitorata.
InitProcImageMd5	string	Contiene l'immagine MD5 per l'immagine del processo di avvio che ha causato l'evento di entità monitorata.
InitProcImagePeTimestampUtc	datetime	Mantiene l'ora pe dell'immagine per l'immagine del processo di avvio che ha causato l'evento di entità monitorata.
InitProcImageSha1	string	Contiene l'immagine SHA 1 per l'immagine del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcImageSha256	string	Contiene l'immagine SHA 256 per l'immagine del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcVersionInfoCompanyName	string	Contiene il nome della società delle informazioni sulla versione del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcVersionInfoFileDescription	string	Contiene la descrizione del file di informazioni sulla versione del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcVersionInfoInternalFileName	string	Contiene il nome interno del file delle informazioni sulla versione del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcVersionInfoOriginalFileName	string	Contiene il nome originale del file delle informazioni sulla versione del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcVersionInfoProductName	string	Contiene il nome del prodotto delle informazioni sulla versione del processo di avvio che ha causato l'evento dell'entità monitorata.
InitProcVersionInfoProductVersion	string	Contiene la versione del prodotto informazioni sulla versione del processo di avvio che ha causato l'evento di entità monitorata.
_IsBillable	string	Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable l'inserimento false non viene fatturato all'account Azure
MonitoredEntityType	string	Tipo dell'entità monitorata creata, rinominata, modificata o eliminata. Può essere "File" o "Registro di sistema".
NewValueData	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene i dati del nuovo valore del Registro di sistema.
NewValueName	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene il nuovo nome del valore del Registro di sistema.
NewValueType	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene il nuovo tipo di valore del Registro di sistema.
OldValueData	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene i dati del valore del Registro di sistema precedenti.
OldValueFullRegistryKey	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene la chiave del Registro di sistema completa precedente.
OldValueName	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene il nome del valore del Registro di sistema precedente.
OldValueType	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene il tipo di valore del Registro di sistema precedente.
OriginalFileName	string	Rilevante per il tipo di entità monitorata "File" e per un tipo di modifica "Rinomina". Contiene il nome originale del file rinominato, prima della ridenominazione.
OriginalFilePath	string	Rilevante per il tipo di entità monitorata "File" e per un tipo di modifica "Rinomina". Contiene il percorso originale del file rinominato, prima della ridenominazione.
RegistryHive	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene le impostazioni di configurazione di raggruppamento per il sistema operativo e le applicazioni.
RegistryKey	string	Rilevante per il tipo di entità monitorata 'Registry'. Contiene la chiave del Registro di sistema completa del Registro di sistema creata o la nuova chiave del Registro di sistema del Registro di sistema rinominata.
RequestAccountDomain	string	Rilevante per il tipo di entità monitorata 'File'. Contiene il dominio dell'account dell'utente che ha causato l'evento di file.
RequestAccountName	string	Rilevante per il tipo di entità monitorata 'File'. Contiene il nome dell'account dell'utente che ha causato l'evento di file.
RequestAccountSid	string	Rilevante per il tipo di entità monitorata 'File'. Contiene il SID dell'account dell'utente che ha causato l'evento di file.
RequestSource	string	Rilevante per il tipo di entità monitorata 'File'. Contiene l'origine dell'account dell'utente che ha causato l'evento di file. Ad esempio, Local/SMB/NFS.
RequestSourceIP	string	Rilevante per il tipo di entità monitorata 'File'. Contiene l'indirizzo IP di origine dell'account dell'utente che ha causato l'evento di file. Per il file remoto, l'INDIRIZZO IP da cui proviene la richiesta.
RequestSourcePort	string	Rilevante per il tipo di entità monitorata 'File'. Contiene la porta di origine dell'account dell'utente che ha causato l'evento di file. Per il file remoto, porta da cui proviene la richiesta.
SourceSystem	string	Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, la connessione diretta o Operations Manager Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
TenantId	string	ID dell'area di lavoro Log Analytics
TimeGenerated	datetime	Ora (UTC) in cui è stata creata, rinominata, modificata o eliminata l'entità monitorata.
Type	string	Nome della tabella