Condividi tramite

IdentityQueryEvents

  • Articolo

Si applica a:

  • Microsoft Defender XDR

La IdentityQueryEvents tabella nello schema di ricerca avanzata contiene informazioni sulle query eseguite su oggetti Active Directory, ad esempio utenti, gruppi, dispositivi e domini. Usare questo riferimento per creare query che restituiscono informazioni dalla tabella.

Consiglio

Per informazioni dettagliate sui tipi di eventi (ActionTypevalori) supportati da una tabella, usare il riferimento allo schema predefinito disponibile in Microsoft Defender XDR.

Per informazioni su altre tabelle nello schema per Ricerca avanzata, vedere il riferimento sulla Ricerca avanzata.

Nome colonna Tipo di dati Descrizione
Timestamp datetime Data e ora di registrazione dell'evento
ActionType string Tipo di attività che ha attivato l'evento. Per informazioni dettagliate, vedere le informazioni di riferimento sullo schema nel portale
Application string Applicazione che ha eseguito l'azione registrata
QueryType string Tipo di query, ad esempio QueryGroup, QueryUser o EnumerateUsers
QueryTarget string Nome dell'utente, del gruppo, del dispositivo, del dominio o di qualsiasi altro tipo di entità sottoposto a query
Query string Stringa usata per eseguire la query
Protocol string Protocollo usato durante la comunicazione
AccountName string Nome utente dell'account
AccountDomain string Dominio dell'account
AccountUpn string Nome dell'entità utente (UPN) dell'account
AccountSid string Identificatore di sicurezza (SID) dell'account
AccountObjectId string Identificatore univoco per l'account in Microsoft Entra ID
AccountDisplayName string Nome dell'utente dell'account visualizzato nella rubrica. In genere una combinazione di un nome specificato o di un nome, un iniziale centrale e un cognome o un cognome.
DeviceName string Nome di dominio completo (FQDN) del dispositivo
IPAddress string Indirizzo IP assegnato all'endpoint e usato durante le comunicazioni di rete correlate
Port int Porta TCP usata durante la comunicazione
DestinationDeviceName string Nome del dispositivo che esegue l'applicazione server che ha elaborato l'azione registrata
DestinationIPAddress string Indirizzo IP del dispositivo che esegue l'applicazione server che ha elaborato l'azione registrata
DestinationPort int Porta di destinazione delle comunicazioni di rete correlate
TargetDeviceName string Nome di dominio completo (FQDN) del dispositivo a cui è stata applicata l'azione registrata
TargetAccountUpn string Nome dell'entità utente (UPN) dell'account a cui è stata applicata l'azione registrata
TargetAccountDisplayName string Nome visualizzato dell'account a cui è stata applicata l'azione registrata
Location string Città, paese/area geografica o altra posizione geografica associata all'evento
ReportId string Identificatore univoco per l'evento
AdditionalFields dynamic Informazioni aggiuntive sull'entità o sull'evento

Consiglio

Per saperne di più, Engage con la community Microsoft Security nella community tech: Microsoft Defender XDR Tech Community.