ASimFileEventLogs

  • [アーティクル]

Advanced Security Information Model (ASIM) ファイル イベント正規化スキーマは、ファイルまたはドキュメントの作成、変更、削除などのファイル アクティビティを記述します。

テーブル属性

属性 値
リソースの種類 microsoft.securityinsights/asimtables
Categories (カテゴリ) セキュリティ
ソリューション SecurityInsights
基本的なログ いいえ
インジェスト時間変換 Yes
サンプル クエリ -

列

Column Type 説明
ActingProcessCommandLine string 実行プロセスを実行するために使用するコマンド ライン。
ActingProcessGuid string 実行プロセスの生成された一意識別子 (GUID)。
ActingProcessId string 実行プロセスのプロセス ID (PID)。
ActingProcessName string 実行プロセスの名前。
ActorOriginalUserType string レポート デバイスによって提供される元のアクター ユーザーの種類。
ActorScope string ActorUserId と ActorUsername が定義されているスコープ (Azure AD テナントなど)。
ActorScopeId string ActorUserId と ActorUsername が定義されているスコープ ID (Azure AD ディレクトリ ID など)。
ActorSessionId string Actor のログイン セッションの一意の ID。
ActorUserAadId string アクターの Azure Active Directory ID。
string マシンが読み取り可能な英数字、アクターの一意の表現。
ActorUserIdType string ActorUserId フィールドに格納されている ID の種類。
string アクターのユーザー名 (使用可能な場合はドメイン情報を含む)。
ActorUsernameType string ActorUsername フィールドに格納されているユーザー名の種類を指定します。
ActorUserSid string アクターの Windows ユーザー ID (SID)。
ActorUserType string アクターの種類。
AdditionalFields 動的 ASim にマップされないソースによって提供されるキーと値のペアを使用して表される追加情報。
_BilledSize real レコード サイズ (バイト単位)
DvcAction string Web セッションで実行されるアクション。
DvcDescription string デバイスに関連付けられる説明のテキスト。
DvcDomain string イベントを報告するデバイスのドメイン。
DvcDomainType string DvcDomain の種類。 有効な値には、'Windows' と 'FQDN' が含まれます。
DvcFQDN string イベントが発生した、またはイベントを報告したデバイスのホスト名。
DvcHostname string イベントを報告するデバイスのホスト名。
DvcId string イベントが発生した、またはイベントを報告したデバイスの一意の ID。
DvcIdType string DvcId の種類。
DvcInterface string レポート デバイスによって提供された元の DvcAction。
DvcIpAddr string イベントを報告するデバイスの IP アドレス。
DvcMacAddr string イベントが発生した、またはイベントを報告したデバイスの MAC アドレス。
string レポート デバイスによって提供された元の DvcAction。
DvcOs string イベントが発生した、またはイベントを報告したデバイスで実行されているオペレーティング システム。
DvcOsVersion string イベントが発生した、またはイベントを報告したデバイスのオペレーティング システムのバージョン。
DvcScope string デバイスが属するクラウド プラットフォームのスコープ。 DvcScope は、Azure のサブスクリプション名と AWS のアカウント ID にマップされます。
DvcScopeId string デバイスが属するクラウド プラットフォームのスコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
DvcZone string イベントが発生した、またはイベントを報告したネットワーク (スキーマによって異なります)。
EventCount INT この値は、ソースが集計に対応しており、1 つのレコードが複数のイベントを表す場合があるときに使用されます。
EventEndTime DATETIME イベントが終了した時刻。 ソースが集計に対応していて、レコードが複数のイベントを表す場合は、最後のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
EventMessage string 一般的なメッセージまたは説明。
string ソースによって提供される元の結果の詳細。 この値は EventResultDetails を導出するために使用され、これには、スキーマごとに文書化された値のうち 1 つのみが含まれるようにします。
EventOriginalSeverity string レポート デバイスによって提供された元の重大度。 この値は EventSeverity を導出するために使用されます。
string 元のイベントのサブタイプまたは ID (ソースによって提供されている場合)。 たとえば、このフィールドは元の Windows ログオンの種類を格納するために使用されます。 この値は EventSubType を導出するために使用され、これには、スキーマごとに文書化された値のうち 1 つのみが含まれるようにします。
EventOriginalType string 元のイベントの種類または ID (ソースによって提供されている場合)。
EventOriginalUid string 元のレコードの一意の ID (ソースによって提供されている場合)。
EventOwner string イベントの所有者。通常は、イベントが生成された部門または子会社です。
EventProduct string イベントを生成している製品。
EventProductVersion string イベントを生成している製品のバージョン。
EventReportUrl string リソースのイベントで提供された、そのイベントに関する他の情報を提供する URL。
EventResult string イベントの結果。Success、Partial、Failure、NA (該当なし) のいずれかの値で表されます。 この値は、ソースによって直接提供されない場合があります。その場合は、EventResultDetails フィールドなどの他のイベント フィールドから派生します。
EventResultDetails string HTTP 状態コード。
EventSchema string イベントの正規化先のスキーマ。 各スキーマは、そのスキーマ名を文書化します。
EventSchemaVersion string スキーマのバージョン。
EventSeverity string イベントの重大度。 有効な値は、Informational、Low、Medium、High です。
EventStartTime DATETIME イベントが開始した時刻。 ソースが集計に対応していて、レコードが複数のイベントを表す場合は、最初のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
EventSubType string イベントの種類の追加説明 (該当する場合)。
EventType string レコードによって報告される操作。
EventVendor string イベントを生成している製品のベンダー。
HashType string [ハッシュ エイリアス] フィールドに格納されているハッシュの種類。
HttpUserAgent string 操作が HTTP または HTTPS を使用して開始されると、HTTP ユーザー エージェント ヘッダー。
_IsBillable string データの取り込みについて課金対象かどうかを指定します。 _IsBillableインジェストが false Azure アカウントに課金されない場合
NetworkApplicationProtocol string 操作がリモート システムによって開始されると、接続またはセッションによって使用されるアプリケーション層プロトコル。
_ResourceId string レコードが関連付けられているリソースの一意識別子
RuleName string 検査結果に関連付けられたルールの名前または ID。
RuleNumber INT 検査結果に関連付けられたルールの番号。
SourceSystem string イベントが収集されたエージェントの種類。 たとえば、 OpsManager Windows エージェントの場合、直接接続または Operations Manager、すべての Linux エージェントのLinux場合、または Azure Azure Diagnostics
SrcDescription string デバイスに関連付けられる説明のテキスト。
SrcDeviceType string ソース デバイスの種類。
SrcDomain string ソース デバイスのドメイン。
SrcDomainType string SrcDomain の種類。
SrcDvcId string ソース デバイスの ID。
SrcDvcIdType string SrcDvcId の種類。
SrcDvcScope string デバイスが属するクラウド プラットフォームのスコープ。
SrcDvcScopeId string デバイスが属するクラウド プラットフォームのスコープ ID。
SrcFileCreationTime DATETIME ソース ファイルが作成された時刻。
SrcFileDirectory string ソース ファイルのフォルダーまたは場所。
SrcFileExtension string ソース ファイルの拡張子。
SrcFileMD5 string ソース ファイルの MD5 ハッシュ。
SrcFileMimeType string ソース ファイルの MIME タイプまたはメディア タイプ。
SrcFileName string パスまたは場所のないソース ファイルの名前。ただし、該当する場合は拡張子が付きます。
SrcFilePath string フォルダーまたは場所、ファイル名、拡張子が含まれる、ソース ファイルの正規化されたフル パス。
SrcFilePathType string SrcFilePath の型。
SrcFileSHA1 string ソース ファイルの SHA-1 ハッシュ。
SrcFileSHA256 string ソース ファイルの SHA-256 ハッシュ。
SrcFileSHA512 string ソース ファイルの SHA-512 ハッシュ。
SrcFileSize long ソース ファイルのサイズ (バイト単位)。
SrcFQDN string ソース デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。
SrcGeoCity string 発信元 IP アドレスに関連付けられている都市。
SrcGeoCountry string 発信元 IP アドレスに関連付けられている国。
SrcGeoLatitude real 発信元 IP アドレスに関連付けられている地理的座標の緯度。
SrcGeoLongitude real 発信元 IP アドレスに関連付けられている地理的座標の経度。
SrcGeoRegion string 発信元 IP アドレスに関連付けられている国内の地域。
SrcHostname string ドメイン情報を除いた、ソース デバイスのホスト名。 デバイス名を使用できない場合は、関連する IP アドレスをこのフィールドに格納します。
SrcIpAddr string 操作がリモート システムによって開始されたときは、このシステムの IP アドレス。
SrcMacAddr string ソース デバイスの MAC アドレス。
SrcOriginalRiskLevel string ソースに関連付けられているリスク レベル。 レポート デバイスによって報告されるか、エンリッチされた。
SrcPortNumber INT 操作がリモート システムによって開始される場合、接続の開始元のポート番号。
SrcRiskLevel INT ソースに関連付けられているリスク レベル。
_SubscriptionId string レコードが関連付けられているサブスクリプションの一意識別子
TargetAppId string レポート デバイスによって報告された、ターゲット アプリケーションの ID。
string ターゲット アプリケーションの名前。
TargetAppType string ターゲット アプリケーションの種類。
TargetFileCreationTime DATETIME ターゲット ファイルが作成された時刻。
TargetFileDirectory string ターゲット ファイルのフォルダーまたは場所。
TargetFileExtension string ターゲット ファイルの拡張子。
TargetFileMD5 string ターゲット ファイルの MD5 ハッシュ。
TargetFileMimeType string ターゲット ファイルの Mime または Media の種類。
TargetFileName string パスまたは場所のないターゲット ファイルの名前。ただし、該当する場合は拡張子が付きます。
TargetFilePath string フォルダーまたは場所、ファイル名、拡張子が含まれる、ターゲット ファイルの正規化されたフル パス。
TargetFilePathType string TargetFilePath の型。
TargetFileSHA1 string ターゲット ファイルの SHA-1 ハッシュ。
TargetFileSHA256 string ターゲット ファイルの SHA-256 ハッシュ。
TargetFileSHA512 string ソース ファイルの SHA-512 ハッシュ。
TargetFileSize long ターゲット ファイルのサイズ (バイト単位)。
TargetOriginalAppType string レポート デバイスによって報告されるターゲット アプリケーションの種類。
TargetUrl string HTTP または HTTPS を使用して操作が開始されているときは、使用されている URL。
TenantId string Log Analytics ワークスペース ID
ThreatCategory string ファイル アクティビティで識別された脅威またはマルウェアのカテゴリ。
ThreatConfidence INT 識別された脅威の信頼レベル。0 から 100 の間の値に正規化されます。
ThreatField string 脅威が特定されたフィールド。 値は SrcFilePath または DstFilePath です。
ThreatFilePath string 脅威が識別されたファイル パス。 ThreatField フィールドには、ThreatFilePath が表すフィールドの名前が含まれています。
ThreatFirstReportedTime DATETIME IP アドレスまたはドメインが脅威として初めて識別された場合。
ThreatId string ファイル アクティビティで識別された脅威またはマルウェアの ID。
ThreatIsActive [bool] 特定された脅威がアクティブな脅威と見なされる真の ID。
ThreatLastReportedTime DATETIME 最後に IP アドレスまたはドメインが脅威として識別された時刻。
ThreatName string ファイル アクティビティで識別された脅威またはマルウェアの名前。
ThreatOriginalConfidence string レポート デバイスによって報告される、特定された脅威の元の信頼レベル。
ThreatOriginalRiskLevel string レポート デバイスによって報告されたリスク レベル。
ThreatRiskLevel INT 識別された脅威に関連付けられているリスク レベル。 レベルは、0 から 100 の間の数値である必要があります。
TimeGenerated DATETIME イベントが生成された時刻を反映するタイムスタンプ。
Type string テーブルの名前