이벤트
Watchlist
Azure Sentinel 관심 목록에는 경고/인시던트 조건으로 조인하거나 필터링하는 데 사용할 수 있는 CSV 파일에서 가져온 데이터가 포함되어 있습니다.
attribute | 값 |
---|---|
리소스 종류 | - |
범주 | 보안 |
솔루션 | SecurityInsights |
기본 로그 | 아니요 |
수집 시간 변환 | 예 |
샘플 쿼리 | 예 |
Column | Type | 설명 |
---|---|---|
AzureTenantId | string | 이 관심 목록 테이블이 속한 AAD 테넌트 ID입니다. |
_BilledSize | real | 레코드 크기(바이트) |
CorrelationId | string | 상관 관계가 있는 이벤트의 ID입니다. |
생성자 | dynamic | 관심 목록 또는 관심 목록 항목을 만든 사용자가 있는 JSON 개체입니다(개체 ID, 전자 메일 및 이름 포함). |
CreatedTimeUTC | 날짜/시간 | 관심 목록 또는 관심 목록 항목을 처음 만든 시간(UTC)입니다. |
DefaultDuration | string | 관심 목록의 각 항목이 생성할 때 상속해야 하는 라이브 기본 기간을 설명하는 JSON 개체입니다. 기본 기간은 P(n)Y(n)M(n)DT(n)H(n)M(n)N)S 형식으로, 여기서 P, Y, M, DT, H, M 및 S는 고정됩니다. 예를 들어 P3Y6M4DT12H30M9S 3년, 6개월, 4일, 12시간, 30분, 9초의 기간을 나타냅니다. |
_DTItemId | string | 관심 목록 또는 관심 목록 항목 고유 ID입니다. 예를 들어 관심 목록 'RiskyUsers'에는 관심 목록 항목 'Name:John Doe; 포함할 수 있습니다. email:johndoe@contoso.com'. 관심 목록 항목은 고유 ID를 가지며 관심 목록에 속합니다. 포함된 관심 목록은 'WatchlistId'를 사용하여 식별할 수 있습니다. |
_DTItemStatus | string | 관심 목록 또는 관심 목록 항목이 사용자에 의해 생성, 업데이트 또는 삭제되었습니다. 예를 들어 관심 목록 'RiskyUsers'에는 관심 목록 항목 'Name:John Doe; 포함할 수 있습니다. email:johndoe@contoso.com'. 관심 목록이 추가되면 상태는 '생성됨'이 됩니다. 관심 목록의 이름이 'RiskyUsers'에서 'RiskyEmployees'로 업데이트되면 상태는 '업데이트됨'이 됩니다. |
_DTItemType | string | 관심 목록과 관심 목록 항목을 구분합니다. 예를 들어 관심 목록 'RiskyUsers'에는 관심 목록 항목 'Name:John Doe; 포함할 수 있습니다. email:johndoe@contoso.com'. 관심 목록 항목 유형은 관심 목록 유형에 속하며 포함된 관심 목록은 'WatchlistId'를 사용하여 식별할 수 있습니다. |
_DTTimestamp | 날짜/시간 | 이벤트가 생성된 시간(UTC)입니다. |
EntityMapping | dynamic | 입력 열에 매핑되는 Azure Sentinel 엔터티를 사용하는 JSON 개체입니다. |
_IsBillable | string | 데이터 수집이 청구 가능한지 여부를 지정합니다. _IsBillable이 false 인 경우 수집 비용은 Azure 계정에 청구되지 않습니다. |
LastUpdatedTimeUTC | 날짜/시간 | 관심 목록 또는 관심 목록 항목이 마지막으로 업데이트된 시간(UTC)입니다. |
주의 | string | 사용자가 제공한 노트입니다. |
Provider | string | 관심 목록의 입력 공급자입니다. |
SearchKey | string | SearchKey는 다른 데이터와의 조인에 관심 목록을 사용할 때 쿼리 성능을 최적화하는 데 사용됩니다. 예를 들어 IP 주소가 있는 열을 지정된 SearchKey 필드로 설정한 다음 이 필드를 사용하여 IP 주소로 다른 이벤트 테이블에 조인합니다. |
Source | string | 관심 목록의 입력 원본입니다. |
SourceSystem | string | 이벤트가 수집된 에이전트의 형식. 예를 들어, Windows 에이전트(직접 연결 또는 Operations Manager)의 경우 OpsManager , 모든 Linux 에이전트의 경우 Linux , Azure Diagnostics의 경우 Azure |
태그 | string | 사용자가 제공하는 태그의 JSON 배열입니다. |
TenantId | string | Log Analytics 작업 영역 ID |
TimeGenerated | 날짜/시간 | 이벤트가 생성된 시점의 타임스탬프(UTC)입니다. |
TimeToLive | 날짜/시간 | 날짜 및 시간(예: 2020-08-20T17:00:00.9618037Z)으로 표현된 관심 목록 레코드의 라이브 시간입니다. 원래 값은 관심 목록의 기본 기간에서 상속됩니다. TimeToLive가 통과하면 레코드가 삭제된 것으로 간주됩니다. TimeToLive 값을 업데이트하여 레코드의 기간을 언제든지 연장할 수 있습니다. |
Type | string | 테이블의 이름입니다. |
UpdatedBy | dynamic | 개체 ID, 전자 메일 및 이름을 포함하여 관심 목록 또는 관심 목록 항목을 마지막으로 업데이트한 사용자가 있는 JSON 개체입니다. |
WatchlistAlias | string | 관심 목록을 참조하는 고유 문자열입니다. |
WatchlistCategory | string | 사용자가 제공하는 관심 목록 범주입니다. |
WatchlistId | string | Resource Manager 관심 목록 리소스 이름입니다. |
WatchlistItem | dynamic | 입력 관심 목록 원본의 키-값 쌍이 있는 JSON 개체입니다. |
WatchlistItemId | string | 관심 목록 항목 고유 ID입니다. |
WatchlistName | string | 관심 목록의 표시 이름입니다. |