AlertEvidence

  • 아티클

적용 대상:

  • Microsoft Defender XDR

고급 헌팅 스키마의 테이블에는 AlertEvidence 엔드포인트용 Microsoft Defender, Office 365용 Microsoft Defender 경고와 관련된 파일, IP 주소, URL, 사용자 또는 디바이스와 같은 다양한 엔터티에 대한 정보가 포함되어 있습니다. Microsoft Defender for Cloud Apps 및 Microsoft Defender for Identity. 이 참조를 사용하여 이 표의 정보를 반환하는 쿼리를 생성합니다.

고급 헌팅 스키마의 다른 표에 대한 자세한 내용은 고급 헌팅 참조를 참조하세요.

열 이름 데이터 형식 설명
Timestamp datetime 이벤트가 기록된 날짜와 시간
AlertId string 경고의 고유 식별자입니다.
Title string 경고의 제목입니다.
Categories string 정보가 속한 범주 목록(JSON 배열 형식)
AttackTechniques string MITRE ATT&경고를 트리거한 활동과 관련된 CK 기술
ServiceSource string 경고 정보를 제공한 제품 또는 서비스
DetectionSource string 주목할 만한 구성 요소 또는 활동을 식별한 감지 기술 또는 센서
EntityType string 파일, 프로세스, 디바이스 또는 사용자와 같은 개체 형식
EvidenceRole string 엔터티가 경고에 참여하는 방식, 영향을 받는지 아니면 단지 관련이 있는지를 나타내는 방법
EvidenceDirection string 엔터티가 네트워크 연결의 원본인지 아니면 대상인지를 나타냅니다.
FileName string 기록된 조치가 적용된 파일의 이름
FolderPath string 기록된 작업이 적용된 파일이 포함된 폴더
SHA1 string 기록된 조치가 적용된 파일의 SHA-1
SHA256 string 기록된 조치가 적용된 파일의 SHA-256 이 필드는 일반적으로 채워지지 않습니다. 사용 가능한 경우 SHA1 열을 사용합니다.
FileSize long 파일 크기(바이트)
ThreatFamily string 의심스럽거나 악의적인 파일 또는 프로세스가 분류된 맬웨어 패밀리
RemoteIP string 연결된 IP 주소
RemoteUrl string 연결된 URL 또는 FQDN(정규화된 도메인 이름)
AccountName string 계정의 사용자 이름
AccountDomain string 계정의 도메인
AccountSid string 계정의 SID(보안 식별자)
AccountObjectId string Microsoft Entra ID 계정의 고유 식별자
AccountUpn string 계정의 UPN(사용자 계정 이름)
DeviceId string 서비스의 디바이스에 대한 고유 식별자
DeviceName string 디바이스의 FQDN(정규화된 도메인 이름)
LocalIP string 통신 중에 사용되는 로컬 디바이스에 할당된 IP 주소
NetworkMessageId string Office 365에서 생성되는 전자 메일의 고유 식별자
EmailSubject string 전자 메일 제목
Application string 기록된 작업을 수행한 애플리케이션
ApplicationId int 애플리케이션의 고유 식별자
OAuthApplicationId string 타사 OAuth 애플리케이션의 고유 식별자
ProcessCommandLine string 새 프로세스를 만드는 데 사용되는 명령줄
RegistryKey string 기록된 작업이 적용된 레지스트리 키
RegistryValueName string 기록된 작업이 적용된 레지스트리 값의 이름
RegistryValueData string 기록된 작업이 적용된 레지스트리 값의 데이터
AdditionalFields string 엔터티 또는 이벤트에 대한 추가 정보
Severity string 경고로 식별되는 위협 표시기 또는 위반 활동의 잠재적인 영향(높음, 중간 또는 낮음)을 표시합니다.
CloudResource string 클라우드 리소스 이름
CloudPlatform string 리소스가 속한 클라우드 플랫폼은 Azure, Amazon Web Services 또는 Google Cloud Platform일 수 있습니다.
ResourceType string 클라우드 리소스 유형
ResourceID string 액세스된 클라우드 리소스의 고유 식별자
SubscriptionId string 클라우드 서비스 구독의 고유 식별자

팁

더 자세히 알아보고 싶으신가요? 기술 커뮤니티: Microsoft Defender XDR Tech Community의 Microsoft 보안 커뮤니티와 Engage.