Delen via

CloudAuditEvents

  • Artikel

Van toepassing op:

  • Microsoft Defender XDR

De CloudAuditEvents tabel in het geavanceerde opsporingsschema bevat informatie over cloudcontrolegebeurtenissen voor verschillende cloudplatforms die worden beveiligd door de Microsoft Defender van de organisatie voor cloud. Gebruik deze verwijzing om query's te maken die informatie uit deze tabel retourneren.

Belangrijk

Sommige informatie is gerelateerd aan voorlopige productversies die mogelijk aanzienlijk gewijzigd worden voordat ze commercieel gepubliceerd worden. Microsoft geeft geen garantie, uitdrukkelijk of impliciet, met betrekking tot de informatie die hier wordt beschreven.

Zie de geavanceerde opsporingsreferentie voor meer informatie over andere tabellen in het geavanceerde opsporingsschema.

Kolomnaam Gegevenstype: Beschrijving
Timestamp datetime Datum en tijd waarop de gebeurtenis is vastgelegd
ReportId string Unieke id voor de gebeurtenis
DataSource string Gegevensbron voor de auditgebeurtenissen in de cloud kan GCP (voor Google Cloud Platform), AWS (voor Amazon Web Services), Azure (voor Azure Resource Manager), Kubernetes Audit (voor Kubernetes) of andere cloudplatforms zijn
ActionType string Het type activiteit dat de gebeurtenis heeft geactiveerd, kan zijn: Onbekend, Creatie, Lezen, Bijwerken, Verwijderen, Overig
OperationName string Naam van de gebeurtenisbewerking controleren zoals deze wordt weergegeven in de record, bevat meestal zowel het resourcetype als de bewerking
ResourceId string Unieke id van de cloudresource die wordt geopend
IPAddress string Het IP-adres van de client dat wordt gebruikt voor toegang tot de cloudresource of het besturingsvlak
IsAnonymousProxy boolean Geeft aan of het IP-adres deel uitmaakt van een bekende anonieme proxy (1) of geen (0)
CountryCode string Tweeletterige code die het land aangeeft waar het IP-adres van de client is geolocated
City string Plaats waar het IP-adres van de client is geolocated
Isp string Internetprovider (ISP) die is gekoppeld aan het IP-adres
UserAgent string Gebruikersagentgegevens uit de webbrowser of een andere clienttoepassing
RawEventData dynamic Volledige onbewerkte gebeurtenisgegevens van de gegevensbron in JSON-indeling
AdditionalFields dynamic Aanvullende informatie over de controlegebeurtenis

Voorbeeldquery

Ga als volgt te werk om een voorbeeldlijst op te halen van opdrachten voor het maken van vm's die in de afgelopen zeven dagen zijn uitgevoerd:

CloudAuditEvents
| where Timestamp > ago(7d)
| where OperationName startswith "Microsoft.Compute/virtualMachines/write"
| extend Status = RawEventData["status"], SubStatus = RawEventData["subStatus"]
| sample 10