Share via

DeviceRegistryEvents

  • Artikel

Van toepassing op:

  • Microsoft Defender XDR
  • Microsoft Defender voor Eindpunt

De DeviceRegistryEvents tabel in het geavanceerde opsporingsschema bevat informatie over het maken en wijzigen van registervermeldingen. Gebruik deze verwijzing om query's te maken die informatie uit deze tabel retourneren.

Tip

Voor gedetailleerde informatie over de gebeurtenistypen (ActionTypewaarden) die door een tabel worden ondersteund, gebruikt u de ingebouwde schemaverwijzing die beschikbaar is in Microsoft Defender XDR.

Zie de geavanceerde opsporingsreferentie voor meer informatie over andere tabellen in het geavanceerde opsporingsschema.

Kolomnaam Gegevenstype: Beschrijving
Timestamp datetime Datum en tijd waarop de gebeurtenis is vastgelegd
DeviceId string Unieke id voor het apparaat in de service
DeviceName string Fully Qualified Domain Name (FQDN) van het apparaat
ActionType string Type activiteit dat de gebeurtenis heeft geactiveerd. Zie de naslaginformatie over het schema in de portal voor meer informatie.
RegistryKey string Registersleutel waarop de vastgelegde actie is toegepast
RegistryValueType string Gegevenstype, zoals binair of tekenreeks, van de registerwaarde waarop de geregistreerde actie is toegepast
RegistryValueName string Naam van de registerwaarde waarop de vastgelegde actie is toegepast
RegistryValueData string Gegevens van de registerwaarde waarop de geregistreerde actie is toegepast
PreviousRegistryKey string Oorspronkelijke registersleutel van de registerwaarde voordat deze werd gewijzigd
PreviousRegistryValueName string Oorspronkelijke naam van de registerwaarde voordat deze werd gewijzigd
PreviousRegistryValueData string Oorspronkelijke gegevens van de registerwaarde voordat deze zijn gewijzigd
InitiatingProcessAccountDomain string Domein van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountName string Gebruikersnaam van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis; als het apparaat is geregistreerd in Microsoft Entra ID, kan in plaats daarvan de Entra ID-gebruikersnaam worden weergegeven van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountSid string Beveiligings-id (SID) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountUpn string User Principal Name (UPN) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis; als het apparaat is geregistreerd in Microsoft Entra ID, kan in plaats daarvan de ENTRA-ID-UPN worden weergegeven van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountObjectId string Microsoft Entra object-id van het gebruikersaccount dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessSHA1 string SHA-1 van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessSHA256 string SHA-256 van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd. Dit veld wordt meestal niet ingevuld. Gebruik de kolom SHA1 indien beschikbaar.
InitiatingProcessMD5 string MD5-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessFileName string Naam van het procesbestand dat de gebeurtenis heeft geïnitieerd; indien niet beschikbaar, kan de naam van het proces dat de gebeurtenis heeft geïnitieerd, in plaats daarvan worden weergegeven
InitiatingProcessFileSize long Grootte van het bestand dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoCompanyName string Bedrijfsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoProductName string Productnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoProductVersion string Productversie van de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoInternalFileName string Interne bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoOriginalFileName string Oorspronkelijke bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoFileDescription string Beschrijving van de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessId long Proces-id (PID) van het proces dat de gebeurtenis heeft geïnitieerd
InitiatingProcessCommandLine string Opdrachtregel die wordt gebruikt om het proces uit te voeren dat de gebeurtenis heeft geïnitieerd
InitiatingProcessCreationTime datetime Datum en tijd waarop het proces dat de gebeurtenis heeft geïnitieerd, is gestart
InitiatingProcessFolderPath string Map met het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessParentId long Proces-id (PID) van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessParentFileName string Naam van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessParentCreationTime datetime Datum en tijd waarop de bovenliggende van het proces dat verantwoordelijk is voor de gebeurtenis is gestart
InitiatingProcessIntegrityLevel string Integriteitsniveau van het proces dat de gebeurtenis heeft geïnitieerd. Windows wijst integriteitsniveaus toe aan processen op basis van bepaalde kenmerken, bijvoorbeeld als ze zijn gestart vanuit een internetdownload. Deze integriteitsniveaus zijn van invloed op machtigingen voor resources.
InitiatingProcessTokenElevation string Tokentype dat de aanwezigheid of afwezigheid aangeeft van uitbreiding van gebruikersrechten Access Control (UAC) die is toegepast op het proces dat de gebeurtenis heeft geïnitieerd
ReportId long Gebeurtenis-id op basis van een herhalende teller. Om unieke gebeurtenissen te identificeren, moet deze kolom worden gebruikt in combinatie met de kolommen DeviceName en Timestamp.
AppGuardContainerId string Id voor de gevirtualiseerde container die door Application Guard wordt gebruikt om browseractiviteit te isoleren
InitiatingProcessSessionId long Windows-sessie-id van het initiërende proces
IsInitiatingProcessRemoteSession bool Geeft aan of het initiërende proces is uitgevoerd onder een RDP-sessie (Remote Desktop Protocol) (true) of lokaal (onwaar)
InitiatingProcessRemoteSessionDeviceName string Apparaatnaam van het externe apparaat waarop de RDP-sessie van het initiërende proces is gestart
InitiatingProcessRemoteSessionIP string IP-adres van het externe apparaat waarop de RDP-sessie van het initiërende proces is gestart

Tip

Wil je meer weten? Neem contact op met de Microsoft Beveiliging-community in onze Tech Community: Microsoft Defender XDR Tech Community.