Naslaginformatie over entiteitstypen in Microsoft Sentinel

Dit document bevat twee sets met informatie over entiteiten en entiteitstypen in Microsoft Sentinel in Azure Portal en Microsoft Sentinel in de Defender-portal.

• In de tabel Entiteitstypen en -id's ziet u de verschillende typen entiteiten die kunnen worden geïdentificeerd in waarschuwingen en incidenten, zodat u ze kunt bijhouden en onderzoeken. De tabel bevat ook voor elk entiteitstype de verschillende id's die kunnen worden gebruikt om een entiteit te identificeren.
• De sectie Entiteitsschema toont de datastructuur en het schema voor entiteiten in het algemeen en voor elk entiteitstype in het bijzonder.

Important

Microsoft Sentinel is algemeen beschikbaar in de Microsoft Defender-portal, waaronder voor klanten zonder Microsoft Defender XDR of een E5-licentie.

Vanaf juli 2026 worden alle klanten die Microsoft Sentinel in Azure Portal gebruiken, omgeleid naar de Defender-portal en gebruiken ze alleen Microsoft Sentinel in de Defender-portal. Vanaf juli 2025 worden veel nieuwe gebruikers automatisch geïntegreerd en omgeleid naar de Defender-portal.

Als u Nog steeds Microsoft Sentinel gebruikt in Azure Portal, raden we u aan om te beginnen met het plannen van uw overgang naar de Defender-portal om een soepele overgang te garanderen en optimaal te profiteren van de geïntegreerde beveiligingsbewerkingen die door Microsoft Defender worden aangeboden. Zie Het is tijd om te verplaatsen voor meer informatie: De Azure-portal van Microsoft Sentinel buiten gebruik stellen voor betere beveiliging.

Entiteitstypen en -id's

De volgende tabel toont de entiteitstypen die door Microsoft Sentinel kunnen worden herkend, en de attributen die als identificatie voor elk entiteitstype kunnen worden gebruikt.

Microsoft Sentinel herkent entiteiten in waarschuwingen en incidenten die worden gecreëerd door entiteitsmapping in analytics-regels. Ook worden entiteiten herkend die al zijn geïdentificeerd in waarschuwingen die zijn opgenomen uit andere bronnen.

U kunt momenteel maximaal drie id's voor een bepaalde entiteit gebruiken bij het maken van een entiteitstoewijzing in Microsoft Sentinel. Sterke identificaties alleen zijn voldoende om een entiteit uniek te identificeren, terwijl zwakke identifiers dit alleen kunnen doen in combinatie met andere identifiers. Meer informatie over sterke en zwakke id's. De meeste, maar niet alle id's in deze tabel kunnen worden gebruikt bij het maken van entiteitstoewijzingen in Microsoft Sentinel (zie voetnoten).

Entiteitstype	Identifiers	Sterke identificaties	Zwakke identificaties
Account	Name Volledige Naam * NTDomain DnsDomain UPNSuffix Sid AadTenantId AadUserId PUID IsDomainJoined DisplayName * ObjectGuid	Name+UPNSuffix AADUserId Sid ** Sid+Host** Naam+Gastheer+NTDomain ** Naam+NTDomain ** Name+DnsDomain PUID ObjectGuid	Name
Host	DnsDomain NTDomain HostName Volledige Naam * NetBiosName AzureID OMSAgentID OSFamily OSVersion IsDomainJoined	HostName+NTDomain HostName+DnsDomain NetBiosName+NTDomain NetBiosName+DnsDomain AzureID OMSAgentID	HostName NetBiosName
Type entiteit	Identifiers	Sterke identificaties	Zwakke identificaties
IP	Address AddressScope	Globaal adres: Adres** Privéadres: Adres+AdresScope**	Privéadres: Adres**
URL	Url	URL (als absolute URL)**	URL (indien relatieve URL)**
Azure resource (AzureResource)	ResourceId	ResourceId
Cloudapplicatie (CloudApplication)	AppId Name InstanceName	AppId Name AppId+InstanceName Name+InstanceName
DNS-resolutie (DNS)	DomainName	DomainName+DnsServerIp+HostIpAddress	DomainName+HostIpAddress
File	Directory Name	Directory+Name
Bestandshash (FileHash)	Algorithm Value	Algorithm+Value
Malware	Name Category	Name+Category
Type entiteit	Identifiers	Sterke identificaties	Zwakke identificaties
Process	ProcessId CommandLine ElevationToken CreationTimeUtc	Host+ProcessID+CreationTimeUtc Presentator+ParentProcessId+    CreationTimeUtc+CommandLine Host+ProcessId+    CreationTimeUtc+ImageFile Host+ProcessId+    CreationTimeUtc+ImageFile+     FileHash	ProcessId+CreationTimeUtc+    CommandLine (geen host) ProcessId+CreationTimeUtc+     ImageFile (geen host)
Registratiesleutel (RegistryKey)	Hive Key	Hive+Key
Registerwaarde (RegistryValue)	Name Value ValueType	Key+Name	Naam (geen sleutel)
Beveiligingsgroep (SecurityGroup)	DistinguishedName SID ObjectGuid	DistinguishedName SID ObjectGuid
Mailbox	MailboxPrimaryAddress DisplayName Upn ExternalDirectoryObjectId RiskLevel	MailboxPrimaryAddress
Type entiteit	Identifiers	Sterke identificaties	Zwakke identificaties
Mailcluster (MailCluster)	NetworkMessageIds CountByDeliveryStatus CountByThreatType CountByProtectionStatus Threats Query QueryTime MailCount IsVolumeAnomaly Source ClusterSourceIdentifier * ClusterSourceType * ClusterQueryStartTime * ClusterQueryEndTime * ClusterGroup *	Query+Source
Mailbericht (MailMessage)	Recipient Urls Threats Sender P1Sender * P1SenderDisplayName * P1SenderDomain * SenderIP P2Sender * P2SenderDisplayName * P2SenderDomain * ReceivedDate NetworkMessageId InternetMessageId Subject BodyFingerprintBin1 * BodyFingerprintBin2 * BodyFingerprintBin3 * BodyFingerprintBin4 * BodyFingerprintBin5 * AntispamDirection DeliveryAction DeliveryLocation Taal* Dreigingsdetectiemethoden *	NetworkMessageId+Recipient
Inzendpost (SubmissionMail)	NetworkMessageId Timestamp Recipient Sender SenderIp Subject ReportType SubmissionId SubmissionDate Submitter	SubmissionId+NetworkMessageId+    Recipient+Submitter
Sentinel-entiteiten	Entities	Entities

Voetnoten in de tactie:

• * Deze id's worden weergegeven in de lijst met id's die kunnen worden gebruikt in entiteitstoewijzing, maar strikt genomen maken ze geen deel uit van het entiteitsschema.
• ** Deze id's worden alleen onder bepaalde voorwaarden als sterk beschouwd. Volg de sterretjeskoppelingen om de voorwaarden te bekijken die van toepassing zijn, onder de vermelding van de relevante entiteit in de sectie entiteitsschema's hieronder.
• Cursieve id-namen (zonder sterretje) vertegenwoordigen interne entiteiten, wat betekent dat het ene entiteitstype andere entiteitstypen als kenmerken kan hebben (zie de sectie entiteitsschema's hieronder). Volg de koppeling van de id om het eigen schema van de interne entiteit weer te geven.
• Andere entiteiten kunnen aanwezig zijn in het schema. Dit is een algemeen schema dat veel dingen naast Microsoft Sentinel ondersteunt. Alleen de entiteiten die beschikbaar zijn in Microsoft Sentinel, worden in dit artikel vermeld.

Schema's voor entiteitstypen

De volgende sectie bevat een uitgebreider overzicht van de volledige schema's van elk entiteitstype. Veel van deze schema's bevatten koppelingen naar andere entiteitstypen. Het accountschema bevat bijvoorbeeld een koppeling naar het type Host-entiteit, omdat één kenmerk van een gebruikersaccount de host is waarop het is gedefinieerd. Deze entiteiten-als-kenmerken worden 'interne entiteiten' genoemd en kunnen niet worden gebruikt als id's voor entiteitstoewijzing, maar ze zijn erg handig om een volledig beeld te geven van entiteiten op entiteitspagina's en de onderzoeksgrafiek.

Note

Een vraagteken na de waarde in de kolom Type geeft aan dat het veld nul is.

Lijst met schema's voor entiteitstypen

• Account
• Host
• IP
• Malware
• File
• Process
• Cloudapplicatie
• DNS-resolutie
• Azure resource
• Bestandshash
• Registratiesleutel
• Registerwaarde
• Beveiligingsgroep
• URL
• IoT-apparaat
• Mailbox
• Mailcluster
• Mailbericht
• Inzendpost
• Sentinel-entiteiten

Account

Entiteitsnaam: Account

Field	Type	Description
Type	String	'account'
Name	String	De naam van het account. Dit veld mag alleen de naam bevatten zonder dat er een domein aan is toegevoegd.
FullName	--	Geen deel van het schema, opgenomen voor achterwaartse compatibiliteit met oude versie van entiteitstoewijzing.
NTDomain	String	De NETBIOS-domeinnaam zoals deze wordt weergegeven in de waarschuwingsindeling: domein\gebruikersnaam. Voorbeelden: Financiën, NT AUTHORITY
DnsDomain	String	De volledig gekwalificeerde DNS-naam van het domein. Voorbeelden: finance.contoso.com
UPNSuffix	String	Het achtervoegsel user principal name voor het account. In veel gevallen is het UPN-achtervoegsel ook de domeinnaam. Voorbeelden: contoso.com
Host	Entiteit (Gastgeer)	De host die het account bevat, als het een lokaal account is.
Sid	String	De beveiligings-id van het account.
AadTenantId	Guid?	De tenant-id van Microsoft Entra, indien bekend.
AadUserId	Guid?	De object-id van het Microsoft Entra-account, indien bekend.
PUID	Guid?	De Microsoft Entra Passport-gebruikers-id, indien bekend.
IsDomainJoined	Bool?	Geeft aan of het account een domeinaccount is.
DisplayName	--	Geen deel van het schema, opgenomen voor achterwaartse compatibiliteit met oude versie van entiteitstoewijzing.
ObjectGuid	Guid?	Het kenmerk objectGUID is een kenmerk met één waarde dat de unieke id is voor het object, toegewezen door Active Directory.
CloudAppAccountId	String	De AccountID in waarschuwingen van de CloudApp-provider. Verwijst naar account-id's in apps van derden die niet worden ondersteund in andere Microsoft-producten.
IsAnonymized	Bool?	Geeft aan of de gebruikersnaam geanonimiseerd is. Optional. Standaardwaarde: false.
Stream	Stream	De bron van detectielogboeken met betrekking tot het specifieke account. Optional.

Sterke id's van een accountentiteit

• Naam + UPNS-achtervoegsel
• AadUserId
• Sid
  ** Deze identificatie is sterk zolang het account niet een van de ingebouwde rekeningen is die in de onderstaande noot worden vermeld.
• Sid + host
  ** Wanneer het account een van de ingebouwde accounts is die in de onderstaande Notitie worden vermeld, is de Hostcomponent vereist om deze identificatie sterk te maken.
• Naam + NTDomain
  ** Deze combinatie is een sterke id wanneer het account een domeinaccount is, omdat NTDomain geen ingebouwd domein/werkgroep is en verschilt van de hostnaam. In dit geval is dit een sterke id, zelfs zonder het hostonderdeel.
• Naam + NTDomain + Host
  ** Het hostonderdeel is nodig om een sterke id te maken wanneer het account een lokaal account is, wat betekent dat het NTDomain een ingebouwd domein/werkgroep is.
• Naam + DnsDomain
• PUID
• ObjectGuid

Zwakke id's van een accountentiteit

• Name

Note

Als de Accountentiteit wordt gedefinieerd met de Naam-identifier , en de Naamwaarde van een bepaalde entiteit een van de volgende generieke, vaak ingebouwde rekeningnamen is, dan wordt die entiteit uit zijn alert verwijderd.

• ADMIN
• ADMINISTRATOR
• SYSTEM
• ROOT
• ANONYMOUS
• GEAUTHENTICEERDE GEBRUIKER
• NETWORK
• NULL
• LOKAAL SYSTEEM
• LOCALSYSTEM
• NETWERKSERVICE

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Host

Entiteitsnaam: Host

Field	Type	Description
Type	String	'host'
IpInterfaces	Lijstentiteit<(IP)>	Lijst met alle IP-interfaces op de hostcomputer.
DnsDomain	String	Het DNS-domein waartoe deze host behoort. Moet het volledige DNS-achtervoegsel voor het domein bevatten, indien bekend.
NTDomain	String	Het NT-domein waartoe deze host behoort.
HostName	String	De hostnaam zonder het domeinachtervoegsel.
NetBiosName	String	De hostnaam (pre-Windows 2000).
IoTDevice	Entiteit (IoT-apparaat)	De ioT-apparaatentiteit (als deze host een IoT-apparaat vertegenwoordigt).
AzureID	String	De Azure-resource-id van de virtuele machine, indien bekend.
OMSAgentID	String	De OMS-agent-id, als er een OMS-agent is geïnstalleerd op de host.
OSFamily	Enum?	Een van de volgende waarden: Linux Windows Android IOS Mac
OSVersion	String	Een vrije-tekstweergave van het besturingssysteem. Dit veld is bedoeld om specifieke versies te bevatten die nauwkeuriger zijn dan OSFamily, of toekomstige waarden die niet worden ondersteund door OSFamily-opsomming.
IsDomainJoined	Bool	Geeft aan of deze host deel uitmaakt van een domein.

Sterke id's van een hostentiteit

• HostName + NTDomain
• HostName + DnsDomain
• NetBiosName + NTDomain
• NetBiosName + DnsDomain
• AzureID
• OMSAgentID
• IoTDevice

Zwakke id's van een hostentiteit

• HostName
• NetBiosName

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

IP

Entiteitsnaam: IP

Field	Type	Description
Type	String	'ip'
Address	String	Het IP-adres als tekenreeks (in IPv4 of IPv6). Voorbeelden:20.112.250.1332603:1030:b:3::152
AddressScope	String	Naam van de host, het subnet of het privénetwerk voor privé-, niet-globale IP-adressen. Null of leeg voor globale IP-adressen (standaard). Voorbeelden:/27255.255.255.128
Location	GeoLocation	De context van de geografische locatie die is gekoppeld aan de IP-entiteit. Zie ook Entiteiten verrijken in Microsoft Sentinel met geolocatiegegevens via REST API (openbare preview) voor meer informatie.
Stream	Stream	De bron van detectielogboeken met betrekking tot het specifieke IP-adres. Optional.

Sterke id's van een IP-entiteit

• Address
  Wanneer het IP-adres een globaal adres is, is de adres-id zelf een unieke, sterke id.
• Adres + AddressScope
  Voor privé-/interne, niet-globale IP-adressen is het onderdeel AddressScope vereist om dit een sterke id te maken.

Zwakke id's van een IP-entiteit

• Address
  De adres-id zelf is een zwakke id wanneer het IP-adres een privé/intern, niet-globaal IP-adres is.

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Malware

Entiteitsnaam: Malware

Field	Type	Description
Type	String	'malware'
Name	String	De malwarenaam die is toegewezen door de leverancier (detectie?), zoals Win32/Toga!rfn.
Category	String	De malwarecategorie die is toegewezen door de leverancier van de (detectie?) bijvoorbeeld. Trojan.
Files	Lijst<Entiteit (Bestand)>	Lijst met gekoppelde bestandsentiteiten waarop de malware is gevonden. Kan de bestandsentiteiten inline of als verwijzing bevatten. Zie de Bestandsentiteit voor meer details over structuur.
Processes	Lijstentiteit<(proces)>	Lijst met gekoppelde procesentiteiten waarop de malware is gevonden. Dit wordt vaak gebruikt wanneer de waarschuwing wordt geactiveerd voor bestandsloze activiteiten. Zie de Procesentiteit voor meer details over structuur.

Sterke id's van een malware-entiteit

• Naam + categorie

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

File

Entiteitsnaam: Bestand

Field	Type	Description
Type	String	'file'
Directory	String	Het volledige pad naar het bestand.
Name	String	De bestandsnaam zonder het pad (sommige waarschuwingen bevatten mogelijk geen pad).
AlternateDataStreamName	String	De bestandsnaam in het NTFS-bestandssysteem (null voor de hoofdstroom).
Host	Entiteit (Gastgeer)	De host waarop het bestand is opgeslagen.
HostUrl	Entiteit (URL)	URL van waaruit het bestand is gedownload (Merk van het Web).
WindowsSecurityZoneType	WindowsSecurityZone	Windows-beveiliging zone waartoe de URL behoort (Merk van het Web).
ReferrerUrl	Entiteit (URL)	Referrer-URL van de HTTP-aanvraag voor het downloaden van bestanden (Merk van het Web).
SizeInBytes	Long?	De grootte van het bestand in bytes.
FileHashes	Lijstentiteit<(FileHash)>	De bestands-hashes die aan dit bestand zijn gekoppeld.

Sterke id's van een bestandsentiteit

• Naam en map
• Naam + FileHash
• Naam + Map + FileHash

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Process

Entiteitsnaam: Proces

Field	Type	Description
Type	String	'process'
ProcessId	String	De proces-id.
CommandLine	String	De opdrachtregel die wordt gebruikt om het proces te maken.
ElevationToken	Enum?	Het token voor benodigde bevoegdheden dat aan het proces is gekoppeld. Mogelijke waarden: TokenElevationTypeDefault TokenElevationTypeFull TokenElevationTypeLimited
CreationTimeUtc	DateTime?	Het tijdstip waarop het proces is gestart.
ImageFile	Entiteit (Bestand)	Kan de bestandsentiteit inline of als verwijzing bevatten. Zie de Bestandsentiteit voor meer details over structuur.
Account	Entiteit (rekening)	Het account waarop de processen worden uitgevoerd. Kan de accountentiteit inline of als verwijzing bevatten. Zie de Accountentiteit voor meer details over de structuur.
ParentProcess	Entiteit (Proces)	De bovenliggende procesentiteit. Kan gedeeltelijke gegevens bevatten, bijvoorbeeld alleen de PID.
Host	Entiteit (Gastgeer)	De host waarop het proces werd uitgevoerd.
LogonSession	Entiteit (HostLogonSession)	De sessie waarin het proces werd uitgevoerd.

Sterke id's van een procesentiteit

• Host + ProcessId + CreationTimeUtc
• Gastheer + ParentProcessId + CreationTimeUtc + CommandLine
• Host + ProcessId + CreationTimeUtc + ImageFile
• Host + ProcessId + CreationTimeUtc + ImageFile.FileHash

Zwakke id's van een procesentiteit

• ProcessId + CreationTimeUtc + CommandLine (en geen host)
• ProcessId + CreationTimeUtc + ImageFile (en geen host)

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Cloudtoepassing

Entiteitsnaam: CloudApplication

Field	Type	Description
Type	String	'cloud-application'
AppId	Int	Verouderd; gebruik in plaats daarvan het veld SaasId. De technische id van de toepassing. Mogelijke waarden zijn de waarden die zijn gedefinieerd in de lijst met cloudtoepassings-id's. Waarde optioneel. Mag geen InstanceId bevatten.
SaasId	Int	Vervangt het afgeschafte AppId-veld. De technische id van de toepassing. Mogelijke waarden zijn de waarden die zijn gedefinieerd in de lijst met cloudtoepassings-id's. Waarde optioneel. Mag geen InstanceId bevatten.
Name	String	De naam van de gerelateerde cloudtoepassing. Waarde optioneel.
InstanceName	String	De door de gebruiker gedefinieerde exemplaarnaam van de cloudtoepassing. Het wordt vaak gebruikt om onderscheid te maken tussen verschillende toepassingen van hetzelfde type dat een klant heeft.
InstanceId	Int	De id van de specifieke sessie van de toepassing. Dit is een op nul gebaseerd actief nummer. Waarde optioneel.
Risk	AppRisk?	Hiermee kunt u apps filteren op risicoscore, zodat u zich kunt richten op het bekijken van bijvoorbeeld alleen zeer riskante apps. Mogelijke waarden zoals Laag, Gemiddeld, Hoog of Onbekend.
Stream	Stream	De bron van detectielogboeken met betrekking tot de specifieke cloud-app. Optional.

Sterke id's van een cloudtoepassingsentiteit

• AppId (zonder InstanceName)
• Naam (zonder InstanceName)
• AppId + InstanceName
• Naam + Instantienaam

Lijst met cloudtoepassings-id's

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

DNS-resolutie

Entiteitsnaam: DNS

Field	Type	Description
Type	String	'dns'
DomainName	String	De naam van de DNS-record die aan de waarschuwing is gekoppeld.
IpAddress	Lijstentiteit<(IP)>	Entiteiten die overeenkomen met de opgeloste IP-adressen.
DnsServerIp	Entiteit (IP)	Een entiteit die de DNS-server vertegenwoordigt die de aanvraag omzet.
HostIpAddress	Entiteit (IP)	Een entiteit die de DNS-aanvraagclient vertegenwoordigt.

Sterke id's van een DNS-entiteit

• DomainName + DnsServerIp + HostIpAddress

Zwakke id's van een DNS-entiteit

• DomainName + HostIpAddress

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Azureresource

Entiteitsnaam: AzureResource

Field	Type	Description
Type	String	'azure-resource'
ResourceId	String	De Azure-resource-id van de resource. Mandatory.
SubscriptionId	String	De abonnements-id van de resource.
ActiveContacts	ActiveContact<vermelden>	Actieve contactpersonen die zijn gekoppeld aan de resource.
ResourceType	String	Het type resource.
ResourceName	String	De naam van de resource.

Sterke id's van een Azure-resource-entiteit

• ResourceId

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Bestandshash

Entiteitsnaam: FileHash

Field	Type	Description
Type	String	'filehash'
Algorithm	Enum	Het type hash-algoritme. Mandatory. Mogelijke waarden: Unknown MD5 SHA1 SHA256 SHA256AC
Value	String	De hashwaarde. Mandatory.

Sterke id's van een bestandshashentiteit

• Algoritme + waarde

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Registersleutel

Entiteitsnaam: RegistryKey

Field	Type	Description
Type	String	'registry-key'
Hive	Enum?	Een van de volgende waarden: HKEY_LOCAL_MACHINE HKEY_CLASSES_ROOT HKEY_CURRENT_CONFIG HKEY_USERS HKEY_CURRENT_USER_LOCAL_SETTINGS HKEY_PERFORMANCE_DATA HKEY_PERFORMANCE_NLSTEXT HKEY_PERFORMANCE_TEXT HKEY_A HKEY_CURRENT_USER
Key	String	Het pad naar de registersleutel.

Sterke id's van een registersleutelentiteit

• Hive + Key

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Registerwaarde

Entiteitsnaam: RegistryValue

Field	Type	Description
Type	String	'registry-value'
Host	Entiteit (Gastgeer)	De host waartoe het register behoort.
Key	Entiteit (RegistryKey)	De entiteit registersleutel.
Name	String	De naam van de registerwaarde.
Value	String	Tekenreeksgeformatteerde weergave van de waardegegevens.
ValueType	Enum?	Een van de volgende waarden: String Binary DWord Qword MultiString ExpandString None Unknown Waarden moeten voldoen aan de opsomming Microsoft.Win32.RegistryValueKind.

Sterke id's van een registerwaarde-entiteit

• Sleutel + naam

Zwakke id's van een registerwaarde-entiteit

• Naam (zonder sleutel)

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Beveiligingsgroep

Entiteitsnaam: SecurityGroup

Field	Type	Description
Type	String	'security-group'
DistinguishedName	String	De DN-naam van de groep.
SID	String	Een kenmerk met één waarde waarmee de beveiligings-id (SID) van de groep wordt opgegeven.
ObjectGuid	Guid?	Een kenmerk met één waarde dat de unieke id is voor het object, toegewezen door Active Directory.

Sterke id's van een entiteit van een beveiligingsgroep

• DistinguishedName
• SID
• ObjectGuid

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

URL

Entiteitsnaam: URL

Field	Type	Description
Type	String	'url'
Url	Uri	Een volledige URL waarnaar de entiteit verwijst. Mandatory.

Sterke id's van een URL-entiteit

• URL (** Deze identifier is sterk wanneer de URL een absolute URL is.)

Zwakke id's van een URL-entiteit

• URL (** Deze id is zwak wanneer de URL een relatieve URL is.)

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

IoT-apparaat

Entiteitsnaam: IoTDevice

Field	Type	Description
Type	String	'iotdevice'
IoTHub	Entity (AzureResource)	De AzureResource-entiteit die de IoT Hub vertegenwoordigt waartoe het apparaat behoort.
DeviceId	String	De id van het apparaat in de context van de IoT Hub. Mandatory.
DeviceName	String	De beschrijvende naam van het apparaat.
Owners	Lijstreeks<>	De eigenaren van het apparaat.
IoTSecurityAgentId	Guid?	De id van de Defender for IoT-agent die op het apparaat wordt uitgevoerd.
DeviceType	String	Het type apparaat ('temperatuursensor', 'vriezer', 'windturbine' enz.).
DeviceTypeId	String	Een unieke id om elk apparaattype te identificeren volgens het schema van het apparaattype, omdat het apparaattype zelf een weergavenaam is en niet betrouwbaar is in vergelijkingen. Mogelijke waarden: Niet-geclassificeerd = 0 Diversen = 1 Netwerkapparaat = 2 Printer = 3 Audio en video = 4 Media en bewaking = 5 Communicatie = 7 Slim apparaat = 9 Werkstation = 10 Server = 11 Mobiel = 12 Smart Facility = 13 Industrieel = 14 Operationele apparatuur = 15
Source	String	De bron (Microsoft/Vendor) van de apparaatentiteit.
SourceRef	Entiteit (URL)	Een URL-verwijzing naar het bronitem waarin het apparaat wordt beheerd.
Manufacturer	String	De fabrikant van het apparaat.
Model	String	Het model van het apparaat.
OperatingSystem	String	Het besturingssysteem waarop het apparaat wordt uitgevoerd.
IpAddress	Entiteit (IP)	Het huidige IP-adres van het apparaat.
MacAddress	String	Het MAC-adres van het apparaat.
Nics	Entiteit (Nic)	De huidige NIC's op het apparaat.
Protocols	Lijstreeks<>	Een lijst met protocollen die door het apparaat worden ondersteund.
SerialNumber	String	Het serienummer van het apparaat.
Site	String	De locatie van het apparaat.
Zone	String	De zonelocatie van het apparaat binnen een site.
Sensor	String	De sensor bewaakt het apparaat.
Importance	Enum?	Een van de volgende waarden: Low Normal High
PurdueLayer	String	De Purdue-laag van het apparaat.
IsProgramming	Bool?	Geeft aan of het apparaat is geclassificeerd als programmeerapparaat.
IsAuthorized	Bool?	Geeft aan of het apparaat is geclassificeerd als geautoriseerd apparaat.
IsScanner	Bool?	Hiermee wordt aangegeven of het apparaat is geclassificeerd als een scannerapparaat.
DevicePageLink	Entiteit (URL)	Een URL naar de apparaatpagina in de Defender for IoT-portal.
DeviceSubType	String	De naam van het subtype van het apparaat.

Sterke id's van een IoT-apparaatentiteit

• IoTHub + DeviceId

Zwakke id's van een IoT-apparaatentiteit

• DeviceId (zonder IoTHub)

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Mailbox

Entiteitsnaam: Postvak

Field	Type	Description
Type	String	'mailbox'
MailboxPrimaryAddress	String	Het primaire adres van het postvak.
DisplayName	String	De weergavenaam van het postvak.
Upn	String	De UPN van het postvak.
AadId	String	De Azure AD-id van het postvak van de gebruiker.
RiskLevel	RiskLevel (Integer)	Het risiconiveau van dit postvak. Mogelijke waarden: None Low Medium High
ExternalDirectoryObjectId	Guid?	De AzureAD-id van het postvak. Vergelijkbaar met AadUserId in de accountentiteit, maar deze eigenschap is specifiek voor postvakobject aan de Zijde van Office.

Sterke id's van een postvakentiteit

• MailboxPrimaryAddress

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

E-mailcluster

Entiteitsnaam: MailCluster

Field	Type	Description
Type	String	'mail-cluster'
NetworkMessageIds	IList-tekenreeks<>	De e-mailbericht-id's die deel uitmaken van het e-mailcluster.
CountByDeliveryStatus	IDictionaire<tekenreeks, Int>	Aantal e-mailberichten per DeliveryStatus-tekenreeksweergave.
CountByThreatType	IDictionaire<tekenreeks, Int>	Aantal e-mailberichten per ThreatType-tekenreeksweergave.
CountByProtectionStatus	IDictionaire<tekenreeks, lang>	Het aantal e-mailberichten per weergave van de beveiligingsstatustekenreeks.
CountByDeliveryLocation	IDictionaire<tekenreeks, lang>	Aantal e-mailberichten per weergave van de bezorgingslocatie.
Threats	IList-tekenreeks<>	De bedreigingen van e-mailberichten die deel uitmaken van het e-mailcluster.
Query	String	De query die is gebruikt om de berichten van het e-mailcluster te identificeren.
QueryTime	DateTime?	De querytijd.
MailCount	Int?	Het aantal e-mailberichten dat deel uitmaakt van het e-mailcluster.
IsVolumeAnomaly	Bool?	Geeft aan of het e-mailcluster een volume-anomalie-e-mailcluster is.
Source	String	De bron van het e-mailcluster (standaard is O365 ATP).

Sterke id's van een e-mailclusterentiteit

• Query + bron

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

E-mailbericht

Entiteitsnaam: MailMessage

Field	Type	Description
Type	String	'mail-message'
Files	IList<Entiteit (Bestand)>	De bestandsentiteiten van de bijlagen van dit e-mailbericht.
Recipient	String	De geadresseerde van dit e-mailbericht. In het geval van meerdere geadresseerden wordt het e-mailbericht gekopieerd en heeft elke kopie één geadresseerde.
Urls	IList-tekenreeks<>	De URL's in dit e-mailbericht.
Threats	IList-tekenreeks<>	De bedreigingen in dit e-mailbericht.
Sender	String	Het e-mailadres van de afzender.
SenderIP	String	Het IP-adres van de afzender.
ReceivedDate	DateTime	De ontvangen datum van dit bericht.
NetworkMessageId	Guid?	De netwerkbericht-id van dit e-mailbericht.
InternetMessageId	String	De internetbericht-id van dit e-mailbericht.
Subject	String	Het onderwerp van dit e-mailbericht.
AntispamDirection	Enum?	De richting van dit e-mailbericht. Mogelijke waarden: Unknown Inbound Outbound Intraorg (intern)
DeliveryAction	Enum?	De bezorgingsactie van dit e-mailbericht. Mogelijke waarden: Unknown DeliveredAsSpam Delivered Blocked Replaced
DeliveryLocation	Enum?	De bezorgingslocatie van dit e-mailbericht. Mogelijke waarden: Unknown Inbox JunkFolder DeletedFolder Quarantine External Failed Dropped Forwarded
CampaignId	String	De id van de campagne waarin dit e-mailbericht aanwezig is.
SuspiciousRecipients	IList-tekenreeks<>	De lijst met geadresseerden die als verdacht zijn gedetecteerd.
ForwardedRecipients	IList-tekenreeks<>	De lijst met alle geadresseerden in de doorgestuurde e-mail.
ForwardingType	IList-tekenreeks<>	Het doorstuurtype van de e-mail, zoals SMTP, ETR, enzovoort.

Sterke id's van een e-mailberichtentiteit

• NetworkMessageId + Ontvanger

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

E-mail verzenden

Entiteitsnaam: SubmissionMail

Field	Type	Description
Type	String	'SubmissionMail'
SubmissionId	Guid?	De inzendings-id.
SubmissionDate	DateTime?	Gerapporteerde datumtijd voor deze inzending.
Submitter	String	Het e-mailadres van de verzender.
NetworkMessageId	Guid?	De netwerkbericht-id van e-mail waartoe de inzending behoort.
Timestamp	DateTime?	Het tijdstempel wanneer het bericht wordt ontvangen (e-mail).
Recipient	String	De geadresseerde van de e-mail.
Sender	String	De afzender van de e-mail.
SenderIp	String	Het IP-adres van de afzender.
Subject	String	Het onderwerp van het verzenden van e-mail.
ReportType	String	Het inzendingstype voor het opgegeven exemplaar. Mogelijke waarden zijn Ongewenste e-mail, Phish, Malware of NotJunk.

Sterke id's van een SubmissionMail-entiteit

• SubmissionId, Submitter, NetworkMessageId, Ontvanger

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Sentinel-entiteiten

Field	Type	Description
Entities	String	Een lijst met de entiteiten die zijn geïdentificeerd in de waarschuwing. Deze lijst is de kolom entiteiten uit het SecurityAlert-schema (zie documentatie).

Terug naar lijst met schema's voor entiteitstypen | Terug naar tabel met entiteits-id's

Cloudtoepassings-id's

De volgende lijst definieert id's voor bekende cloudtoepassingen. De App ID-waarde wordt gebruikt als een identiteitsidentificatie voor cloudapplicatie-entiteiten .

App ID	Name
10026	DocuSign
10395	Anaplan
10489	Box
10549	Cisco Webex
10618	Atlassian
10915	Cornerstone OnDemand
10921	Zendesk
10980	Okta
11042	Jive Software
11114	Salesforce
11161	Office 365
11162	Microsoft OneNote Online
11394	Microsoft Online Services
11522	Yammer
11599	Amazon Web Services
11627	Dropbox
11713	Expensify
11770	G Suite
12005	SuccessFactors
12260	Microsoft Azure
12275	Workday
13843	LivePerson
13979	Concur
14509	ServiceNow
15570	Tableau
15600	Microsoft OneDrive voor Bedrijven
15782	Citrix ShareFile
17152	Amazon
17865	Ariba Inc
18432	Zscaler
19688	Xactly
20595	Microsoft Defender voor Cloud Apps
20892	Microsoft SharePoint Online
20893	Microsoft Exchange Online
20940	Active Directory
20941	Adallom CPanel
22110	Google Cloud Platform
22930	Gmail
23004	Autodesk Fusion Levenscyclus
23043	Slack
23233	Microsoft Office Online
25275	Microsoft Skype voor Bedrijven
25988	Google Docs
26055	Microsoft 365-beheercentrum
26060	OPSWAT Gears
26061	Microsoft Word Online
26062	Microsoft PowerPoint Online
26063	Microsoft Excel Online
26069	Google Drive
26206	Workiva
26311	Microsoft Dynamics
26318	Microsoft Entra-id
26320	Microsoft Office Sway
26321	Microsoft Delve
26324	Microsoft Power BI
27548	Microsoft Forms
27592	Microsoft Flow
27593	Microsoft PowerApps
28353	Workplace van Facebook
28373	CAS-proxyemulator
28375	Microsoft Teams
32780	Microsoft Dynamics 365
33626	Google
34127	Microsoft AppSource
34667	HighQ
35395	Microsoft Dynamics Talent

Volgende stappen

In dit document hebt u geleerd over entiteitsstructuur, id's en schema's in Microsoft Sentinel.

Lees meer over entiteiten en entiteitsmapping.