Compreender o esquema de busca avançada

  • Artigo

Aplica-se a:

  • Microsoft Defender XDR

Importante

Algumas informações neste artigo estão relacionadas ao produto pré-lançado que pode ser modificado substancialmente antes de ser lançado comercialmente. A Microsoft não oferece garantias, expressas ou implícitas, com relação às informações aqui fornecidas.

O esquema avançado de caça é composto por várias tabelas que fornecem informações de evento ou informações sobre dispositivos, alertas, identidades e outros tipos de entidade. Para criar efetivamente consultas que abrangem várias tabelas, você precisa entender as tabelas e as colunas no esquema de busca avançado.

Obter informações de esquema

Ao construir consultas, use a referência de esquema interno para obter rapidamente as seguintes informações sobre cada tabela no esquema:

  • Descrição das tabelas– tipo de dados contidos na tabela e na origem desses dados.
  • Colunas: todas as colunas da tabela.
  • Tipos de ação – valores possíveis na ActionType coluna que representa os tipos de evento compatíveis com a tabela. Essas informações são fornecidas apenas para tabelas que contêm informações de evento.
  • Consulta de exemplo— consultas de exemplo que apresentam como a tabela pode ser utilizada.

Acessar a referência de esquema

Para acessar rapidamente a referência de esquema, selecione a ação Exibir referência ao lado do nome da tabela na representação de esquema. Você também pode selecionar referência de esquema para pesquisar uma tabela.

A página Referência de Esquema na página De Busca Avançada no portal do Microsoft Defender

Conheça as tabelas de esquema

A referência a seguir lista todas as tabelas no esquema. Cada nome de tabela se vincula a uma página que descreve os nomes das colunas da tabela. Nomes de tabela e coluna também são listados em Microsoft Defender XDR como parte da representação de esquema na tela de caça avançada.

Nome da tabela Descrição
AADSignInEventsBeta Microsoft Entra entradas interativas e não interativas
AADSpnSignInEventsBeta Microsoft Entra entidade de serviço e entradas de identidade gerenciada
AlertEvidence Arquivos, endereços IP, URLs, usuários ou dispositivos associados a alertas
AlertInfo Alertas de Microsoft Defender para Ponto de Extremidade, Microsoft Defender para Office 365, Microsoft Defender para Aplicativos de Nuvem e Microsoft Defender para Identidade, incluindo informações de gravidade e categorização de ameaças
BehaviorEntities Tipos de dados de comportamento em Microsoft Defender para Aplicativos de Nuvem
BehaviorInfo Alertas de Microsoft Defender para Aplicativos de Nuvem
CloudAppEvents Eventos envolvendo contas e objetos no Office 365 e outros aplicativos e serviços de nuvem
DeviceEvents Vários tipos de eventos, incluindo eventos disparados por controles de segurança, como Microsoft Defender Antivírus e proteção de exploração
DeviceFileCertificateInfo Informações de certificado de arquivos assinados obtidos de eventos de verificação de certificado em pontos de extremidade
DeviceFileEvents Criação de arquivos, modificação e outros eventos do sistema de arquivos
DeviceImageLoadEvents Carregamento de eventos DLL
DeviceInfo Informações do computador, incluindo informações do sistema operacional
DeviceLogonEvents Entradas e outros eventos de autenticação em dispositivos
DeviceNetworkEvents Conexão de rede e eventos relacionados
DeviceNetworkInfo Propriedades de rede dos dispositivos, incluindo adaptadores físicos, endereços IP e MAC, bem como redes e domínios conectados
DeviceProcessEvents Criação de processos e eventos relacionados
DeviceRegistryEvents Criação e modificação de entradas do registro
DeviceTvmHardwareFirmware Informações de hardware e firmware de dispositivos, conforme verificado pelo Gerenciamento de Vulnerabilidades do Defender
DeviceTvmInfoGathering Eventos de avaliação do Gerenciamento de Vulnerabilidades do Defender, incluindo estados da área de superfície de configuração e ataque
DeviceTvmInfoGatheringKB Metadados para eventos de avaliação coletados na DeviceTvmInfogathering tabela
DeviceTvmSecureConfigurationAssessment Gerenciamento de Vulnerabilidades do Microsoft Defender eventos de avaliação, indicando o status de várias configurações de segurança em dispositivos
DeviceTvmSecureConfigurationAssessmentKB Base de dados de conhecimento de várias configurações de segurança usadas por Gerenciamento de Vulnerabilidades do Microsoft Defender para avaliar dispositivos; inclui mapeamentos para vários padrões e benchmarks
DeviceTvmSoftwareEvidenceBeta Informações de evidência sobre onde um software específico foi detectado em um dispositivo
DeviceTvmSoftwareInventory Inventário de software instalado em dispositivos, incluindo suas informações de versão e status de fim de suporte
DeviceTvmSoftwareVulnerabilities Vulnerabilidades de software encontradas em dispositivos e a lista de atualizações de segurança disponíveis que abordam cada vulnerabilidade
DeviceTvmSoftwareVulnerabilitiesKB Base de dados de conhecimento de vulnerabilidades divulgadas publicamente, incluindo se o código de exploração está disponível publicamente
EmailAttachmentInfo Informações sobre arquivos anexados a emails
EmailEvents Eventos de email do Microsoft 365, incluindo a entrega de email e eventos de bloqueio
EmailPostDeliveryEvents Eventos de segurança que ocorrem após a entrega, depois que o Microsoft 365 entrega os emails para a caixa de correio do destinatário
EmailUrlInfo Informações sobre URLs nos emails
ExposureGraphEdges As informações de borda do grafo de exposição do Gerenciamento de Exposição de Segurança da Microsoft fornecem visibilidade das relações entre entidades e ativos no grafo
ExposureGraphNodes Informações sobre o nó do grafo de exposição do Gerenciamento de Exposição de Segurança da Microsoft, sobre entidades organizacionais e suas propriedades
IdentityDirectoryEvents Eventos envolvendo um controlador de domínio local executando o AD (Active Directory). Essa tabela abrange um intervalo de eventos relacionados à identidade, bem como eventos do sistema no controlador de domínio.
IdentityInfo Informações da conta de várias fontes, incluindo Microsoft Entra ID
IdentityLogonEvents Eventos de autenticação no Active Directory e serviços online da Microsoft
IdentityQueryEvents Consultas para objetos do Active Directory, como usuários, grupos, dispositivos e domínios
UrlClickEvents Links Seguros clica em mensagens de email, equipes e aplicativos de Office 365

Dica

Você deseja aprender mais? Engage com a comunidade de Segurança da Microsoft em nossa Comunidade Tecnológica: Microsoft Defender XDR Tech Community.