Enhetshändelser

Den här tabellen är en del av Microsoft Defender för Endpoint med Azure Sentinel. Den här tabellen innehåller flera händelsetyper, inklusive händelser som utlöses av säkerhetskontroller som Windows Defender Antivirus och exploateringsskydd.

Tabellattribut

Attribut	Värde
Resurstyper	-
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	Ja
Inmatningstidstransformering	Ja
Exempelfrågor	-

Kolumner

Kolumn	Typ	Beskrivning
Kontodomän	sträng	Domän för kontot.
Kontonamn	sträng	Användarnamn för kontot.
AccountSid	sträng	Säkerhetsidentifierare (SID) för kontot.
Åtgärdstyp	sträng	Typ av aktivitet som utlöste händelsen.
YtterligareFält	dynamisk	Ytterligare information om entiteten eller händelsen.
Behållar-ID för AppGuard	sträng	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_Fakturastorlek	verklig	Registerstorleken i byte
SkapadProcessSessionsId	lång	Windows-sessions-ID för den skapade processen.
DeviceId	sträng	Unik identifierare för enheten i tjänsten.
Enhetsnamn	sträng	Fullständigt kvalificerat domännamn (FQDN) för enheten.
Filnamn	sträng	Domän för kontot.
FileursprungsIP	sträng	IP-adress där filen laddades ned från.
Filursprungsadress	sträng	URL där filen laddades ned från.
Filstorlek	lång	Filens storlek i byte.
Mappsökväg	sträng	Domän för kontot.
Initiera Processkonto Domän	sträng	Domän för det konto som körde processen som var ansvarig för händelsen.
InitieraProcessKontonamn	sträng	Användarnamnet för det konto som körde processen som var ansvarig för händelsen.
InitieringsProcessKontoObjektID	sträng	Azure AD-objekt-ID för användarkontot som körde processen som var ansvarig för händelsen.
InitieraProcesskontosID	sträng	Säkerhetsidentifierare (SID) för det konto som körde processen som var ansvarig för händelsen.
Initiera ProcesskontoUpn	sträng	Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen.
InitieraProcessCommandLine	sträng	Kommandorad som används för att köra processen som initierade händelsen.
InitieraProcessCreationTime	datumtid	Datum och tid då processen som initierade händelsen startades.
InitieraProcessfilNamn	sträng	Namnet på den process som initierade händelsen.
InitieraProcessFilstorlek	lång	Storlek i byte för filen som körde processen som ansvarar för händelsen.
InitieraProcessFolderPath	sträng	Mapp som innehåller processen (bildfilen) som initierade händelsen.
PåbörjarProcessId	lång	Process-ID (PID) för den process som initierade händelsen.
InitieraProcessLogonId	lång	Identifierare för en inloggningssession för den process som initierade händelsen. Den här identifieraren är unik på samma dator endast mellan omstarter.
InitieringProcessMD5	sträng	MD5-hash för processen (bildfilen) som initierade händelsen.
InitieringProcessFöräldraSkapandeTid	datumtid	Datum och tid då den överordnade processen som är ansvarig för händelsen startades.
InitierandeProcessFöräldraFilnamn	sträng	Namnet på den överordnade process som skapade processen som ansvarar för händelsen.
InitieraProcessParentId	lång	Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen.
Initiera Process Remote Session Device Name	sträng	Enhetsnamnet på den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessRemoteSessionIP	sträng	IP-adressen för den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessSessionId	lång	Windows-sessions-ID för den inledande processen.
InitieraProcessSHA1	sträng	SHA-1-hash för processen (bildfilen) som initierade händelsen.
Initiering av ProcessSHA256	sträng	SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när det är tillgängligt.
InitieraProcessUniqueId	sträng	Unik identifierare för den inledande processen. detta är lika med processstartnyckeln i Windows-enheter.
InitieringProcessVersionInfoFöretagsnamn	sträng	Företagsnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitierarProcessVersionInfoFilBeskrivning	sträng	Beskrivning från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessVersionInfoInternFilNamn	sträng	Internt filnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieringProcessVersionInfoOriginalFilnamn	sträng	Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
Initiera Processversioninfo Produktnamn	sträng	Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion	sträng	Produktversion enligt versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
_ÄrDebiterbar	sträng	Anger om inmatningen av data är fakturerbar. När _IsBillable är false, faktureras inte inmatningen på ditt Azure-konto.
InitieraProcessFjärrsession	Bool	Anger om initieringsprocessen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (false).
ÄrProcessFjärrsession	Bool	Anger om den skapade processen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (falskt).
lokal IP-adress	sträng	IP-adress tilldelad till den lokala dator som användes under kommunikationen.
LokalPort	heltal	TCP-port på den lokala datorn som används under kommunikationen.
Inloggnings-ID	lång	Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator endast mellan omstarter.
MachineGroup (på engelska)	sträng	Maskingruppen för maskinen. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
MD5	sträng	MD5-hash för filen som den inspelade åtgärden tillämpades på.
ProcessCommandLine	sträng	Kommandorad som används för att skapa den nya processen.
ProcessensSkapandetid	datumtid	Datum och tid då processen skapades.
ProcessId	lång	Process-ID (PID) för den nyligen skapade processen.
BearbetaFjärrsessionEnhetsnamn	sträng	Enhetsnamn för den fjärrenhet som den skapade processens RDP-session initierades från.
ProcessRemoteSessionIP	sträng	IP-adressen för fjärrenheten som den skapade processens RDP-session initierades från.
ProcessTokenElevation	sträng	Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den nyligen skapade processen.
Registernyckel	sträng	Registernyckel som den registrerade åtgärden tillämpades på.
Registervärdedata	sträng	Data för registervärdet som den registrerade åtgärden tillämpades på.
Registervärdesnamn	sträng	Namnet på registervärdet som den registrerade åtgärden tillämpades på.
Fjärrenhetsnamn	sträng	Namnet på den enhet som utförde en fjärråtgärd på den berörda datorn. Beroende på vilken händelse som rapporteras kan det här namnet vara ett fullständigt domännamn (FQDN), ett NetBIOS-namn eller ett värdnamn utan domäninformation..
Fjärr-IP	sträng	IP-adress som var ansluten till.
RemotePort	heltal	TCP-port på den fjärrenhet som var ansluten till.
Fjärr-URL	sträng	URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till.
ReportId	lång	Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
SHA1	sträng	SHA-1-hash för filen som den inspelade åtgärden tillämpades på.
SHA256	sträng	SHA-256 av filen som den registrerade åtgärden tillämpades på.
SourceSystem	sträng	Agenttypen som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
Hyresgäst-ID	sträng	ID för Log Analytics-arbetsytan
Tidpunkt för generering	datumtid	Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ	sträng	Namnet på tabellen