| AccountDomain |
sträng |
Domän för kontot. |
| AccountName |
sträng |
Användarnamn för kontot. |
| AccountSid |
sträng |
Säkerhetsidentifierare (SID) för kontot. |
| ActionType |
sträng |
Typ av aktivitet som utlöste händelsen. |
| AdditionalFields |
dynamisk |
Ytterligare information om entiteten eller händelsen. |
| AppGuardContainerId |
sträng |
Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet. |
| _BilledSize |
real |
Poststorleken i byte |
| CreatedProcessSessionId |
lång |
Windows-sessions-ID för den skapade processen. |
| DeviceId |
sträng |
Unik identifierare för enheten i tjänsten. |
| DeviceName |
sträng |
Fullständigt kvalificerat domännamn (FQDN) för enheten. |
| FileName |
sträng |
Domän för kontot. |
| FileOriginIP |
sträng |
IP-adress där filen laddades ned från. |
| FileOriginUrl |
sträng |
URL där filen laddades ned från. |
| FileSize |
lång |
Filens storlek i byte. |
| FolderPath |
sträng |
Domän för kontot. |
| InitieraProcessAccountDomain |
sträng |
Domän för det konto som körde processen som var ansvarig för händelsen. |
| InitieraProcessAccountName |
sträng |
Användarnamnet för det konto som körde processen som var ansvarig för händelsen. |
| InitieraProcessAccountObjectId |
sträng |
Azure AD-objekt-ID för användarkontot som körde processen som var ansvarig för händelsen. |
| InitieraProcessAccountSid |
sträng |
Säkerhetsidentifierare (SID) för det konto som körde processen som var ansvarig för händelsen. |
| InitieraProcessAccountUpn |
sträng |
Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen. |
| InitieraProcessCommandLine |
sträng |
Kommandorad som används för att köra processen som initierade händelsen. |
| InitieraProcessCreationTime |
datetime |
Datum och tid då processen som initierade händelsen startades. |
| InitieraProcessFileName |
sträng |
Namnet på den process som initierade händelsen. |
| InitieraProcessFileSize |
lång |
Storlek i byte för filen som körde processen som ansvarar för händelsen. |
| InitieraProcessFolderPath |
sträng |
Mapp som innehåller processen (bildfilen) som initierade händelsen. |
| InitieraProcessId |
lång |
Process-ID (PID) för den process som initierade händelsen. |
| InitieraProcessLogonId |
lång |
Identifierare för en inloggningssession för den process som initierade händelsen. Den här identifieraren är unik på samma dator endast mellan omstarter. |
| InitieraProcessMD5 |
sträng |
MD5-hash för processen (bildfilen) som initierade händelsen. |
| InitieraProcessParentCreationTime |
datetime |
Datum och tid då den överordnade processen som ansvarar för händelsen startades. |
| InitieraProcessParentFileName |
sträng |
Namnet på den överordnade process som skapade processen som ansvarar för händelsen. |
| InitieraProcessParentId |
lång |
Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen. |
| InitieraProcessRemoteSessionDeviceName |
sträng |
Enhetsnamnet på den fjärrenhet som RDP-sessionen initierades från. |
| InitieraProcessRemoteSessionIP |
sträng |
IP-adressen för den fjärrenhet som RDP-sessionen initierades från. |
| InitieraProcessSessionId |
lång |
Windows-sessions-ID för den inledande processen. |
| InitieraProcessSHA1 |
sträng |
SHA-1-hash för processen (bildfilen) som initierade händelsen. |
| InitieraProcessSHA256 |
sträng |
SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när det är tillgängligt. |
| InitieraProcessVersionInfoCompanyName |
sträng |
Företagsnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen. |
| InitieraProcessVersionInfoFileDescription |
sträng |
Beskrivning från versionsinformationen för den process (bildfil) som ansvarar för händelsen. |
| InitieraProcessVersionInfoInternalFileName |
sträng |
Internt filnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen. |
| InitieraProcessVersionInfoOriginalFileName |
sträng |
Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoProductName |
sträng |
Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen. |
| InitieraProcessVersionInfoProductVersion |
sträng |
Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen. |
| _IsBillable |
sträng |
Anger om inmatningen av data är fakturerbar. När _IsBillable är false inmatning debiteras inte ditt Azure-konto |
| IsInitiatingProcessRemoteSession |
bool |
Anger om initieringsprocessen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (false). |
| IsProcessRemoteSession |
bool |
Anger om den skapade processen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (falskt). |
| LocalIP |
sträng |
IP-adress tilldelad till den lokala dator som användes under kommunikationen. |
| LocalPort |
heltal |
TCP-port på den lokala datorn som används under kommunikationen. |
| Inloggnings-ID |
lång |
Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator endast mellan omstarter. |
| MachineGroup |
sträng |
Datorgruppen för datorn. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn. |
| MD5 |
sträng |
MD5-hash för filen som den inspelade åtgärden tillämpades på. |
| ProcessCommandLine |
sträng |
Kommandorad som används för att skapa den nya processen. |
| ProcessCreationTime |
datetime |
Datum och tid då processen skapades. |
| ProcessId |
lång |
Process-ID (PID) för den nyligen skapade processen. |
| ProcessRemoteSessionDeviceName |
sträng |
Enhetsnamn för den fjärrenhet som den skapade processens RDP-session initierades från. |
| ProcessRemoteSessionIP |
sträng |
IP-adressen för fjärrenheten som den skapade processens RDP-session initierades från. |
| ProcessTokenElevation |
sträng |
Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den nyligen skapade processen. |
| RegistryKey |
sträng |
Registernyckel som den registrerade åtgärden tillämpades på. |
| RegistryValueData |
sträng |
Data för registervärdet som den registrerade åtgärden tillämpades på. |
| RegistryValueName |
sträng |
Namnet på registervärdet som den registrerade åtgärden tillämpades på. |
| RemoteDeviceName |
sträng |
Namnet på den enhet som utförde en fjärråtgärd på den berörda datorn. Beroende på vilken händelse som rapporteras kan det här namnet vara ett fullständigt domännamn (FQDN), ett NetBIOS-namn eller ett värdnamn utan domäninformation.. |
| RemoteIP |
sträng |
IP-adress som var ansluten till. |
| RemotePort |
heltal |
TCP-port på den fjärrenhet som var ansluten till. |
| RemoteUrl |
sträng |
URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till. |
| ReportId |
lång |
Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime. |
| SHA1 |
sträng |
SHA-1-hash för filen som den inspelade åtgärden tillämpades på. |
| SHA256 |
sträng |
SHA-256 av filen som den registrerade åtgärden tillämpades på. |
| SourceSystem |
sträng |
Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics |
| TenantId |
sträng |
Log Analytics-arbetsytans ID |
| TimeGenerated |
datetime |
Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten. |
| Typ |
sträng |
Namnet på tabellen |