DeviceLogonEvents

Den här tabellen är en del av Microsoft Defender för slutpunkter med Azure Sentinel. Den här tabellen innehåller inloggningar och andra autentiseringshändelser.

Tabellattribut

Attribut	Värde
Resurstyper	-
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	No
Inmatningstidstransformering	Yes
Exempelfrågor	-

Kolumner

Kolumn	Typ	Description
AccountDomain	sträng	Domän för kontot.
AccountName	sträng	Användarkontots namn.
AccountSid	sträng	Säkerhetsidentifierare (SID) för kontot.
ActionType	sträng	Typ av aktivitet som utlöste händelsen.
AdditionalFields	dynamisk	Ytterligare information om entiteten eller händelsen.
AppGuardContainerId	sträng	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_BilledSize	real	Poststorleken i byte
DeviceId	sträng	Unik identifierare för enheten i tjänsten.
DeviceName	sträng	Fullständigt kvalificerat domännamn (FQDN) för enheten.
FailureReason	sträng	Information som förklarar varför den registrerade åtgärden misslyckades.
InitieraProcessAccountDomain	sträng	Domän för det konto som körde processen som ansvarar för händelsen.
InitieraProcessAccountName	sträng	Användarnamnet för det konto som körde processen som ansvarar för händelsen.
InitieraProcessAccountObjectId	sträng	Azure AD objekt-ID för det användarkonto som körde processen som ansvarar för händelsen.
InitieraProcessAccountSid	sträng	Säkerhetsidentifierare (SID) för kontot som körde processen som ansvarar för händelsen.
InitieraProcessAccountUpn	sträng	Användarens huvudnamn (UPN) för det konto som körde processen som ansvarar för händelsen.
InitieraProcessCommandLine	sträng	Kommandoraden som används för att köra processen som initierade händelsen.
InitieraProcessCreationTime	datetime	Datum och tid då processen som initierade händelsen startades.
InitieraProcessFileName	sträng	Namnet på processen som initierade händelsen.
InitieraProcessFileSize	long	Storlek i byte för den process (bildfil) som initierade händelsen.
InitieraProcessFolderPath	sträng	Mapp som innehåller processen (bildfilen) som initierade händelsen.
InitieraProcessId	long	Process-ID (PID) för den process som initierade händelsen.
InitieraProcessIntegrityLevel	sträng	Integritetsnivån för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en nedladdning via Internet. Dessa integritetsnivåer påverkar behörigheter till resurser.
InitieraProcessMD5	sträng	MD5-hash för processen (bildfil) som initierade händelsen.
InitieraProcessParentCreationTime	datetime	Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitieraProcessParentFileName	sträng	Namnet på den överordnade process som skapade processen som ansvarar för händelsen.
InitieraProcessParentId	long	Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen.
InitieraProcessSHA1	sträng	SHA-1-hash för processen (bildfilen) som initierade händelsen.
InitieraProcessSHA256	sträng	SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet är vanligtvis inte ifyllt – använd SHA1-kolumnen när det är tillgängligt.
InitieraProcessTokenElevation	sträng	Tokentyp som anger förekomsten eller frånvaron av UAC(User Access Control) behörighetshöjning som tillämpas på den process som initierade händelsen.
InitieraProcessVersionInfoCompanyName	sträng	Företagsnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoFileDescription	sträng	Beskrivning från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoInternalFileName	sträng	Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoOriginalFileName	sträng	Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductName	sträng	Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion	sträng	Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
_IsBillable	sträng	Anger om inmatning av data är fakturerbart. När _IsBillable är false debiteras inte inmatningen till ditt Azure-konto
IsLocalAdmin	boolesk	Boolesk indikator på om användaren är lokal administratör på datorn.
Inloggnings-ID	long	Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator endast mellan omstarter.
Inloggningstyp	sträng	Typ av inloggningssession, särskilt interaktiv, interaktiv (RDP), nätverk, batch och tjänst.
MachineGroup	sträng	Datorns datorgrupp. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
Protokoll	sträng	Protokoll som används under kommunikationen.
RemoteDeviceName	sträng	Namnet på enheten som utförde en fjärråtgärd på den berörda datorn. Beroende på vilken händelse som rapporteras kan det här namnet vara ett fullständigt kvalificerat domännamn (FQDN), ett NetBIOS-namn eller ett värdnamn utan domäninformation.
RemoteIP	sträng	IP-adress som var ansluten till.
RemoteIPType	sträng	Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast.
RemotePort	int	TCP-port på fjärrenheten som var ansluten till.
ReportId	long	Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
SourceSystem	sträng	Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId	sträng	Log Analytics-arbetsytans ID
TimeGenerated	datetime	Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ	sträng	Namnet på tabellen