DeviceRegistryEvents

Microsoft Defender för händelsetabellen för enhetsregisterhändelser för slutpunkter (MDE). Den här tabellen innehåller skapande och ändring av registerposter på slutpunkten samt information om de processer som initierar sådana händelser.

Tabellattribut

Attribut	Värde
Resurstyper	-
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	No
Inmatningstidstransformering	Yes
Exempelfrågor	-

Kolumner

Kolumn	Typ	Description
ActionType	sträng	Typ av aktivitet som utlöste händelsen.
AppGuardContainerId	sträng	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_BilledSize	real	Poststorleken i byte
DeviceId	sträng	Unik identifierare för enheten i tjänsten.
DeviceName	sträng	Fullständigt kvalificerat domännamn (FQDN) för enheten.
InitieraProcessAccountDomain	sträng	Domän för det konto som körde initieringsprocessen.
InitieraProcessAccountName	sträng	Användarnamnet för det konto som körde initieringsprocessen.
InitieraProcessAccountObjectId	sträng	Azure AD objekt-ID för användarkontot som körde den inledande processen.
InitieraProcessAccountSid	sträng	Säkerhetsidentifierare (SID) för kontot som körde initieringsprocessen.
InitieraProcessAccountUpn	sträng	Användarens huvudnamn (UPN) för det konto som körde den inledande processen.
InitieraProcessCommandLine	sträng	Kommandorad som används för att köra den inledande processen.
InitieraProcessCreationTime	datetime	Datum och tid då processen som initierade händelsen startades.
InitieraProcessFileName	sträng	Namnet på den inledande processen.
InitieraProcessFileSize	long	Storleken på filen (byte) som körde processen som ansvarar för händelsen.
InitieraProcessFolderPath	sträng	Mapp som innehåller den inledande processen (bildfil).
InitieraProcessId	long	Process-ID (PID) för den inledande processen.
InitieraProcessIntegrityLevel	sträng	Integritetsnivån för den inledande processen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en nedladdning via Internet. Dessa integritetsnivåer påverkar behörigheter till resurser..
InitieraProcessMD5	sträng	MD5-hash för den inledande processen (bildfil).
InitieraProcessParentCreationTime	datetime	Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitieraProcessParentFileName	sträng	Namnet på den överordnade process som skapade den inledande processen.
InitieraProcessParentId	long	Process-ID (PID) för den överordnade process som skapade den inledande processen.
InitieraProcessSHA1	sträng	SHA-1-hash för den inledande processen (bildfil).
InitieraProcessSHA256	sträng	SHA-256-hash för den inledande processen (bildfil). I vissa fall kanske den här kolumnen inte fylls i – använd kolumnen InitieraProcessSHA1 i stället.
InitieraProcessTokenElevation	sträng	Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den inledande processen.
InitieraProcessVersionInfoCompanyName	sträng	Företagsnamnet i versionsinformationen (avbildningsfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoFileDescription	sträng	Beskrivningen i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoInternalFileName	sträng	Det interna filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoOriginalFileName	sträng	Det ursprungliga filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductName	sträng	Produktnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion	sträng	Produktversionen i versionsinformationen (avbildningsfilen) som ansvarar för händelsen.
_IsBillable	sträng	Anger om inmatning av data är fakturerbar. När _IsBillable är false debiteras inte inmatningen till ditt Azure-konto
MachineGroup	sträng	Datorns datorgrupp. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
PreviousRegistryKey	sträng	Den ursprungliga registernyckeln innan den ändrades.
PreviousRegistryValueData	sträng	Ursprungliga data för registervärdet innan det ändrades.
PreviousRegistryValueName	sträng	Ursprungligt namn på registervärdet innan det ändrades.
RegistryKey	sträng	Registernyckel som den registrerade åtgärden tillämpades på.
RegistryValueData	sträng	Data för registervärdet som den registrerade åtgärden tillämpades på.
RegistryValueName	sträng	Namnet på registervärdet som den registrerade åtgärden tillämpades på.
RegistryValueType	sträng	Datatyp, till exempel binärfil eller sträng, för registervärdet som den registrerade åtgärden tillämpades på.
ReportId	long	Händelseidentifierare baserad på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
SourceSystem	sträng	Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId	sträng	Log Analytics-arbetsytans ID
TimeGenerated	datetime	Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ	sträng	Namnet på tabellen