Enhetsregistreringshändelser

Tabell över enhetsregisterhändelser för Microsoft Defender för Slutpunkter (MDE). Den här tabellen innehåller skapande och ändring av registerposter på slutpunkten samt information om de processer som initierar sådana händelser.

Tabellattribut

Attribut	Värde
Resurstyper	-
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	Ja
Inmatningstidstransformering	Ja
Exempelfrågor	-

Kolumner

Kolumn	Typ	Beskrivning
Åtgärdstyp	sträng	Typ av aktivitet som utlöste händelsen.
Behållar-ID för AppGuard	sträng	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_FaktureradStorlek	verklig	Datapostens storlek i byte
DeviceId	sträng	Unik identifierare för enheten i tjänsten.
Enhetsnamn	sträng	Fullständigt kvalificerat domännamn (FQDN) för enheten.
Initiering av ProcessAccountDomain	sträng	Domän för det konto som körde initieringsprocessen.
InitierandeProcessKontonamn	sträng	Användarnamnet för det konto som körde initieringsprocessen.
InitierarProcesskontoObjektId	sträng	Azure AD-objekt-ID för användarkontot som körde initieringsprocessen.
InitieraProcessAccountSid	sträng	Säkerhetsidentifierare (SID) för kontot som körde initieringsprocessen.
InitieraProcesskontrollUpn	sträng	Användarens huvudnamn (UPN) för kontot som körde initieringsprocessen.
InitieraProcessKommandoLinje	sträng	Kommandorad som används för att köra den inledande processen.
InitieringsprocessensSkapandetid	datumtid	Datum och tid då processen som initierade händelsen startades.
Initiationsprocessfilnamn	sträng	Namnet på den inledande processen.
InitieraProcessFilstorlek	lång	Storleken på filen (byte) som körde processen som var ansvarig för händelsen.
InitieraProcessFolderPath	sträng	Mapp som innehåller den inledande processen (bildfil).
InitierandeProcessID	lång	Process-ID (PID) för den inledande processen.
Initiera processtillitsnivå	sträng	Integritetsnivå för den inledande processen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser..
InitierarProcessMD5	sträng	MD5-hash för den inledande processen (bildfil).
InitieringAvProcessFörälderSkapandetid	datumtid	Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitierandeProcessFörälderFilnamn	sträng	Namnet på den överordnade process som skapade den inledande processen.
InitierandeProcessFöräldraId	lång	Process-ID (PID) för den överordnade process som skapade den inledande processen.
InitieraProcessFjärrSessionEnhetsNamn	sträng	Enhetsnamnet på den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessRemoteSessionIP	sträng	IP-adressen för den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessSessionId	lång	Windows-sessions-ID för den inledande processen.
InitieraProcessSHA1	sträng	SHA-1-hash för den inledande processen (bildfil).
InitieraProcessSHA256	sträng	SHA-256-hash för den inledande processen (bildfil). I vissa fall kanske den här kolumnen inte fylls i – använd kolumnen InitieraProcessSHA1 i stället.
InitieraProcessTokenElevation	sträng	Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den inledande processen.
InitieraProcessUniqueId	sträng	Unik identifierare för den inledande processen. detta är lika med processstartnyckeln i Windows-enheter.
InitieringProcessVersionInfoFöretagsnamn	sträng	Företagsnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieringProcessVersionInfoFilbeskrivning	sträng	Beskrivningen av versionsinformationen (bildfilen) som relaterar till händelsen.
InitieraProcessVersionInfoInternalFilnamn	sträng	Det interna filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieringProcessVersionInfoOriginalFilnamn	sträng	Det ursprungliga filnamnet i versionsinformationen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInformationProduktNamn	sträng	Produktnamnet i versionsinformationen (bildfilen) som är ansvarig för händelsen.
InitieraProcessVersionInfoProductVersion	sträng	Produktversionen i versionsinformationen (bildfil) som är ansvarig för händelsen.
_ÄrDebiterbar	sträng	Anger om inmatningen av data är fakturerbar. När _IsBillable är false debiteras inte inmatningen på ditt Azure-konto
ÄrInitierandeProcessFjärrsession	Bool	Anger om initieringsprocessen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (false).
MachineGroup (på engelska)	sträng	Datorgruppen för datorn. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
FöregåendeRegisterNyckel	sträng	Den ursprungliga registernyckeln innan den ändrades.
TidigareRegisterVärdeData	sträng	Ursprungliga data för registervärdet innan det ändrades.
FöregåendeRegisterVärdeNamn	sträng	Ursprungligt namn på registervärdet innan det ändrades.
Registernyckel	sträng	Registernyckel som den registrerade åtgärden tillämpades på.
Registervärdedata	sträng	Data för registervärdet som den registrerade åtgärden tillämpades på.
Registervärdesnamn	sträng	Namnet på registervärdet som den registrerade åtgärden tillämpades på.
RegisterVärdeTyp	sträng	Datatyp, till exempel binär eller sträng, för registervärdet som den registrerade åtgärden tillämpades på.
ReportId	lång	Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime..
SourceSystem	sträng	Agenttypen som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
HyresgästId	sträng	Log Analytics-arbetsyta-ID
Tidpunkt för generering	datumtid	Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ	sträng	Namnet på tabellen