Share via

MDCFileIntegrityMonitoringEvents

  • Artikel

Visa ändringar av Windows- och Linux-filer samt programregisternycklar. Händelser från den här tabellen samlas in av Microsoft Defender för Endpoint (MDE).

Tabellattribut

Attribut Värde
Resurstyper -
Kategorier Säkerhet
Lösningar LogManagement
Grundläggande logg Yes
Inmatningstidstransformering No
Exempelfrågor -

Kolumner

Kolumn Typ Description
AADTenantID sträng AAD-klient-ID:t för prenumerationen där den övervakade entiteten skapades, bytte namn, ändrades eller togs bort.
AzureResourceId sträng Azure-resurs-ID för resursen vars övervakade entitet skapades, bytte namn, ändrades eller togs bort.
_BilledSize real Poststorleken i byte
Changetype sträng Den typ av ändring som inträffade på entiteten. För entiteten "Fil" måste antingen vara "Skapad", "Ändrad", "Omdöpt" eller "Borttagen". För "Registry"-entiteten måste antingen vara "RegistryKeyCreated", "RegistryKeyDeleted", "RegistryValueSet", "RegistryValueDeleted", "RegistryKeyRenamed".
CloudIdentifier sträng Molnidentifieraren för resursen.
CloudProvider sträng Molnleverantören för resursen.
CloudResourceType sträng Typen av molnresurs.
Dator sträng Namnet på den dator där den övervakade entiteten skapades, bytte namn, ändrades eller togs bort.
FileMd5 sträng Relevant för "Fil" övervakad entitetstyp. Innehåller MD5 för filen som ändrades, skapades eller togs bort.
Filnamn sträng Relevant för "Fil" övervakad entitetstyp. Innehåller namnet på filen som skapades, bytte namn, ändrades eller togs bort.
Filepath sträng Relevant för "Fil" övervakad entitetstyp. Innehåller sökvägen till filen som skapades, bytte namn, ändrades eller togs bort.
FileSha1 sträng Relevant för "Fil" övervakad entitetstyp. Innehåller SHA1 för filen som ändrades, skapades eller togs bort.
FileSha256 sträng Relevant för "Fil" övervakad entitetstyp. Innehåller SHA256 för filen som ändrades, skapades eller togs bort.
Filstorlek long Relevant för "Fil" övervakad entitetstyp. Innehåller den aktuella storleken (i byte) för filen som skapades, bytte namn, ändrades eller togs bort.
Filtyp sträng Relevant för "Fil" övervakad entitetstyp. Innehåller den typ av fil som skapades, bytte namn, ändrades eller togs bort. Exempel på möjliga värden: Zip, PDF, Xar osv.
InitieraProcessAccountDomainName sträng Innehåller kontodomännamnet för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessAccountName sträng Innehåller kontonamnet för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessAccountSid sträng Innehåller konto-SID för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessCreationTime datetime Rymmer skapandetiden för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessFirstSeen datetime Innehåller den första tidpunkten för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessId long Innehåller process-ID för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessImageFileName sträng Innehåller avbildningsfilens namn på den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessImageFilePath sträng Innehåller sökvägen till avbildningsfilen för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessImageFileType sträng Innehåller avbildningsfiltypen för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessName sträng Innehåller namnet på den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessSessionId long Innehåller sessions-ID för den initierande process som orsakade den övervakade entitetshändelsen.
InitieraProcessSource sträng Innehåller källan till den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageCreationTimeUtc datetime Innehåller avbildningens skapandetid för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageFileSizeInBytes long Innehåller bildfilens storlek (i byte) för den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageLastAccessTimeUtc datetime Innehåller avbildningens senaste åtkomsttid för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageLastWriteTimeUtc datetime Innehåller avbildningens senaste skrivtid för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageLsHash sträng Innehåller avbildningens LS-hash för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageMd5 sträng Innehåller avbildningen MD5 för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImagePeTimestampUtc datetime Innehåller pe-avbildningstiden för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageSha1 sträng Innehåller avbildningen SHA 1 för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcImageSha256 sträng Innehåller avbildningen SHA 256 för avbildningen av den initierande process som orsakade den övervakade entitetshändelsen.
InitProcVersionInfoCompanyName sträng Innehåller versionsinformationens företagsnamn för den initierande process som orsakade den övervakade entitetshändelsen.
InitProcVersionInfoFileDescription sträng Innehåller beskrivningen av versionsinformationsfilen för den initierande process som orsakade den övervakade entitetshändelsen.
InitProcVersionInfoInternalFileName sträng Innehåller det interna filnamnet för versionsinformationen för den initierande process som orsakade den övervakade entitetshändelsen.
InitProcVersionInfoOriginalFileName sträng Innehåller versionsinformationens ursprungliga filnamn för den initierande process som orsakade den övervakade entitetshändelsen.
InitProcVersionInfoProductName sträng Innehåller versionsinformationens produktnamn för den initierande process som orsakade den övervakade entitetshändelsen.
InitProcVersionInfoProductVersion sträng Innehåller versionsinformationens produktversion av den initierande process som orsakade den övervakade entitetshändelsen.
_IsBillable sträng Anger om inmatning av data är fakturerbart. När _IsBillable är false debiteras inte inmatningen till ditt Azure-konto
MonitoredEntityType sträng Typen av övervakad entitet som skapades, bytte namn, ändrades eller togs bort. Kan vara antingen "File" eller "Registry".
NewValueData sträng Relevant för "Registry" övervakad entitetstyp. Innehåller värdedata för det nya registret.
NewValueName sträng Relevant för "Registry" övervakad entitetstyp. Innehåller namnet på det nya registervärdet.
NewValueType sträng Relevant för "Registry" övervakad entitetstyp. Innehåller värdetypen Nytt register.
OldValueData sträng Relevant för "Registry" övervakad entitetstyp. Innehåller tidigare registervärdedata.
OldValueFullRegistryKey sträng Relevant för "Registry" övervakad entitetstyp. Innehåller den tidigare fullständiga registernyckeln.
OldValueName sträng Relevant för "Registry" övervakad entitetstyp. Innehåller det tidigare registervärdenamnet.
OldValueType sträng Relevant för "Registry" övervakad entitetstyp. Innehåller den tidigare registervärdetypen.
OriginalFileName sträng Relevant för "Fil" övervakad entitetstyp och för ändringstypen Byt namn. Innehåller det ursprungliga namnet på filen som bytte namn innan namnbytet inträffade.
OriginalFilePath sträng Relevant för filövervakade entitetstyper och för ändringstypen Byt namn. Innehåller den ursprungliga sökvägen till filen som har bytt namn innan namnbytet inträffade.
RegistryHive sträng Relevant för den övervakade entitetstypen Register. Innehåller konfigurationsinställningarna för gruppering för operativsystemet och programmen.
RegistryKey sträng Relevant för den övervakade entitetstypen Register. Innehåller den fullständiga registernyckeln för registret som skapades eller den nya registernyckeln för registret som har bytt namn.
RequestAccountDomain sträng Relevant för den övervakade entitetstypen Fil. Innehåller domänen för kontot för den användare som orsakade filhändelsen.
RequestAccountName sträng Relevant för den övervakade entitetstypen Fil. Innehåller namnet på kontot för den användare som orsakade filhändelsen.
RequestAccountSid sträng Relevant för den övervakade entitetstypen Fil. Innehåller SID för kontot för användaren som orsakade filhändelsen.
RequestSource sträng Relevant för den övervakade entitetstypen Fil. Innehåller källan för kontot för den användare som orsakade filhändelsen. Till exempel Local/SMB/NFS.
RequestSourceIP sträng Relevant för den övervakade entitetstypen Fil. Innehåller käll-IP-adressen för kontot för användaren som orsakade filhändelsen. Ip-adressen som begäran kom från för fjärrfilen.
RequestSourcePort sträng Relevant för den övervakade entitetstypen Fil. Innehåller källporten för kontot för användaren som orsakade filhändelsen. För fjärrfilen, porten som begäran kom från.
SourceSystem sträng Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId sträng Log Analytics-arbetsytans ID
TimeGenerated datetime Tiden (UTC) när den övervakade entiteten skapades, bytte namn, ändrades eller togs bort.
Typ sträng Namnet på tabellen