DeviceEvents

  • Artikel

Gäller för:

  • Microsoft Defender XDR
  • Microsoft Defender för Endpoint

De olika enhetshändelserna eller DeviceEvents tabellen i det avancerade jaktschemat innehåller information om olika händelsetyper, inklusive händelser som utlöses av säkerhetskontroller, till exempel Microsoft Defender Antivirus och sårbarhetsskydd. Använd den här referensen för att skapa frågor som returnerar information från den här tabellen.

Tips

Detaljerad information om de händelsetyper (ActionTypevärden) som stöds av en tabell finns i den inbyggda schemareferensen som är tillgänglig i Microsoft Defender XDR.

Information om andra tabeller i schemat för avancerad jakt finns i referensen för avancerad jakt.

Kolumnnamn Datatyp Beskrivning
Timestamp datetime Datum och tid då händelsen registrerades
DeviceId string Unik identifierare för enheten i tjänsten
DeviceName string Fullständigt kvalificerat domännamn (FQDN) för enheten
ActionType string Typ av aktivitet som utlöste händelsen. Mer information finns i schemareferensen i portalen .
FileName string Namnet på filen som den inspelade åtgärden tillämpades på
FolderPath string Mapp som innehåller filen som den inspelade åtgärden tillämpades på
SHA1 string SHA-1 av filen som den inspelade åtgärden tillämpades på
SHA256 string SHA-256 av filen som den registrerade åtgärden tillämpades på. Det här fältet är vanligtvis inte ifyllt – använd sha1-kolumnen när det är tillgängligt.
MD5 string MD5-hash för filen som den registrerade åtgärden tillämpades på
FileSize long Filens storlek i byte
AccountDomain string Domän för kontot
AccountName string Användarkontots namn; om enheten är registrerad i Microsoft Entra ID kan användarnamnet för Etttra-ID för kontot visas i stället
AccountSid string Säkerhetsidentifierare (SID) för kontot
RemoteUrl string URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till
RemoteDeviceName string Namnet på enheten som utförde en fjärråtgärd på den berörda enheten. Beroende på vilken händelse som rapporteras kan det här namnet vara ett fullständigt kvalificerat domännamn (FQDN), ett NetBIOS-namn eller ett värdnamn utan domäninformation.
ProcessId long Process-ID (PID) för den nyligen skapade processen
ProcessCommandLine string Kommandorad som används för att skapa den nya processen
ProcessCreationTime datetime Datum och tid då processen skapades
ProcessTokenElevation string Anger vilken typ av tokenhöjning som tillämpas på den nyligen skapade processen. Möjliga värden: TokenElevationTypeLimited (begränsad), TokenElevationTypeDefault (standard) och TokenElevationTypeFull (förhöjd)
LogonId long Identifierare för en inloggningssession. Den här identifieraren är bara unik på samma enhet mellan omstarter.
RegistryKey string Registernyckel som den registrerade åtgärden tillämpades på
RegistryValueName string Namnet på registervärdet som den registrerade åtgärden tillämpades på
RegistryValueData string Data för registervärdet som den registrerade åtgärden tillämpades på
RemoteIP string IP-adress som var ansluten till
RemotePort int TCP-port på fjärrenheten som var ansluten till
LocalIP string IP-adress tilldelad till den lokala enhet som används vid kommunikation
LocalPort int TCP-port på den lokala enhet som används vid kommunikation
FileOriginUrl string URL där filen laddades ned från
FileOriginIP string IP-adress där filen laddades ned från
InitiatingProcessSHA1 string SHA-1 av processen (bildfil) som initierade händelsen
InitiatingProcessSHA256 string SHA-256 av processen (bildfil) som initierade händelsen. Det här fältet är vanligtvis inte ifyllt – använd sha1-kolumnen när det är tillgängligt.
InitiatingProcessMD5 string MD5-hash för processen (bildfil) som initierade händelsen
InitiatingProcessFileName string Namnet på processen som initierade händelsen
InitiatingProcessFileSize long Storleken på filen som körde processen som ansvarar för händelsen
InitiatingProcessFolderPath string Mapp som innehåller processen (bildfil) som initierade händelsen
InitiatingProcessId long Process-ID (PID) för processen som initierade händelsen
InitiatingProcessCommandLine string Kommandorad som används för att köra processen som initierade händelsen
InitiatingProcessCreationTime datetime Datum och tid då processen som initierade händelsen startades
InitiatingProcessAccountDomain string Domän för det konto som körde processen som ansvarar för händelsen
InitiatingProcessAccountName string Användarnamnet för det konto som körde processen som var ansvarig för händelsen. om enheten är registrerad i Microsoft Entra ID kan Användarnamn för Entra-ID för det konto som körde processen som ansvarar för händelsen visas i stället
InitiatingProcessAccountSid string Säkerhetsidentifierare (SID) för det konto som körde processen som ansvarar för händelsen
InitiatingProcessAccountUpn string Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen. om enheten är registrerad i Microsoft Entra ID kan Entra ID UPN för det konto som körde processen som ansvarar för händelsen visas i stället
InitiatingProcessAccountObjectId string Microsoft Entra objekt-ID för användarkontot som körde processen som ansvarar för händelsen
InitiatingProcessVersionInfoCompanyName string Företagsnamn från versionsinformationen för processen (avbildningsfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoProductName string Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoProductVersion string Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoInternalFileName string Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoOriginalFileName string Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoFileDescription string Beskrivning från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessParentId long Process-ID (PID) för den överordnade processen som skapade processen som var ansvarig för händelsen
InitiatingProcessParentFileName string Namn eller fullständig sökväg för den överordnade processen som skapade processen som ansvarar för händelsen
InitiatingProcessParentCreationTime datetime Datum och tid då den överordnade processen som ansvarar för händelsen startades
InitiatingProcessLogonId long Identifierare för en inloggningssession för processen som initierade händelsen. Den här identifieraren är bara unik på samma enhet mellan omstarter.
ReportId long Händelseidentifierare baserad på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna DeviceName och Timestamp.
AppGuardContainerId string Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet
AdditionalFields string Ytterligare information om händelsen i JSON-matrisformat

Tips

Vill du veta mer? Engage med Microsofts säkerhetscommunity i vår Tech Community: Microsoft Defender XDR Tech Community.