DeviceNetworkEvents
Gäller för:
- Microsoft Defender XDR
- Microsoft Defender för Endpoint
Tabellen DeviceNetworkEvents
i det avancerade jaktschemat innehåller information om nätverksanslutningar och relaterade händelser. Använd den här referensen för att skapa frågor som returnerar information från den här tabellen.
Tips
Detaljerad information om de händelsetyper (ActionType
värden) som stöds av en tabell finns i den inbyggda schemareferensen som är tillgänglig i Microsoft Defender XDR.
Information om andra tabeller i schemat för avancerad jakt finns i referensen för avancerad jakt.
Kolumnnamn | Datatyp | Beskrivning |
---|---|---|
Timestamp |
datetime |
Datum och tid då händelsen registrerades |
DeviceId |
string |
Unik identifierare för enheten i tjänsten |
DeviceName |
string |
Fullständigt kvalificerat domännamn (FQDN) för enheten |
ActionType |
string |
Typ av aktivitet som utlöste händelsen. Mer information finns i schemareferensen i portalen . |
RemoteIP |
string |
IP-adress som var ansluten till |
RemotePort |
int |
TCP-port på fjärrenheten som var ansluten till |
RemoteUrl |
string |
URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till |
LocalIP |
string |
Käll-IP eller IP-adressen där kommunikationen kom från |
LocalPort |
int |
TCP-port på den lokala enhet som används vid kommunikation |
Protocol |
string |
Protokoll som används under kommunikationen |
LocalIPType |
string |
Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast |
RemoteIPType |
string |
Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast |
InitiatingProcessSHA1 |
string |
SHA-1 av processen (bildfil) som initierade händelsen |
InitiatingProcessSHA256 |
string |
SHA-256 av processen (bildfil) som initierade händelsen. Det här fältet är vanligtvis inte ifyllt – använd sha1-kolumnen när det är tillgängligt. |
InitiatingProcessMD5 |
string |
MD5-hash för processen (bildfil) som initierade händelsen |
InitiatingProcessFileName |
string |
Namnet på den processfil som initierade händelsen. om den inte är tillgänglig kan namnet på den process som initierade händelsen visas i stället |
InitiatingProcessFileSize |
long |
Storleken på filen som körde processen som ansvarar för händelsen |
InitiatingProcessVersionInfoCompanyName |
string |
Företagsnamn från versionsinformationen för processen (avbildningsfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoProductName |
string |
Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoProductVersion |
string |
Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoInternalFileName |
string |
Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoOriginalFileName |
string |
Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessVersionInfoFileDescription |
string |
Beskrivning från versionsinformationen för processen (bildfilen) som ansvarar för händelsen |
InitiatingProcessId |
long |
Process-ID (PID) för processen som initierade händelsen |
InitiatingProcessCommandLine |
string |
Kommandorad som används för att köra processen som initierade händelsen |
InitiatingProcessCreationTime |
datetime |
Datum och tid då processen som initierade händelsen startades |
InitiatingProcessFolderPath |
string |
Mapp som innehåller processen (bildfil) som initierade händelsen |
InitiatingProcessParentFileName |
string |
Namnet på den överordnade process som skapade processen som ansvarar för händelsen |
InitiatingProcessParentId |
long |
Process-ID (PID) för den överordnade processen som skapade processen som var ansvarig för händelsen |
InitiatingProcessParentCreationTime |
datetime |
Datum och tid då den överordnade processen som ansvarar för händelsen startades |
InitiatingProcessAccountDomain |
string |
Domän för det konto som körde processen som ansvarar för händelsen |
InitiatingProcessAccountName |
string |
Användarnamnet för det konto som körde processen som var ansvarig för händelsen. om enheten är registrerad i Microsoft Entra ID kan Användarnamn för Entra-ID för det konto som körde processen som ansvarar för händelsen visas i stället |
InitiatingProcessAccountSid |
string |
Säkerhetsidentifierare (SID) för det konto som körde processen som ansvarar för händelsen |
InitiatingProcessAccountUpn |
string |
Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen. om enheten är registrerad i Microsoft Entra ID kan Entra ID UPN för det konto som körde processen som ansvarar för händelsen visas i stället |
InitiatingProcessAccountObjectId |
string |
Microsoft Entra objekt-ID för användarkontot som körde processen som ansvarar för händelsen |
InitiatingProcessIntegrityLevel |
string |
Integritetsnivå för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser. |
InitiatingProcessTokenElevation |
string |
Tokentyp som anger förekomsten eller avsaknaden av behörighetshöjning för användare Access Control (UAC) som tillämpas på processen som initierade händelsen |
ReportId |
long |
Händelseidentifierare baserad på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna DeviceName och Timestamp. |
AppGuardContainerId |
string |
Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet |
AdditionalFields |
string |
Ytterligare information om händelsen i JSON-matrisformat |
InitiatingProcessSessionId |
long |
Windows-sessions-ID för den inledande processen |
IsInitiatingProcessRemoteSession |
bool |
Anger om den inledande processen kördes under en RDP-session (Remote Desktop Protocol) (sant) eller lokalt (falskt) |
InitiatingProcessRemoteSessionDeviceName |
string |
Enhetsnamnet på den fjärrenhet från vilken den initierande processens RDP-session initierades |
InitiatingProcessRemoteSessionIP |
string |
IP-adressen för den fjärranslutna enhet från vilken den initierande processens RDP-session initierades |
Relaterade ämnen
- Översikt över avancerad jakt
- Lär dig frågespråket
- Använda delade frågor
- Jaga över olika enheter, e-postmeddelanden, appar och identiteter
- Förstå schemat
- Använda metodtips för frågor
Tips
Vill du veta mer? Interagera med Microsofts säkerhetscommunity i vår Tech Community: Microsoft Defender XDR Tech Community.