DeviceNetworkEvents

Gäller för:

• Microsoft Defender XDR
• Microsoft Defender för Endpoint

Tabellen DeviceNetworkEvents i det avancerade jaktschemat innehåller information om nätverksanslutningar och relaterade händelser. Använd den här referensen för att skapa frågor som returnerar information från den här tabellen.

Tips

Detaljerad information om de händelsetyper (ActionTypevärden) som stöds av en tabell finns i den inbyggda schemareferensen som är tillgänglig i Microsoft Defender XDR.

Information om andra tabeller i schemat för avancerad jakt finns i referensen för avancerad jakt.

Kolumnnamn	Datatyp	Beskrivning
Timestamp	datetime	Datum och tid då händelsen registrerades
DeviceId	string	Unik identifierare för enheten i tjänsten
DeviceName	string	Fullständigt kvalificerat domännamn (FQDN) för enheten
ActionType	string	Typ av aktivitet som utlöste händelsen. Mer information finns i schemareferensen i portalen .
RemoteIP	string	IP-adress som var ansluten till
RemotePort	int	TCP-port på fjärrenheten som var ansluten till
RemoteUrl	string	URL eller fullständigt kvalificerat domännamn (FQDN) som var anslutet till
LocalIP	string	Käll-IP eller IP-adressen där kommunikationen kom från
LocalPort	int	TCP-port på den lokala enhet som används vid kommunikation
Protocol	string	Protokoll som används under kommunikationen
LocalIPType	string	Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast
RemoteIPType	string	Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast
InitiatingProcessSHA1	string	SHA-1 av processen (bildfil) som initierade händelsen
InitiatingProcessSHA256	string	SHA-256 av processen (bildfil) som initierade händelsen. Det här fältet är vanligtvis inte ifyllt – använd sha1-kolumnen när det är tillgängligt.
InitiatingProcessMD5	string	MD5-hash för processen (bildfil) som initierade händelsen
InitiatingProcessFileName	string	Namnet på processen som initierade händelsen
InitiatingProcessFileSize	long	Storleken på filen som körde processen som ansvarar för händelsen
InitiatingProcessVersionInfoCompanyName	string	Företagsnamn från versionsinformationen för processen (avbildningsfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoProductName	string	Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoProductVersion	string	Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoInternalFileName	string	Internt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoOriginalFileName	string	Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessVersionInfoFileDescription	string	Beskrivning från versionsinformationen för processen (bildfilen) som ansvarar för händelsen
InitiatingProcessId	long	Process-ID (PID) för processen som initierade händelsen
InitiatingProcessCommandLine	string	Kommandorad som används för att köra processen som initierade händelsen
InitiatingProcessCreationTime	datetime	Datum och tid då processen som initierade händelsen startades
InitiatingProcessFolderPath	string	Mapp som innehåller processen (bildfil) som initierade händelsen
InitiatingProcessParentFileName	string	Namnet på den överordnade process som skapade processen som ansvarar för händelsen
InitiatingProcessParentId	long	Process-ID (PID) för den överordnade processen som skapade processen som var ansvarig för händelsen
InitiatingProcessParentCreationTime	datetime	Datum och tid då den överordnade processen som ansvarar för händelsen startades
InitiatingProcessAccountDomain	string	Domän för det konto som körde processen som ansvarar för händelsen
InitiatingProcessAccountName	string	Användarnamnet för det konto som körde processen som var ansvarig för händelsen. om enheten är registrerad i Microsoft Entra ID kan Användarnamn för Entra-ID för det konto som körde processen som ansvarar för händelsen visas i stället
InitiatingProcessAccountSid	string	Säkerhetsidentifierare (SID) för det konto som körde processen som ansvarar för händelsen
InitiatingProcessAccountUpn	string	Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen. om enheten är registrerad i Microsoft Entra ID kan Entra ID UPN för det konto som körde processen som ansvarar för händelsen visas i stället
InitiatingProcessAccountObjectId	string	Microsoft Entra objekt-ID för användarkontot som körde processen som ansvarar för händelsen
InitiatingProcessIntegrityLevel	string	Integritetsnivå för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser.
InitiatingProcessTokenElevation	string	Tokentyp som anger förekomsten eller avsaknaden av behörighetshöjning för användare Access Control (UAC) som tillämpas på processen som initierade händelsen
ReportId	long	Händelseidentifierare baserad på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna DeviceName och Timestamp.
AppGuardContainerId	string	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet
AdditionalFields	string	Ytterligare information om händelsen i JSON-matrisformat

Relaterade ämnen

• Översikt över avancerad jakt
• Lär dig frågespråket
• Använda delade frågor
• Jaga över olika enheter, e-postmeddelanden, appar och identiteter
• Förstå schemat
• Använda metodtips för frågor

Tips

Vill du veta mer? Engage med Microsofts säkerhetscommunity i vår Tech Community: Microsoft Defender XDR Tech Community.