DeviceFileEvents
此表是 Azure Sentinel 终结点Microsoft Defender的一部分。 此表包含文件创建、修改和其他文件系统事件。
表属性
Attribute | 值 |
---|---|
资源类型 | - |
类别 | 安全性 |
解决方案 | SecurityInsights |
基本日志 | 否 |
引入时间转换 | 是 |
示例查询 | - |
列
列 | 类型 | 说明 |
---|---|---|
ActionType | 字符串 | 触发事件的活动的类型。 |
AdditionalFields | dynamic | 有关实体或事件的其他信息。 |
AppGuardContainerId | 字符串 | 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
_BilledSize | real | 记录大小(以字节为单位) |
DeviceId | string | 服务中设备的唯一标识符。 |
DeviceName | 字符串 | 设备的 FQDN) (完全限定的域名。 |
FileName | string | 已记录操作应用于的文件的名称。 |
FileOriginIP | 字符串 | 从中下载文件的 IP 地址。 |
FileOriginReferrerUrl | 字符串 | 链接到已下载文件的网页的 URL。 |
FileOriginUrl | 字符串 | 从中下载文件的 URL。 |
FileSize | long | 文件的大小(以字节为单位)。 |
FolderPath | 字符串 | 包含已记录操作应用于的文件的文件夹。 |
InitiatingProcessAccountDomain | 字符串 | 运行负责事件的进程的帐户的域。 |
InitiatingProcessAccountName | 字符串 | 运行负责事件的进程的帐户的用户名。 |
InitiatingProcessAccountObjectId | 字符串 | 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
InitiatingProcessAccountSid | 字符串 | 安全标识符 (运行负责事件的进程的帐户的 SID) 。 |
InitiatingProcessAccountUpn | 字符串 | 用户主体名称 (运行负责事件的进程的帐户的 UPN) 。 |
InitiatingProcessCommandLine | 字符串 | 用于运行启动事件的进程的命令行。 |
InitiatingProcessCreationTime | datetime | 启动事件的进程的日期和时间。 |
InitiatingProcessFileName | 字符串 | 启动事件的进程的名称。 |
InitiatingProcessFileSize | long | 进程 (启动事件的图像文件) 的大小(以字节为单位)。 |
InitiatingProcessFolderPath | 字符串 | 包含发起事件的进程 (图像文件) 的文件夹。 |
InitiatingProcessId | long | 进程 ID (启动事件的进程的 PID) 。 |
InitiatingProcessIntegrityLevel | 字符串 | 启动事件的进程的完整性级别。 Windows 根据某些特征(例如从 Internet 下载启动的进程)为进程分配完整性级别。 这些完整性级别会影响对资源的权限。 |
InitiatingProcessMD5 | 字符串 | 发起事件的进程的 MD5 哈希 (映像文件) 。 |
InitiatingProcessParentCreationTime | datetime | 负责事件的进程的父级的启动日期和时间。 |
InitiatingProcessParentFileName | 字符串 | 生成负责事件的进程的父进程的名称。 |
InitiatingProcessParentId | long | 进程 ID (生成负责事件的进程的父进程的 PID) 。 |
InitiatingProcessSHA1 | 字符串 | 启动事件的进程的 SHA-1 哈希 (映像文件) 。 |
InitiatingProcessSHA256 | 字符串 | 启动事件的进程的 SHA-256 哈希 (映像文件) 。 通常不填充此字段 - 使用 SHA1 列(如果可用)。 |
InitiatingProcessTokenElevation | 字符串 | 指示是否存在用户访问控制 (UAC 的令牌类型,) 应用于发起事件的进程的权限提升。 |
InitiatingProcessVersionInfoCompanyName | 字符串 | 进程版本信息中的公司名称 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoFileDescription | 字符串 | 进程版本信息的说明 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoInternalFileName | 字符串 | 进程版本信息的内部文件名 (负责事件的映像文件) 。 |
InitiatingProcessVersionInfoOriginalFileName | 字符串 | 进程版本信息的原始文件名 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoProductName | 字符串 | 进程版本信息中的产品名称 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoProductVersion | 字符串 | 过程版本信息中的产品版本 (映像文件) 事件负责。 |
IsAzureInfoProtectionApplied | bool | 指示文件是否由 Azure 信息保护加密。 |
_IsBillable | 字符串 | 指定引入数据是否可计费。 当_IsBillable false 引入时,不会向 Azure 帐户计费 |
MachineGroup | 字符串 | 计算机的计算机组。 基于角色的访问控制使用此组来确定对计算机的访问权限。 |
MD5 | 字符串 | 已记录操作应用于的文件的 MD5 哈希。 |
PreviousFileName | 字符串 | 由于操作而重命名的文件的原始名称。 |
PreviousFolderPath | 字符串 | 应用录制操作之前包含文件的原始文件夹。 |
ReportId | long | 基于重复计数器的事件标识符。 若要标识唯一事件,必须将此列与 ComputerName 和 EventTime 列结合使用。 |
RequestAccountDomain | 字符串 | 用于远程启动活动的帐户的域。 |
RequestAccountName | 字符串 | 用于远程启动活动的帐户的用户名。 |
RequestAccountSid | 字符串 | 安全标识符 (用于远程启动活动的帐户的 SID) 。 |
RequestProtocol | 字符串 | 网络协议(如果适用)用于启动活动:未知、本地、SMB 或 NFS。 |
RequestSourceIP | 字符串 | 发起活动的远程设备的 IPv4 或 IPv6 地址。 |
RequestSourcePort | int | 发起活动的远程设备上的源端口。 |
SensitivityLabel | 字符串 | 应用于电子邮件、文件或其他内容的标签,以便对其进行分类,以便进行信息保护。 |
SensitivitySubLabel | 字符串 | 应用于电子邮件、文件或其他内容的子标签,以便对其进行分类,以便进行信息保护;敏感度子标签在敏感度标签下分组,但单独处理。 |
SHA1 | 字符串 | 已记录操作应用于的文件的 SHA-1 哈希。 |
SHA256 | 字符串 | 已记录操作应用于的文件的 SHA-256。 |
ShareName | 字符串 | 包含文件的共享文件夹的名称。 |
SourceSystem | 字符串 | 事件所收集的代理的类型。 例如,OpsManager 对于 Windows 代理,直接连接或 Operations Manager,Linux 对于所有 Linux 代理,或者Azure 对于 Azure 诊断 |
TenantId | 字符串 | Log Analytics 工作区 ID |
TimeGenerated | datetime | 终结点上的 MDE 代理记录事件的日期和时间。 |
类型 | 字符串 | 表的名称 |
反馈
https://aka.ms/ContentUserFeedback。
即将发布:在整个 2024 年,我们将逐步淘汰作为内容反馈机制的“GitHub 问题”,并将其取代为新的反馈系统。 有关详细信息,请参阅:提交和查看相关反馈