DeviceImageLoadEvents

  • 项目

此表是 Azure Sentinel 终结点Microsoft Defender的一部分。 此表包含 DLL 加载事件。

表属性

Attribute 值
资源类型 -
类别 安全性
解决方案 SecurityInsights
基本日志 否
引入时间转换 是
示例查询 -

列

列 类型 说明
ActionType 字符串 触发事件的活动的类型。
AppGuardContainerId 字符串 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize real 记录大小（以字节为单位）
DeviceId string 服务中设备的唯一标识符。
DeviceName 字符串 设备的 FQDN) (完全限定的域名。
FileName string 帐户的域。
FileSize long 文件的大小（以字节为单位）。
FolderPath 字符串 帐户的域。
InitiatingProcessAccountDomain 字符串 运行负责事件的进程的帐户的域。
InitiatingProcessAccountName 字符串 运行负责事件的进程的帐户的用户名。
InitiatingProcessAccountObjectId 字符串 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid 字符串 安全标识符 (运行负责事件的进程的帐户的 SID) 。
InitiatingProcessAccountUpn 字符串 用户主体名称 (运行负责事件的进程的帐户的 UPN) 。
InitiatingProcessCommandLine 字符串 用于运行启动事件的进程的命令行。
InitiatingProcessCreationTime datetime 启动事件的进程的日期和时间。
InitiatingProcessFileName 字符串 启动事件的进程的名称。
InitiatingProcessFileSize long 进程 (启动事件的图像文件) 的大小（以字节为单位）。
InitiatingProcessFolderPath 字符串 包含发起事件的进程 (图像文件) 的文件夹。
InitiatingProcessId long 进程 ID (启动事件的进程的 PID) 。
InitiatingProcessIntegrityLevel 字符串 发起事件的进程的完整性级别。 Windows 根据某些特征（例如，是否从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响对资源的权限。
InitiatingProcessMD5 字符串 发起事件的进程的 MD5 哈希 (映像文件) 。
InitiatingProcessParentCreationTime datetime 负责事件的进程的父级启动日期和时间。
InitiatingProcessParentFileName 字符串 生成负责事件的进程的父进程的名称。
InitiatingProcessParentId long 进程 ID (生成负责事件的进程的父进程的 PID) 。
InitiatingProcessSHA1 字符串 发起事件的进程 (图像文件) 的 SHA-1 哈希。
InitiatingProcessSHA256 字符串 启动事件的进程的 SHA-256 哈希 (映像文件) 。 通常不填充此字段 - 使用 SHA1 列（如果可用）。
InitiatingProcessTokenElevation 字符串 指示是否存在用户访问控制 (UAC 的令牌类型，) 应用于发起事件的进程的权限提升。
InitiatingProcessVersionInfoCompanyName 字符串 进程版本信息中的公司名称 (映像文件) 负责事件。
InitiatingProcessVersionInfoFileDescription 字符串 进程版本信息的说明 (映像文件) 负责事件。
InitiatingProcessVersionInfoInternalFileName 字符串 进程版本信息的内部文件名 (负责事件的映像文件) 。
InitiatingProcessVersionInfoOriginalFileName 字符串 进程版本信息的原始文件名 (映像文件) 负责事件。
InitiatingProcessVersionInfoProductName 字符串 进程版本信息中的产品名称 (映像文件) 负责事件。
InitiatingProcessVersionInfoProductVersion 字符串 过程版本信息中的产品版本 (映像文件) 事件负责。
_IsBillable 字符串 指定引入数据是否可计费。 当_IsBillable false 引入时，不会向 Azure 帐户计费
MachineGroup 字符串 计算机的计算机组。 基于角色的访问控制使用此组来确定对计算机的访问权限。
MD5 字符串 已记录操作应用于的文件的 MD5 哈希。
ReportId long 基于重复计数器的事件标识符。 若要标识唯一事件，必须将此列与 ComputerName 和 EventTime 列结合使用。
SHA1 字符串 已记录操作应用于的文件的 SHA-1 哈希。
SHA256 字符串 已记录操作应用于的文件的 SHA-256。
SourceSystem 字符串 事件所收集的代理的类型。 例如，OpsManager对于 Windows 代理，直接连接或 Operations Manager，Linux对于所有 Linux 代理，或者Azure对于 Azure 诊断
TenantId 字符串 Log Analytics 工作区 ID
TimeGenerated datetime 终结点上的 MDE 代理记录事件的日期和时间。
类型 字符串 表的名称