DeviceLogonEvents
此表是 Azure Sentinel 终结点Microsoft Defender的一部分。 此表包含登录和其他身份验证事件。
表属性
Attribute | 值 |
---|---|
资源类型 | - |
类别 | 安全性 |
解决方案 | SecurityInsights |
基本日志 | 否 |
引入时间转换 | 是 |
示例查询 | - |
列
列 | 类型 | 说明 |
---|---|---|
AccountDomain | 字符串 | 帐户的域。 |
AccountName | 字符串 | 帐户的用户名。 |
AccountSid | 字符串 | 安全标识符 (帐户的 SID) 。 |
ActionType | 字符串 | 触发事件的活动的类型。 |
AdditionalFields | dynamic | 有关实体或事件的其他信息。 |
AppGuardContainerId | 字符串 | 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
_BilledSize | real | 记录大小(以字节为单位) |
DeviceId | string | 服务中设备的唯一标识符。 |
DeviceName | 字符串 | 设备的 FQDN) (完全限定的域名。 |
FailureReason | string | 说明记录的操作失败的原因的信息。 |
InitiatingProcessAccountDomain | 字符串 | 运行负责事件的进程的帐户的域。 |
InitiatingProcessAccountName | 字符串 | 运行负责事件的进程的帐户的用户名。 |
InitiatingProcessAccountObjectId | 字符串 | 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
InitiatingProcessAccountSid | 字符串 | 安全标识符 (运行负责事件的进程的帐户的 SID) 。 |
InitiatingProcessAccountUpn | 字符串 | 用户主体名称 (运行负责事件的进程的帐户的 UPN) 。 |
InitiatingProcessCommandLine | 字符串 | 用于运行启动事件的进程的命令行。 |
InitiatingProcessCreationTime | datetime | 启动事件的进程的日期和时间。 |
InitiatingProcessFileName | 字符串 | 启动事件的进程的名称。 |
InitiatingProcessFileSize | long | 进程 (启动事件的图像文件) 的大小(以字节为单位)。 |
InitiatingProcessFolderPath | 字符串 | 包含发起事件的进程 (图像文件) 的文件夹。 |
InitiatingProcessId | long | 进程 ID (启动事件的进程的 PID) 。 |
InitiatingProcessIntegrityLevel | 字符串 | 启动事件的进程的完整性级别。 Windows 根据某些特征(例如从 Internet 下载启动的进程)为进程分配完整性级别。 这些完整性级别会影响对资源的权限。 |
InitiatingProcessMD5 | 字符串 | 发起事件的进程的 MD5 哈希 (映像文件) 。 |
InitiatingProcessParentCreationTime | datetime | 负责事件的进程的父级的启动日期和时间。 |
InitiatingProcessParentFileName | 字符串 | 生成负责事件的进程的父进程的名称。 |
InitiatingProcessParentId | long | 进程 ID (生成负责事件的进程的父进程的 PID) 。 |
InitiatingProcessSHA1 | 字符串 | 启动事件的进程的 SHA-1 哈希 (映像文件) 。 |
InitiatingProcessSHA256 | 字符串 | 启动事件的进程的 SHA-256 哈希 (映像文件) 。 通常不填充此字段 - 使用 SHA1 列(如果可用)。 |
InitiatingProcessTokenElevation | 字符串 | 指示是否存在用户访问控制 (UAC 的令牌类型,) 应用于发起事件的进程的权限提升。 |
InitiatingProcessVersionInfoCompanyName | 字符串 | 进程版本信息中的公司名称 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoFileDescription | 字符串 | 进程版本信息的说明 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoInternalFileName | 字符串 | 进程版本信息的内部文件名 (负责事件的映像文件) 。 |
InitiatingProcessVersionInfoOriginalFileName | 字符串 | 进程版本信息的原始文件名 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoProductName | 字符串 | 进程版本信息中的产品名称 (映像文件) 负责事件。 |
InitiatingProcessVersionInfoProductVersion | 字符串 | 过程版本信息中的产品版本 (映像文件) 事件负责。 |
_IsBillable | 字符串 | 指定引入数据是否可计费。 当_IsBillable false 引入时,不会向 Azure 帐户计费 |
IsLocalAdmin | bool | 指示用户是否是计算机上的本地管理员的布尔指示符。 |
LogonId | long | 登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。 |
LogonType | 字符串 | 登录会话的类型,特别是交互式远程交互式 (RDP) 、网络、批处理和服务。 |
MachineGroup | 字符串 | 计算机的计算机组。 基于角色的访问控制使用此组来确定对计算机的访问权限。 |
协议 | 字符串 | 通信期间使用的协议。 |
RemoteDeviceName | 字符串 | 在受影响的计算机上执行远程操作的设备的名称。 根据所报告的事件,此名称可以是完全限定的域名 (FQDN) 、NetBIOS 名称或主机名(不含域信息)。 |
RemoteIP | 字符串 | 要连接到的 IP 地址。 |
RemoteIPType | 字符串 | IP 地址的类型,例如 Public、Private、Reserved、Loopback、Teredo、FourToSixMapping 和 Broadcast。 |
RemotePort | int | 连接到的远程设备上的 TCP 端口。 |
ReportId | long | 基于重复计数器的事件标识符。 若要标识唯一事件,必须将此列与 ComputerName 和 EventTime 列结合使用。 |
SourceSystem | 字符串 | 事件所收集的代理的类型。 例如,OpsManager 对于 Windows 代理,直接连接或 Operations Manager,Linux 对于所有 Linux 代理,或者Azure 对于 Azure 诊断 |
TenantId | 字符串 | Log Analytics 工作区 ID |
TimeGenerated | datetime | 终结点上的 MDE 代理记录事件的日期和时间。 |
类型 | 字符串 | 表的名称 |
反馈
https://aka.ms/ContentUserFeedback。
即将发布:在整个 2024 年,我们将逐步淘汰作为内容反馈机制的“GitHub 问题”,并将其取代为新的反馈系统。 有关详细信息,请参阅:提交和查看相关反馈