DeviceNetworkEvents

终结点 (MDE) 设备网络事件表的Microsoft Defender。 此表包含有关在终结点上运行的进程启动的网络连接和相关事件的信息。

表属性

Attribute	值
资源类型	-
类别	安全性
解决方案	SecurityInsights
基本日志	否
引入时间转换	是
示例查询	-

列

列	类型	说明
ActionType	字符串	触发事件的活动的类型。
AdditionalFields	dynamic	有关实体或事件的其他信息。
AppGuardContainerId	字符串	应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize	real	记录大小（以字节为单位）
DeviceId	string	服务中设备的唯一标识符。
DeviceName	字符串	设备的 FQDN) (完全限定的域名。
InitiatingProcessAccountDomain	字符串	运行启动进程的帐户的域。
InitiatingProcessAccountName	字符串	运行启动进程的帐户的用户名。
InitiatingProcessAccountObjectId	字符串	运行启动进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid	字符串	安全标识符 (运行启动进程的帐户的 SID) 。
InitiatingProcessAccountUpn	字符串	运行启动进程的帐户的用户主体名称 (UPN) 。
InitiatingProcessCommandLine	字符串	用于运行启动进程的命令行。
InitiatingProcessCreationTime	datetime	启动事件的进程的日期和时间。
InitiatingProcessFileName	字符串	启动进程的名称。
InitiatingProcessFileSize	long	运行负责事件的进程的文件大小 (字节) 。
InitiatingProcessFolderPath	字符串	包含启动进程 (映像文件) 的文件夹。
InitiatingProcessId	long	进程 ID (启动进程的 PID) 。
InitiatingProcessIntegrityLevel	字符串	启动过程的完整性级别。 Windows 根据某些特征（例如，是否从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响对资源的权限。
InitiatingProcessMD5	字符串	启动进程的 MD5 哈希 (映像文件) 。
InitiatingProcessParentCreationTime	datetime	负责事件的进程的父级启动日期和时间。
InitiatingProcessParentFileName	字符串	生成启动进程的父进程的名称。
InitiatingProcessParentId	long	进程 ID (生成启动进程的父进程的 PID) 。
InitiatingProcessSHA1	字符串	启动进程的 SHA-1 哈希 (映像文件) 。
InitiatingProcessSHA256	字符串	启动进程的 SHA-256 哈希 (映像文件) 。 在某些情况下，可能不会填充此列 - 请改用 InitiatingProcessSHA1 列。
InitiatingProcessTokenElevation	字符串	标记类型，指示用户访问控制 (UAC) 应用于启动进程的特权提升是否存在。
InitiatingProcessVersionInfoCompanyName	字符串	版本信息中的公司名称 (负责事件的映像文件) 。
InitiatingProcessVersionInfoFileDescription	字符串	版本信息 (映像文件中的说明) 事件负责。
InitiatingProcessVersionInfoInternalFileName	字符串	版本信息中的内部文件名 (映像文件) 负责事件。
InitiatingProcessVersionInfoOriginalFileName	字符串	版本信息中的原始文件名 (映像文件) 负责事件。
InitiatingProcessVersionInfoProductName	字符串	版本信息中的产品名称 (负责事件的映像文件) 。
InitiatingProcessVersionInfoProductVersion	字符串	版本信息中的产品版本 (映像文件) 事件负责。
_IsBillable	字符串	指定引入数据是否可计费。 当_IsBillable false 引入时，不会向 Azure 帐户计费
LocalIP	字符串	分配给通信期间使用的本地计算机的 IP 地址。
LocalIPType	字符串	IP 地址的类型，例如 Public、Private、Reserved、Loopback、Teredo、FourToSixMapping 和 Broadcast。
LocalPort	int	通信期间使用的本地计算机上的 TCP 端口。
MachineGroup	字符串	计算机的计算机组。 基于角色的访问控制使用此组来确定对计算机的访问权限。
协议	字符串	使用的 IP 协议，无论是 TCP 还是 UDP。
RemoteIP	字符串	要连接到的 IP 地址。
RemoteIPType	字符串	IP 地址的类型，例如 Public、Private、Reserved、Loopback、Teredo、FourToSixMapping 和 Broadcast。
RemotePort	int	连接到的远程设备上的 TCP 端口。
RemoteUrl	字符串	要连接到的 FQDN) (URL 或完全限定的域名。
ReportId	long	基于重复计数器的事件标识符。 若要标识唯一事件，必须将此列与 ComputerName 和 EventTime 列结合使用。
SourceSystem	字符串	事件所收集的代理的类型。 例如，OpsManager对于 Windows 代理，直接连接或 Operations Manager，Linux对于所有 Linux 代理，或者Azure对于 Azure 诊断
TenantId	字符串	Log Analytics 工作区 ID
TimeGenerated	datetime	终结点上的 MDE 代理记录事件的日期和时间。
类型	字符串	表的名称