DeviceProcessEvents

终结点 (MDE) 设备进程事件表的Microsoft Defender。 此表包含有关终结点上的进程创建和相关事件的信息。

表属性

Attribute	值
资源类型	-
类别	安全性
解决方案	SecurityInsights
基本日志	否
引入时间转换	是
示例查询	-

列

列	类型	说明
AccountDomain	字符串	帐户的域。
AccountName	字符串	帐户的用户名。
AccountObjectId	字符串	Azure AD 中帐户的唯一标识符。
AccountSid	字符串	帐户的 SID) (安全标识符。
AccountUpn	字符串	用户主体名称 (帐户的 UPN) 。
ActionType	字符串	触发事件的活动的类型。
AdditionalFields	dynamic	有关实体或事件的其他信息。
AppGuardContainerId	字符串	应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize	real	记录大小（以字节为单位）
DeviceId	string	服务中设备的唯一标识符。
DeviceName	字符串	设备的 FQDN) (完全限定的域名。
FileName	string	应用记录操作的文件的名称。
FileSize	long	文件的大小（以字节为单位）。
FolderPath	字符串	包含已记录操作应用到的文件的文件夹。
InitiatingProcessAccountDomain	字符串	运行负责事件的进程的帐户的域。
InitiatingProcessAccountName	字符串	运行负责事件的进程的帐户的用户名。
InitiatingProcessAccountObjectId	字符串	运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid	字符串	安全标识符 (运行负责事件的进程的帐户的 SID) 。
InitiatingProcessAccountUpn	字符串	用户主体名称 (运行负责事件的进程的帐户的 UPN) 。
InitiatingProcessCommandLine	字符串	用于运行启动事件的进程的命令行。
InitiatingProcessCreationTime	datetime	启动事件的进程的日期和时间。
InitiatingProcessFileName	字符串	启动事件的进程的名称。
InitiatingProcessFileSize	long	运行负责事件的进程的) 文件大小 (字节。
InitiatingProcessFolderPath	字符串	包含发起事件的进程 (图像文件) 的文件夹。
InitiatingProcessId	long	进程 ID (启动事件的进程的 PID) 。
InitiatingProcessIntegrityLevel	字符串	发起事件的进程的完整性级别。 Windows 根据某些特征（例如，是否从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响对资源的权限。
InitiatingProcessLogonId	long	发起事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。
InitiatingProcessMD5	字符串	发起事件的进程的 MD5 哈希 (映像文件) 。
InitiatingProcessParentCreationTime	datetime	负责事件的进程的父级启动日期和时间。
InitiatingProcessParentFileName	字符串	生成负责事件的进程的父进程的名称。
InitiatingProcessParentId	long	进程 ID (生成负责事件的进程的父进程的 PID) 。
InitiatingProcessSHA1	字符串	发起事件的进程 (图像文件) 的 SHA-1 哈希。
InitiatingProcessSHA256	字符串	发起事件的进程的 SHA-256 哈希 (图像文件) 。 在某些情况下，可能不会填充此列 - 请改用 InitiatingProcessSHA1 列。
InitiatingProcessSignatureStatus	字符串	有关发起事件的进程的签名状态 (映像文件) 的信息。
InitiatingProcessSignerType	字符串	发起事件的进程的文件签名者 (映像文件) 的类型。
InitiatingProcessTokenElevation	字符串	标记类型，指示是否存在用户访问控制 (UAC) 特权提升应用于发起事件的进程。
InitiatingProcessVersionInfoCompanyName	字符串	版本信息中的公司名称 (负责事件的映像文件) 。
InitiatingProcessVersionInfoFileDescription	字符串	版本信息 (映像文件中的说明) 事件负责。
InitiatingProcessVersionInfoInternalFileName	字符串	版本信息中的内部文件名 (负责事件的映像文件) 。
InitiatingProcessVersionInfoOriginalFileName	字符串	版本信息中的原始文件名 (图像文件) 负责事件。
InitiatingProcessVersionInfoProductName	字符串	版本信息中的产品名称 (负责事件的映像文件) 。
InitiatingProcessVersionInfoProductVersion	字符串	版本信息中的产品版本 (映像文件) 负责事件。
_IsBillable	字符串	指定引入数据是否可计费。 当_IsBillable false 引入时，不会向 Azure 帐户计费
LogonId	long	登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。
MachineGroup	字符串	计算机的计算机组。 基于角色的访问控制使用此组来确定对计算机的访问权限。
MD5	字符串	记录的操作应用到的文件的 MD5 哈希。
ProcessCommandLine	字符串	用于创建新进程的命令行。
ProcessCreationTime	datetime	进程的创建日期和时间。
ProcessId	long	新创建的进程的进程 ID (PID) 。
ProcessIntegrityLevel	字符串	新创建的进程的完整性级别。 Windows 根据某些特征为进程分配完整性级别，例如，这些进程是否是从 Internet 下载启动的。 这些完整性级别会影响对资源的权限。
ProcessTokenElevation	字符串	标记类型，指示应用于新创建的进程的用户访问控制 (UAC) 特权提升是否存在。
ProcessVersionInfoCompanyName	字符串	新创建进程的版本信息中的公司名称。
ProcessVersionInfoFileDescription	字符串	来自新创建进程的版本信息的说明。
ProcessVersionInfoInternalFileName	字符串	来自新创建进程的版本信息的内部文件名。
ProcessVersionInfoOriginalFileName	字符串	新建进程的版本信息中的原始文件名。
ProcessVersionInfoProductName	字符串	新创建进程的版本信息中的产品名称。
ProcessVersionInfoProductVersion	字符串	新创建进程的版本信息中的产品版本。
ReportId	long	基于重复计数器的事件标识符。 若要标识唯一事件，必须将此列与 ComputerName 和 EventTime 列结合使用。
SHA1	字符串	已记录操作应用于的文件的 SHA-1 哈希。
SHA256	字符串	已记录操作应用于的文件的 SHA-256。
SourceSystem	字符串	事件所收集的代理的类型。 例如，OpsManager对于 Windows 代理，直接连接或 Operations Manager，Linux对于所有 Linux 代理，或者Azure对于 Azure 诊断
TenantId	字符串	Log Analytics 工作区 ID
TimeGenerated	datetime	终结点上的 MDE 代理记录事件的日期和时间。
类型	字符串	表的名称