通过

BehaviorInfo (Preview)

  • 适用于: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

BehaviorInfo 高级搜寻架构中的表包含有关来自Microsoft Defender for Cloud Apps的警报的信息。 使用此参考来构建从此表返回信息的查询。

重要

该 BehaviorInfo 表处于预览状态，不适用于 GCC。 在商业发布之前，此处的信息可能会进行重大修改。 Microsoft 对此处所提供的信息不作任何明示或默示的保证。 有反馈要分享吗？ 填写反馈 表单。

行为是基于一个或多个原始事件的Microsoft Defender XDR中的一种数据类型。 行为提供对事件的上下文见解，并且可以（但不一定）指示恶意活动。 详细了解行为

此高级搜寻表由Microsoft Defender for Cloud Apps中的记录填充。 如果组织尚未在 Microsoft Defender XDR 中部署服务，则使用该表的查询将不起作用或返回任何结果。 有关如何在 Defender XDR 中部署服务的详细信息，请参阅部署支持的服务。

若要确保BehaviorInfo表由Microsoft Defender for Cloud Apps数据填充，

  1. 转到 Defender 门户并选择 “设置 > ”“云应用 > 应用应用连接器”。
  2. 在 “选择Microsoft 365 组件 ”页中，选中 “Microsoft 365 活动 ”复选框。 有关详细说明，请参阅：将 Microsoft 365 连接到Microsoft Defender for Cloud Apps

有关高级搜寻架构中其他表的信息，请参阅高级搜寻参考。

列名称 数据类型 说明
Timestamp datetime 生成记录的日期和时间
BehaviorId string 行为的唯一标识符
ActionType string 行为类型
Description string 行为说明
Categories string 行为标识的威胁指示器或违规活动类型
AttackTechniques string MITRE ATT&与触发行为的活动关联的 CK 技术
ServiceSource string 识别行为的产品或服务
DetectionSource string 识别值得注意的组件或活动的检测技术或传感器
DataSources string 提供行为信息的产品或服务
DeviceId string 服务中设备的唯一标识符
AccountUpn string 用户主体名称 (帐户的 UPN)
AccountObjectId string Microsoft Entra ID 中帐户的唯一标识符
StartTime datetime 与行为相关的第一个活动的日期和时间
EndTime datetime 与行为相关的上一个活动的日期和时间
AdditionalFields string 有关该行为的其他信息

提示

想要了解更多信息？ 请在我们的技术社区中与 Microsoft 安全社区互动：Microsoft Defender XDR 技术社区。