CommonSecurityLog

下表用於收集 Common Event Format 中的事件，這些事件最常從不同的安全性設備傳送，例如 Check Point、Palo Alto 等等。

數據表屬性

屬性	值
資源類型	microsoft.securityinsights/cef， microsoft.compute/virtualmachines， microsoft.conenctedvmwarevsphere/virtualmachines， microsoft.azurestackhci/virtualmachines， microsoft.scvmm/virtualmachines， microsoft.compute/virtualmachinescalesets
類別	安全性
方案	Security、SecurityInsights
基本記錄	No
擷取時間轉換	Yes
範例查詢	是

資料行

資料行	類型​	描述
Activity	字串	字串，表示人類可讀且可理解的事件描述。
AdditionalExtensions	字串	其他欄位元的佔位元。 欄位會記錄為索引鍵/值組。
ApplicationProtocol	字串	應用程式中所使用的通訊協定，例如 HTTP、HTTPS、SSHv2、Telnet、POP、IMPA、IMAPS 等等。
_BilledSize	real	以位元組為單位的記錄大小
CollectorHostName	字串	執行代理程式之收集器計算機的主機名。
CommunicationDirection	字串	所觀察通訊方向的任何資訊。 有效值：0 = 輸入，1 = 輸出。
電腦	字串	主機，來自 Syslog。
DestinationDnsDomain	字串	完整功能變數名稱 （FQDN） 的 DNS 部分。
DestinationHostName	字串	事件在IP網路中參考的目的地。 當節點可用時，格式應該是與目的地節點相關聯的 FQDN。 例如：host.domain.com 或主機。
DestinationIP	字串	事件在IP網路中參考的目的地IpV4位址。
DestinationMACAddress	字串	目的地 MAC 位址 （FQDN）。
DestinationNTDomain	字串	目的地地址的 Windows 功能變數名稱。
DestinationPort	int	目的地連接埠。 有效值：0 - 65535。
DestinationProcessId	int	與事件相關聯的目的地進程標識碼。
DestinationProcessName	字串	事件目的地進程的名稱，例如 telnetd 或 sshd。
DestinationServiceName	字串	事件的目標服務。 例如：sshd。
DestinationTranslatedAddress	字串	將IP網路中事件所參考的已轉譯目的地識別為IPv4IP位址。
DestinationTranslatedPort	int	轉譯后的埠，例如防火牆有效的埠號碼：0 - 65535。
DestinationUserID	字串	依標識碼識別目的地使用者。 例如：在 Unix 中，根使用者通常會與使用者標識碼 0 相關聯。
DestinationUserName	字串	依名稱識別目的地使用者。
DestinationUserPrivileges	字串	定義目的地使用的許可權。 有效值：Admninistrator、User、Guest。
DeviceAction	字串	事件中所提及的動作。
DeviceAddress	字串	產生事件的裝置 IPv4 位址。
DeviceCustomDate1	字串	兩個時間戳欄位的其中一個，可用來對應此字典中未套用至任何其他的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomDate1Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomDate2	字串	兩個時間戳欄位的其中一個，可用來對應此字典中未套用至任何其他的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomDate2Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomFloatingPoint1	real	四個浮點欄位的其中之一，可用於對應此字典中未套用至任何其他欄位的欄位。
DeviceCustomFloatingPoint1Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomFloatingPoint2	real	四個浮點欄位的其中之一，可用於對應此字典中未套用至任何其他欄位的欄位。
DeviceCustomFloatingPoint2Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomFloatingPoint3	real	四個浮點欄位的其中之一，可用於對應此字典中未套用至任何其他欄位的欄位。
DeviceCustomFloatingPoint3Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomFloatingPoint4	real	四個浮點欄位的其中之一，可用於對應此字典中未套用至任何其他欄位的欄位。
DeviceCustomFloatingPoint4Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomIPv6Address1	字串	四個 IPv6 位址欄位的其中之一，可用來對應此字典中任何其他不適用的欄位。
DeviceCustomIPv6Address1Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomIPv6Address2	字串	四個 IPv6 位址欄位的其中之一，可用來對應此字典中任何其他不適用的欄位。
DeviceCustomIPv6Address2Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomIPv6Address3	字串	四個 IPv6 位址欄位的其中之一，可用來對應此字典中任何其他不適用的欄位。
DeviceCustomIPv6Address3Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomIPv6Address4	字串	四個 IPv6 位址欄位的其中之一，可用來對應此字典中任何其他不適用的欄位。
DeviceCustomIPv6Address4Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomNumber1	int	即將成為已被取代的欄位。 將會由 FieldDeviceCustomNumber1 取代。
DeviceCustomNumber1Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomNumber2	int	即將成為已被取代的欄位。 將會取代為 FieldDeviceCustomNumber2。
DeviceCustomNumber2Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomNumber3	int	即將成為已被取代的欄位。 將會由 FieldDeviceCustomNumber3 取代。
DeviceCustomNumber3Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomString1	字串	六個字串之一，可用來對應此字典中未套用至任何其他字段的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomString1Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomString2	字串	六個字串之一，可用來對應此字典中未套用至任何其他字段的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomString2Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomString3	字串	六個字串之一，可用來對應此字典中未套用至任何其他字段的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomString3Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomString4	字串	六個字串之一，可用來對應此字典中未套用至任何其他字段的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomString4Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomString5	字串	六個字串之一，可用來對應此字典中未套用至任何其他字段的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomString5Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceCustomString6	字串	六個字串之一，可用來對應此字典中未套用至任何其他字段的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
DeviceCustomString6Label	字串	所有自定義欄位都有對應的標籤欄位。 每個欄位都是字串，並描述自定義欄位的用途。
DeviceDnsDomain	字串	完整功能變數名稱的 DNS 網域部分（FQDN）。
DeviceEventCategory	字串	表示原始裝置指派的類別。 裝置通常會使用自己的分類架構來分類事件。 範例：『Monitor/Disk/Read』。
DeviceEventClassID	字串	做為每個事件類型唯一標識碼的字串或整數。
DeviceExternalID	字串	可唯一識別產生事件的裝置名稱。
DeviceFacility	字串	產生事件的設施。 例如：驗證或local1。
DeviceInboundInterface	字串	封包或數據進入裝置的介面。 例如：乙太網路1/2。
DeviceMacAddress	字串	產生事件的裝置 MAC 位址。
DeviceName	字串	當節點可用時，與裝置節點相關聯的 FQDN。 例如：host.domain.com 或主機。
DeviceNtDomain	字串	裝置位址的 Windows 網域。
DeviceOutboundInterface	字串	封包或數據離開裝置的介面。
DevicePayloadId	字串	與事件相關聯之承載的唯一標識符。
DeviceProduct	字串	搭配裝置產品和版本定義的字串，可唯一識別傳送裝置的類型。
DeviceTimeZone	字串	產生事件的裝置時區。
DeviceTranslatedAddress	字串	識別IP網路中事件所參考的已翻譯裝置位址。 格式為 Ipv4 位址。
DeviceVendor	字串	搭配裝置產品和版本定義的字串，可唯一識別傳送裝置的類型。
DeviceVersion	字串	搭配裝置產品和版本定義的字串，可唯一識別傳送裝置的類型。
EndTime	Datetime	與事件相關的活動結束時間。
EventCount	int	與事件相關聯的計數，顯示觀察到相同事件的次數。
EventOutcome	字串	顯示結果，通常是「成功」或「失敗」。
EventType	int	事件類型。 值包括：0：基底事件、1：匯總、2：相互關聯事件、3：動作事件。 注意：基底事件可以省略此事件。
ExternalID	int	即將成為已被取代的欄位。 將會取代為 ExtID。
ExtID	字串	原始裝置所使用的標識碼（將會取代舊版 ExternalID）。 這些值通常會有遞增的值，每個值都與事件相關聯。
FieldDeviceCustomNumber1	long	其中一個數位欄位可用來對應此字典中任何其他不適用的欄位（將取代舊版 DeviceCustomNumber1）。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
FieldDeviceCustomNumber2	long	三個數位欄位之一，可用來對應此字典中任何其他不適用的欄位（將取代舊版 DeviceCustomNumber2）。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
FieldDeviceCustomNumber3	long	其中一個數位欄位可用來對應此字典中任何其他不適用的欄位（將取代舊版 DeviceCustomNumber3）。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。
FileCreateTime	字串	建立檔案的時間。
FileHash	字串	檔案的哈希。
FileID	字串	與檔案相關聯的標識碼，例如 inode。
FileModificationTime	字串	上次修改檔案的時間。
FileName	字串	檔名，不含路徑。
FilePath	字串	檔案的完整路徑，包括檔名。 例如：C：\ProgramFiles\WindowsNT\Accessories\wordpad.exe 或 /usr/bin/zip。
FilePermission	字串	檔案的許可權。 例如：『2,1,1』。
FileSize	int	檔案的大小 (以位元組為單位)。
FileType	字串	檔類型，例如管道、套接字等等。
FlexDate1	字串	時間戳欄位，可用來對應不套用至此字典中任何其他已定義時間戳欄位的時間戳欄位。 請謹慎使用所有彈性欄位，並盡可能搜尋更具體的字典提供欄位。 這些欄位通常保留給客戶使用，除非必要，否則不應由廠商設定。
FlexDate1Label	字串	卷標欄位是字串，描述 flex 欄位的用途。
FlexNumber1	int	可用於對應此字典中任何其他欄位的 Int 資料可用的欄位。
FlexNumber1Label	字串	描述 FlexNumber1 中值的標籤
FlexNumber2	int	可用於對應此字典中任何其他欄位的 Int 資料可用的欄位。
FlexNumber2Label	字串	描述 FlexNumber2 中值的標籤
FlexString1	字串	四個浮點欄位的其中之一，可用於對應此字典中未套用至任何其他欄位的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。 這些欄位通常保留給客戶使用，除非必要，否則不應由廠商設定。
FlexString1Label	字串	卷標欄位是字串，描述 flex 欄位的用途。
FlexString2	字串	四個浮點欄位的其中之一，可用於對應此字典中未套用至任何其他欄位的欄位。 盡可能謹慎地使用 ，並搜尋更具體的字典提供欄位。 這些欄位通常保留給客戶使用，除非必要，否則不應由廠商設定。
FlexString2Label	字串	卷標欄位是字串，描述 flex 欄位的用途。
IndicatorThreatType	字串	根據我們的 TI 摘要，惡意資訊的威脅類型。
_IsBillable	字串	指定內嵌資料是否可計費。 false_IsBillable擷取時，不會向 Azure 帳戶收費
LogSeverity	字串	描述事件重要性的字串或整數。 有效的字串值：未知、低、中、高、高有效整數值包括：0-3 = Low、4-6 = 中、7-8 = High、9-10 = High。
MaliciousIP	字串	如果訊息中的其中一個IP與目前TI摘要相互關聯，則會在此顯示。
MaliciousIPCountry	字串	根據記錄擷取時的 GEO 資訊，惡意資訊的國家/地區。
MaliciousIPLatitude	real	惡意代碼的緯度，根據記錄擷取時的 GEO 資訊。
MaliciousIPLongitude	real	根據記錄擷取時的 GEO 資訊，惡意 IP 的經度。
訊息	字串	訊息，提供事件的詳細數據。
OldFileCreateTime	字串	建立舊檔案的時間。
OldFileHash	字串	舊檔案的哈希。
OldFileID	字串	與舊檔案相關聯的標識符，例如 inode。
OldFileModificationTime	字串	上次修改舊檔案的時間。
OldFileName	字串	舊檔案的名稱。
OldFilePath	字串	舊檔案的完整路徑，包括檔名。 例如：C：\ProgramFiles\WindowsNT\Accessories\wordpad.exe 或 /usr/bin/zip。
OldFilePermission	字串	舊檔案的許可權。 例如：『2,1,1』。
OldFileSize	int	舊檔案的大小，以位元組為單位。
OldFileType	字串	舊檔案的檔類型，例如管道、套接字等等。
OriginalLogSeverity	字串	LogSeverity 的非對應版本。 例如：LogSeverity 字段中的警告/重大/資訊，而不是標準化的低/中/高
ProcessID	int	定義裝置上產生事件的處理程式標識碼。
ProcessName	字串	與事件相關聯的進程名稱。 例如：在 UNIX 中，產生 syslog 項目的程式。
通訊協定	字串	識別所使用第 4 層通訊協定的傳輸通訊協定。 可能的值包括通訊協定名稱，例如 TCP 或 UDP。
原因	字串	產生稽核事件的原因。 例如「不正確的密碼」或「未知的使用者」。 這可能是錯誤或傳回碼。 範例：『0x1234』。
ReceiptTime	字串	收到與活動相關的事件的時間。 不同於 [Timegenerated] 字段，也就是在記錄收集器機器中收到事件時。
ReceivedBytes	long	傳輸的輸入位元組數目。
RemoteIP	字串	可能的話，衍生自事件方向值的遠端IP位址。
RemotePort	字串	可能的話，衍生自事件方向值的遠端埠。
ReportReferenceLink	字串	TI 摘要報表的連結。
RequestClientApplication	字串	與要求相關聯的使用者代理程式。
RequestContext	字串	描述要求的來源內容，例如 HTTP 查閱者。
RequestCookies	字串	與要求相關聯的Cookie。
RequestMethod	字串	用來存取 URL 的方法。 有效值包括 POST、GET 等方法。
RequestURL	字串	HTTP 要求存取的 URL，包括通訊協定。 例如：http://www/secure.com.
_ResourceId	string	記錄相關資源的唯一識別碼
SentBytes	long	傳輸輸出的位元組數目。
SimplifiedDeviceAction	字串	DeviceAction 的對應版本，例如拒絕拒絕 > 。
SourceDnsDomain	字串	完整 FQDN 的 DNS 網域部分。
SourceHostName	字串	識別事件在IP網路中參考的來源。 當節點可用時，格式應該是與來源節點相關聯的完整功能變數名稱 （DQDN）。 例如：主機或 host.domain.com。
SourceIP	字串	事件在IP網路中參考的來源，作為IPv4位址。
SourceMACAddress	字串	來源 MAC 位址。
SourceNTDomain	字串	來源位址的 Windows 功能變數名稱。
SourcePort	int	來源埠號碼。 有效的埠號碼為 0 - 65535。
SourceProcessId	int	與事件相關聯的來源進程標識碼。
SourceProcessName	字串	事件來源進程的名稱。
SourceServiceName	字串	負責產生事件的服務。
SourceSystem	字串	收集事件的代理程序類型。 例如，OpsManager針對 Windows 代理程式，無論是直接連線或 Operations Manager、Linux所有 Linux 代理程式，或Azure針對 Azure 診斷
SourceTranslatedAddress	字串	識別事件在IP網路中參考的已翻譯來源。
SourceTranslatedPort	int	轉譯后的來源埠，例如防火牆。 有效的埠號碼為 0 - 65535。
SourceUserID	字串	依標識碼識別來源使用者。
SourceUserName	字串	依名稱識別來源使用者。 電子郵件位址也會對應到 UserName 欄位。 寄件者是要放入此欄位的候選專案。
SourceUserPrivileges	字串	來源用戶的許可權。 有效值包括：系統管理員、使用者、來賓。
StartTime	Datetime	事件所參考之活動開始的時間。
_SubscriptionId	string	與記錄相關的訂用帳戶唯一識別碼
TenantId	字串	Log Analytics 工作區標識符
ThreatConfidence	字串	根據我們的 TI 摘要，惡意信息的威脅信心。
ThreatDescription	字串	根據我們的 TI 摘要，惡意資訊的威脅描述。
ThreatSeverity	int	根據記錄擷取時 TI 摘要的威脅嚴重性。
TimeGenerated	Datetime	UTC 的事件收集時間。
型別	string	資料表的名稱