| ActionType |
字串 |
觸發事件的活動類型。 |
| AppGuardContainerId |
字串 |
應用程式防護 用來隔離瀏覽器活動的虛擬化容器標識碼。 |
| _BilledSize |
real |
以位元組為單位的記錄大小 |
| DeviceId |
字串 |
服務中裝置的唯一標識符。 |
| DeviceName |
字串 |
裝置的完整功能變數名稱（FQDN）。 |
| InitiatingProcessAccountDomain |
字串 |
執行起始進程的帳戶網域。 |
| InitiatingProcessAccountName |
字串 |
執行起始進程的帳戶用戶名稱。 |
| InitiatingProcessAccountObjectId |
字串 |
執行起始程式的用戶帳戶的 Azure AD 物件識別碼。 |
| InitiatingProcessAccountSid |
字串 |
執行起始程式之帳戶的安全性標識碼 （SID）。 |
| InitiatingProcessAccountUpn |
字串 |
執行起始程式之帳戶的用戶主體名稱 （UPN）。 |
| InitiatingProcessCommandLine |
字串 |
用來執行起始程式的命令行。 |
| InitiatingProcessCreationTime |
Datetime |
啟動事件之進程的日期和時間。 |
| InitiatingProcessFileName |
字串 |
起始進程的名稱。 |
| InitiatingProcessFileSize |
long |
執行負責事件之進程的檔案大小（位元元組）。 |
| InitiatingProcessFolderPath |
字串 |
包含起始進程的資料夾（影像檔）。 |
| InitiatingProcessId |
long |
起始進程的進程標識碼 （PID）。 |
| InitiatingProcessIntegrityLevel |
字串 |
起始程式的完整性層級。 Windows 會根據特定特性將完整性層級指派給進程，例如從因特網下載啟動它們。 這些完整性層級會影響資源的許可權。 |
| InitiatingProcessMD5 |
字串 |
起始進程的 MD5 哈希（圖像檔）。 |
| InitiatingProcessParentCreationTime |
Datetime |
啟動負責事件之進程的父代日期和時間。 |
| InitiatingProcessParentFileName |
字串 |
繁衍起始進程的父進程名稱。 |
| InitiatingProcessParentId |
long |
產生起始進程之父進程的進程標識碼 （PID）。 |
| InitiatingProcessRemoteSessionDeviceName |
字串 |
起始進程 RDP 工作階段的來源遠端裝置裝置名稱。 |
| InitiatingProcessRemoteSessionIP |
字串 |
起始進程 RDP 工作階段的來源遠端裝置 IP 位址。 |
| InitiatingProcessSessionId |
long |
起始程式的 Windows 會話標識碼。 |
| InitiatingProcessSHA1 |
字串 |
起始程式的SHA-1哈希（圖像檔）。 |
| InitiatingProcessSHA256 |
字串 |
起始程式的SHA-256哈希（圖像檔）。 在某些情況下，此數據行可能不會填入 - 請改用 InitiatingProcessSHA1 數據行。 |
| InitiatingProcessTokenElevation |
字串 |
令牌類型，指出套用至起始進程的使用者 存取控制 或不存在使用者 存取控制許可權提升。 |
| InitiatingProcessVersionInfoCompanyName |
字串 |
負責事件的版本資訊（映像檔）中的公司名稱。 |
| InitiatingProcessVersionInfoFileDescription |
字串 |
負責事件的版本資訊 （映像檔案） 中的描述。 |
| InitiatingProcessVersionInfoInternalFileName |
字串 |
負責事件之版本資訊（映像檔）中的內部檔名。 |
| InitiatingProcessVersionInfoOriginalFileName |
字串 |
負責事件之版本資訊（映像檔）中的源檔名稱。 |
| InitiatingProcessVersionInfoProductName |
字串 |
負責事件的版本資訊 （映像檔） 中的產品名稱。 |
| InitiatingProcessVersionInfoProductVersion |
字串 |
負責事件的版本資訊（映像檔）產品版本。 |
| _IsBillable |
字串 |
指定內嵌資料是否可計費。 false_IsBillable擷取時，不會向 Azure 帳戶收費 |
| IsInitiatingProcessRemoteSession |
bool |
指出起始進程是在遠端桌面通訊協定 （RDP） 工作階段 （true） 或本機 #false 下執行。 |
| MachineGroup |
字串 |
計算機的機器群組。 角色型訪問控制會使用此群組來判斷計算機的存取權。 |
| PreviousRegistryKey |
字串 |
修改之前的原始登錄機碼。 |
| PreviousRegistryValueData |
字串 |
修改登錄值之前的原始數據。 |
| PreviousRegistryValueName |
字串 |
修改登錄值之前的原始名稱。 |
| RegistryKey |
字串 |
已記錄動作已套用的登錄機碼。 |
| RegistryValueData |
字串 |
記錄動作已套用的登錄值數據。 |
| RegistryValueName |
字串 |
已套用記錄動作之登錄值的名稱。 |
| RegistryValueType |
字串 |
已套用記錄動作之登錄值的數據類型，例如二進位或字串。 |
| ReportId |
long |
以重複計數器為基礎的事件標識碼。 若要識別唯一事件，此數據行必須與 ComputerName 和 EventTime 數據行搭配使用。 |
| SourceSystem |
字串 |
收集事件的代理程序類型。 例如，OpsManager針對 Windows 代理程式，無論是直接連線或 Operations Manager、Linux所有 Linux 代理程式，或Azure針對 Azure 診斷 |
| TenantId |
字串 |
Log Analytics 工作區標識符 |
| TimeGenerated |
Datetime |
端點上的 MDE 代理程式記錄事件的日期和時間。 |
| 型別 |
string |
資料表的名稱 |