DeviceEvents
適用於:
- Microsoft Defender XDR
- 適用於端點的 Microsoft Defender
進階搜捕架構中其他裝置事件或DeviceEvents
數據表包含各種事件類型的相關信息,包括安全性控制所觸發的事件,例如 Microsoft Defender 防病毒軟體和惡意探索保護。 使用這個參考來建立從此表格取回之資訊的查詢。
提示
如需數據表所支援的事件類型 (ActionType
值) 詳細資訊,請使用 Microsoft Defender 全面偵測回應 中提供的內建架構參考。
如需進階搜捕結構描述中其他表格的資訊,請參閱進階搜捕參考 (部分內容為機器翻譯)。
欄名稱 | 資料類型 | 描述 |
---|---|---|
Timestamp |
datetime |
事件記錄的日期和時間 |
DeviceId |
string |
服務中裝置的唯一識別碼 |
DeviceName |
string |
裝置的 FQDN) (完整功能變數名稱 |
ActionType |
string |
觸發事件的活動類型。 如需詳細資訊,請參閱 入口網站內架構參考 。 |
FileName |
string |
記錄動作已套用的檔案名稱 |
FolderPath |
string |
包含已記錄動作套用至之檔案的資料夾 |
SHA1 |
string |
記錄動作已套用的檔案 SHA-1 |
SHA256 |
string |
記錄動作已套用的檔案 SHA-256。 此欄位通常未填入,可取得時請使用 SHA1 欄。 |
MD5 |
string |
已記錄動作套用至之檔案的 MD5 哈希 |
FileSize |
long |
檔案大小,以位元組為單位 |
AccountDomain |
string |
帳戶的網域 |
AccountName |
string |
帳戶的用戶名稱;如果裝置已在 Microsoft Entra ID 中註冊,則可能會改為顯示帳戶的 Entra ID 用戶名稱 |
AccountSid |
string |
帳戶 (SID) 的安全識別符 |
RemoteUrl |
string |
已連線到的 URL 或完整網域名稱 (FQDN) |
RemoteDeviceName |
string |
在受影響裝置上執行遠端作業的裝置名稱。 視所報告的事件而定,此名稱可能是 FQDN) (完整功能變數名稱、NetBIOS 名稱或沒有網域資訊的主機名。 |
ProcessId |
long |
新建立進程的進程標識碼 (PID) |
ProcessCommandLine |
string |
用來建立新進程的命令行 |
ProcessCreationTime |
datetime |
建立進程的日期和時間 |
ProcessTokenElevation |
string |
指出套用至新建立進程的令牌提高許可權類型。 可能的值:TokenElevationTypeLimited (限制) 、TokenElevationTypeDefault (標準) ,以及 TokenElevationTypeFull (提高許可權的) |
LogonId |
long |
登入會話的標識碼。 此標識碼只有在重新啟動時才會在同一部裝置上是唯一的。 |
RegistryKey |
string |
已記錄動作套用至的登錄機碼 |
RegistryValueName |
string |
已記錄動作套用至的登錄值名稱 |
RegistryValueData |
string |
已記錄動作套用至的登錄值數據 |
RemoteIP |
string |
連線到的 IP 位址 |
RemotePort |
int |
正在連線的遠端裝置上的 TCP 連接埠 |
LocalIP |
string |
指派給通訊期間所使用本機裝置的IP位址 |
LocalPort |
int |
通訊期間使用的本機裝置上的TCP埠 |
FileOriginUrl |
string |
從中下載檔案的 URL |
FileOriginIP |
string |
從中下載檔案的IP位址 |
InitiatingProcessSHA1 |
string |
起始事件之進程的SHA-1 (映像檔) |
InitiatingProcessSHA256 |
string |
進程的 SHA-256 (起始事件的圖像檔) 。 此欄位通常未填入,可取得時請使用 SHA1 欄。 |
InitiatingProcessMD5 |
string |
起始事件的進程 (影像檔) 的 MD5 哈希 |
InitiatingProcessFileName |
string |
起始事件的進程名稱 |
InitiatingProcessFileSize |
long |
執行負責事件之進程的檔案大小 |
InitiatingProcessFolderPath |
string |
包含起始事件之圖像檔) 進程 (資料夾 |
InitiatingProcessId |
long |
起始事件之進程的進程標識 (PID) |
InitiatingProcessCommandLine |
string |
用來執行起始事件之進程的命令行 |
InitiatingProcessCreationTime |
datetime |
起始事件的進程啟動的日期和時間 |
InitiatingProcessAccountDomain |
string |
執行負責事件之進程的帳戶網域 |
InitiatingProcessAccountName |
string |
執行負責事件之進程的帳戶用戶名稱;如果裝置已在 Microsoft Entra ID 中註冊,則可能會改為顯示執行負責事件之進程之帳戶的 Entra ID 用戶名稱 |
InitiatingProcessAccountSid |
string |
安全標識子 (執行負責事件之進程之帳戶的 SID) |
InitiatingProcessAccountUpn |
string |
執行負責事件之進程之帳戶的UPN) (用戶主體名稱;如果裝置已在 Microsoft Entra ID 中註冊,則可能會改為顯示執行負責事件之進程之帳戶的 Entra ID UPN |
InitiatingProcessAccountObjectId |
string |
Microsoft Entra 執行負責事件之進程之用戶帳戶的物件標識符 |
InitiatingProcessVersionInfoCompanyName |
string |
處理程式版本資訊中的公司名稱 (映射檔) 負責事件 |
InitiatingProcessVersionInfoProductName |
string |
處理程式版本資訊中的產品名稱 (映射檔) 負責事件 |
InitiatingProcessVersionInfoProductVersion |
string |
處理程式版本資訊中的產品版本 (映射檔) 負責事件 |
InitiatingProcessVersionInfoInternalFileName |
string |
處理程式版本資訊中的內部檔名 (映像檔) 負責事件 |
InitiatingProcessVersionInfoOriginalFileName |
string |
處理程式版本資訊中的原始檔名 (負責事件) 映射檔 |
InitiatingProcessVersionInfoFileDescription |
string |
來自處理程式版本資訊的描述, (負責事件) 圖像檔案 |
InitiatingProcessParentId |
long |
產生負責事件之進程的父進程 (PID) |
InitiatingProcessParentFileName |
string |
產生負責事件之進程的父進程名稱或完整路徑 |
InitiatingProcessParentCreationTime |
datetime |
負責事件之進程的父代啟動日期和時間 |
InitiatingProcessLogonId |
long |
起始事件之進程的登入會話標識碼。 此標識碼只有在重新啟動時才會在同一部裝置上是唯一的。 |
ReportId |
long |
以重複計數器為基礎的事件識別碼。 若要識別唯一事件,此數據行必須與 DeviceName 和 Timestamp 數據行搭配使用。 |
AppGuardContainerId |
string |
應用程式防護 用來隔離瀏覽器活動的虛擬化容器標識碼 |
AdditionalFields |
string |
JSON 數位格式事件的其他相關信息 |
相關主題
提示
想要深入了解? Engage 技術社群中的 Microsoft 安全性社群:Microsoft Defender 全面偵測回應 技術社群。