BehaviorEntities

  • 發行項

適用於：

  • Microsoft Defender XDR

進BehaviorEntities階搜捕架構中的數據表包含 Microsoft Defender for Cloud Apps 中行為的相關信息。 使用這個參考來建立從此表格取回之資訊的查詢。

重要事項

部分資訊與發行前版本產品有關，在正式發行之前可能會實質上進行修改。 Microsoft 對此處提供的資訊，不提供任何明確或隱含的瑕疵擔保。

行為是 Microsoft Defender 全面偵測回應 中根據一或多個原始事件的數據類型。 行為提供事件的內容相關深入解析，而且不一定表示惡意活動。 深入了解行為

如需進階搜捕結構描述中其他表格的資訊，請參閱進階搜捕參考 (部分內容為機器翻譯)。

欄名稱 資料類型 描述
Timestamp datetime 記錄的產生日期和時間
BehaviorId string 行為的唯一標識碼
ActionType string 行為類型
Categories string 行為所識別的威脅指標或缺口活動類型
ServiceSource string 識別行為的產品或服務
DetectionSource string 識別值得注意之元件或活動的偵測技術或感測器
DataSources string 提供行為信息的產品或服務
EntityType string 對象的類型，例如檔案、進程、裝置或使用者
EntityRole string 指出實體是否受到影響或只是相關
DetailedEntityRole string 行為中實體的角色
FileName string 套用行為的檔名
FolderPath string 包含套用行為之檔案的資料夾
SHA1 string 套用行為之檔案的SHA-1
SHA256 string 套用行為之檔案的SHA-256
FileSize long 套用行為之檔案的大小，以位元組為單位
ThreatFamily string 可疑或惡意檔案或進程已分類在下方的惡意代碼系列
RemoteIP string 連線到的 IP 位址
RemoteUrl string 已連線到的 URL 或完整網域名稱 (FQDN)
AccountName string 帳戶的用戶名稱
AccountDomain string 帳戶的網域
AccountSid string 帳戶 (SID) 的安全識別符
AccountObjectId string Microsoft Entra ID 中帳戶的唯一標識符
AccountUpn string 帳戶的UPN) (用戶主體名稱
DeviceId string 服務中裝置的唯一識別碼
DeviceName string 裝置的 FQDN) (完整功能變數名稱
LocalIP string 指派給通訊期間所使用本機裝置的IP位址
NetworkMessageId string Office 365 產生的電子郵件唯一識別碼
EmailSubject string 電子郵件的主旨
EmailClusterId string 根據內容啟發式分析叢集的類似電子郵件群組識別碼
Application string 執行已錄製動作的應用程式
ApplicationId int 應用程式的唯一標識碼
OAuthApplicationId string 第三方 OAuth 應用程式的唯一標識碼
ProcessCommandLine string 用來建立新進程的命令行
RegistryKey string 已記錄動作套用至的登錄機碼
RegistryValueName string 已記錄動作套用至的登錄值名稱
RegistryValueData string 已記錄動作套用至的登錄值數據
AdditionalFields string 行為的其他相關信息

提示

想要深入了解? Engage 技術社群中的 Microsoft 安全性社群：Microsoft Defender 全面偵測回應 技術社群。