次の方法で共有

ASimAuditEventLogs

Microsoft Sentinel の正規化された監査イベント テーブル。 情報システムの監査証跡に関連付けられたイベントと、監査証跡ログのシステム構成アクティビティとポリシーの変更を格納します。 このような変更は、多くの場合、システム管理者によって行なわれますが、ユーザーが自分のアプリケーションの設定を構成するときにも行なわれます。

テーブル属性

属性 値
リソースの種類 microsoft.securityinsights/auditeventnormalized
Categories (カテゴリ) セキュリティ
ソリューション SecurityInsights
基本的なログ はい
取り込み時の時間変換 はい
サンプル クエリ -

列

列 タイプ 説明
ActingAppId ひも プロセス、ブラウザー、サービスなど、報告されたアクティビティを開始したアプリケーションの ID。
ActingAppName ひも サービス、URL、SaaS アプリケーションなど、報告されたアクティビティを開始したアプリケーションの名前。
演技アプリの種類 ひも 演技アプリケーションの種類。
ActingOriginalAppType ひも レポート デバイスによって報告される動作アプリケーションの種類。
ActorOriginalUserType (アクター元ユーザータイプ) ひも レポート デバイスによって報告されたユーザー タイプ。
アクタースコープ ひも ActorUserId と ActorUsername が定義されているスコープ (Azure AD テナントなど)。
アクタースコープID ひも ActorUserId と ActorUsername が定義されているスコープ ID (Azure AD テナント ID など)。
ActorSessionId (アクターセッションID) ひも アクターのサインイン セッションの一意の ID。
ActorUserAadId (アクター ユーザー AAD ID) ひも アクターの Azure Active Directory ID。
ActorUserId ひも コンピューターが読み取り可能な英数字、アクターの一意の表現。
アクターユーザーIDタイプ ひも ActorUserId フィールドに格納されている ID の種類。
ActorUsername ひも アクターのユーザー名 (使用可能な場合はドメイン情報を含む)。
演者ユーザー名タイプ ひも ActionUsername フィールドで指定されたアクターのユーザー名の型
ActorUserSid ひも アクターの Windows ユーザー ID (SID)。
アクターユーザータイプ ひも アクターの種類。
AdditionalFields ダイナミック ASim にマップされないソースによって提供されるキーと値のペアを使用して表される追加情報。
_請求額サイズ real レコード サイズ (バイト単位)
DvcAction ひも セキュリティ システムを報告する場合、システムによって実行されるアクション。
DvcDescription ひも デバイスに関連付けられる説明のテキスト。
DvcDomain ひも イベントを報告するデバイスのドメイン。
Dvcドメインタイプ ひも DvcDomain の種類。
DvcFQDN ひも イベントが発生した、またはイベントを報告したデバイスのホスト名。
Dvcホスト名 ひも イベントを報告するデバイスのホスト名。
DvcId ひも イベントが発生したデバイスまたはイベントを報告したデバイスの一意の ID。
DvcIdType ひも DvcId の種類。
DvcInterface ひも データがキャプチャされたネットワーク インターフェイス。
DvcIpAddr ひも イベントを報告するデバイスの IP アドレス。
DvcMacAddr ひも イベントが発生した、またはイベントを報告したデバイスの MAC アドレス。
DvcOriginalAction ひも レポート デバイスによって提供された元の DvcAction。
DvcOs ひも イベントが発生した、またはイベントを報告したデバイスで実行されているオペレーティング システム。
DvcOsVersion ひも イベントが発生した、またはイベントを報告したデバイスのオペレーティング システムのバージョン。
DvcScope ひも デバイスが属するクラウドプラットフォームの範囲。 DvcScope は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
DvcScopeId ひも デバイスが属するクラウド プラットフォームのスコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
DvcZone ひも イベントが発生したネットワーク、またはイベントを報告したネットワーク。
イベント数 INT レコードによって記述されるイベントの数。
イベント終了時間 datetime イベントが終了した時刻 (UTC)。 ソースが集計に対応していて、レコードが複数のイベントを表す場合は、最後のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントメッセージ ひも 一般的なメッセージまたは説明。
イベントの元の結果の詳細 ひも ソースによって提供される元の結果の詳細。
EventOriginalSeverity ひも レポート デバイスによって提供された元の重大度。
EventOriginalSubType ひも 元のイベントのサブタイプまたは ID (ソースによって提供されている場合)。
EventOriginalType ひも 元のイベントの種類または ID (ソースによって提供されている場合)。
EventOriginalUid (イベントオリジナルUID) ひも 元のレコードの一意の ID (ソースによって提供されている場合)。
イベントオーナー ひも イベントの所有者。通常は、イベントが生成された部門または子会社です。
EventProduct ひも イベントを生成している製品。
EventProductVersion ひも イベントを生成している製品のバージョン。
イベントレポートURL ひも イベントに関する詳細情報を提供するリソースのために、イベント内で提供されたURL。
イベント結果 ひも イベントの結果。Success、Partial、Failure、NA (Not Applicable) のいずれかの値で表されます。 この値はソースによって直接提供されない場合があります。その場合は、EventResultDetails フィールドなどの他のイベント フィールドから派生します。
イベント結果の詳細 ひも EventResult でレポートされた結果の理由または詳細。
EventSchemaVersion ひも スキーマのバージョン。
EventSeverity ひも イベントの重大度。 有効な値は、Informational、Low、Medium、High です。
イベント開始時間 datetime イベントが開始された時刻 (UTC)。 ソースが集計に対応していて、レコードが複数のイベントを表す場合は、最初のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントサブタイプ ひも EventType フィールドでレポートされた操作を細分化して記述します。
イベントタイプ ひも レコードによって報告される操作について説明します
EventVendor ひも イベントを生成している製品のベンダー。
HTTPユーザーエージェント ひも HTTP または HTTPS で認証が行われる場、このフィールドの値は、認証を実行するときに代理アプリケーションによって提供される user_agent HTTP ヘッダーです。
_IsBillable // 請求可能かどうかを示す ひも データ インジェストが請求対象かどうかを指定します。 _IsBillable が false の場合、インジェストはお使いの Azure アカウントに課金されません
新しい価値 ひも 操作が実行された後の Object の新しい値。
オブジェクト ひも EventType によって識別される操作が実行されるオブジェクトの名前。
オブジェクト識別子 ひも EventType によって識別される操作が実行されるオブジェクトの名前。
オブジェクトタイプ ひも Object の種類。
旧値 ひも 操作前の Object の古い値。
オペレーション ひも レポート デバイスによって報告された、監査された操作。
元のオブジェクトタイプ ひも レポート デバイスによって報告されるオブジェクトの種類。
_リソースID ひも レコードが関連付けられているリソースの一意識別子
ルール名 ひも 検査結果に関連付けられているルールの名前または ID。
ルール番号 INT 検査結果に関連付けられたルールの番号。
SourceSystem ひも イベントが収集されたエージェントの種類。 たとえば、Windows エージェントの場合は OpsManager (直接接続または Operations Manager のいずれか)、すべての Linux エージェントの場合は Linux、Azure Diagnostics の場合は Azure です
SrcDescription ひも ソース デバイスに関連付けられている説明テキスト。
SrcDeviceType ひも ソース デバイスの種類。
SrcDomain ひも ソース デバイスのドメイン。
SrcDomainType ひも SrcDomain の種類。
SrcDvcId ひも ソース デバイスの ID。
SrcDvcIdType ひも SrcDvcId の種類。
SrcDvcScope ひも ソース デバイスが属するクラウド プラットフォーム スコープ。 SrcDvcScope は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
SrcDvcScopeId ひも ソース デバイスが属しているクラウド プラットフォーム スコープ ID。 SrcDvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
SrcFQDN ひも ソース デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。
SrcGeoCity ひも 発信元 IP アドレスに関連付けられている都市。
SrcGeoCountry ひも 発信元 IP アドレスに関連付けられている国。
SrcGeoLatitude real 発信元 IP アドレスに関連付けられている地理的座標の緯度。
SrcGeoLongitude real 発信元 IP アドレスに関連付けられている地理的座標の経度。
SrcGeoRegion ひも 発信元 IP アドレスに関連付けられている国内の地域。
SrcHostname ひも ドメイン情報を除いた、ソース デバイスのホスト名。
SrcIpAddr ひも 接続やセッションが発信された元の IP アドレス。
SrcOriginalRiskLevel ひも レポート デバイスによって報告された、特定されたソースに関連付けられているリスク レベル。
SrcPortNumber INT 接続元のソース IP ポート。
SrcRiskLevel INT 識別されたソースに関連付けられているリスク レベル。
_SubscriptionId(サブスクリプションID) ひも レコードが関連付けられているサブスクリプションのための一意の識別子
ターゲットアプリID ひも イベントが適用されるアプリケーション (プロセス、ブラウザー、またはサービスを含む) の ID。
TargetAppName ひも イベントが適用されるアプリケーション (サービス、URL、SaaS アプリケーションを含む) の名前。
ターゲットアプリタイプ ひも アクターに代わって承認するアプリケーションの種類。
ターゲットの説明 ひも ターゲット デバイスに関連付けられている説明テキスト。
ターゲットデバイスタイプ ひも ターゲット デバイスの種類。
ターゲットドメイン ひも ターゲット デバイスのドメイン。
対象ドメインタイプ ひも Targetdomainの種類。
TargetDvcId ひも ターゲット デバイスの ID。
TargetDvcIdType ひも Targetdvcid の種類。
TargetDvcOs ひも ターゲット デバイスの OS。
TargetDvcScope ひも ターゲット デバイスが属するクラウド プラットフォーム スコープ。 TargetDvcScope は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
TargetDvcScopeId ひも ターゲット デバイスが属しているクラウド プラットフォーム スコープ ID。 TargetDvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
TargetFQDN ひも ターゲット デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。
TargetGeoCity ひも ターゲット IP アドレスに関連付けられている都市。
ターゲット地理国 ひも ターゲット IP アドレスに関連付けられている国。
TargetGeoLatitude real ターゲット IP アドレスに関連付けられている地理的座標の緯度。
TargetGeoLongitude real ターゲット IP アドレスに関連付けられている地理的座標の経度。
TargetGeoRegion ひも ターゲット IP アドレスに関連付けられている国内の地域。
ターゲットホスト名 ひも ドメイン情報を除いた、ターゲット デバイスのホスト名。
ターゲットIPアドレス ひも 接続またはセッションの送信元のターゲット IP アドレス。
ターゲット元アプリタイプ ひも レポート デバイスによって報告されるターゲット アプリケーションの種類。
目標原リスクレベル ひも レポート デバイスによって報告された、ターゲットに関連付けられているリスク レベル。
ターゲットポート番号 INT 接続元のターゲット IP ポート。
目標リスクレベル INT ターゲットに関連付けられているリスク レベル。
ターゲットURL ひも ターゲット アプリケーションに関連付けられている URL。
テナントID ひも Log Analytics ワークスペース ID
脅威カテゴリ ひも 監査アクティビティで識別される脅威またはマルウェアのカテゴリ。
ThreatConfidence INT 識別された脅威の信頼レベル。0 から 100 の間の値に正規化されます。
ThreatField ひも 脅威が特定されたフィールド。
脅威最初報告時間 datetime IP アドレスまたはドメインが脅威として初めて識別された場合。
脅威識別子 ひも 監査アクティビティで識別された脅威またはマルウェアの ID。
脅威IPアドレス ひも 脅威が特定された IP アドレスまたはドメイン。
脅威が活動中です ブール 特定された脅威がアクティブな脅威と見なされる場合は True。
脅威が最後に報告された時間 datetime 最後に IP アドレスまたはドメインが脅威として識別された時刻。
ThreatName ひも 監査アクティビティで識別された脅威またはマルウェアの名前。
ThreatOriginalConfidence ひも レポート デバイスによって報告される、特定された脅威の元の信頼レベル。
ThreatOriginalRiskLevel ひも レポート デバイスによって報告されたリスク レベル。
脅威リスクレベル INT 識別された脅威に関連付けられているリスク レベル。 レベルは、0 から 100 の間の数値である必要があります。
タイムジェネレーテッド DATETIME イベントが生成された時刻を反映するタイムスタンプ (UTC)。
タイプ ひも テーブルの名前
バリュータイプ ひも 古い値と新しい値の型。