次の方法で共有

コモンセキュリティログ

この表は、一般的なイベント形式でイベントを収集するためのものであり、多くの場合、Check Point、Palo Alto などのさまざまなセキュリティ アプライアンスから送信されます。

テーブル属性

属性 価値
リソースの種類 microsoft.securityinsights/cef,
microsoft.compute/virtualmachines、
microsoft.conenctedvmwarevsphere/virtualmachines、
microsoft.azurestackhci/virtualmachines、
microsoft.scvmm/virtualmachines、
microsoft.compute/virtualmachinescalesets
Categories (カテゴリ) セキュリティ
ソリューション Security、SecurityInsights
基本的なログ はい
インジェスト時の変換 はい
サンプル クエリ はい

列

列 タイプ 説明
アクティビティ ひも 人間が判読でき、理解できるイベントの説明を表している文字列。
追加の拡張機能 ひも その他のフィールドのプレースホルダー。 フィールドはキーと値のペアとしてログに記録されます。
アプリケーション プロトコル ひも アプリケーションで使用される、HTTP、HTTPS、SSHv2、Telnet、POP、IMPA、IMAPS などのプロトコル。
_請求額サイズ real レコード サイズ (バイト単位)
コレクターホスト名 ひも エージェントを実行しているコレクター マシンのホスト名。
CommunicationDirection ひも 観察された通信が行われた方向に関する何らかの情報。 有効な値: 0 = 受信、1 = 送信。
コンピュータ ひも ホスト(Syslog から)。
DestinationDnsDomain ひも 完全修飾ドメイン名 (FQDN) の DNS 部分。
宛先ホスト名 ひも IP ネットワーク内でイベントによって参照されている発信元。 ノードを使用できる場合は、その形式を、送信先ノードに関連付けられている FQDN にする必要があります。 例: host.___domain.com またはホスト。
宛先IP ひも IP ネットワーク内でイベントによって参照されている送信先の IpV4 アドレス。
宛先MACアドレス ひも 宛先 MAC アドレス (FQDN)。
DestinationNTDomain ひも 宛先アドレスの Windows ドメイン名。
デスティネーションポート INT 送信先ポート。 有効な値: 0 から 65535。
DestinationProcessId INT イベントに関連付けられている送信先プロセスの ID。
宛先プロセス名 ひも telnetd や sshd など、イベントの宛先プロセスの名前。
宛先サービス名 ひも イベントによりターゲットとされるサービス。 例: sshd。
DestinationTranslatedAddress ひも IP ネットワーク内でイベントによって参照されている、変換後の送信先を IPv4 IP アドレスとして識別します。
DestinationTranslatedPort INT ファイアウォールの有効なポート番号など、変換後のポート: 0 から 65535。
送信先ユーザーID ひも ID で宛先ユーザーを識別します。 たとえば、Unix では、ルート ユーザーは通常、ユーザー ID 0 に関連付けられています。
宛先ユーザー名 ひも 名前で宛先ユーザーを識別します。
目的地ユーザー権限 ひも 宛先で使用する特権を定義します。 有効な値: Admninistrator、User、Guest。
DeviceAction ひも イベントで触れられているアクション。
デバイスアドレス ひも イベントを生成しているデバイスの IPv4 アドレス。
DeviceCustomDate1 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 2 つのタイムスタンプ フィールドのいずれか。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomDate1Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomDate2 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 2 つのタイムスタンプ フィールドのいずれか。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomDate2Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint1 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint1Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint2 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint2Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint3 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
DeviceCustomFloatingPoint3Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomFloatingPoint4 real このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。
デバイスカスタムフローティングポイント4ラベル (DeviceCustomFloatingPoint4Label) ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address1 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address1Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address2 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address2Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
デバイスカスタムIPv6アドレス3 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address3Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomIPv6Address4 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの IPv6 アドレス フィールドのいずれか。
DeviceCustomIPv6Address4Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomNumber1 INT 間もなく非推奨のフィールドになります。 FieldDeviceCustomNumber1 に置き換えられます。
DeviceCustomNumber1Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
デバイスカスタムナンバー2 INT 間もなく非推奨のフィールドになります。 FieldDeviceCustomNumber2 に置き換えられます。
DeviceCustomNumber2Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
デバイスカスタム番号3 INT 間もなく非推奨のフィールドになります。 FieldDeviceCustomNumber3 に置き換えられます。
DeviceCustomNumber3Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
デバイスカスタム文字列1 ひも このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomString1Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString2 ひも このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomString2Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString3 ひも このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomString3Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString4 ひも このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomString4Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString5 ひも このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomString5Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
DeviceCustomString6 ひも このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 6 つの文字列のうちの 1 つ。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
DeviceCustomString6Label ひも すべてのユーザー設定フィールドには、対応するラベル フィールドがあります。 これらの各フィールドは文字列であり、ユーザー設定フィールドの目的について説明します。
デバイスDNSドメイン ひも 完全修飾ドメイン名 (FQDN) の DNS ドメイン部分。
デバイスイベントカテゴリ (Device Event Category) ひも 発信元デバイスによって割り当てられたカテゴリを表します。 多くの場合、デバイスは独自の分類スキーマを使用してイベントを分類します。 例: '/Monitor/Disk/Read'。
DeviceEventClassID ひも イベントの種類ごとの一意の識別子として機能する文字列または整数。
DeviceExternalID ひも イベントを生成しているデバイスを一意に識別する名前。
DeviceFacility ひも イベントを生成している機能。 たとえば、認証または local1 などです。
デバイスインバウンドインターフェース ひも デバイスにパケットまたはデータが入力されたインターフェイス。 例: ethernet1/2。
デバイスのMACアドレス ひも イベントを生成しているデバイスの MAC アドレス。
デバイス名 ひも ノードを使用できる場合は、デバイス ノードに関連付けられている FQDN。 例: host.___domain.com またはホスト。
DeviceNtDomain ひも デバイス アドレスの Windows ドメイン。
デバイスアウトバウンドインターフェース ひも デバイスからパケットまたはデータが出たインターフェース。
DevicePayloadId ひも イベントに関連付けられているペイロードの一意の識別子。
DeviceProduct ひも デバイス製品とバージョンの定義と共に、送信デバイスの種類を一意に識別する文字列。
デバイスタイムゾーン ひも イベントを生成するデバイスのタイムゾーン。
DeviceTranslatedAddress ひも IP ネットワーク内でイベントによって参照されている、変換後のデバイス アドレスを識別します。 形式は Ipv4 アドレスです。
デバイスベンダー ひも デバイス製品とバージョンの定義と共に、送信デバイスの種類を一意に識別する文字列。
デバイスバージョン ひも デバイス製品とバージョンの定義と共に、送信デバイスの種類を一意に識別する文字列。
終了時間 datetime イベントに関連するアクティビティが終了した時刻。
イベント数 INT イベントに関連付けられているカウントで、同じイベントが観察された回数を示します。
イベント結果 ひも 結果 (通常は "success" または "failure") が表示されます。
イベントタイプ INT イベントの種類。 値には、0: 基本イベント、1: 集計、2: 相関イベント、3: アクション イベントが含まれます。 注: 基本イベントについてはこのイベントを省略できます。
ExternalID INT 間もなく非推奨のフィールドになります。 ExtID に置き換えられます。
ExtID ひも 元のデバイスによって使用される ID [将来的にレガシ ExternalID に取って代わる予定]。 一般に、これらの値は、イベントにそれぞれが関連付けられている、増加してゆく値です。
フィールドデバイスカスタムナンバー1 長い このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 3 つの数値フィールドのいずれか (従来の DeviceCustomNumber1 を置き換えます)。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
フィールドデバイスカスタムナンバー2 長い このディクショナリ内の他のフィールドに適用されないフィールドをマップするために使用できる 3 つの数値フィールドのいずれか (従来の DeviceCustomNumber2 を置き換えます)。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
フィールドデバイスカスタムナンバー3 長い このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 3 つの数値フィールドのいずれか (レガシ DeviceCustomNumber3 に置き換えられます)。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。
ファイル作成時間 ひも ファイルが作成された日時。
ファイルハッシュ ひも ファイルのハッシュ。
FileID ひも ファイルに関連付けられている ID (inode など)。
ファイルの修正時間 ひも ファイルが最後に変更された日時。
ファイル名 ひも パスを含まないファイルの名前。
FilePath ひも ファイル名を含む、ファイルへの完全なパス。 例: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe または /usr/bin/zip。
ファイル権限 ひも ファイルのアクセス許可。 例: '2,1,1'。
ファイルサイズ INT ファイルのサイズをバイト単位で指定します。
ファイルタイプ ひも パイプやソケットなどのファイルの種類。
FlexDate1 ひも このディクショナリ内の他の定義されたタイムスタンプ フィールドには適用されないタイムスタンプをマップするために使用できるタイムスタンプ フィールド。 すべてのフレックス フィールドを慎重に使用し、可能であれば、より具体的な辞書指定フィールドを検索します。 これらのフィールドは通常、顧客用に予約されており、必要な場合を除き、ベンダーが設定しないでください。
FlexDate1Label ひも ラベル フィールドは文字列であり、flex フィールドの目的を記述します。
FlexNumber1 INT このディクショナリ内の他のフィールドには適用されない Int データをマップするために使用できる数値フィールド。
フレックスナンバー1ラベル ひも FlexNumber1 の値を表すラベル
FlexNumber2 INT このディクショナリ内の他のフィールドには適用されない Int データをマップするために使用できる数値フィールド。
FlexNumber2Label ひも FlexNumber2 の値を表すラベル
FlexString1 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。 これらのフィールドは通常、顧客用に予約されており、必要な場合を除き、ベンダーが設定しないでください。
FlexString1Label ひも ラベル フィールドは文字列であり、flex フィールドの目的を記述します。
FlexString2 ひも このディクショナリ内の他のフィールドには適用されないフィールドをマップするために使用できる 4 つの浮動小数点フィールドのいずれか。 必要に応じて、慎重に使用し、可能ならより具体的な辞書で提供されるフィールドを探してください。 これらのフィールドは通常、顧客用に予約されており、必要な場合を除き、ベンダーが設定しないでください。
FlexString2Label ひも ラベル フィールドは文字列であり、flex フィールドの目的を記述します。
インディケーター脅威タイプ ひも TI フィードに従った MaliciousIP の脅威の種類。
_IsBillable // 請求可能かどうかを示す ひも データ インジェストが請求対象かどうかを指定します。 _IsBillable が false の場合、インジェストはお使いの Azure アカウントに課金されません
LogSeverity ひも イベントの重要度を記述する文字列または整数。 有効な文字列値: Unknown、Low、Medium、High、Very-High の有効な整数値は、0 から 3 = Low、4-6 = Medium、7-8 = High、9-10 = Very-High です。
悪意のあるIP ひも メッセージ内の IP の 1 つが現在の TI フィードと関連付けられていた場合は、ここに表示されます。
悪意のあるIP国 ひも レコード インジェスト時の GEO 情報に従った MaliciousIP の国。
MaliciousIPLatitude real レコード インジェスト時の GEO 情報に従った MaliciousIP の緯度。
MaliciousIPLongitude real レコード インジェスト時の GEO 情報に従った MaliciousIP の経度。
メッセージ ひも イベントに関する詳細情報を示すメッセージ。
OldFileCreateTime ひも 古いファイルが作成された日時。
OldFileHash ひも 古いファイルのハッシュ。
OldFileID ひも 古いファイルに関連付けられている、inode などの ID。
OldFileModificationTime ひも 古いファイルが最後に変更された日時。
(旧)ファイル名 ひも 古いファイルの名前。
OldFilePath ひも ファイル名を含む、古いファイルへの完全なパス。 例: C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe または /usr/bin/zip。
旧ファイル権限 ひも 古いファイルのアクセス許可。 例: '2,1,1'。
OldFileSize INT 古いファイルのサイズ (バイト単位)。
古いファイルタイプ ひも 古いファイルのタイプ、例えばパイプやソケットなど。
OriginalLogSeverity ひも マップされていないバージョンの LogSeverity。 例えば: LogSeverity フィールドにおいては、正規化された Low/Medium/High の代わりに、警告/クリティカル/情報 が使用される。
プロセスID INT イベントを生成しているデバイス上のプロセスの ID を定義します。
ProcessName ひも イベントに関連付けられているプロセス名。 たとえば、UNIX では、syslog エントリを生成するプロセスです。
プロトコル ひも 使用されているレイヤー 4 プロトコルを識別するトランスポート プロトコル。 使用可能な値には、TCP や UDP などのプロトコル名が含まれます。
理由 ひも 監査イベントが生成された理由。 たとえば、"無効なパスワード" や "不明なユーザー" などです。 これは、エラーまたはリターン コードである場合もあります。 例: '0x1234'。
受領時間 ひも アクティビティに関連するイベントが受信された時刻。 "Timegenerated" フィールドとは異なります。これは、イベントがログ コレクター コンピューターで受信されたときです。
受信バイト数 長い 受信されたバイト数。
リモートIP ひも 可能であれば、イベントの方向の値から派生したリモート IP アドレス。
リモート ポート ひも 可能であれば、イベントの方向の値から派生したリモート ポート。
レポート参照リンク ひも TI フィードのレポートへのリンク。
RequestClientApplication ひも 要求に関連付けられているユーザー エージェント。
リクエストコンテキスト ひも HTTP 参照元など、要求送信元のコンテンツについて説明します。
RequestCookies ひも 要求に関連付けられている Cookie。
リクエストメソッド ひも URL にアクセスするために使用されるメソッド。 有効な値には、POST、GET などのメソッドが含まれます。
リクエストURL ひも HTTP 要求のためにアクセスされる URL (プロトコルを含む)。 例: http://www/secure.com.
_リソースID ひも レコードが関連付けられているリソースの一意識別子
送信バイト数 長い 外側へ転送されたバイト数。
SimplifiedDeviceAction ひも DeviceAction のマップされたバージョン (> Deny など)。
SourceDnsDomain ひも 完全な FQDN の DNS ドメインの部分。
SourceHostName ひも IP ネットワーク内でイベントによって参照されている発信元を識別します。 ノードを使用できる場合は、形式を、ソース ノードに関連付けられている完全修飾ドメイン名 (DQDN) にする必要があります。 たとえば、host または host.___domain.com。
ソースIP ひも IP ネットワーク内でイベントによって参照されている、IPv4 アドレスとしての発信元。
SourceMACAddress ひも 発信元 MAC アドレス。
SourceNTDomain ひも 発信元アドレスの Windows ドメイン名。
SourcePort INT 発信元ポート番号。 有効なポート番号は 0 から 65535 です。
SourceProcessId (ソースプロセスID) INT イベントに関連付けられている発信元プロセスの ID。
ソースプロセス名 ひも イベントの発信元プロセスの名前。
ソースサービス名 ひも イベントの生成を担っているサービス。
SourceSystem ひも イベントが収集されたエージェントの種類。 たとえば、Windows エージェントの場合は OpsManager (直接接続または Operations Manager のいずれか)、すべての Linux エージェントの場合は Linux、Azure Diagnostics の場合は Azure です
ソース翻訳済みアドレス ひも IP ネットワーク内でイベントによって参照されている、変換後の発信元を識別します。
SourceTranslatedPort INT 変換後の、ファイアウォールなどの発信元ポート。 有効なポート番号は 0 から 65535 です。
SourceUserID ひも ID で発信元ユーザーを識別します。
SourceUserName ひも 名前で発信元ユーザーを識別します。 電子メール アドレスは、UserName フィールドにもマップされます。 送信者は、このフィールドに入力する候補です。
ソースユーザー特権 ひも 発信元ユーザーの特権。 有効な値は、管理者、ユーザー、ゲストです。
開始時間 datetime イベントによって参照されているアクティビティが開始された時刻。
_SubscriptionId(サブスクリプションID) ひも レコードが関連付けられているサブスクリプションの一意識別子
テナントID ひも Log Analytics ワークスペース ID
ThreatConfidence ひも TI フィードに基づく MaliciousIP に対する脅威の確信度。
脅威説明 ひも TI フィードに従った MaliciousIP の脅威の説明。
脅威の深刻度 INT レコードが取り込まれた時点でのTIフィードに基づくMaliciousIPの脅威の重大度。
タイムジェネレーテッド datetime イベント収集時刻 (UTC)。
タイプ ひも テーブルの名前