| AccountDomain |
字符串 |
帐户的域。 |
| 账户名称 |
字符串 |
帐户的用户名。 |
| AccountSid |
字符串 |
帐户的安全标识符 (SID)。 |
| 动作类型 |
字符串 |
触发事件的活动的类型。 |
| AdditionalFields |
动态 |
有关实体或活动的其他信息。 |
| AppGuardContainerId |
字符串 |
应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
| _BilledSize（账单大小） |
实数 |
记录大小（字节） |
| CreatedProcessSessionId |
长整型 |
所创建进程的 Windows 会话 ID。 |
| DeviceId |
字符串 |
设备在服务中的唯一标识符。 |
| 设备名称 |
字符串 |
设备的完全限定的域名 (FQDN)。 |
| 文件名 |
字符串 |
帐户的域。 |
| FileOriginIP |
字符串 |
从中下载文件的 IP 地址。 |
| 文件来源URL |
字符串 |
从其中下载文件的 URL。 |
| 文件大小 |
长整型 |
文件的大小（字节）。 |
| FolderPath |
字符串 |
帐户的域。 |
| InitiatingProcessAccountDomain |
字符串 |
运行事件相关的进程的帐户的域。 |
| InitiatingProcessAccountName |
字符串 |
运行负责事件的进程的账户的用户名。 |
| InitiatingProcessAccountObjectId |
字符串 |
运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
| InitiatingProcessAccountSid |
字符串 |
运行负责事件的进程的帐户的安全标识符 (SID)。 |
| InitiatingProcessAccountUpn |
字符串 |
运行事件相关进程的帐户的用户主体名称 (UPN)。 |
| InitiatingProcessCommandLine |
字符串 |
用于运行启动事件的进程的命令行。 |
| InitiatingProcessCreationTime |
日期/时间 |
启动事件的进程的启动日期和时间。 |
| InitiatingProcessFileName |
字符串 |
启动事件的进程的名称。 |
| InitiatingProcessFileSize |
长整型 |
运行负责事件的进程的文件的大小（以字节为单位）。 |
| InitiatingProcessFolderPath |
字符串 |
包含启动事件的进程（映像文件）的文件夹。 |
| InitiatingProcessId |
长整型 |
启动此事件的进程的 PID (进程 ID)。 |
| InitiatingProcessLogonId |
长整型 |
发起事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。 |
| InitiatingProcessMD5 |
字符串 |
启动事件的进程（映像文件）的 MD5 哈希。 |
| InitiatingProcessParentCreationTime |
日期/时间 |
事件相关的进程的父进程启动的日期和时间。 |
| InitiatingProcessParentFileName |
字符串 |
生成负责事件的进程的父进程的名称。 |
| InitiatingProcessParentId |
长整型 |
生成事件相关进程的父进程的进程 ID (PID)。 |
| InitiatingProcessRemoteSessionDeviceName |
字符串 |
从中发起启动进程 RDP 会话的远程设备的设备名称。 |
| InitiatingProcessRemoteSessionIP |
字符串 |
从中启动启动进程 RDP 会话的远程设备的 IP 地址。 |
| InitiatingProcessSessionId |
长整型 |
启动进程的 Windows 会话 ID。 |
| InitiatingProcessSHA1 |
字符串 |
启动事件的进程（映像文件）的 SHA-1 哈希。 |
| InitiatingProcessSHA256 |
字符串 |
启动该事件的进程（图像文件）的 SHA-256 哈希值。 通常不会填充此字段 - 在可用时使用 SHA1 列。 |
| InitiatingProcessVersionInfoCompanyName |
字符串 |
负责事件的进程（映像文件）的版本信息中的公司名称。 |
| InitiatingProcessVersionInfoFileDescription |
字符串 |
事件相关进程（映像文件）版本信息中的描述。 |
| InitiatingProcessVersionInfoInternalFileName |
字符串 |
负责事件的进程（映像文件）的版本信息中的内部文件名。 |
| InitiatingProcessVersionInfoOriginalFileName |
字符串 |
事件相关进程（映像文件）的版本信息中的原始文件名。 |
| InitiatingProcessVersionInfoProductName |
字符串 |
负责事件的进程（映像文件）的版本信息中的产品名称。 |
| InitiatingProcessVersionInfoProductVersion |
字符串 |
事件相关进程（映像文件）版本信息中的产品版本。 |
| _IsBillable |
字符串 |
指定引入数据是否可计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| IsInitiatingProcessRemoteSession |
布尔 |
指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| IsProcessRemoteSession |
布尔 |
指示所创建进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| 本地IP地址 |
字符串 |
分配给通信期间使用的本地计算机的 IP 地址。 |
| 本地端口 |
整数 (int) |
通信期间使用的本地计算机上的 TCP 端口。 |
| 登录ID |
长整型 |
登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。 |
| MachineGroup |
字符串 |
计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
| MD5 |
字符串 |
应用记录操作的文件的 MD5 哈希。 |
| ProcessCommandLine |
字符串 |
用于创建新进程的命令行。 |
| 进程创建时间 |
日期/时间 |
进程的创建日期和时间。 |
| ProcessId |
长整型 |
新创建的进程的进程 ID (PID)。 |
| ProcessRemoteSessionDeviceName |
字符串 |
从中启动所创建进程 RDP 会话的远程设备的设备名称。 |
| ProcessRemoteSessionIP |
字符串 |
从中启动所创建进程 RDP 会话的远程设备的 IP 地址。 |
| ProcessTokenElevation |
字符串 |
表示是否存在或不存在应用于新创建的进程的用户访问控制 (UAC) 特权提升的令牌类型。 |
| RegistryKey |
字符串 |
应用记录操作的注册表项。 |
| RegistryValueData |
字符串 |
应用记录操作的注册表值的数据。 |
| RegistryValueName |
字符串 |
应用记录操作的注册表值的名称。 |
| 远程设备名称 |
字符串 |
在受影响计算机上执行远程操作的设备的名称。 根据要报告的事件，此名称可以是完全限定的域名 (FQDN)、NetBIOS 名称或主机名（不包含域信息）。 |
| RemoteIP |
字符串 |
所连接到的 IP 地址。 |
| RemotePort |
整数 (int) |
所连接到的远程设备上的 TCP 端口。 |
| RemoteUrl |
字符串 |
所连接到的 URL 或完全限定的域名 (FQDN)。 |
| ReportId |
长整型 |
基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
| SHA1 |
字符串 |
应用记录操作的文件的 SHA-1 哈希。 |
| SHA256 |
字符串 |
应用记录操作的文件的 SHA-256。 |
| SourceSystem |
字符串 |
收集事件的代理类型。 例如，适用于 Windows 代理的 OpsManager，可以选择直接连接或 Operations Manager；适用于所有 Linux 代理的 Linux；或适用于 Azure 诊断的 Azure。 |
| 租户ID |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期/时间 |
终结点上的 MDE 代理记录事件的日期和时间。 |
| 类型 |
字符串 |
表的名称 |