通过

动态事件集合

泛型 Windows 事件的 Microsoft Defender for Endpoints (MDE) 表。 原始事件的字段可作为 AdditionalFields 列的一部分使用。

表属性

属性 值
资源类型 -
类别 安全性
解决方案 AzureSentinelDSRE
基本日志 是
引入时转换 是
示例查询 -

列

列 类型​​ 描述
AccountSid 字符串 帐户的安全标识符 (SID)。
AdditionalFields 动态 有关实体或活动的其他信息。
AppGuardContainerId 字符串 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize（账单大小） real 记录大小（字节）
DeviceId 字符串 设备在服务中的唯一标识符。
设备名称 字符串 设备的完全限定的域名 (FQDN)。
EventId 长整型 包含唯一的事件标识符。
InitiatingProcessAccountDomain 字符串 运行对事件负责的进程的账户域。
InitiatingProcessAccountName 字符串 运行负责事件的进程的账户的用户名。
InitiatingProcessAccountObjectId 字符串 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid 字符串 运行负责事件的进程的帐户的安全标识符 (SID)。
InitiatingProcessAccountUpn 字符串 运行事件相关进程的帐户的用户主体名称 (UPN)。 在 Active Directory 中，UPN 是采用电子邮件地址格式的系统用户的名称（例如：john.doe@___domain.com）
InitiatingProcessFolderPath 字符串 包含启动事件的进程（映像文件）的文件夹。
InitiatingProcessId 长整型 发起事件的进程的进程 ID (PID)。
InitiatingProcessLogonId 长整型 发起事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上是唯一的。
InitiatingProcessMD5 字符串 启动事件的进程（映像文件）的 MD5 哈希。
InitiatingProcessParentFileName 字符串 生成负责事件的进程的父进程的名称。
InitiatingProcessParentId 长整型 生成事件相关进程的父进程的进程 ID (PID)。
InitiatingProcessSHA1 字符串 启动事件的进程（映像文件）的 SHA-1 哈希。
_IsBillable 字符串 指定引入数据是否需要付费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
本地IP地址 字符串 分配给通信期间使用的本地计算机的 IP 地址。
本地端口 整数 (int) 通信期间使用的本地计算机上的 TCP 端口。
MachineGroup 字符串 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。
ProcessCommandLine 字符串 用于创建新进程的命令行。
远程设备名称 字符串 在受影响计算机上执行远程操作的设备的名称。 根据要报告的事件，此名称可以是完全限定的域名 (FQDN)、NetBIOS 名称或主机名（不包含域信息）。
RemoteIP 字符串 所连接到的 IP 地址。
RemotePort 整数 (int) 所连接到的远程设备上的 TCP 端口。
ReportId 长整型 事件的唯一标识符。
SourceSystem 字符串 收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 MDE 代理在终端设备上记录事件的日期和时间。
类型​​ 字符串 表的名称