你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
查看 Windows 和 Linux 文件以及软件注册表项的更改。 此表中的事件由 Microsoft Defender for Endpoint (MDE) 收集。
表属性
| 属性 | 值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | 日志管理 |
| 基本日志 | 是 |
| 引入时转换 | 否 |
| 示例查询 | - |
列
| 列 | 类型 | 描述 |
|---|---|---|
| AADTenantID | 字符串 | 在其中创建、重命名、修改或删除受监视实体的订阅的 AAD 租户 ID。 |
| AzureResourceId | 字符串 | 受监控实体被创建、重命名、修改或删除的资源的 Azure 资源 ID。 |
| _BilledSize（账单大小） | 实数 | 记录大小（字节） |
| ChangeType | 字符串 | 实体上发生的更改的类型。 对于“File”实体，必须是“Created”、“Modified”、“Renamed”或“Deleted”。 对于“Registry”实体，必须是以下之一：“RegistryKeyCreated”、“RegistryKeyDeleted”、“RegistryValueSet”、“RegistryValueDeleted”、“RegistryKeyRenamed”。 |
| 云标识符 | 字符串 | 资源的云标识符。 |
| 云服务提供商 | 字符串 | 资源的云提供商。 |
| 云资源类型 | 字符串 | 云资源的类型。 |
| 计算机 | 字符串 | 在其中创建、重命名、修改或删除受监视实体的计算机的名称。 |
| FileMd5 | 字符串 | 与“File”受监视实体类型相关。 保存已修改、创建或删除的文件的 MD5。 |
| 文件名 | 字符串 | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的名称。 |
| FilePath | 字符串 | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的路径。 |
| FileSha1 | 字符串 | 与“File”受监视实体类型相关。 保存已修改、创建或删除的文件的 SHA1。 |
| FileSha256 | 字符串 | 与“File”受监视实体类型相关。 保存被修改、创建或删除的文件的 SHA256 值。 |
| 文件大小 | 长整型 | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的当前大小（以字节为单位）。 |
| 文件类型 | 字符串 | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的类型。 可能值的示例：Zip、PDF、Xar 等。 |
| InitiatingProcessAccountDomainName | 字符串 | 保留导致受监视实体事件的启动进程的帐户域名称。 |
| InitiatingProcessAccountName | 字符串 | 保留导致受监视实体事件的启动进程的帐户名称。 |
| InitiatingProcessAccountSid | 字符串 | 保留导致受监视实体事件的启动进程的帐户 SID。 |
| InitiatingProcessCreationTime | 日期/时间 | 保存产生受监视实体事件的启动进程的创建时间。 |
| InitiatingProcessFirstSeen | 日期/时间 | 保留导致受监视实体事件的启动进程的第一次出现时间。 |
| InitiatingProcessId | 长整型 | 保存产生受监视实体事件的启动进程的进程 ID。 |
| InitiatingProcessImageFileName | 字符串 | 保存产生受监视实体事件的启动进程的映像文件名。 |
| InitiatingProcessImageFilePath | 字符串 | 保存产生受监视实体事件的启动进程的映像文件路径。 |
| InitiatingProcessImageFileType | 字符串 | 保存产生受监视实体事件的启动进程的映像文件类型。 |
| InitiatingProcessName | 字符串 | 保留导致受监视实体事件的启动进程的名称。 |
| InitiatingProcessSessionId | 长整型 | 存储导致受监控实体事件的启动进程的会话 ID。 |
| InitiatingProcessSource | 字符串 | 保留导致受监视实体事件的启动进程的来源。 |
| InitProcImageCreationTimeUtc | 日期/时间 | 保留导致受监视实体事件的启动进程的映像的映像创建时间。 |
| InitProcImageFileSizeInBytes | 长整型 | 保存产生受监视实体事件的启动进程的映像文件大小（以字节为单位）。 |
| InitProcImageLastAccessTimeUtc | 日期/时间 | 保留导致受监控实体事件的启动进程的映像的映像上次访问时间。 |
| InitProcImageLastWriteTimeUtc | 日期/时间 | 保留导致受监控实体事件的启动进程的映像的映像上次写入时间。 |
| InitProcImageLsHash | 字符串 | 保留导致受监控实体事件的启动进程的映像的映像 LS 哈希。 |
| InitProcImageMd5 | 字符串 | 保留导致受监控实体事件的启动进程的映像的映像 MD5。 |
| InitProcImagePeTimestampUtc | 日期/时间 | 保留导致受监控实体事件的启动进程的映像的映像 PE 时间。 |
| InitProcImageSha1 | 字符串 | 保留导致受监控实体事件的启动进程的映像的映像 SHA 1。 |
| InitProcImageSha256 | 字符串 | 保留导致受监控实体事件的启动进程的映像的映像 SHA 256。 |
| InitProcVersionInfoCompanyName | 字符串 | 保存导致受监控实体事件的启动进程的版本信息和公司名称。 |
| InitProcVersionInfoFileDescription | 字符串 | 保留导致受监控实体事件的启动进程的版本信息文件说明。 |
| InitProcVersionInfoInternalFileName | 字符串 | 保留导致受监控实体事件的启动进程的版本信息内部文件名。 |
| InitProcVersionInfoOriginalFileName | 字符串 | 保留导致受监控实体事件的启动进程的版本信息原始文件名。 |
| InitProcVersionInfoProductName | 字符串 | 保留导致受监控实体事件的启动进程的版本信息产品名称。 |
| InitProcVersionInfoProductVersion | 字符串 | 保留导致受监控实体事件的启动进程的版本信息产品版本。 |
| _IsBillable | 字符串 | 指定引入数据是否可计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| 受监控实体类型 | 字符串 | 已创建、重命名、修改或删除的受监视实体的类型。 可以是“文件”或“注册表”。 |
| NewValueData | 字符串 | 与“Registry”受监视实体类型相关。 保留新的注册表值数据。 |
| NewValueName | 字符串 | 与“Registry”受监视实体类型相关。 保留新的注册表值名称。 |
| NewValueType | 字符串 | 与“Registry”受监视实体类型相关。 用于存储新的注册表值类型。 |
| OldValueData | 字符串 | 与“Registry”受监视实体类型相关。 保存以前的注册表值数据。 |
| OldValueFullRegistryKey | 字符串 | 与“Registry”受监视实体类型相关。 保留上一个完整注册表项。 |
| OldValueName | 字符串 | 与“Registry”受监视实体类型相关。 保存以前的注册表值名称。 |
| OldValueType | 字符串 | 与“Registry”受监视实体类型相关。 保存以前的注册表值类型。 |
| 原始文件名 | 字符串 | 与“文件”受监控的实体类型和“重命名”更改类型相关。 保存进行重命名之前所重命名文件的原始名称。 |
| OriginalFilePath | 字符串 | 与“文件”受监控的实体类型和“重命名”更改类型相关。 保存进行重命名之前所重命名文件的原始路径。 |
| RegistryHive | 字符串 | 与“Registry”受监视实体类型相关。 保存操作系统和应用程序的分组配置设置。 |
| RegistryKey | 字符串 | 与“Registry”受监视实体类型相关。 保留已创建的注册表的完整注册表项或已重命名的注册表的新注册表项。 |
| RequestAccountDomain | 字符串 | 与“File”受监视实体类型相关。 保存导致文件事件的用户帐户所属的域。 |
| RequestAccountName | 字符串 | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的名称。 |
| RequestAccountSid | 字符串 | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的 SID。 |
| RequestSource | 字符串 | 与“File”受监视实体类型相关。 保存引发文件事件的用户账户来源。 例如 Local/SMB/NFS。 |
| 请求来源IP (RequestSourceIP) | 字符串 | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的源 IP。 对于远程文件，则是发出请求的 IP。 |
| RequestSourcePort | 字符串 | 与“File”受监视实体类型相关。 保存导致文件事件的用户帐户的源端口。 对于远程文件，则是发出请求的端口。 |
| SourceSystem | 字符串 | 收集事件的代理类型。 例如，OpsManager用于 Windows 代理，无论是直接连接还是 Operations Manager，Linux用于所有 Linux 代理，或 Azure用于 Azure 诊断。 |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| TimeGenerated | 日期/时间 | 创建、重命名、修改或删除受监视实体的时间 (UTC)。 |
| 类型 | 字符串 | 表的名称 |