异常

此表包含 Azure Sentinel 中活动异常分析规则生成的异常。

表属性

特征	值
资源类型	-
类别	安全性
解决方案	SecurityInsights
基本日志	是
引入时转换	是
示例查询	是

列

列	类型	描述
ActivityInsights	动态	有关与以 JSON 格式生成的异常对应的活动的见解。
异常详情	动态	JSON 对象，包含有关生成异常的规则和算法的一般信息以及异常的解释。
异常原因	动态	以 JSON 形式详细说明生成的异常。
异常模板ID	字符串	生成此异常的异常模板的 ID。
AnomalyTemplateName (异常模板名称)	字符串	生成此异常的异常模板的名称。
AnomalyTemplateVersion	字符串	生成此异常的异常模板的版本。
_BilledSize（账单大小）	真实	记录大小（字节）
描述	字符串	异常的说明。
DestinationDevice	字符串	为其生成异常的目标设备。
目标IP地址	字符串	为其生成异常的目标 IP 地址。
目的地位置	动态	以 JSON 格式生成异常的目标位置信息。
DeviceInsights	动态	有关与以 JSON 格式生成的异常对应的设备的见解。
结束时间	日期/时间	异常结束的时间 (UTC)。
实体	动态	JSON 对象，包含生成的异常中涉及的所有实体。
ExtendedLinks	动态	指向生成异常的数据的链接列表。
扩展属性	动态	JSON 对象，其中异常的附加数据作为键值对。
Id	字符串	生成的异常的 ID。
_是否计费	字符串	指定引入数据是否计费。当 _IsBillable 为 `false` 时，不会向 Azure 帐户计收引入费
规则配置版本	字符串	生成此异常的异常分析规则的配置版本。
规则编号	字符串	生成此异常的异常分析规则的 ID。
规则名称	字符串	生成此异常的异常分析规则的名称。
RuleStatus	字符串	生成此异常的异常分析规则的状态（外部测试/生产）。
分数	真实	异常的分数。
SourceDevice	字符串	为其生成异常的源设备。
来源IP地址	字符串	为其生成异常的源 IP 地址。
来源位置	动态	以 JSON 格式生成异常的源位置信息。
SourceSystem	字符串	收集事件的代理的类型。例如，适用于 Windows 代理的 `OpsManager`、直接连接或 Operations Manager、适用于所有 Linux 代理的 `Linux` 或适用于 Azure 诊断的 `Azure`
开始时间	日期/时间	异常开始时的时间 (UTC)。
策略	字符串	与异常对应的 MITRE ATT&CK 策略（字符串）列表。
方法	字符串	列出与异常对应的 MITRE ATT&CK 技术（字符串）。
租户ID	字符串	Log Analytics 工作区 ID
TimeGenerated	日期/时间	生成异常时的时间戳 (UTC)。
类型	字符串	表的名称
用户洞察	动态	有关与以 JSON 格式生成的异常对应的用户的见解。
UserName	字符串	为其生成异常的用户名。
用户主体名称	字符串	为其生成异常的用户的 UPN。
供应商名称	字符串	生成此异常的供应商的名称。
WorkspaceId	字符串	Sentinel 工作区的 ID。

Last updated on 2025-08-02