设备行为信息

终结点（MDE）行为表的Microsoft Defender。 包含有关行为的信息，这些行为在Microsoft 365 Defender上下文中是指基于一个或多个原始事件的结论或见解，这些事件可为分析人员提供更多调查上下文。

数据表属性

特征 价值
资源类型 -
类别 安全性
解决方案 日志管理
基本日志 是的
引入时 DCR 支持 是的
仅湖引入 是的
示例查询 -

列

列 类型 DESCRIPTION
账户对象ID 字符串 Azure AD 中帐户的唯一标识符。
AccountUpn 字符串 帐户的用户主体名称 (UPN)。
操作类型 字符串 触发事件的活动类型。 与特定的 MITRE ATT&CK 技术相关联。
附加字段 字符串 有关实体或活动的其他信息。
攻击技术 字符串 与触发警报的活动关联的 MITRE ATT&CK 技术。 由 MITRE ATT&CK Matrix for Enterprise 定义。
行为ID 字符串 行为的唯一标识符。
_BilledSize（账单大小） 真实 记录大小（字节）
类别 字符串 警报标识的威胁指示器或违规活动的类型。 由 MITRE ATT&CK Matrix for Enterprise 定义。
数据源 字符串 为行为提供信息的产品或服务。
DESCRIPTION 字符串 行为说明。
检测来源 字符串 识别值得注意的组件或活动的检测技术或传感器。
DeviceId 字符串 设备在服务中的唯一标识符。
结束时间 日期/时间 与行为相关的最后一个活动的日期和时间。
_IsBillable 字符串 指定摄入数据是否需计费。 当_IsBillable为 false 引入时，不会向你Azure帐户计费
ServiceSource 字符串 提供警报信息的产品或服务。
SourceSystem 字符串 收集事件的代理的类型。 例如，Windows 代理的 OpsManager、直接连接或Operations Manager、所有 Linux 代理的 Linux，或用于 Azure Diagnostics 的 Azure
开始时间 日期/时间 与行为相关的第一个活动的日期和时间。
租户ID 字符串 Log Analytics工作区 ID
TimeGenerated 日期/时间 生成记录的日期和时间。
类型 字符串 表的名称
  • Last updated on