Compartir a través de

MDECustomCollectionDeviceFileEvents

此表是自定义集合应用场景的 Microsoft Defender for Endpoints 的一部分。 此表包含客户为集合显式请求的任何内容的文件创建、修改和其他文件系统事件。

表属性

特征 值
资源类型 -
类别 安全性
解决方案 日志管理
基本日志 是的
引入时转换 否
示例查询 -

列

列 类型 描述
操作类型 字符串 触发事件的活动的类型。
附加字段 动态 有关实体或活动的其他信息。
AppGuard容器识别号 字符串 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize（账单大小） 真实 记录大小（字节）
DeviceId 字符串 设备在服务中的唯一标识符。
设备名称 字符串 设备的完全限定的域名 (FQDN)。
文件名 字符串 应用了所记录操作的文件的名称。
文件来源IP 字符串 从中下载文件的 IP 地址。
文件来源引用网址 字符串 链接到所下载文件的网页的 URL。
文件来源URL 字符串 从其中下载文件的 URL。
文件大小 长整型 文件的大小（字节）。
文件夹路径 字符串 包含应用了所记录操作的文件的文件夹。
InitProcessAccountDomain 字符串 运行负责事件的进程的账户的域。
InitProcessAccountName 字符串 运行负责事件的进程的账户的用户名。
InitProcessAccountObjectId 字符串 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitProcessAccountSid 字符串 运行负责事件的进程的帐户的安全标识符 (SID)。
InitProcessAccountUpn 字符串 运行负责事件的进程的账户的用户主体名称 (UPN)。
初始化进程命令行 字符串 用于运行启动事件的进程的命令行。
初始化进程创建时间 日期/时间 启动事件的进程的启动日期和时间。
InitProcessFileName 字符串 启动事件的进程的名称。
InitProcessFileSize 长整型 启动事件的进程（映像文件）的大小（以字节为单位）。
初始化进程文件夹路径 字符串 包含启动事件的进程（映像文件）的文件夹。
InitProcessId 长整型 启动事件的进程的进程 ID (PID)。
InitProcessIntegrityLevel 字符串 启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。
InitProcessMD5 字符串 启动事件的进程（映像文件）的 MD5 哈希。
初始化进程父进程创建时间 日期/时间 负责事件的进程的父进程的启动日期和时间。
InitProcessParentFileName 字符串 生成负责事件的进程的父进程的名称。
初始化进程父ID 长整型 生成负责事件的进程的父进程的进程 ID (PID)。
InitProcessSHA1 字符串 启动事件的进程（映像文件）的 SHA-1 哈希。
InitProcessSHA256 字符串 启动事件的进程（映像文件）的 SHA-256 哈希。 通常不会填充此字段 - 在可用时使用 SHA1 列。
InitProcessTokenElevation 字符串 令牌类型，指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升。
初始化进程版本信息公司名称 字符串 负责事件的进程（映像文件）的版本信息中的公司名称。
InitProcessVersionInfoFileDescription 字符串 负责事件的进程（映像文件）的版本信息中的说明。
初始化进程版本信息内部文件名 字符串 负责事件的进程（映像文件）的版本信息中的内部文件名。
初始化进程版本信息原始文件名 字符串 负责事件的进程（映像文件）的版本信息中的原始文件名。
初始化进程版本信息产品名称 字符串 负责事件的进程（映像文件）的版本信息中的产品名称。
InitProcessVersionInfoProductVersion 字符串 负责事件的进程（映像文件）的版本信息中的产品版本。
Azure信息保护是否已应用 布尔 指示文件是否由 Azure 信息保护加密。
_是否计费 字符串 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
MachineGroup 字符串 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。
MD5 字符串 应用了所记录操作的文件的 MD5 哈希。
上一个文件名称 字符串 因操作而重命名的文件的原始名称。
上一个文件夹路径 字符串 在应用记录的操作之前包含文件的原始文件夹。
ReportId 长整型 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。
请求账户域名 字符串 用于远程启动活动的帐户的域。
请求账户名称 字符串 用于远程启动活动的帐户的用户名。
RequestAccountSid（请求账户SID） 字符串 用于远程启动活动的帐户的安全标识符 (SID)。
请求协议 字符串 用于启动活动的网络协议（如果适用）：Unknown、Local、SMB 或 NFS。
请求来源IP (RequestSourceIP) 字符串 启动活动的远程设备的 IPv4 或 IPv6 地址。
RequestSourcePort 整数 (int) 启动活动的远程设备上的源端口。
敏感度标签 字符串 应用于电子邮件、文件或其他内容的标签，用于对其进行分类，以便进行信息保护。
SensitivitySubLabel 字符串 应用于电子邮件、文件或其他内容的子标签，用于对其进行分类，以便进行信息保护；敏感度子标签在敏感度标签下分组，但单独处理。
SHA1 字符串 应用了所记录操作的文件的 SHA-1 哈希。
SHA256 字符串 应用了所记录操作的文件的 SHA-256。
共享名称 字符串 包含文件的共享文件夹的名称。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 终结点上的 MDE 代理记录事件的日期和时间。
类型 字符串 表的名称