Microsoft Sentinel 行为表。 包含有关行为的信息，这些行为是指基于一个或多个原始事件得出的结论或见解，这些事件可以为分析人员提供更多调查上下文。
数据表属性
| Attribute |
价值 |
|
资源类型 |
microsoft.securityinsights/securityinsights |
|
类别 |
安全性 |
|
解决方案 |
SecurityInsights |
|
基本日志 |
是的 |
|
引入时转换 |
否 |
|
示例查询 |
- |
列
| 列 |
类型 |
Description |
| AccountObjectId |
字符串 |
Microsoft Entra ID 中帐户的唯一标识符。 |
| AccountUpn |
字符串 |
帐户的用户主体名称 (UPN)。 |
| 操作类型 |
字符串 |
行为类型。 |
| AdditionalFields |
字符串 |
有关实体或活动的其他信息。 |
| AttackTechniques |
字符串 |
与触发行为的活动的 MITRE ATT&CK 技术相关联。 |
| BehaviorId |
字符串 |
行为的唯一标识符。 |
| _BilledSize（账单大小） |
real |
记录大小（字节） |
| 类别 |
字符串 |
行为标识的威胁指示器或违规活动的类型。 |
| DataSources |
字符串 |
为行为提供信息的产品或服务。 |
| Description |
字符串 |
行为说明。 |
| DetectionSource |
字符串 |
识别值得注意的组件或活动的检测技术或传感器。 |
| DeviceId |
字符串 |
设备在服务中的唯一标识符。 |
| EndTime |
日期/时间 |
与行为相关的最后一个活动的日期和时间。 |
| _IsBillable |
字符串 |
指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| _资源ID |
字符串 |
与记录关联的资源的唯一标识符 |
| ServiceSource |
字符串 |
提供行为的产品或服务。 |
| SourceSystem |
字符串 |
收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure Diagnostics 的 Azure。 |
| StartTime |
日期/时间 |
与行为相关的第一个活动的日期和时间。 |
| _SubscriptionId（订阅编号） |
字符串 |
唯一标识符，用于识别与此记录关联的订阅 |
| 租户ID |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期/时间 |
生成记录的日期和时间。 |
| 类型 |
字符串 |
表的名称 |