ASimAssetEntityLogs

Microsoft Sentinel规范化资产实体事件表。 存储与安全事件和警报关联的事件，确保跨不同数据源进行一致且高效的分析。

数据表属性

Attribute 价值
资源类型 microsoft.securityinsights/assetentitynormalized
Categories 安全性
解决方案 SecurityInsights
基本日志 是的
引入时 DCR 支持 否
仅湖引入 是的
示例查询 Yes

Columns

列 类型 说明
AADTenantId 字符串 与资产或实体关联的Azure Active Directory 租户标识符。
AdditionalAssetOwners dynamic 与资产关联的其他所有者或共同所有者的动态集合。
AdditionalFields dynamic 有关架构中的其他字段未捕获的实体的其他信息。
AssetClassificationLastScanDateTime 日期/时间 时间戳 (UTC) 上次扫描资产进行数据分类的时间。
AssetIsProtectedByDlp 布尔 指示资产是否受数据丢失防护 (DLP) 策略的保护。
AssetOriginalDataClassificationType dynamic 原始数据分类类型 () 分配给源系统报告的资产。
AssetOriginalPermissions dynamic 分配给资产的原始权限集，由源系统报告。
AssetOriginalRiskDetails dynamic 源系统提供的资产的完整风险详细信息。
AssetOriginalRiskLevel 字符串 在规范化之前，由源系统报告分配给资产的风险级别。
AssetOriginalSensitivityLevel 字符串 规范化前源系统报告的敏感度级别。
AssetOriginalType 字符串 源系统报告的资产的原始类型。
AssetOwnerId 字符串 拥有资产的用户或主体的标识符。
AssetOwnerIdType 字符串 资产所有者标识符的类型或格式，例如 UPN 或 SID。
AssetOwnerScope 字符串 资产所有者所属的组织或管理范围。
AssetOwnerScopeId 字符串 资产所有者所属范围的标识符。
AssetOwnerType 字符串 资产所有者的类型，例如 User、Group 或 ServicePrincipal。
AssetPath 字符串 FilePath 或 SitePath 的别名。
AssetRelatedIndicators dynamic 与资产相关的威胁指示器或信号的动态集合。
AssetRiskFirstReportedTime 日期/时间 时间戳 (UTC) 首次报告与资产关联的风险的时间。
AssetRiskLastReportedTime 日期/时间 时间戳 (UTC) 最近报告与资产关联的风险的时间。
AssetRiskLevel 字符串 分配给资产的规范化风险级别，例如“低”、“中”、“高”或“严重”。
AssetRiskName 字符串 与资产关联的风险或威胁的规范化名称。
AssetSensitivityLabel 字符串 应用于资产的敏感度标签，例如机密或公共。
资产类型 字符串 资产的高级类型，例如“文件”或“站点”。
_BilledSize real 记录大小（字节）
EntityCreatedTime 日期/时间 最初在源系统中创建实体的时间戳 (UTC) 。
EntityFeedType 字符串 提供实体记录的数据馈送的类型或类别。
实体标识 (EntityId) 字符串 规范化架构中实体的唯一标识符。
EntityIdType 字符串 实体标识符的类型或格式。
EntityIngestionTime 日期/时间 实体记录引入到系统中时的时间戳（UTC）。
EntityIsDeleted 布尔 指示是否已在源系统中删除实体。
EntityKey 字符串 实体的唯一标识符，用于跨架构关联。
EntityLastAccessedTime 日期/时间 上次访问实体的时间戳 (UTC) 。
EntityLastModifiedTime 日期/时间 时间戳 (UTC) 上次在源系统中修改实体的时间。
EntityName 字符串 实体的显示名称或标识符。
EntityNameType 字符串 实体名称的类型或格式，如 UPN 或用户名。
EntityOriginalId 字符串 源系统报告的实体的原始标识符。
EntityOriginalSource 字符串 提供实体记录的原始数据源或连接器。
EntityProduct 字符串 与报告实体的源关联的产品名称。
EntitySchema 字符串 此实体记录的 ASIM 架构名称。
EntitySchemaVersion 字符串 用于此实体记录的 ASIM 架构的版本。
EntitySnapshotId 字符串 当前记录所属的快照的标识符。
EntitySource 字符串 提供实体记录的数据源或连接器。
EntitySubProduct 字符串 与报告实体的源关联的子产品或组件名称。
EntityUpdatedTime 日期/时间 上次更新实体记录时的时间戳（UTC）。
EntityVendor 字符串 报告实体的供应商或提供商。
ExternalUsersCount int 与资产关联或有权访问资产的外部用户数。
FileExtension 字符串 与资产关联的文件的文件扩展名，例如 .exe 或 .pdf。
FileIsSignatureValid 布尔 指示文件的数字签名是否有效。
FileMD5 字符串 与资产关联的文件的 MD5 哈希。
FilePath 字符串 与资产关联的文件的完整路径。
FileSHA1 字符串 与资产关联的文件的 SHA-1 哈希。
FileSHA256 字符串 与资产关联的文件的 SHA-256 哈希。
FileSHA512 字符串 与资产关联的文件的 SHA-512 哈希。
FileSignatureDetails 字符串 有关文件的数字签名的详细信息，例如签名者或证书信息。
文件大小 long 以字节为单位的文件的大小。
IdentityDirectoryId 字符串 与实体关联的标识目录的标识符。
IdentityDirectoryName 字符串 与实体关联的标识目录的名称，例如Active Directory或Azure AD。
InternalUsersCount int 与资产关联或有权访问资产的内部用户数。
_IsBillable 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
_ResourceId 字符串 与记录关联的资源的唯一标识符
SitePath 字符串 与资产关联的站点或存储位置的路径。
SitePrimaryUri 字符串 与资产关联的站点或存储位置的主 URI。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure 诊断 的 Azure。
_SubscriptionId 字符串 唯一标识符，用于识别与此记录关联的订阅
TenantId 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 生成日志的时间戳 (UTC)。
类型 字符串 表的名称
用户 字符串 AssetOwnerId 的别名。
  • Last updated on