通过

DeviceNetworkEvents

Microsoft Defender for Endpoints (MDE) 设备网络事件表。 此表包含有关在终结点上运行的进程启动的网络连接和相关事件的信息。

数据表属性

Attribute Value
资源类型 -
Categories 安全性
Solutions SecurityInsights
基本日志 Yes
引入时转换 Yes
示例查询 -

Columns

Column 类型 Description
ActionType 字符串 触发事件的活动的类型。
AdditionalFields dynamic 有关实体或活动的其他信息。
AppGuardContainerId 字符串 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize real 记录大小（字节）
DeviceId 字符串 设备在服务中的唯一标识符。
DeviceName 字符串 设备的完全限定的域名 (FQDN)。
InitiatingProcessAccountDomain 字符串 运行启动进程的帐户的域。
InitiatingProcessAccountName 字符串 运行启动进程的帐户的用户名。
InitiatingProcessAccountObjectId 字符串 运行启动进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid 字符串 运行启动进程的帐户的安全标识符 (SID)。
InitiatingProcessAccountUpn 字符串 运行启动进程的帐户的用户主体名称 (UPN)。
InitiatingProcessCommandLine 字符串 用于运行启动进程的命令行。
InitiatingProcessCreationTime 日期/时间 启动事件的进程的启动日期和时间。
InitiatingProcessFileName 字符串 启动进程的名称。
InitiatingProcessFileSize long 运行负责事件的进程的文件的大小（字节）。
InitiatingProcessFolderPath 字符串 包含启动进程（映像文件）的文件夹。
InitiatingProcessId long 启动进程的进程 ID (PID)。
InitiatingProcessIntegrityLevel 字符串 启动进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。
InitiatingProcessMD5 字符串 启动进程（映像文件）的 MD5 哈希。
InitiatingProcessParentCreationTime 日期/时间 负责事件的进程的父进程的启动日期和时间。
InitiatingProcessParentFileName 字符串 生成启动进程的父进程的名称。
InitiatingProcessParentId long 生成启动进程的父进程的进程 ID (PID)。
InitiatingProcessRemoteSessionDeviceName 字符串 从中启动启动进程 RDP 会话的远程设备的设备名称。
InitiatingProcessRemoteSessionIP 字符串 从中启动启动进程 RDP 会话的远程设备的 IP 地址。
InitiatingProcessSessionId long 启动进程的 Windows 会话 ID。
InitiatingProcessSHA1 字符串 启动进程（映像文件）的 SHA-1 哈希。
InitiatingProcessSHA256 字符串 启动进程（映像文件）的 SHA-256 哈希。 在某些情况下，可能不会填充此列 - 请改用 InitiatingProcessSHA1 列。
InitiatingProcessTokenElevation 字符串 令牌类型，指示是否存在应用于启动进程的用户访问控制 (UAC) 特权提升。
InitiatingProcessUniqueId 字符串 发起进程的唯一标识符;这等于 Windows 设备中的进程启动密钥。
InitiatingProcessVersionInfoCompanyName 字符串 负责事件的版本信息（映像文件）中的公司名称。
InitiatingProcessVersionInfoFileDescription 字符串 负责事件的版本信息（映像文件）中的说明。
InitiatingProcessVersionInfoInternalFileName 字符串 负责事件的版本信息（映像文件）中的内部文件名。
InitiatingProcessVersionInfoOriginalFileName 字符串 负责事件的版本信息（映像文件）中的原始文件名。
InitiatingProcessVersionInfoProductName 字符串 负责事件的版本信息（映像文件）中的产品名称。
InitiatingProcessVersionInfoProductVersion 字符串 负责事件的版本信息（映像文件）中的产品版本。
_IsBillable 字符串 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
IsInitiatingProcessRemoteSession bool 指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
LocalIP 字符串 分配给通信期间使用的本地计算机的 IP 地址。
LocalIPType 字符串 IP 地址的类型，例如 Public、Private、Reserved、Loopback、Teredo、FourToSixMapping 和 Broadcast。
LocalPort int 通信期间使用的本地计算机上的 TCP 端口。
MachineGroup 字符串 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。
Protocol 字符串 使用的 IP 协议，无论是 TCP 还是 UDP。
RemoteIP 字符串 所连接到的 IP 地址。
RemoteIPType 字符串 IP 地址的类型，例如 Public、Private、Reserved、Loopback、Teredo、FourToSixMapping 和 Broadcast。
RemotePort int 所连接到的远程设备上的 TCP 端口。
RemoteUrl 字符串 所连接到的 URL 或完全限定的域名 (FQDN)。
ReportId long 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
TenantId 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 终结点上的 MDE 代理记录事件的日期和时间。
类型 字符串 表的名称