使用英语阅读

通过

异常

  • 2025/05/23

此表包含 Azure Sentinel 中活动异常分析规则生成的异常。

表属性

特征 值
资源类型 -
类别 安全性
解决方案 SecurityInsights
基本日志 是
引入时转换 是
示例查询 是

列

列 类型​​ 描述
ActivityInsights 动态 有关与以 JSON 格式生成的异常对应的活动的见解。
异常详情 动态 JSON 对象，包含有关生成异常的规则和算法的一般信息以及异常的解释。
异常原因 动态 以 JSON 形式详细说明生成的异常。
异常模板ID 字符串 生成此异常的异常模板的 ID。
AnomalyTemplateName (异常模板名称) 字符串 生成此异常的异常模板的名称。
AnomalyTemplateVersion 字符串 生成此异常的异常模板的版本。
_BilledSize（账单大小） 真实 记录大小（字节）
描述 字符串 异常的说明。
DestinationDevice 字符串 为其生成异常的目标设备。
目标IP地址 字符串 为其生成异常的目标 IP 地址。
目的地位置 动态 以 JSON 格式生成异常的目标位置信息。
DeviceInsights 动态 有关与以 JSON 格式生成的异常对应的设备的见解。
结束时间 日期时间 异常结束的时间 (UTC)。
实体 动态 JSON 对象，包含生成的异常中涉及的所有实体。
ExtendedLinks 动态 指向生成异常的数据的链接列表。
扩展属性 动态 JSON 对象，其中异常的附加数据作为键值对。
Id 字符串 生成的异常的 ID。
_是否计费 字符串 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
规则配置版本 字符串 生成此异常的异常分析规则的配置版本。
规则编号 字符串 生成此异常的异常分析规则的 ID。
规则名称 字符串 生成此异常的异常分析规则的名称。
RuleStatus 字符串 生成此异常的异常分析规则的状态（外部测试/生产）。
分数 真实 异常的分数。
SourceDevice 字符串 为其生成异常的源设备。
来源IP地址 字符串 为其生成异常的源 IP 地址。
来源位置 动态 以 JSON 格式生成异常的源位置信息。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
开始时间 日期时间 异常开始时的时间 (UTC)。
策略 字符串 与异常对应的 MITRE ATT&CK 策略（字符串）列表。
方法 字符串 列出与异常对应的 MITRE ATT&CK 技术（字符串）。
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期时间 生成异常时的时间戳 (UTC)。
类型​​ 字符串 表的名称
用户洞察 动态 有关与以 JSON 格式生成的异常对应的用户的见解。
UserName 字符串 为其生成异常的用户名。
用户主体名称 字符串 为其生成异常的用户的 UPN。
供应商名称 字符串 生成此异常的供应商的名称。
WorkspaceId 字符串 Sentinel 工作区的 ID。