ASimEmailEventLogs

Microsoft Sentinel规范化电子邮件事件日志表。

数据表属性

Attribute Value
资源类型 -
Categories -
Solutions SecurityInsights
基本 表支持 Yes
辅助 /Lake 表支持 Yes
DCR 工作区转换 支持 Yes
引入 API 支持 Yes
示例查询 -

Columns

列 类型 Description
AdditionalEntities dynamic 与事件关联的其他实体。
AdditionalFields dynamic 其他信息，使用源提供的键/值对来表示，这些信息不映射到 ASim。
AttackRemediationSteps 字符串 用于修正电子邮件中标识的攻击的建议操作。
AttackTactics 字符串 与电子邮件中标识的攻击相关联的 MITRE ATT&CK 策略。
攻击技术 字符串 与电子邮件中标识的攻击关联的 MITRE ATT&CK 技术。
_BilledSize real 记录大小（字节）
Dst 字符串 电子邮件事件目标的唯一标识符。
DstIpAddr 字符串 目标邮件服务器的 IP 地址。
Dvc 字符串 报告事件的设备的唯一标识符。
DvcAction 字符串 对于报告安全系统，此属性为系统执行的操作。
DvcDescription 字符串 与设备关联的描述性文本。
DvcDomain 字符串 报告事件设备所属域。
DvcDomainType 字符串 DvcDomain 的类型。
DvcFQDN 字符串 发生了事件或报告了事件的设备的主机名。
DvcHostname 字符串 报告事件的设备的主机名。
“DvcId” 字符串 发生了事件或报告了事件的设备的唯一 ID。
DvcIdType 字符串 DvcId 的类型。
DvcInterface 字符串 捕获数据的网络接口。
DvcIpAddr 字符串 报告事件的设备的 IP 地址。
DvcMacAddr 字符串 发生了事件或报告了事件的设备的 MAC 地址。
DvcOriginalAction 字符串 报告设备提供的原始 DvcAction。
DvcOs 字符串 发生了事件或报告了事件的设备上运行的操作系统。
DvcOsVersion 字符串 发生了事件或报告了事件的设备上的操作系统版本。
DvcScope 字符串 设备所属的云平台范围。 DvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
DvcScopeId 字符串 设备所属的云平台范围 ID。 DvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
DvcZone 字符串 发生了事件或报告了事件的网络。
EmailBCCRecipients dynamic 盲件抄送（BCC）收件人的电子邮件地址。
EmailCCRecipients dynamic 抄送（CC）收件人的电子邮件地址。
EmailDeliveryLocation 字符串 将电子邮件送达的位置，例如收件箱、垃圾邮件文件夹、隔离或删除的项目。
EmailDirection 字符串 电子邮件的方向，例如入站、出站、内部或本地。
EmailDkimDomain 字符串 用于使用 DomainKeys 标识邮件（DKIM）验证电子邮件的域。
EmailDkimOriginalResult 字符串 源报告的原始 DKIM 验证结果。
EmailDkimResult 字符串 规范化的 DomainKeys 标识邮件（DKIM）验证结果。
EmailDkimSignature 字符串 电子邮件中包含的 DomainKeys 标识邮件（DKIM）签名。
EmailDmarcOriginalResult 字符串 源报告的原始 DMARC 验证结果。
EmailDmarcOverride 字符串 基于域的消息身份验证、报告和一致性（DMARC）结果被重写的原因。
EmailDmarcPolicy 字符串 应用于电子邮件的基于域的消息身份验证、报告和一致性 （DMARC） 策略。
EmailDmarcResult 字符串 基于域的规范化消息身份验证、报告和一致性（DMARC）验证结果。
EmailFileCount int 邮件附件的数量。
EmailFiles dynamic 附加到电子邮件的文件，包括可用的文件元数据。
EmailFromAddress 字符串 From 标头中的电子邮件地址。
EmailFromDomain 字符串 From 标头中电子邮件地址的域。
EmailLanguage 字符串 检测到的电子邮件内容语言。
EmailMailFromAddress 字符串 SMTP 信封中使用的发件人电子邮件地址。
EmailMailFromDomain 字符串 SMTP 信封中使用的发件人地址的域。
EmailOriginalDeliveryLocation 字符串 源报告的原始电子邮件传递位置。
EmailProtocolName 字符串 用于传输电子邮件的应用程序层协议，例如 SMTP、IMAP 或 POP3。
EmailReplyToAddress 字符串 Reply-To 标头中的电子邮件地址。
EmailReplyToDomain 字符串 Reply-To 标头中电子邮件地址的域。
EmailSizeBytes long 电子邮件的大小（以字节为单位）包括其标头和附件。
EmailSpfOriginalResult 字符串 源报告的原始发件人策略框架（SPF）验证结果。
EmailSpfResult 字符串 规范化发件人策略框架 （SPF） 验证结果。
电子邮件主题 字符串 电子邮件的主题。
EmailToRecipients dynamic 主要收件人的电子邮件地址。
EmailUrlCount int 邮件中发现的网址数量。
EmailUrls dynamic 在电子邮件正文或附件中找到的 URL。
事件计数 int 记录中描述的事件数。
EventEndTime 日期/时间 事件的结束时间 (UTC)。 如果源支持聚合且记录表示多个事件，则为生成最后一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。
EventMessage 字符串 常规消息或说明。
EventOriginalResultDetails 字符串 源提供的原始结果详细信息。
EventOriginalSeverity 字符串 报告设备提供的原始严重性。
“EventOriginalType” 字符串 原始事件类型或 ID（如果已由源提供）。
EventOriginalUid 字符串 原始记录的唯一 ID（如果已由源提供）。
活动主办方 字符串 事件的所有者，通常是生成事件的部门或子公司。
EventProduct 字符串 生成事件的产品。
EventProductVersion 字符串 生成事件的产品的版本。
事件报告链接 字符串 事件中提供的 URL 指向一个资源，该资源提供关于该事件的更多信息。
EventResult 字符串 事件的结果，由以下值之一表示：成功、部分、失败、NA（不适用）。 该值可能不是由源直接提供的，在这种情况下，它来自其他事件字段，例如 EventResultDetails 字段。
事件结果详情 字符串 EventResult 字段中报告的结果的原因或详细信息。
事件架构 字符串 规范化事件的架构。 值为 EmailEvent。
EventSchemaVersion 字符串 架构的版本。
EventSeverity 字符串 事件的严重性。 有效值为：信息性、低、中或高。
EventStartTime 日期/时间 事件的开始时间 (UTC)。 如果源支持聚合且记录表示多个事件，则为生成第一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。
事件子类型 字符串 描述 EventType 字段中报告的操作的细分。
事件类型 字符串 描述记录中报告的操作
EventUid 字符串 分配给规范化电子邮件事件的唯一标识符。
EventVendor 字符串 生成事件的产品的供应商。
IndicatorAssociation 字符串 威胁指示器与电子邮件事件之间的关系。
IndicatorType 字符串 与电子邮件事件关联的威胁指示器的类型。
IpAddr 字符串 SrcIpAddr 字段的别名。
_IsBillable 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
_ResourceId 字符串 与记录关联的资源的唯一标识符
规则 字符串 RuleName 字段的别名。
RuleDescription 字符串 与检查结果关联的规则的说明。
RuleName 字符串 与检查结果关联的规则的名称或 ID。
RuleNumber int 与检查结果关联的规则的数量。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure 诊断 的 Azure。
Src 字符串 电子邮件事件源的唯一标识符。
SrcDescription 字符串 与源设备关联的描述性文本。
SrcDeviceType 字符串 源设备的类型。
SrcDomain 字符串 源设备的域。
SrcDomainType 字符串 SrcDomain 的类型。
SrcDvcId 字符串 源设备的 ID。
SrcDvcIdType 字符串 SrcDvcId 的类型。
SrcDvcScope 字符串 源设备所属的云平台范围。 SrcDvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcDvcScopeId 字符串 源设备所属的云平台范围 ID。 SrcDvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
SrcFQDN 字符串 源设备主机名，包括域信息（如果可用）。
SrcGeoCity 字符串 与源 IP 地址关联的城市。
SrcGeoCountry 字符串 与源 IP 地址关联的国家/地区。
SrcGeoLatitude real 与源 IP 地址关联的地理坐标的纬度。
SrcGeoLongitude real 与源 IP 地址关联的地理坐标的经度。
SrcGeoRegion 字符串 与源 IP 地址关联的国家/地区中的区域。
SrcHostname 字符串 源设备主机名，不包括域信息。
SrcIpAddr 字符串 发起连接或会话的源 IP 地址。
SrcIsp 字符串 与源IP地址关联的互联网服务提供商。
用户ID (SrcUserId) 字符串 源用户的唯一的、计算机可读的字母数字表示形式。
SrcUserIdType 字符串 存储在 SrcUserId 字段中的标识符的类型。
SrcUserName 字符串 源用户名，包括域信息（如果可用）。
SrcUsernameType 字符串 存储在 SrcUserName 字段中的用户名的类型。
SrcUserScope 字符串 在其中定义源用户的电子邮件域或租户等范围。
SrcUserScopeId 字符串 在其中定义源用户的范围的标识符。
SrcUserUpn 字符串 源用户的用户主体名称（UPN）。
_SubscriptionId 字符串 唯一标识符，用于识别与此记录关联的订阅
TenantId 字符串 Log Analytics 工作区 ID
威胁类别 字符串 在审计活动中识别到的威胁或恶意软件的类别。
威胁信心 int 已识别威胁的可信度，规范化为 0 到 100 之间的值。
威胁领域 (ThreatField) 字符串 存在威胁的领域。
ThreatFirstReportedTime 日期/时间 IP 地址或域首次被识别为威胁的时间。
威胁编号 (ThreatId) 字符串 在审核活动中识别到的威胁或恶意软件的 ID。
ThreatIpAddr 字符串 已识别出威胁的 IP 地址或域。
威胁处于活跃状态 bool 如果识别出的威胁被视为活跃威胁，则为 True。
ThreatLastReportedTime 日期/时间 上次将 IP 地址或域识别为威胁的时间。
威胁名称 字符串 在审核活动中识别到的威胁或恶意软件的名称。
ThreatOriginalCategory 字符串 源最初报告的威胁类别。
威胁原始信心 字符串 报告设备所报告的威胁的初始可信级别。
威胁原始风险级别 字符串 报告设备报告的风险级别。
威胁风险级别 int 与已识别的威胁关联的风险级别。 级别应是介于 0 和 100 之间的数字。
TimeGenerated 日期/时间 时间戳 (UTC)，反映生成事件的时间。
类型 字符串 表的名称
User 字符串 SrcUserName 字段的别名。
  • 上次更新时间为