通过

设备行为信息

Microsoft Defender for Endpoint (MDE) 行为表。 包含有关行为的信息，在 Microsoft 365 Defender 的上下文中，指的是基于一个或多个原始事件的结论或见解，这可以为分析人员的调查提供更多上下文。

数据表属性

特征 价值
资源类型 -
类别 安全性
解决方案 日志管理
基本日志 是的
引入时转换 否
示例查询 -

列

列 类型 DESCRIPTION
账户对象ID 字符串 Azure AD 中帐户的唯一标识符。
AccountUpn 字符串 帐户的用户主体名称 (UPN)。
操作类型 字符串 触发事件的活动类型。 与特定的 MITRE ATT&CK 技术相关联。
附加字段 字符串 有关实体或活动的其他信息。
攻击技术 字符串 与触发警报的活动关联的 MITRE ATT&CK 技术。 由 MITRE ATT&CK Matrix for Enterprise 定义。
行为ID 字符串 行为的唯一标识符。
_BilledSize（账单大小） 真实 记录大小（字节）
类别 字符串 警报标识的威胁指示器或违规活动的类型。 由 MITRE ATT&CK Matrix for Enterprise 定义。
数据源 字符串 为行为提供信息的产品或服务。
DESCRIPTION 字符串 行为说明。
检测来源 字符串 识别值得注意的组件或活动的检测技术或传感器。
DeviceId 字符串 设备在服务中的唯一标识符。
结束时间 日期/时间 与行为相关的最后一个活动的日期和时间。
_IsBillable 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
ServiceSource 字符串 提供警报信息的产品或服务。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure Diagnostics 的 Azure。
开始时间 日期/时间 与行为相关的第一个活动的日期和时间。
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 生成记录的日期和时间。
类型 字符串 表的名称