通过

DeviceCustomProcessEvents

Microsoft Defender for Endpoints （MDE） 处理自定义集合方案的事件表。 此表包含有关进程创建和终结点上有关客户显式请求收集的任何事件的信息。

数据表属性

Attribute 价值
资源类型 -
类别 安全性
解决方案 日志管理
基本日志 否
引入时转换 否
示例查询 -

列

列 类型 Description
AccountDomain 字符串 帐户的域名。
账户名称 字符串 帐户的用户名。
AccountObjectId 字符串 Azure AD 中帐户的唯一标识符。
AccountSid 字符串 帐户的安全标识符（SID）。
AccountUpn 字符串 帐户的用户主体名称 (UPN)。
操作类型 字符串 触发事件的活动类型。
AdditionalFields dynamic 有关实体或活动的其他信息。
AppGuard容器识别号 字符串 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize（账单大小） real 记录大小（字节）
CreatedProcessSessionId long 所创建进程的 Windows 会话 ID。
DeviceId 字符串 设备在服务中的唯一标识符。
设备名称 字符串 设备的完全限定的域名 (FQDN)。
文件名 字符串 应用记录操作的文件名称。
文件大小 long 文件的大小（以字节为单位）。
文件夹路径 字符串 记录的操作所应用到的的文件所处的文件夹。
InitiatingProcessAccountDomain 字符串 运行对事件负责的进程的账户域。
启动进程账户名称 字符串 运行负责事件的进程的账户的用户名。
InitiatingProcessAccountObjectId (初始化进程账户对象ID) 字符串 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid（启动进程帐户SID） 字符串 运行负责事件的进程的帐户的安全标识符 (SID)。
InitiatingProcessAccountUpn 字符串 运行生成事件的进程的账户的用户主体名称 (UPN)。
启动进程命令行 字符串 用于运行启动事件的进程的命令行。
启动进程创建时间 日期/时间 启动事件的进程的启动日期和时间。
启动进程文件名 (InitiatingProcessFileName) 字符串 启动事件的进程的名称。
启动进程文件大小 long 运行负责事件的进程的文件的大小（字节）。
启动进程文件夹路径 字符串 包含启动事件的进程（映像文件）的文件夹。
InitiatingProcessId long 启动事件的进程的 PID（进程 ID）。
启动过程完整性级别 字符串 启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。
初始进程登录ID long 发起事件的进程的登录会话的标识符。 此标识符仅在同一台计算机重启之间是唯一的。
InitiatingProcessMD5 字符串 启动事件的进程（映像文件）的 MD5 哈希。
InitiatingProcessParentCreationTime 日期/时间 事件相关的进程的父进程启动的日期和时间。
InitiatingProcessParentFileName 字符串 生成负责事件的进程的父进程的名称。
启动进程父ID long 生成事件相关进程的父进程的进程 ID (PID)。
InitiatingProcessRemoteSessionDeviceName 字符串 用于启动发起进程的 RDP 会话的远程设备的设备名称。
InitiatingProcessRemoteSessionIP 字符串 从中启动启动进程 RDP 会话的远程设备的 IP 地址。
InitiatingProcessSessionId long 启动进程的 Windows 会话 ID。
InitiatingProcessSHA1 字符串 启动事件的进程（映像文件）的 SHA-1 哈希。
InitiatingProcessSHA256 字符串 生成事件的进程（镜像文件）的 SHA-256 哈希值。 在某些情况下，此列可能未被填写，请改用“InitiatingProcessSHA1”列。
启动过程签名状态 字符串 有关启动事件的进程（映像文件）的签名状态的信息。
启动过程签名者类型 字符串 启动事件的进程（映像文件）的文件签名者的类型。
InitiatingProcessTokenElevation 字符串 指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升的令牌类型。
InitiatingProcessUniqueId 字符串 发起进程的唯一标识符;这等于 Windows 设备中的进程启动密钥。
InitiatingProcessVersionInfoCompanyName 字符串 负责事件的版本信息（映像文件）中的公司名称。
启动进程版本信息文件描述 字符串 事件相关版本信息（映像文件）中的说明。
InitiatingProcessVersionInfoInternalFileName 字符串 事件相关版本信息（映像文件）中的内部文件名。
启动进程版本信息原始文件名 字符串 事件相关版本信息（映像文件）中的原始文件名。
InitiatingProcessVersionInfoProductName 字符串 负责事件的版本信息（映像文件）中的产品名称。
InitiatingProcessVersionInfoProductVersion 字符串 事件相关版本信息（映像文件）中的产品版本。
_IsBillable 字符串 指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
IsInitiatingProcessRemoteSession 布尔 指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
IsProcessRemoteSession 布尔 指示所创建进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
登录ID long 登录会话的标识符。 此标识符在同一台计算机上仅在重启之间是唯一的。
MachineGroup 字符串 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。
MD5 字符串 应用记录操作的文件的 MD5 哈希。
ProcessCommandLine 字符串 用于创建新进程的命令行。
进程创建时间 日期/时间 进程的创建日期和时间。
ProcessId long 新创建的进程的进程 ID (PID)。
进程完整性级别 字符串 新创建的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。
ProcessRemoteSessionDeviceName 字符串 从中启动所创建进程 RDP 会话的远程设备的设备名称。
ProcessRemoteSessionIP 字符串 从中启动所创建进程 RDP 会话的远程设备的 IP 地址。
ProcessTokenElevation 字符串 表示是否存在或不存在应用于新创建的进程的用户访问控制 (UAC) 特权提升的令牌类型。
ProcessUniqueId 字符串 进程的唯一标识符;这等于 Windows 设备中的进程启动密钥。
进程版本信息公司名称 字符串 新创建进程的版本信息中的公司名称。
ProcessVersionInfoFileDescription 字符串 新创建的进程的版本信息中的说明。
ProcessVersionInfoInternalFileName 字符串 新创建进程的版本信息中的内部文件名。
ProcessVersionInfoOriginalFileName 字符串 新创建进程的版本信息中的原始文件名。
ProcessVersionInfoProductName 字符串 新创建进程的版本信息中的产品名称。
ProcessVersionInfoProductVersion 字符串 新创建的进程的版本信息中的产品版本。
ReportId long 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。
RuleLastModificationTime（规则最后修改时间） 日期/时间 上次修改收集事件的规则的日期和时间。
规则名称 字符串 收集事件的规则的名称
SHA1 字符串 被记录操作应用到的文件的 SHA-1 哈希。
SHA256 字符串 应用记录操作的文件的 SHA-256。
SourceSystem 字符串 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure Diagnostics 的 Azure。
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 MDE 代理在终端设备上记录事件的日期和时间。
类型 字符串 表的名称