| 操作类型 |
字符串 |
触发事件的活动类型。 |
| AppGuard容器识别号 |
字符串 |
应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
| _BilledSize |
real |
记录大小（字节） |
| DeviceId |
字符串 |
设备在服务中的唯一标识符。 |
| DeviceName |
字符串 |
设备的完全限定的域名 (FQDN)。 |
| InitiatingProcessAccountDomain |
字符串 |
运行启动进程的帐户的域。 |
| InitiatingProcessAccountName |
字符串 |
运行启动进程的帐户的用户名。 |
| InitiatingProcessAccountObjectId |
字符串 |
运行启动进程的用户帐户的 Azure AD 对象 ID。 |
| InitiatingProcessAccountSid |
字符串 |
运行启动进程的帐户的安全标识符 (SID)。 |
| InitiatingProcessAccountUpn |
字符串 |
运行启动进程的帐户的用户主体名称 (UPN)。 |
| InitiatingProcessCommandLine |
字符串 |
用于运行启动进程的命令行。 |
| InitiatingProcessCreationTime |
日期/时间 |
启动事件的进程的启动日期和时间。 |
| 启动进程文件名 (InitiatingProcessFileName) |
字符串 |
启动进程的名称。 |
| 启动进程文件大小 |
long |
运行负责事件的进程的文件的大小（字节）。 |
| InitiatingProcessFolderPath |
字符串 |
包含启动进程（映像文件）的文件夹。 |
| InitiatingProcessId |
long |
发起进程的进程 ID (PID)。 |
| InitiatingProcessIntegrityLevel |
字符串 |
启动进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
| InitiatingProcessMD5 |
字符串 |
启动进程（映像文件）的 MD5 哈希。 |
| InitiatingProcessParentCreationTime |
日期/时间 |
事件相关的进程的父进程启动的日期和时间。 |
| InitiatingProcessParentFileName |
字符串 |
生成启动进程的父进程的名称。 |
| InitiatingProcessParentId |
long |
生成启动进程的父进程的进程 ID (PID)。 |
| InitiatingProcessRemoteSessionDeviceName |
字符串 |
用于启动发起进程的 RDP 会话的远程设备的设备名称。 |
| InitiatingProcessRemoteSessionIP |
字符串 |
从中启动启动进程 RDP 会话的远程设备的 IP 地址。 |
| InitiatingProcessSessionId |
long |
启动进程的 Windows 会话 ID。 |
| InitiatingProcessSHA1 |
字符串 |
启动进程（映像文件）的 SHA-1 哈希。 |
| InitiatingProcessSHA256 |
字符串 |
启动进程（映像文件）的 SHA-256 哈希。 在某些情况下，此列可能未被填写，请改用“InitiatingProcessSHA1”列。 |
| InitiatingProcessTokenElevation |
字符串 |
令牌类型，指示应用于启动进程的用户访问控制 (UAC) 特权提升的存在或缺失。 |
| InitiatingProcessUniqueId |
字符串 |
发起进程的唯一标识符;这等于 Windows 设备中的进程启动密钥。 |
| InitiatingProcessVersionInfoCompanyName |
字符串 |
负责事件的版本信息（映像文件）中的公司名称。 |
| InitiatingProcessVersionInfoFileDescription |
字符串 |
事件相关版本信息（映像文件）中的说明。 |
| InitiatingProcessVersionInfoInternalFileName |
字符串 |
事件相关版本信息（映像文件）中的内部文件名。 |
| InitiatingProcessVersionInfoOriginalFileName |
字符串 |
事件相关版本信息（映像文件）中的原始文件名。 |
| InitiatingProcessVersionInfoProductName |
字符串 |
负责事件的版本信息（映像文件）中的产品名称。 |
| InitiatingProcessVersionInfoProductVersion |
字符串 |
事件相关版本信息（映像文件）中的产品版本。 |
| _IsBillable |
字符串 |
指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| IsInitiatingProcessRemoteSession |
布尔 |
指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| MachineGroup |
字符串 |
计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
| PreviousRegistryKey |
字符串 |
修改前的原始注册表项。 |
| PreviousRegistryValueData |
字符串 |
修改之前注册表值的原始数据。 |
| PreviousRegistryValueName |
字符串 |
修改前的注册表值的原始名称。 |
| RegistryKey |
字符串 |
应用记录操作的注册表项。 |
| RegistryValueData |
字符串 |
应用记录操作的注册表值的数据。 |
| RegistryValueName |
字符串 |
所记录操作应用到的注册表值名称。 |
| RegistryValueType |
字符串 |
记录的操作应用到的注册表值的数据类型，例如二进制或字符串。 |
| ReportId |
long |
基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
| RuleLastModificationTime（规则最后修改时间） |
日期/时间 |
上次修改收集事件的规则的日期和时间。 |
| RuleName |
字符串 |
收集事件的规则的名称 |
| SourceSystem |
字符串 |
收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure 诊断 的 Azure。 |
| TenantId |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期/时间 |
MDE 代理在终端设备上记录事件的日期和时间。 |
| 类型 |
字符串 |
表的名称 |