| 操作类型 |
字符串 |
触发事件的活动的类型。 |
| 附加字段 |
动态 |
有关实体或活动的其他信息。 |
| AppGuard容器识别号 |
字符串 |
应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
| _BilledSize（账单大小） |
真实 |
记录大小（字节） |
| DeviceId |
字符串 |
设备在服务中的唯一标识符。 |
| 设备名称 |
字符串 |
设备的完全限定的域名 (FQDN)。 |
| 文件名 |
字符串 |
应用了所记录操作的文件的名称。 |
| 文件来源IP |
字符串 |
从中下载文件的 IP 地址。 |
| 文件来源引用网址 |
字符串 |
链接到所下载文件的网页的 URL。 |
| 文件来源URL |
字符串 |
从其中下载文件的 URL。 |
| 文件大小 |
长整型 |
文件的大小（字节）。 |
| 文件夹路径 |
字符串 |
包含应用了所记录操作的文件的文件夹。 |
| 启动进程帐户域 |
字符串 |
运行负责事件的进程的账户的域。 |
| 启动进程账户名称 |
字符串 |
运行负责事件的进程的账户的用户名。 |
| 启动进程账户对象ID |
字符串 |
运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
| InitiatingProcessAccountSid（启动进程帐户SID） |
字符串 |
运行负责事件的进程的帐户的安全标识符 (SID)。 |
| 启动过程帐户UPN |
字符串 |
运行负责事件的进程的账户的用户主体名称 (UPN)。 |
| 启动进程命令行 |
字符串 |
用于运行启动事件的进程的命令行。 |
| 启动进程创建时间 |
日期时间 |
启动事件的进程的启动日期和时间。 |
| 启动进程文件名 |
字符串 |
启动事件的进程的名称。 |
| 启动进程文件大小 |
长整型 |
启动事件的进程（映像文件）的大小（以字节为单位）。 |
| 发起进程文件夹路径 |
字符串 |
包含启动事件的进程（映像文件）的文件夹。 |
| 发起进程ID |
长整型 |
启动事件的进程的进程 ID (PID)。 |
| 启动过程完整性级别 |
字符串 |
启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
| InitiatingProcessMD5 |
字符串 |
启动事件的进程（映像文件）的 MD5 哈希。 |
| 启动进程父创建时间 |
日期时间 |
负责事件的进程的父进程的启动日期和时间。 |
| 启动进程父文件名 |
字符串 |
生成负责事件的进程的父进程的名称。 |
| 启动进程父ID |
长整型 |
生成负责事件的进程的父进程的进程 ID (PID)。 |
| 启动进程远程会话设备名称 |
字符串 |
从中启动启动进程 RDP 会话的远程设备的设备名称。 |
| 启动进程远程会话IP |
字符串 |
从中启动启动进程 RDP 会话的远程设备的 IP 地址。 |
| 启动进程会话ID |
长整型 |
启动进程的 Windows 会话 ID。 |
| InitiatingProcessSHA1 |
字符串 |
启动事件的进程（映像文件）的 SHA-1 哈希。 |
| InitiatingProcessSHA256 |
字符串 |
启动事件的进程（映像文件）的 SHA-256 哈希。 通常不会填充此字段 - 在可用时使用 SHA1 列。 |
| 启动进程令牌提升 (InitiatingProcessTokenElevation) |
字符串 |
令牌类型，指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升。 |
| InitiatingProcessVersionInfoCompanyName |
字符串 |
负责事件的进程（映像文件）的版本信息中的公司名称。 |
| 发起进程版本信息文件说明 |
字符串 |
负责事件的进程（映像文件）的版本信息中的说明。 |
| 启动进程版本信息内部文件名 |
字符串 |
负责事件的进程（映像文件）的版本信息中的内部文件名。 |
| 启动进程版本信息原始文件名 |
字符串 |
负责事件的进程（映像文件）的版本信息中的原始文件名。 |
| InitiatingProcessVersionInfoProductName |
字符串 |
负责事件的进程（映像文件）的版本信息中的产品名称。 |
| 启动进程版本信息产品版本 |
字符串 |
负责事件的进程（映像文件）的版本信息中的产品版本。 |
| Azure信息保护是否已应用 |
布尔 |
指示文件是否由 Azure 信息保护加密。 |
| _是否计费 |
字符串 |
指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| 正在初始化进程远程会话 |
布尔 |
指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| MachineGroup |
字符串 |
计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
| MD5 |
字符串 |
应用了所记录操作的文件的 MD5 哈希。 |
| PreviousFileName |
字符串 |
因操作而重命名的文件的原始名称。 |
| 上一个文件夹路径 |
字符串 |
在应用记录的操作之前包含文件的原始文件夹。 |
| ReportId |
长整型 |
基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
| 请求账户域 |
字符串 |
用于远程启动活动的帐户的域。 |
| 请求账户名称 |
字符串 |
用于远程启动活动的帐户的用户名。 |
| RequestAccountSid |
字符串 |
用于远程启动活动的帐户的安全标识符 (SID)。 |
| 请求协议 |
字符串 |
用于启动活动的网络协议（如果适用）：Unknown、Local、SMB 或 NFS。 |
| 请求来源IP (RequestSourceIP) |
字符串 |
启动活动的远程设备的 IPv4 或 IPv6 地址。 |
| RequestSourcePort |
整数 (int) |
启动活动的远程设备上的源端口。 |
| 敏感度标签 |
字符串 |
应用于电子邮件、文件或其他内容的标签，用于对其进行分类，以便进行信息保护。 |
| 敏感度子标签 |
字符串 |
应用于电子邮件、文件或其他内容的子标签，用于对其进行分类，以便进行信息保护；敏感度子标签在敏感度标签下分组，但单独处理。 |
| SHA1 |
字符串 |
应用了所记录操作的文件的 SHA-1 哈希。 |
| SHA256 |
字符串 |
应用了所记录操作的文件的 SHA-256。 |
| 共享名称 |
字符串 |
包含文件的共享文件夹的名称。 |
| SourceSystem |
字符串 |
收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
| 租户ID |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期时间 |
终结点上的 MDE 代理记录事件的日期和时间。 |
| 类型 |
字符串 |
表的名称 |