使用英语阅读

通过

DeviceProcessEvents

  • 项目
  • 2025/03/11

Microsoft Defender for Endpoints (MDE) 设备进程事件表。 此表包含有关终结点上的进程创建和相关事件的信息。

表特性

Attribute 值
资源类型 -
类别 安全性
解决方案 SecurityInsights
基本日志 否
引入时转换 是
示例查询 -

列

列 类型​​ 描述
AccountDomain string 帐户的域。
AccountName string 帐户的用户名。
AccountObjectId string Azure AD 中帐户的唯一标识符。
AccountSid string 帐户的安全标识符 (SID)。
AccountUpn string 帐户的用户主体名称 (UPN)。
ActionType string 触发事件的活动的类型。
AdditionalFields 动态 有关实体或活动的其他信息。
AppGuardContainerId string 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize real 记录大小（字节）
CreatedProcessSessionId long 所创建进程的 Windows 会话 ID。
DeviceId string 设备在服务中的唯一标识符。
设备名称 string 设备的完全限定的域名 (FQDN)。
FileName string 应用了所记录操作的文件的名称。
FileSize long 文件的大小（字节）。
FolderPath string 包含应用了所记录操作的文件的文件夹。
InitiatingProcessAccountDomain string 运行负责事件的进程的账户的域。
InitiatingProcessAccountName string 运行负责事件的进程的账户的用户名。
InitiatingProcessAccountObjectId string 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid string 运行负责事件的进程的帐户的安全标识符 (SID)。
InitiatingProcessAccountUpn string 运行负责事件的进程的账户的用户主体名称 (UPN)。
InitiatingProcessCommandLine string 用于运行启动事件的进程的命令行。
InitiatingProcessCreationTime datetime 启动事件的进程的启动日期和时间。
InitiatingProcessFileName string 启动事件的进程的名称。
InitiatingProcessFileSize long 运行负责事件的进程的文件的大小（字节）。
InitiatingProcessFolderPath string 包含启动事件的进程（映像文件）的文件夹。
InitiatingProcessId long 启动事件的进程的进程 ID (PID)。
InitiatingProcessIntegrityLevel string 启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。
InitiatingProcessLogonId long 启动事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。
InitiatingProcessMD5 string 启动事件的进程（映像文件）的 MD5 哈希。
InitiatingProcessParentCreationTime datetime 负责事件的进程的父进程的启动日期和时间。
InitiatingProcessParentFileName string 生成负责事件的进程的父进程的名称。
InitiatingProcessParentId long 生成负责事件的进程的父进程的进程 ID (PID)。
InitiatingProcessRemoteSessionDeviceName string 从中启动启动进程 RDP 会话的远程设备的设备名称。
InitiatingProcessRemoteSessionIP string 从中启动启动进程 RDP 会话的远程设备的 IP 地址。
InitiatingProcessSessionId long 启动进程的 Windows 会话 ID。
InitiatingProcessSHA1 string 启动事件的进程（映像文件）的 SHA-1 哈希。
InitiatingProcessSHA256 string 启动事件的进程（映像文件）的 SHA-256 哈希。 在某些情况下，可能不会填充此列 - 请改用 InitiatingProcessSHA1 列。
InitiatingProcessSignatureStatus string 有关启动事件的进程（映像文件）的签名状态的信息。
InitiatingProcessSignerType string 启动事件的进程（映像文件）的文件签名者的类型。
InitiatingProcessTokenElevation string 令牌类型，指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升。
InitiatingProcessVersionInfoCompanyName string 负责事件的版本信息（映像文件）中的公司名称。
InitiatingProcessVersionInfoFileDescription string 负责事件的版本信息（映像文件）中的说明。
InitiatingProcessVersionInfoInternalFileName string 负责事件的版本信息（映像文件）中的内部文件名。
InitiatingProcessVersionInfoOriginalFileName string 负责事件的版本信息（映像文件）中的原始文件名。
InitiatingProcessVersionInfoProductName string 负责事件的版本信息（映像文件）中的产品名称。
InitiatingProcessVersionInfoProductVersion string 负责事件的版本信息（映像文件）中的产品版本。
_IsBillable string 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
IsInitiatingProcessRemoteSession 布尔 指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
IsProcessRemoteSession 布尔 指示所创建进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
LogonId long 登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。
MachineGroup string 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。
MD5 string 应用了所记录操作的文件的 MD5 哈希。
ProcessCommandLine string 用于创建新进程的命令行。
ProcessCreationTime datetime 进程的创建日期和时间。
ProcessId long 新创建的进程的进程 ID (PID)。
ProcessIntegrityLevel string 新创建的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。
ProcessRemoteSessionDeviceName string 从中启动所创建进程 RDP 会话的远程设备的设备名称。
ProcessRemoteSessionIP string 从中启动所创建进程 RDP 会话的远程设备的 IP 地址。
ProcessTokenElevation string 令牌类型，指示是否存在应用于新创建进程的用户访问控制 (UAC) 特权提升。
ProcessVersionInfoCompanyName string 新创建进程的版本信息中的公司名称。
ProcessVersionInfoFileDescription string 新创建进程的版本信息的说明。
ProcessVersionInfoInternalFileName string 新创建进程的版本信息中的内部文件名。
ProcessVersionInfoOriginalFileName string 新创建进程的版本信息中的原始文件名。
ProcessVersionInfoProductName string 新创建进程的版本信息中的产品名称。
ProcessVersionInfoProductVersion string 新创建进程的版本信息中的产品版本。
ReportId long 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。
SHA1 string 应用了所记录操作的文件的 SHA-1 哈希。
SHA256 string 应用了所记录操作的文件的 SHA-256。
SourceSystem string 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
TenantId string Log Analytics 工作区 ID
TimeGenerated datetime 终结点上的 MDE 代理记录事件的日期和时间。
类型 字符串 表的名称