AccountDomain |
string |
帐户的域。 |
AccountName |
string |
帐户的用户名。 |
AccountObjectId |
string |
Azure AD 中帐户的唯一标识符。 |
AccountSid |
string |
帐户的安全标识符 (SID)。 |
AccountUpn |
string |
帐户的用户主体名称 (UPN)。 |
ActionType |
string |
触发事件的活动的类型。 |
AdditionalFields |
动态 |
有关实体或活动的其他信息。 |
AppGuardContainerId |
string |
应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
_BilledSize |
real |
记录大小(字节) |
CreatedProcessSessionId |
long |
所创建进程的 Windows 会话 ID。 |
DeviceId |
string |
设备在服务中的唯一标识符。 |
设备名称 |
string |
设备的完全限定的域名 (FQDN)。 |
FileName |
string |
应用了所记录操作的文件的名称。 |
FileSize |
long |
文件的大小(字节)。 |
FolderPath |
string |
包含应用了所记录操作的文件的文件夹。 |
InitiatingProcessAccountDomain |
string |
运行负责事件的进程的账户的域。 |
InitiatingProcessAccountName |
string |
运行负责事件的进程的账户的用户名。 |
InitiatingProcessAccountObjectId |
string |
运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
InitiatingProcessAccountSid |
string |
运行负责事件的进程的帐户的安全标识符 (SID)。 |
InitiatingProcessAccountUpn |
string |
运行负责事件的进程的账户的用户主体名称 (UPN)。 |
InitiatingProcessCommandLine |
string |
用于运行启动事件的进程的命令行。 |
InitiatingProcessCreationTime |
datetime |
启动事件的进程的启动日期和时间。 |
InitiatingProcessFileName |
string |
启动事件的进程的名称。 |
InitiatingProcessFileSize |
long |
运行负责事件的进程的文件的大小(字节)。 |
InitiatingProcessFolderPath |
string |
包含启动事件的进程(映像文件)的文件夹。 |
InitiatingProcessId |
long |
启动事件的进程的进程 ID (PID)。 |
InitiatingProcessIntegrityLevel |
string |
启动事件的进程的完整性级别。 Windows 会根据某些特征(例如,从 Internet 下载启动)为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
InitiatingProcessLogonId |
long |
启动事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。 |
InitiatingProcessMD5 |
string |
启动事件的进程(映像文件)的 MD5 哈希。 |
InitiatingProcessParentCreationTime |
datetime |
负责事件的进程的父进程的启动日期和时间。 |
InitiatingProcessParentFileName |
string |
生成负责事件的进程的父进程的名称。 |
InitiatingProcessParentId |
long |
生成负责事件的进程的父进程的进程 ID (PID)。 |
InitiatingProcessRemoteSessionDeviceName |
string |
从中启动启动进程 RDP 会话的远程设备的设备名称。 |
InitiatingProcessRemoteSessionIP |
string |
从中启动启动进程 RDP 会话的远程设备的 IP 地址。 |
InitiatingProcessSessionId |
long |
启动进程的 Windows 会话 ID。 |
InitiatingProcessSHA1 |
string |
启动事件的进程(映像文件)的 SHA-1 哈希。 |
InitiatingProcessSHA256 |
string |
启动事件的进程(映像文件)的 SHA-256 哈希。 在某些情况下,可能不会填充此列 - 请改用 InitiatingProcessSHA1 列。 |
InitiatingProcessSignatureStatus |
string |
有关启动事件的进程(映像文件)的签名状态的信息。 |
InitiatingProcessSignerType |
string |
启动事件的进程(映像文件)的文件签名者的类型。 |
InitiatingProcessTokenElevation |
string |
令牌类型,指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升。 |
InitiatingProcessVersionInfoCompanyName |
string |
负责事件的版本信息(映像文件)中的公司名称。 |
InitiatingProcessVersionInfoFileDescription |
string |
负责事件的版本信息(映像文件)中的说明。 |
InitiatingProcessVersionInfoInternalFileName |
string |
负责事件的版本信息(映像文件)中的内部文件名。 |
InitiatingProcessVersionInfoOriginalFileName |
string |
负责事件的版本信息(映像文件)中的原始文件名。 |
InitiatingProcessVersionInfoProductName |
string |
负责事件的版本信息(映像文件)中的产品名称。 |
InitiatingProcessVersionInfoProductVersion |
string |
负责事件的版本信息(映像文件)中的产品版本。 |
_IsBillable |
string |
指定引入数据是否计费。 当 _IsBillable 为 false 时,不会向 Azure 帐户计收引入费 |
IsInitiatingProcessRemoteSession |
布尔 |
指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
IsProcessRemoteSession |
布尔 |
指示所创建进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
LogonId |
long |
登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。 |
MachineGroup |
string |
计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
MD5 |
string |
应用了所记录操作的文件的 MD5 哈希。 |
ProcessCommandLine |
string |
用于创建新进程的命令行。 |
ProcessCreationTime |
datetime |
进程的创建日期和时间。 |
ProcessId |
long |
新创建的进程的进程 ID (PID)。 |
ProcessIntegrityLevel |
string |
新创建的进程的完整性级别。 Windows 会根据某些特征(例如,从 Internet 下载启动)为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
ProcessRemoteSessionDeviceName |
string |
从中启动所创建进程 RDP 会话的远程设备的设备名称。 |
ProcessRemoteSessionIP |
string |
从中启动所创建进程 RDP 会话的远程设备的 IP 地址。 |
ProcessTokenElevation |
string |
令牌类型,指示是否存在应用于新创建进程的用户访问控制 (UAC) 特权提升。 |
ProcessVersionInfoCompanyName |
string |
新创建进程的版本信息中的公司名称。 |
ProcessVersionInfoFileDescription |
string |
新创建进程的版本信息的说明。 |
ProcessVersionInfoInternalFileName |
string |
新创建进程的版本信息中的内部文件名。 |
ProcessVersionInfoOriginalFileName |
string |
新创建进程的版本信息中的原始文件名。 |
ProcessVersionInfoProductName |
string |
新创建进程的版本信息中的产品名称。 |
ProcessVersionInfoProductVersion |
string |
新创建进程的版本信息中的产品版本。 |
ReportId |
long |
基于重复计数器的事件标识符。 若要识别唯一事件,必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
SHA1 |
string |
应用了所记录操作的文件的 SHA-1 哈希。 |
SHA256 |
string |
应用了所记录操作的文件的 SHA-256。 |
SourceSystem |
string |
收集事件的代理的类型。 例如,适用于 Windows 代理的 OpsManager 、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
TenantId |
string |
Log Analytics 工作区 ID |
TimeGenerated |
datetime |
终结点上的 MDE 代理记录事件的日期和时间。 |
类型 |
字符串 |
表的名称 |