通过

ThreatIntelligenceIndicator

  • 项目

威胁情报指示器

表属性

Attribute 值
资源类型 -
类别 安全性
解决方案 SecurityInsights
基本日志 否
引入时转换 是
示例查询 -

列

列 类型​​ 说明
操作 string 要对指示器匹配执行的操作。
活动 布尔 指明指示器是否处于活动状态。
ActivityGroupNames string 与指示器关联的活动组。
AdditionalInformation string 指示器的自由文本附加信息。
_BilledSize real 记录大小（字节）
ConfidenceScore real 指示器的置信度评级，从 0 到 100。
说明 string 指示器的说明。
DiamondModel string 指示器的菱形模型值，包括对手、功能、基础结构或牺牲品。
DomainName string 可观测的域名。
EmailEncoding string 可观察的电子邮件编码。
EmailLanguage string 可观察的电子邮件语言。
EmailRecipient string 可观测的电子邮件收件人。
EmailSenderAddress string 可观测的电子邮件发件人地址。
EmailSenderName string 可观测的电子邮件发件人名称。
EmailSourceDomain string 可观测的电子邮件源域。
EmailSourceIpAddress string 可观测的电子邮件源 IP 地址。
电子邮件主题 string 可观测的电子邮件主题。
EmailXMailer string 可观测的电子邮件 X-Mailer。
ExpirationDateTime datetime 指示器到期时间。
ExternalIndicatorId string 提交系统中指示器的标识符。
FileCompileDateTime datetime 可观测的文件编译时间。
FileCreatedDateTime datetime 可观测的文件创建时间。
FileHashType string 可观测的文件哈希类型。
FileHashValue string 可观测的文件哈希值。
FileMutexName string 可观测的文件互斥体名称。
FileName string 可观测的文件名。
FilePacker string 可观测的文件打包器。
文件路径 string 可观测的文件路径。
FileSize int 可观测的文件大小。
FileType string 可观测的文件类型。
IndicatorId string 指示器的唯一标识符，由接收系统计算。
IndicatorProvider string 提供指示器的实体名称。
_IsBillable string 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
KillChainActions 布尔 指明是否已设置终止链值“actions”。
KillChainC2 布尔 指明是否设置了终止链值“C2”。
KillChainDelivery 布尔 指明是否已设置终止链值“delivery”。
KillChainExploitation 布尔 指明是否已设置终止链值“exploitation”。
KillChainReconnaissance 布尔 指明是否已设置终止链值“reconniassance”。
KillChainWeaponization 布尔 指明是否已设置终止链值“weaponization”。
KnownFalsePositives string 描述指示器可能导致误报情况的文本。
MalwareNames string 与指示器关联的恶意软件名称列表
NetworkCidrBlock string 可观测的网络 CIDR 块。
NetworkDestinationAsn int 可观测的网络目标自治系统编号。
NetworkDestinationCidrBlock string 可观测的网络目标 CIDR 块。
NetworkDestinationIP string 网络目标 IP 地址。
NetworkDestinationPort int 可观测的网络目标端口。
NetworkIP string 可观测的网络 IP 地址。
NetworkPort int 可观测的网络端口。
NetworkProtocol int 可观测的网络协议。
NetworkSourceAsn int 可观测的网络源自治系统编号。
NetworkSourceCidrBlock string 可观测的网络源 CIDR 块。
NetworkSourceIP string 可观测的网络源 IP 地址。
NetworkSourcePort int 可观测的网络源端口。
PassiveOnly 布尔 指明指示器是否应触发对用户可见的事件。
SourceSystem string 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
标记 string 自由窗体标记。
TenantId string Log Analytics 工作区 ID
ThreatSeverity int 指示器严重性分级从 0 到 5。 数值越大，表示严重程度越高。
ThreatType string 指示器的威胁类型。
TimeGenerated datetime 指示器引入的时间。
TrafficLightProtocolLevel string 行业标准交通灯协议级别，白色、绿色、琥珀色或红色之一。
类型 字符串 表的名称
URL string 可观测的 URL。
UserAgent string 可观测的用户代理。