ActingProcessCommandLine |
string |
用于运行操作进程的命令行。 |
“ActingProcessGuid” |
string |
为操作进程生成的唯一标识符 (GUID)。 |
ActingProcessId |
string |
操作进程的进程 ID (PID)。 |
“ActingProcessName” |
string |
操作进程的名称。 |
ActorOriginalUserType |
string |
报告设备提供的原始参与者用户类型。 |
ActorScope |
string |
定义 ActorUserId 和 ActorUsername 的范围,例如 Azure AD 租户。 |
ActorScopeId |
string |
ActorUserId 和 ActorUsername 的定义范围 ID(例如 Azure AD Directory ID)。 |
“ActorSessionId” |
string |
Actor 登录会话的唯一 ID。 |
ActorUserAadId |
string |
参与者的 Azure Active Directory ID。 |
ActorUserId |
string |
参与者的计算机可读的唯一字母数字表示形式。 |
ActorUserIdType |
string |
ActorUserId 字段中存储的 ID 的类型。 |
ActorUsername |
string |
参与者的用户名,包括域信息(如果可用)。 |
ActorUsernameType |
string |
指定 ActorUsername 字段中存储的用户名的类型。 |
ActorUserSid |
string |
参与者的 Windows 用户 ID (SID)。 |
ActorUserType |
string |
参与者的类型。 |
AdditionalFields |
动态 |
附加信息,使用源提供的不映射到 ASim 的键/值对表示。 |
_BilledSize |
real |
记录大小(字节) |
DvcAction |
string |
对 Web 会话执行的操作。 |
DvcDescription |
string |
与设备关联的描述性文本。 |
DvcDomain |
string |
报告事件的设备的域。 |
DvcDomainType |
string |
DvcDomain 的类型。 有效值包括“Windows”和“FQDN”。 |
DvcFQDN |
string |
发生了事件或报告了事件的设备的主机名。 |
DvcHostname |
string |
报告事件的设备的主机名。 |
“DvcId” |
string |
发生了事件或报告了事件的设备的唯一 ID。 |
DvcIdType |
string |
DvcId 的类型。 |
DvcInterface |
string |
报告设备提供的原始 DvcAction。 |
DvcIpAddr |
string |
报告事件的设备的 IP 地址。 |
DvcMacAddr |
string |
发生了事件或报告了事件的设备的 MAC 地址。 |
DvcOriginalAction |
string |
报告设备提供的原始 DvcAction。 |
DvcOs |
string |
发生了事件或报告了事件的设备上运行的操作系统。 |
DvcOsVersion |
string |
发生了事件或报告了事件的设备上的操作系统版本。 |
DvcScope |
string |
设备所属的云平台范围。 DvcScope 映射到 Azure 上的订阅名称和 AWS 上的帐户 ID。 |
DvcScopeId |
string |
设备所属的云平台范围 ID。 DvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
DvcZone |
string |
发生了事件或报告了事件的网络,具体取决于架构。 |
EventCount |
int |
当源支持聚合且单个记录可以表示多个事件时,将使用此值。 |
EventEndTime |
datetime |
事件的结束时间。 如果源支持聚合且记录表示多个事件,则为生成最后一个事件的时间。 如果源记录未提供此字段,则此字段将使用 TimeGenerated 字段的别名。 |
EventMessage |
string |
常规消息或说明。 |
EventOriginalResultDetails |
string |
源提供的原始结果详细信息。 此值用于派生 EventResultDetails,其中应只包含针对每个架构记录的一个值。 |
EventOriginalSeverity |
string |
报告设备提供的原始严重性。 此值用于派生 EventSeverity。 |
EventOriginalSubType |
string |
原始事件子类型或 ID(如果已由源提供)。 例如,此字段用于存储原始 Windows 登录类型。 此值用于派生 EventSubType,其中应只包含针对每个架构记录的一个值。 |
“EventOriginalType” |
string |
原始事件类型或 ID(如果已由源提供)。 |
EventOriginalUid |
string |
原始记录的唯一 ID(如果已由源提供)。 |
EventOwner |
string |
事件的所有者,通常是生成事件的部门或子公司。 |
EventProduct |
string |
生成事件的产品。 |
EventProductVersion |
string |
生成事件的产品的版本。 |
EventReportUrl |
string |
在资源的事件中提供的 URL,提供有关该事件的更多信息。 |
EventResult |
string |
事件的结果,由以下值之一表示:成功、部分、失败、NA(不适用)。 该值可能不是由源直接提供的,在这种情况下,它来自其他事件字段,例如 EventResultDetails 字段。 |
EventResultDetails |
string |
HTTP 状态代码。 |
EventSchema |
string |
事件要规范化成的架构。 每个架构会记录其架构名称。 |
EventSchemaVersion |
string |
架构的版本。 |
EventSeverity |
string |
事件的严重性。 有效值为:信息、低、中或高。 |
EventStartTime |
datetime |
事件的开始时间。 如果源支持聚合且记录表示多个事件,则为生成第一个事件的时间。 如果源记录未提供此字段,则此字段将使用 TimeGenerated 字段的别名。 |
EventSubType |
string |
事件类型的附加说明(如果适用)。 |
EventType |
string |
记录报告的操作。 |
EventVendor |
string |
生成事件的产品的供应商。 |
HashType |
string |
存储在哈希别名字段中的哈希类型。 |
HttpUserAgent |
string |
当使用 HTTP 或 HTTPS 启动操作时,为 HTTP 用户代理标头。 |
_IsBillable |
string |
指定引入数据是否计费。 当 _IsBillable 为 false 时,不会向 Azure 帐户计收引入费 |
NetworkApplicationProtocol |
string |
当操作由远程系统启动时,为连接或会话使用的应用层协议。 |
_ResourceId |
字符串 |
与记录关联的资源的唯一标识符 |
RuleName |
string |
与检查结果关联的规则的名称或 ID。 |
RuleNumber |
int |
与检查结果关联的规则的数量。 |
SourceSystem |
string |
收集事件的代理的类型。 例如,适用于 Windows 代理的 OpsManager 、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
SrcDescription |
string |
与设备关联的描述性文本。 |
SrcDeviceType |
string |
源设备的类型。 |
SrcDomain |
string |
源设备的域。 |
SrcDomainType |
string |
SrcDomain 的类型。 |
SrcDvcId |
string |
源设备的 ID。 |
SrcDvcIdType |
string |
SrcDvcId 的类型。 |
SrcDvcScope |
string |
设备所属的云平台范围。 |
SrcDvcScopeId |
string |
设备所属的云平台范围 ID。 |
SrcFileCreationTime |
datetime |
创建源文件的时间。 |
SrcFileDirectory |
string |
源文件所在的文件夹或位置。 |
SrcFileExtension |
string |
源文件扩展名。 |
SrcFileMD5 |
string |
源文件的 MD5 哈希。 |
SrcFileMimeType |
string |
源文件的 Mime 或媒体类型。 |
SrcFileName |
string |
源文件的名称,不带路径或位置,但带有扩展名(如果相关)。 |
SrcFilePath |
string |
源文件的完整规范化路径,包括文件夹或位置、文件名和扩展名。 |
SrcFilePathType |
string |
SrcFilePath 的类型。 |
SrcFileSHA1 |
string |
源文件的 SHA-1 哈希。 |
SrcFileSHA256 |
string |
源文件的 SHA-256 哈希。 |
SrcFileSHA512 |
string |
源文件的 SHA-512 哈希。 |
SrcFileSize |
long |
源文件的大小,以字节为单位。 |
SrcFQDN |
string |
源设备主机名,包括域信息(如果可用)。 |
SrcGeoCity |
string |
与源 IP 地址关联的城市。 |
SrcGeoCountry |
string |
与源 IP 地址关联的国家/地区。 |
SrcGeoLatitude |
real |
与源 IP 地址关联的地理坐标的纬度。 |
SrcGeoLongitude |
real |
与源 IP 地址关联的地理坐标的经度。 |
SrcGeoRegion |
string |
与源 IP 地址关联的国家/地区中的区域。 |
SrcHostname |
string |
源设备主机名,不包括域信息。 如果没有可用的设备名称,请在此字段中存储相关的 IP 地址。 |
SrcIpAddr |
string |
当远程系统启动操作时此系统的 IP 地址。 |
SrcMacAddr |
string |
源设备的 MAC 地址。 |
SrcOriginalRiskLevel |
string |
与源关联的风险级别。 由报告设备报告或扩充。 |
SrcPortNumber |
int |
当远程系统启动操作时,从中启动连接的端口号。 |
SrcRiskLevel |
int |
与源关联的风险级别。 |
_SubscriptionId |
字符串 |
与记录关联的订阅的唯一标识符 |
TargetAppId |
string |
目标应用程序的 ID,由报告设备报告。 |
TargetAppName |
string |
目标应用程序的名称。 |
TargetAppType |
string |
目标应用程序的类型。 |
TargetFileCreationTime |
datetime |
创建目标文件的时间。 |
TargetFileDirectory |
string |
目标文件所在的文件夹或位置。 |
TargetFileExtension |
string |
目标文件扩展名。 |
TargetFileMD5 |
string |
目标文件的 MD5 哈希。 |
TargetFileMimeType |
string |
目标文件的 Mime 或媒体类型。 |
TargetFileName |
string |
目标文件的名称,不带路径或位置,但带有扩展名(如果相关)。 |
TargetFilePath |
string |
目标文件的完整规范化路径,包括文件夹或位置、文件名和扩展名。 |
TargetFilePathType |
string |
TargetFilePath 的类型。 |
TargetFileSHA1 |
string |
目标文件的 SHA-1 哈希。 |
TargetFileSHA256 |
string |
目标文件的 SHA-256 哈希。 |
TargetFileSHA512 |
string |
源文件的 SHA-512 哈希。 |
TargetFileSize |
long |
目标文件的大小,以字节为单位。 |
TargetOriginalAppType |
string |
报告设备报告的目标应用程序类型。 |
TargetUrl |
string |
通过 HTTP 或 HTTPS 启动操作时使用的 URL。 |
TenantId |
string |
Log Analytics 工作区 ID |
ThreatCategory |
string |
在文件活动中识别到的威胁或恶意软件的类别。 |
ThreatConfidence |
int |
已识别威胁的可信度,规范化为 0 到 100 之间的值。 |
ThreatField |
string |
已识别出威胁的字段。 该值为 SrcFilePath 或 DstFilePath。 |
ThreatFilePath |
string |
已识别出威胁的文件路径。 字段 ThreatField 包含 ThreatFilePath 表示的字段的名称。 |
ThreatFirstReportedTime |
datetime |
IP 地址或域首次被识别为威胁的时间。 |
ThreatId |
string |
在文件活动中识别到的威胁或恶意软件的 ID。 |
ThreatIsActive |
布尔 |
已识别威胁被视为活动威胁的真实 ID。 |
ThreatLastReportedTime |
datetime |
上次将 IP 地址或域识别为威胁的时间。 |
ThreatName |
string |
在文件活动中识别到的威胁或恶意软件的名称。 |
ThreatOriginalConfidence |
string |
报告设备报告的已识别威胁的原始可信度。 |
ThreatOriginalRiskLevel |
string |
报告设备报告的风险级别。 |
ThreatRiskLevel |
int |
与已识别的威胁关联的风险级别。 级别应是介于 0 和 100 之间的数字。 |
TimeGenerated |
datetime |
时间戳反映生成事件的时间。 |
类型 |
字符串 |
表的名称 |