Dela via

EnhetensFilhändelser

Den här tabellen är en del av Microsoft Defender för Endpoint med Azure Sentinel. Den här tabellen innehåller filskapande, ändring och andra filsystemhändelser.

Tabellattribut

Attribut Värde
Resurstyper -
Kategorier Säkerhet
Lösningar SecurityInsights
Grundläggande logg Ja
Inmatningstidstransformering Ja
Exempelfrågor -

Kolumner

Kolumn Typ Beskrivning
Åtgärdstyp sträng Typ av aktivitet som utlöste händelsen.
YtterligareFält dynamisk Ytterligare information om entiteten eller händelsen.
Behållar-ID för AppGuard sträng Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_FaktureradStorlek verklig Storleken i byte
DeviceId sträng Unik identifierare för enheten i tjänsten.
Enhetsnamn sträng Fullständigt kvalificerat domännamn (FQDN) för enheten.
Filnamn sträng Namnet på filen som den inspelade åtgärden tillämpades på.
FilUrsprungsIP sträng IP-adress där filen laddades ned från.
FilUrsprungHänvisareURL sträng URL för webbsidan som länkar till den nedladdade filen.
Filursprungswebbadress sträng URL där filen laddades ned från.
Filstorlek lång Filens storlek i byte.
Mappsökväg sträng Mapp som innehåller filen som den inspelade åtgärden tillämpades på.
Initiera ProcessKontodomän sträng Domän för det konto som körde processen som var ansvarig för händelsen.
InitierarProcesskontoNamn sträng Användarnamnet för det konto som körde processen som var ansvarig för händelsen.
Initiera processkontoobjekts-ID sträng Azure AD-objekt-ID för användarkontot som körde processen som var ansvarig för händelsen.
InitieraProcessAccountSid sträng Säkerhetsidentifierare (SID) för det konto som körde processen som var ansvarig för händelsen.
initieraProcessAccountUpn sträng Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen.
InitieraProcesskommandorad sträng Kommandorad som används för att köra processen som initierade händelsen.
Initieringsprocessens skapandetid datum och tid Datum och tid då processen som initierade händelsen startades.
InitieraProcessFilnamn sträng Namnet på den process som initierade händelsen.
InitieraProcessFilstorlek lång Storlek i byte av den process (bildfil) som initierade händelsen.
InitieraProcessFolderPath sträng Mapp som innehåller processen (bildfilen) som initierade händelsen.
PåbörjarProcessId lång Process-ID (PID) för den process som initierade händelsen.
InitieraProcessintegritetsnivå sträng Integritetsnivå för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser.
InitierarProcessMD5 sträng MD5-hash för processen (bildfilen) som initierade händelsen.
InitieringProcessFörälderSkapandeTid datum och tid Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitierarProcessFöräldraFilNamn sträng Namnet på den överordnade process som skapade processen som ansvarar för händelsen.
InitierarProcessModersId lång Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen.
InitieraProcessFjärrSessionEnhetsNamn sträng Enhetsnamnet på den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessRemoteSessionIP sträng IP-adressen för den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessSessionId lång Windows-sessions-ID för den inledande processen.
InitieraProcessSHA1 sträng SHA-1-hash för processen (bildfilen) som initierade händelsen.
InitieraProcessSHA256 sträng SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när det är tillgängligt.
InitieringAvProcessTokenFörhöjning sträng Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den process som initierade händelsen.
InitieraProcessUniqueId sträng Unik identifierare för den inledande processen. detta är lika med processstartnyckeln i Windows-enheter.
InitialiseraProcessversionInfoFöretagsnamn sträng Företagsnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessversionsinfoFilbeskrivning sträng Beskrivning från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessVersionInfoInternalFileName sträng Internt filnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessVersionInfoOriginalFileName sträng Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitierarProcessVersionsInformationProduktNamn sträng Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion sträng Produktversion från versionsinformationen för processen (bildfil) som är ansvarig för händelsen.
ÄrAzureInfoProtectionTillämpad Bool Anger om filen krypteras av Azure Information Protection.
_ÄrFakturerbart sträng Anger om inmatningen av data är fakturerbar. När _IsBillable är false debiteras inte bearbetningen på ditt Azure-konto.
ÄrInitierandeProcessFjärrsession Bool Anger om initieringsprocessen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (false).
MachineGroup (på engelska) sträng Maskingruppen för maskinen. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
MD5 sträng MD5-hash för filen som den inspelade åtgärden tillämpades på.
TidigareFilnamn sträng Ursprungligt namn på filen som ändrades till följd av åtgärden.
PreviousFolderPath sträng Ursprunglig mapp som innehåller filen innan den inspelade åtgärden tillämpades.
ReportId lång Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
BegäranKontoDomän sträng Domän för det konto som används för att fjärrinitiering av aktiviteten.
BegärKontoNamn sträng Användarnamnet för det konto som används för att fjärrinitiering av aktiviteten.
BegärKontoSid sträng Säkerhetsidentifierare (SID) för det konto som används för att fjärrinitiering av aktiviteten.
Förfrågningsprotokoll sträng Nätverksprotokoll, om tillämpligt, används för att initiera aktiviteten: Okänd, Lokal, SMB eller NFS.
RequestSourceIP sträng IPv4- eller IPv6-adressen för fjärrenheten som initierade aktiviteten.
RequestSourcePort heltal Källport på fjärrenheten som initierade aktiviteten.
Känslighetsetikett sträng Etikett som tillämpas på ett e-postmeddelande, en fil eller annat innehåll för att klassificera det för informationsskydd.
Känslighetsunderetikett sträng Underetikett som tillämpas på ett e-postmeddelande, en fil eller annat innehåll för att klassificera det för informationsskydd. känslighetsunderetiketter grupperas under känslighetsetiketter men behandlas oberoende av varandra.
SHA1 sträng SHA-1-hash för filen som den inspelade åtgärden tillämpades på.
SHA256 sträng SHA-256 av filen som den registrerade åtgärden tillämpades på.
DelaNamn sträng Namnet på den delade mappen som innehåller filen.
SourceSystem sträng Agenttypen som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
Hyresgäst-ID sträng ID för Log Analytics-arbetsyta
Tidpunkt för generering datum och tid Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ sträng Namnet på tabellen