你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Microsoft Defender for Endpoint (MDE) 行为表。 包含有关行为的信息，在 Microsoft 365 Defender 的上下文中，指的是基于一个或多个原始事件的结论或见解，这可以为分析人员的调查提供更多上下文。
表格属性
| 特征 | 价值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | 日志管理 |
| 基本日志 | 是的 |
| 引入时间转换 | 否 |
| 示例查询 | - |
列
| 列 | 类型 | DESCRIPTION |
|---|---|---|
| AccountObjectId | 字符串 | Azure AD 中帐户的唯一标识符。 |
| AccountUpn | 字符串 | 帐户的用户主体名称 (UPN)。 |
| 操作类型 | 字符串 | 触发事件的活动类型。 与特定的 MITRE ATT&CK 技术相关联。 |
| AdditionalFields | 字符串 | 有关实体或活动的其他信息。 |
| 攻击技术 | 字符串 | 与触发警报的活动关联的 MITRE ATT&CK 技术。 由 MITRE ATT&CK Matrix for Enterprise 定义。 |
| BehaviorId | 字符串 | 行为的唯一标识符。 |
| _帐单大小 | 实数 | 记录大小（字节） |
| 类别 | 字符串 | 警报标识的威胁指示器或违规活动的类型。 由 MITRE ATT&CK Matrix for Enterprise 定义。 |
| 数据源 | 字符串 | 为行为提供信息的产品或服务。 |
| DESCRIPTION | 字符串 | 行为说明。 |
| 检测来源 | 字符串 | 识别值得注意的组件或活动的检测技术或传感器。 |
| DeviceId | 字符串 | 设备在服务中的唯一标识符。 |
| EndTime | 日期/时间 | 与行为相关的最后一个活动的日期和时间。 |
| _IsBillable | 字符串 | 指定引入数据是否需要付费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| ServiceSource | 字符串 | 提供警报信息的产品或服务。 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，OpsManager 适用于 Windows 代理（无论是直接连接还是通过 Operations Manager）、Linux 适用于所有 Linux 代理，或 Azure 适用于 Azure 诊断 |
| 开始时间 | 日期/时间 | 与行为相关的第一个活动的日期和时间。 |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| TimeGenerated | 日期/时间 | 生成记录的日期和时间。 |
| 类型 | 字符串 | 表的名称 |