你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Microsoft Defender for Endpoints (MDE) 设备进程事件表。 此表包含有关终结点上的进程创建和相关事件的信息。
表属性
| 属性 | 值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | SecurityInsights |
| 基本日志 | 是 |
| 引入时转换 | 是 |
| 示例查询 | - |
列
| 列 | 类型 | 描述 |
|---|---|---|
| AccountDomain | 字符串 | 帐户的域。 |
| 账户名称 | 字符串 | 帐户的用户名。 |
| AccountObjectId | 字符串 | Azure AD 中帐户的唯一标识符。 |
| AccountSid | 字符串 | 帐户的安全标识符 (SID)。 |
| AccountUpn | 字符串 | 帐户的用户主体名称 (UPN)。 |
| 动作类型 | 字符串 | 触发事件的活动的类型。 |
| AdditionalFields | 动态 | 有关实体或活动的其他信息。 |
| AppGuard容器识别号 | 字符串 | 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
| _帐单大小 | 实数 | 记录大小（字节） |
| CreatedProcessSessionId | 长整型 | 所创建进程的 Windows 会话 ID。 |
| DeviceId | 字符串 | 设备在服务中的唯一标识符。 |
| 设备名称 | 字符串 | 设备的完全限定的域名 (FQDN)。 |
| 文件名 | 字符串 | 应用记录操作的文件名称。 |
| 文件大小 | 长整型 | 文件的大小（字节）。 |
| FolderPath | 字符串 | 包含应用记录操作的文件的文件夹。 |
| InitiatingProcessAccountDomain | 字符串 | 运行事件相关的进程的帐户的域。 |
| InitiatingProcessAccountName | 字符串 | 运行负责事件的进程的账户的用户名。 |
| InitiatingProcessAccountObjectId | 字符串 | 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
| InitiatingProcessAccountSid（启动进程帐户SID） | 字符串 | 运行负责事件的进程的帐户的安全标识符 (SID)。 |
| InitiatingProcessAccountUpn | 字符串 | 运行事件相关进程的帐户的用户主体名称 (UPN)。 |
| InitiatingProcessCommandLine | 字符串 | 用于运行启动事件的进程的命令行。 |
| InitiatingProcessCreationTime | 日期/时间 | 启动事件的进程的启动日期和时间。 |
| 启动进程文件名 (InitiatingProcessFileName) | 字符串 | 启动事件的进程的名称。 |
| InitiatingProcessFileSize | 长整型 | 运行负责事件的进程的文件的大小（字节）。 |
| InitiatingProcessFolderPath | 字符串 | 包含启动事件的进程（映像文件）的文件夹。 |
| InitiatingProcessId | 长整型 | 启动事件的进程的 PID（进程 ID）。 |
| InitiatingProcessIntegrityLevel | 字符串 | 启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
| 初始进程登录ID | 长整型 | 发起事件的进程的登录会话的标识符。 此标识符仅在同一台计算机重启之间是唯一的。 |
| InitiatingProcessMD5 | 字符串 | 启动事件的进程（映像文件）的 MD5 哈希。 |
| InitiatingProcessParentCreationTime | 日期/时间 | 事件相关的进程的父进程启动的日期和时间。 |
| InitiatingProcessParentFileName | 字符串 | 生成负责事件的进程的父进程的名称。 |
| InitiatingProcessParentId | 长整型 | 生成事件相关进程的父进程的进程 ID (PID)。 |
| InitiatingProcessRemoteSessionDeviceName | 字符串 | 从中发起启动进程 RDP 会话的远程设备的设备名称。 |
| InitiatingProcessRemoteSessionIP | 字符串 | 从中启动启动进程 RDP 会话的远程设备的 IP 地址。 |
| InitiatingProcessSessionId | 长整型 | 启动进程的 Windows 会话 ID。 |
| InitiatingProcessSHA1 | 字符串 | 启动事件的进程（映像文件）的 SHA-1 哈希。 |
| InitiatingProcessSHA256 | 字符串 | 生成事件的进程（镜像文件）的 SHA-256 哈希值。 在某些情况下，该列可能是空的，所以请改用 InitiatingProcessSHA1 列。 |
| 启动过程签名状态 | 字符串 | 有关启动事件的进程（映像文件）的签名状态的信息。 |
| 启动过程签名者类型 | 字符串 | 启动事件的进程（映像文件）的文件签名者的类型。 |
| InitiatingProcessTokenElevation | 字符串 | 指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升的令牌类型。 |
| InitiatingProcessUniqueId | 字符串 | 发起进程的唯一标识符;这等于 Windows 设备中的进程启动密钥。 |
| InitiatingProcessVersionInfoCompanyName | 字符串 | 负责事件的版本信息（映像文件）中的公司名称。 |
| InitiatingProcessVersionInfoFileDescription | 字符串 | 事件相关版本信息（映像文件）中的说明。 |
| InitiatingProcessVersionInfoInternalFileName | 字符串 | 事件相关版本信息（映像文件）中的内部文件名。 |
| InitiatingProcessVersionInfoOriginalFileName | 字符串 | 事件相关版本信息（映像文件）中的原始文件名。 |
| InitiatingProcessVersionInfoProductName | 字符串 | 负责事件的版本信息（映像文件）中的产品名称。 |
| InitiatingProcessVersionInfoProductVersion | 字符串 | 事件相关版本信息（映像文件）中的产品版本。 |
| _IsBillable | 字符串 | 指定引入数据是否可计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| IsInitiatingProcessRemoteSession | 布尔 | 指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| IsProcessRemoteSession | 布尔 | 指示所创建进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| 登录ID | 长整型 | 登录会话的标识符。 此标识符仅在同一台计算机重启之间是唯一的。 |
| MachineGroup | 字符串 | 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
| MD5 | 字符串 | 应用记录操作的文件的 MD5 哈希。 |
| ProcessCommandLine | 字符串 | 用于创建新进程的命令行。 |
| 进程创建时间 | 日期/时间 | 进程的创建日期和时间。 |
| ProcessId | 长整型 | 新创建的进程的进程 ID (PID)。 |
| 进程完整性级别 | 字符串 | 新创建的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
| ProcessRemoteSessionDeviceName | 字符串 | 从中启动所创建进程 RDP 会话的远程设备的设备名称。 |
| ProcessRemoteSessionIP | 字符串 | 从中启动所创建进程 RDP 会话的远程设备的 IP 地址。 |
| ProcessTokenElevation | 字符串 | 一个令牌类型，指示是否存在应用于新创建的进程的用户访问控制 (UAC) 特权提升。 |
| ProcessUniqueId | 字符串 | 进程的唯一标识符;这等于 Windows 设备中的进程启动密钥。 |
| 进程版本信息公司名称 | 字符串 | 新创建进程的版本信息中的公司名称。 |
| ProcessVersionInfoFileDescription | 字符串 | 新创建的进程的版本信息中的说明。 |
| ProcessVersionInfoInternalFileName | 字符串 | 新创建进程的版本信息中的内部文件名。 |
| ProcessVersionInfoOriginalFileName | 字符串 | 新创建进程的版本信息中的原始文件名。 |
| ProcessVersionInfoProductName | 字符串 | 新创建进程的版本信息中的产品名称。 |
| ProcessVersionInfoProductVersion | 字符串 | 新创建的进程的版本信息中的产品版本。 |
| ReportId | 长整型 | 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
| SHA1 | 字符串 | 被记录操作应用到的文件的 SHA-1 哈希。 |
| SHA256 | 字符串 | 应用记录操作的文件的 SHA-256。 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| TimeGenerated | 日期/时间 | 终结点上的 MDE 代理记录事件的日期和时间。 |
| 类型 | 字符串 | 表的名称 |