你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
网络连接或会话，例如防火墙、Wire Data、NSG、Netflow、代理系统和 Web 安全网关记录的网络连接或会话。
表属性
| 特征 | 值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | SecurityInsights |
| 基本日志 | 是的 |
| 引入时转换 | 否 |
| 示例查询 | 是 |
列
| 列 | 类型 | 说明 |
|---|---|---|
| AdditionalFields | 动态 | 如果架构中没有相应的列匹配，则可将附加字段存储在 JSON 包中。 |
| _BilledSize（账单大小） | real | 记录大小（字节） |
| CloudAppId | 字符串 | HTTP 应用程序的目标应用程序的 ID，由代理标识。 此值通常特定于所用的代理。 |
| CloudAppName | 字符串 | HTTP 应用程序的目标应用程序的名称，由代理标识。 |
| CloudAppOperation | 字符串 | 用户在 HTTP 应用程序的目标应用程序上下文中执行的操作，由代理标识。 此值通常特定于所用的代理。 |
| 云应用风险等级 | 字符串 | 与 HTTP 应用程序关联的风险级别，由代理标识。 此值通常特定于所用的代理。 |
| DstBytes | 长整型 | 从连接或会话的目标发送到源的字节数。 |
| DstDomainHostname | 字符串 | 目标主机的域。 |
| DstDvcDomain | 字符串 | 目标设备的域。 |
| DstDvcFqdn | 字符串 | 在其中创建了日志的主机的完全限定域名。 |
| DstDvcHostname | 字符串 | 目标设备的设备名称。 |
| DstDvcIpAddr | 字符串 | 不直接与网络数据包关联的设备的目标 IP 地址。 |
| DstDvcMacAddr | 字符串 | 不直接与网络数据包关联的设备的目标 MAC 地址。 |
| DstGeoCity | 字符串 | 与目标 IP 地址关联的城市。 |
| DstGeoCountry | 字符串 | 与源 IP 地址关联的国家/地区。 |
| DstGeoLatitude | real | 与目标 IP 地址关联的地理坐标的纬度。 |
| DstGeoLongitude | real | 与目标 IP 地址关联的地理坐标的经度 |
| DstGeoRegion | 字符串 | 与目标 IP 地址关联的国家/地区中的区域。 |
| DstInterfaceGuid | 字符串 | 用于身份验证请求的网络接口的 GUID。 |
| Dst接口名称 | 字符串 | 由目标设备用来建立连接或会话的网络接口。 |
| DstIpAddr | 字符串 | 连接或会话目标的 IP 地址。 |
| DstMacAddr | 字符串 | 终止了连接或会话的网络接口的 MAC 地址。 |
| DstNatIpAddr | 字符串 | 如果中介 NAT 设备（例如防火墙）报告了该值，则该值是由 NAT 设备用来与源通信的 IP 地址。 |
| DstNatPortNumber | 整数 (int) | 如果中介 NAT 设备（例如防火墙）报告了该值，则该值是由 NAT 设备用来与源通信的端口。 |
| DstPackets | 长整型 | 从连接或会话的目标发送到源的数据包数。 数据包的含义由报告设备定义。 |
| DstPortNumber | 整数 (int) | 目标 IP 端口。 |
| DstResourceId | 字符串 | 目标设备的资源 ID。 |
| DstUserAadId | 字符串 | 位于会话目标端的用户的 Azure AD 帐户对象 ID。 |
| DstUserDomain | 字符串 | 位于会话目标中的帐户的域名或计算机名。 |
| DstUserName | 字符串 | 与会话目标关联的标识的用户名。 |
| DstUserSid | 字符串 | 与会话目标关联的标识的用户 ID。 通常，它是用来对服务器进行身份验证的标识。 |
| DstUserUpn | 字符串 | 与会话目标关联的标识的 UPN。 |
| DstZone | 字符串 | 目标的网络区域，由报告设备定义。 |
| DvcAction | 字符串 | 如果中介设备（例如防火墙）报告了该值，则该值是该设备执行的操作。 |
| DvcHostname | 字符串 | 生成消息的设备的设备名称。 |
| DvcInboundInterface | 字符串 | 如果中介设备（例如防火墙）报告了该值，则该值是该设备用来连接到源设备的网络接口。 |
| DvcIpAddr | 字符串 | 生成记录的设备的 IP 地址。 |
| DvcMacAddr | 字符串 | 从中发送了事件的报告设备的网络接口的 MAC 地址。 |
| DvcOutbound接口 | 字符串 | 如果中介设备（例如防火墙）报告了该值，则该值是该设备用来连接到目标设备的网络接口。 |
| EventCount | 整数 (int) | 聚合的事件数（如果适用）。 |
| 事件结束时间 | 日期/时间 | 事件的结束时间。 |
| EventMessage | 字符串 | 常规消息或说明，包含在记录中或者根据记录生成。 |
| EventOriginalUid | 字符串 | 报告设备中的记录 ID。 |
| EventProduct | 字符串 | 生成事件的产品。 |
| EventProductVersion | 字符串 | 生成事件的产品的版本。 |
| 事件报告链接 | 字符串 | 报告设备创建的完整报告的链接。 |
| EventResourceId | 字符串 | 生成消息的设备的资源 ID。 |
| EventResult | 字符串 | 针对活动报告的结果。 不适用时为空值。 |
| 事件结果详情 | 字符串 | EventResult 中报告的结果的原因 |
| EventSchemaVersion | 字符串 | Azure Sentinel 架构版本。 |
| EventSeverity | 字符串 | 如果报告的活动会造成安全影响，则指示影响的严重性。 |
| 事件开始时间 | 日期/时间 | 事件的开始时间。 |
| 事件子类型 | 字符串 | 类型的附加说明（如果适用）。 |
| EventTimeIngested | 日期/时间 | 将事件引入 Azure Sentinel 的时间。 将由 Azure Sentinel 添加。 |
| 事件类型 | 字符串 | 要收集的事件的类型。 |
| EventUid | 字符串 | Sentinel 用于标记行的唯一标识符。 |
| EventVendor | 字符串 | 生成事件的产品的供应商。 |
| FileExtension | 字符串 | 通过网络连接为协议（例如 FTP 和 HTTP）传输的文件的类型。 |
| FileHashMd5 | 字符串 | 通过网络连接为协议传输的文件的 MD5 哈希值。 |
| FileHashSha1 | 字符串 | 通过网络连接为协议传输的文件的 SHA1 哈希值。 |
| FileHashSha256 | 字符串 | 通过网络连接为协议传输的文件的 SHA256 哈希值。 |
| FileHashSha512 | 字符串 | 通过网络连接为协议传输的文件的 SHA512 哈希值。 |
| 文件MIME类型 | 字符串 | 通过网络连接为协议（例如 FTP 和 HTTP）传输的文件的 MIME 类型。 |
| 文件名 | 字符串 | 通过网络连接为提供文件名信息的协议（例如 FTP 和 HTTP）传输的文件名。 |
| 文件路径 | 字符串 | 文件的完整路径，包括文件名。 |
| 文件大小 | 整数 (int) | 通过网络连接为协议传输的文件的文件大小，以字节为单位。 |
| HttpContentType (HTTP内容类型) | 字符串 | HTTP/HTTPS 网络会话的 HTTP 响应内容类型头。 |
| HttpReferrerOriginal | 字符串 | HTTP/HTTPS 网络会话的 HTTP referrer 头。 |
| HTTP请求方法 | 字符串 | HTTP/HTTPS 网络会话的 HTTP 方法。 |
| HTTP请求时间 | 整数 (int) | 将请求发送到服务器所花费的时间（如果适用）。 |
| HttpRequestXff | 字符串 | HTTP/HTTPS 网络会话的 HTTP X-Forwarded-For 头。 |
| HTTP响应时间 | 整数 (int) | 在服务器中接收响应所花费的时间（如果适用）。 |
| HTTP状态码 (HttpStatusCode) | 字符串 | HTTP/HTTPS 网络会话的 HTTP 状态代码。 |
| HttpUserAgentOriginal | 字符串 | Http/HTTPS 网络会话的 HTTP 用户代理头。 |
| HttpVersion | 字符串 | HTTP/HTTPS 网络连接的 HTTP 请求版本。 |
| _IsBillable | 字符串 | 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| 网络应用程序协议 | 字符串 | 连接或会话使用的应用程序层协议。 |
| NetworkBytes | 长整型 | 双向发送的字节数。 如果 BytesReceived 和 BytesSent 都存在，则 BytesTotal 应等于它们的总和。 |
| NetworkDirection | 字符串 | 连接或会话的方向：入站到组织或者从组织出站。 |
| 网络时长 | 整数 (int) | 完成网络会话或连接所花费的时间，以毫秒为单位。 |
| NetworkIcmpCode（网络ICMP代码） | 整数 (int) | 对于 ICMP 消息，该值是 ICMP 消息类型的数字值（RFC 2780 或 RFC 4443）。 |
| 网络ICMP类型 | 字符串 | 对于 ICMP 消息，该值是 ICMP 消息类型的文本表示形式（RFC 2780 或 RFC 4443）。 |
| NetworkPackets | 长整型 | 双向发送的数据包数。 如果 PacketsReceived 和 PacketsSent 都存在，则 BytesTotal 应等于它们的总和。 |
| 网络协议 | 字符串 | 连接或会话使用的 IP 协议。 通常为 TCP、UDP 或 ICMP。 |
| 网络规则名称 | 字符串 | 确定 DeviceAction 时所依据的规则的名称或 ID。 |
| NetworkRuleNumber | 整数 (int) | 匹配的规则编号。 |
| 网络会话ID | 字符串 | 报告设备报告的会话标识符。 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
| SrcBytes | 长整型 | 从连接或会话的源发送到目标的字节数。 |
| SrcDvcDomain | 字符串 | 从中启动了会话的设备的域。 |
| SrcDvcFqdn | 字符串 | 在其中创建了日志的主机的完全限定域名。 |
| SrcDvcHostname | 字符串 | 源设备的设备名称。 |
| SrcDvcIpAddr | 字符串 | 不直接与网络数据包关联的设备的源 IP 地址（由提供程序收集，或显式计算）。 |
| SrcDvcMacAddr | 字符串 | 不直接与网络数据包关联的设备的源 MAC 地址。 |
| SrcDvcModelName | 字符串 | 源设备的型号。 |
| SrcDvcModelNumber | 字符串 | 源设备的型号。 |
| SrcDvcOs | 字符串 | 源设备的 OS。 |
| SrcDvcType | 字符串 | 源设备的类型。 |
| SrcGeoCity | 字符串 | 与源 IP 地址关联的城市。 |
| SrcGeoCountry | 字符串 | 与源 IP 地址关联的国家/地区。 |
| SrcGeoLatitude | real | 与源 IP 地址关联的地理坐标的纬度。 |
| SrcGeoLongitude | real | 与源 IP 地址关联的地理坐标的经度。 |
| SrcGeoRegion | 字符串 | 与源 IP 地址关联的国家/地区中的区域。 |
| SrcInterfaceGuid | 字符串 | 所用网络接口的 GUID。 |
| SrcInterfaceName | 字符串 | 由源设备用来建立连接或会话的网络接口。 |
| SrcIpAddr | 字符串 | 从中发起了连接或会话的 IP 地址。 |
| SrcMacAddr | 字符串 | 从中发起了连接或会话的网络接口的 MAC 地址。 |
| SrcNatIpAddr | 字符串 | 如果中介 NAT 设备（例如防火墙）报告了该值，则该值是由 NAT 设备用来与目标通信的 IP 地址。 |
| SrcNatPortNumber | 整数 (int) | 如果中介 NAT 设备（例如防火墙）报告了该值，则该值是由 NAT 设备用来与目标通信的端口。 |
| SrcPackets | 长整型 | 从连接或会话的源发送到目标的数据包数。 数据包的含义由报告设备定义。 |
| SrcPortNumber | 整数 (int) | 从中发起了连接的 IP 端口。 可能与包含多个连接的会话无关。 |
| SrcResourceId | 字符串 | 生成消息的设备的资源 ID。 |
| SrcUserAadId | 字符串 | 位于会话源端的用户的 Azure AD 帐户对象 ID。 |
| SrcUserDomain | 字符串 | 启动会话的帐户的域。 |
| SrcUserName | 字符串 | 与会话源关联的标识的用户名。 通常，这是在客户端上执行操作的用户。 |
| SrcUserSid | 字符串 | 与会话源关联的标识的用户 ID。 通常，这是在客户端上执行操作的用户。 |
| SrcUserUpn | 字符串 | 启动会话的帐户的 UPN。 |
| SrcZone | 字符串 | 源的网络区域，由报告设备定义。 |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| 威胁类别 | 字符串 | 安全系统（例如 IPS 的 Web 安全网关）识别到的威胁的类别，与此网络会话相关联。 |
| 威胁编号 (ThreatId) | 字符串 | 安全系统（例如 IPS 的 Web 安全网关）识别到的威胁的 ID，与此网络会话相关联。 |
| 威胁名称 | 字符串 | 识别到的威胁或恶意软件的名称。 |
| TimeGenerated | 日期/时间 | 事件的发生时间，由报告源报告。 |
| 类型 | 字符串 | 表的名称 |
| UrlCategory | 字符串 | 与内容（即：成人、新闻、广告、托管域等）相关的 URL 的已定义分组（或者可能仅基于 URL 中的域）。 |
| UrlHostname | 字符串 | HTTP/HTTPS 网络会话的 HTTP 请求 URL 的域部分。 |
| UrlOriginal | 字符串 | HTTP/HTTPS 网络会话的 HTTP 请求 URL。 |