通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

异常

此表包含 Azure Sentinel 中活动异常分析规则生成的异常。

表属性

属性 值
资源类型 -
类别 安全性
解决 方案 SecurityInsights
基本日志 是
引入时转换 是
示例查询 是的

列

列 类型 描述
ActivityInsights 动态的 有关与以 JSON 格式生成的异常对应的活动的见解。
异常详情 动态的 JSON 对象，包含有关生成异常的规则和算法的一般信息以及异常的解释。
异常原因 动态的 以 JSON 形式详细说明生成的异常。
AnomalyTemplateId 字符串 生成此异常的异常模板的 ID。
AnomalyTemplateName 字符串 生成此异常的异常模板的名称。
AnomalyTemplateVersion 字符串 生成此异常的异常模板的版本。
_BilledSize（账单大小） 实数 记录大小（字节）
描述 字符串 异常的说明。
DestinationDevice 字符串 生成的异常的目标设备。
目标IP地址 字符串 异常生成时的目标 IP 地址。
目的地位置 动态的 以 JSON 格式生成异常的目标位置信息。
DeviceInsights 动态的 有关与以 JSON 格式生成的异常对应的设备的见解。
结束时间 日期/时间 异常结束的时间 (UTC)。
实体 动态的 JSON 对象，包含生成的异常中涉及的所有实体。
ExtendedLinks 动态的 指向生成异常的数据的链接列表。
扩展属性 动态的 JSON 对象，带有异常情况的其他数据作为键值对。
ID 字符串 生成的异常的 ID。
_IsBillable 字符串 指定引入数据是否需要付费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
RuleConfigVersion 字符串 生成此异常的异常分析规则的配置版本。
规则编号 字符串 生成此异常的异常分析规则的 ID。
规则名称 字符串 生成此异常的异常分析规则的名称。
RuleStatus 字符串 生成此异常的异常分析规则的状态（外部测试/生产）。
得分 实数 异常的分数。
SourceDevice 字符串 生成的异常的源设备。
源IP地址 字符串 生成的异常的源 IP 地址。
SourceLocation 动态的 以 JSON 格式生成异常的源位置信息。
SourceSystem 字符串 收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure
开始时间 日期/时间 异常开始时的时间 (UTC)。
策略 字符串 与异常对应的 MITRE ATT&CK 策略（字符串）列表。
方法 字符串 列出与异常对应的 MITRE ATT&CK 技术（字符串）。
租户ID 字符串 Log Analytics 工作区 ID
TimeGenerated 日期/时间 生成异常时的时间戳 (UTC)。
类型 字符串 表的名称
UserInsights 动态的 有关与以 JSON 格式生成的异常对应的用户的见解。
UserName 字符串 生成的异常的用户名。
UserPrincipalName 字符串 生成的异常的用户 UPN。
供应商名称 字符串 生成此异常的供应商的名称。
WorkspaceId 字符串 Sentinel 工作区的 ID。