Freigeben über

MDCFileIntegrityMonitoringEvents

  • Artikel

Zeigen Sie Änderungen von Windows- und Linux-Dateien sowie von Softwareregistrierungsschlüsseln an. Ereignisse aus dieser Tabelle werden von Microsoft Defender für Endpunkt (MDE) erfasst.

Tabellenattribute

attribute Wert
Ressourcentypen -
Kategorien Sicherheit
Lösungen LogManagement
Standardprotokoll Ja
Erfassungszeittransformation No
Beispielabfragen -

Spalten

Spalte Type Beschreibung
AADTenantID Zeichenfolge Die AAD-Mandanten-ID des Abonnements, in dem die überwachte Entität erstellt, umbenannt, geändert oder gelöscht wurde.
AzureResourceId Zeichenfolge Die Azure-Ressourcen-ID der Ressource, deren überwachte Entität erstellt, umbenannt, geändert oder gelöscht wurde.
_BilledSize real Die Datensatzgröße in Bytes.
ChangeType Zeichenfolge Der Typ der Änderung, die für die Entität aufgetreten ist. Für die Entität 'Datei' muss entweder 'Erstellt', 'Geändert', 'Umbenannt' oder 'Gelöscht' sein. Für die 'Registry'-Entität muss entweder 'RegistryKeyCreated', 'RegistryKeyDeleted', 'RegistryValueSet', 'RegistryValueDeleted', 'RegistryKeyRenamed' sein.
CloudIdentifier Zeichenfolge Der Cloudbezeichner der Ressource.
CloudProvider Zeichenfolge Der Cloudanbieter der Ressource.
CloudResourceType Zeichenfolge Der Typ der Cloudressource.
Computer Zeichenfolge Der Name des Computers, auf dem die überwachte Entität erstellt, umbenannt, geändert oder gelöscht wurde.
FileMd5 Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die MD5 der Datei, die geändert, erstellt oder gelöscht wurde.
FileName Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält den Namen der Datei, die erstellt, umbenannt, geändert oder gelöscht wurde.
FilePath Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält den Pfad der Datei, die erstellt, umbenannt, geändert oder gelöscht wurde.
FileSha1 Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die SHA1 der Datei, die geändert, erstellt oder gelöscht wurde.
FileSha256 Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die SHA256 der Datei, die geändert, erstellt oder gelöscht wurde.
FileSize long Relevant für den überwachten Entitätstyp 'File'. Enthält die aktuelle Größe (in Byte) der Datei, die erstellt, umbenannt, geändert oder gelöscht wurde.
FileType Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält den Typ der Datei, die erstellt, umbenannt, geändert oder gelöscht wurde. Beispiel für mögliche Werte: Zip, PDF, Xar usw.
Initiieren vonProcessAccountDomainName Zeichenfolge Enthält den Kontodomänennamen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessAccountName Zeichenfolge Enthält den Kontonamen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessAccountSid Zeichenfolge Enthält die Konto-SID des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessCreationTime datetime Enthält die Erstellungszeit des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessFirstSeen datetime Enthält das erste Gesehene des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitiatingProcessId long Enthält die Prozess-ID des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessImageFileName Zeichenfolge Enthält den Namen der Bilddatei des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessImageFilePath Zeichenfolge Enthält den Pfad der Bilddatei des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitiatingProcessImageFileType Zeichenfolge Enthält den Bilddateityp des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessName Zeichenfolge Enthält den Namen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessSessionId long Enthält die Sitzungs-ID des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
Initiieren vonProcessSource Zeichenfolge Enthält die Quelle des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageCreationTimeUtc datetime Enthält die Erstellungszeit für das Bild des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageFileSizeInBytes long Enthält die Größe der Bilddatei (in Bytes) des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageLastAccessTimeUtc datetime Enthält die Zeit für den letzten Zugriff auf das Bild des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageLastWriteTimeUtc datetime Enthält die Letzte Schreibzeit für das Bild des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageLsHash Zeichenfolge Enthält den LS-Hash für das Image des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageMd5 Zeichenfolge Enthält das Image MD5 für das Image des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImagePeTimestampUtc datetime Enthält die PE-Zeit für das Image des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageSha1 Zeichenfolge Enthält das Image SHA 1 für das Bild des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcImageSha256 Zeichenfolge Enthält das Image SHA 256 für das Bild des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcVersionInfoCompanyName Zeichenfolge Enthält den Firmennamen der Versionsinformationen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcVersionInfoFileDescription Zeichenfolge Enthält die Versionsinformationsdateibeschreibung des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcVersionInfoInternalFileName Zeichenfolge Enthält den internen Dateinamen der Versionsinformationen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcVersionInfoOriginalFileName Zeichenfolge Enthält den ursprünglichen Dateinamen der Versionsinformationen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcVersionInfoProductName Zeichenfolge Enthält den Produktnamen der Versionsinformationen des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
InitProcVersionInfoProductVersion Zeichenfolge Enthält die Versionsinformationen-Produktversion des initiierenden Prozesses, der das überwachte Entitätsereignis verursacht hat.
_IsBillable Zeichenfolge Gibt an, ob die Erfassung der Daten gebührenpflichtig ist. Wenn _IsBillable auf false festgelegt ist, wird die Datenerfassung Ihrem Azure-Konto nicht in Rechnung gestellt.
MonitoredEntityType Zeichenfolge Der Typ der überwachten Entität, die erstellt, umbenannt, geändert oder gelöscht wurde. Kann entweder 'Datei' oder 'Registrierung' sein.
NewValueData Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält die Daten des neuen Registrierungswerts.
NewValueName Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält den Namen des neuen Registrierungswerts.
NewValueType Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält den Neuen Registrierungswerttyp.
OldValueData Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält die vorherigen Registrierungswertdaten.
OldValueFullRegistryKey Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält den vorherigen vollständigen Registrierungsschlüssel.
OldValueName Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält den vorherigen Registrierungswertnamen.
OldValueType Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält den vorherigen Registrierungswerttyp.
OriginalFileName Zeichenfolge Relevant für den überwachten Entitätstyp 'Datei' und für einen Änderungstyp 'Umbenennen'. Enthält den ursprünglichen Namen der Datei, die umbenannt wurde, bevor die Umbenennung erfolgt ist.
OriginalFilePath Zeichenfolge Relevant für den überwachten Entitätstyp 'Datei' und für einen Änderungstyp 'Umbenennen'. Enthält den ursprünglichen Pfad der Datei, die umbenannt wurde, bevor die Umbenennung erfolgt ist.
RegistryHive Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält die Gruppierungskonfigurationseinstellungen für das Betriebssystem und die Anwendungen.
RegistryKey Zeichenfolge Relevant für den überwachten Entitätstyp "Registry". Enthält den vollständigen Registrierungsschlüssel der Registrierung, die erstellt wurde, oder den neuen Registrierungsschlüssel der registrierung, die umbenannt wurde.
RequestAccountDomain Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die Domäne des Kontos des Benutzers, das das Dateiereignis verursacht hat.
RequestAccountName Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält den Namen des Kontos des Benutzers, der das Dateiereignis verursacht hat.
RequestAccountSid Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die SID des Kontos des Benutzers, der das Dateiereignis verursacht hat.
RequestSource Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die Quelle des Kontos des Benutzers, der das Dateiereignis verursacht hat. Beispiel: Local/SMB/NFS.
RequestSourceIP Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält die Quell-IP des Kontos des Benutzers, das das Dateiereignis verursacht hat. Für Remotedatei, die IP, von der die Anforderung stammt.
RequestSourcePort Zeichenfolge Relevant für den überwachten Entitätstyp 'File'. Enthält den Quellport des Kontos des Benutzers, der das Dateiereignis verursacht hat. Für Remotedatei, der Port, von dem die Anforderung stammte.
SourceSystem Zeichenfolge Typ des Agents, von dem das Ereignis gesammelt wurde. Beispiel: OpsManager für den Windows-Agent (direkte Verbindung oder Operations Manager), Linux für alle Linux-Agents oder Azure für die Azure-Diagnose
TenantId Zeichenfolge Die ID des Log Analytics-Arbeitsbereichs.
TimeGenerated datetime Die Zeit (UTC), zu der die überwachte Entität erstellt, umbenannt, geändert oder gelöscht wurde.
type Zeichenfolge Der Name der Tabelle.