| ActingAppId |
Zeichenfolge |
Die ID der Anwendung, die im Auftrag des Akteurs Autorisierungen durchführt. Dabei kann es sich um einen Prozess, einen Browser oder einen Dienst handeln. |
| ActingAppName |
Zeichenfolge |
Der Name der Anwendung, die im Auftrag des Akteurs Autorisierungen durchführt. Dabei kann es sich um einen Prozess, einen Browser oder einen Dienst handeln. |
| ActingAppType |
Zeichenfolge |
Der Typ der agierenden Anwendung. |
| ActingOriginalAppType |
Zeichenfolge |
Der handelnde Anwendungstyp, wie vom Berichterstellungsgerät gemeldet. |
| ActorOriginalUserType |
Zeichenfolge |
Der Benutzertyp, wie vom Gerät gemeldet. |
| ActorScope |
Zeichenfolge |
Der Bereich, z. B. der Azure AD-Mandant, in dem ActorUserId und ActorUsername definiert sind. |
| ActorScopeId |
Zeichenfolge |
Die Bereichs-ID, z. B. azure AD-Mandanten-ID, in der ActorUserId und ActorUsername definiert sind. |
| ActorSessionId |
Zeichenfolge |
Die eindeutige ID der Anmeldesitzung des Akteurs. |
| ActorUserId |
Zeichenfolge |
Eine maschinenlesbare, alphanumerische, einzigartige Darstellung des Akteurs. |
| ActorUserIdType |
Zeichenfolge |
Der Typ der ID, die im Feld ActorUserId gespeichert ist. |
| ActorUsername |
Zeichenfolge |
Der Benutzername des Akteurs, einschließlich Domäneninformationen, wenn verfügbar. |
| ActorUsernameType |
Zeichenfolge |
Gibt den Typ des Benutzernamens an, der im Feld ActorUsername gespeichert ist. |
| ActorUserType |
Zeichenfolge |
Der Typ des Akteurs. |
| AdditionalFields |
dynamisch |
Zusätzliche Informationen, dargestellt mithilfe von Schlüssel-Wert-Paaren, die von der Quelle bereitgestellt werden, die nicht ASim zugeordnet sind. |
| _BilledSize |
real |
Die Datensatzgröße in Bytes. |
| DvcAction |
Zeichenfolge |
Für die Meldung von Sicherheitssystemen, die vom System ergriffene Aktion. |
| DvcDescription |
Zeichenfolge |
Ein mit dem Gerät verknüpfter beschreibender Text. |
| DvcDomain |
Zeichenfolge |
Die Domäne des Geräts, das das Ereignis meldet. |
| DvcDomainType |
Zeichenfolge |
Der Typ von DvcDomain. |
| DvcFQDN |
Zeichenfolge |
Der Hostname des Geräts, auf dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat. |
| DvcHostname |
Zeichenfolge |
Der Hostname des Geräts, das das Ereignis meldet. |
| DvcId |
Zeichenfolge |
Die eindeutige ID des Geräts, auf dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat. |
| DvcIdType |
Zeichenfolge |
Der Typ von DvcId. |
| DvcInterface |
Zeichenfolge |
Die Netzwerkschnittstelle, über die Daten erfasst wurden. |
| DvcIpAddr |
Zeichenfolge |
Die IP-Adresse des Geräts, das das Ereignis meldet. |
| DvcMacAddr |
Zeichenfolge |
Die MAC-Adresse des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. |
| DvcOriginalAction |
Zeichenfolge |
Die ursprüngliche DvcAction, wie vom meldenden Gerät angegeben. |
| DvcOs |
Zeichenfolge |
Das Betriebssystem, das auf dem Gerät ausgeführt wird, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. |
| DvcOsVersion |
Zeichenfolge |
Die Version des Betriebssystems auf dem Gerät, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. |
| DvcScope |
Zeichenfolge |
Der Cloudplattformbereich, zu dem das Gerät gehört. DvcScope wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet. |
| DvcScopeId |
Zeichenfolge |
Die ID des Cloudplattformbereichs, zu dem das Gerät gehört. DvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet. |
| DvcZone |
Zeichenfolge |
Das Netzwerk, in dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat. |
| EventCount |
int |
Die Anzahl der Ereignisse, die vom Datensatz beschrieben werden. |
| EventEndTime |
datetime |
Der Zeitpunkt, zu dem das Ereignis geendet hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, die Zeit, zu der das letzte Ereignis generiert wurde. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar. |
| EventMessage |
Zeichenfolge |
Eine allgemeine Nachricht oder Beschreibung. |
| EventOriginalResultDetails |
Zeichenfolge |
Die ursprünglichen Ergebnisdetails, die von der Quelle bereitgestellt werden. |
| EventOriginalSeverity |
Zeichenfolge |
Der ursprüngliche Schweregrad, wie vom meldenden Gerät angegeben. |
| EventOriginalSubType |
Zeichenfolge |
Der ursprüngliche Ereignisuntertyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt. |
| EventOriginalType |
Zeichenfolge |
Der ursprüngliche Ereignistyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt. |
| EventOriginalUid |
Zeichenfolge |
Eine eindeutige ID des ursprünglichen Datensatzes, sofern von der Quelle bereitgestellt. |
| EventOwner |
Zeichenfolge |
Der Besitzer des Ereignisses, bei dem es sich in der Regel um die Abteilung oder Niederlassung handelt, in der das Ereignis generiert wurde |
| EventProduct |
Zeichenfolge |
Das Produkt, das das Ereignis erzeugt. |
| EventProductVersion |
Zeichenfolge |
Die Version des Produkts, das das Ereignis erzeugt. |
| EventReportUrl |
Zeichenfolge |
Eine URL, die im Ereignis für eine Ressource bereitgestellt wird, die weitere Informationen zum Ereignis enthält. |
| EventResult |
Zeichenfolge |
Das Ergebnis des Ereignisses, dargestellt durch einen der folgenden Werte: Success, Partial, Failure, NA (Not Applicable). Der Wert kann nicht direkt von den Quellen bereitgestellt werden, in diesem Fall wird er von anderen Ereignisfeldern abgeleitet, z. B. dem Feld "EventResultDetails". |
| EventResultDetails |
Zeichenfolge |
Die Details, die dem Ereignisergebnis zugeordnet sind. Dieses Feld wird in der Regel aufgefüllt, wenn das Ergebnis ein Fehler ist. |
| EventSchemaVersion |
Zeichenfolge |
Die Version des Schemas. |
| EventSeverity |
Zeichenfolge |
Der Schweregrad des Ereignisses. Gültige Werte sind: Informational, Low, Medium oder High. |
| EventStartTime |
datetime |
Der Zeitpunkt, zu dem das Ereignis begonnen hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, die Zeit, zu der das erste Ereignis generiert wurde. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar. |
| EventSubType |
Zeichenfolge |
Der Anmeldetyp, z. B. "System", "Interactive", "RemoteInteractive", "Service", "RemoteService", "Remote" oder "AssumeRole". |
| EventType |
Zeichenfolge |
Beschreibt den vom Datensatz gemeldeten Vorgang. |
| EventVendor |
Zeichenfolge |
Der Hersteller des Produkts, das das Ereignis erzeugt. |
| HttpUserAgent |
Zeichenfolge |
Wenn die Authentifizierung über HTTP oder HTTPS erfolgt, entspricht der Wert dieses Felds dem HTTP-Header „user_agent“, der von der agierenden Anwendung beim Durchführen der Authentifizierung bereitgestellt wird. |
| _IsBillable |
Zeichenfolge |
Gibt an, ob die Erfassung der Daten gebührenpflichtig ist. Wenn _IsBillable auf false festgelegt ist, wird die Datenerfassung Ihrem Azure-Konto nicht in Rechnung gestellt. |
| LogonMethod |
Zeichenfolge |
Die zum Durchführen der Authentifizierung verwendete Methode. |
| LogonProtocol |
Zeichenfolge |
Das zum Durchführen der Authentifizierung verwendete Protokoll. |
| _ResourceId |
Zeichenfolge |
Ein eindeutiger Bezeichner für die Ressource, der der Datensatz zugeordnet ist. |
| RuleName |
Zeichenfolge |
Der Name oder die ID der Regel, die den Inspektionsergebnissen zugeordnet ist. |
| RuleNumber |
int |
Die Nummer der Regel, die den Inspektionsergebnissen zugeordnet ist. |
| SourceSystem |
Zeichenfolge |
Typ des Agents, von dem das Ereignis gesammelt wurde. Beispiel: OpsManager für den Windows-Agent (direkte Verbindung oder Operations Manager), Linux für alle Linux-Agents oder Azure für die Azure-Diagnose |
| SrcDescription |
Zeichenfolge |
Ein beschreibender Text, der dem Quellgerät zugeordnet ist. |
| SrcDeviceType |
Zeichenfolge |
Der Typ des Quellgeräts. |
| SrcDomain |
Zeichenfolge |
Die Domäne des Quellgeräts. |
| SrcDomainType |
Zeichenfolge |
Der Typ von SrcDomain. |
| SrcDvcId |
Zeichenfolge |
Die ID des Quellgeräts. |
| SrcDvcIdType |
Zeichenfolge |
Der Typ von SrcDvcId. |
| SrcDvcOs |
Zeichenfolge |
Das Betriebssystem des Quellgeräts. |
| SrcDvcScope |
Zeichenfolge |
Der Bereich der Cloudplattform, zu dem das Quellgerät gehört. SrcDvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet. |
| SrcDvcScopeId |
Zeichenfolge |
Die Cloudplattform-Bereichs-ID, zu der das Quellgerät gehört. SrcDvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet. |
| SrcFQDN |
Zeichenfolge |
Der Hostname des Quellgeräts ggf. mit Informationen zur Domäne. |
| SrcGeoCity |
Zeichenfolge |
Die Stadt, die der Quell-IP-Adresse zugeordnet ist. |
| SrcGeoCountry |
Zeichenfolge |
Das Land/die Region, das bzw. die der Quell-IP-Adresse zugeordnet ist. |
| SrcGeoLatitude |
real |
Der Breitengrad der geografischen Koordinate, die der Quell-IP-Adresse zugeordnet ist. |
| SrcGeoLongitude |
real |
Der Längengrad der geografischen Koordinate, die der Quell-IP-Adresse zugeordnet ist. |
| SrcGeoRegion |
Zeichenfolge |
Die Region innerhalb eines Landes, die der Quell-IP-Adresse zugeordnet ist. |
| SrcHostname |
Zeichenfolge |
Der Hostname des Quellgeräts ohne Domäneninformationen. |
| SrcIpAddr |
Zeichenfolge |
Die IP-Adresse des Quellgeräts. |
| SrcIsp |
Zeichenfolge |
Der Internetdienstanbieter (Internet Service Provider, ISP), der vom Quellgerät zum Herstellen einer Internetverbindung verwendet wird. |
| SrcOriginalRiskLevel |
Zeichenfolge |
Die Risikostufe, die mit der identifizierten Quelle verknüpft ist, wie vom Berichterstellungsgerät gemeldet. |
| SrcPortNumber |
int |
Der IP-Port, von dem die Verbindung stammt. |
| SrcRiskLevel |
int |
Die Risikostufe, die der identifizierten Quelle zugeordnet ist. |
| _SubscriptionId |
Zeichenfolge |
Ein eindeutiger Bezeichner für das Abonnement, dem der Datensatz zugeordnet ist. |
| TargetAppId |
Zeichenfolge |
Die ID der Anwendung, für die die Autorisierung erforderlich ist und die häufig vom meldenden Gerät zugewiesen wird. |
| TargetAppName |
Zeichenfolge |
Der Name der Anwendung, für die die Autorisierung erforderlich ist. Dabei kann es sich um einen Dienst, eine URL oder eine SaaS-Anwendung handeln. |
| TargetAppType |
Zeichenfolge |
Der Typ der Anwendung, die im Auftrag des Akteurs Autorisierungen durchführt. |
| TargetDescription |
Zeichenfolge |
Ein beschreibender Text, der dem Zielgerät zugeordnet ist. |
| TargetDeviceType |
Zeichenfolge |
Der Typ des Zielgeräts. |
| TargetDomain |
Zeichenfolge |
Die Domäne des Zielgeräts. |
| TargetDomainType |
Zeichenfolge |
Der Typ von TargetDomain. |
| TargetDvcId |
Zeichenfolge |
Die ID des Zielgeräts |
| TargetDvcIdType |
Zeichenfolge |
Der Typ von TargetDvcId. |
| TargetDvcOs |
Zeichenfolge |
Das Betriebssystem des Zielgeräts. |
| TargetDvcScope |
Zeichenfolge |
Der Bereich der Cloudplattform, zu dem das Zielgerät gehört. TargetDvcScope wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet. |
| TargetDvcScopeId |
Zeichenfolge |
Die Cloudplattform-Bereichs-ID, zu der das Zielgerät gehört. TargetDvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet. |
| TargetFQDN |
Zeichenfolge |
Der Hostname des Zielgeräts ggf. mit Informationen zur Domäne. |
| TargetGeoCity |
Zeichenfolge |
Die Stadt, die der Ziel-IP-Adresse zugeordnet ist. |
| TargetGeoCountry |
Zeichenfolge |
Das Land/die Region, das bzw. die der Ziel-IP-Adresse zugeordnet ist. |
| TargetGeoLatitude |
real |
Der Breitengrad der geografischen Koordinate, die der Ziel-IP-Adresse zugeordnet ist. |
| TargetGeoLongitude |
real |
Der Längengrad der geografischen Koordinate, die der Ziel-IP-Adresse zugeordnet ist. |
| TargetGeoRegion |
Zeichenfolge |
Die Region innerhalb eines Landes, die der Ziel-IP-Adresse zugeordnet ist. |
| TargetHostname |
Zeichenfolge |
Der Hostname des Zielgeräts ohne Domäneninformationen. |
| TargetIpAddr |
Zeichenfolge |
Die IP-Adresse des Zielgeräts. |
| TargetOriginalAppType |
Zeichenfolge |
Der Vom Berichterstellungsgerät gemeldete Zielanwendungstyp. |
| TargetOriginalRiskLevel |
Zeichenfolge |
Die dem Ziel zugeordnete Risikostufe, wie vom Gerät gemeldet. |
| TargetOriginalUserType |
Zeichenfolge |
Der Benutzertyp, wie vom Gerät gemeldet. |
| TargetPortNumber |
int |
Der Port des Zielgeräts. |
| TargetRiskLevel |
int |
Die dem Ziel zugeordnete Risikostufe. |
| TargetSessionId |
Zeichenfolge |
Die eindeutige ID der Anmeldesitzung des Ziel-Akteurs. |
| TargetUrl |
Zeichenfolge |
Eine URL, die der Zielanwendung zugeordnet ist. |
| TargetUserId |
Zeichenfolge |
Eine maschinenlesbare, alphanumerische, einzigartige Darstellung des Akteurs. |
| TargetUserIdType |
Zeichenfolge |
Der Typ der ID, die im Feld TargetUserId gespeichert ist. |
| TargetUsername |
Zeichenfolge |
Der Benutzername des Zieldarstellers, einschließlich Domäneninformationen, wenn verfügbar. |
| TargetUsernameType |
Zeichenfolge |
Der Typ des Benutzernamens des Zieldarstellers, der im Feld "TargetUsername" angegeben ist. |
| TargetUserScope |
Zeichenfolge |
Der Bereich, z. B. der Azure AD-Mandant, in dem TargetUserId und TargetUsername definiert sind. |
| TargetUserScopeId |
Zeichenfolge |
Die Bereichs-ID, z. B. die Azure AD-Mandanten-ID, in der TargetUserId und TargetUsername definiert sind. |
| TargetUserType |
Zeichenfolge |
Der Typ des Ziel-Akteurs. |
| TenantId |
Zeichenfolge |
Die ID des Log Analytics-Arbeitsbereichs. |
| ThreatCategory |
Zeichenfolge |
Die Kategorie der Bedrohung oder Schadsoftware, die in der Überwachungsaktivität identifiziert wurde. |
| ThreatConfidence |
int |
Die Konfidenzstufe der identifizierten Bedrohung, normalisiert auf einen Wert zwischen 0 und 100 |
| ThreatField |
Zeichenfolge |
Das Feld, für das eine Bedrohung identifiziert wurde. |
| ThreatFirstReportedTime |
datetime |
Das erste Mal, dass die IP-Adresse oder Domäne als Bedrohung identifiziert wurde |
| ThreatId |
Zeichenfolge |
Die ID der in der Überwachungsaktivität identifizierten Bedrohung oder Schadsoftware |
| ThreatIpAddr |
Zeichenfolge |
Eine IP-Adresse, für die eine Bedrohung identifiziert wurde. |
| ThreatIsActive |
bool |
TRUE, wenn die identifizierte Bedrohung als aktive Bedrohung betrachtet wird. |
| ThreatLastReportedTime |
datetime |
Das letzte Mal, dass die IP-Adresse oder Domäne als Bedrohung identifiziert wurde |
| ThreatName |
Zeichenfolge |
Der Name der in der Überwachungsaktivität identifizierten Bedrohung oder Schadsoftware |
| ThreatOriginalConfidence |
Zeichenfolge |
Die ursprüngliche Konfidenzstufe der identifizierten Bedrohung, wie vom meldenden Gerät gemeldet. |
| ThreatOriginalRiskLevel |
Zeichenfolge |
Die Risikostufe, wie vom meldenden Gerät gemeldet. |
| ThreatRiskLevel |
int |
Die Risikostufe, die der identifizierten Bedrohung zugeordnet ist. Hierbei muss es sich um eine Zahl zwischen 0 und 100 handeln. |
| TimeGenerated |
datetime |
Der Zeitstempel (UTC), der die Uhrzeit widerspiegelt, in der das Ereignis generiert wurde. |
| type |
Zeichenfolge |
Der Name der Tabelle. |