| ActionType |
Zeichenfolge |
Typ der Aktivität, die das Ereignis ausgelöst hat. |
| AppGuardContainerId |
Zeichenfolge |
Bezeichner für den virtualisierten Container, der von Application Guard verwendet wird, um Browseraktivitäten zu isolieren. |
| _BilledSize |
real |
Die Datensatzgröße in Bytes. |
| DeviceId |
Zeichenfolge |
Eindeutiger Bezeichner für das Gerät im Dienst. |
| DeviceName |
Zeichenfolge |
Vollqualifizierter Domänenname (FQDN) des Geräts. |
| FileName |
Zeichenfolge |
Domäne des Kontos. |
| FileSize |
long |
Die Länge der Datei in Bytes. |
| FolderPath |
Zeichenfolge |
Domäne des Kontos. |
| InitiatingProcessAccountDomain |
Zeichenfolge |
Domäne des Kontos, das den für das Ereignis zuständigen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountName |
Zeichenfolge |
Benutzername des Kontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountObjectId |
Zeichenfolge |
Azure AD-Objekt-ID des Benutzerkontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountSid |
Zeichenfolge |
Sicherheits-ID (SID) des Kontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountUpn |
Zeichenfolge |
Benutzerprinzipalname (UPN) des Kontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| InitiatingProcessCommandLine |
Zeichenfolge |
Befehlszeile zum Ausführen des Prozesses, der das Ereignis initiiert hat. |
| Initiieren vonProcessCreationTime |
datetime |
Datum und Uhrzeit, zu dem der Prozess gestartet wurde, der das Ereignis initiiert hat. |
| InitiatingProcessFileName |
Zeichenfolge |
Name des Prozesses, der das Ereignis initiiert hat. |
| Initiieren vonProcessFileSize |
long |
Größe in Byte des Prozesses (Bilddatei), der das Ereignis initiiert hat. |
| InitiatingProcessFolderPath |
Zeichenfolge |
Ordner mit dem Prozess (Bilddatei), der das Ereignis initiiert hat. |
| InitiatingProcessId |
long |
Prozess-ID (PID) des Prozesses, der das Ereignis initiiert hat. |
| Initiieren vonProcessIntegrityLevel |
Zeichenfolge |
Integritätsebene des Prozesses, der das Ereignis initiiert hat. Windows weist Prozessen Auf der Grundlage bestimmter Merkmale Integritätsstufen zu, z. B. wenn sie über einen Internetdownload gestartet wurden. Diese Integritätsstufen wirken sich auf Berechtigungen für Ressourcen aus. |
| InitiatingProcessMD5 |
Zeichenfolge |
MD5-Hash des Prozesses (Bilddatei), der das Ereignis initiiert hat. |
| Initiieren vonProcessParentCreationTime |
datetime |
Datum und Uhrzeit, zu dem das übergeordnete Element des Prozesses, der für das Ereignis verantwortlich ist, gestartet wurde. |
| InitiatingProcessParentFileName |
Zeichenfolge |
Name des übergeordneten Prozesses, der den für das Ereignis verantwortlichen Prozess durchsucht hat. |
| Initiieren vonProcessParentId |
long |
Prozess-ID (PID) des übergeordneten Prozesses, der den für das Ereignis verantwortlichen Prozess durchsucht hat. |
| InitiatingProcessRemoteSessionDeviceName |
Zeichenfolge |
Gerätename des Remotegeräts, von dem die RDP-Sitzung des Initiierenden Prozesses initiiert wurde. |
| Initiieren vonProcessRemoteSessionIP |
Zeichenfolge |
IP-Adresse des Remotegeräts, von dem die RDP-Sitzung des Initiierenden Prozesses initiiert wurde. |
| Initiieren vonProcessSessionId |
long |
Windows-Sitzungs-ID des initiierenden Prozesses. |
| Initiieren vonProcessSHA1 |
Zeichenfolge |
SHA-1-Hash des Prozesses (Bilddatei), der das Ereignis initiiert hat. |
| InitiatingProcessSHA256 |
Zeichenfolge |
SHA-256-Hash des Prozesses (Bilddatei), der das Ereignis initiiert hat. Dieses Feld wird in der Regel nicht aufgefüllt – verwenden Sie die SHA1-Spalte, wenn verfügbar. |
| Initiieren vonProcessTokenElevation |
Zeichenfolge |
Tokentyp, der angibt, dass die Rechteerweiterung der Benutzerzugriffssteuerung (User Access Control, UAC) auf den Prozess angewendet wird, der das Ereignis initiiert hat. |
| InitiatingProcessVersionInfoCompanyName |
Zeichenfolge |
Firmenname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoFileDescription |
Zeichenfolge |
Beschreibung aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoInternalFileName |
Zeichenfolge |
Interner Dateiname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoOriginalFileName |
Zeichenfolge |
Der ursprüngliche Dateiname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoProductName |
Zeichenfolge |
Produktname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoProductVersion |
Zeichenfolge |
Produktversion aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| _IsBillable |
Zeichenfolge |
Gibt an, ob die Erfassung der Daten gebührenpflichtig ist. Wenn _IsBillable auf false festgelegt ist, wird die Datenerfassung Ihrem Azure-Konto nicht in Rechnung gestellt. |
| IsInitiatingProcessRemoteSession |
bool |
Gibt an, ob der Initiierenvorgang unter einer RDP-Sitzung (Remotedesktopprotokoll) oder lokal (false) ausgeführt wurde. |
| MachineGroup |
Zeichenfolge |
Computergruppe des Computers. Diese Gruppe wird von der rollenbasierten Zugriffssteuerung verwendet, um den Zugriff auf den Computer zu bestimmen. |
| MD5 |
Zeichenfolge |
MD5-Hash der Datei, auf die die aufgezeichnete Aktion angewendet wurde. |
| ReportId |
long |
Ereignisbezeichner basierend auf einem wiederholten Leistungsindikator. Um eindeutige Ereignisse zu identifizieren, muss diese Spalte in Verbindung mit den Spalten ComputerName und EventTime verwendet werden. |
| SHA1 |
Zeichenfolge |
SHA-1-Hash der Datei, auf die die aufgezeichnete Aktion angewendet wurde. |
| SHA256 |
Zeichenfolge |
SHA-256 der Datei, auf die die aufgezeichnete Aktion angewendet wurde. |
| SourceSystem |
Zeichenfolge |
Typ des Agents, von dem das Ereignis gesammelt wurde. Beispiel: OpsManager für den Windows-Agent (direkte Verbindung oder Operations Manager), Linux für alle Linux-Agents oder Azure für die Azure-Diagnose |
| TenantId |
Zeichenfolge |
Die ID des Log Analytics-Arbeitsbereichs. |
| TimeGenerated |
datetime |
Datum und Uhrzeit der Aufzeichnung des Ereignisses durch den MDE-Agent auf dem Endpunkt. |
| type |
Zeichenfolge |
Der Name der Tabelle. |