| AccountDomain |
Zeichenfolge |
Domäne des Kontos. |
| AccountName |
Zeichenfolge |
Benutzername des Kontos. |
| AccountSid |
Zeichenfolge |
Sicherheits-ID (SID) des Kontos. |
| ActionType |
Zeichenfolge |
Typ der Aktivität, die das Ereignis ausgelöst hat. |
| AdditionalFields |
dynamisch |
Zusätzliche Informationen zur Entität oder zum Ereignis. |
| AppGuardContainerId |
Zeichenfolge |
Bezeichner für den virtualisierten Container, der von Application Guard verwendet wird, um Browseraktivitäten zu isolieren. |
| _BilledSize |
real |
Die Datensatzgröße in Bytes. |
| DeviceId |
Zeichenfolge |
Eindeutiger Bezeichner für das Gerät im Dienst. |
| DeviceName |
Zeichenfolge |
Vollqualifizierter Domänenname (FQDN) des Geräts. |
| FailureReason |
Zeichenfolge |
Informationen, die erläutern, warum die aufgezeichnete Aktion fehlgeschlagen ist. |
| InitiatingProcessAccountDomain |
Zeichenfolge |
Domäne des Kontos, das den für das Ereignis zuständigen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountName |
Zeichenfolge |
Benutzername des Kontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountObjectId |
Zeichenfolge |
Azure AD-Objekt-ID des Benutzerkontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountSid |
Zeichenfolge |
Sicherheits-ID (SID) des Kontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| Initiieren vonProcessAccountUpn |
Zeichenfolge |
Benutzerprinzipalname (UPN) des Kontos, das den für das Ereignis verantwortlichen Prozess ausgeführt hat. |
| InitiatingProcessCommandLine |
Zeichenfolge |
Befehlszeile zum Ausführen des Prozesses, der das Ereignis initiiert hat. |
| Initiieren vonProcessCreationTime |
datetime |
Datum und Uhrzeit, zu dem der Prozess gestartet wurde, der das Ereignis initiiert hat. |
| InitiatingProcessFileName |
Zeichenfolge |
Name des Prozesses, der das Ereignis initiiert hat. |
| Initiieren vonProcessFileSize |
long |
Größe in Byte des Prozesses (Bilddatei), der das Ereignis initiiert hat. |
| InitiatingProcessFolderPath |
Zeichenfolge |
Ordner mit dem Prozess (Bilddatei), der das Ereignis initiiert hat. |
| InitiatingProcessId |
long |
Prozess-ID (PID) des Prozesses, der das Ereignis initiiert hat. |
| Initiieren vonProcessIntegrityLevel |
Zeichenfolge |
Integritätsebene des Prozesses, der das Ereignis initiiert hat. Windows weist Prozessen Auf der Grundlage bestimmter Merkmale Integritätsstufen zu, z. B. wenn sie über einen Internetdownload gestartet wurden. Diese Integritätsstufen wirken sich auf Berechtigungen für Ressourcen aus. |
| InitiatingProcessMD5 |
Zeichenfolge |
MD5-Hash des Prozesses (Bilddatei), der das Ereignis initiiert hat. |
| Initiieren vonProcessParentCreationTime |
datetime |
Datum und Uhrzeit, zu dem das übergeordnete Element des Prozesses, der für das Ereignis verantwortlich ist, gestartet wurde. |
| InitiatingProcessParentFileName |
Zeichenfolge |
Name des übergeordneten Prozesses, der den für das Ereignis verantwortlichen Prozess durchsucht hat. |
| Initiieren vonProcessParentId |
long |
Prozess-ID (PID) des übergeordneten Prozesses, der den für das Ereignis verantwortlichen Prozess durchsucht hat. |
| InitiatingProcessRemoteSessionDeviceName |
Zeichenfolge |
Gerätename des Remotegeräts, von dem die RDP-Sitzung des Initiierenden Prozesses initiiert wurde. |
| Initiieren vonProcessRemoteSessionIP |
Zeichenfolge |
IP-Adresse des Remotegeräts, von dem die RDP-Sitzung des Initiierenden Prozesses initiiert wurde. |
| Initiieren vonProcessSessionId |
long |
Windows-Sitzungs-ID des initiierenden Prozesses. |
| Initiieren vonProcessSHA1 |
Zeichenfolge |
SHA-1-Hash des Prozesses (Bilddatei), der das Ereignis initiiert hat. |
| InitiatingProcessSHA256 |
Zeichenfolge |
SHA-256-Hash des Prozesses (Bilddatei), der das Ereignis initiiert hat. Dieses Feld wird in der Regel nicht aufgefüllt – verwenden Sie die SHA1-Spalte, wenn verfügbar. |
| Initiieren vonProcessTokenElevation |
Zeichenfolge |
Tokentyp, der angibt, dass die Rechteerweiterung der Benutzerzugriffssteuerung (User Access Control, UAC) auf den Prozess angewendet wird, der das Ereignis initiiert hat. |
| InitiatingProcessVersionInfoCompanyName |
Zeichenfolge |
Firmenname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoFileDescription |
Zeichenfolge |
Beschreibung aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoInternalFileName |
Zeichenfolge |
Interner Dateiname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoOriginalFileName |
Zeichenfolge |
Der ursprüngliche Dateiname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoProductName |
Zeichenfolge |
Produktname aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| InitiatingProcessVersionInfoProductVersion |
Zeichenfolge |
Produktversion aus den Versionsinformationen des Prozesses (Bilddatei), der für das Ereignis verantwortlich ist. |
| _IsBillable |
Zeichenfolge |
Gibt an, ob die Erfassung der Daten gebührenpflichtig ist. Wenn _IsBillable auf false festgelegt ist, wird die Datenerfassung Ihrem Azure-Konto nicht in Rechnung gestellt. |
| IsInitiatingProcessRemoteSession |
bool |
Gibt an, ob der Initiierenvorgang unter einer RDP-Sitzung (Remotedesktopprotokoll) oder lokal (false) ausgeführt wurde. |
| IsLocalAdmin |
bool |
Boolescher Indikator, ob der Benutzer ein lokaler Administrator auf dem Computer ist. |
| LogonId |
long |
Bezeichner für eine Anmeldesitzung. Dieser Bezeichner ist nur auf demselben Computer zwischen Neustarts eindeutig. |
| LogonType |
Zeichenfolge |
Typ der Anmeldesitzung, insbesondere interaktiv, remote interactive (RDP), Netzwerk, Batch und Dienst. |
| MachineGroup |
Zeichenfolge |
Computergruppe des Computers. Diese Gruppe wird von der rollenbasierten Zugriffssteuerung verwendet, um den Zugriff auf den Computer zu bestimmen. |
| Protokoll |
Zeichenfolge |
Protokoll, das während der Kommunikation verwendet wird. |
| RemoteDeviceName |
Zeichenfolge |
Name des Geräts, das einen Remotevorgang auf dem betroffenen Computer ausgeführt hat. Je nach gemeldetem Ereignis kann dieser Name ein vollqualifizierter Domänenname (Fully Qualified Domain Name, FQDN), ein NetBIOS-Name oder ein Hostname ohne Domäneninformationen sein. |
| RemoteIP |
Zeichenfolge |
IP-Adresse, mit der eine Verbindung hergestellt wurde. |
| RemoteIPType |
Zeichenfolge |
Typ der IP-Adresse, z. B. "Öffentlich", "Privat", "Reserviert", "Loopback", "Teredo", "FourToSixMapping" und "Broadcast". |
| RemotePort |
int |
TCP-Port auf dem Remotegerät, mit dem eine Verbindung hergestellt wurde. |
| ReportId |
long |
Ereignisbezeichner basierend auf einem wiederholten Leistungsindikator. Um eindeutige Ereignisse zu identifizieren, muss diese Spalte in Verbindung mit den Spalten ComputerName und EventTime verwendet werden. |
| SourceSystem |
Zeichenfolge |
Typ des Agents, von dem das Ereignis gesammelt wurde. Beispiel: OpsManager für den Windows-Agent (direkte Verbindung oder Operations Manager), Linux für alle Linux-Agents oder Azure für die Azure-Diagnose |
| TenantId |
Zeichenfolge |
Die ID des Log Analytics-Arbeitsbereichs. |
| TimeGenerated |
datetime |
Datum und Uhrzeit der Aufzeichnung des Ereignisses durch den MDE-Agent auf dem Endpunkt. |
| type |
Zeichenfolge |
Der Name der Tabelle. |