| AdditionalFields |
dinámico |
Información adicional, representada mediante pares clave-valor proporcionados por el origen que no se asignan a ASim. |
| _BilledSize |
real |
Tamaño del registro en bytes |
| DstAppId |
string |
Identificador de la aplicación de destino, como se indica en el dispositivo de informes. |
| DstAppName |
string |
Nombre de la aplicación de destino. |
| DstAppType |
string |
Tipo de la aplicación de destino. |
| DstBytes |
long |
Número de bytes enviados desde el destino hasta el origen en la conexión o la sesión. Si el evento se agrega, DstBytes es la suma de todas las sesiones agregadas. |
| DstDescription |
string |
Texto descriptivo asociado al destino. |
| DstDeviceType |
string |
Tipo del dispositivo de destino. |
| DstDomain |
string |
Dominio del dispositivo de destino. |
| DstDomainType |
string |
Tipo de DstDomain. |
| DstDvcId |
string |
Identificador del dispositivo de destino. |
| DstDvcIdType |
string |
Tipo de DstDvcId. |
| DstFQDN |
string |
Nombre de host del dispositivo de destino, incluida la información de dominio cuando esté disponible. |
| DstGeoCity |
string |
Ciudad asociada con la dirección IP de destino. |
| DstGeoCountry |
string |
País asociado con la dirección IP de destino. |
| DstGeoLatitude |
real |
Latitud de la coordenada geográfica asociada con la dirección IP de destino. |
| DstGeoLongitude |
real |
Longitud de la coordenada geográfica asociada con la dirección IP de destino. |
| DstGeoRegion |
string |
Región, o provincia, de un país asociado con la dirección IP de destino. |
| DstHostname |
string |
Nombre de host del dispositivo de destino, excepto la información de dominio. |
| DstInterfaceGuid |
string |
GUID de la interfaz de red que se usa en el dispositivo de destino. |
| DstInterfaceName |
string |
Interfaz de red que usa el dispositivo de destino en la conexión o la sesión. |
| DstIpAddr |
string |
Dirección IP de destino de la conexión o de la sesión. |
| DstMacAddr |
string |
Dirección MAC de la interfaz de red que usa el dispositivo de destino para la conexión o la sesión. |
| DstNatIpAddr |
string |
DstNatIpAddr representa cualquiera de: la dirección original del dispositivo de destino si se usó la traducción de direcciones de red o la dirección IP usada por el dispositivo intermediario para la comunicación con el origen. |
| DstNatPortNumber |
int |
Si un dispositivo NAT intermediario lo notifica, es el puerto que usa el dispositivo NAT para la comunicación con el origen. |
| DstOriginalUserType |
string |
El tipo de usuario de destino original, si lo proporciona el origen. |
| DstPackets |
long |
Número de paquetes enviados del destino al origen en la conexión o la sesión. El dispositivo de informes define el significado de un paquete. Si el evento se agrega, DstPackets es la suma de todas las sesiones agregadas. |
| DstPortNumber |
int |
Puerto de la dirección IP. |
| DstSubscriptionId |
string |
Identificador de la suscripción de la plataforma en la nube a la que pertenece el dispositivo de destino. DstSubscriptionId se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS. |
| DstUserId |
string |
Representación única, alfanumérica y legible por una máquina del usuario de destino. |
| DstUserIdType |
string |
Tipo del identificador almacenado en el campo DstUserId. |
| DstUsername |
string |
Nombre de usuario de destino, incluida la información de dominio cuando esté disponible. Use este formato simple solo si no hay disponible información de dominio. |
| DstUsernameType |
string |
Especifica el tipo del nombre de usuario almacenado en el campo DstUsername. |
| DstUserType |
string |
Tipo del usuario de destino. |
| DstVlanId |
string |
Identificador de VLAN relacionado con el dispositivo de destino. |
| DstZone |
string |
Zona de red del destino definida en el dispositivo de informes. |
| Dvc |
string |
Identificador único del dispositivo en el que se produjo el evento o que informó del evento. |
| DvcAction |
string |
La acción realizada en la sesión de red. |
| DvcDescription |
string |
Texto descriptivo asociado al dispositivo. Por ejemplo: Controlador de dominio principal. |
| DvcDomain |
string |
Dominio del dispositivo que informa del evento. |
| DvcDomainType |
string |
Tipo de DvcDomain. Entre los valores posibles se incluyen "Windows" y "FQDN". |
| DvcFQDN |
string |
Nombre de host del dispositivo en el que se produjo el evento o que informó del evento. |
| DvcHostname |
string |
Nombre de host del dispositivo que informa del evento. |
| DvcId |
string |
Identificador único del dispositivo en el que se produjo el evento o que informó del evento. |
| DvcIdType |
string |
Tipo de DvcId. |
| DvcInboundInterface |
string |
Si un dispositivo intermediario la notifica, es la interfaz de red que usa el dispositivo NAT para la conexión con el dispositivo de origen. |
| DvcInterface |
string |
Interfaz de red en la que se capturaron los datos. Este campo suele ser pertinente para la actividad relacionada con la red, que captura un dispositivo intermedio o de derivación. |
| DvcIpAddr |
string |
Dirección IP del dispositivo que informa del evento. |
| DvcMacAddr |
string |
La dirección MAC del dispositivo en el que se produjo el evento o que informó del evento. Ejemplo: 00:1B:44:11:3A:B7 |
| DvcOriginalAction |
string |
El valor original de DvcAction, como se proporciona en el dispositivo de informes. |
| DvcOs |
string |
Sistema operativo que se ejecuta en el dispositivo que informa del evento. |
| DvcOsVersion |
string |
La versión del sistema operativo en el dispositivo que informa del evento. |
| DvcOutboundInterface |
string |
Si un dispositivo intermediario la notifica, es la interfaz de red que usa el dispositivo NAT para la conexión con el dispositivo de destino. |
| DvcSubscriptionId |
string |
Identificador de la suscripción de la plataforma en la nube a la que pertenece el dispositivo. DvcSubscriptionId se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS. |
| DvcZone |
string |
Red en la que se produjo el evento o que informó del evento. El dispositivo de informes define la zona. |
| EventCount |
int |
Este valor se usa cuando el origen admite agregación y un único registro puede representar varios eventos. |
| EventEndTime |
datetime |
Hora a la que finalizó el evento. Si el origen admite agregación y el registro representa varios eventos, la hora a la que se generó el último evento. Si no lo proporciona el registro de origen, este campo es un alias del campo TimeGenerated. |
| EventMessage |
string |
Mensaje o descripción general. |
| EventOriginalResultDetails |
string |
Detalles del resultado original proporcionados por el origen. Este valor se usa para derivar EventResultDetails, que solo debe tener uno de los valores documentados para cada esquema. |
| EventOriginalSeverity |
string |
La gravedad del original, como se especifica en el dispositivo de informes. Este valor se usa para derivar EventSeverity. |
| EventOriginalSubType |
string |
El subtipo o identificador del evento original, si lo proporciona el origen. Por ejemplo, este campo se usará para almacenar el tipo de inicio de sesión de Windows original. Este valor se usa para derivar EventSubType, que solo debe tener uno de los valores documentados para cada esquema. |
| EventOriginalType |
string |
Tipo o Id. del evento original, si lo proporciona el origen. |
| EventOriginalUid |
string |
Id. único del registro original, si lo proporciona el origen. |
| EventProduct |
string |
Producto que genera el evento. |
| EventProductVersion |
string |
Versión del producto que genera el evento. |
| EventReportUrl |
string |
Dirección URL proporcionada en el evento para un recurso que ofrece más información sobre el evento. |
| EventResult |
string |
Resultado del evento, representado por uno de los siguientes valores: Success, Partial, Failure, NA (Not Applicable). Los orígenes no pueden proporcionar directamente el valor, en cuyo caso se deriva de otros campos de evento, por ejemplo, el campo EventResultDetails. |
| EventResultDetails |
string |
Motivo o detalles del resultado notificado en el campo EventResult. |
| EventSchemaVersion |
string |
Versión del esquema. |
| EventSeverity |
string |
La gravedad del evento. Los valores válidos son: Informativo, Bajo, Medio o Alto. |
| EventStartTime |
datetime |
Hora a la que se inició el evento. Si el origen admite agregación y el registro representa varios eventos, la hora a la que se generó el primer evento. Si no lo proporciona el registro de origen, este campo es un alias del campo TimeGenerated. |
| EventSubType |
string |
Descripción adicional del tipo de evento, si procede. |
| EventType |
string |
Operación notificada por el registro. |
| EventVendor |
string |
Proveedor del producto que genera el evento. |
| _IsBillable |
string |
Especifica si la ingesta de los datos es facturable. Cuando _IsBillable sea una ingesta false no se facturará a su cuenta de Azure |
| NetworkApplicationProtocol |
string |
Protocolo de la capa de aplicación usado por la conexión o la sesión. |
| NetworkBytes |
long |
Número de bytes enviados en ambas direcciones. Si BytesReceived y BytesSent existen, BytesTotal debe ser igual a su suma. Si el evento se agrega, NetworkBytes es la suma de todas las sesiones agregadas. |
| NetworkConnectionHistory |
string |
Marcas TCP y otra información de encabezado IP potencial. |
| NetworkDirection |
string |
Dirección de la conexión o sesión. |
| NetworkDuration |
int |
Cantidad de tiempo, en milisegundos, para la finalización de la sesión o la conexión de red. |
| NetworkIcmpCode |
int |
En mensajes de ICMP, el valor numérico del tipo de mensaje, como se describe en RFC 2780 para las conexiones de red IPv4, o en RFC 4443 para las conexiones de red IPv6. |
| NetworkIcmpType |
string |
En mensajes de ICMP, la representación de texto del tipo de mensaje, como se describe en RFC 2780 para las conexiones de red IPv4, o en RFC 4443 para las conexiones de red IPv6. |
| NetworkPackets |
long |
Número de paquetes enviados en ambas direcciones. Si PacketsReceived y PacketsSent existen, BytesTotal debe ser igual a su suma. El dispositivo de informes define el significado de un paquete. Si se agrega el evento, NetworkPackets es la suma de todas las sesiones agregadas. |
| NetworkProtocol |
string |
El protocolo IP usado por la conexión o sesión como se muestra en la asignación de protocolo IANA, que suele ser TCP, UDP o ICMP. |
| NetworkProtocolVersion |
string |
Versión de NetworkProtocol. |
| NetworkRuleName |
string |
Nombre o identificador de la regla sobre la que se decidió DvcAction. |
| NetworkRuleNumber |
int |
Número de la regla sobre la que se decidió DvcAction. |
| NetworkSessionId |
string |
Identificador de sesión notificado por el dispositivo de informes. |
| _ResourceId |
string |
Identificador único del recurso al que está asociado el registro. |
| SourceSystem |
string |
Tipo de agente mediante el que se recopiló el evento. Por ejemplo, OpsManager para el agente de Windows, ya sea conexión directa u Operations Manager, Linux para todos los agentes de Linux o Azure para Azure Diagnostics |
| SrcAppId |
string |
Id. de la aplicación de origen, según notifica el dispositivo de informes. |
| SrcAppName |
string |
Nombre de la aplicación de origen. |
| SrcAppType |
string |
Tipo de la aplicación de origen. |
| SrcBytes |
long |
Número de bytes enviados desde el origen hasta el destino en la conexión o la sesión. Si el evento se agrega, SrcBytes es la suma de todas las sesiones agregadas. |
| SrcDescription |
string |
Texto descriptivo asociado al origen. |
| SrcDeviceType |
string |
Tipo del dispositivo de origen. |
| SrcDomain |
string |
Dominio del dispositivo de origen. |
| SrcDomainType |
string |
Tipo de SrcDomain. |
| SrcDvcId |
string |
Identificador del dispositivo de origen. |
| SrcDvcIdType |
string |
Tipo de SrcDvcId. |
| SrcFQDN |
string |
Nombre de host del dispositivo de origen, incluida la información de dominio cuando está disponible. |
| SrcGeoCity |
string |
Ciudad asociada con la dirección IP de origen. |
| SrcGeoCountry |
string |
País asociado con la dirección IP de origen. |
| SrcGeoLatitude |
real |
Latitud de la coordenada geográfica asociada con la dirección IP de origen. |
| SrcGeoLongitude |
real |
Longitud de la coordenada geográfica asociada con la dirección IP de origen. |
| SrcGeoRegion |
string |
Región de un país asociado con la dirección IP de origen. |
| SrcHostname |
string |
Nombre de host del dispositivo de origen, excepto la información de dominio. Si no hay ningún nombre de dispositivo disponible, puede almacenar la dirección IP correspondiente. |
| SrcInterfaceGuid |
string |
GUID de la interfaz de red que se usa en el dispositivo de origen. |
| SrcInterfaceName |
string |
Interfaz de red utilizada por el dispositivo de origen en la conexión o la sesión. |
| SrcIpAddr |
string |
Dirección IP desde la que se originó la conexión o la sesión. |
| SrcMacAddr |
string |
Dirección MAC de la interfaz de red desde la que se originó la conexión o la sesión. |
| SrcNatIpAddr |
string |
SrcNatIpAddr representa cualquiera de: la dirección original del dispositivo de origen si se usó la traducción de direcciones de red o la dirección IP usada por el dispositivo intermediario para la comunicación con el destino. |
| SrcNatPortNumber |
int |
Si un dispositivo NAT intermediario lo notifica, es el puerto que usa el dispositivo NAT para la comunicación con el destino. |
| SrcOriginalUserType |
string |
Tipo de usuario de destino original, si lo proporciona el dispositivo de informes. |
| SrcPackets |
long |
Número de paquetes enviados del origen al destino en la conexión o la sesión. El dispositivo de informes define el significado de un paquete. Si se agrega el evento, SrcPackets es la suma de todas las sesiones agregadas. |
| SrcPortNumber |
int |
Puerto IP desde el que se originó la conexión. Es posible que no sea importante en sesiones que contengan varias conexiones. |
| SrcSubscriptionId |
string |
Identificador de la suscripción de la plataforma en la nube a la que pertenece el dispositivo de origen. SrcSubscriptionId se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS. |
| SrcUserId |
string |
Representación única, alfanumérica y legible por una máquina del usuario de origen. |
| SrcUserIdType |
string |
Tipo del identificador almacenado en el campo SrcUserId. |
| SrcUsername |
string |
Nombre de usuario, incluida la información del dominio, cuando esté disponible. |
| SrcUsernameType |
string |
Especifica el tipo de nombre de usuario almacenado en el campo SrcUsername. |
| SrcUserType |
string |
Tipo del usuario de origen. |
| SrcVlanId |
string |
Identificador de VLAN relacionado con el dispositivo de origen. |
| SrcZone |
string |
Zona de red del origen definida en el dispositivo de informes. |
| _SubscriptionId |
string |
Identificador único de la suscripción a la que está asociado el registro. |
| TcpFlagsAck |
bool |
Marca TCP ACK notificada. La marca de confirmación se usa para confirmar la recepción correcta de un paquete. Como podemos ver en el diagrama anterior, el receptor envía un ACK, así como un SYN en el segundo paso del proceso de protocolo de enlace de tres vías para indicar al remitente que recibió su paquete inicial. |
| TcpFlagsFin |
bool |
Marca TCP FIN notificada. La marca finalizada significa que no hay más datos del remitente. Por lo tanto, se usa en el último paquete enviado desde el remitente. |
| TcpFlagsPsh |
bool |
Marca TCP PSH notificada. La marca de inserción es algo similar a la marca URG y indica al receptor que procese estos paquetes a medida que se reciben en lugar de almacenarlos en búfer. |
| TcpFlagsRst |
bool |
Marca TCP RST notificada. La marca de restablecimiento se envía desde el receptor al emisor cuando se envía un paquete a un host determinado que no lo esperaba. |
| TcpFlagsSyn |
bool |
Marca TCP SYN notificada. La marca de sincronización se usa como primer paso para establecer un protocolo de enlace triple entre dos hosts. Solo el primer paquete del remitente y el receptor deben tener esta marca establecida. |
| TcpFlagsUrg |
bool |
Marca TCP URG notificada. La marca urgente se usa para notificar al receptor que procese los paquetes urgentes antes de procesar todos los demás paquetes. Se notificará al receptor cuando se hayan recibido todos los datos urgentes conocidos. Consulte RFC 6093 para obtener más detalles. |
| TenantId |
string |
Id. del área de trabajo de Log Analytics |
| ThreatCategory |
string |
Categoría de la amenaza o del malware identificados en la sesión de red. |
| ThreatConfidence |
int |
Nivel de confianza de la amenaza identificada, normalizada en un valor comprendido entre 0 y 100. |
| ThreatField |
string |
Campo para el que se identificó una amenaza. El valor es SrcIpAddr, DstIpAddr, Domain o DnsResponseName. |
| ThreatFirstReportedTime |
datetime |
La primera vez que la dirección IP o el dominio se identificaron como una amenaza. |
| ThreatId |
string |
Identificador de la amenaza o del malware identificados en la sesión de red. |
| ThreatIpAddr |
string |
Dirección IP para la que se identificó una amenaza. El campo ThreatField contiene el nombre del campo ThreatIpAddr que representa. |
| ThreatIsActive |
bool |
True ID: la amenaza identificada se considera una amenaza activa. |
| ThreatLastReportedTime |
datetime |
La primera vez que la dirección IP o el dominio se identificaron como una amenaza. |
| ThreatName |
string |
Nombre de la amenaza o del malware identificados en la sesión de red. |
| ThreatOriginalConfidence |
string |
El nivel de confianza original de la amenaza identificada, tal como lo notifica el dispositivo que informa. |
| ThreatOriginalRiskLevel |
string |
Nivel de riesgo indicado por el dispositivo de informes. |
| ThreatRiskLevel |
int |
Nivel de riesgo asociado con la sesión. El nivel es un número comprendido entre 0 y 100. |
| TimeGenerated |
datetime |
Marca de tiempo (UTC) que refleja la hora en la que se generó el evento. |
| Tipo |
string |
Nombre de la tabla. |