Compartir a través de

ASimProcessEventLogs

  • Artículo

La tabla normalizada de eventos de proceso de Microsoft Sentinel almacena eventos mediante el esquema normalizado process Event ASIM asociado a la creación o finalización de un proceso. Los sistemas operativos y los sistemas de seguridad, como EDR (detección y respuesta de punto de conexión), notifican tales eventos.

Atributos de tabla

Attribute Valor
Tipos de recursos microsoft.securityinsights/processeventnormalized
Categorías Seguridad
Soluciones Información de seguridad
Registro básico No
Transformación en tiempo de ingesta Sí
Consultas de ejemplo -

Columnas

Columna Type Descripción
ActingProcessCommandLine string Línea de comandos utilizada para ejecutar el proceso de acción.
ActingProcessCreationTime datetime La fecha y hora en que se inició el proceso de acción.
ActingProcessFileCompany string La empresa que creó el archivo de imagen del proceso de acción.
ActingProcessFileDescription string Descripción insertada en la información de la versión del archivo de imagen del proceso de acción.
ActingProcessFileInternalName string Nombre de archivo interno del producto de la información de la versión del archivo de imagen del proceso de acción.
ActingProcessFilename string Nombre del archivo de producto de la información de versión del archivo de imagen de proceso de acción.
ActingProcessFileOriginalName string Nombre de archivo original del producto de la información de la versión del archivo de imagen del proceso de acción.
ActingProcessFileProduct string Nombre del producto de la información de la versión del archivo de imagen del proceso de acción.
ActingProcessFileSize long Tamaño del archivo en bytes que ejecutó el proceso de acción.
ActingProcessFileVersion string Versión del producto de la información de la versión del archivo de imagen del proceso de acción.
ActingProcessGuid string GUID del proceso de acción.
ActingProcessId string Identificador de proceso del proceso de acción.
ActingProcessIMPHASH string Hash de importación de todos los archivos DLL de biblioteca utilizados por el proceso de acción.
ActingProcessInjectedAddress string Dirección de memoria en la que se almacena el proceso de acción responsable.
ActingProcessIntegrityLevel string Nivel de integridad para el proceso de acción.
ActingProcessIsHidden bool Indicación de si el proceso de acción está en modo oculto.
ActingProcessMD5 string Hash MD5 del archivo de imagen del proceso de acción.
ActingProcessName string Nombre del proceso de acción.
ActingProcessSHA1 string Hash SHA-1 del archivo de imagen del proceso de acción.
ActingProcessSHA256 string Hash SHA-256 del archivo de imagen del proceso de acción.
ActingProcessSHA512 string Hash SHA-512 del archivo de imagen del proceso de acción.
ActingProcessTokenElevation string Token que indica la presencia o ausencia de elevación de privilegios de Control de acceso de usuario (UAC) aplicada al proceso de acción.
ActorOriginalUserType string Tipo de usuario indicado por el dispositivo de informes.
ActorScope string Ámbito, como el inquilino de Azure AD, en el que se definen ActorUserId y ActorUsername.
ActorScopeId string El identificador de ámbito, como el identificador de inquilino de Azure AD, en el que se definen ActorUserId y ActorUsername.
ActorSessionId string Identificador único de la sesión de inicio de sesión del actor.
ActorUserId string Representación única, alfanumérica y legible por máquina del actor.
ActorUserIdType string Tipo del identificador almacenado en el campo ActorUserId.
ActorUsername string Nombre de usuario del actor, incluida la información de dominio cuando esté disponible.
ActorUsernameType string Tipo del nombre de usuario del actor especificado en el campo ActionUsername
ActorUserType string Tipo del actor.
AdditionalFields dinámico Información adicional, representada mediante pares clave y valor proporcionados por el origen que no se asignan a ASim.
_BilledSize real Tamaño del registro en bytes
DvcAction string En el caso de los sistemas de seguridad de informes, la acción realizada por el sistema.
DvcDescription string Texto descriptivo asociado al dispositivo.
DvcDomain string Dominio del dispositivo que informa del evento.
DvcDomainType string Tipo de DvcDomain. Los valores posibles incluyen "Windows" y "FQDN".
DvcFQDN string Nombre de host del dispositivo en el que se produjo el evento o que informó del evento.
DvcHostname string Nombre de host del dispositivo que informa del evento.
DvcId string Identificador único del dispositivo en el que se produjo el evento o que informó del evento.
DvcIdType string Tipo de DvcId.
DvcInterface string Interfaz de red en la que se capturaron los datos.
DvcIpAddr string Dirección IP del dispositivo que informa del evento.
DvcMacAddr string La dirección MAC del dispositivo en el que se produjo el evento o que informó del evento.
DvcOriginalAction string El valor original de DvcAction, como se proporciona en el dispositivo de informes.
DvcOs string El sistema operativo que se utiliza en el dispositivo en el que se produjo el evento o que informó del evento.
DvcOsVersion string La versión del sistema operativo del dispositivo en el que se produjo el evento o que informó del evento.
DvcScope string Identificador de la suscripción de la plataforma en la nube a la que pertenece el dispositivo. DvcScope se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS.
DvcScopeId string Identificador del ámbito de la plataforma en la nube a la que pertenece el dispositivo. DvcScopeId se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS.
DvcZone string Red en la que se produjo el evento o que informó del evento.
EventCount int Número de eventos descritos por el registro.
EventEndTime datetime Hora a la que finalizó el evento. Si el origen admite agregación y el registro representa varios eventos, la hora a la que se generó el último evento. Si no lo proporciona el registro de origen, este campo es un alias del campo TimeGenerated.
EventMessage string Mensaje o descripción general.
EventOriginalResultDetails string Detalles del resultado original proporcionados por el origen.
EventOriginalSeverity string La gravedad del original, como se especifica en el dispositivo de informes.
EventOriginalSubType string El subtipo o identificador del evento original, si lo proporciona el origen.
EventOriginalType string Tipo o Id. del evento original, si lo proporciona el origen.
EventOriginalUid string Id. único del registro original, si lo proporciona el origen.
EventOwner string Es el propietario del evento, que suele ser el departamento o subsidiario en el que se generó.
EventProduct string Producto que genera el evento.
EventProductVersion string Versión del producto que genera el evento.
EventReportUrl string Dirección URL proporcionada en el evento para un recurso que ofrece más información sobre el evento.
EventResult string Resultado del evento, representado por uno de los siguientes valores: Success, Partial, Failure, NA (Not Applicable). Los orígenes no pueden proporcionar directamente el valor, en cuyo caso se deriva de otros campos de evento, por ejemplo, el campo EventResultDetails.
EventResultDetails string Motivo o detalles del resultado notificado en el campo EventResult.
EventSchemaVersion string Versión del esquema.
EventSeverity string La gravedad del evento. Los valores válidos son: Informativo, Bajo, Medio o Alto.
EventStartTime datetime Hora a la que se inició el evento. Si el origen admite agregación y el registro representa varios eventos, la hora a la que se generó el primer evento. Si no lo proporciona el registro de origen, este campo es un alias del campo TimeGenerated.
EventSubType string Describe una subdivisión de la operación notificada en el campo EventType.
EventType string Describe la operación notificada por el registro.
EventVendor string Proveedor del producto que genera el evento.
_IsBillable string Especifica si la ingesta de los datos es facturable. Cuando _IsBillable sea una ingesta false no se facturará a su cuenta de Azure
ParentProcessCreationTime datetime La fecha y hora en que se inició el proceso principal.
ParentProcessFileCompany string Empresa que creó el archivo de imagen de proceso primario.
ParentProcessFileDescription string Descripción de la información de versión del archivo de imagen del proceso primario.
ParentProcessFileProduct string Nombre del producto de la información de versión del archivo de imagen del proceso primario.
ParentProcessFileVersion string Versión del producto a partir de la información de versión del archivo de imagen del proceso primario.
ParentProcessGuid string GUID del proceso primario.
ParentProcessId string Identificador de proceso del proceso primario.
ParentProcessIMPHASH string Hash de importación de todos los archivos DLL de biblioteca utilizados por el proceso principal.
ParentProcessInjectedAddress string Dirección de memoria en la que se almacena el proceso principal responsable.
ParentProcessIntegrityLevel string Nivel de integridad para el proceso primario.
ParentProcessIsHidden bool Indicación de si el proceso principal está en modo oculto.
ParentProcessMD5 string Hash MD5 del archivo de imagen del proceso principal.
ParentProcessName string Nombre del proceso principal.
ParentProcessSHA1 string Hash SHA-1 del archivo de imagen del proceso principal.
ParentProcessSHA256 string Hash SHA-256 del archivo de imagen del proceso principal.
ParentProcessSHA512 string Hash SHA-512 del archivo de imagen del proceso principal.
ParentProcessTokenElevation string Token que indica la presencia o ausencia de elevación de privilegios de Control de acceso de usuario (UAC) aplicada al proceso principal.
_ResourceId string Identificador único del recurso al que está asociado el registro.
RuleName string Nombre o identificador de la regla asociado a los resultados de la inspección.
RuleNumber int Número de la regla asociado a los resultados de la inspección.
SourceSystem string Tipo de agente mediante el que se recopiló el evento. Por ejemplo, OpsManager para el agente de Windows, ya sea conexión directa u Operations Manager, Linux para todos los agentes de Linux o Azure para Azure Diagnostics
_SubscriptionId string Identificador único de la suscripción a la que está asociado el registro.
TargetOriginalUserType string Tipo de usuario indicado por el dispositivo de informes.
TargetProcessCommandLine string Línea de comandos utilizada para ejecutar el proceso de destino.
TargetProcessCreationTime datetime Fecha y hora en que se inició el proceso de destino.
TargetProcessCurrentDirectory string Directorio actual en el que se ejecuta el proceso de destino.
TargetProcessFileCompany string La empresa que creó el archivo de imagen de proceso de destino.
TargetProcessFileDescription string Descripción de la información de versión del archivo de imagen del proceso de destino.
TargetProcessFileInternalName string Nombre de archivo interno del producto a partir de la información de versión del archivo de imagen del proceso de destino.
TargetProcessFilename string Nombre del archivo de producto de la información de versión del archivo de imagen del proceso de destino.
TargetProcessFileOriginalName string Nombre de archivo original del producto a partir de la información de versión del archivo de imagen del proceso de destino.
TargetProcessFileProduct string Nombre del producto de la información de versión del archivo de imagen del proceso de destino.
TargetProcessFileSize long Tamaño del archivo en bytes que ejecutó el proceso responsable del evento.
TargetProcessFileVersion string Versión del producto de la información de la versión del archivo de imagen del proceso de destino.
TargetProcessGuid string GUID del proceso de destino.
TargetProcessId string Identificador de proceso del proceso de destino.
TargetProcessIMPHASH string Hash de importación de todos los archivos DLL de biblioteca utilizados por el proceso de destino.
TargetProcessInjectedAddress string Dirección de memoria en la que se almacena el proceso de destino responsable.
TargetProcessIntegrityLevel string Nivel de integridad para el proceso de destino.
TargetProcessIsHidden bool Indicación de si el proceso de destino está en modo oculto.
TargetProcessMD5 string Hash MD5 del archivo de imagen del proceso de destino.
TargetProcessName string Nombre del proceso de destino.
TargetProcessSHA1 string Hash SHA-1 del archivo de imagen del proceso de destino.
TargetProcessSHA256 string Hash SHA-256 del archivo de imagen del proceso de destino.
TargetProcessSHA512 string Hash SHA-512 del archivo de imagen del proceso de destino.
TargetProcessStatusCode string El código de salida devuelto por el proceso de destino cuando finaliza.
TargetProcessTokenElevation string Token que indica la presencia o ausencia de elevación de privilegios de Control de acceso de usuario (UAC) aplicada al proceso de destino.
TargetScope string Ámbito, como el inquilino de Azure AD, en el que se definen TargetUserId y TargetUsername.
TargetScopeId string El identificador de ámbito, como el identificador de inquilino de Azure AD, en el que se definen TargetUserId y TargetUsername.
TargetUserId string Representación única, alfanumérica y legible por máquina del actor.
TargetUserIdType string Tipo de identificador almacenado en el campo TargetUserId.
TargetUsername string Nombre de usuario del actor de destino, incluida la información de dominio cuando esté disponible.
TargetUsernameType string Tipo del nombre de usuario del actor de destino especificado en el campo TargetUsername
TargetUserSessionGuid string Guid único de la sesión de inicio de sesión del actor de destino.
TargetUserSessionId string Identificador único de la sesión de inicio de sesión del actor de destino.
TargetUserType string Tipo del actor de destino.
TenantId string Id. del área de trabajo de Log Analytics
ThreatCategory string Categoría de la amenaza o malware identificado en la actividad.
ThreatConfidence int Nivel de confianza de la amenaza identificada, normalizada en un valor comprendido entre 0 y 100.
ThreatField string Campo para el que se identificó una amenaza.
ThreatFirstReportedTime datetime La primera vez que la dirección IP o el dominio se identificaron como una amenaza.
ThreatId string Identificador de la amenaza o malware identificado en la actividad.
ThreatIsActive bool True ID: la amenaza identificada se considera una amenaza activa.
ThreatLastReportedTime datetime La primera vez que la dirección IP o el dominio se identificaron como una amenaza.
ThreatName string Nombre de la amenaza o malware identificado en la actividad.
ThreatOriginalConfidence string El nivel de confianza original de la amenaza identificada, tal como lo notifica el dispositivo que informa.
ThreatOriginalRiskLevel string Nivel de riesgo indicado por el dispositivo de informes.
ThreatRiskLevel int Nivel de riesgo asociado a la amenaza identificada. El nivel debe ser un número entre 0 y 100.
TimeGenerated datetime Marca de tiempo (UTC) que refleja la hora en la que se generó el evento.
Tipo string Nombre de la tabla.