MDCFileIntegrityMonitoringEvents

Affichez les modifications des fichiers Windows et Linux, ainsi que des clés de Registre de logiciels. Les événements de cette table sont collectés par Microsoft Defender pour point de terminaison (MDE).

Attributs de table

Attribut	Valeur
Types de ressources	-
Catégories	Sécurité
Solutions	LogManagement
Journal de base	Oui
Transformation au moment de l’ingestion	Non
Exemples de requêtes	-

Colonnes

Colonne	Type	Description
AADTenantID	string	ID de locataire AAD de l’abonnement dans lequel l’entité surveillée a été créée, renommée, modifiée ou supprimée.
AzureResourceId	string	ID de ressource Azure de la ressource dont l’entité surveillée a été créée, renommée, modifiée ou supprimée.
_BilledSize	real	Taille de l’enregistrement en octets
ChangeType	string	Type de modification qui s’est produit sur l’entité. Pour l’entité « File » doit être « Created », « Modified », « Renamed » ou « Deleted ». Pour l’entité « Registry » doit être « RegistryKeyCreated », « RegistryKeyDeleted », « RegistryValueSet », « RegistryValueDeleted », « RegistryKeyRenamed ».
CloudIdentifier	string	Identificateur cloud de la ressource.
CloudProvider	string	Fournisseur de cloud de la ressource.
CloudResourceType	string	Type de ressource cloud.
Computer	string	Nom de l’ordinateur sur lequel l’entité surveillée a été créée, renommée, modifiée ou supprimée.
FileMd5	string	Pertinent pour le type d’entité supervisée « File ». Contient le MD5 du fichier qui a été modifié, créé ou supprimé.
FileName	string	Pertinent pour le type d’entité supervisée « File ». Contient le nom du fichier créé, renommé, modifié ou supprimé.
FilePath	string	Pertinent pour le type d’entité supervisée « File ». Contient le chemin d’accès du fichier qui a été créé, renommé, modifié ou supprimé.
FileSha1	string	Pertinent pour le type d’entité supervisée « File ». Contient la sha1 du fichier qui a été modifié, créé ou supprimé.
FileSha256	string	Pertinent pour le type d’entité supervisée « File ». Contient le SHA256 du fichier qui a été modifié, créé ou supprimé.
FileSize	long	Pertinent pour le type d’entité supervisée « File ». Contient la taille actuelle (en octets) du fichier qui a été créé, renommé, modifié ou supprimé.
FileType	string	Pertinent pour le type d’entité supervisée « File ». Contient le type du fichier créé, renommé, modifié ou supprimé. Exemple de valeurs possibles : Zip, PDF, Xar, etc.
Lancement deProcessAccountDomainName	string	Contient le nom de domaine du compte du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessAccountName	string	Contient le nom du compte du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessAccountSid	string	Contient le SID de compte du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessCreationTime	DATETIME	Contient l’heure de création du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessFirstSeen	DATETIME	Contient la première fois que le processus de lancement a provoqué l’événement d’entité supervisée.
Lancement deProcessId	long	Contient l’ID de processus du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessImageFileName	string	Contient le nom du fichier image du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessImageFilePath	string	Contient le chemin d’accès du fichier image du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessImageFileType	string	Contient le type de fichier image du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessName	string	Contient le nom du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessSessionId	long	Contient l’ID de session du processus de lancement qui a provoqué l’événement d’entité supervisée.
Lancement deProcessSource	string	Contient la source du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageCreationTimeUtc	DATETIME	Contient le temps de création de l’image pour l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageFileSizeInBytes	long	Contient la taille du fichier image (en octets) du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageLastAccessTimeUtc	DATETIME	Contient l’heure d’accès de la dernière fois pour l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageLastWriteTimeUtc	DATETIME	Contient l’heure de la dernière écriture de l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageLsHash	string	Contient le hachage LS de l’image de l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageMd5	string	Contient l’image MD5 pour l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImagePeTimestampUtc	DATETIME	Contient l’heure PE de l’image de l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageSha1	string	Contient l’image SHA 1 pour l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcImageSha256	string	Contient l’image SHA 256 pour l’image du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcVersionInfoCompanyName	string	Contient le nom de la société d’informations de version du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcVersionInfoFileDescription	string	Contient la description du fichier d’informations de version du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcVersionInfoInternalFileName	string	Contient le nom de fichier interne des informations de version du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcVersionInfoOriginalFileName	string	Contient le nom de fichier d’origine des informations de version du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcVersionInfoProductName	string	Contient le nom du produit d’informations de version du processus de lancement qui a provoqué l’événement d’entité supervisée.
InitProcVersionInfoProductVersion	string	Contient la version du produit d’informations de version du processus de lancement qui a provoqué l’événement d’entité supervisée.
_IsBillable	string	Spécifie si l’ingestion des données est facturable. Lorsque _IsBillable’ingestion false n’est pas facturée à votre compte Azure
MonitorEntityType	string	Type de l’entité surveillée qui a été créée, renommée, modifiée ou supprimée. Peut être « Fichier » ou « Registre ».
NewValueData	string	Pertinent pour le type d’entité supervisée « Registry ». Contient les nouvelles données de valeur de Registre.
NewValueName	string	Pertinent pour le type d’entité supervisée « Registry ». Contient le nom de la nouvelle valeur de Registre.
NewValueType	string	Pertinent pour le type d’entité supervisée « Registry ». Contient le nouveau type de valeur de Registre.
OldValueData	string	Pertinent pour le type d’entité supervisée « Registry ». Contient les données de valeur de Registre précédentes.
OldValueFullRegistryKey	string	Pertinent pour le type d’entité supervisée « Registry ». Contient la clé de Registre complète précédente.
OldValueName	string	Pertinent pour le type d’entité supervisée « Registry ». Contient le nom de la valeur de Registre précédente.
OldValueType	string	Pertinent pour le type d’entité supervisée « Registry ». Contient le type de valeur de Registre précédent.
OriginalFileName	string	Pertinent pour le type d’entité supervisé « Fichier » et pour un type de modification « Renommer ». Contient le nom d’origine du fichier renommé, avant le changement de nom.
OriginalFilePath	string	Pertinent pour le type d’entité supervisé « Fichier » et pour un type de modification « Renommer ». Contient le chemin d’accès d’origine du fichier renommé, avant le changement de nom.
RegistryHive	string	Pertinent pour le type d’entité supervisée « Registry ». Contient les paramètres de configuration de regroupement pour le système d’exploitation et les applications.
RegistryKey	string	Pertinent pour le type d’entité supervisée « Registry ». Contient la clé de Registre complète du Registre qui a été créée ou la nouvelle clé de Registre du Registre qui a été renommée.
RequestAccountDomain	string	Pertinent pour le type d’entité supervisée « File ». Contient le domaine du compte de l’utilisateur qui a provoqué l’événement de fichier.
RequestAccountName	string	Pertinent pour le type d’entité supervisée « File ». Contient le nom du compte de l’utilisateur qui a provoqué l’événement de fichier.
RequestAccountSid	string	Pertinent pour le type d’entité supervisée « File ». Contient le SID du compte de l’utilisateur qui a provoqué l’événement de fichier.
RequestSource	string	Pertinent pour le type d’entité supervisée « File ». Contient la source du compte de l’utilisateur qui a provoqué l’événement de fichier. Par exemple Local/SMB/NFS.
RequestSourceIP	string	Pertinent pour le type d’entité supervisée « File ». Contient l’adresse IP source du compte de l’utilisateur qui a provoqué l’événement de fichier. Pour le fichier distant, adresse IP à partir de laquelle la requête est arrivée.
RequestSourcePort	string	Pertinent pour le type d’entité supervisée « File ». Contient le port source du compte de l’utilisateur qui a provoqué l’événement de fichier. Pour le fichier distant, port à partir duquel la requête est arrivée.
SourceSystem	string	Type d’agent par lequel l’événement a été collecté. Par exemple, pour l’agent OpsManager Windows, la connexion directe ou Operations Manager, Linux pour tous les agents Linux ou Azure pour Diagnostics Azure
TenantId	string	ID de l’espace de travail Log Analytics
TimeGenerated	DATETIME	Heure (UTC) de la création, du renommage, de la modification ou de la suppression de l’entité supervisée.
Type	string	Le nom de la table