Partager via

CommonSecurityLog

  • Article

Ce tableau est destiné à collecter des événements au format d’événement commun, qui sont les plus souvent envoyés à partir de différentes appliances de sécurité telles que Check Point, Palo Alto et bien plus encore.

Attributs de table

Attribut Valeur
Types de ressources microsoft.securityinsights/cef,
microsoft.compute/virtualmachines,
microsoft.conenctedvmwarevsphere/virtualmachines,
microsoft.azurestackhci/virtualmachines,
microsoft.scvmm/virtualmachines,
microsoft.compute/virtualmachinescalesets
Catégories Sécurité
Solutions Sécurité, SecurityInsights
Journal de base Non
Transformation au moment de l’ingestion Oui
Exemples de requêtes Oui

Colonnes

Colonne Type Description
Activité string Chaîne qui représente une description explicite et compréhensible de l’événement.
AdditionalExtensions string Espace réservé pour des champs supplémentaires. Les champs sont enregistrés sous forme de paires clé-valeur.
ApplicationProtocol string Protocole utilisé dans l’application, tel que HTTP, HTTPS, SSHv2, Telnet, POP, IMPA, IMAP, etc.
_BilledSize real Taille de l’enregistrement en octets
CollectorHostName string Nom d’hôte de l’ordinateur collecteur exécutant l’agent.
CommunicationDirection string Toutes les informations sur le sens de la communication observée. Valeurs valides : 0 = Entrant, 1 = Sortant.
Computer string Hôte, à partir de Syslog.
DestinationDnsDomain string Partie DNS du nom de domaine complet (FQDN).
DestinationHostName string Destination à laquelle l’événement fait référence dans un réseau IP. Le format doit être un nom de domaine complet associé au nœud de destination, lorsqu’un nœud est disponible. Par exemple : host.domain.com ou hôte.
DestinationIP string L’adresse IpV4 de destination à laquelle l’événement fait référence dans un réseau IP.
DestinationMACAddress string Adresse MAC de destination (FQDN).
DestinationNTDomain string Nom de domaine Windows de l’adresse de destination.
DestinationPort int Port de destination. Valeurs valides : 0 - 65535.
DestinationProcessId int L’ID du processus de destination associé à l’événement.
DestinationProcessName string Nom du processus de destination de l’événement, tel que telnetd ou sshd.
DestinationServiceName string Le service ciblé par l’événement. Par exemple : sshd.
DestinationTranslatedAddress string Identifie la destination traduite référencée par l’événement dans un réseau IP, sous la forme d’une adresse IP IPv4.
DestinationTranslatedPort int Port après la traduction, tel qu’un pare-feu Numéros de port valides : 0 - 65535.
DestinationUserID string Identifie l’utilisateur de destination par son ID. Par exemple : dans Unix, l’utilisateur racine est généralement associé à l’ID d’utilisateur 0.
DestinationUserName string Identifie l’utilisateur de destination par son nom.
DestinationUserPrivileges string Définit les privilèges de l’utilisation de la destination. Valeurs valides : Admninistrator, Utilisateur, Invité.
DeviceAction string L’action mentionnée dans l’événement.
DeviceAddress string Adresse IPv4 de l’appareil générant l’événement.
DeviceCustomDate1 string Un des deux champs d’horodatage disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomDate1Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomDate2 string Un des deux champs d’horodatage disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomDate2Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomFloatingPoint1 real Un des quatre champs à virgule flottante disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomFloatingPoint1Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomFloatingPoint2 real Un des quatre champs à virgule flottante disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomFloatingPoint2Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomFloatingPoint3 real Un des quatre champs à virgule flottante disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomFloatingPoint3Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomFloatingPoint4 real Un des quatre champs à virgule flottante disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomFloatingPoint4Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomIPv6Address1 string L’un des quatre champs d’adresse IPv6 disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomIPv6Address1Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomIPv6Address2 string L’un des quatre champs d’adresse IPv6 disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomIPv6Address2Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomIPv6Address3 string L’un des quatre champs d’adresse IPv6 disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomIPv6Address3Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomIPv6Address4 string L’un des quatre champs d’adresse IPv6 disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire.
DeviceCustomIPv6Address4Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomNumber1 int Bientôt un champ déconseillé. Sera remplacé par FieldDeviceCustomNumber1.
DeviceCustomNumber1Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomNumber2 int Bientôt un champ déconseillé. Sera remplacé par FieldDeviceCustomNumber2.
DeviceCustomNumber2Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomNumber3 int Bientôt un champ déconseillé. Sera remplacé par FieldDeviceCustomNumber3.
DeviceCustomNumber3Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomString1 string Une des six chaînes disponibles pour mapper les champs qui ne s’appliquent à aucun autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomString1Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomString2 string Une des six chaînes disponibles pour mapper les champs qui ne s’appliquent à aucun autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomString2Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomString3 string Une des six chaînes disponibles pour mapper les champs qui ne s’appliquent à aucun autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomString3Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomString4 string Une des six chaînes disponibles pour mapper les champs qui ne s’appliquent à aucun autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomString4Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomString5 string Une des six chaînes disponibles pour mapper les champs qui ne s’appliquent à aucun autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomString5Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceCustomString6 string Une des six chaînes disponibles pour mapper les champs qui ne s’appliquent à aucun autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
DeviceCustomString6Label string Tous les champs personnalisés ont un champ d’étiquette correspondant. Chacun de ces champs est une chaîne et décrit l’objectif du champ personnalisé.
DeviceDnsDomain string Partie de domaine DNS du nom de domaine complet (FQDN).
DeviceEventCategory string Représente la catégorie affectée par l’appareil d’origine. Les appareils utilisent souvent leur propre schéma de catégorisation pour classifier un événement. Exemple : '/Monitor/Disk/Read'.
DeviceEventClassID string Chaîne ou entier qui sert d’identificateur unique par type d’événement.
DeviceExternalID string Nom qui identifie de façon unique l’appareil générant l’événement.
DeviceFacility string La structure générant l’événement. Par exemple : authentification ou local1.
DeviceInboundInterface string Interface sur laquelle le paquet ou les données sont entrés sur l’appareil. Par exemple : ethernet1/2.
DeviceMacAddress string Adresse MAC de l’appareil générant l’événement.
DeviceName string Nom de domaine complet associé au nœud de l’appareil, lorsqu’un nœud est disponible. Par exemple : host.domain.com ou hôte.
DeviceNtDomain string Domaine Windows de l’adresse de l’appareil.
DeviceOutboundInterface string Interface sur laquelle le paquet ou les données ont quitté l’appareil.
DevicePayloadId string Identificateur unique de la charge utile associée à l’événement.
DeviceProduct string Chaîne qui, avec les définitions de produit et de version de l’appareil, identifie de manière unique le type d’appareil d’envoi.
DeviceTimeZone string Fuseau horaire de l’appareil générant l’événement.
DeviceTranslatedAddress string Identifie l’adresse de l’appareil traduit à laquelle l’événement fait référence, sur un réseau IP. Le format est une adresse Ipv4.
DeviceVendor string Chaîne qui, avec les définitions de produit et de version de l’appareil, identifie de manière unique le type d’appareil d’envoi.
DeviceVersion string Chaîne qui, avec les définitions de produit et de version de l’appareil, identifie de manière unique le type d’appareil d’envoi.
EndTime DATETIME Heure à laquelle l’activité associée à l’événement s’est terminée.
EventCount int Nombre associé à l’événement, qui indique le nombre de fois que le même événement a été observé.
EventOutcome string Affiche le résultat, généralement en tant que « réussite » ou « échec ».
Type d’événement int Type d'événement. Les valeurs de valeur sont les suivantes : 0 : événement de base, 1 : agrégé, 2 : événement de corrélation, 3 : événement d’action. Remarque : cet événement peut être omis pour les événements de base.
ExternalID int Bientôt un champ déconseillé. Sera remplacé par ExtID.
ExtID string ID utilisé par l’appareil d’origine (remplace externalID hérité). En règle générale, ces valeurs ont des valeurs de plus en plus associées à un événement.
FieldDeviceCustomNumber1 long Un des trois champs numériques disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire (remplace deviceCustomNumber1 hérité). Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
FieldDeviceCustomNumber2 long Un des trois champs numériques disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire (remplace deviceCustomNumber2 hérité). Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
FieldDeviceCustomNumber3 long Un des trois champs numériques disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire (remplace deviceCustomNumber3 hérité). Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible.
FileCreateTime string Heure de création du fichier.
FileHash string Hachage d’un fichier.
FileID string Un ID associé à un fichier, tel que l’inode.
FileModificationTime string Heure à laquelle le fichier a été modifié pour la dernière fois.
FileName string Nom du fichier, sans le chemin d’accès.
FilePath string Chemin complet d'accès du fichier, y compris le nom de fichier. Par exemple : C :\ProgramFiles\WindowsNT\Accessories\wordpad.exe ou /usr/bin/zip.
FilePermission string Les autorisations du fichier. Par exemple : « 2,1,1 ».
FileSize int Taille du fichier en octets.
FileType string Type de fichier (par exemple, canal, Socket, etc.).
FlexDate1 string Champ d’horodatage disponible pour mapper un horodatage qui ne s’applique à aucun autre champ d’horodatage défini dans ce dictionnaire. Utilisez tous les champs flex avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible. Ces champs sont généralement réservés à l’utilisation du client et ne doivent pas être définis par les fournisseurs, sauf si nécessaire.
FlexDate1Label string Le champ d’étiquette est une chaîne et décrit l’objectif du champ flex.
FlexNumber1 int Champs numériques disponibles pour mapper les données Int qui ne s’appliquent à aucun autre champ de ce dictionnaire.
FlexNumber1Label string Étiquette qui décrit la valeur dans FlexNumber1
FlexNumber2 int Champs numériques disponibles pour mapper les données Int qui ne s’appliquent à aucun autre champ de ce dictionnaire.
FlexNumber2Label string Étiquette qui décrit la valeur dans FlexNumber2
FlexString1 string Un des quatre champs à virgule flottante disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible. Ces champs sont généralement réservés à l’utilisation du client et ne doivent pas être définis par les fournisseurs, sauf si nécessaire.
FlexString1Label string Le champ d’étiquette est une chaîne et décrit l’objectif du champ flex.
FlexString2 string Un des quatre champs à virgule flottante disponibles pour mapper les champs qui ne s’appliquent pas à un autre dans ce dictionnaire. Utilisez avec parcimonie et recherchez un champ fourni par dictionnaire plus spécifique lorsque cela est possible. Ces champs sont généralement réservés à l’utilisation du client et ne doivent pas être définis par les fournisseurs, sauf si nécessaire.
FlexString2Label string Le champ d’étiquette est une chaîne et décrit l’objectif du champ flex.
IndicatorThreatType string Type de menace de l’élément MalveillantIP en fonction de notre flux TI.
_IsBillable string Spécifie si l’ingestion des données est facturable. Lorsque _IsBillable’ingestion false n’est pas facturée à votre compte Azure
LogSeverity string Chaîne ou entier qui décrit l’importance de l’événement. Valeurs de chaîne valides : Inconnu, Faible, Moyen, Élevé, Valeurs entières très valides sont : 0-3 = Faible, 4-6 = Moyen, 7-8 = Élevé, 9-10 = Très élevé.
MaliciousIP string Si l’une des adresses IP du message a été corrélée avec le flux TI actuel que nous avons, elle s’affiche ici.
MaliciousIPCountry string Pays de l’application malveillante selon les informations GEO au moment de l’ingestion d’enregistrement.
MaliciousIPLatitude real Latitude de l’application Malveillante en fonction des informations GEO au moment de l’ingestion d’enregistrement.
MaliciousIPLongitude real Longitude du programme MalveillantIP en fonction des informations GEO au moment de l’ingestion d’enregistrement.
Message string Message qui donne plus de détails sur l’événement.
OldFileCreateTime string Heure de création de l’ancien fichier.
OldFileHash string Hachage de l’ancien fichier.
OldFileID string Et l’ID associé à l’ancien fichier, tel que l’inode.
OldFileModificationTime string Heure à laquelle l’ancien fichier a été modifié pour la dernière fois.
OldFileName string Nom de l’ancien fichier.
OldFilePath string Chemin complet d'accès à l’ancien fichier, y compris le nom de fichier. Par exemple : C :\ProgramFiles\WindowsNT\Accessories\wordpad.exe ou /usr/bin/zip.
OldFilePermission string Autorisations de l’ancien fichier. Par exemple : « 2,1,1 ».
OldFileSize int Taille de l’ancien fichier en octets.
OldFileType string Type de fichier de l’ancien fichier, tel qu’un canal, un socket, etc.
OriginalLogSeverity string Version non mappée de LogSeverity. Par exemple : Avertissement/Critique/Info au lieu du champ Standardilized Low/Medium/High dans le champ LogSeverity
ProcessID int Définit l’ID du processus sur l’appareil générant l’événement.
ProcessName string Nom du processus associé à l'événement. Par exemple : dans UNIX, le processus générant l’entrée syslog.
Protocol string Protocole de transport qui identifie le protocole de couche 4 utilisé. Les valeurs possibles incluent des noms de protocole, tels que TCP ou UDP.
Motif string Raison pour laquelle un événement d’audit a été généré. Par exemple, « mot de passe incorrect » ou « utilisateur inconnu ». Il peut également s’agir d’un code d’erreur ou de retour. Exemple : « 0x1234 ».
ReceiptTime string Heure à laquelle l’événement associé à l’activité a été reçu. Différent ensuite, le champ « Timegenerated », c’est-à-dire lorsque l’événement a été reçu dans l’ordinateur du collecteur de journaux.
ReceivedBytes long Nombre d’octets transférés entrants.
RemoteIP string Adresse IP distante, dérivée de la valeur de direction de l’événement, si possible.
RemotePort string Port distant, dérivé de la valeur de direction de l’événement, si possible.
ReportReferenceLink string Lien vers le rapport du flux TI.
RequestClientApplication string L'agent utilisateur associé à la requête.
RequestContext string Décrit le contenu d’où provient la requête, tel que le référent HTTP.
RequestCookies string Cookies associés à la requête.
RequestMethod string Méthode utilisée pour accéder à une URL. Les valeurs valides incluent des méthodes telles que POST, GET, etc.
RequestURL string URL accessible pour une requête HTTP, y compris le protocole. Par exemple : http://www/secure.com.
_ResourceId string Un identificateur unique de la ressource à laquelle l’enregistrement est associé
SentBytes long Nombre d’octets transférés sortants.
SimplifiedDeviceAction string Version mappée de DeviceAction, telle que Refus refusé > .
SourceDnsDomain string Partie du domaine DNS du FQDN complet.
SourceHostName string Identifie la source à laquelle l’événement fait référence dans un réseau IP. Le format doit être un nom de domaine complet (FQDN) associé au nœud source, lorsqu’un nœud est disponible. Par exemple : hôte ou host.domain.com.
SourceIP string Source à laquelle un événement fait référence dans un réseau IP, comme une adresse IPv4.
SourceMACAddress string Adresse MAC source.
SourceNTDomain string Nom de domaine Windows pour l’adresse source.
SourcePort int Numéro de port source. Les numéros de port valides sont 0 à 65535.
SourceProcessId int L’ID du processus de source associé à l’événement.
SourceProcessName string Nom du processus source de l’événement.
SourceServiceName string Service responsable de la génération de l’événement.
SourceSystem string Type d’agent par lequel l’événement a été collecté. Par exemple, pour l’agent OpsManager Windows, la connexion directe ou Operations Manager, Linux pour tous les agents Linux ou Azure pour Diagnostics Azure
SourceTranslatedAddress string Identifie la source traduite à laquelle l’événement fait référence dans un réseau IP.
SourceTranslatedPort int Port source après traduction, tel qu’un pare-feu. Les numéros de port valides sont 0 à 65535.
SourceUserID string Identifie l’utilisateur source par ID.
SourceUserName string Identifie l’utilisateur source par nom. Les adresses e-mail sont également mappées dans les champs UserName. L’expéditeur est un candidat à mettre dans ce champ.
SourceUserPrivileges string Privilèges de l’utilisateur source. Les valeurs valides sont les suivantes : Administrateur, Utilisateur, Invité.
StartTime DATETIME Heure de début de l’activité à laquelle l’événement fait référence.
_SubscriptionId string Un identificateur unique de l’abonnement auquel l’enregistrement est associé
TenantId string ID de l’espace de travail Log Analytics
ThreatConfidence string La confiance des menaces du Programme malveillant selon notre flux TI.
ThreatDescription string Description des menaces de l’application malveillante en fonction de notre flux TI.
ThreatSeverity int Gravité de la menace du Programme malveillant selon notre flux TI au moment de l’ingestion de l’enregistrement.
TimeGenerated DATETIME Heure de collecte d’événements au format UTC.
Type string Le nom de la table