| Campi aggiuntivi |
dynamic |
Informazioni aggiuntive, rappresentate usando coppie chiave/valore fornite dall'origine che non eseguono il mapping ad ASim. |
| _BilledSize |
real |
Dimensioni del record in byte |
| DstAppId |
string |
ID dell'applicazione di destinazione, come segnalato dal dispositivo di report. |
| DstAppName |
string |
Nome dell'applicazione di destinazione. |
| DstAppType |
string |
Tipo dell'applicazione di destinazione. |
| DstBytes |
long |
Numero di byte inviati dalla destinazione all'origine per la connessione o la sessione. Se l'evento è aggregato, DstBytes corrisponde alla somma di tutte le sessioni aggregate. |
| DstDescription |
string |
Testo descrittivo associato alla destinazione. |
| DstDeviceType |
string |
Tipo del dispositivo di destinazione. |
| DstDomain |
string |
Dominio del dispositivo di destinazione. |
| DstDomainType |
string |
Tipo di DstDomain. |
| DstDvcId |
string |
ID del dispositivo di destinazione. |
| DstDvcIdType |
string |
Tipo di DstDvcId. |
| DstFQDN |
string |
Nome host del dispositivo di destinazione, incluse le informazioni sul dominio, se disponibili. |
| DstGeoCity |
string |
Città associata all'indirizzo IP di destinazione. |
| DstGeoCountry |
string |
Paese associato all'indirizzo IP di destinazione. |
| DstGeoLatitude |
real |
Latitudine della coordinata geografica associata all'indirizzo IP di destinazione. |
| DstGeoLongitude |
real |
Longitudine della coordinata geografica associata all'indirizzo IP di destinazione. |
| DstGeoRegion |
string |
L'area o lo stato all'interno di un paese associato all'indirizzo IP di destinazione. |
| DstHostname |
string |
Nome host del dispositivo di destinazione, escluse le informazioni sul dominio. |
| DstInterfaceGuid |
string |
GUID dell'interfaccia di rete usata nel dispositivo di destinazione. |
| DstInterfaceName |
string |
Interfaccia di rete usata per la connessione o la sessione dal dispositivo di destinazione. |
| DstIpAddr |
string |
Indirizzo IP della connessione o della destinazione della sessione. |
| DstMacAddr |
string |
Indirizzo MAC dell'interfaccia di rete usata per la connessione o la sessione dal dispositivo di destinazione. |
| DstNatIpAddr |
string |
DstNatIpAddr rappresenta uno dei seguenti: indirizzo originale del dispositivo di destinazione se è stata usata la conversione degli indirizzi di rete o l'indirizzo IP usato dal dispositivo intermedio per la comunicazione con l'origine. |
| DstNatPortNumber |
int |
Se segnalato da un dispositivo NAT intermedio, la porta usata dal dispositivo NAT per la comunicazione con l'origine. |
| DstOriginalUserType |
string |
Tipo di utente di destinazione originale, se fornito dall'origine. |
| DstPackets |
long |
Numero di pacchetti inviati dalla destinazione all'origine per la connessione o la sessione. Il significato di un pacchetto è definito dal dispositivo di report. Se l'evento è aggregato, DstPackets corrisponde alla somma di tutte le sessioni aggregate. |
| DstPortNumber |
int |
Porta IP di destinazione. |
| DstSubscriptionId |
string |
ID sottoscrizione della piattaforma cloud a cui appartiene il dispositivo di destinazione. DstSubscriptionId esegue il mapping a un ID sottoscrizione in Azure e a un ID account in AWS. |
| DstUserId |
string |
Rappresentazione univoca, alfanumerica e leggibile del computer dell'utente di destinazione. |
| DstUserIdType |
string |
Tipo dell'ID archiviato nel campo DstUserId. |
| DstUsername |
string |
Nome utente di destinazione, incluse le informazioni sul dominio, se disponibili. Usare il modulo semplice solo se le informazioni sul dominio non sono disponibili. |
| DstUsernameType |
string |
Specifica il tipo di nome utente archiviato nel campo DstUsername. |
| DstUserType |
string |
Tipo di utente di destinazione. |
| DstVlanId |
string |
ID VLAN correlato al dispositivo di destinazione. |
| DstZone |
string |
Zona di rete della destinazione, come definito dal dispositivo di report. |
| Dvc |
string |
Identificatore univoco del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. |
| DvcAction |
string |
Azione eseguita nella sessione di rete. |
| DvcDescription |
string |
Un testo descrittivo associato al dispositivo. Ad esempio: Controller di dominio primario. |
| DvcDomain |
string |
Dominio del dispositivo che segnala l'evento. |
| DvcDomainType |
string |
Tipo di DvcDomain. I valori possibili includono 'Windows' e 'FQDN'. |
| DvcFQDN |
string |
Nome host del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. |
| DvcHostname |
string |
Nome host del dispositivo che segnala l'evento. |
| DvcId |
string |
ID univoco del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. |
| DvcIdType |
string |
Il tipo di DvcId. |
| DvcInboundInterface |
string |
Se segnalato da un dispositivo intermedio, l'interfaccia di rete usata dal dispositivo NAT per la connessione al dispositivo di origine. |
| DvcInterface |
string |
Interfaccia di rete in cui sono stati acquisiti i dati. Questo campo è in genere rilevante per l'attività correlata alla rete acquisita da un dispositivo intermedio o di tocco. |
| DvcIpAddr |
string |
Indirizzo IP del dispositivo che segnala l'evento. |
| DvcMacAddr |
string |
Indirizzo MAC del dispositivo in cui si è verificato l'evento o che ha segnalato l'evento. Esempio: 00:1B:44:11:3A:B7 |
| DvcOriginalAction |
string |
Il DvcAction originale fornito dal dispositivo di report. |
| DvcOs |
string |
Il sistema operativo in esecuzione nel dispositivo segnala l'evento. |
| DvcOsVersion |
string |
Versione del sistema operativo nel dispositivo che segnala l'evento. |
| DvcOutboundInterface |
string |
Se segnalato da un dispositivo intermedio, l'interfaccia di rete usata dal dispositivo NAT per la connessione al dispositivo di destinazione. |
| DvcSubscriptionId |
string |
ID sottoscrizione della piattaforma cloud a cui appartiene il dispositivo. DvcSubscriptionId esegue il mapping a un ID sottoscrizione in Azure e a un ID account in AWS. |
| DvcZone |
string |
Rete in cui si è verificato l'evento o che ha segnalato l'evento. La zona è definita dal dispositivo di report. |
| EventCount |
int |
Questo valore viene usato quando l'origine supporta l'aggregazione e un singolo record può rappresentare più eventi. |
| EventEndTime |
datetime |
Ora di fine dell'evento. Se l'origine supporta l'aggregazione e il record rappresenta più eventi, l'ora in cui è stato generato l'ultimo evento. Se non specificato dal record di origine, questo campo alias il campo TimeGenerated. |
| EventMessage |
string |
Messaggio o descrizione generali. |
| EventOriginalResultDetails |
string |
Dettagli del risultato originale forniti dall'origine. Questo valore viene usato per derivare EventResultDetails, che deve avere solo uno dei valori documentati per ogni schema. |
| EventOriginalSeverity |
string |
Gravità originale fornita dal dispositivo di report. Questo valore viene usato per derivare EventSeverity. |
| EventOriginalSubType |
string |
Sottotipo o ID dell'evento originale, se specificato dall'origine. Ad esempio, questo campo verrà usato per archiviare il tipo di accesso di Windows originale. Questo valore viene usato per derivare EventSubType, che deve avere solo uno dei valori documentati per ogni schema. |
| EventOriginalType |
string |
Tipo di evento o ID originale, se specificato dall'origine. |
| EventOriginalUid |
string |
ID univoco del record originale, se specificato dall'origine. |
| EventProduct |
string |
Prodotto che genera l'evento. |
| EventProductVersion |
string |
Versione del prodotto che genera l'evento. |
| EventReportUrl |
string |
URL fornito nell'evento per una risorsa che fornisce altre informazioni sull'evento. |
| EventResult |
string |
Risultato dell'evento, rappresentato da uno dei valori seguenti: Success, Partial, Failure, NA (Not Applicable). Il valore potrebbe non essere fornito direttamente dalle origini, nel qual caso è derivato da altri campi evento, ad esempio il campo EventResultDetails. |
| EventResultDetails |
string |
Motivo o dettagli per il risultato segnalato nel campo EventResult. |
| EventSchemaVersion |
string |
La versione dello schema. |
| EventSeverity |
string |
Gravità dell'evento. I valori validi sono: Informativo, Basso, Medio o Alto. |
| EventStartTime |
datetime |
Ora di avvio dell'evento. Se l'origine supporta l'aggregazione e il record rappresenta più eventi, l'ora in cui è stato generato il primo evento. Se non specificato dal record di origine, questo campo alias il campo TimeGenerated. |
| EventSubType |
string |
Descrizione aggiuntiva del tipo di evento, se applicabile. |
| EventType |
string |
Operazione segnalata dal record. |
| EventVendor |
string |
Fornitore del prodotto che genera l'evento. |
| _IsBillable |
string |
Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable è false, l'inserimento dati non viene fatturato all'account Azure |
| NetworkApplicationProtocol |
string |
Protocollo del livello applicazione usato dalla connessione o dalla sessione. |
| NetworkBytes |
long |
Numero di byte inviati in entrambe le direzioni. Se esistono sia BytesReceived che BytesSent, BytesTotal deve essere uguale alla somma. Se l'evento è aggregato, NetworkBytes corrisponde alla somma di tutte le sessioni aggregate. |
| NetworkConnectionHistory |
string |
Flag TCP e altre informazioni potenziali sull'intestazione IP. |
| NetworkDirection |
string |
Direzione della connessione o della sessione. |
| NetworkDuration |
int |
Quantità di tempo, espressa in millisecondi, per il completamento della sessione di rete o della connessione. |
| NetworkIcmpCode |
int |
Per un messaggio ICMP, il valore numerico del tipo di messaggio ICMP, come descritto in RFC 2780 per le connessioni di rete IPv4 o in RFC 4443 per le connessioni di rete IPv6. |
| NetworkIcmpType |
string |
Per un messaggio ICMP, la rappresentazione testuale del tipo di messaggio ICMP, come descritto in RFC 2780 per le connessioni di rete IPv4 o in RFC 4443 per le connessioni di rete IPv6. |
| NetworkPackets |
long |
Numero di pacchetti inviati in entrambe le direzioni. Se sono presenti sia PacketsReceived che PacketsSent, BytesTotal deve essere uguale alla somma. Il significato di un pacchetto è definito dal dispositivo di report. Se l'evento è aggregato, NetworkPackets è la somma in tutte le sessioni aggregate. |
| NetworkProtocol |
string |
Protocollo IP usato dalla connessione o dalla sessione, come indicato nell'assegnazione del protocollo IANA, che in genere è TCP, UDP o ICMP. |
| NetworkProtocolVersion |
string |
Versione di NetworkProtocol. |
| NetworkRuleName |
string |
Nome o ID della regola su cui È stato deciso DvcAction. |
| NetworkRuleNumber |
int |
Numero della regola in base alla quale DvcAction è stato deciso. |
| NetworkSessionId |
string |
Identificatore di sessione segnalato dal dispositivo di report. |
| _ResourceId |
string |
Identificatore univoco della risorsa a cui è associato il record. |
| SourceSystem |
string |
Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, la connessione diretta o Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure |
| SrcAppId |
string |
ID dell'applicazione di origine, come segnalato dal dispositivo di report. |
| SrcAppName |
string |
Nome dell'applicazione di origine. |
| SrcAppType |
string |
Tipo dell'applicazione di origine. |
| SrcBytes |
long |
Numero di byte inviati dall'origine alla destinazione per la connessione o la sessione. Se l'evento è aggregato, SrcBytes corrisponde alla somma di tutte le sessioni aggregate. |
| SrcDescription |
string |
Testo descrittivo associato all'origine. |
| SrcDeviceType |
string |
Tipo del dispositivo di origine. |
| SrcDomain |
string |
Dominio del dispositivo di origine. |
| SrcDomainType |
string |
Tipo di SrcDomain. |
| SrcDvcId |
string |
ID del dispositivo di origine. |
| SrcDvcIdType |
string |
Tipo di SrcDvcId. |
| SrcFQDN |
string |
Nome host del dispositivo di origine, incluse le informazioni sul dominio, se disponibili. |
| SrcGeoCity |
string |
Città associata all'indirizzo IP di origine. |
| SrcGeoCountry |
string |
Paese associato all'indirizzo IP di origine. |
| SrcGeoLatitude |
real |
Latitudine della coordinata geografica associata all'indirizzo IP di origine. |
| SrcGeoLongitude |
real |
Longitudine della coordinata geografica associata all'indirizzo IP di origine. |
| SrcGeoRegion |
string |
Area all'interno di un paese associato all'indirizzo IP di origine. |
| SrcHostname |
string |
Nome host del dispositivo di origine, escluse le informazioni sul dominio. Se non è disponibile alcun nome di dispositivo, può archiviare l'indirizzo IP pertinente. |
| SrcInterfaceGuid |
string |
GUID dell'interfaccia di rete usata nel dispositivo di origine. |
| SrcInterfaceName |
string |
Interfaccia di rete usata per la connessione o la sessione dal dispositivo di origine. |
| SrcIpAddr |
string |
Indirizzo IP da cui ha avuto origine la connessione o la sessione. |
| SrcMacAddr |
string |
Indirizzo MAC dell'interfaccia di rete da cui ha avuto origine la connessione o la sessione. |
| SrcNatIpAddr |
string |
SrcNatIpAddr rappresenta l'indirizzo originale del dispositivo di origine se è stata usata la conversione degli indirizzi di rete o l'indirizzo IP utilizzato dal dispositivo intermedio per la comunicazione con la destinazione. |
| SrcNatPortNumber |
int |
Se segnalato da un dispositivo NAT intermedio, la porta usata dal dispositivo NAT per la comunicazione con la destinazione. |
| SrcOriginalUserType |
string |
Tipo di utente di destinazione originale, se fornito dal dispositivo di report. |
| SrcPackets |
long |
Numero di pacchetti inviati dall'origine alla destinazione per la connessione o la sessione. Il significato di un pacchetto è definito dal dispositivo di report. Se l'evento è aggregato, SrcPackets corrisponde alla somma di tutte le sessioni aggregate. |
| SrcPortNumber |
int |
Porta IP da cui ha avuto origine la connessione. Potrebbe non essere rilevante per una sessione che comprende più connessioni. |
| SrcSubscriptionId |
string |
ID sottoscrizione della piattaforma cloud a cui appartiene il dispositivo di origine. SrcSubscriptionId esegue il mapping a un ID sottoscrizione in Azure e a un ID account in AWS. |
| SrcUserId |
string |
Rappresentazione univoca dell'utente di origine leggibile, alfanumerica e leggibile dal computer. |
| SrcUserIdType |
string |
Tipo dell'ID archiviato nel campo SrcUserId. |
| SrcUsername |
string |
Nome utente di origine, incluse le informazioni sul dominio, se disponibili. |
| SrcUsernameType |
string |
Specifica il tipo di nome utente archiviato nel campo SrcUsername. |
| SrcUserType |
string |
Tipo dell'utente di origine. |
| SrcVlanId |
string |
ID VLAN correlato al dispositivo di origine. |
| SrcZone |
string |
Zona di rete dell'origine, come definito dal dispositivo di report. |
| _SubscriptionId |
string |
Identificatore univoco della sottoscrizione a cui è associato il record |
| TcpFlagsAck |
bool |
Flag TCP ACK segnalato. Il flag di riconoscimento viene usato per confermare la ricezione corretta di un pacchetto. Come si può vedere dal diagramma precedente, il ricevitore invia un ACK e un SYN nel secondo passaggio del processo di handshake a tre vie per indicare al mittente che ha ricevuto il pacchetto iniziale. |
| TcpFlagsFin |
bool |
Flag TCP FIN segnalato. Il flag completato indica che non sono presenti più dati dal mittente. Pertanto, viene usato nell'ultimo pacchetto inviato dal mittente. |
| TcpFlagsPsh |
bool |
Flag PSH TCP segnalato. Il flag di push è in qualche modo simile al flag URG e indica al ricevitore di elaborare questi pacchetti man mano che vengono ricevuti anziché memorizzarli nel buffer. |
| TcpFlagsRst |
bool |
Flag TCP RST segnalato. Il flag di reimpostazione viene inviato dal ricevitore al mittente quando un pacchetto viene inviato a un host specifico che non è previsto. |
| TcpFlagsSyn |
bool |
Flag TCP SYN segnalato. Il flag di sincronizzazione viene usato come primo passo per stabilire un handshake a tre vie tra due host. Solo il primo pacchetto del mittente e del destinatario deve avere questo flag impostato. |
| TcpFlagsUrg |
bool |
Flag URG TCP segnalato. Il flag urgente viene usato per notificare al ricevitore di elaborare i pacchetti urgenti prima di elaborare tutti gli altri pacchetti. Il ricevitore riceverà una notifica quando sono stati ricevuti tutti i dati urgenti noti. Per altri dettagli, vedere RFC 6093. |
| TenantId |
string |
L'ID dell'area di lavoro Log Analytics |
| ThreatCategory |
string |
Categoria della minaccia o del malware identificato nella sessione di rete. |
| ThreatConfidence |
int |
Livello di attendibilità della minaccia identificata, normalizzato in un valore compreso tra 0 e 100. |
| ThreatField |
string |
Campo per il quale è stata identificata una minaccia. Il valore è SrcIpAddr, DstIpAddr, Domain o DnsResponseName. |
| ThreatFirstReportedTime |
datetime |
La prima volta che l'indirizzo IP o il dominio sono stati identificati come minaccia. |
| ThreatId |
string |
ID della minaccia o del malware identificato nella sessione di rete. |
| ThreatIpAddr |
string |
Indirizzo IP per il quale è stata identificata una minaccia. Il campo ThreatField contiene il nome del campo ThreatIpAddr rappresenta. |
| ThreatIsActive |
bool |
True ID la minaccia identificata è considerata una minaccia attiva. |
| ThreatLastReportedTime |
datetime |
L'ultima volta che l'indirizzo IP o il dominio sono stati identificati come minaccia. |
| ThreatName |
string |
Nome della minaccia o del malware identificato nella sessione di rete. |
| ThreatOriginalConfidence |
string |
Livello di attendibilità originale della minaccia identificata, come segnalato dal dispositivo di report. |
| ThreatOriginalRiskLevel |
string |
Livello di rischio segnalato dal dispositivo di report. |
| ThreatRiskLevel |
int |
Livello di rischio associato alla sessione. Il livello è un numero compreso tra 0 e 100. |
| TimeGenerated |
datetime |
Timestamp (UTC) che riflette l'ora in cui è stato generato l'evento. |
| Type |
string |
Nome della tabella |