| AccountDomain |
string |
Dominio dell'account. |
| AccountName |
string |
Nome utente dell'account. |
| AccountSid |
string |
Identificatore di sicurezza (SID) dell'account. |
| ActionType |
string |
Tipo di attività che ha attivato l'evento. |
| Campi aggiuntivi |
dynamic |
Informazioni aggiuntive sull'entità o sull'evento. |
| AppGuardContainerId |
string |
Identificatore del contenitore virtualizzato usato da Application Guard per isolare l'attività del browser. |
| _BilledSize |
real |
Dimensioni del record in byte |
| DeviceId |
string |
Identificatore univoco per il dispositivo nel servizio. |
| DeviceName |
string |
Nome di dominio completo (FQDN) del dispositivo. |
| FailureReason |
string |
Informazioni che spiegano il motivo per cui l'azione registrata non è riuscita. |
| AvvioprocessAccountDomain |
string |
Dominio dell'account che ha eseguito il processo responsabile dell'evento. |
| AvvioprocessAccountName |
string |
Nome utente dell'account che ha eseguito il processo responsabile dell'evento. |
| AvvioprocessAccountObjectId |
string |
ID oggetto di Azure AD dell'account utente che ha eseguito il processo responsabile dell'evento. |
| AvvioprocessAccountSid |
string |
ID di sicurezza (SID) dell'account che ha eseguito il processo responsabile dell'evento. |
| AvvioprocessAccountUpn |
string |
Nome dell'entità utente (UPN) dell'account che ha eseguito il processo responsabile dell'evento. |
| AvvioprocessCommandLine |
string |
Riga di comando usata per eseguire il processo che ha avviato l'evento. |
| AvvioprocessCreationTime |
datetime |
Data e ora dell'avvio del processo che ha avviato l'evento. |
| AvvioprocessFileName |
string |
Nome del processo che ha avviato l'evento. |
| AvvioprocessFileSize |
long |
Dimensioni in byte del processo (file di immagine) che ha avviato l'evento. |
| AvvioprocessFolderPath |
string |
Cartella contenente il processo (file di immagine) che ha avviato l'evento. |
| AvvioprocessId |
long |
ID processo (PID) del processo che ha avviato l'evento. |
| AvvioprocessIntegrityLevel |
string |
Livello di integrità del processo che ha avviato l'evento. Windows assegna livelli di integrità ai processi in base a determinate caratteristiche, ad esempio se sono state avviate da un download Internet. Questi livelli di integrità influiscono sulle autorizzazioni per le risorse. |
| AvvioprocessMD5 |
string |
Hash MD5 del processo (file di immagine) che ha avviato l'evento. |
| AvvioprocessParentCreationTime |
datetime |
Data e ora dell'avvio dell'elemento padre del processo responsabile dell'evento. |
| AvvioprocessParentFileName |
string |
Nome del processo padre che ha generato il processo responsabile dell'evento. |
| AvvioprocessParentId |
long |
ID processo (PID) del processo padre che ha generato il processo responsabile dell'evento. |
| AvvioProcessRemoteSessionDeviceName |
string |
Nome del dispositivo remoto da cui è stata avviata la sessione RDP del processo di avvio. |
| AvvioprocessRemoteSessionIP |
string |
Indirizzo IP del dispositivo remoto da cui è stata avviata la sessione RDP del processo di avvio. |
| AvvioprocessSessionId |
long |
ID sessione di Windows del processo di avvio. |
| Avvio diProcessSHA1 |
string |
Hash SHA-1 del processo (file di immagine) che ha avviato l'evento. |
| Avvio diProcessSHA256 |
string |
Hash SHA-256 del processo (file di immagine) che ha avviato l'evento. Questo campo in genere non viene popolato. Usare la colonna SHA1, se disponibile. |
| Avvio diProcessTokenElevation |
string |
Tipo di token che indica la presenza o l'assenza dell'elevazione dei privilegi user Controllo di accesso (UAC) applicata al processo che ha avviato l'evento. |
| AvvioprocessVersionInfoCompanyName |
string |
Nome della società dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento. |
| AvvioprocessVersionInfoFileDescription |
string |
Descrizione delle informazioni sulla versione del processo (file di immagine) responsabile dell'evento. |
| AvvioprocessVersionInfoInternalFileName |
string |
Nome file interno dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento. |
| AvvioprocessVersionInfoOriginalFileName |
string |
Nome file originale dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento. |
| AvvioprocessVersionInfoProductName |
string |
Nome del prodotto dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento. |
| AvvioprocessVersionInfoProductVersion |
string |
Versione del prodotto dalle informazioni sulla versione del processo (file di immagine) responsabile dell'evento. |
| _IsBillable |
string |
Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable è false, l'inserimento dati non viene fatturato all'account Azure |
| IsInitiatingProcessRemoteSession |
bool |
Indica se il processo di avvio è stato eseguito in una sessione RDP (Remote Desktop Protocol) (true) o localmente (false). |
| IsLocalAdmin |
bool |
Indicatore booleano che indica se l'utente è un amministratore locale nel computer. |
| LogonId |
long |
Identificatore per una sessione di accesso. Questo identificatore è univoco nello stesso computer solo tra i riavvii. |
| LogonType |
string |
Tipo di sessione di accesso, in particolare interattivo, remoto (RDP), rete, batch e servizio. |
| MachineGroup |
string |
Gruppo di computer del computer. Questo gruppo viene usato dal controllo degli accessi in base al ruolo per determinare l'accesso al computer. |
| Protocollo |
string |
Protocollo utilizzato durante la comunicazione. |
| RemoteDeviceName |
string |
Nome del dispositivo che ha eseguito un'operazione remota nel computer interessato. A seconda dell'evento segnalato, questo nome potrebbe essere un nome di dominio completo (FQDN), un nome NetBIOS o un nome host senza informazioni di dominio. |
| RemoteIP |
string |
Indirizzo IP a cui è stata stabilita la connessione. |
| RemoteIPType |
string |
Tipo di indirizzo IP, ad esempio Public, Private, Reserved, Loopback, Teredo, FourToSixMapping e Broadcast. |
| RemotePort |
int |
Porta TCP nel dispositivo remoto a cui è stata connessa. |
| ReportId |
long |
Identificatore di evento basato su un contatore ripetuto. Per identificare gli eventi univoci, questa colonna deve essere utilizzata insieme alle colonne ComputerName e EventTime. |
| SourceSystem |
string |
Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, la connessione diretta o Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure |
| TenantId |
string |
L'ID dell'area di lavoro Log Analytics |
| TimeGenerated |
datetime |
Data e ora in cui l'evento è stato registrato dall'agente MDE nell'endpoint. |
| Type |
string |
Nome della tabella |