Delen via

DeviceProcessEvents

  • Artikel

Van toepassing op:

  • Microsoft Defender XDR
  • Microsoft Defender voor Eindpunt

De DeviceProcessEvents tabel in het geavanceerde opsporingsschema bevat informatie over het maken van processen en gerelateerde gebeurtenissen. Gebruik deze verwijzing om query's te maken die informatie uit deze tabel retourneren.

Tip

Voor gedetailleerde informatie over de gebeurtenistypen (ActionTypewaarden) die door een tabel worden ondersteund, gebruikt u de ingebouwde schemaverwijzing die beschikbaar is in Microsoft Defender XDR.

Zie de geavanceerde opsporingsreferentie voor meer informatie over andere tabellen in het geavanceerde opsporingsschema.

Kolomnaam Gegevenstype: Beschrijving
Timestamp datetime Datum en tijd waarop de gebeurtenis is vastgelegd
DeviceId string Unieke id voor het apparaat in de service
DeviceName string Fully Qualified Domain Name (FQDN) van het apparaat
ActionType string Type activiteit dat de gebeurtenis heeft geactiveerd. Zie de naslaginformatie over het schema in de portal voor meer informatie.
FileName string Naam van het bestand waarop de vastgelegde actie is toegepast
FolderPath string Map met het bestand waarop de vastgelegde actie is toegepast
SHA1 string SHA-1 van het bestand waarop de vastgelegde actie is toegepast
SHA256 string SHA-256 van het bestand waarop de opgenomen actie is toegepast. Dit veld wordt meestal niet ingevuld. Gebruik de kolom SHA1 indien beschikbaar.
MD5 string MD5-hash van het bestand waarop de vastgelegde actie is toegepast
FileSize long Grootte van het bestand in bytes
ProcessVersionInfoCompanyName string Bedrijfsnaam uit de versiegegevens van het zojuist gemaakte proces
ProcessVersionInfoProductName string Productnaam uit de versiegegevens van het zojuist gemaakte proces
ProcessVersionInfoProductVersion string Productversie van de versiegegevens van het zojuist gemaakte proces
ProcessVersionInfoInternalFileName string Interne bestandsnaam uit de versiegegevens van het zojuist gemaakte proces
ProcessVersionInfoOriginalFileName string Oorspronkelijke bestandsnaam uit de versiegegevens van het zojuist gemaakte proces
ProcessVersionInfoFileDescription string Beschrijving van de versiegegevens van het zojuist gemaakte proces
ProcessId long Proces-id (PID) van het zojuist gemaakte proces
ProcessCommandLine string Opdrachtregel die wordt gebruikt om het nieuwe proces te maken
ProcessIntegrityLevel string Integriteitsniveau van het zojuist gemaakte proces. Windows wijst integriteitsniveaus toe aan processen op basis van bepaalde kenmerken, bijvoorbeeld als ze zijn gestart vanaf een gedownload internet. Deze integriteitsniveaus zijn van invloed op machtigingen voor resources.
ProcessTokenElevation string Geeft het type tokenverhoging aan dat is toegepast op het zojuist gemaakte proces. Mogelijke waarden: TokenElevationTypeLimited (restricted), TokenElevationTypeDefault (standard) en TokenElevationTypeFull (verhoogde bevoegdheid)
ProcessCreationTime datetime Datum en tijd waarop het proces is gemaakt
AccountDomain string Domein van het account
AccountName string Gebruikersnaam van het account; als het apparaat is geregistreerd in Microsoft Entra ID, kan in plaats daarvan de Entra ID-gebruikersnaam van het account worden weergegeven
AccountSid string Beveiligings-id (SID) van het account
AccountUpn string User Principal Name (UPN) van het account; als het apparaat is geregistreerd in Microsoft Entra ID, kan in plaats daarvan de ENTRA-ID-UPN van het account worden weergegeven
AccountObjectId string Unieke id voor het account in Microsoft Entra ID
LogonId long Id voor een aanmeldingssessie. Deze id is alleen uniek op hetzelfde apparaat tussen het opnieuw opstarten.
InitiatingProcessAccountDomain string Domein van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountName string Gebruikersnaam van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis; als het apparaat is geregistreerd in Microsoft Entra ID, kan in plaats daarvan de Entra ID-gebruikersnaam worden weergegeven van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountSid string Beveiligings-id (SID) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountUpn string User Principal Name (UPN) van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis; als het apparaat is geregistreerd in Microsoft Entra ID, kan in plaats daarvan de ENTRA-ID-UPN worden weergegeven van het account dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessAccountObjectId string Microsoft Entra object-id van het gebruikersaccount dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessLogonId long Id voor een aanmeldingssessie van het proces dat de gebeurtenis heeft geïnitieerd. Deze id is alleen uniek op hetzelfde apparaat tussen het opnieuw opstarten.
InitiatingProcessIntegrityLevel string Integriteitsniveau van het proces dat de gebeurtenis heeft geïnitieerd. Windows wijst integriteitsniveaus toe aan processen op basis van bepaalde kenmerken, bijvoorbeeld als ze zijn gestart vanuit een internetdownload. Deze integriteitsniveaus zijn van invloed op machtigingen voor resources.
InitiatingProcessTokenElevation string Tokentype dat de aanwezigheid of afwezigheid aangeeft van uitbreiding van gebruikersrechten Access Control (UAC) die is toegepast op het proces dat de gebeurtenis heeft geïnitieerd
InitiatingProcessSHA1 string SHA-1-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessSHA256 string SHA-256 van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd. Dit veld wordt meestal niet ingevuld. Gebruik de kolom SHA1 indien beschikbaar.
InitiatingProcessMD5 string MD5-hash van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessFileName string Naam van het procesbestand dat de gebeurtenis heeft geïnitieerd; indien niet beschikbaar, kan de naam van het proces dat de gebeurtenis heeft geïnitieerd, in plaats daarvan worden weergegeven
InitiatingProcessFileSize long Grootte van het bestand dat het proces heeft uitgevoerd dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoCompanyName string Bedrijfsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoProductName string Productnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoProductVersion string Productversie van de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoInternalFileName string Interne bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoOriginalFileName string Oorspronkelijke bestandsnaam uit de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessVersionInfoFileDescription string Beschrijving van de versiegegevens van het proces (afbeeldingsbestand) dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessId long Proces-id (PID) van het proces dat de gebeurtenis heeft geïnitieerd
InitiatingProcessCommandLine string Opdrachtregel die wordt gebruikt om het proces uit te voeren dat de gebeurtenis heeft geïnitieerd
InitiatingProcessCreationTime datetime Datum en tijd waarop het proces dat de gebeurtenis heeft geïnitieerd, is gestart
InitiatingProcessFolderPath string Map met het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessParentId long Proces-id (PID) van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessParentFileName string Naam van het bovenliggende proces dat het proces heeft voortgebracht dat verantwoordelijk is voor de gebeurtenis
InitiatingProcessParentCreationTime datetime Datum en tijd waarop de bovenliggende van het proces dat verantwoordelijk is voor de gebeurtenis is gestart
InitiatingProcessSignerType string Type ondertekenaar van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
InitiatingProcessSignatureStatus string Informatie over de handtekeningstatus van het proces (afbeeldingsbestand) dat de gebeurtenis heeft geïnitieerd
ReportId long Gebeurtenis-id op basis van een herhalende teller. Om unieke gebeurtenissen te identificeren, moet deze kolom worden gebruikt in combinatie met de kolommen DeviceName en Timestamp.
AppGuardContainerId string Id voor de gevirtualiseerde container die door Application Guard wordt gebruikt om browseractiviteit te isoleren
AdditionalFields string Aanvullende informatie over de gebeurtenis in JSON-matrixindeling
InitiatingProcessSessionId long Windows-sessie-id van het initiërende proces
IsInitiatingProcessRemoteSession bool Geeft aan of het initiërende proces is uitgevoerd onder een RDP-sessie (Remote Desktop Protocol) (true) of lokaal (onwaar)
InitiatingProcessRemoteSessionDeviceName string Apparaatnaam van het externe apparaat waarop de RDP-sessie van het initiërende proces is gestart
InitiatingProcessRemoteSessionIP string IP-adres van het externe apparaat waarop de RDP-sessie van het initiërende proces is gestart
CreatedProcessSessionId long Windows-sessie-id van het gemaakte proces
IsProcessRemoteSession bool Geeft aan of het gemaakte proces is uitgevoerd onder een RDP-sessie (Remote Desktop Protocol) (true) of lokaal (onwaar)
ProcessRemoteSessionDeviceName string Apparaatnaam van het externe apparaat waarop de RDP-sessie van het gemaakte proces is gestart
ProcessRemoteSessionIP string IP-adres van het externe apparaat waarop de RDP-sessie van het gemaakte proces is gestart

Tip

Wil je meer weten? Neem contact op met de Microsoft Beveiliging-community in onze Tech Community: Microsoft Defender XDR Tech Community.