Udostępnij za pośrednictwem


ASimRegistryEventLogs

Schemat zdarzeń rejestru ASim reprezentuje działanie systemu Windows dotyczące tworzenia, modyfikowania lub usuwania jednostek rejestru systemu Windows. Zdarzenia rejestru są specyficzne dla systemów Windows, ale są zgłaszane przez różne systemy monitorujące system Windows, takie jak systemy EDR (wykrywanie i reagowanie punktów końcowych), Sysmon lub Windows.

Atrybuty tabeli

Atrybut Wartość
Typy zasobów microsoft.securityinsights/asimtables
Kategorie Zabezpieczenia
Rozwiązania SecurityInsights
Dziennik podstawowy Nie.
Przekształcanie czasu pozyskiwania Tak
Przykładowe zapytania -

Kolumny

Kolumna Type Opis
ActingProcessCommandLine string Wiersz polecenia używany do uruchamiania procesu.
ActingProcessGuid string Wygenerowany unikatowy identyfikator działającego procesu.
ActingProcessId string Identyfikator procesu działającego.
ActingProcessName string Nazwa pliku działającego pliku obrazu procesu.
ActorOriginalUserType string Oryginalny typ użytkownika aktora, jeśli został podany przez źródło.
AktorZakres string Zakres, taki jak dzierżawa usługi Azure AD, w którym zdefiniowano element ActorUserId i ActorUsername.
AktorScopeId string Identyfikator zakresu, taki jak identyfikator dzierżawy usługi Azure AD, w którym zdefiniowano element ActorUserId i ActorUsername.
ActorsSessionId string Unikatowy identyfikator sesji logowania aktora.
AktorUserAadId string Identyfikator usługi Azure Active Directory aktora.
AktorUserId string Unikatowy identyfikator aktora.
AktorUserIdType string Typ identyfikatora przechowywanego w polu ActorUserId.
AktorUsername string Nazwa użytkownika, który zainicjował zdarzenie.
AktorUsernameType string Określa typ nazwy użytkownika przechowywanej w polu ActorUsername.
AktorUserSid string Identyfikator użytkownika systemu Windows (SID) aktora.
AktorUserType string Typ aktora.
Dodatkowe pola dynamiczna Dodatkowe informacje reprezentowane przy użyciu par klucz/wartość udostępniane przez źródło, które nie są mapowane na kartę ASim.
_BilledSize rzeczywiste Rozmiar rekordu w bajtach
DvcAction string W przypadku systemów zabezpieczeń raportowania akcja podjęta przez system.
DvcDescription string Tekst opisowy skojarzony z urządzeniem.
DvcDomain string Domena urządzenia zgłasza zdarzenie.
DvcDomainType string Typ DvcDomain.
DvcFQDN string Nazwa hosta urządzenia, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie.
DvcHostname string Nazwa hosta urządzenia zgłasza zdarzenie.
DvcId string Unikatowy identyfikator urządzenia, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie.
DvcIdType string Typ DvcId.
DvcInterface string Interfejs sieciowy, na którym zostały przechwycone dane.
DvcIpAddr string Adres IP urządzenia zgłasza zdarzenie.
DvcMacAddr string Adres MAC urządzenia, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie.
DvcOriginalAction string Oryginalna wersja DvcAction dostarczana przez urządzenie raportowania.
DvcOs string System operacyjny uruchomiony na urządzeniu, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie.
DvcOsVersion string Wersja systemu operacyjnego na urządzeniu, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie.
DvcScope string Zakres platformy w chmurze, do którego należy urządzenie. DvcScope mapuje nazwę subskrypcji na platformę Azure i identyfikator konta na platformie AWS.
DvcScopeId string Identyfikator zakresu platformy w chmurze, do którego należy urządzenie. DvcScopeId mapuje identyfikator subskrypcji na platformę Azure i identyfikator konta na platformie AWS.
DvcZone string Sieć, w której wystąpiło zdarzenie lub które zgłosiło zdarzenie.
EventCount int Liczba zdarzeń opisanych przez rekord.
EventEndTime datetime Godzina zakończenia zdarzenia. Jeśli źródło obsługuje agregację, a rekord reprezentuje wiele zdarzeń, czas wygenerowania ostatniego zdarzenia. Jeśli nie zostanie podany przez rekord źródłowy, to pole aliasuje pole TimeGenerated.
EventMessage string Ogólny komunikat lub opis.
EventOriginalResultDetails string Oryginalne szczegóły wyniku dostarczone przez źródło.
EventOriginalSeverity string Oryginalna ważność podana przez urządzenie raportowania.
EventOriginalSubType string Oryginalny podtyp zdarzenia lub identyfikator, jeśli został podany przez źródło.
EventOriginalType string Unikatowy identyfikator oryginalnego rekordu, jeśli jest dostarczany przez źródło.
EventOriginalUid string .
Właściciel zdarzenia string Właściciel zdarzenia, który jest zwykle działem lub jednostką zależną, w której został wygenerowany.
EventProduct string Produkt generujący zdarzenie.
EventProductVersion string Wersja produktu generująca zdarzenie.
EventReportUrl string Adres URL podany w zdarzeniu dla zasobu, który zawiera więcej informacji o zdarzeniu.
EventResult string Wynik zdarzenia reprezentowany przez jedną z następujących wartości: Powodzenie, Częściowe, Niepowodzenie, NA (Nie dotyczy). Wartość nie może być dostarczana bezpośrednio przez źródła, w tym przypadku pochodzi ona z innych pól zdarzeń, na przykład pola EventResultDetails.
EventResultDetails string Przyczyna lub szczegóły wyniku zgłoszonego w polu EventResult.
EventSchema string Nazwa schematu.
EventSchemaVersion string Wersja schematu.
EventSeverity string Ważność zdarzenia. Prawidłowe wartości to: Informational, Low, Medium lub High.
EventStartTime datetime Czas rozpoczęcia zdarzenia. Jeśli źródło obsługuje agregację, a rekord reprezentuje wiele zdarzeń, czas wygenerowania pierwszego zdarzenia. Jeśli nie zostanie podany przez rekord źródłowy, to pole aliasuje pole TimeGenerated.
EventSubType string Opisuje podział operacji zgłoszonej w polu EventType.
EventType string Opisuje operację zgłoszoną przez rekord.
EventVendor string Dostawca produktu generującego zdarzenie.
_IsBillable string Określa, czy pozyskiwanie danych jest rozliczane. Jeśli pozyskiwanie _IsBillable false nie jest rozliczane na koncie platformy Azure
ParentProcessCommandLine string Wiersz polecenia używany do uruchamiania procesu.
ParentProcessGuid string Wygenerowany unikatowy identyfikator procesu nadrzędnego.
ParentProcessId string Identyfikator procesu nadrzędnego.
ParentProcessName string Nazwa pliku nadrzędnego pliku obrazu procesu.
Klucz rejestru string Klucz rejestru skojarzony z operacją znormalizowany do standardowych konwencji nazewnictwa kluczy głównych.
RegistryPreviousKey string W przypadku operacji modyfikujących rejestr oryginalny klucz rejestru znormalizowany do standardowego nazewnictwa kluczy głównych.
RegistryPreviousValue string W przypadku operacji modyfikujących rejestr oryginalny typ wartości znormalizowany do formularza standardowego.
RegistryPreviousValueData string Oryginalne dane rejestru dla operacji modyfikujących rejestr.
RegistryPreviousValueType string W przypadku operacji modyfikujących rejestr oryginalny typ wartości.
RegistryValue string Wartość rejestru skojarzona z operacją.
RegistryValueData string Dane przechowywane w wartości rejestru.
RegistryValueType string Typ wartości rejestru znormalizowany do formularza standardowego.
_ResourceId string Unikatowy identyfikator zasobu skojarzonego z rekordem
RuleName string Nazwa lub identyfikator reguły skojarzonej z wynikami inspekcji.
RuleNumber int Liczba reguł skojarzonych z wynikami inspekcji.
SourceSystem string Typ agenta, przez który zdarzenie zostało zebrane. Na przykład OpsManager w przypadku agenta systemu Windows— bezpośredniego połączenia lub programu Operations Manager — Linux dla wszystkich agentów systemu Linux lub Azure dla Diagnostyka Azure
_SubscriptionId string Unikatowy identyfikator subskrypcji, z którą jest skojarzony rekord
TenantId string Identyfikator obszaru roboczego usługi Log Analytics
ThreatCategory string Kategoria zagrożenia lub złośliwego oprogramowania zidentyfikowanego w działaniu.
ThreatConfidence int Zidentyfikowany poziom ufności zagrożenia znormalizowany do wartości z zakresu od 0 do 100.
ThreatField string Pole, dla którego zidentyfikowano zagrożenie.
ThreatFirstReportedTime datetime Po raz pierwszy adres IP lub domena zostały zidentyfikowane jako zagrożenie.
ThreatId string Identyfikator zagrożenia lub złośliwego oprogramowania zidentyfikowanego w działaniu.
ThreatIsActive bool Prawdziwy identyfikator zidentyfikowanego zagrożenia jest uznawany za aktywne zagrożenie.
ThreatLastReportedTime datetime Ostatni raz adres IP lub domena zostały zidentyfikowane jako zagrożenie.
ThreatName string Nazwa zagrożenia lub złośliwego oprogramowania zidentyfikowanego w działaniu.
ThreatOriginalConfidence string Oryginalny poziom ufności zidentyfikowanego zagrożenia, zgodnie z raportem urządzenia raportowania.
ThreatOriginalRiskLevel string Poziom ryzyka zgłoszony przez urządzenie raportowania.
ThreatRiskLevel int Poziom ryzyka skojarzony z zidentyfikowanym zagrożeniem. Poziom powinien być liczbą z zakresu od 0 do 100.
TimeGenerated datetime Znacznik czasu (UTC) odzwierciedla czas wygenerowania zdarzenia.
Typ string Nazwa tabeli