Compartilhar via

ASimAuditEventLogs

  • Artigo

Tabela de eventos de auditoria normalizados do Microsoft Sentinel. Armazena eventos associados à trilha de auditoria de sistemas de informação e registra atividades de configuração do sistema e alterações de política. Essas alterações geralmente são executadas por administradores do sistema, mas também podem ser executadas pelos usuários ao definir as configurações de seus próprios aplicativos.

Atributos da tabela

Atributo Valor
Tipos de recursos microsoft.securityinsights/auditeventnormalized
Categorias Segurança
Soluções SecurityInsights
Log básico Não
Transformação de tempo de ingestão Sim
Consultas de amostras -

Colunas

Coluna Type Description
ActingAppId string A ID do aplicativo que iniciou a atividade relatada, incluindo um processo, navegador ou serviço.
ActingAppName string O nome do aplicativo que iniciou a atividade relatada, incluindo um serviço, uma URL ou um aplicativo SaaS.
ActingAppType string O tipo de aplicativo de ação.
TipoDeAçãoOriginalAppType string O tipo de aplicativo atuante, conforme relatado pelo dispositivo de relatório.
ActorOriginalUserType string O tipo de usuário, conforme relatado pelo dispositivo de relatório.
ActorScope string O escopo, como o locatário do Azure AD, no qual ActorUserId e ActorUsername são definidos.
ActorScopeId string A ID do escopo, como a ID do locatário do Azure AD, na qual ActorUserId e ActorUsername são definidos.
ActorSessionId string A ID exclusiva da sessão de entrada do Ator.
AtorUsuárioAadId string A ID do Azure Active Directory do ator.
ActorUserId string Uma representação única, alfanumérica e legível por máquina do ator.
ActorUserIdType string O tipo da ID armazenada no campo ActorUserId.
ActorUsername string O nome de usuário do Ator, incluindo informações de domínio, quando disponíveis.
ActorUsernameType string O tipo de nome de usuário do Ator especificado no campo ActionUsername
AtorUsuárioSid string A ID de usuário do Windows (SIDs) do ator.
ActorUserType string O tipo do ator.
AdditionalFields dinâmico Informações adicionais, representadas usando pares de chave/valor fornecidos pela origem que não são mapeados para ASim.
_BilledSize real O tamanho do registro em bytes
DvcAction string Para relatar sistemas de segurança, a ação executada pelo sistema.
DvcDescription string Um texto descritivo associado ao dispositivo.
DvcDomain string O domínio do dispositivo que relata o evento.
DvcDomainType string O tipo de DvcDomain.
DvcFQDN string O nome do host do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcHostname string O nome do host do dispositivo que relata o evento.
DvcId string A ID exclusiva do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcIdType string O tipo de DvcId.
DvcInterface string A interface de rede em que os dados foram capturados.
DvcIpAddr string O endereço IP do dispositivo que relata o evento.
DvcMacAddr string O endereço MAC do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcOriginalAction string A DvcAction original, conforme fornecida pelo dispositivo de relatório.
DvcOs string O sistema operacional em execução no dispositivo em que o evento ocorreu ou que relatou o evento.
DvcOsVersion string A versão do sistema operacional do dispositivo em que o evento ocorreu ou que relatou o evento.
DvcScope string O escopo da plataforma de nuvem à qual o dispositivo pertence. Mapa do DvcScope para uma ID da assinatura no Azure e para uma ID da conta na AWS.
DvcScopeId string A ID do escopo da plataforma de nuvem à qual o dispositivo pertence. Mapa do DvcScopeId para uma ID da assinatura no Azure e para uma ID da conta na AWS.
DvcZone string A rede na qual o evento ocorreu ou que relatou o evento.
EventCount int O número de eventos descritos pelo registro.
EventEndTime datetime A hora (UTC) em que o evento terminou. Se a origem for compatível com a agregação e o registro representar vários eventos, especificará a hora em que o último evento foi gerado. Se não for fornecido pelo registro de origem, esse campo terá como alias o campo TimeGenerated.
EventMessage string Uma mensagem ou descrição geral.
EventOriginalResultDetails string Os detalhes do resultado original fornecidos pela origem.
EventOriginalSeverity string A severidade original, conforme fornecido pelo dispositivo de relatório.
EventOriginalSubType string O subtipo ou a ID do evento original, se fornecido pela origem.
EventOriginalType string O ID ou tipo de evento original, se fornecido pela origem.
EventOriginalUid string Uma ID exclusiva do registro original, se fornecida pela origem.
EventOwner string O proprietário do evento, que geralmente é o departamento ou subsidiária no qual ele foi gerado.
EventProduct string O produto que gera o evento.
EventProductVersion string A versão do produto que gera o evento.
EventReportUrl string Uma URL fornecida no evento para um recurso que apresenta informações adicionais sobre o evento.
EventResult string O resultado do evento, representado por um dos seguintes valores: Sucesso, Parcial, Falha, NA (Não Aplicável). O valor pode não ser fornecido diretamente pelas fontes, caso em que é derivado de outros campos de evento, por exemplo, o campo EventResultDetails.
EventResultDetails string Motivo ou detalhes do resultado relatado no campo EventResult.
EventSchemaVersion string A versão do esquema.
EventSeverity string Gravidade do evento. Os valores válidos são: Informativo, Baixo, Médio ou Alto.
EventStartTime datetime A hora (UTC) em que o evento começou. Se a origem for compatível com a agregação e o registro representar vários eventos, especificará a hora em que o primeiro evento foi gerado. Se não for fornecido pelo registro de origem, esse campo terá como alias o campo TimeGenerated.
EventSubType string Descreve uma subdivisão da operação relatada no campo EventType.
EventType string Descreve a operação relatada pelo registro
EventVendor string O fornecedor do produto que gera o evento.
HttpUserAgent string Quando a autenticação é executada por HTTP ou HTTPS, o valor desse campo é o cabeçalho HTTP user_agent fornecido pelo aplicativo de ação ao executar a autenticação.
_IsBillable string Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false a ingestão não é cobrada para sua conta do Azure
NewValue string O novo valor de Object após a operação ter sido executada.
Objeto string O nome do objeto no qual é executada a operação identificada por EventType.
ObjectId string O nome do objeto no qual é executada a operação identificada por EventType.
ObjectType string O tipo de Object.
OldValue string O valor antigo de Object antes da operação.
Operação string A operação auditada conforme relatado pelo dispositivo de relatório.
OriginalObjectType string O tipo de objeto conforme relatado pelo dispositivo de relatório.
_ResourceId string Identificador exclusivo do recurso ao qual o registro está associado
RuleName string O nome ou a ID da regra associada aos resultados da inspeção.
RuleNumber int O número da regra associada aos resultados da inspeção.
SourceSystem string O tipo de agente pelo qual o evento foi coletado. Por exemplo, OpsManager para agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes do Linux ou Azure para o Diagnóstico do Azure
SrcDescription string Um texto descritivo associado ao dispositivo de origem.
SrcDeviceType string O tipo do dispositivo de origem.
SrcDomain string O domínio do dispositivo de origem.
SrcDomainType string O tipo de SrcDomain.
SrcDvcId string A ID do dispositivo de origem.
SrcDvcIdType string Tipo de SrcDvcId.
SrcDvcScope string O escopo da plataforma de nuvem ao qual o dispositivo de origem pertence. Mapa do SrcDvcScope para uma ID da assinatura no Azure e para uma ID da conta no AWS.
SrcDvcScopeId string O ID do escopo da plataforma de nuvem ao qual o dispositivo de origem pertence. Mapa do SrcDvcScopeId para uma ID da assinatura no Azure e para uma ID da conta na AWS.
SrcFQDN string O nome do host do dispositivo de origem, incluindo informações de domínio quando disponível.
SrcGeoCity string A cidade associada ao endereço IP de origem.
SrcGeoCountry string O país associado ao endereço IP de origem.
SrcGeoLatitude real A latitude da coordenada geográfica associada ao endereço IP de origem.
SrcGeoLongitude real A longitude da coordenada geográfica associada ao endereço IP de origem.
SrcGeoRegion string A região em um país associado ao endereço IP de origem.
SrcHostname string O nome do host do dispositivo de origem, incluindo informações de domínio.
SrcIpAddr string O endereço IP de origem do qual a conexão ou sessão se originou.
SrcOriginalRiskLevel string O nível de risco associado à Fonte identificada, conforme relatado pelo dispositivo de relatório.
SrcPortNumber int A porta IP de origem da qual a conexão se originou.
SrcRiskLevel int O nível de risco associado à Fonte identificada.
_SubscriptionId string Identificador exclusivo da assinatura à qual o registro está associado
TargetAppId string A ID do aplicativo para o qual se aplica o evento, incluindo um processo, navegador ou serviço.
TargetAppName string O nome do aplicativo para o qual se aplica o evento, incluindo um serviço, uma URL ou um aplicativo SaaS.
TargetAppType string O tipo de aplicativo que está autorizando em nome do ator.
TargetDescription string Um texto descritivo associado ao dispositivo de destino.
TargetDeviceType string O tipo do dispositivo de destino.
TargetDomain string O domínio do dispositivo de destino.
TargetDomainType string Tipo de TargetDomain.
TargetDvcId string A ID do dispositivo de destino.
TargetDvcIdType string Tipo de TargetDvcId.
TargetDvcOs string O sistema operacional do dispositivo de destino.
TargetDvcScope string O escopo da plataforma de nuvem ao qual o dispositivo de destino pertence. Mapa do TargetDvcScope para uma ID da assinatura no Azure e para uma ID da conta na AWS.
TargetDvcScopeId string O ID do escopo da plataforma de nuvem ao qual o dispositivo de destino pertence. Mapa do TargetDvcScopeId para uma ID da assinatura no Azure e para uma ID da conta na AWS.
TargetFQDN string O nome do host do dispositivo de destino, incluindo informações de domínio quando disponíveis.
TargetGeoCity string A cidade associada ao endereço IP de destino.
TargetGeoCountry string O país associado ao endereço IP de destino.
TargetGeoLatitude real A latitude da coordenada geográfica associada ao endereço IP de destino.
TargetGeoLongitude real A longitude da coordenada geográfica associada ao endereço IP de destino.
TargetGeoRegion string A região em um país associada ao endereço IP de destino.
TargetHostname string O nome do host do dispositivo de destino, incluindo informações de domínio.
TargetIpAddr string O endereço IP de destino do qual a conexão ou sessão foi originada.
TargetOriginalAppType string O tipo de aplicativo de destino, conforme relatado pelo dispositivo de relatório.
TargetOriginalRiskLevel string O nível do risco associado ao destino, conforme relatado pelo dispositivo de relatório.
TargetPortNumber int A porta IP de destino da qual a conexão se originou.
TargetRiskLevel int O nível do risco associado ao destino.
TargetUrl string Uma URL associada ao aplicativo de destino.
TenantId string A ID do workspace do Log Analytics
ThreatCategory string A categoria da ameaça ou malware identificada na atividade de auditoria.
ThreatConfidence int O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatField string O campo para o qual uma ameaça foi identificada.
ThreatFirstReportedTime datetime A primeira vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatId string A ID da ameaça ou do malware identificado na atividade de auditoria.
ThreatIpAddr string Um endereço IP ou domínio para o qual uma ameaça foi identificada.
ThreatIsActive bool True, se a ameaça identificada é considerada uma ameaça ativa.
ThreatLastReportedTime datetime A última vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatName string O nome da ameaça ou do malware identificado na atividade de auditoria.
ThreatOriginalConfidence string O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório.
ThreatOriginalRiskLevel string O nível de risco, conforme relatado pelo dispositivo de relatório.
ThreatRiskLevel int O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.
TimeGenerated datetime O carimbo de data/hora (UTC) que reflete a hora em que o evento foi gerado.
Type string O nome da tabela
ValueType string O tipo dos valores antigos e novos.