ASimRegistryEventLogs

O esquema de Evento do Registro ASim representa a atividade do Windows de criar, modificar ou excluir entidades do Registro do Windows. Os eventos de registro são específicos para sistemas Windows, mas são relatados por sistemas diferentes que monitoram Windows, como os sistemas EDR (detecção de ponto de extremidade e resposta), Sysmon ou Windows em si.

Atributos da tabela

Atributo	Valor
Tipos de recursos	microsoft.securityinsights/asimtables
Categorias	Segurança
Soluções	SecurityInsights
Log básico	Não
Transformação de tempo de ingestão	Sim
Consultas de amostras	-

Colunas

Coluna	Type	Descrição
ActingProcessCommandLine	string	A linha de comando usada para executar o processo.
ActingProcessGuid	string	Um identificador exclusivo gerado do processo de atuação.
ActingProcessId	string	A ID do processo de atuação.
ActingProcessName	string	O nome de arquivo do arquivo de imagem do processo de ação.
ActorOriginalUserType	string	O tipo de usuário ator original, se fornecido pela origem.
ActorScope	string	O escopo, como o locatário do Azure AD, no qual ActorUserId e ActorUsername são definidos.
ActorScopeId	string	A ID do escopo, como a ID do locatário do Azure AD, na qual ActorUserId e ActorUsername são definidos.
ActorSessionId	string	A ID exclusiva da sessão de logon de Actor.
AtorUsuárioAadId	string	A ID do Azure Active Directory do ator.
ActorUserId	string	A ID exclusiva de Actor.
ActorUserIdType	string	O tipo da ID armazenada no campo ActorUserId.
ActorUsername	string	O nome do usuário que iniciou o evento.
ActorUsernameType	string	Especifica o tipo de nome de usuário armazenado no campo ActorUsername.
AtorUsuárioSid	string	A ID de usuário do Windows (SIDs) do ator.
ActorUserType	string	O tipo do ator.
AdditionalFields	dinâmico	Informações adicionais, representadas usando pares de chave/valor fornecidos pela origem que não são mapeados para ASim.
_BilledSize	real	O tamanho do registro em bytes
DvcAction	string	Para relatar sistemas de segurança, a ação executada pelo sistema.
DvcDescription	string	Um texto descritivo associado ao dispositivo.
DvcDomain	string	O domínio do dispositivo que relata o evento.
DvcDomainType	string	O tipo de DvcDomain.
DvcFQDN	string	O nome do host do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcHostname	string	O nome do host do dispositivo que relata o evento.
DvcId	string	A ID exclusiva do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcIdType	string	O tipo de DvcId.
DvcInterface	string	A interface de rede em que os dados foram capturados.
DvcIpAddr	string	O endereço IP do dispositivo que relata o evento.
DvcMacAddr	string	O endereço MAC do dispositivo no qual o evento ocorreu ou que relatou o evento.
DvcOriginalAction	string	A DvcAction original, conforme fornecida pelo dispositivo de relatório.
DvcOs	string	O sistema operacional em execução no dispositivo em que o evento ocorreu ou que relatou o evento.
DvcOsVersion	string	A versão do sistema operacional do dispositivo em que o evento ocorreu ou que relatou o evento.
DvcScope	string	O escopo da plataforma de nuvem à qual o dispositivo pertence. O DvcScope é mapeado para um nome de assinatura no Azure e para uma ID de conta no AWS.
DvcScopeId	string	A ID do escopo da plataforma de nuvem à qual o dispositivo pertence. Mapa do DvcScopeId para uma ID da assinatura no Azure e para uma ID da conta na AWS.
DvcZone	string	A rede na qual o evento ocorreu ou que relatou o evento.
EventCount	int	O número de eventos descritos pelo registro.
EventEndTime	datetime	A hora em que o evento terminou. Se a origem der suporte à agregação e o registro representar vários eventos, a hora em que o último evento foi gerado. Se não for fornecido pelo registro de origem, esse campo terá como alias o campo TimeGenerated.
EventMessage	string	Uma mensagem ou descrição geral.
EventOriginalResultDetails	string	Os detalhes do resultado original fornecidos pela origem.
EventOriginalSeverity	string	A severidade original, conforme fornecido pelo dispositivo de relatório.
EventOriginalSubType	string	O subtipo ou a ID do evento original, se fornecido pela origem.
EventOriginalType	string	Uma ID exclusiva do registro original, se fornecida pela origem.
EventOriginalUid	string	.
EventOwner	string	O proprietário do evento, que geralmente é o departamento ou subsidiária no qual ele foi gerado.
EventProduct	string	O produto que gera o evento.
EventProductVersion	string	A versão do produto que gera o evento.
EventReportUrl	string	Uma URL fornecida no evento para um recurso que apresenta informações adicionais sobre o evento.
EventResult	string	O resultado do evento, representado por um dos seguintes valores: Sucesso, Parcial, Falha, NA (Não Aplicável). O valor pode não ser fornecido diretamente pelas fontes, caso em que é derivado de outros campos de evento, por exemplo, o campo EventResultDetails.
EventResultDetails	string	Motivo ou detalhes do resultado relatado no campo EventResult.
EventSchema	string	O nome do esquema.
EventSchemaVersion	string	A versão do esquema.
EventSeverity	string	Gravidade do evento. Os valores válidos são: Informativo, Baixo, Médio ou Alto.
EventStartTime	datetime	A hora em que o evento iniciou. Se a origem der suporte à agregação e o registro representar vários eventos, a hora em que o primeiro evento foi gerado. Se não for fornecido pelo registro de origem, esse campo terá como alias o campo TimeGenerated.
EventSubType	string	Descreve uma subdivisão da operação relatada no campo EventType.
EventType	string	Descreve a operação relatada pelo registro.
EventVendor	string	O fornecedor do produto que gera o evento.
_IsBillable	string	Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false a ingestão não é cobrada para sua conta do Azure
ParentProcessCommandLine	string	A linha de comando usada para executar o processo.
ParentProcessGuid	string	Um identificador exclusivo gerado do processo pai.
ParentProcessId	string	A ID do processo pai.
ParentProcessName	string	O nome de arquivo do arquivo de imagem do processo pai.
RegistryKey	string	A chave do Registro associada à operação, normalizada para convenções de nomenclatura de chave raiz padrão.
RegistryPreviousKey	string	Para operações que mudam o registro, a chave do Registro original, normalizada para a nomenclatura de chave raiz padrão.
RegistryPreviousValue	string	Para operações que mudam o registro, o tipo de valor original, normalizado para o formulário padrão.
RegistryPreviousValueData	string	Os dados de registro originais, para operações que mudam o registro.
RegistryPreviousValueType	string	Para operações que mudam o registro, o tipo de valor original.
RegistryValue	string	O valor de registro associado à operação.
RegistryValueData	string	Os dados armazenados no valor de registro.
RegistryValueType	string	O tipo de valor de registro, normalizado para o formulário padrão.
_ResourceId	string	Identificador exclusivo do recurso ao qual o registro está associado
RuleName	string	O nome ou a ID da regra associada aos resultados da inspeção.
RuleNumber	int	O número da regra associada aos resultados da inspeção.
SourceSystem	string	O tipo de agente pelo qual o evento foi coletado. Por exemplo, OpsManager para agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes do Linux ou Azure para o Diagnóstico do Azure
_SubscriptionId	string	Identificador exclusivo da assinatura à qual o registro está associado
TenantId	string	A ID do workspace do Log Analytics
ThreatCategory	string	A categoria da ameaça ou malware identificado na atividade.
ThreatConfidence	int	O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatField	string	O campo para o qual uma ameaça foi identificada.
ThreatFirstReportedTime	datetime	A primeira vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatId	string	O ID da ameaça ou malware identificado na atividade.
ThreatIsActive	bool	True, a ID da ameaça identificada é considerada uma ameaça ativa.
ThreatLastReportedTime	datetime	A última vez em que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatName	string	O nome da ameaça ou malware identificado na atividade.
ThreatOriginalConfidence	string	O nível de confiança original da ameaça identificada, conforme relatado pelo dispositivo de relatório.
ThreatOriginalRiskLevel	string	O nível de risco, conforme relatado pelo dispositivo de relatório.
ThreatRiskLevel	int	O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.
TimeGenerated	datetime	O carimbo de data/hora (UTC) que reflete a hora em que o evento foi gerado.
Type	string	O nome da tabela