Compartilhar via

MDCFileIntegrityMonitoringEvents

  • Artigo

Visualize as alterações dos arquivos do Windows e do Linux, bem como das chaves de registro do software. Os eventos dessa tabela são coletados pelo Microsoft Defender para Ponto de Extremidade (MDE).

Atributos da tabela

Atributo Valor
Tipos de recursos -
Categorias Segurança
Soluções LogManagement
Log básico Sim
Transformação de tempo de ingestão Não
Consultas de amostras -

Colunas

Coluna Type Descrição
AADTenantID string A ID do locatário do AAD da assinatura na qual a entidade monitorada foi criada, renomeada, modificada ou excluída.
AzureResourceId string A ID de recurso do Azure do recurso cuja entidade monitorada foi criada, renomeada, modificada ou excluída.
_BilledSize real O tamanho do registro em bytes
ChangeType string O tipo de alteração que ocorreu na entidade. Para 'Arquivo', a entidade deve ser 'Criado', 'Modificado', 'Renomeado' ou 'Excluído'. Para 'Registro', a entidade deve ser 'RegistryKeyCreated', 'RegistryKeyDeleted', 'RegistryValueSet', 'RegistryValueDeleted', 'RegistryKeyRenamed'.
Identificador de nuvem string O identificador de nuvem do recurso.
Provedor de nuvem string O provedor de nuvem do recurso.
CloudResourceType string O tipo do recurso de nuvem.
Computador string O nome do computador no qual a entidade monitorada foi criada, renomeada, modificada ou excluída.
FileMd5 string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o MD5 do arquivo que foi modificado, criado ou excluído.
FileName string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o nome do arquivo que foi criado, renomeado, modificado ou excluído.
FilePath string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o caminho do arquivo que foi criado, renomeado, modificado ou excluído.
ArquivoSha1 string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o SHA1 do arquivo que foi modificado, criado ou excluído.
ArquivoSha256 string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o SHA256 do arquivo que foi modificado, criado ou excluído.
Tamanho do arquivo longo Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o tamanho atual (em bytes) do arquivo que foi criado, renomeado, modificado ou excluído.
FileType string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o tipo de arquivo que foi criado, renomeado, modificado ou excluído. Exemplo de valores possíveis: Zip, PDF, Xar etc.
IniciandoProcessoNome_doDomínio_da_Conta string Contém o nome de domínio da conta do processo inicial que causou o evento de entidade monitorada.
IniciandoNomedaContaDeProcesso string Contém o nome da conta do processo inicial que causou o evento de entidade monitorada.
IniciandoProcessAccountSid string Mantém o SID da conta do processo de inicialização que causou o evento de entidade monitorada.
IniciandoProcessoCriaçãoTempo datetime Mantém a hora de criação do processo inicial que causou o evento de entidade monitorada.
IniciandoProcessoVisto datetime Contém a primeira hora vista do processo de inicialização que causou o evento de entidade monitorada.
IniciandoProcessId longo Contém a ID do processo inicial que causou o evento de entidade monitorada.
IniciandoNome_do_Arquivo_do_ProcessoImage_Iniciar string Contém o nome do arquivo de imagem do processo inicial que causou o evento de entidade monitorada.
IniciandoProcessoImageFilePath string Contém o caminho do arquivo de imagem do processo inicial que causou o evento de entidade monitorada.
IniciandoProcessImageFileType string Contém o tipo de arquivo de imagem do processo de inicialização que causou o evento de entidade monitorada.
IniciandoNomeDoProcesso string Contém o nome do processo inicial que causou o evento de entidade monitorada.
IniciandoProcessSessionId longo Contém a ID da sessão do processo inicial que causou o evento de entidade monitorada.
IniciandoProcessSource string Contém a origem do processo inicial que causou o evento de entidade monitorada.
InitProcImageCreationTimeUtc datetime Mantém o tempo de criação da imagem para a imagem do processo de inicialização que causou o evento de entidade monitorada.
InitProcImageFileSizeInBytes longo Contém o tamanho do arquivo de imagem (em Bytes) do processo inicial que causou o evento de entidade monitorada.
InitProcImageLastAccessTimeUtc datetime Mantém a hora do último acesso da imagem para a imagem do processo inicial que causou o evento de entidade monitorada.
InitProcImageLastWriteTimeUtc datetime Mantém a hora da última gravação da imagem para a imagem do processo inicial que causou o evento de entidade monitorada.
InitProcImageLsHash string Contém o hash LS da imagem para a imagem do processo inicial que causou o evento de entidade monitorada.
InitProcImageMd5 string Contém a imagem MD5 para a imagem do processo inicial que causou o evento de entidade monitorada.
InitProcImagePeTimestampUtc datetime Mantém o tempo PE da imagem para a imagem do processo de inicialização que causou o evento de entidade monitorada.
InitProcImageSha1 string Contém a imagem SHA 1 para a imagem do processo inicial que causou o evento de entidade monitorada.
InitProcImageSha256 string Contém a imagem SHA 256 para a imagem do processo inicial que causou o evento de entidade monitorada.
InitProcVersionInfoCompanyName string Contém o nome da empresa de informações de versão do processo inicial que causou o evento de entidade monitorada.
InitProcVersionInfoFileDescription string Contém a descrição do arquivo de informações da versão do processo inicial que causou o evento de entidade monitorada.
InitProcVersionInfoInternalFileName string Contém o nome do arquivo interno de informações de versão do processo inicial que causou o evento de entidade monitorada.
InitProcVersionInfoOriginalFileName string Contém o nome do arquivo original das informações de versão do processo inicial que causou o evento de entidade monitorada.
InitProcVersionInfoProductName string Contém o nome do produto de informações de versão do processo inicial que causou o evento de entidade monitorada.
InitProcVersionInfoProductVersion string Contém a versão do produto de informações do processo de inicialização que causou o evento de entidade monitorada.
_IsBillable string Especifica se a ingestão dos dados é faturável. Quando _IsBillable é false a ingestão não é cobrada para sua conta do Azure
MonitoredEntityType string O tipo da entidade monitorada que foi criada, renomeada, modificada ou excluída. Pode ser 'Arquivo' ou 'Registro'.
NewValueData string Relevante para o tipo de entidade monitorada 'Registro'. Contém os dados do valor Novo do Registro.
NewValueName string Relevante para o tipo de entidade monitorada 'Registro'. Contém o nome do novo valor do Registro.
NewValueType string Relevante para o tipo de entidade monitorada 'Registro'. Contém o tipo de valor Novo Registro.
OldValueData string Relevante para o tipo de entidade monitorada 'Registro'. Contém os dados do valor do Registro anterior.
OldValueFullRegistryKey string Relevante para o tipo de entidade monitorada 'Registro'. Contém a chave do Registro completa anterior.
Nome_do_ValorAntigo string Relevante para o tipo de entidade monitorada 'Registro'. Contém o nome do valor do Registro anterior.
OldValueType string Relevante para o tipo de entidade monitorada 'Registro'. Contém o tipo de valor do Registro anterior.
Nome do arquivo original string Relevante para o tipo de entidade monitorada 'Arquivo' e para um tipo de alteração 'Renomear'. Mantém o nome original do arquivo que foi renomeado, antes da renomeação ocorrer.
CaminhoDeArquivoOriginalArquivo string Relevante para o tipo de entidade monitorada 'Arquivo' e para um tipo de alteração 'Renomear'. Contém o caminho original do arquivo que foi renomeado, antes da renomeação.
Hive do Registro string Relevante para o tipo de entidade monitorada 'Registro'. Contém as definições de configuração de agrupamento para o sistema operacional e os aplicativos.
RegistryKey string Relevante para o tipo de entidade monitorada 'Registro'. Contém a chave do Registro completa do Registro que foi criado ou a nova chave do Registro do Registro que foi renomeado.
RequestAccountDomain string Relevante para o tipo de entidade monitorada 'Arquivo'. Mantém o domínio da conta do usuário que causou o evento de arquivo.
NomedaConta de Solicitação string Relevante para o tipo de entidade monitorada 'Arquivo'. Contém o nome da conta do usuário que causou o evento de arquivo.
RequestAccountSid string Relevante para o tipo de entidade monitorada 'Arquivo'. Mantém o SID da conta do usuário que causou o evento de arquivo.
Fonte de solicitação string Relevante para o tipo de entidade monitorada 'Arquivo'. Mantém a origem da conta do usuário que causou o evento de arquivo. Por exemplo, Local/SMB/NFS.
RequestSourceIP string Relevante para o tipo de entidade monitorada 'Arquivo'. Mantém o IP de origem da conta do usuário que causou o evento de arquivo. Para arquivo remoto, o IP do qual a solicitação veio.
RequestSourcePort string Relevante para o tipo de entidade monitorada 'Arquivo'. Mantém a porta de origem da conta do usuário que causou o evento de arquivo. Para arquivo remoto, a porta de onde veio a solicitação.
SourceSystem string O tipo de agente pelo qual o evento foi coletado. Por exemplo, OpsManager para agente do Windows, conexão direta ou Operations Manager, Linux para todos os agentes do Linux ou Azure para o Diagnóstico do Azure
TenantId string A ID do workspace do Log Analytics
TimeGenerated datetime A hora (UTC) em que a entidade monitorada foi criada, renomeada, modificada ou excluída.
Type string O nome da tabela