| AdditionalFields |
dynamisk |
Ytterligare information som representeras med hjälp av nyckel/värde-par som tillhandahålls av källan som inte mappas till ASim. |
| _BilledSize |
real |
Poststorleken i byte |
| DstAppId |
sträng |
ID:t för målprogrammet enligt rapporteringsenhetens rapporter. |
| DstAppName |
sträng |
Namnet på målprogrammet. |
| DstAppType |
sträng |
Typ av målprogram. |
| DstBytes |
lång |
Antalet byte som skickas från målet till källan för anslutningen eller sessionen. Om händelsen aggregeras är DstBytes summan för alla aggregerade sessioner. |
| DstDescription |
sträng |
En beskrivande text som är associerad med målet. |
| DstDeviceType |
sträng |
Typ av målenhet. |
| DstDomain |
sträng |
Målenhetens domän. |
| DstDomainType |
sträng |
Typ av DstDomain. |
| DstDvcId |
sträng |
Målenhetens ID. |
| DstDvcIdType |
sträng |
Typ av DstDvcId. |
| DstFQDN |
sträng |
Värdnamnet för målenheten, inklusive domäninformation när det är tillgängligt. |
| DstGeoCity |
sträng |
Den ort som är associerad med mål-IP-adressen. |
| DstGeoCountry |
sträng |
Det land som är associerat med mål-IP-adressen. |
| DstGeoLatitude |
real |
Latitud för den geografiska koordinat som är associerad med målets IP-adress. |
| DstGeoLongitude |
real |
Longitud för den geografiska koordinat som är associerad med målets IP-adress. |
| DstGeoRegion |
sträng |
Regionen, eller tillståndet, inom ett land som är associerat med mål-IP-adressen. |
| DstHostname |
sträng |
Målenhetens värdnamn, exklusive domäninformation. |
| DstInterfaceGuid |
sträng |
GUID för nätverksgränssnittet som används på målenheten. |
| DstInterfaceName |
sträng |
Nätverksgränssnittet som används för anslutningen eller sessionen av målenheten. |
| DstIpAddr |
sträng |
IP-adressen för anslutningen eller sessionsmålet. |
| DstMacAddr |
sträng |
MAC-adressen för nätverksgränssnittet som används för anslutningen eller sessionen av målenheten. |
| DstNatIpAddr |
sträng |
DstNatIpAddr representerar något av: Målenhetens ursprungliga adress om nätverksadressöversättning användes eller ip-adressen som används av mellanhandsenheten för kommunikation med källan. |
| DstNatPortNumber |
heltal |
Om den rapporteras av en mellanliggande NAT-enhet används porten av NAT-enheten för kommunikation med källan. |
| DstOriginalUserType |
sträng |
Den ursprungliga målanvändartypen, om den tillhandahålls av källan. |
| DstPackets |
lång |
Antalet paket som skickas från målet till källan för anslutningen eller sessionen. Innebörden av ett paket definieras av rapporteringsenheten. Om händelsen aggregeras är DstPackets summan för alla aggregerade sessioner. |
| DstPortNumber |
heltal |
Målets IP-port. |
| DstSubscriptionId |
sträng |
Prenumerations-ID för molnplattformen som målenheten tillhör. DstSubscriptionId mappa till ett prenumerations-ID i Azure och till ett konto-ID på AWS. |
| DstUserId |
sträng |
En maskinläsbar, alfanumerisk, unik representation av målanvändaren. |
| DstUserIdType |
sträng |
Typen av ID som lagras i fältet DstUserId. |
| DstUsername |
sträng |
Målanvändarnamnet, inklusive domäninformation när det är tillgängligt. Använd bara det enkla formuläret om domäninformation inte är tillgänglig. |
| DstUsernameType |
sträng |
Anger typen av användarnamn som lagras i fältet DstUsername. |
| DstUserType |
sträng |
Typ av målanvändare. |
| DstVlanId |
sträng |
VLAN-ID:t som är relaterat till målenheten. |
| DstZone |
sträng |
Målets nätverkszon, enligt definitionen av rapporteringsenheten. |
| Dvc |
sträng |
En unik identifierare för den enhet där händelsen inträffade eller som rapporterade händelsen. |
| DvcAction |
sträng |
Den åtgärd som vidtagits i nätverkssessionen. |
| DvcDescription |
sträng |
En beskrivande text som är associerad med enheten. Till exempel: Primär domänkontrollant. |
| DvcDomain |
sträng |
Domänen för enheten som rapporterar händelsen. |
| DvcDomainType |
sträng |
Typ av DvcDomain. Möjliga värden är "Windows" och "FQDN". |
| DvcFQDN |
sträng |
Värdnamnet för den enhet där händelsen inträffade eller som rapporterade händelsen. |
| DvcHostname |
sträng |
Värdnamnet för enheten som rapporterar händelsen. |
| DvcId |
sträng |
Det unika ID:t för enheten där händelsen inträffade eller som rapporterade händelsen. |
| DvcIdType |
sträng |
Typ av DvcId. |
| DvcInboundInterface |
sträng |
Om det rapporteras av en mellanliggande enhet används nätverksgränssnittet av NAT-enheten för anslutningen till källenheten. |
| DvcInterface |
sträng |
Nätverksgränssnittet som data har avbildats på. Det här fältet är vanligtvis relevant för nätverksrelaterad aktivitet som samlas in av en mellanliggande enhet eller en tryckenhet. |
| DvcIpAddr |
sträng |
IP-adressen för enheten som rapporterar händelsen. |
| DvcMacAddr |
sträng |
MAC-adressen för den enhet där händelsen inträffade eller som rapporterade händelsen. Exempel: 00:1B:44:11:3A:B7 |
| DvcOriginalAction |
sträng |
Den ursprungliga DvcAction som tillhandahålls av rapporteringsenheten. |
| DvcOs |
sträng |
Operativsystemet som körs på enheten som rapporterar händelsen. |
| DvcOsVersion |
sträng |
Versionen av operativsystemet på enheten som rapporterar händelsen. |
| DvcOutboundInterface |
sträng |
Om det rapporteras av en mellanliggande enhet används nätverksgränssnittet av NAT-enheten för anslutningen till målenheten. |
| DvcSubscriptionId |
sträng |
Prenumerations-ID för molnplattformen som enheten tillhör. DvcSubscriptionId mappa till ett prenumerations-ID i Azure och till ett konto-ID på AWS. |
| DvcZone |
sträng |
Nätverket där händelsen inträffade eller som rapporterade händelsen. Zonen definieras av rapporteringsenheten. |
| EventCount |
heltal |
Det här värdet används när källan stöder aggregering och en enskild post kan representera flera händelser. |
| EventEndTime |
datetime |
Tiden då händelsen avslutades. Om källan stöder aggregering och posten representerar flera händelser, den tid då den senaste händelsen genererades. Om det inte tillhandahålls av källposten, alias det här fältet fältet TimeGenerated. |
| EventMessage |
sträng |
Ett allmänt meddelande eller en beskrivning. |
| EventOriginalResultDetails |
sträng |
Den ursprungliga resultatinformationen som tillhandahålls av källan. Det här värdet används för att härleda EventResultDetails, som bara ska ha ett av de värden som dokumenteras för varje schema. |
| EventOriginalSeverity |
sträng |
Den ursprungliga allvarlighetsgraden som tillhandahålls av rapporteringsenheten. Det här värdet används för att härleda EventSeverity. |
| EventOriginalSubType |
sträng |
Den ursprungliga händelseundertypen eller ID:t, om det tillhandahålls av källan. Det här fältet används till exempel för att lagra den ursprungliga Windows-inloggningstypen. Det här värdet används för att härleda EventSubType, som bara ska ha ett av de värden som dokumenteras för varje schema. |
| EventOriginalType |
sträng |
Den ursprungliga händelsetypen eller ID:t, om det tillhandahålls av källan. |
| EventOriginalUid |
sträng |
Ett unikt ID för den ursprungliga posten, om det tillhandahålls av källan. |
| EventProduct |
sträng |
Produkten som genererar händelsen. |
| EventProductVersion |
sträng |
Den version av produkten som genererar händelsen. |
| EventReportUrl |
sträng |
En URL som anges i händelsen för en resurs som ger mer information om händelsen. |
| EventResult |
sträng |
Resultatet av händelsen, som representeras av något av följande värden: Success, Partial, Failure, NA (Not Applicable). Värdet kanske inte anges direkt av källorna, i vilket fall det härleds från andra händelsefält, till exempel fältet EventResultDetails. |
| EventResultDetails |
sträng |
Orsak eller information för resultatet som rapporteras i fältet EventResult. |
| EventSchemaVersion |
sträng |
Versionen av schemat. |
| EventSeverity |
sträng |
Händelsens allvarlighetsgrad. Giltiga värden är: Information, Låg, Medel eller Hög. |
| EventStartTime |
datetime |
Tiden då händelsen startades. Om källan stöder aggregering och posten representerar flera händelser, den tid då den första händelsen genererades. Om det inte tillhandahålls av källposten, alias det här fältet fältet TimeGenerated. |
| EventSubType |
sträng |
Ytterligare beskrivning av händelsetypen, om tillämpligt. |
| EventType |
sträng |
Åtgärden som rapporterats av posten. |
| EventVendor |
sträng |
Leverantören av produkten som genererar händelsen. |
| _IsBillable |
sträng |
Anger om inmatningen av data är fakturerbar. När _IsBillable är false inmatning debiteras inte ditt Azure-konto |
| NetworkApplicationProtocol |
sträng |
Protokollet för programskiktet som används av anslutningen eller sessionen. |
| NetworkBytes |
lång |
Antal byte som skickats i båda riktningarna. Om både BytesReceived och BytesSent finns ska BytesTotal vara lika med summan. Om händelsen aggregeras är NetworkBytes summan för alla aggregerade sessioner. |
| NetworkConnectionHistory |
sträng |
TCP-flaggor och annan potentiell INFORMATION om IP-huvuden. |
| NetworkDirection |
sträng |
Riktningen för anslutningen eller sessionen. |
| NetworkDuration |
heltal |
Hur lång tid, i millisekunder, för slutförandet av nätverkssessionen eller anslutningen. |
| NetworkIcmpCode |
heltal |
För ett ICMP-meddelande skriver ICMP-meddelandet numeriskt värde enligt beskrivningen i RFC 2780 för IPv4-nätverksanslutningar eller i RFC 4443 för IPv6-nätverksanslutningar. |
| NetworkIcmpType |
sträng |
För ett ICMP-meddelande skriver ICMP-meddelandetextrepresentationen enligt beskrivningen i RFC 2780 för IPv4-nätverksanslutningar eller i RFC 4443 för IPv6-nätverksanslutningar. |
| NetworkPackets |
lång |
Antalet paket som skickas i båda riktningarna. Om både PacketsReceived och PacketsSent finns bör BytesTotal vara lika med summan. Innebörden av ett paket definieras av rapporteringsenheten. Om händelsen aggregeras är NetworkPackets summan för alla aggregerade sessioner. |
| NetworkProtocol |
sträng |
IP-protokollet som används av anslutningen eller sessionen enligt listan i IANA-protokolltilldelningen, som vanligtvis är TCP, UDP eller ICMP. |
| NetworkProtocolVersion |
sträng |
Versionen av NetworkProtocol. |
| NetworkRuleName |
sträng |
Namnet eller ID:t för regeln som DvcAction beslutades om. |
| NetworkRuleNumber |
heltal |
Antalet av regeln som DvcAction beslutades om. |
| NetworkSessionId |
sträng |
Sessionsidentifieraren som rapporteras av rapporteringsenheten. |
| _ResourceId |
sträng |
En unik identifierare för resursen som posten är associerad med |
| SourceSystem |
sträng |
Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics |
| SrcAppId |
sträng |
ID:t för källprogrammet enligt rapporteringsenhetens rapporter. |
| SrcAppName |
sträng |
Namnet på källprogrammet. |
| SrcAppType |
sträng |
Typ av källprogram. |
| SrcBytes |
lång |
Antalet byte som skickas från källan till målet för anslutningen eller sessionen. Om händelsen aggregeras är SrcBytes summan för alla aggregerade sessioner. |
| SrcDescription |
sträng |
En beskrivande text som är associerad med källan. |
| SrcDeviceType |
sträng |
Typ av källenhet. |
| SrcDomain |
sträng |
Källenhetens domän. |
| SrcDomainType |
sträng |
Typen av SrcDomain. |
| SrcDvcId |
sträng |
Källenhetens ID. |
| SrcDvcIdType |
sträng |
Typen av SrcDvcId. |
| SrcFQDN |
sträng |
Värdnamnet för källenheten, inklusive domäninformation när det är tillgängligt. |
| SrcGeoCity |
sträng |
Den ort som är associerad med källans IP-adress. |
| SrcGeoCountry |
sträng |
Det land som är associerat med källans IP-adress. |
| SrcGeoLatitude |
real |
Latitud för den geografiska koordinat som är associerad med källans IP-adress. |
| SrcGeoLongitude |
real |
Longitud för den geografiska koordinat som är associerad med källans IP-adress. |
| SrcGeoRegion |
sträng |
Regionen i ett land som är associerat med källans IP-adress. |
| SrcHostname |
sträng |
Källenhetens värdnamn, exklusive domäninformation. Om inget enhetsnamn är tillgängligt kan du lagra relevant IP-adress. |
| SrcInterfaceGuid |
sträng |
GUID för nätverksgränssnittet som används på källenheten. |
| SrcInterfaceName |
sträng |
Nätverksgränssnittet som används för anslutningen eller sessionen av källenheten. |
| SrcIpAddr |
sträng |
DEN IP-adress som anslutningen eller sessionen kommer från. |
| SrcMacAddr |
sträng |
MAC-adressen för nätverksgränssnittet som anslutningen eller sessionen kommer från. |
| SrcNatIpAddr |
sträng |
SrcNatIpAddr representerar något av: Källenhetens ursprungliga adress om nätverksadressöversättning användes eller IP-adressen som används av mellanhandsenheten för kommunikation med målet. |
| SrcNatPortNumber |
heltal |
Om den rapporteras av en mellanliggande NAT-enhet används porten av NAT-enheten för kommunikation med målet. |
| SrcOriginalUserType |
sträng |
Den ursprungliga målanvändartypen, om den tillhandahålls av rapporteringsenheten. |
| SrcPackets |
lång |
Antalet paket som skickas från källan till målet för anslutningen eller sessionen. Innebörden av ett paket definieras av rapporteringsenheten. Om händelsen aggregeras är SrcPackets summan för alla aggregerade sessioner. |
| SrcPortNumber |
heltal |
DEN IP-port som anslutningen kommer från. Kanske inte är relevant för en session som består av flera anslutningar. |
| SrcSubscriptionId |
sträng |
Prenumerations-ID:t för molnplattformen som källenheten tillhör. SrcSubscriptionId mappa till ett prenumerations-ID i Azure och till ett konto-ID på AWS. |
| SrcUserId |
sträng |
En maskinläsbar, alfanumerisk, unik representation av källanvändaren. |
| SrcUserIdType |
sträng |
Typen av ID som lagras i fältet SrcUserId. |
| SrcUsername |
sträng |
Källans användarnamn, inklusive domäninformation när det är tillgängligt. |
| SrcUsernameType |
sträng |
Anger typen av användarnamn som lagras i fältet SrcUsername. |
| SrcUserType |
sträng |
Typ av källanvändare. |
| SrcVlanId |
sträng |
VLAN-ID:t som är relaterat till källenheten. |
| SrcZone |
sträng |
Källans nätverkszon enligt definitionen av rapporteringsenheten. |
| _SubscriptionId |
sträng |
En unik identifierare för prenumerationen som posten är associerad med |
| TcpFlagsAck |
bool |
TCP ACK-flaggan rapporterades. Bekräftelseflaggan används för att bekräfta att ett paket har tagits emot. Som vi kan se i diagrammet ovan skickar mottagaren en ACK samt en SYN i det andra steget i handskakningsprocessen på tre sätt för att berätta för avsändaren att den tog emot sitt första paket. |
| TcpFlagsFin |
bool |
TCP FIN-flaggan rapporterades. Den färdiga flaggan innebär att det inte finns några fler data från avsändaren. Därför används det i det senaste paketet som skickades från avsändaren. |
| TcpFlagsPsh |
bool |
TCP PSH-flaggan rapporterades. Push-flaggan liknar urg-flaggan något och instruerar mottagaren att bearbeta dessa paket när de tas emot i stället för att buffrar dem. |
| TcpFlagsRst |
bool |
TCP RST-flaggan rapporterades. Återställningsflaggan skickas från mottagaren till avsändaren när ett paket skickas till en viss värd som inte förväntade sig det. |
| TcpFlagsSyn |
bool |
TCP SYN-flaggan rapporterades. Synkroniseringsflaggan används som ett första steg för att upprätta ett trevägshandskakning mellan två värdar. Endast det första paketet från både avsändaren och mottagaren ska ha den här flaggan inställd. |
| TcpFlagsUrg |
bool |
TCP URG-flaggan rapporterades. Den brådskande flaggan används för att meddela mottagaren att bearbeta brådskande paket innan alla andra paket bearbetas. Mottagaren meddelas när alla kända brådskande uppgifter har tagits emot. Mer information finns i RFC 6093. |
| TenantId |
sträng |
Log Analytics-arbetsytans ID |
| ThreatCategory |
sträng |
Kategorin för hot eller skadlig kod som identifierades i nätverkssessionen. |
| ThreatConfidence |
heltal |
Konfidensnivån för det identifierade hotet normaliserades till ett värde mellan 0 och 100. |
| ThreatField |
sträng |
Fältet som ett hot identifierades för. Värdet är antingen SrcIpAddr, DstIpAddr, Domain eller DnsResponseName. |
| ThreatFirstReportedTime |
datetime |
Första gången IP-adressen eller domänen identifierades som ett hot. |
| ThreatId |
sträng |
ID:t för det hot eller den skadliga kod som identifierades i nätverkssessionen. |
| ThreatIpAddr |
sträng |
En IP-adress som ett hot identifierades för. Fältet ThreatField innehåller namnet på fältet ThreatIpAddr representerar. |
| ThreatIsActive |
bool |
Sant ID som det identifierade hotet betraktas som ett aktivt hot. |
| ThreatLastReportedTime |
datetime |
Senast IP-adressen eller domänen identifierades som ett hot. |
| ThreatName |
sträng |
Namnet på det hot eller den skadliga kod som identifierades i nätverkssessionen. |
| ThreatOriginalConfidence |
sträng |
Den ursprungliga konfidensnivån för det identifierade hotet, enligt rapporteringsenhetens rapporter. |
| ThreatOriginalRiskLevel |
sträng |
Risknivån som rapporteras av rapporteringsenheten. |
| ThreatRiskLevel |
heltal |
Risknivån som är associerad med sessionen. Nivån är ett tal mellan 0 och 100. |
| TimeGenerated |
datetime |
Tidsstämpeln (UTC) som återspeglar den tid då händelsen genererades. |
| Typ |
sträng |
Namnet på tabellen |