DeviceLogonEvents

Den här tabellen är en del av Microsoft Defender för Endpoint med Azure Sentinel. Den här tabellen innehåller inloggningar och andra autentiseringshändelser.

Tabellattribut

Attribut	Värde
Resurstyper	-
Kategorier	Säkerhet
Lösningar	SecurityInsights
Grundläggande logg	Nej
Inmatningstidstransformering	Ja
Exempelfrågor	-

Kolumner

Column	Type	Beskrivning
AccountDomain	sträng	Domän för kontot.
AccountName	sträng	Användarnamn för kontot.
AccountSid	sträng	Säkerhetsidentifierare (SID) för kontot.
ActionType	sträng	Typ av aktivitet som utlöste händelsen.
AdditionalFields	dynamisk	Ytterligare information om entiteten eller händelsen.
AppGuardContainerId	sträng	Identifierare för den virtualiserade container som används av Application Guard för att isolera webbläsaraktivitet.
_BilledSize	real	Poststorleken i byte
DeviceId	sträng	Unik identifierare för enheten i tjänsten.
DeviceName	sträng	Fullständigt kvalificerat domännamn (FQDN) för enheten.
FailureReason	sträng	Information som förklarar varför den inspelade åtgärden misslyckades.
InitieraProcessAccountDomain	sträng	Domän för det konto som körde processen som var ansvarig för händelsen.
InitieraProcessAccountName	sträng	Användarnamnet för det konto som körde processen som var ansvarig för händelsen.
InitieraProcessAccountObjectId	sträng	Azure AD-objekt-ID för användarkontot som körde processen som var ansvarig för händelsen.
InitieraProcessAccountSid	sträng	Säkerhetsidentifierare (SID) för det konto som körde processen som var ansvarig för händelsen.
InitieraProcessAccountUpn	sträng	Användarens huvudnamn (UPN) för det konto som körde processen som var ansvarig för händelsen.
InitieraProcessCommandLine	sträng	Kommandorad som används för att köra processen som initierade händelsen.
InitieraProcessCreationTime	datetime	Datum och tid då processen som initierade händelsen startades.
InitieraProcessFileName	sträng	Namnet på den process som initierade händelsen.
InitieraProcessFileSize	lång	Storlek i byte av den process (bildfil) som initierade händelsen.
InitieraProcessFolderPath	sträng	Mapp som innehåller processen (bildfilen) som initierade händelsen.
InitieraProcessId	lång	Process-ID (PID) för den process som initierade händelsen.
InitieraProcessIntegrityLevel	sträng	Integritetsnivå för processen som initierade händelsen. Windows tilldelar integritetsnivåer till processer baserat på vissa egenskaper, till exempel om de startades från en internetnedladdning. Dessa integritetsnivåer påverkar behörigheter till resurser.
InitieraProcessMD5	sträng	MD5-hash för processen (bildfilen) som initierade händelsen.
InitieraProcessParentCreationTime	datetime	Datum och tid då den överordnade processen som ansvarar för händelsen startades.
InitieraProcessParentFileName	sträng	Namnet på den överordnade process som skapade processen som ansvarar för händelsen.
InitieraProcessParentId	lång	Process-ID (PID) för den överordnade processen som skapade processen som ansvarar för händelsen.
InitieraProcessRemoteSessionDeviceName	sträng	Enhetsnamnet på den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessRemoteSessionIP	sträng	IP-adressen för den fjärrenhet som RDP-sessionen initierades från.
InitieraProcessSessionId	lång	Windows-sessions-ID för den inledande processen.
InitieraProcessSHA1	sträng	SHA-1-hash för processen (bildfilen) som initierade händelsen.
InitieraProcessSHA256	sträng	SHA-256-hash för processen (bildfilen) som initierade händelsen. Det här fältet fylls vanligtvis inte i – använd SHA1-kolumnen när det är tillgängligt.
InitieraProcessTokenElevation	sträng	Tokentyp som anger förekomsten eller frånvaron av UAC-behörighetshöjning (User Access Control) som tillämpas på den process som initierade händelsen.
InitieraProcessVersionInfoCompanyName	sträng	Företagsnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessVersionInfoFileDescription	sträng	Beskrivning från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessVersionInfoInternalFileName	sträng	Internt filnamn från versionsinformationen för den process (bildfil) som ansvarar för händelsen.
InitieraProcessVersionInfoOriginalFileName	sträng	Ursprungligt filnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductName	sträng	Produktnamn från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
InitieraProcessVersionInfoProductVersion	sträng	Produktversion från versionsinformationen för processen (bildfilen) som ansvarar för händelsen.
_IsBillable	sträng	Anger om inmatningen av data är fakturerbar. När _IsBillable är false inmatning debiteras inte ditt Azure-konto
IsInitiatingProcessRemoteSession	bool	Anger om initieringsprocessen kördes under en RDP-session (Remote Desktop Protocol) (true) eller lokalt (false).
IsLocalAdmin	bool	Boolesk indikator på om användaren är lokal administratör på datorn.
Inloggnings-ID	lång	Identifierare för en inloggningssession. Den här identifieraren är unik på samma dator endast mellan omstarter.
Inloggningstyp	sträng	Typ av inloggningssession, särskilt interaktiv, fjärrinter interaktiv (RDP), nätverk, batch och tjänst.
MachineGroup	sträng	Datorgruppen för datorn. Den här gruppen används av rollbaserad åtkomstkontroll för att fastställa åtkomsten till datorn.
Protokoll	sträng	Protokoll som används under kommunikationen.
RemoteDeviceName	sträng	Namnet på den enhet som utförde en fjärråtgärd på den berörda datorn. Beroende på vilken händelse som rapporteras kan det här namnet vara ett fullständigt domännamn (FQDN), ett NetBIOS-namn eller ett värdnamn utan domäninformation.
RemoteIP	sträng	IP-adress som var ansluten till.
RemoteIPType	sträng	Typ av IP-adress, till exempel Offentlig, Privat, Reserverad, Loopback, Teredo, FourToSixMapping och Broadcast.
RemotePort	heltal	TCP-port på den fjärrenhet som var ansluten till.
ReportId	lång	Händelseidentifierare baserat på en upprepande räknare. För att identifiera unika händelser måste den här kolumnen användas tillsammans med kolumnerna ComputerName och EventTime.
SourceSystem	sträng	Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
TenantId	sträng	Log Analytics-arbetsytans ID
TimeGenerated	datetime	Datum och tid då händelsen registrerades av MDE-agenten på slutpunkten.
Typ	sträng	Namnet på tabellen