SecurityEvent

Säkerhetshändelser som samlas in från Windows-datorer av Azure Security Center eller Azure Sentinel.

Tabellattribut

Attribut	Värde
Resurstyper	microsoft.securityinsights/securityinsights, microsoft.compute/virtualmachines, microsoft.conenctedvmwarevsphere/virtualmachines, microsoft.azurestackhci/virtualmachines, microsoft.scvmm/virtualmachines, microsoft.compute/virtualmachinescalesets
Kategorier	Säkerhet
Lösningar	Säkerhet, SecurityInsights
Grundläggande logg	Nej
Inmatningstidstransformering	Ja
Exempelfrågor	Ja

Kolumner

Column	Type	Beskrivning
AccessMask	sträng	Hexadecimal mask för den begärda eller utförda åtgärden.
Konto	sträng	Säkerhetskontexten för tjänster eller användare.
AccountDomain	sträng	Ämnesdomän eller datornamn.
AccountExpires	sträng	Det datum då kontot upphör att gälla.
AccountName	sträng	Namnet på det konto som begärde åtgärden "ta bort domänförtroende".
AccountSessionIdentifier	sträng	En unik identifierare som genereras av datorn när sessionen skapas.
AccountType	sträng	Identifierar om kontot är ett datorkonto (dator) eller en användares.
Aktivitet	sträng	Den beskrivande rubriken för händelsen inträffade.
AdditionalInfo	sträng	Ytterligare information som tillhandahålls av källan, som inte mappas till andra fält, som representeras av en lista.
AdditionalInfo2	sträng	Ytterligare information som tillhandahålls av källan, som inte mappas till andra fält, som representeras av en lista.
AllowedToDelegateTo	sträng	Listan över SPN som det här kontot kan presentera delegerade autentiseringsuppgifter för.
Attribut	sträng	Ytterligare information om händelsen.
AuditPolicyChanges	sträng	Händelser som genereras när ändringar görs i systemgranskningsprincipen eller granskningsinställningarna för en fil eller registernyckel.
AuditsDiscarded	heltal	Antal granskningsmeddelanden som har ignorerats.
AuthenticationLevel	heltal	Antal granskningsmeddelanden som har ignorerats.
AuthenticationPackageName	sträng	namnet på det inlästa autentiseringspaketet. Formatet är: DLL_PATH_AND_NAME: AUTHENTICATION_PACKAGE_NAME.
AuthenticationProvider	sträng	Identiteten på den leverantör som ansvarar för autentiseringsprocessen (kan innehålla en certifikatutfärdare, ett användarnamn, ett system för lösenordsautentisering osv.).
AuthenticationServer	sträng	Servern där autentiseringsprovidern finns.
AuthenticationService	heltal	Tjänsten där autentiseringsprovidern finns.
AuthenticationType	sträng	den typ av autentisering som användes för händelsen (tvåfaktorsautentisering, biometrisk autentisering osv.).
AzureDeploymentID	sträng	Azure-distributions-ID för molntjänsten som loggen tillhör.
_BilledSize	real	Poststorleken i byte
CACertificateHash	sträng	Hash-värdet för certifikatutfärdarcertifikatet (CA) som användes för att autentisera användaren som utförde händelsen.
CalledStationID	sträng	Information om ID:t för den station som initierade åtgärden som ledde till säkerhetshändelsen.
CallerProcessId	sträng	Hexadecimalt process-ID för den process som försökte logga in. Process-ID (PID) är ett tal som används av operativsystemet för att unikt identifiera en aktiv process.
CallerProcessName	sträng	Fullständig sökväg och namnet på den körbara filen för processen.
CallingStationID	sträng	Information om ID:t för den station som initierade åtgärden som ledde till säkerhetshändelsen.
CAPublicKeyHash	sträng	Hash-värde som identifierar den offentliga nyckeln för en certifikatutfärdare (CA) som utfärdade ett certifikat.
CategoryId	sträng	Kategorin för säkerhetshändelsen som inträffade (inloggningsförsök, dataintrång osv.).
CertificateDatabaseHash	sträng	Hash-värde som identifierar databasen som utfärdade ett certifikat.
Kanal	sträng	Kanalen som händelsen loggades till.
ClassId	sträng	Attributet "Class Guid" för enheten.
ClassName	sträng	Attributet "Klass" för enheten.
ClientAddress	sträng	IP-adressen för den dator som TGT-begäran togs emot från.
ClientIPAddress	sträng	IP-adressen för den dator som initierade åtgärden som ledde till händelsen.
ClientName	sträng	datornamn som användaren återansluts från. Har värdet "Okänt" för konsolsessionen.
Kommandorad	sträng	Kommandoradsargumenten som skickades till ett program eller en process som var inblandad i händelsen.
CompatibleIds	sträng	Attributet "Kompatibla ID:n" för enheten. Om du vill se enhetsegenskaper startar du Enhetshanteraren, öppnar specifika enhetsegenskaper och klickar på Information:
Dator	sträng	Namnet på den dator där händelsen inträffade.
Korrelation	sträng	Aktivitetsidentifierarna som konsumenter kan använda för att gruppera relaterade händelser tillsammans.
DCDNSName	sträng	DNS-namnet på domänkontrollanten som var inblandad i händelsen.
DeviceDescription	sträng	beskrivningen av enheten som var inblandad i händelsen.
DeviceId	sträng	Den unika identifieraren för den enhet som var inblandad i händelsen.
DisplayName	sträng	Det är ett namn som visas i adressboken för ett visst konto. Detta är vanligtvis kombinationen av användarens förnamn, mellan initialt och efternamn.
Disposition	sträng	Händelseresultat/lösning, till exempel om händelsen löstes eller om någon åtgärd vidtogs som svar på händelsen.
DomainBehaviorVersion	sträng	domänattributet msDS-Behavior-Version ändrades. Numeriskt värde.
DomainName	sträng	Namnet på den borttagna betrodda domänen.
DomainPolicyChanged	sträng	Anger om några domänprinciper har ändrats som en del av händelsen (lösenordsprinciper, säkerhetsprinciper osv.).
DomainSid	sträng	SID för förtroendepartnern. Den här parametern kanske inte fångas in i händelsen, och i så fall visas den som "NULL SID".
EAPType	sträng	Den typ av EAP (Extensible Authentication Protocol) som användes för händelseautentiseringsprocessen.
ElevatedToken	sträng	En "Ja" eller "Nej"-flagga. Om "Ja" är sessionen som den här händelsen representerar upphöjd och har administratörsbehörighet.
Felkod	heltal	Innehåller felkod för felhändelser. För lyckade händelser har den här parametern värdet "0x0".
EventData	sträng	Händelsespecifika data som är associerade med händelsen.
EventID	heltal	Identifieraren som providern använde för att identifiera händelsen.
EventLevelName	sträng	Den renderade meddelandesträngen på den nivå som anges i händelsen.
EventRecordId	sträng	Det postnummer som tilldelades händelsen när den loggades.
EventSourceName	sträng	Namnet på programvaran som loggar händelsen (applicationor a succomponent).
ExtendedQuarantineState	sträng	Tillståndet för nätverkets karantänprocess, om tillämpligt. Nätverkskarantän är en process där obehöriga enheter hindras från att komma åt ett nätverk tills de uppfyller vissa säkerhetskrav eller har kontrollerats efter skadlig kod.
FailureReason	sträng	textuell förklaring av värdet för fältet Status. För den här händelsen har den vanligtvis värdet "Konto utelåst".
FileHash	sträng	Hash-värdet för alla filer som har använts eller ändrats som en del av händelsen, eller filer som användes i autentiserings- eller auktoriseringsprocessen.
FilePath	sträng	Fullständig sökväg och filnamn för nyckelfilen som åtgärden utfördes på.
FilePathNoUser	sträng	Sökvägen till filer som är relaterade till händelsen, exklusive användarnamnet eller annan användarspecifik information.
Filtrera	sträng	Filter som används i den utförda händelsen.
ForceLogoff	sträng	Grupprincipen '\Security Settings\Local Policies\Security Options\Network security: Force logoff when logon hours expire'.
Fqbn	sträng	Det fullständigt kvalificerade binära namnet (FQBN) för alla filer som är relaterade till händelsen.
FullyQualifiedSubjectMachineName	sträng	Det fullständigt kvalificerade domännamnet (FQDN) för den dator som initierade händelsen.
FullyQualifiedSubjectUserName	sträng	Användarnamnet för den användare eller tjänst som initierade händelsen i FQDN-format.
GroupMembership	sträng	Listan över grupp-SID:er som loggade konton tillhör (medlem i). Loggboken försöker automatiskt matcha SID:er och visa kontonamnet. Om SID inte kan matchas visas källdata i händelsen.
HandleId	sträng	Hexadecimalt värde för ett referensvärde till Objektnamn. Det här fältet kan användas för korrelation med andra händelser.
HardwareIds	sträng	"Maskinvaru-ID:n" för enheten. Om du vill se enhetsegenskaper startar du Enhetshanteraren, öppnar specifika enhetsegenskaper och klickar på Information:
HomeDirectory	sträng	Användarens hemkatalog. Om attributet homeDrive har angetts och anger en enhetsbeteckning bör homeDirectory vara en UNC-sökväg. Sökvägen måste vara ett unc-nätverk av formuläret \Server\Share\Directory.
HomePath	sträng	Användarens hemsökväg. Sökvägen måste vara ett unc-nätverk av formuläret \Server\Share\Directory.
InterfaceUuid	sträng	Den unika identifieraren (UUID) för nätverksgränssnittet som användes för händelsen.
IpAddress	sträng	nätverksadressen (vanligtvis IPv4 eller IPv6) som är associerad med händelsen.
IpPort	sträng	Det nätverksportnummer som är associerat med händelsen.
_IsBillable	sträng	Anger om inmatningen av data är fakturerbar. När _IsBillable är false inmatning debiteras inte ditt Azure-konto
Nyckellängd	heltal	Längden på NTLM-sessionssäkerhetsnyckeln. Vanligtvis har den 128 bitars eller 56 bitars längd.
Nyckelord	sträng	En bitmask av nyckelorden som definierats i händelsen.
Nivå	sträng	Windows kategoriserar varje händelse med allvarlighetsgrad. Nivåerna i ordning efter allvarlighetsgrad är information, utförlig, varning, fel och kritisk som uttrycks i tal.
LmPackageName	sträng	Namnet på paketet eller programvarukomponenten som för närvarande använder LSA (Local Security Authority) på den dator där händelsen genereras.
LocationInformation	sträng	Attributet Platsinformation för enheten. Om du vill se enhetsegenskaper startar du Enhetshanteraren, öppnar specifika enhetsegenskaper och klickar på Information:
LockoutDuration	sträng	Grupprincipen '\Security Settings\Account Policies\Account Lockout Policy\Account lockout duration'. Numeriskt värde.
LockoutObservationWindow	sträng	Grupprincipen '\Security Settings\Account Policies\Account Lockout Policy\Reset account lockout counter after'. Numeriskt värde.
LockoutThreshold	sträng	Grupprincipen "\Säkerhetsinställningar\Kontoprinciper\Kontoutelåsningsprincip\Tröskelvärde för kontoutelåsning". Numeriskt värde.
LoggingResult	sträng	Resultatet av inloggningsprocessen.
Inloggning	sträng	Ett GUID som kan hjälpa dig att korrelera den här händelsen med en annan händelse som kan innehålla samma GUID för inloggning.
LogonHours	sträng	Timmar då kontot tillåts logga in på domänen.
Inloggnings-ID	sträng	Hexadecimalt värde som kan hjälpa dig att korrelera den här händelsen med de senaste händelserna som kan innehålla samma inloggnings-ID.
LogonProcessName	sträng	Namnet på den registrerade inloggningsprocessen.
Inloggningstyp	heltal	Den typ av inloggning som utfördes.
LogonTypeName	sträng	Den typ av inloggnings- eller autentiseringshändelse som registreras av händelseloggen (vanliga värden:Interaktiva, Nätverk, RemoteInteractive, Unlock).
MachineAccountQuota	sträng	domänattributet ms-DS-MachineAccountQuota ändrades. Numeriskt värde.
MachineInventory	sträng	Information om maskinvarukonfigurationen och programvarumiljön på den dator där händelsen genereras. Den kan innehålla olika datapunkter, till exempel datorns märke och modell, mängden RAM-minne eller tillgängligt lagringsutrymme, versionsnummer för olika program osv.).
MachineLogon	sträng	Information om en lyckad inloggningshändelse på datorn.
ManagementGroupName	sträng	Ytterligare information baserat på resurstypen.
MandatoryLabel	sträng	ID för den integritetsetikett som tilldelades den nya processen.
MaxPasswordAge	sträng	Tidsperioden (i dagar) som ett lösenord kan användas innan systemet kräver att användaren ändrar det.
MemberName	sträng	Det användarkonto som var involverat i händelsen.
MemberSid	sträng	Säkerhetsidentifieraren (SID) som är associerad med det användarkonto som var involverat i händelsen.
MinPasswordAge	sträng	Tidsperioden (i dagar) som ett lösenord måste användas innan systemet kräver att användaren ändrar det.
MinPasswordLength	sträng	Det minsta antalet tecken som kan utgöra ett lösenord för ett användarkonto.
MixedDomainMode	sträng	Domänläget för ett system eller en domänkontrollant.
NASIdentifier	sträng	Identifieraren för nätverksåtkomstservern (NAS) som var inblandad i händelsen.
NASIPv4Address	sträng	IPv4Address för nätverksåtkomstservern (NAS) som var inblandad i händelsen, om tillämpligt.
NASIPv6Address	sträng	IPv6Address för nätverksåtkomstservern (NAS) som var inblandad i händelsen, om tillämpligt.
NASPort	sträng	porten på nätverksåtkomstservern som användes i händelsen.
NASPortType	sträng	vilken typ av nätverksåtkomstserver (NAS) som används i händelsen.
NetworkPolicyName	sträng	Namnet på den nätverksprincip som är associerad med händelsen.
NewDate	sträng	Nytt datum i UTC-tidszonen. Formatet är ÅÅÅÅ-MM-DD.
NewMaxUsers	sträng	Det nya maximala antalet användare som tillåts för en resurs i händelsen.
NewProcessId	sträng	Hexadecimalt process-ID för den nya processen. Process-ID (PID) är ett tal som används av operativsystemet för att unikt identifiera en aktiv process.
NewProcessName	sträng	Fullständig sökväg och namnet på den körbara filen för den nya processen.
NewRemark	sträng	Det nya värdet för fältet Kommentarer för nätverksresursen. Har värdet "N/A" om det inte har angetts.
NewShareFlags	sträng	Resursflaggor som är associerade med en resurs i händelsen, till exempel: information om huruvida resursen är skrivskyddad eller skrivskyddad, om den är dold och andra parametrar som kan påverka åtkomst och behörigheter.
NewTime	sträng	Ny tid som angavs i UTC-tidszonen. Formatet är ÅÅÅÅ-MM-DDThh:mm:ss.nnnnnnnZ
NewUacValue	sträng	Anger flaggor som styr lösenord, utelåsning, inaktivera/aktivera, skript och annat beteende för användarkontot.
NewValue	sträng	Nytt värde för ändrat registernyckelvärde.
NewValueType	sträng	Ny typ av ändrat registernyckelvärde.
ObjectName	sträng	Namn och annan identifierande information för det objekt som åtkomst begärdes för. För en fil inkluderas till exempel sökvägen.
ObjectServer	sträng	Innehåller namnet på Windows-undersystemet som anropar rutinen.
ObjectType	sträng	Typen av ett objekt som användes under åtgärden.
ObjectValueName	sträng	Namnet på det ändrade registernyckelvärdet.
OemInformation	sträng	Den ursprungliga utrustningstillverkaren (OEM) som är associerad med en enhet eller ett system i händelsen.
OldMaxUsers	sträng	Det tidigare maximala antalet användare som tillåts för en resurs i händelsen.
OldRemark	sträng	det gamla värdet för fältet Kommentarer för nätverksresursen. Har värdet "N/A" om det inte har angetts.
OldShareFlags	sträng	Tidigare resursflaggor som är associerade med en resurs i händelsen, till exempel: information om huruvida resursen är skrivskyddad eller skrivskyddad, om den är dold och andra parametrar som kan påverka åtkomst och behörigheter.
OldUacValue	sträng	Anger flaggor som styr lösenord, utelåsning, inaktivera/aktivera, skript och annat beteende för användarkontot. Den här parametern innehåller det tidigare värdet för userAccountControl-attributet för användarobjektet.
OldValue	sträng	Gammalt värde för ändrat registernyckelvärde.
OldValueType	sträng	Gammal typ av ändrat registernyckelvärde.
Opcode	sträng	Opcode-elementet definieras av den komplexa typen SystemPropertiesType.
OperationType	sträng	Den typ av åtgärd som utfördes på ett objekt
PackageName	sträng	Namnet på det LAN Manager-underpaket (NTLM-family protocol name) som användes under inloggningen.
ParentProcessName	sträng	Namnet på den överordnade process som är associerad med händelsen.
PasswordHistoryLength	sträng	Grupprincip för \Säkerhetsinställningar\Kontoprinciper\Lösenordsprincip\Framtvinga lösenordshistorik. Numeriskt värde.
PasswordLastSet	sträng	Senaste gången kontots lösenord ändrades.
PasswordProperties	sträng	Lösenordsprinciper eller egenskaper som är associerade med händelsen, till exempel lösenordslängd, komplexitet och förfallodatum.
PreviousDate	sträng	Föregående datum som är associerat med händelsen.
PreviousTime	sträng	Tidigare tid i UTC-tidszonen. Formatet är ÅÅÅÅ-MM-DDThh:mm:ss.nnnnnnnZ.
PrimaryGroupId	sträng	Relativ identifierare (RID) för användarens primära objektgrupp.
PrivateKeyUsageCount	sträng	Antalet gånger en privat nyckel har använts.
PrivilegeList	sträng	Behörigheterna, inklusive användar-, grupp- eller systembehörigheter som är associerade med händelsen.
Process	sträng	Namnet på den process som genererar händelsen.
ProcessId	sträng	Identifierar den process som genererade händelsen.
ProcessName	sträng	Fullständig sökväg och namnet på den körbara filen för processen.
ProfilePath	sträng	Anger en sökväg till kontots profil. Det här värdet kan vara en null-sträng, en lokal absolut sökväg eller en UNC-sökväg.
Egenskaper	sträng	Beror på objekttyp. Det här fältet kan vara tomt eller innehålla listan över objektegenskaperna som användes.
ProtocolSequence	sträng	Information om protokollet som används för ett autentiseringsförsök.
ProxyPolicyName	sträng	Namnet på principen som användes för att konfigurera proxyservern för att ansluta till nätverket.
QuarantineHelpURL	sträng	URL som ger hjälp med att felsöka ett problem med nätverkskarantän.
QuarantineSessionID	sträng	Identifierare för sessionen där filen utvärderades för karantän.
QuarantineSessionIdentifier	sträng	Identifierare för sessionen där filen utvärderades för karantän.
QuarantineState	sträng	Den visar om filen har placerats i karantän.
QuarantineSystemHealthResult	sträng	Rapport som visar status för de filer som har placerats i karantän.
RelativeTargetName	sträng	Relativt namn på den använda målfilen eller mappen. Den här filsökvägen är relativ till nätverksresursen. Om åtkomst begärdes för själva resursen visas det här fältet som "".
RemoteIpAddress	sträng	IP-adressen för den dator som initierade en fjärranslutning.
RemotePort	sträng	Portnumret för fjärrdatorn som initierade en anslutning.
Beställare	sträng	Identifieraren för händelseförfrågan.
RequestId	sträng	En unik identifierare som är associerad med specifika begäranden, till exempel de som görs via HTTP.
_ResourceId	sträng	En unik identifierare för resursen som posten är associerad med
RestrictedAdminMode	sträng	Fylls endast i för RemoteInteractive-inloggningstypsessioner. Det här är en ja/nej-flagga som anger om de angivna autentiseringsuppgifterna skickades med begränsat administratörsläge. Läget Begränsad administratör lades till i Win8.1/2012R2, men den här flaggan lades till i händelsen i Win10.
RaderTa bort	sträng	Antalet rader som har tagits bort som en del av en viss åtgärd.
SamAccountName	sträng	inloggningsnamn för konto som används för att stödja klienter och servrar från tidigare versioner av Windows (inloggningsnamn före Windows 2000).
ScriptPath	sträng	Anger sökvägen till kontots inloggningsskript.
SecurityDescriptor	sträng	Information om säkerhetsinställningar och behörigheter för ett visst objekt eller en viss resurs.
ServiceAccount	sträng	Säkerhetskontexten som tjänsten ska köra som när den startas.
ServiceFileName	sträng	Anger vilken typ av tjänst som registrerades med Service Control Manager.
ServiceName	sträng	Namnet på den installerade tjänsten.
ServiceStartType	heltal	Innehåller information om hur en viss tjänst ska startas, om den ska startas automatiskt eller manuellt.
ServiceType	sträng	Anger vilken typ av tjänst som registrerades med Service Control Manager.
SessionName	sträng	Namnet på sessionen som användaren återanslutdes till.
ShareLocalPath	sträng	Den lokala sökvägen till den anslutna nätverksresursen.
ShareName	sträng	Namnet på den anslutna nätverksresursen. Formatet är: \*\SHARE_NAME.
SidHistory	sträng	Innehåller tidigare SID:er som användes för objektet om objektet flyttades från en annan domän.
SourceComputerId	sträng	Unik identifierare tilldelad till varje dator i en Windows-domän.
SourceSystem	sträng	Typen av agent som händelsen samlades in av. Till exempel OpsManager för Windows-agenten, antingen direktanslutning eller Operations Manager, Linux för alla Linux-agenter eller Azure för Azure Diagnostics
Status	sträng	Anledningen till att inloggningen misslyckades. För den här händelsen har den vanligtvis värdet "0xC0000234". De vanligaste statuskoderna visas i tabell 12. Statuskoder för Windows-inloggning.
StorageAccount	sträng	Anger åtkomstnyckeln för lagringskontot.
UnderkategoriGuid	sträng	Det unika GUID:et för ändrad underkategori.
SubcategoryId	sträng	En unik identifierare för en viss typ av händelse.
Ämne	sträng	Information om säkerhetsobjektet (till exempel användarkontot) som initierade händelsen.
SubjectAccount	sträng	Information om det konto som initierar händelsen.
SubjectDomainName	sträng	Information om den domän eller arbetsgrupp som ämneskontot tillhör.
SubjectKeyIdentifier	sträng	En unik identifierare för ett visst certifikatämne.
SubjectLogonId	sträng	En unik identifierare för inloggningssessionen som är associerad med ämneskontot.
SubjectMachineName	sträng	Information om den dator eller det system som händelsen skapades från.
SubjectMachineSID	sträng	Säkerhetsidentifieraren (SID) för den dator som genererade händelsen.
SubjectUserName	sträng	Namnet på det användarkonto som genererade händelsen.
SubjectUserSid	sträng	Säkerhetsidentifieraren (SID) för användarkontot som genererade händelsen.
_SubscriptionId	sträng	En unik identifierare för prenumerationen som posten är associerad med
Understatus-	sträng	Ytterligare information om inloggningsfel. De vanligaste understatuskoderna som anges i tabell 12. Statuskoder för Windows-inloggning".
SystemProcessId	heltal	Identifierar den process som genererade händelsen.
SystemThreadId	heltal	Identifierar tråden som genererade händelsen.
SystemUserId	sträng	ID för den användare som ansvarar för händelsen.
TableId	sträng	Den specifika datatabellidentifieraren som händelsedata lagras i.
TargetAccount	sträng	Det konto som händelsen riktar sig till (användarnamn, datornamn osv.).
TargetDomainName	sträng	Namnet på den domän som målkontot tillhör.
TargetInfo	sträng	Ytterligare information om händelsemålet (till exempel sökvägen till en fil eller mapp, namnet på en registernyckel osv.).
TargetLinkedLogonId	sträng	Information som hjälper till att länka relaterade händelser tillsammans med deras inloggningsförsöks-ID:n. Det kan vara användbart för att hålla alla relevanta händelser organiserade, spåra aktivitet över flera sessioner och identifiera attackkällan.
TargetLogonGuid	sträng	En globalt unik identifierare (GUID) som är associerad med inloggningssessionen som är relaterad till händelsen.
TargetLogonId	sträng	En unik identifierare som är associerad med inloggningssessionen som är relaterad till händelsen.
TargetOutboundDomainName	sträng	Domänen som kontot som anges i fältet TargetAccount autentiserades mot under ett utgående autentiseringsförsök.
TargetOutboundUserName	sträng	Namnet på användarkontot som autentiserades under ett utgående autentiseringsförsök.
TargetServerName	sträng	Namnet på servern där den nya processen kördes. Har värdet "localhost" om processen kördes lokalt.
TargetSid	sträng	Säkerhetsidentifieraren (SID) för den server där den nya processen kördes.
TargetUser	sträng	Identifieraren för användarkontot som genererade den nya processen.
TargetUserName	sträng	Namnet på användarkontot som genererade den nya processen.
TargetUserSid	sträng	Säkerhetsidentifieraren (SID) som är associerad med användaren eller resursen som är inblandad i händelsen.
Uppgift	heltal	Uppgiften som definierats i händelsen.
TemplateContent	sträng	Innehållet i händelsemeddelandet eller meddelandet i ett strukturerat formulär.
TemplateDSObjectFQDN	sträng	FQDN för DS-objektet som representerar GPO-mallen.
TemplateInternalName	sträng	Det interna namnet på grupprincipobjektmallen.
TemplateOID	sträng	den unika identifieraren för mallen som användes för att skapa händelsen.
TemplateSchemaVersion	sträng	Version av mallschemat som definierar de data som ska inkluderas med en händelse.
TemplateVersion	sträng	Version av mallen som definierar de data som ska inkluderas med en händelse.
TenantId	sträng	Log Analytics-arbetsytans ID
TimeGenerated	datetime	Tidsstämpeln när händelsen genererades på datorn.
TokenElevationType	sträng	Typ av token som har tilldelats till en ny process i enlighet med principen för användarkontokontroll.
TransmittedServices	sträng	Listan över överförda tjänster. Överförda tjänster fylls i om inloggningen berodde på en inloggningsprocess för S4U (Tjänst för användare). S4U är ett Microsoft-tillägg till Kerberos-protokollet som gör att en programtjänst kan hämta en Kerberos-tjänstbiljett åt en användare – oftast via en klientdelswebbplats för att få åtkomst till en intern resurs åt en användare. Mer information om S4U finns i https://msdn.microsoft.com/library/cc246072.aspx.
Typ	sträng	Namnet på tabellen
UserAccountControl	sträng	Visar listan över ändringar i userAccountControl-attributet. Du ser en textrad för varje ändring.
UserParameters	sträng	Om du ändrar en inställning med hjälp av Active Directory - användare och datorer-hanteringskonsolen på fliken Uppringning i användarens kontoegenskaper visas <värdet ändrat, men visas> inte i det här fältet. För lokala konton är det här fältet inte tillämpligt och har <alltid ett värde som inte har angetts> .
UserPrincipalName	sträng	Inloggningsnamn i Internetstil för kontot, baserat på Internetstandarden RFC 822. Enligt konventionen bör detta mappas till kontots e-postnamn.
UserWorkstations	sträng	Innehåller listan över NetBIOS- eller DNS-namn på de datorer som användaren kan logga in från. Varje datornamn avgränsas med ett kommatecken. Namnet på en dator är egenskapen sAMAccountName för ett datorobjekt.
VendorIds	sträng	"Maskinvaru-ID:n" för enheten. Om du vill se enhetsegenskaper startar du Enhetshanteraren, öppnar specifika enhetsegenskaper och klickar på Information.
Version	heltal	Innehåller versionsnumret för händelsens definition.
VirtualAccount	sträng	Flaggan "Ja" eller "Nej", som anger om kontot är ett virtuellt konto (t.ex. "Hanterat tjänstkonto", som introducerades i Windows 7 och Windows Server 2008 R2 för att ge möjlighet att identifiera det konto som en viss tjänst använder, i stället för att bara använda "NetworkService".
Arbetsstation	sträng	Namnet på den dator som användes för att utföra händelsen.
WorkstationName	sträng	Datornamn som ett inloggningsförsök utfördes från.