你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

ASimFileEventLogs

高级安全信息模型 (ASIM) 文件事件规范化架构描述文件活动，例如创建、修改或删除文件或文档。

表属性

Attribute	值
资源类型	microsoft.securityinsights/asimtables
类别	安全性
解决方案	SecurityInsights
基本日志	否
引入时转换	是
示例查询	-

列

列	类型​​	说明
ActingProcessCommandLine	string	用于运行操作进程的命令行。
“ActingProcessGuid”	string	为操作进程生成的唯一标识符 (GUID)。
ActingProcessId	string	操作进程的进程 ID (PID)。
“ActingProcessName”	string	操作进程的名称。
ActorOriginalUserType	string	报告设备提供的原始参与者用户类型。
ActorScope	string	定义 ActorUserId 和 ActorUsername 的范围，例如 Azure AD 租户。
ActorScopeId	string	ActorUserId 和 ActorUsername 的定义范围 ID（例如 Azure AD Directory ID）。
“ActorSessionId”	string	Actor 登录会话的唯一 ID。
ActorUserAadId	string	参与者的 Azure Active Directory ID。
ActorUserId	string	参与者的计算机可读的唯一字母数字表示形式。
ActorUserIdType	string	ActorUserId 字段中存储的 ID 的类型。
ActorUsername	string	参与者的用户名，包括域信息（如果可用）。
ActorUsernameType	string	指定 ActorUsername 字段中存储的用户名的类型。
ActorUserSid	string	参与者的 Windows 用户 ID (SID)。
ActorUserType	string	参与者的类型。
AdditionalFields	动态	附加信息，使用源提供的不映射到 ASim 的键/值对表示。
_BilledSize	real	记录大小（字节）
DvcAction	string	对 Web 会话执行的操作。
DvcDescription	string	与设备关联的描述性文本。
DvcDomain	string	报告事件的设备的域。
DvcDomainType	string	DvcDomain 的类型。 有效值包括“Windows”和“FQDN”。
DvcFQDN	string	发生了事件或报告了事件的设备的主机名。
DvcHostname	string	报告事件的设备的主机名。
“DvcId”	string	发生了事件或报告了事件的设备的唯一 ID。
DvcIdType	string	DvcId 的类型。
DvcInterface	string	报告设备提供的原始 DvcAction。
DvcIpAddr	string	报告事件的设备的 IP 地址。
DvcMacAddr	string	发生了事件或报告了事件的设备的 MAC 地址。
DvcOriginalAction	string	报告设备提供的原始 DvcAction。
DvcOs	string	发生了事件或报告了事件的设备上运行的操作系统。
DvcOsVersion	string	发生了事件或报告了事件的设备上的操作系统版本。
DvcScope	string	设备所属的云平台范围。 DvcScope 映射到 Azure 上的订阅名称和 AWS 上的帐户 ID。
DvcScopeId	string	设备所属的云平台范围 ID。 DvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。
DvcZone	string	发生了事件或报告了事件的网络，具体取决于架构。
EventCount	int	当源支持聚合且单个记录可以表示多个事件时，将使用此值。
EventEndTime	datetime	事件的结束时间。 如果源支持聚合且记录表示多个事件，则为生成最后一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。
EventMessage	string	常规消息或说明。
EventOriginalResultDetails	string	源提供的原始结果详细信息。 此值用于派生 EventResultDetails，其中应只包含针对每个架构记录的一个值。
EventOriginalSeverity	string	报告设备提供的原始严重性。 此值用于派生 EventSeverity。
EventOriginalSubType	string	原始事件子类型或 ID（如果已由源提供）。 例如，此字段用于存储原始 Windows 登录类型。 此值用于派生 EventSubType，其中应只包含针对每个架构记录的一个值。
“EventOriginalType”	string	原始事件类型或 ID（如果已由源提供）。
EventOriginalUid	string	原始记录的唯一 ID（如果已由源提供）。
EventOwner	string	事件的所有者，通常是生成事件的部门或子公司。
EventProduct	string	生成事件的产品。
EventProductVersion	string	生成事件的产品的版本。
EventReportUrl	string	在资源的事件中提供的 URL，提供有关该事件的更多信息。
EventResult	string	事件的结果，由以下值之一表示：成功、部分、失败、NA（不适用）。 该值可能不是由源直接提供的，在这种情况下，它来自其他事件字段，例如 EventResultDetails 字段。
EventResultDetails	string	HTTP 状态代码。
EventSchema	string	事件要规范化成的架构。 每个架构会记录其架构名称。
EventSchemaVersion	string	架构的版本。
EventSeverity	string	事件的严重性。 有效值为：信息、低、中或高。
EventStartTime	datetime	事件的开始时间。 如果源支持聚合且记录表示多个事件，则为生成第一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。
EventSubType	string	事件类型的附加说明（如果适用）。
EventType	string	记录报告的操作。
EventVendor	string	生成事件的产品的供应商。
HashType	string	存储在哈希别名字段中的哈希类型。
HttpUserAgent	string	当使用 HTTP 或 HTTPS 启动操作时，为 HTTP 用户代理标头。
_IsBillable	string	指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
NetworkApplicationProtocol	string	当操作由远程系统启动时，为连接或会话使用的应用层协议。
_ResourceId	字符串	与记录关联的资源的唯一标识符
RuleName	string	与检查结果关联的规则的名称或 ID。
RuleNumber	int	与检查结果关联的规则的数量。
SourceSystem	string	收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
SrcDescription	string	与设备关联的描述性文本。
SrcDeviceType	string	源设备的类型。
SrcDomain	string	源设备的域。
SrcDomainType	string	SrcDomain 的类型。
SrcDvcId	string	源设备的 ID。
SrcDvcIdType	string	SrcDvcId 的类型。
SrcDvcScope	string	设备所属的云平台范围。
SrcDvcScopeId	string	设备所属的云平台范围 ID。
SrcFileCreationTime	datetime	创建源文件的时间。
SrcFileDirectory	string	源文件所在的文件夹或位置。
SrcFileExtension	string	源文件扩展名。
SrcFileMD5	string	源文件的 MD5 哈希。
SrcFileMimeType	string	源文件的 Mime 或媒体类型。
SrcFileName	string	源文件的名称，不带路径或位置，但带有扩展名（如果相关）。
SrcFilePath	string	源文件的完整规范化路径，包括文件夹或位置、文件名和扩展名。
SrcFilePathType	string	SrcFilePath 的类型。
SrcFileSHA1	string	源文件的 SHA-1 哈希。
SrcFileSHA256	string	源文件的 SHA-256 哈希。
SrcFileSHA512	string	源文件的 SHA-512 哈希。
SrcFileSize	long	源文件的大小，以字节为单位。
SrcFQDN	string	源设备主机名，包括域信息（如果可用）。
SrcGeoCity	string	与源 IP 地址关联的城市。
SrcGeoCountry	string	与源 IP 地址关联的国家/地区。
SrcGeoLatitude	real	与源 IP 地址关联的地理坐标的纬度。
SrcGeoLongitude	real	与源 IP 地址关联的地理坐标的经度。
SrcGeoRegion	string	与源 IP 地址关联的国家/地区中的区域。
SrcHostname	string	源设备主机名，不包括域信息。 如果没有可用的设备名称，请在此字段中存储相关的 IP 地址。
SrcIpAddr	string	当远程系统启动操作时此系统的 IP 地址。
SrcMacAddr	string	源设备的 MAC 地址。
SrcOriginalRiskLevel	string	与源关联的风险级别。 由报告设备报告或扩充。
SrcPortNumber	int	当远程系统启动操作时，从中启动连接的端口号。
SrcRiskLevel	int	与源关联的风险级别。
_SubscriptionId	字符串	与记录关联的订阅的唯一标识符
TargetAppId	string	目标应用程序的 ID，由报告设备报告。
TargetAppName	string	目标应用程序的名称。
TargetAppType	string	目标应用程序的类型。
TargetFileCreationTime	datetime	创建目标文件的时间。
TargetFileDirectory	string	目标文件所在的文件夹或位置。
TargetFileExtension	string	目标文件扩展名。
TargetFileMD5	string	目标文件的 MD5 哈希。
TargetFileMimeType	string	目标文件的 Mime 或媒体类型。
TargetFileName	string	目标文件的名称，不带路径或位置，但带有扩展名（如果相关）。
TargetFilePath	string	目标文件的完整规范化路径，包括文件夹或位置、文件名和扩展名。
TargetFilePathType	string	TargetFilePath 的类型。
TargetFileSHA1	string	目标文件的 SHA-1 哈希。
TargetFileSHA256	string	目标文件的 SHA-256 哈希。
TargetFileSHA512	string	源文件的 SHA-512 哈希。
TargetFileSize	long	目标文件的大小，以字节为单位。
TargetOriginalAppType	string	报告设备报告的目标应用程序类型。
TargetUrl	string	通过 HTTP 或 HTTPS 启动操作时使用的 URL。
TenantId	string	Log Analytics 工作区 ID
ThreatCategory	string	在文件活动中识别到的威胁或恶意软件的类别。
ThreatConfidence	int	已识别威胁的可信度，规范化为 0 到 100 之间的值。
ThreatField	string	已识别出威胁的字段。 该值为 SrcFilePath 或 DstFilePath。
ThreatFilePath	string	已识别出威胁的文件路径。 字段 ThreatField 包含 ThreatFilePath 表示的字段的名称。
ThreatFirstReportedTime	datetime	IP 地址或域首次被识别为威胁的时间。
ThreatId	string	在文件活动中识别到的威胁或恶意软件的 ID。
ThreatIsActive	布尔	已识别威胁被视为活动威胁的真实 ID。
ThreatLastReportedTime	datetime	上次将 IP 地址或域识别为威胁的时间。
ThreatName	string	在文件活动中识别到的威胁或恶意软件的名称。
ThreatOriginalConfidence	string	报告设备报告的已识别威胁的原始可信度。
ThreatOriginalRiskLevel	string	报告设备报告的风险级别。
ThreatRiskLevel	int	与已识别的威胁关联的风险级别。 级别应是介于 0 和 100 之间的数字。
TimeGenerated	datetime	时间戳反映生成事件的时间。
类型	字符串	表的名称