你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

DeviceEve

此表是含 Azure Sentinel 的 Microsoft Defender for Endpoints 的一部分。 此表包含多个事件类型，包括由安全控制（例如 Windows Defender 防病毒和攻击保护）触发的事件。

表特性

Attribute	值
资源类型	-
类别	安全性
解决方案	SecurityInsights
基本日志	否
引入时转换	是
示例查询	-

列

列	类型​​	描述
AccountDomain	string	帐户的域。
AccountName	string	帐户的用户名。
AccountSid	string	帐户的安全标识符 (SID)。
ActionType	string	触发事件的活动的类型。
AdditionalFields	动态	有关实体或活动的其他信息。
AppGuardContainerId	string	应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。
_BilledSize	real	记录大小（字节）
CreatedProcessSessionId	long	所创建进程的 Windows 会话 ID。
DeviceId	string	设备在服务中的唯一标识符。
设备名称	string	设备的完全限定的域名 (FQDN)。
FileName	string	帐户的域。
FileOriginIP	string	从中下载文件的 IP 地址。
FileOriginUrl	string	从其中下载文件的 URL。
FileSize	long	文件的大小（字节）。
FolderPath	string	帐户的域。
InitiatingProcessAccountDomain	string	运行负责事件的进程的账户的域。
InitiatingProcessAccountName	string	运行负责事件的进程的账户的用户名。
InitiatingProcessAccountObjectId	string	运行负责事件的进程的用户帐户的 Azure AD 对象 ID。
InitiatingProcessAccountSid	string	运行负责事件的进程的帐户的安全标识符 (SID)。
InitiatingProcessAccountUpn	string	运行负责事件的进程的账户的用户主体名称 (UPN)。
InitiatingProcessCommandLine	string	用于运行启动事件的进程的命令行。
InitiatingProcessCreationTime	datetime	启动事件的进程的启动日期和时间。
InitiatingProcessFileName	string	启动事件的进程的名称。
InitiatingProcessFileSize	long	运行负责事件的进程的文件的大小（以字节为单位）。
InitiatingProcessFolderPath	string	包含启动事件的进程（映像文件）的文件夹。
InitiatingProcessId	long	启动事件的进程的进程 ID (PID)。
InitiatingProcessLogonId	long	启动事件的进程的登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。
InitiatingProcessMD5	string	启动事件的进程（映像文件）的 MD5 哈希。
InitiatingProcessParentCreationTime	datetime	负责事件的进程的父进程的启动日期和时间。
InitiatingProcessParentFileName	string	生成负责事件的进程的父进程的名称。
InitiatingProcessParentId	long	生成负责事件的进程的父进程的进程 ID (PID)。
InitiatingProcessRemoteSessionDeviceName	string	从中启动启动进程 RDP 会话的远程设备的设备名称。
InitiatingProcessRemoteSessionIP	string	从中启动启动进程 RDP 会话的远程设备的 IP 地址。
InitiatingProcessSessionId	long	启动进程的 Windows 会话 ID。
InitiatingProcessSHA1	string	启动事件的进程（映像文件）的 SHA-1 哈希。
InitiatingProcessSHA256	string	启动事件的进程（映像文件）的 SHA-256 哈希。 通常不会填充此字段 - 在可用时使用 SHA1 列。
InitiatingProcessVersionInfoCompanyName	string	负责事件的进程（映像文件）的版本信息中的公司名称。
InitiatingProcessVersionInfoFileDescription	string	负责事件的进程（映像文件）的版本信息中的说明。
InitiatingProcessVersionInfoInternalFileName	string	负责事件的进程（映像文件）的版本信息中的内部文件名。
InitiatingProcessVersionInfoOriginalFileName	string	负责事件的进程（映像文件）的版本信息中的原始文件名。
InitiatingProcessVersionInfoProductName	string	负责事件的进程（映像文件）的版本信息中的产品名称。
InitiatingProcessVersionInfoProductVersion	string	负责事件的进程（映像文件）的版本信息中的产品版本。
_IsBillable	string	指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
IsInitiatingProcessRemoteSession	布尔	指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
IsProcessRemoteSession	布尔	指示所创建进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。
LocalIP	string	分配给通信期间使用的本地计算机的 IP 地址。
LocalPort	int	通信期间使用的本地计算机上的 TCP 端口。
LogonId	long	登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。
MachineGroup	string	计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。
MD5	string	应用了所记录操作的文件的 MD5 哈希。
ProcessCommandLine	string	用于创建新进程的命令行。
ProcessCreationTime	datetime	进程的创建日期和时间。
ProcessId	long	新创建的进程的进程 ID (PID)。
ProcessRemoteSessionDeviceName	string	从中启动所创建进程 RDP 会话的远程设备的设备名称。
ProcessRemoteSessionIP	string	从中启动所创建进程 RDP 会话的远程设备的 IP 地址。
ProcessTokenElevation	string	令牌类型，指示是否存在应用于新创建进程的用户访问控制 (UAC) 特权提升。
RegistryKey	string	应用了所记录操作的注册表项。
RegistryValueData	string	应用了所记录操作的注册表值的数据。
RegistryValueName	string	应用了所记录操作的注册表值的名称。
RemoteDeviceName	string	在受影响计算机上执行远程操作的设备的名称。 根据要报告的事件，此名称可以是完全限定的域名 (FQDN)、NetBIOS 名称或主机名（不包含域信息）。
RemoteIP	string	所连接到的 IP 地址。
RemotePort	int	所连接到的远程设备上的 TCP 端口。
RemoteUrl	string	所连接到的 URL 或完全限定的域名 (FQDN)。
ReportId	long	基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。
SHA1	string	应用了所记录操作的文件的 SHA-1 哈希。
SHA256	string	应用了所记录操作的文件的 SHA-256。
SourceSystem	string	收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
TenantId	string	Log Analytics 工作区 ID
TimeGenerated	datetime	终结点上的 MDE 代理记录事件的日期和时间。
类型	字符串	表的名称