你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
DeviceLogonEvents
此表是含 Azure Sentinel 的 Microsoft Defender for Endpoints 的一部分。 此表包含登录和其他身份验证事件。
表特性
| Attribute | 值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | SecurityInsights |
| 基本日志 | 否 |
| 引入时转换 | 是 |
| 示例查询 | - |
列
| 列 | 类型 | 描述 |
|---|---|---|
| AccountDomain | string | 帐户的域。 |
| AccountName | string | 帐户的用户名。 |
| AccountSid | string | 帐户的安全标识符 (SID)。 |
| ActionType | string | 触发事件的活动的类型。 |
| AdditionalFields | 动态 | 有关实体或活动的其他信息。 |
| AppGuardContainerId | string | 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
| _BilledSize | real | 记录大小（字节） |
| DeviceId | string | 设备在服务中的唯一标识符。 |
| 设备名称 | string | 设备的完全限定的域名 (FQDN)。 |
| FailureReason | string | 说明所记录操作失败的原因的信息。 |
| InitiatingProcessAccountDomain | string | 运行负责事件的进程的账户的域。 |
| InitiatingProcessAccountName | string | 运行负责事件的进程的账户的用户名。 |
| InitiatingProcessAccountObjectId | string | 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
| InitiatingProcessAccountSid | string | 运行负责事件的进程的帐户的安全标识符 (SID)。 |
| InitiatingProcessAccountUpn | string | 运行负责事件的进程的账户的用户主体名称 (UPN)。 |
| InitiatingProcessCommandLine | string | 用于运行启动事件的进程的命令行。 |
| InitiatingProcessCreationTime | datetime | 启动事件的进程的启动日期和时间。 |
| InitiatingProcessFileName | string | 启动事件的进程的名称。 |
| InitiatingProcessFileSize | long | 启动事件的进程（映像文件）的大小（以字节为单位）。 |
| InitiatingProcessFolderPath | string | 包含启动事件的进程（映像文件）的文件夹。 |
| InitiatingProcessId | long | 启动事件的进程的进程 ID (PID)。 |
| InitiatingProcessIntegrityLevel | string | 启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
| InitiatingProcessMD5 | string | 启动事件的进程（映像文件）的 MD5 哈希。 |
| InitiatingProcessParentCreationTime | datetime | 负责事件的进程的父进程的启动日期和时间。 |
| InitiatingProcessParentFileName | string | 生成负责事件的进程的父进程的名称。 |
| InitiatingProcessParentId | long | 生成负责事件的进程的父进程的进程 ID (PID)。 |
| InitiatingProcessRemoteSessionDeviceName | string | 从中启动启动进程 RDP 会话的远程设备的设备名称。 |
| InitiatingProcessRemoteSessionIP | string | 从中启动启动进程 RDP 会话的远程设备的 IP 地址。 |
| InitiatingProcessSessionId | long | 启动进程的 Windows 会话 ID。 |
| InitiatingProcessSHA1 | string | 启动事件的进程（映像文件）的 SHA-1 哈希。 |
| InitiatingProcessSHA256 | string | 启动事件的进程（映像文件）的 SHA-256 哈希。 通常不会填充此字段 - 在可用时使用 SHA1 列。 |
| InitiatingProcessTokenElevation | string | 令牌类型，指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升。 |
| InitiatingProcessVersionInfoCompanyName | string | 负责事件的进程（映像文件）的版本信息中的公司名称。 |
| InitiatingProcessVersionInfoFileDescription | string | 负责事件的进程（映像文件）的版本信息中的说明。 |
| InitiatingProcessVersionInfoInternalFileName | string | 负责事件的进程（映像文件）的版本信息中的内部文件名。 |
| InitiatingProcessVersionInfoOriginalFileName | string | 负责事件的进程（映像文件）的版本信息中的原始文件名。 |
| InitiatingProcessVersionInfoProductName | string | 负责事件的进程（映像文件）的版本信息中的产品名称。 |
| InitiatingProcessVersionInfoProductVersion | string | 负责事件的进程（映像文件）的版本信息中的产品版本。 |
| _IsBillable | string | 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| IsInitiatingProcessRemoteSession | 布尔 | 指示启动进程是在远程桌面协议 (RDP) 会话下 (true) 还是本地 (false) 运行。 |
| IsLocalAdmin | 布尔 | 指示用户是否是计算机上的本地管理员的布尔指示器。 |
| LogonId | long | 登录会话的标识符。 此标识符仅在重启之间在同一台计算机上唯一。 |
| LogonType | string | 登录会话的类型，具体包括交互式、远程交互式 (RDP)、网络、批处理和服务。 |
| MachineGroup | string | 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
| 协议 | string | 通信期间使用的协议。 |
| RemoteDeviceName | string | 在受影响计算机上执行远程操作的设备的名称。 根据要报告的事件，此名称可以是完全限定的域名 (FQDN)、NetBIOS 名称或主机名（不包含域信息）。 |
| RemoteIP | string | 所连接到的 IP 地址。 |
| RemoteIPType | string | IP 地址的类型，例如 Public、Private、Reserved、Loopback、Teredo、FourToSixMapping 和 Broadcast。 |
| RemotePort | int | 所连接到的远程设备上的 TCP 端口。 |
| ReportId | long | 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
| SourceSystem | string | 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
| TenantId | string | Log Analytics 工作区 ID |
| TimeGenerated | datetime | 终结点上的 MDE 代理记录事件的日期和时间。 |
| 类型 | 字符串 | 表的名称 |