你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
MDCFileIntegrityMonitoringEvents
查看 Windows 和 Linux 文件以及软件注册表项的更改。 此表中的事件由 Microsoft Defender for Endpoint (MDE) 收集。
表属性
| Attribute | 值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | LogManagement |
| 基本日志 | 是 |
| 引入时转换 | 否 |
| 示例查询 | - |
列
| 列 | 类型 | 描述 |
|---|---|---|
| AADTenantID | string | 在其中创建、重命名、修改或删除了受监视实体的订阅的 AAD 租户 ID。 |
| AzureResourceId | string | 已创建、重命名、修改或删除受监视实体的资源的 Azure 资源 ID。 |
| _BilledSize | real | 记录大小（字节） |
| ChangeType | string | 实体上发生的更改的类型。 对于“File”实体，必须是“Created”、“Modified”、“Renamed”或“Deleted”。 对于“Registry”实体，必须是“RegistryKeyCreated”、“RegistryKeyDeleted”、“RegistryValueSet”、“RegistryValueDeleted”、“RegistryKeyRenamed”。 |
| CloudIdentifier | string | 资源的云标识符。 |
| CloudProvider | string | 资源的云提供商。 |
| CloudResourceType | string | 云资源的类型。 |
| Computer | string | 在其中创建、重命名、修改或删除受监视实体的计算机的名称。 |
| FileMd5 | string | 与“File”受监视实体类型相关。 保存已修改、创建或删除的文件的 MD5。 |
| FileName | string | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的名称。 |
| 文件路径 | string | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的路径。 |
| FileSha1 | string | 与“File”受监视实体类型相关。 保存已修改、创建或删除的文件的 SHA1。 |
| FileSha256 | string | 与“File”受监视实体类型相关。 保存已修改、创建或删除的文件的 SHA256。 |
| FileSize | long | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的当前大小（以字节为单位）。 |
| FileType | string | 与“File”受监视实体类型相关。 保存已创建、重命名、修改或删除的文件的类型。 可能值的示例：Zip、PDF、Xar 等。 |
| InitiatingProcessAccountDomainName | string | 保存产生受监视实体事件的启动进程的帐户域名。 |
| InitiatingProcessAccountName | string | 保存产生受监视实体事件的启动进程的帐户名称。 |
| InitiatingProcessAccountSid | string | 保存产生受监视实体事件的启动进程的帐户 SID。 |
| InitiatingProcessCreationTime | datetime | 保存产生受监视实体事件的启动进程的创建时间。 |
| InitiatingProcessFirstSeen | datetime | 保存产生受监视实体事件的启动进程的首次显示时间。 |
| InitiatingProcessId | long | 保存产生受监视实体事件的启动进程的进程 ID。 |
| InitiatingProcessImageFileName | string | 保存产生受监视实体事件的启动进程的映像文件名。 |
| InitiatingProcessImageFilePath | string | 保存产生受监视实体事件的启动进程的映像文件路径。 |
| InitiatingProcessImageFileType | string | 保存产生受监视实体事件的启动进程的映像文件类型。 |
| InitiatingProcessName | string | 保存产生受监视实体事件的启动进程的名称。 |
| InitiatingProcessSessionId | long | 保存产生受监视实体事件的启动进程的会话 ID。 |
| InitiatingProcessSource | string | 保存产生受监视实体事件的启动进程的源。 |
| InitProcImageCreationTimeUtc | datetime | 保存产生受监视实体事件的启动进程的映像的映像创建时间。 |
| InitProcImageFileSizeInBytes | long | 保存产生受监视实体事件的启动进程的映像文件大小（以字节为单位）。 |
| InitProcImageLastAccessTimeUtc | datetime | 保存产生受监视实体事件的启动进程的映像的映像上次访问时间。 |
| InitProcImageLastWriteTimeUtc | datetime | 保存产生受监视实体事件的启动进程的映像的映像上次写入时间。 |
| InitProcImageLsHash | string | 保存产生受监视实体事件的启动进程的映像的映像 LS 哈希。 |
| InitProcImageMd5 | string | 保存产生受监视实体事件的启动进程的映像的映像 MD5。 |
| InitProcImagePeTimestampUtc | datetime | 保存产生受监视实体事件的启动进程的映像的映像 PE 时间。 |
| InitProcImageSha1 | string | 保存产生受监视实体事件的启动进程的映像的映像 SHA 1。 |
| InitProcImageSha256 | string | 保存产生受监视实体事件的启动进程的映像的映像 SHA 256。 |
| InitProcVersionInfoCompanyName | string | 保存产生受监视实体事件的启动进程的版本信息公司名称。 |
| InitProcVersionInfoFileDescription | string | 保存产生受监视实体事件的启动进程的版本信息文件说明。 |
| InitProcVersionInfoInternalFileName | string | 保存产生受监视实体事件的启动进程的版本信息内部文件名。 |
| InitProcVersionInfoOriginalFileName | string | 保存产生受监视实体事件的启动进程的版本信息原始文件名。 |
| InitProcVersionInfoProductName | string | 保存产生受监视实体事件的启动进程的版本信息产品名称。 |
| InitProcVersionInfoProductVersion | string | 保存产生受监视实体事件的启动进程的版本信息产品版本。 |
| _IsBillable | string | 指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| MonitoredEntityType | string | 已创建、重命名、修改或删除的受监视实体的类型。 可以是“File”或“Registry”。 |
| NewValueData | string | 与“Registry”受监视实体类型相关。 保存新的注册表值数据。 |
| NewValueName | string | 与“Registry”受监视实体类型相关。 保存新的注册表值名称。 |
| NewValueType | string | 与“Registry”受监视实体类型相关。 保存新的注册表值类型。 |
| OldValueData | string | 与“Registry”受监视实体类型相关。 保存以前的注册表值数据。 |
| OldValueFullRegistryKey | string | 与“Registry”受监视实体类型相关。 保存以前的完整注册表项。 |
| OldValueName | string | 与“Registry”受监视实体类型相关。 保存以前的注册表值名称。 |
| OldValueType | string | 与“Registry”受监视实体类型相关。 保存以前的注册表值类型。 |
| OriginalFileName | string | 与“File”受监视实体类型和“Rename”更改类型相关。 保存进行重命名之前所重命名文件的原始名称。 |
| OriginalFilePath | string | 与“File”受监视实体类型和“Rename”更改类型相关。 保存进行重命名之前所重命名文件的原始路径。 |
| RegistryHive | string | 与“Registry”受监视实体类型相关。 保存操作系统和应用程序的分组配置设置。 |
| RegistryKey | string | 与“Registry”受监视实体类型相关。 保存已创建的注册表的完整注册表项或重命名的注册表的新注册表项。 |
| RequestAccountDomain | string | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的域。 |
| RequestAccountName | string | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的名称。 |
| RequestAccountSid | string | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的 SID。 |
| RequestSource | string | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的源。 例如 Local/SMB/NFS。 |
| RequestSourceIP | string | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的源 IP。 对于远程文件，请求来自的 IP。 |
| RequestSourcePort | string | 与“File”受监视实体类型相关。 保存产生文件事件的用户的帐户的源端口。 对于远程文件，请求来自的端口。 |
| SourceSystem | string | 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure |
| TenantId | string | Log Analytics 工作区 ID |
| TimeGenerated | datetime | 创建、重命名、修改或删除受监视实体的时间 (UTC)。 |
| 类型 | 字符串 | 表的名称 |