你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

SecurityEvent

由 Azure 安全中心或 Azure Sentinel 从 Windows 计算机收集的安全事件。

表属性

Attribute	值
资源类型	microsoft.securityinsights/securityinsights， microsoft.compute/virtualmachines， microsoft.conenctedvmwarevsphere/virtualmachines， microsoft.azurestackhci/virtualmachines， microsoft.scvmm/virtualmachines， microsoft.compute/virtualmachinescalesets
类别	安全性
解决方案	Security、SecurityInsights
基本日志	否
引入时转换	是
示例查询	是

列

列	类型​​	描述
AccessMask	string	请求或已执行操作的十六进制掩码。
帐户	string	服务或用户的安全上下文。
AccountDomain	string	主体的域或计算机名称。
AccountExpires	string	帐户到期的日期。
AccountName	string	请求执行“删除域信任”操作的帐户名称。
AccountSessionIdentifier	string	创建会话时计算机生成的唯一标识符。
AccountType	string	标识帐户是计算机帐户（计算机）还是用户帐户。
活动	string	所发生事件的描述性标题。
AdditionalInfo	string	源提供的附加信息，这些信息不与以列表表示的其他字段相对应。
AdditionalInfo2	string	源提供的附加信息，这些信息不与以列表表示的其他字段相对应。
AllowedToDelegateTo	string	此帐户可向其提交委派凭据的 SPN 列表。
特性	string	有关事件的其他信息。
AuditPolicyChanges	string	对系统审核策略或文件或注册表键的审核设置进行更改时生成的事件。
AuditsDiscarded	int	被丢弃的审核消息数量。
AuthenticationLevel	int	被丢弃的审核消息数量。
AuthenticationPackageName	string	已加载的身份验证包的名称。 格式为：DLL_PATH_AND_NAME: AUTHENTICATION_PACKAGE_NAME。
AuthenticationProvider	string	负责身份验证过程的提供程序的表示（可包括证书颁发机构、用户名、密码身份验证系统等）。
AuthenticationServer	string	身份验证提供程序所在的服务器。
AuthenticationService	int	身份验证提供程序所在的服务。
AuthenticationType	string	事件使用的身份验证类型（双重身份验证、生物识别身份验证等）。
AzureDeploymentID	string	日志所属的云服务的 Azure 部署 ID。
_BilledSize	real	记录大小（字节）
CACertificateHash	string	证书颁发机构 (CA) 证书的哈希值，该证书用于对执行事件的用户进行身份验证。
CalledStationID	string	有关启动导致安全事件的操作的工作站的 ID 的信息。
CallerProcessId	string	尝试登录的进程的十六进制进程 ID。 进程 ID (PID) 是操作系统用来唯一标识活动进程的数字。
CallerProcessName	string	进程的完整路径和可执行文件的名称。
CallingStationID	string	有关启动导致安全事件的操作的工作站的 ID 的信息。
CAPublicKeyHash	string	用于标识颁发证书的证书颁发机构 (CA) 的公钥的哈希值。
CategoryId	string	发生的安全事件类别（登录尝试、数据泄露等）。
CertificateDatabaseHash	string	用于标识颁发证书的数据库的哈希值。
Channel	string	记录事件的通道。
ClassId	string	设备的 'Class Guid' 属性。
ClassName	string	设备的 'Class' 属性。
ClientAddress	string	从其接收 TGT 请求的计算机的 IP 地址。
ClientIPAddress	string	启动导致事件发生的操作的计算机的 IP 地址。
ClientName	string	用户从其进行重新连接的计算机名称。 控制台会话的 'Unknown' 值。
CommandLine	string	传递给参与事件的应用程序或进程的命令行参数。
CompatibleIds	string	设备的 'Compatible Ids' 属性。 要查看设备属性，请启动设备管理器，打开特定设备属性，然后单击“详细信息”：
Computer	string	发生该事件的计算机的名称。
关联	string	使用者可用于将相关事件分组到一起的活动标识符。
DCDNSName	string	事件涉及的域控制器的 DNS 名称。
DeviceDescription	string	事件所涉设备的说明。
DeviceId	string	事件中涉及的设备的唯一标识符。
DisplayName	string	这是一个显示在特定帐户的通讯簿中的名称。 它通常为用户的名字、中间名和姓氏的组合。
Disposition	string	事件结果/解决方案，例如事件是否得到解决，或是否针对事件采取了任何行动。
DomainBehaviorVersion	string	msDS-Behavior-Version 域属性已修改。 数值。
DomainName	string	已删除的受信任域的名称。
DomainPolicyChanged	string	指明事件中是否更改了任何域策略（密码策略、安全策略等）。
DomainSid	string	信任合作伙伴的 SID。 事件中可能没有捕获到该参数，在这种情况下，会显示为“NULL SID”。
EAPType	string	事件身份验证过程中使用的可扩展身份验证协议 (EAP) 类型。
ElevatedToken	string	“是”或“否”标志。 如果为“是”，则表示该事件所代表的会话已升级并具有管理员权限。
ErrorCode	int	包含故障事件的错误代码。 对于 Success 事件，此参数具有 '0x0' 值。
EventData	string	与事件相关的事件特定数据。
事件 ID	int	提供程序用于识别事件的标识符。
EventLevelName	string	事件中指定级别的呈现消息字符串。
EventRecordId	string	记录事件时分配给该事件的记录号。
EventSourceName	string	记录事件的软件名称（应用程序或 succomponent）。
ExtendedQuarantineState	string	网络隔离过程的状态（如果适用）。 网络隔离是一种阻止未经授权的设备访问网络，直到这些设备满足特定的安全要求或经过恶意软件检查的过程。
FailureReason	string	状态字段值的文本说明。 对于此事件，它通常具有 'Account locked out' 值。
FileHash	string	在事件中被访问或修改的任何文件的哈希值，或在身份验证或授权过程中使用的任何文件的哈希值。
文件路径	string	执行操作的密钥文件的完整路径和文件名。
FilePathNoUser	string	与事件相关的任何文件的路径，不包括用户名或其他用户特定信息。
筛选器	string	在已执行事件中使用的筛选器。
ForceLogoff	string	“\安全设置\本地策略\安全选项\网络安全：在登录时间过期时强制注销”组策略。
Fqbn	string	与事件相关的任何文件的完全限定二进制名称 (FQBN)。
FullyQualifiedSubjectMachineName	string	发起事件的计算机的完全限定域名 (FQDN)。
FullyQualifiedSubjectUserName	string	以 FQDN 格式表示的发起事件的用户或服务的用户名。
GroupMembership	string	记录的帐户所属（为其成员）的组 SID 列表。 事件查看器会自动尝试解析 SID 并显示帐户名称。 如果无法解析 SID，则会在事件中看到源数据。
HandleId	string	对象名称句柄的十六进制值。 此字段可用于与其他事件相关联。
HardwareIds	string	设备的 'Hardware Ids' 属性。 要查看设备属性，请启动设备管理器，打开特定设备属性，然后单击“详细信息”：
HomeDirectory	string	用户的主目录。 如果设置了 homeDrive 属性并指定了驱动器盘符，则 homeDirectory 应为 UNC 路径。 路径必须是形式为 \Server\Share\Directory 的网络 UNC。
HomePath	string	用户的主路径。 路径必须是形式为 \Server\Share\Directory 的网络 UNC。
InterfaceUuid	string	事件所用网络接口的唯一标识符 (UUID)。
IpAddress	string	与事件关联的网络地址（通常为 IPv4 或 IPv6）。
IpPort	string	与事件关联的网络端口号。
_IsBillable	string	指定引入数据是否计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费
KeyLength	int	NTLM 会话安全密钥的长度。 其长度通常为 128 位或 56 位。
关键字	string	事件中定义的关键字的位掩码。
级别	string	Windows 会根据严重性级别对每个事件进行分类。 严重性级别依次为信息、详细、警告、错误和关键，均以数字表示。
LmPackageName	string	当前在生成事件的计算机上使用本地安全机构 (LSA) 的包或软件组件的名称。
LocationInformation	string	设备的 'Location information' 属性。 要查看设备属性，请启动设备管理器，打开特定设备属性，然后单击“详细信息”：
LockoutDuration	string	“\安全设置\帐户策略\帐户锁定策略\帐户锁定持续时间”组策略。 数值。
LockoutObservationWindow	string	“\安全设置\帐户策略\帐户锁定策略\在此时间后重置帐户锁定计数器”组策略。 数值。
LockoutThreshold	string	“\安全设置\帐户策略\帐户锁定策略\帐户锁定阈值”组策略。 数值。
LoggingResult	string	登录进程的结果。
LogonGuid	string	一个有助于将此事件与另一个包含相同登录 GUID 的事件关联起来的 GUID。
LogonHours	string	允许帐户登录域的小时数。
LogonID	string	十六进制值，有助于将此事件与可能包含相同登录 ID 的最近事件关联起来。
LogonProcessName	string	已注册登录进程的名称。
LogonType	int	已执行的登录类型。
LogonTypeName	string	事件日志捕获的登录或身份验证事件类型（常用值：Interactive、Network、RemoteInteractive、Unlock）。
MachineAccountQuota	string	ms-DS-MachineAccountQuota 域属性已修改。 数值。
MachineInventory	string	有关生成事件的计算机的硬件配置和软件环境信息。 它可以包括不同的数据点，例如：计算机的品牌和型号、可用的 RAM 或存储空间大小、各种软件应用程序的版本号等。
MachineLogon	string	有关计算机中成功登录事件的信息。
ManagementGroupName	string	基于资源类型的附加信息。
MandatoryLabel	string	分配给新进程的完整性标签的 ID。
MaxPasswordAge	string	在系统要求用户更改密码之前，密码可以使用的时间（天数）。
MemberName	string	事件中所涉及的用户帐户。
MemberSid	string	与事件中所涉用户帐户相关联的安全标识符 (SID)。
MinPasswordAge	string	在系统要求用户更改密码之前，密码必须使用的时间（天数）。
MinPasswordLength	string	用户帐户密码的最少字符数。
MixedDomainMode	string	系统或域控制器的域模式。
NASIdentifier	string	事件中所涉及的网络访问服务器 (NAS) 的标识符。
NASIPv4Address	string	事件中所涉及的网络访问服务器 (NAS) 的 IPv4 地址（如果适用）。
NASIPv6Address	string	事件中所涉及的网络访问服务器 (NAS) 的 IPv6 地址（如果适用）。
NASPort	string	事件中所使用的网络访问服务器上的端口。
NASPortType	string	事件中所使用的网络访问服务器 (NAS) 类型。
NetworkPolicyName	string	与事件相关的网络策略名称。
NewDate	string	UTC 时区的新日期。 格式为 YYYY-MM-DD。
NewMaxUsers	string	事件中某一资源允许的最大新用户数量。
NewProcessId	string	新进程的十六进制进程 ID。 进程 ID (PID) 是操作系统用来唯一标识活动进程的数字。
NewProcessName	string	新进程的完整路径和可执行文件的名称。
NewRemark	string	网络共享“注释：”字段的新值。 如果未设置，则具有“N/A”值。
NewShareFlags	string	事件中与资源相关的共享标志，例如：有关资源是只读还是读/写、是否隐藏的信息，以及其他可能影响访问和权限的参数。
NewTime	string	在 UTC 时区设置的新时间。 格式为 YYYY-MM-DDThh:mm:ss.nnnnnnnZ
NewUacValue	string	指定用于控制用户帐户密码、锁定、禁用/启用、脚本和其他行为的标志。
NewValue	string	注册表项值更改后的新值。
NewValueType	string	已更改注册表项值的新类型。
ObjectName	string	请求访问的对象的名称和其他标识信息。 例如，对于文件，路径将被包含在内。
ObjectServer	string	包含调用例程的 Windows 子系统名称。
ObjectType	string	在操作过程中访问的对象类型。
ObjectValueName	string	已修改的注册表项值的名称。
OemInformation	string	与事件中的设备或系统相关的原始设备制造商 (OEM)。
OldMaxUsers	string	事件中某一资源先前允许的最大用户数。
OldRemark	string	网络共享“注释：”字段的旧值。 如果未设置，则具有“N/A”值。
OldShareFlags	string	事件中与资源相关的先前共享标志，例如：有关资源是只读还是读/写、是否隐藏的信息，以及其他可能影响访问和权限的参数。
OldUacValue	string	指定用于控制用户帐户密码、锁定、禁用/启用、脚本和其他行为的标志。 此参数包含用户对象的 userAccountControl 属性的先前值。
OldValue	string	注册表项值更改后的旧值。
OldValueType	string	已更改注册表项值的旧类型。
操作码	string	opcode 元素由 SystemPropertiesType 复杂类型定义。
OperationType	string	对对象执行的操作类型
PackageName	string	登录时使用的 LAN 管理器子包名称（NTLM 系列协议名称）。
ParentProcessName	string	与事件相关的父进程名称。
PasswordHistoryLength	string	\安全设置\帐户策略\密码策略\强制执行密码历史记录”组策略。 数值。
PasswordLastSet	string	上次修改帐户密码的时间。
PasswordProperties	string	与事件相关的密码策略或属性，例如：密码长度、复杂性和有效期。
PreviousDate	string	与事件相关的上一个日期。
PreviousTime	string	UTC 时区中的上一个时间。 格式为 YYYY-MM-DDThh:mm:ss.nnnnnnnZ。
PrimaryGroupId	string	用户对象主组的相对标识符 (RID)。
PrivateKeyUsageCount	string	私钥的已使用次数。
PrivilegeList	string	与事件相关的权限，包括用户、组或系统权限。
处理	string	生成事件的进程名称。
ProcessId	string	标识生成事件的进程。
ProcessName	string	进程的完整路径和可执行文件的名称。
ProfilePath	string	指定帐户配置文件的路径。 此值可以是空字符串、本地绝对路径或 UNC 路径。
属性	string	取决于对象类型。 此字段可以为空，也可以包含被访问的对象属性列表。
ProtocolSequence	string	有关尝试身份验证时使用的协议信息。
ProxyPolicyName	string	用于配置代理服务器连接网络的策略名称。
QuarantineHelpURL	string	帮助排除网络隔离问题的 URL。
QuarantineSessionID	string	对文件进行隔离评估的会话标识符。
QuarantineSessionIdentifier	string	对文件进行隔离评估的会话标识符。
QuarantineState	string	它显示文件是否被隔离。
QuarantineSystemHealthResult	string	显示已隔离文件状态的报告。
RelativeTargetName	string	访问的目标文件或文件夹的相对名称。 此文件路径与网络共享相对。 如果请求访问的是共享本身，则此字段显示为 ""。
RemoteIpAddress	string	发起远程连接的计算机的 IP 地址。
RemotePort	string	发起连接的远程计算机的端口号。
申请者	string	事件请求者标识符。
RequestId	string	与特定请求（如通过 HTTP 提出的请求）相关联的唯一标识符。
_ResourceId	字符串	与记录关联的资源的唯一标识符
RestrictedAdminMode	string	仅为 RemoteInteractive 登录类型会话填充。 这是一个“是/否”标志，指明所提供的凭据是否在“受限管理”模式下传递。 受限管理模式是在 Win8.1/2012R2 中添加的，但在 Win10 中事件中添加了此标记。
RowsDeleted	string	作为特定操作的一部分被删除的行数。
SamAccountName	string	用于支持以前版本 Windows 客户端和服务器的帐户登录名（Windows 2000 以前的登录名）。
ScriptPath	string	指定帐户登录脚本的路径。
SecurityDescriptor	string	有关特定对象或资源的安全设置和权限的信息。
ServiceAccount	string	服务启动时运行的安全上下文。
ServiceFileName	string	指明在服务控制管理器中注册的服务类型。
ServiceName	string	已安装服务的名称。
ServiceStartType	int	包含有关如何启动特定服务的信息，无论是应自动启动还是手动启动。
ServiceType	string	指明在服务控制管理器中注册的服务类型。
SessionName	string	用户重新连接的会话名称。
ShareLocalPath	string	所访问网络共享的本地路径。
ShareName	string	所访问网络共享的名称。 格式为：\*\SHARE_NAME。
SidHistory	string	如果对象是从其他域移动过来的，则包含对象以前使用的 SID。
SourceComputerId	string	分配给 Windows 域中每台计算机的唯一标识符。
SourceSystem	string	收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager、直接连接或 Operations Manager、适用于所有 Linux 代理的 Linux 或适用于 Azure 诊断的 Azure
Status	string	登录失败的原因。 对于此事件，其值通常为“0xC0000234”。 “表 12. Windows 登录状态代码”中列出了最常见的 状态代码。
StorageAccount	string	设置存储帐户访问密钥。
SubcategoryGuid	string	已更改子类别的唯一 GUID。
SubcategoryId	string	特定类型事件的唯一标识符。
Subject	string	有关发起事件的安全主体（例如：用户帐户）的信息。
SubjectAccount	string	有关发起事件的帐户的信息。
SubjectDomainName	string	有关主题帐户所属域或工作组的信息。
SubjectKeyIdentifier	string	特定证书主题的唯一标识符。
SubjectLogonId	string	与主体帐户相关的登录会话的唯一标识符。
SubjectMachineName	string	创建事件的计算机或系统的相关信息。
SubjectMachineSID	string	生成事件的计算机的安全标识符 (SID)。
SubjectUserName	string	生成事件的用户帐户名称。
SubjectUserSid	string	生成事件的用户帐户的安全标识符 (SID)。
_SubscriptionId	字符串	与记录关联的订阅的唯一标识符
SubStatus	string	有关登录失败的其他信息。 “表 12. Windows 登录状态代码”中列出了最常见的子状态代码。
SystemProcessId	int	标识生成事件的进程。
SystemThreadId	int	标识生成事件的线程。
SystemUserId	string	负责该事件的用户的 ID。
TableId	string	存储事件数据的特定数据表标识符。
TargetAccount	string	事件的目标帐户（用户名、计算机名等）。
TargetDomainName	string	目标帐户所属域的名称。
TargetInfo	string	有关事件目标的其他信息（例如：文件或文件夹的路径、注册表项值的名称等）。
TargetLinkedLogonId	string	有助于通过登录尝试 ID 将相关事件联系在一起的信息。 它可以帮助整理所有相关事件，跟踪多个会话的活动以及确定攻击源。
TargetLogonGuid	string	与事件相关的登录会话关联的全局唯一标识符 (GUID)。
TargetLogonId	string	与事件相关的登录会话的唯一标识符。
TargetOutboundDomainName	string	TargetAccount 字段中指定的帐户在一次出站身份验证尝试中通过身份验证的域。
TargetOutboundUserName	string	在出站身份验证尝试中通过身份验证的用户帐户名称。
TargetServerName	string	运行新进程的服务器名称。 如果进程在本地运行，则值为“localhost”。
TargetSid	string	运行新进程的服务器的安全标识符 (SID)。
TargetUser	string	生成新进程的用户帐户标识符。
TargetUserName	string	生成新进程的用户帐户名称。
TargetUserSid	string	与事件所涉用户或资源相关联的安全标识符 (SID)。
任务	int	事件中定义的任务。
TemplateContent	string	事件消息或通知的结构化内容。
TemplateDSObjectFQDN	string	表示 GPO 模板的 DS 对象的 FQDN。
TemplateInternalName	string	GPO 模板的内部名称。
TemplateOID	string	用于创建事件的模板的唯一标识符。
TemplateSchemaVersion	string	用于定义要包含在事件中的数据的模板架构的版本。
TemplateVersion	string	用于定义要包含在事件中的数据的模板的版本。
TenantId	string	Log Analytics 工作区 ID
TimeGenerated	datetime	事件在计算机上生成时的时间戳。
TokenElevationType	string	根据用户帐户控制策略分配给新进程的令牌类型。
TransmittedServices	string	传送的服务的列表。 如果登录是 S4U（用户服务）登录过程的结果，则会填充传输的服务。 S4U 是 Kerberos 协议的一个 Microsoft 扩展，以允许应用程序服务代表用户获取 Kerberos 服务票证，最常见的做法是前端网站代表用户访问内部资源。 有关 S4U 的更多信息，请参阅https://msdn.microsoft.com/library/cc246072.aspx。
类型	字符串	表的名称
UserAccountControl	string	显示 userAccountControl 属性中的更改列表。 将看到每项更改的一行文字。
UserParameters	string	如果使用 Active Directory 用户和计算机管理控制台在用户帐户属性的“拨入”选项卡中更改任何设置，则会看到<值已更改，但未在此字段中显示>。 对于本地帐户，此字段不适用，且值始终为<值未设置>。
UserPrincipalName	string	基于 Internet 标准 RFC 822 的 Internet 样式帐户登录名。 按照惯例，这应该与帐户的电子邮件名称相对应。
UserWorkstations	string	包含用户可以从中登录的计算机的 NetBIOS 或 DNS 名称列表。 每个计算机名称之间以逗号隔开。 计算机名称是计算机对象的 sAMAccountName 属性。
VendorIds	string	设备的 'Hardware Ids' 属性。 要查看设备属性，请启动设备管理器，打开特定设备属性，然后单击“详细信息”。
版本	int	包含事件定义的版本号。
VirtualAccount	string	“是”或“否”标志，指明帐户是否为虚拟帐户（如”托管服务帐户“），该标记在 Windows 7 和 Windows Server 2008 R2 中引入，目的是提供识别特定服务使用的帐户的能力，而不是仅仅使用”NetworkService"。
工作站	string	用于执行事件的计算机的名称。
WorkstationName	string	尝试在上面登录的计算机名称。