ASimRegistryEventLogs

ASim Registry 事件架構代表建立、修改或刪除 Windows 登錄實體的 Windows 活動。 登錄事件專屬於 Windows 系統，但是由監視 Windows 的不同系統所報告，例如 EDR（端點偵測和回應）系統、Sysmon 或 Windows 本身。

數據表屬性

屬性	值
資源類型	microsoft.securityinsights/asimtables
類別	安全性
方案	SecurityInsights
基本記錄	No
擷取時間轉換	Yes
範例查詢	-

資料行

資料行	類型​	描述
ActingProcessCommandLine	字串	用來執行進程的命令行。
ActingProcessGuid	字串	產生的代理程式唯一標識碼。
ActingProcessId	字串	代理程式的進程識別碼。
ActingProcessName	字串	代理程式圖像檔案的檔名。
ActorOriginalUserType	字串	來源所提供的原始動作項目用戶類型。
ActorScope	字串	定義 ActorUserId 和 ActorUsername 的 Azure AD 租使用者等範圍。
ActorScopeId	字串	定義 ActorUserId 和 ActorUsername 的範圍識別碼，例如 Azure AD 租使用者識別碼。
ActorSessionId	字串	動作專案登入會話的唯一標識符。
ActorUserAadId	字串	動作專案的 Azure Active Directory 識別碼。
ActorUserId	字串	動作專案的唯一標識碼。
ActorUserIdType	字串	儲存在 ActorUserId 字段中的識別碼類型。
ActorUsername	字串	起始事件之用戶的用戶名稱。
ActorUsernameType	字串	指定儲存在 ActorUsername 欄位中的使用者名稱類型。
ActorUserSid	字串	動作專案的 Windows 用戶識別碼（SID）。
ActorUserType	字串	動作項目的類型。
AdditionalFields	dynamic	其他資訊，使用來源所提供的索引鍵/值組來表示，該組不會對應至 ASim。
_BilledSize	real	以位元組為單位的記錄大小
DvcAction	字串	針對報告安全性系統，系統所採取的動作。
DvcDescription	字串	與裝置相關聯的描述性文字。
DvcDomain	字串	報告事件的裝置網域。
DvcDomainType	字串	DvcDomain 的類型。
DvcFQDN	字串	發生事件或報告事件的裝置主機名。
DvcHostname	字串	報告事件的裝置主機名。
DvcId	字串	發生事件或報告事件之裝置的唯一標識符。
DvcIdType	字串	DvcId 的類型。
DvcInterface	字串	擷取資料的網路介面。
DvcIpAddr	字串	報告事件的裝置IP位址。
DvcMacAddr	字串	發生事件或報告事件裝置的 MAC 位址，視結構描述而定。
DvcOriginalAction	字串	報告裝置所提供原始的 DvcAction。
DvcOs	字串	在發生事件或報告事件裝置的作業系統執行。
DvcOsVersion	字串	在發生事件或報告事件裝置的作業系統版本。
DvcScope	字串	裝置所屬的雲端平台範圍。 DvcScope 會對應至 Azure 上的訂用帳戶名稱，以及 AWS 上的帳戶標識碼。
DvcScopeId	字串	裝置所屬的雲端平台範圍識別碼。 DvcScopeId 會對應至 Azure 上的訂用帳戶標識碼，以及對應至 AWS 上的帳戶標識碼。
DvcZone	字串	發生事件或報告事件的網路。
EventCount	int	記錄所描述的事件數目。
EventEndTime	Datetime	事件結束的時間。 如果來源支持匯總，且記錄代表多個事件，則會產生最後一個事件的時間。 如果源記錄未提供，此字段會別名 TimeGenerated 字段。
EventMessage	字串	一般訊息或描述。
EventOriginalResultDetails	字串	來源所提供的原始結果詳細數據。
EventOriginalSeverity	字串	報告裝置所提供的原始嚴重性。
EventOriginalSubType	字串	如果來源提供，則為原始事件子類型或標識符。
EventOriginalType	字串	如果來源提供，則為原始記錄的唯一標識符。
EventOriginalUid	字串	.
EventOwner	字串	事件的擁有者，通常是產生事件的部門或子公司。
EventProduct	字串	產生事件的產品。
EventProductVersion	字串	產生事件的產品版本。
EventReportUrl	字串	事件中提供的 URL，此資源會提供事件的詳細資訊。
EventResult	字串	事件的結果，以下列其中一個值表示：Success、Partial、Failure、NA （不適用）。 來源可能不會直接提供此值，在此情況下，它衍生自其他事件欄位，例如 EventResultDetails 字段。
EventResultDetails	字串	EventResult 字段中所報告結果的原因或詳細數據。
EventSchema	字串	結構描述的名稱。
EventSchemaVersion	字串	結構描述的版本。
EventSeverity	字串	事件的嚴重性。 有效值為：資訊、低、中或高。
EventStartTime	Datetime	事件開始的時間。 如果來源支持匯總，且記錄代表多個事件，則會產生第一個事件的時間。 如果源記錄未提供，此字段會別名 TimeGenerated 字段。
EventSubType	字串	描述 EventType 欄位中所報告的作業細分。
EventType	字串	描述記錄所報告的作業。
EventVendor	字串	產生事件的產品的廠商。
_IsBillable	字串	指定內嵌資料是否可計費。 當 _IsBillable 為 false 時，擷取不會向您的 Azure 帳戶收費
ParentProcessCommandLine	字串	用來執行進程的命令行。
ParentProcessGuid	字串	父進程的產生唯一標識符。
ParentProcessId	字串	父進程的進程標識碼。
ParentProcessName	字串	父進程圖像檔案的檔名。
RegistryKey	字串	與作業相關聯的登錄機碼，標準化為標準根密鑰命名慣例。
RegistryPreviousKey	字串	針對修改登錄的作業，原始登錄機碼會標準化為標準根機碼命名。
RegistryPreviousValue	字串	針對修改登錄的作業，原始實值類型會正規化為標準格式。
RegistryPreviousValueData	字串	修改登錄之作業的原始登錄數據。
RegistryPreviousValueType	字串	針對修改登錄的作業，原始實值類型。
RegistryValue	字串	與作業相關聯的登錄值。
RegistryValueData	字串	儲存在登錄值中的數據。
RegistryValueType	字串	登錄值的類型，標準化為標準格式。
_ResourceId	string	記錄相關資源的唯一識別碼
RuleName	字串	與檢查結果相關聯的規則名稱或標識碼。
RuleNumber	int	與檢查結果相關聯的規則數目。
SourceSystem	字串	收集事件的代理程式類型。 例如，適用於 Windows 代理程式的 OpsManager、直接連線或 Operations Manager、適用於 Linux 的所有 Linux 代理程式，或適用於 Azure 的 Azure 診斷
_SubscriptionId	string	與記錄相關的訂用帳戶唯一識別碼
TenantId	字串	Log Analytics 工作區識別碼
ThreatCategory	字串	活動中所識別的威脅或惡意代碼類別。
ThreatConfidence	int	識別的威脅信賴等級，標準化為介於 0 到 100 之間的值。
ThreatField	字串	識別威脅的欄位。
ThreatFirstReportedTime	Datetime	第一次將IP位址或網域識別為威脅。
ThreatId	字串	活動中所識別的威脅或惡意代碼標識碼。
ThreatIsActive	bool	識別的威脅被視為作用中威脅的 True 識別碼。
ThreatLastReportedTime	Datetime	上次將IP位址或網域識別為威脅的時間。
ThreatName	字串	活動中所識別的威脅或惡意代碼名稱。
ThreatOriginalConfidence	字串	所識別威脅的原始信賴等級，如報告裝置所報告。
ThreatOriginalRiskLevel	字串	報告裝置所報告的風險層級。
ThreatRiskLevel	int	與所識別威脅相關聯的風險層級。 層級應該是介於 0 到 100 之間的數位。
TimeGenerated	Datetime	時間戳 （UTC）會反映產生事件的時間。
型別	string	資料表的名稱