Поведенческая аналитика

В этой таблице хранятся обогащенные события для Sentinel UEBA, обеспечивающие аналитику поведения по необработанным данным.

Атрибуты таблицы

Атрибут Значение
Типы ресурсов -
Категории Безопасность
Решения АналитикаПоведенческихИнсайтов
Базовая поддержка таблиц Нет
Поддержка вспомогательных и лейк-таблиц Нет
Поддержка преобразования рабочей области DCR Да
Поддержка API приема Нет
Примеры запросов -

Столбцы

Колонка Тип Описание
Тип действия строка Конкретный тип действия, вызвавшее событие.
ActivityInsights динамический Аналитика активности и поведения.
Тип активности строка Тип действия, активировав событие.
Имя актера строка Имя пользователя, инициирующего действие, создающее событие.
ИмяОсновногоАгента строка Основное имя пользователя, инициирующего действие, создающее событие.
_BilledSize реальный Размер записи в байтах
DestinationDevice строка Имя узла конечного устройства.
IP-адрес назначения строка IP-адрес конечного устройства.
DestinationIPLocation строка Географическое расположение назначения на основе IP-адреса.
Устройство строка Имя устройства, на котором произошло событие или которое сообщило о событии, в зависимости от схемы.
DevicesInsights динамический Метаданные и аналитические сведения устройств.
Версия продукта мероприятия строка Версия продукта, создающего событие.
EventSource строка Источник данных для этого события.
EventVendor строка Поставщик продукта, создающего событие.
Приоритет расследования INT Оценка приоритета исследования.
_ЯвляетсяОплачиваемым строка Указывает, является ли прием данных оплачиваемым. Если _IsBillable false, то передача данных не будет учитываться на вашем счете Azure.
NativeTableName строка Исходная таблица, из которой была получена запись.
_ResourceId строка Уникальный идентификатор ресурса, с которым связана запись.
SourceDevice строка Имя узла исходного устройства.
IP-адрес источника строка IP-адрес источника.
SourceIPLocation строка Исходное географическое расположение на основе IP-адреса.
SourceRecordId строка Уникальный идентификатор исходного необработанного события.
SourceSystem строка Тип агента, которым было собрано событие. Например, OpsManager для агента Windows, прямого подключения или Operations Manager, Linux для всех агентов Linux или Azure для диагностика Azure
_ИдентификаторПодписки строка Уникальный идентификатор подписки, с которой связана запись
TargetName строка Имя целевого пользователя в действии, создавшее событие.
ЦелевоеИмяПринципала строка Имя целевого пользователя в действии, создавшее событие.
ИдентификаторАрендатора строка Идентификатор рабочей области Log Analytics
Время генерации дата и время Время создания необработанного события (UTC).
Время обработки дата и время Время, когда произошла обработка обогащения (UTC).
Тип строка Имя таблицы.
Имя пользователя строка Имя пользователя учетной записи.
ИмяПользователяPrincipal строка Основное имя пользователя учетной записи.
UsersInsights динамический Метаданные и аналитические сведения пользователей.
  • Last updated on