CrowdStrikeDetections

Таблица CrowdStrikeDetections содержит журналы из API обнаружения CrowdStrike, которые были импортированы в Microsoft Sentinel.

Свойства таблицы

Свойство Ценность
Типы ресурсов -
Категории Безопасность
Решения SecurityInsights
Базовая поддержка таблиц Да
Поддержка вспомогательных и лейк-таблиц Да
Поддержка преобразования рабочей области DCR Да
Поддержка API приема Да
Примеры запросов Да

Колонны

колонна Тип Описание
AddedPrivileges динамический Привилегии, добавленные во время процесса обнаружения.
идентификатор противника динамический Список идентификаторов злоумышленников, связанных с обнаружением.
AgentScanId струна Идентификатор проверки агента, обнаруживающего эту угрозу.
Агрегатный идентификатор струна Агрегированный идентификатор, связанный с обнаружением.
Предполагаемоеfiletype струна Предполагаемый тип файла вредоносного файла.
ИмяНазначенного струна Имя пользователя, назначаемого для исследования обнаружения.
Предназначено для UID (AssignedToUid) струна Идентификатор пользователя назначенного следователя.
AssignedToUuid струна UUID назначенного следователя.
Поведение динамический Список обнаруженных действий, которые способствовали этому обнаружению.
Обработанные поведения динамический Список поведения, которые были обработаны и проанализированы.
_BilledSize (Размер счета) настоящий Размер записи в байтах
ChildProcessIds динамический Список идентификаторов дочерних процессов, создаваемых обнаруженным процессом.
Cid струна Идентификатор клиента на платформе CrowdStrike.
CloudIndicator булевая переменная (bool) Указывает, включает ли обнаружение облачные индикаторы.
Cmdline струна Командная строка, используемая для выполнения обнаруженного процесса.
Составной идентификатор струна Составной идентификатор, объединяющий несколько атрибутов обнаружения.
Достоверность инт Оценка достоверности обнаружения (0–100).
Обход меткиTimestamp дата/время Метка времени последнего обхода данных обнаружения.
CreatedTimestamp дата/время Метка времени, когда обнаружение было впервые создано.
CrowdStrikeDomain струна Узел или домен CrowdStrike, настроенный для этого подключения; жестко закодированный для каждой записи, чтобы узлы могли быть дифференцироваться.
ДатаОбновления струна Дата последнего обновления записи обнаружения.
Описание струна Описание обнаружения.
DetectionContext динамический Дополнительные сведения о контексте обнаружения.
ИдентификаторОбнаружения струна Уникальный идентификатор обнаружения.
DetectionType струна Тип или категория обнаружения.
Устройство динамический Сведения об устройстве, где произошло обнаружение.
Отправлено письмо булевая переменная (bool) Указывает, отправлено ли уведомление по электронной почте для этого обнаружения.
EndTime дата/время Метка времени окончания обнаружения.
Entities динамический Сущности, связанные с обнаружением.
EntityValues динамический Значения сущностей, связанных с обнаружением.
FalconHostLink струна Ссылка на сведения об обнаружении в консоли CrowdStrike Falcon.
Filename струна Имя файла, связанного с обнаружением.
Filepath струна Полный путь к файлу, связанному с обнаружением.
FirstBehavior дата/время Метка времени первого поведения в последовательности обнаружения.
GlobalPrevalence струна Глобальный рейтинг распространенности обнаруженного файла.
Бабушка и дедушкаDetails динамический Сведения о процессе бабушки и дедушки в дереве процессов.
Информация о хосте динамический Сведения о узле, где произошло обнаружение.
Идентификатор струна Уникальный идентификатор обнаружения.
Инцидент динамический Связанная информация об инциденте, если обнаружение является частью инцидента.
Идентификатор индикатора струна Идентификатор индикатора компрометации (МОК), активировав обнаружение.
IocContext динамический Сведения о контексте индикатора компрометации.
_ПодлежитУчету струна Указывает, подлежит ли потребление данных выставлению счетов. Когда _IsBillable равно false, потребление не списывается с вашего счёта в Azure.
LastBehavior дата/время Метка времени последнего поведения в обнаружении.
LocalPrevalence струна Локальная оценка распространенности обнаруженного файла в организации.
LocalProcessId струна Идентификатор локального процесса в системе, в которой произошло обнаружение.
Вход в домен струна Домен, используемый для входа пользователя, связанного с обнаружением.
MaxConfidence инт Максимальная оценка достоверности во всех поведениях в обнаружении.
MaxSeverity инт Максимальный уровень серьезности во всех поведениях в обнаружении.
MaxSeverityDisplayName струна Текстовое представление максимального уровня серьезности.
Md5 струна Хэш MD5 обнаруженного файла.
MitreAttack динамический Тактика и методы MITRE ATT&CK, связанные с обнаружением.
Имя струна Имя обнаружения.
NetworkAccesses динамический Список сетевых подключений, сделанных обнаруженным процессом.
Objective струна Цель, связанная с обнаружением.
OsName струна Имя операционной системы, в которой произошло обнаружение.
OverwatchNotes струна Заметки, добавленные аналитиками CrowdStrike Overwatch.
ParentDetails динамический Сведения о родительском процессе в дереве процессов.
ParentProcessId струна Идентификатор процесса родительского процесса.
ШаблонDisposition инт Числовый идентификатор действия, выполняемого шаблоном обнаружения.
PatternDispositionDescription струна Текстовое описание действия ликвидации шаблона.
PatternDispositionDetails динамический Подробные сведения о ликвидации шаблона.
PolyId струна Идентификатор poly, связанный с обнаружением.
ПредыдущиеPrivileges струна Привилегии, ранее удерживавшиеся перед процессом обнаружения.
Privileges струна Текущие привилегии, связанные с обнаружением.
ProcessEndTime струна Метка времени при завершении обнаруженного процесса.
ProcessId струна Идентификатор процесса обнаруженного процесса.
ProcessStartTime струна Метка времени при запуске обнаруженного процесса.
Помещено в карантин булевая переменная (bool) Указывает, был ли обнаруженный файл помещен в карантин.
Карантинные файлы динамический Список файлов, которые были помещены в карантин в рамках этого обнаружения.
Ссылки динамический Ссылки, связанные с обнаружением.
ScanId струна Идентификатор проверки, обнаруженной угрозой.
Scenario струна Сценарий, связанный с обнаружением.
SecondsToResolved инт Время в секундах от создания обнаружения до разрешения.
SecondsToTriaged инт Время в секундах от создания обнаружения до сортировки.
Severity инт Уровень серьезности обнаружения.
Уровень серьёзности струна Имя уровня серьезности, связанного с обнаружением.
Sha1 струна Хэш SHA1 обнаруженного файла.
Sha256 струна Хэш SHA256 обнаруженного файла.
ShowInUi булевая переменная (bool) Указывает, следует ли отображать обнаружение в пользовательском интерфейсе.
SourceAccountDomain струна Домен исходной учетной записи, связанный с обнаружением.
SourceAccountName струна Имя исходной учетной записи, связанное с обнаружением.
SourceAccountObjectGuid струна Идентификатор GUID объекта исходной учетной записи, связанный с обнаружением.
SourceAccountObjectSid струна Идентификатор безопасности исходной учетной записи, связанный с обнаружением.
SourceAccountSamAccountName струна Имя учетной записи источника SAM, связанное с обнаружением.
SourceAccountUpn струна Имя участника-пользователя исходной учетной записи, связанное с обнаружением.
SourceEventModel струна Исходная модель событий, связанная с обнаружением.
Система источников струна Тип агента, с помощью которого было собрано событие. Например, OpsManager для агента Windows, подключающегося напрямую или через Operations Manager, Linux для всех агентов Linux или Azure для диагностики Azure.
Состояние струна Текущее состояние обнаружения (например, новое, in_progress, разрешено).
Тактика струна Тактика, связанная с обнаружением.
TacticId струна Идентификатор тактики, связанной с обнаружением.
TacticIds динамический Идентификаторы тактики, связанной с обнаружением.
Тактика динамический Тактика, связанная с обнаружением.
Technique струна Метод, связанный с обнаружением.
TechniqueId струна Идентификатор метода, связанного с обнаружением.
TechniqueIds динамический Идентификаторы методов, связанных с обнаружением.
Методы динамический Методы, связанные с обнаружением.
TemplateInstanceId инт Идентификатор экземпляра используемого шаблона обнаружения.
TemplateInstanceIdText струна Идентификатор экземпляра используемого шаблона обнаружения (строковое представление).
TemplateInterfaceId инт Идентификатор интерфейса шаблона обнаружения.
TemplateInterfaceIdText струна Идентификатор интерфейса шаблона обнаружения (строковое представление).
TemplateInterfaceName струна Имя интерфейса шаблона обнаружения.
Идентификатор арендатора (TenantId) струна Идентификатор пространства работы Log Analytics
Время генерации дата/время Метка времени (UTC) при приеме обнаружения.
TreeId струна Идентификатор дерева процессов, связанного с обнаружением.
TreeRoot струна Идентификатор корневого процесса дерева процесса.
ТриггерProcessGraphId струна Идентификатор графа процесса, активировав обнаружение.
Тип струна Название таблицы
Обновленная меткаTimestamp дата/время Метка времени последнего обновления обнаружения.
UserId струна Идентификатор пользователя, связанный с обнаруженным процессом.
Имя пользователя струна Имя пользователя, связанное с обнаруженным процессом.
UserPrincipal струна Имя субъекта-пользователя (UPN), связанное с обнаруженным процессом.
XdrDetectionId струна Идентификатор обнаружения XDR, связанный с обнаружением.
  • Last updated on