Поделиться через

WindowsEvent

События Windows, собираемые и отправленные агентом.

Атрибуты таблицы

Атрибут Значение
Типы ресурсов microsoft.securityinsights/securityinsights
Категории Безопасность
Решения НастройкаWindowsEventsFiltering, InternalWindowsEvent, SecurityInsights, WEFInternalUat, WEF_10x, WEF_10xDSRE, WinLog, WindowsEventForwarding
Базовый журнал Нет
Преобразование на этапе загрузки данных Да
Примеры запросов Да

Столбцы

Колонка Тип Описание
_BilledSize реальный Размер записи в байтах
Канал строка Канал, в который регистрировалось событие.
Компьютер строка имя компьютера, на котором произошло событие.
Корреляция строка Идентификаторы действий, которые потребители могут использовать для группирования связанных событий вместе.
EventData динамичный Содержит данные события, проанализированные в динамический тип. Если синтаксический анализ завершается ошибкой, это поле будет содержать значение NULL, а поле RawEventData будет заполнено.
EventID INT Идентификатор, используемый поставщиком для идентификации события.
УровеньСобытия INT Содержит уровень серьезности события.
Имя уровня события строка Строка сообщения уровня, указанного в событии.
EventOriginId строка Идентификатор виртуальной машины, полученный из службы метаданных экземпляра Azure (IMDS).
EventRecordId строка Номер записи, назначенный событию при его регистрации.
_IsBillable строка Указывает, является ли процесс приема данных платным. Когда _IsBillable false, затраты на обработку данных не взимаются с вашей учетной записи Azure.
Ключевые слова строка Битовая маска ключевых слов, которые были определены в рамках события.
ИмяГруппыУправления строка Дополнительные сведения на основе типа ресурса.
Код операции строка Элемент opcode определяется сложным типом SystemPropertiesType.
поставщик строка Тип системных свойств— определяет поставщика, который зарегистрировал событие.
RawEventData строка XML-код исходного события при сбое синтаксического анализа. Он является NULL при успешной обработке.
_ResourceId строка Уникальный идентификатор ресурса, с которым связана запись.
_ИдентификаторПодписки строка Уникальный идентификатор подписки, с которой связана запись
ИдентификаторСистемногоПроцесса INT Указывает процесс, создавший событие.
Идентификатор системного потока INT Указывает поток, создавший событие.
SystemUserId строка Идентификатор пользователя, ответственного за событие.
Задача INT Задача, определенная в событии.
Идентификатор арендатора строка Идентификатор рабочей области Log Analytics
Время генерации дата и время Метка времени, когда событие было создано на компьютере.
Тип строка Имя таблицы.
Версия INT Содержит номер версии определения события.