AlertEvidence

  • Применяется к: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Таблица в расширенной схемеAlertEvidence охоты содержит сущности, связанные с оповещениями из Microsoft Defender для конечной точки, Microsoft Defender для Office 365, Microsoft Defender for Cloud Apps, Microsoft Defender для удостоверений и встроенные рабочие пространства Microsoft Sentinel. Сущности могут включать файлы, IP-адреса, URL-адреса, пользователей и устройства. Используйте этот справочник для создания запросов, возвращающих данные из этой таблицы.

Доступность данных зависит от развернутых сервисов Microsoft Defender и рабочих пространств Microsoft Sentinel, к которым вы можете получить доступ в портале Defender. Присоединяйтесь AlertEvidence к AlertInfo столбцу AlertId , чтобы получить метаданные оповещений с соответствующими объектами и доказательствами. Для получения дополнительной информации смотрите разделы «Развернуть поддерживаемые сервисы» и «Перевести вашу среду Microsoft Sentinel на портал Defender».

Сведения о других таблицах в схеме расширенного поиска см. в справочнике по расширенному поиску.

Имя столбца Тип данных Описание
Timestamp datetime Дата и время записи события
AlertId string Уникальный идентификатор оповещения
Title string Название оповещения
Categories string Список категорий, к которым относится информация, в формате массива JSON
AttackTechniques string MITRE ATT&методов CK, связанных с действием, которое активировало оповещение
ServiceSource string Продукт или служба, которые предоставили сведения об оповещении
DetectionSource string Технология обнаружения или датчик, который идентифицировал важный компонент или действие
EntityType string Тип объекта, например файл, процесс, устройство или пользователь
EvidenceRole string Как сущность участвует в оповещении, указывая, влияет ли она или просто связана
EvidenceDirection string Указывает, является ли сущность источником или назначением сетевого подключения.
FileName string Имя файла, к которому было применено записанное действие
FolderPath string Папка, содержащая файл, к которому было применено записанное действие
SHA1 string SHA-1 файла, к которому было применено записанное действие
SHA256 string SHA-256 файла, к которому было применено записанное действие Обычно это поле не заполняется— используйте столбец SHA1, если он доступен.
FileSize long Размер файла в байтах
ThreatFamily string Семейство вредоносных программ, в которое классифицируется подозрительный или вредоносный файл или процесс
RemoteIP string IP-адрес, к которому выполнено подключение
RemoteUrl string URL-адрес или полное доменное имя, к которому выполнено подключение
AccountName string Имя пользователя учетной записи
AccountDomain string Домен учетной записи
AccountSid string Идентификатор безопасности (SID) учетной записи
AccountObjectId string Уникальный идентификатор учетной записи в Microsoft Entra ID
AccountUpn string Имя участника-пользователя (UPN) учетной записи
DeviceId string Уникальный идентификатор устройства в службе
DeviceName string Полное доменное имя (FQDN) устройства
LocalIP string IP-адрес, назначенный локальному устройству, используемому во время связи
NetworkMessageId string Уникальный идентификатор сообщения электронной почты, сформированный в Office 365
EmailSubject string Тема письма
Application string Приложение, выполняющее записанное действие
ApplicationId int Уникальный идентификатор приложения
OAuthApplicationId string Уникальный идентификатор стороннего приложения OAuth
ProcessCommandLine string Командная строка, используемая для создания нового процесса
RegistryKey string Раздел реестра, к которому было применено записанное действие
RegistryValueName string Имя значения реестра, к которому было применено записанное действие
RegistryValueData string Данные значения реестра, к которому было применено записанное действие
AdditionalFields string Дополнительные сведения о сущности или событии
Severity string Указывает возможное воздействие (высокое, среднее или низкое) индикатора угрозы или нарушения, определенного оповещением
CloudResource string Имя облачного ресурса
CloudPlatform string Облачная платформа, к которой принадлежит ресурс, может быть Azure, Amazon Web Services или Google Cloud Platform.
ResourceType string Тип облачного ресурса
ResourceID string Уникальный идентификатор облачного ресурса, к который обращается
SubscriptionId string Уникальный идентификатор подписки на облачную службу

Совет

Хотите узнать больше? Общайтесь с членами сообщества Microsoft Security в нашем техническом сообществе: Microsoft Defender XDR Tech Community.

  • Last updated on