EntraIdSignInEvents

  • Применяется к: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Важно!

19 октября 2026 года EntraIdSignInEvents таблица заменит AADSignInEventsBeta. Это изменение убирает статус предварительного просмотра и согласует его с существующим брендингом продукта. Оба стола будут сосуществовать до тех AADSignInEventsBeta пор, пока не будет устаревший на эту дату.

Все запросы, использующие таблицу AADSignInEventsBeta , будут автоматически перенесены 19 EntraIdSignInEvents октября 2026 года. Ваши кастомные обнаружения не потребуют изменений.

Важно!

Клиенты должны иметь лицензию Microsoft Entra ID P2 для сбора и просмотра действий для этой таблицы.

Таблица EntraIdSignInEvents в схеме расширенной охоты содержит сведения о Microsoft Entra интерактивных и неинтерактивных входах. Дополнительные сведения о входах в Microsoft Entra отчетах о действиях входа — предварительная версия.

Используйте этот справочник для создания запросов, возвращающих данные из таблицы.

Сведения о других таблицах в расширенной схеме охоты см. в справочнике по расширенной охоте.

Имя столбца Тип данных Описание
Timestamp datetime Дата и время создания записи
Application string Приложение, выполняющее записанное действие
ApplicationId string Уникальный идентификатор приложения
LogonType string Тип сеанса входа, в частности интерактивный, удаленный интерактивный (RDP), сеть, пакет и служба
EndpointCall string Информация о конечной точке Microsoft Entra ID, куда был отправлен запрос, и о типе запроса, отправленного при входе
ErrorCode int Содержит код ошибки при входе. Чтобы найти описание определенного кода ошибки, посетите страницу https://aka.ms/AADsigninsErrorCodes.
CorrelationId string Идентификатор события входа
SessionId string Уникальный номер, назначенный пользователю сервером веб-сайта на время посещения или сеанса
AccountDisplayName string Имя, отображаемое в записи адресной книги для пользователя учетной записи. Обычно это сочетание заданного имени, среднего начального значения и фамилии пользователя.
AccountObjectId string Уникальный идентификатор учетной записи в Microsoft Entra ID
AccountUpn string Имя участника-пользователя (UPN) учетной записи
IsExternalUser int Указывает, является ли пользователь, вошедшего в систему, внешним. Возможные значения: -1 (не задано), 0 (не внешняя), 1 (внешняя).
IsGuestUser boolean Указывает, является ли пользователь, выполнившего вход, гостем в клиенте.
AlternateSignInName string Локальное имя участника-пользователя (UPN) пользователя, входом в Microsoft Entra ID
LastPasswordChangeTimestamp datetime Дата и время последнего изменения пароля пользователя, выполнившего вход
ResourceDisplayName string Отображаемое имя ресурса, к котором обращается доступ. Отображаемое имя может содержать любой символ.
ResourceId string Уникальный идентификатор ресурса, к который обращается
ResourceTenantId string Уникальный идентификатор клиента ресурса, к который обращается
DeviceName string Полное доменное имя (FQDN) устройства
OSPlatform string Платформа операционной системы, работающей на устройстве. Указывает определенные операционные системы, включая варианты в пределах одного семейства, например Windows 11, Windows 10 и Windows 7.
DeviceTrustType string Указывает тип доверия устройства, выполнившего вход. Только для сценариев с управляемыми устройствами. Возможные значения: Workplace, AzureAd и ServerAd.
IsManaged int Указывает, является ли устройство, которое инициировало вход, управляемым устройством (1) или не является управляемым устройством (0).
IsCompliant int Указывает, соответствует ли устройство, инициировавшему вход (1) или не соответствует (0).
AuthenticationProcessingDetails string Сведения о обработчике проверки подлинности
AuthenticationRequirement string Тип проверки подлинности, необходимый для входа. Возможные значения: multiFactorAuthentication (требуется MFA) и singleFactorAuthentication (MFA не требуется).
TokenIssuerType string Тип эмитента токенов, таких как Microsoft Entra ID или службы федерации Active Directory (AD FS) (AD FS)
RiskLevelAggregated int Агрегированный уровень риска во время входа. Возможные значения: 0 (агрегированный уровень риска не задан), 1 (нет), 10 (низкий), 50 (средний) или 100 (высокий).
RiskLevelDuringSignIn int Уровень риска пользователя при входе
RiskEventTypes string Массив типов рискованных событий, применимых к этому событию
RiskState int Указывает на рискованное состояние пользователя. Возможные значения: 0 (нет), 1 (подтверждено безопасно), 2 (исправлено), 3 (отклонено), 4 (под угрозой) или 5 (подтверждено компрометация).
UserAgent string Сведения об агенте пользователя из веб-браузера или другого клиентского приложения
ClientAppUsed string Указывает используемое клиентское приложение.
Browser string Сведения о версии браузера, используемой для входа
ConditionalAccessPolicies string Сведения о политиках условного доступа, применяемых к событию входа
ConditionalAccessStatus int Состояние политик условного доступа, применяемых к входу. Возможные значения: 0 (примененные политики), 1 (не удалось применить политики) или 2 (политики не применены).
IPAddress string IP-адрес, назначенный устройству во время связи
Country string Двухбуквенный код, указывающий страну или регион, в которых ip-адрес клиента географически расположен
State string Состояние, в котором выполнен вход (если доступно)
City string Город, в котором находится пользователь учетной записи
Latitude string Координаты с севера на юг расположения входа
Longitude string Координаты расположения входа с востока на запад
NetworkLocationDetails string Сведения о сетевом расположении обработчика проверки подлинности события входа
RequestId string Уникальный идентификатор запроса
ReportId string Уникальный идентификатор события
EntraIdDeviceId string Уникальный идентификатор устройства в Microsoft Entra ID
GatewayJA4 string Отпечаток пальца JA4, полученный из запроса TLS Client Hello, который идентифицирует конфигурацию TLS клиента
TenantId string Уникальный идентификатор, представляющий экземпляр Microsoft Entra ID организации
Type string Имя таблицы
SourceSystem string Исходная система для записи
TimeGenerated datetime Дата и время создания записи
UniqueTokenId string Уникальный идентификатор токена, передаваемого при входе, используется для сопоставления входа с запросом токена
IsSignInThroughGlobalSecureAccess boolean Указывает, произошло ли событие входа через Global Secure Access

Совет

Хотите узнать больше? Общайтесь с членами сообщества Microsoft Security в нашем техническом сообществе: Microsoft Defender XDR Tech Community.

  • Last updated on