BehaviorInfo (предварительная версия)

  • Применяется к: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

Таблица BehaviorInfo в схеме расширенной охоты содержит сведения о поведении из Microsoft Defender for Cloud Apps и аналитики поведения пользователей и сущностей (UEBA). Используйте этот справочник для создания запросов, возвращающих данные из этой таблицы.

Важно!

Таблица BehaviorInfo доступна в предварительной версии и недоступна для GCC. Сведения, приведенные здесь, могут быть существенно изменены до ее коммерческого выпуска. Корпорация Майкрософт не дает никаких гарантий, явных или подразумеваемых, относительно предоставленных здесь сведений. Вы хотите поделиться своими отзывами? Заполните форму обратной связи.

Поведение — это тип данных в Microsoft Defender XDR, основанный на одном или нескольких необработанных событиях. Поведение обеспечивает контекстное представление о событиях и может, но не обязательно, указывать на вредоносные действия. Дополнительные сведения см. в следующих статьях:

Эта расширенная таблица охоты заполняется записями из Defender for Cloud Apps и UEBA. Если ваша организация не развертывает эти службы в Microsoft Defender, запросы, использующие таблицу, не будут работать или возвращать результаты. Дополнительные сведения о развертывании служб в Defender см. в статье "Развертывание поддерживаемых служб".

Чтобы убедиться, что данные Defender for Cloud Apps и UEBA заполняют таблицуBehaviorInfo, следуйте инструкциям в следующих статьях:

Сведения о других таблицах в схеме расширенного поиска см. в справочнике по расширенному поиску.

Имя столбца Тип данных Описание
Timestamp datetime Дата и время создания записи
BehaviorId string Уникальный идентификатор для поведения
Title string Заголовок поведения
Description string Описание поведения
Categories string Тип индикатора угрозы или действия нарушения безопасности, определяемый поведением, как определено платформой MITRE ATT&CK
AttackTechniques string MITRE ATT&методов CK, связанных с действием, которое активировало поведение
ServiceSource string Продукт или служба, определяющая поведение
DetectionSource string Технология обнаружения или датчик, который идентифицировал важный компонент или действие
DataSources string Продукты или службы, предоставляющие сведения о поведении
DeviceId string Уникальный идентификатор устройства в службе
AccountUpn string Имя участника-пользователя (UPN) учетной записи
AccountObjectId string Уникальный идентификатор учетной записи в Microsoft Entra ID
StartTime datetime Дата и время первого действия, связанного с поведением
EndTime datetime Дата и время последнего действия, связанного с поведением
AdditionalFields string Дополнительные сведения о поведении
ActionType string Тип поведения

Совет

Хотите узнать больше? Общайтесь с членами сообщества Microsoft Security в нашем техническом сообществе: Microsoft Defender XDR Tech Community.

  • Last updated on