Расширенная схема охоты — изменения именования

Расширенная схема охоты регулярно обновляется для добавления новых таблиц и столбцов. В некоторых случаях имена существующих столбцов переименовываются или заменяются для улучшения взаимодействия с пользователем. Ознакомьтесь с этой статьей, чтобы просмотреть изменения именования, которые могут повлиять на запросы.

Изменения именования автоматически применяются к запросам, сохраненным в Microsoft Defender, включая запросы, используемые пользовательскими правилами обнаружения. Вам не нужно обновлять эти запросы вручную. Однако вам потребуется обновить следующие запросы:

• Запросы, выполняемые с помощью API
• Запросы, сохраненные в других местах за пределами Microsoft Defender

Июнь 2026 г.

• Таблица AIAgentsInfo переходит в таблицу AgentsInfo . Таблица AIAgentsInfo изначально была создана для Copilot Studio сценариев, и многие из ее столбцов были характерны для этой платформы. AgentsInfo Новая таблица предоставляет единую схему, которая поддерживает инвентаризацию агентов и управление ими для всех типов агентов, включая Copilot Studio, Microsoft Foundry, Microsoft 365 Copilot, агенты сторонних производителей и агенты, обнаруженные конечными точками. Microsoft Agent 365 клиенты должны использовать таблицу AgentsInfo сегодня.

  Ключевые изменения в новой таблице включают расширенный охват удостоверения агента, проверки подлинности, разрешений, жизненного цикла и конфигурации. Новая схема также содержит столбец, в котором RawAgentInfo хранятся дополнительные данные агента в формате JSON, что гарантирует отсутствие потери данных по мере развития схемы.

  Чтобы подготовиться к этому изменению, выполните приведенные ниже действия.

  • Обновите расширенные запросы охоты, чтобы использовать таблицу AgentsInfo вместо AIAgentsInfo.
  • Проверьте и обновите все фильтры, проекции или соединения, ссылающиеся на AIAgentsInfo имена столбцов, так как имена столбцов изменились в новой таблице.
  • Обновите все запросы, выполняемые через API или сохраненные за пределами Microsoft Defender XDR. Сохраненные запросы в Microsoft Defender XDR, включая настраиваемые правила обнаружения, обновляются автоматически.

  Таблица AIAgentsInfo остается доступной до 1 июля 2026 г., чтобы предоставить время для миграции.

Ноябрь 2025 г.

• 25 февраля 2026 г. значения логического поля в расширенных результатах охоты изменятся с числовых (1 и 0) на текстовые (True и False). Хотя это изменение не повлияет на ваши запросы и настраиваемые правила обнаружения, вам может потребоваться обновить автоматизированные процессы (например, скрипты, сборники схем или интеграции), анализируя эти значения.

• Таблицы AADSignInEventsBeta и AADSpnSignInEventsBeta заменяются EntraIdSignInEvents соответственно и EntraIdSpnSignInEvents. Эти изменения вносятся, чтобы удалить состояние предварительного просмотра предыдущих таблиц и согласовать их с существующей фирменной символикой продукта.

  Таблицы EntraIdSignInEvents и EntraIdSpnSignInEvents теперь доступны. Устаревшие AADSignInEventsBetaтаблицы и AADSpnSignInEventsBeta останутся в схеме в течение 30 дней, чтобы обеспечить время для обновления запросов. Пользовательские обнаружения будут обновлены автоматически и не потребуют каких-либо изменений. 9 декабря 2025 г AADSignInEventsBeta. и AADSpnSignInEventsBeta будет удален из схемы.

Сентябрь 2025 г.

В таблице AadDeviceId столбец заменяется новым столбцом, который называется EntraIdDeviceId, в соответствии с текущей фирменной символикой продукта. Столбец прежних версий AadDeviceId будет оставаться в схеме в течение 30 дней, чтобы обеспечить время для обновления в запросах. По истечении этого периода в AadDeviceId 30 дней будет удален из схемы.

Май 2025 г.

IdentityInfo В таблице SourceProvider столбец был заменен столбцом IdentityEnvironment . Это изменение было внесено для оптимизации унифицированной IdentityInfo таблицы с аналогичной таблицей в Microsoft Sentinel log Analytics. Обратите внимание, SourceProviders что в единую таблицу был добавлен новый столбец (с s). Этот столбец ссылается на поставщиков исходных учетных записей для удостоверения.

Май 2021

Таблица AppFileEvents устарела. Таблица CloudAppEvents содержит сведения, которые раньше были в AppFileEvents таблице, а также другие действия в облачных службах.

Март 2021 г.

Таблица DeviceTvmSoftwareInventoryVulnerabilities устарела. Заменяют его DeviceTvmSoftwareInventory таблицы и DeviceTvmSoftwareVulnerabilities .

Февраль 2021 г.

• В таблицах EmailAttachmentInfo и MalwareFilterVerdict столбцы и PhishFilterVerdict были заменены ThreatTypes на столбец . Столбцы MalwareDetectionMethod и PhishDetectionMethod также заменены столбцами DetectionMethods . Такая оптимизация позволяет нам предоставлять дополнительные сведения в новых столбцах. Сопоставление приведено ниже.

  Имя таблицы	Имя исходного столбца	Имя нового столбца	Причина изменения
  EmailAttachmentInfo	MalwareDetectionMethod PhishDetectionMethod	DetectionMethods	Включение дополнительных методов обнаружения
  EmailAttachmentInfo	MalwareFilterVerdict PhishFilterVerdict	ThreatTypes	Включение дополнительных типов угроз
  EmailEvents	MalwareDetectionMethod PhishDetectionMethod	DetectionMethods	Включение дополнительных методов обнаружения
  EmailEvents	MalwareFilterVerdict PhishFilterVerdict	ThreatTypes	Включение дополнительных типов угроз

• EmailAttachmentInfo В таблицы и EmailEvents был добавлен столбец, ThreatNames чтобы предоставить дополнительные сведения об угрозе электронной почты. Этот столбец содержит такие значения, как спам или фишинг.

• В таблице DeviceObjectId столбец был заменен на столбец на AadDeviceId основе отзывов клиентов.

• В таблице DeviceEvents несколько имен ActionType были изменены, чтобы лучше отразить описание действия. Подробные сведения об изменениях можно найти ниже.

  Имя таблицы	Исходное имя ActionType	Новое имя ActionType	Причина изменения
  DeviceEvents	UsbDriveMount	UsbDriveMounted	Отзывы пользователей
  DeviceEvents	UsbDriveUnmount	UsbDriveUnmounted	Отзывы пользователей
  DeviceEvents	WriteProcessMemoryApiCall	WriteToLsassProcessMemory	Отзывы пользователей

Январь 2021 г.

DetectionSource доступен в таблице AlertInfo . ServiceSource доступен в таблицах AlertEvidence и AlertInfo .

Декабрь 2020 г.

Статьи по теме

• Обзор расширенной охоты
• Сведения о схеме