Поделиться через

UrlClickEvents

  • Статья

Область применения:

  • Microsoft Defender XDR

Таблица UrlClickEvents в схеме расширенной охоты содержит сведения о щелчках безопасных ссылок из сообщений электронной почты, Microsoft Teams и Office 365 приложений в поддерживаемых классических, мобильных и веб-приложениях.

Сведения о других таблицах в схеме расширенного поиска см. в справочнике по расширенному поиску.

Имя столбца Тип данных Описание
Timestamp datetime Дата и время нажатия пользователем ссылки
Url string Полный URL-адрес, на который щелкнул пользователь
ActionType string Указывает, был ли щелчок разрешен или заблокирован безопасными ссылками или заблокирован из-за политики клиента, например из списка разрешенных блокировок клиента.
AccountUpn string Имя субъекта-пользователя учетной записи, щелкнув ссылку
Workload string Приложение, из которого пользователь щелкнул ссылку со значениями, Email, Office и Teams.
NetworkMessageId string Уникальный идентификатор сообщения электронной почты, содержащего ссылку, созданную Microsoft 365.
ThreatTypes string Вердикт в момент щелчка, который указывает, привел ли URL-адрес к вредоносным программам, фишингу или другим угрозам.
DetectionMethods string Технология обнаружения, которая использовалась для выявления угрозы во время щелчка
IPAddress string Общедоступный IP-адрес устройства, с которого пользователь щелкнул ссылку
IsClickedThrough bool Указывает, смог ли пользователь перейти по исходному URL-адресу (1) или нет (0).
UrlChain string Для сценариев, связанных с перенаправлением, он включает URL-адреса, присутствующие в цепочке перенаправления.
ReportId string Уникальный идентификатор события щелчка. В сценариях clickthrough идентификатор отчета будет иметь то же значение, поэтому его следует использовать для корреляции события щелчка.

Примечание.

Для щелчков, исходящих из электронной почты в папках Черновики и Отправленные элементы, метаданные электронной почты либо недоступны, либо NetworkMessageId назначены по умолчанию. В этом случае UrlClickEvents нельзя объединить с таблицами Email* , такими как EmailEvents, EmailPostDeliveryEventsи другими, с помощью NetworkMessageId.

Вы можете попробовать этот пример запроса, который использует таблицу UrlClickEvents для возврата списка ссылок, по которым пользователю было разрешено продолжить:

// Search for malicious links where user was allowed to proceed through
UrlClickEvents
| where ActionType == "ClickAllowed" or IsClickedThrough !="0"
| where ThreatTypes has "Phish"
| summarize by ReportId, IsClickedThrough, AccountUpn, NetworkMessageId, ThreatTypes, Timestamp

Совет

Хотите узнать больше? Общайтесь с членами сообщества Microsoft Security в нашем техническом сообществе: Microsoft Defender XDR Tech Community.