Microsoft 字段

上次更新警报的日期和时间（以 UTC 为单位）。

类型: date

警报状态更改为已解决的日期和时间。

类型: date

警报的事件 ID。

类型: keyword

与警报相关的调查 ID。

类型: keyword

调查的当前状态。

类型: keyword

警报的所有者。

类型: keyword

指定警报的当前状态。可能的值为：未知、新建、进行中和已解决。

类型: keyword

警报的规范。可能的值为：未知、误报、真阳性。

类型: keyword

指定警报的判定。可能的值为：不可用、高级持续性威胁、恶意软件、安全人员、安全测试、恶意软件、其他。

类型: keyword

威胁家族。

类型: keyword

与警报相关的用户组

类型: keyword

与警报相关的域名

类型: keyword

警报中涉及的 IP 地址

类型: ip

警报中涉及的用户的 ID

类型: keyword

警报中涉及的用户的用户名

类型: keyword

证据的类型

类型: keyword

警报中涉及的用户的负责人名称

类型: keyword

表示事件的唯一标识符。

类型: keyword

仅当事件与其他事件分组在一起作为事件处理逻辑的一部分时才会填充。

类型: keyword

事件的名称。

类型: keyword

指定事件的判定。属性值为：不可用、高级持续性威胁、恶意软件、安全人员、安全测试、恶意软件、其他。

类型: keyword

调查的当前状态。

类型: keyword

警报的所有者。

类型: keyword

与事件关联的自定义标签数组，例如，使用共同特征标记一组事件。

类型: keyword

指定警报的当前状态。可能的值为：未知、新建、进行中和已解决。

类型: keyword

警报的规范。可能的值为：未知、误报、真阳性。

类型: keyword

表示此警报关联的事件的唯一标识符。

类型: keyword

警报解决的时间。

类型: date

对警报进行分类（作为新建、活动或已解决）。

类型: keyword

相关警报的严重程度。

类型: keyword

首次创建警报的时间。

类型: date

上次更新警报的时间。

类型: date

由此警报触发的自动调查 ID。

类型: keyword

相关用户的 SID

类型: keyword

最初检测到威胁的服务。

类型: keyword

事件的规范。属性值为：未知、误报、真阳性或 null。

类型: keyword

有关调查当前状态的信息。

类型: keyword

指定事件的判定。属性值为：不可用、高级持续性威胁、恶意软件、安全人员、安全测试、恶意软件、其他或 null

类型: keyword

事件的所有者，如果没有分配所有者，则为 null。

类型: keyword

与此警报关联的活动组（如果有）。

类型: keyword

与此警报关联的威胁家族。

类型: keyword

与 MITRE ATT&CK™ 框架一致的攻击技术。

类型: keyword

已被确定为给定警报的一部分或与之相关的实体。属性值为：用户、Ip、Url、文件、进程、邮箱、邮件消息、邮件群集、注册表。

类型: keyword

相关用户的帐户名称。

类型: keyword

相关邮箱的显示名称。

类型: keyword

相关邮箱的邮件地址。

类型: keyword

如果 entityType 为 MailCluster，则为元数据列表。

类型: keyword

相关电子邮件的发件人。

类型: keyword

相关电子邮件的收件人。

类型: keyword

相关电子邮件的主题。

类型: keyword

相关电子邮件的传递状态。

类型: keyword

与电子邮件相关的用户的安全组 ID。

类型: keyword

与电子邮件相关的用户的安全组名称。

类型: keyword

如果 eventType 为注册表，则引用事件相关的注册表配置单元。示例：HKEY_LOCAL_MACHINE。

类型: keyword

引用事件的相关注册表项。

类型: keyword

与事件相关的注册表项/值对的值类型。

类型: keyword

与事件相关的设备的唯一 ID。

类型: keyword

事件的相关 IP 地址。

类型: keyword

与调查相关的设备。

类型: flattened