Microsoft 模块
microsoft.defender_atp
用于摄取 Microsoft Defender ATP 的模块。
-
microsoft.defender_atp.lastUpdateTime -
警报最后更新的日期和时间（UTC）。
type: date
-
microsoft.defender_atp.resolvedTime -
警报状态更改为已解决的日期和时间。
type: date
-
microsoft.defender_atp.incidentId -
警报的事故 ID。
type: keyword
-
microsoft.defender_atp.investigationId -
与警报相关的调查 ID。
type: keyword
-
microsoft.defender_atp.investigationState -
调查的当前状态。
type: keyword
-
microsoft.defender_atp.assignedTo -
警报的所有者。
type: keyword
-
microsoft.defender_atp.status -
指定警报的当前状态。可能的值有：未知、新、进行中和已解决。
type: keyword
-
microsoft.defender_atp.classification -
警报的说明。可能的值有：未知、误报、真阳性。
type: keyword
-
microsoft.defender_atp.determination -
指定警报的判定结果。可能的值有：不可用、APT、恶意软件、安全人员、安全测试、不需要的软件、其他。
type: keyword
-
microsoft.defender_atp.threatFamilyName -
威胁家族。
type: keyword
-
microsoft.defender_atp.rbacGroupName -
与警报相关的用户组
type: keyword
-
microsoft.defender_atp.evidence.domainName -
与警报相关的域名
type: keyword
-
microsoft.defender_atp.evidence.ipAddress -
参与警报的 IP 地址
type: ip
-
microsoft.defender_atp.evidence.aadUserId -
参与警报的用户的 ID
type: keyword
-
microsoft.defender_atp.evidence.accountName -
参与警报的用户帐户名
type: keyword
-
microsoft.defender_atp.evidence.entityType -
证据的类型
type: keyword
-
microsoft.defender_atp.evidence.userPrincipalName -
参与警报的用户的主体名称
type: keyword
microsoft.m365_defender
用于摄取 Microsoft Defender ATP 的模块。
-
microsoft.m365_defender.incidentId -
用于表示事故的唯一标识符。
type: keyword
-
microsoft.m365_defender.redirectIncidentId -
仅在将事故作为事故处理逻辑的一部分与另一事故分组时填充。
type: keyword
-
microsoft.m365_defender.incidentName -
事故的名称。
type: keyword
-
microsoft.m365_defender.determination -
指定事故的判定结果。属性值有：不可用、APT、恶意软件、安全人员、安全测试、不需要的软件、其他。
type: keyword
-
microsoft.m365_defender.investigationState -
调查的当前状态。
type: keyword
-
microsoft.m365_defender.assignedTo -
警报的所有者。
type: keyword
-
microsoft.m365_defender.tags -
与事故关联的自定义标签数组，例如用于标记具有共同特征的一组事故。
type: keyword
-
microsoft.m365_defender.status -
指定警报的当前状态。可能的值有：未知、新、进行中和已解决。
type: keyword
-
microsoft.m365_defender.classification -
警报的说明。可能的值有：未知、误报、真阳性。
type: keyword
-
microsoft.m365_defender.alerts.incidentId -
用于表示此警报关联的事故的唯一标识符。
type: keyword
-
microsoft.m365_defender.alerts.resolvedTime -
警报解决的时间。
type: date
-
microsoft.m365_defender.alerts.status -
对警报进行分类（如新、活动或已解决）。
type: keyword
-
microsoft.m365_defender.alerts.severity -
相关警报的严重程度。
type: keyword
-
microsoft.m365_defender.alerts.creationTime -
警报首次创建的时间。
type: date
-
microsoft.m365_defender.alerts.lastUpdatedTime -
警报最后更新的时间。
type: date
-
microsoft.m365_defender.alerts.investigationId -
由该警报触发的自动调查 ID。
type: keyword
-
microsoft.m365_defender.alerts.userSid -
相关用户的 SID
type: keyword
-
microsoft.m365_defender.alerts.detectionSource -
最初检测到威胁的服务。
type: keyword
-
microsoft.m365_defender.alerts.classification -
事故的说明。属性值有：未知、误报、真阳性或空。
type: keyword
-
microsoft.m365_defender.alerts.investigationState -
有关调查当前状态的信息。
type: keyword
-
microsoft.m365_defender.alerts.determination -
指定事故的判定结果。属性值有：不可用、APT、恶意软件、安全人员、安全测试、不需要的软件、其他或空
type: keyword
-
microsoft.m365_defender.alerts.assignedTo -
事故的所有者，如果未分配所有者则为 null。
type: keyword
-
microsoft.m365_defender.alerts.actorName -
与该警报关联的活动组（如果有）。
type: keyword
-
microsoft.m365_defender.alerts.threatFamilyName -
与该警报关联的威胁家族。
type: keyword
-
microsoft.m365_defender.alerts.mitreTechniques -
与 MITRE ATT&CK™ 框架一致的攻击技术。
type: keyword
-
microsoft.m365_defender.alerts.entities.entityType -
已确定为特定警报的一部分或与特定警报相关的实体。属性值有：用户、IP、URL、文件、进程、邮箱、邮件、邮件集群、注册表。
type: keyword
-
microsoft.m365_defender.alerts.entities.accountName -
相关用户的帐户名。
type: keyword
-
microsoft.m365_defender.alerts.entities.mailboxDisplayName -
相关邮箱的显示名称。
type: keyword
-
microsoft.m365_defender.alerts.entities.mailboxAddress -
相关邮箱的邮件地址。
type: keyword
-
microsoft.m365_defender.alerts.entities.clusterBy -
如果 entityType 为 MailCluster，则为元数据的列表。
type: keyword
-
microsoft.m365_defender.alerts.entities.sender -
相关电子邮件的发送者。
type: keyword
-
microsoft.m365_defender.alerts.entities.recipient -
相关电子邮件的收件人。
type: keyword
-
microsoft.m365_defender.alerts.entities.subject -
相关电子邮件的主题。
type: keyword
-
microsoft.m365_defender.alerts.entities.deliveryAction -
相关电子邮件的传递状态。
type: keyword
-
microsoft.m365_defender.alerts.entities.securityGroupId -
与电子邮件相关的用户的安全组 ID。
type: keyword
-
microsoft.m365_defender.alerts.entities.securityGroupName -
与电子邮件相关的用户的安全组名称。
type: keyword
-
microsoft.m365_defender.alerts.entities.registryHive -
如果 eventType 为注册表，则引用事件相关的注册表中的哪个 Hive。例如：HKEY_LOCAL_MACHINE。
type: keyword
-
microsoft.m365_defender.alerts.entities.registryKey -
引用与事件相关的注册表项。
type: keyword
-
microsoft.m365_defender.alerts.entities.registryValueType -
与事件相关的注册表项/值对的值类型。
type: keyword
-
microsoft.m365_defender.alerts.entities.deviceId -
与事件相关的设备的唯一 ID。
type: keyword
-
microsoft.m365_defender.alerts.entities.ipAddress -
与事件相关的 IP 地址。
type: keyword
-
microsoft.m365_defender.alerts.devices -
与调查相关的设备。
type: flattened