次の方法で共有

ASimユーザー管理アクティビティログ

ASim ユーザー管理スキーマは、ユーザーまたはグループの作成、ユーザー属性の変更、グループへのユーザーの追加などのユーザー管理アクティビティを表します。 このようなイベントは、たとえばオペレーティング システム、ディレクトリ サービス、ID 管理システム、およびローカル ユーザー管理アクティビティに関するその他のシステム レポートによって報告されます。

テーブル属性

属性 価値
リソースの種類 microsoft.securityinsights/asimtables
Categories (カテゴリ) セキュリティ
ソリューション SecurityInsights
基本的なログ はい
インジェスト時の変換 はい
サンプル クエリ -

列

列 タイプ 説明
ActingAppId ひも プロセス、ブラウザー、サービスなどのアクティビティを実行するためにアクターが使用するアプリケーションの ID。
ActingAppName ひも プロセス、ブラウザー、サービスなどのアクティビティを実行するためにアクターが使用するアプリケーションの名前。
演技アプリの種類 ひも 演技アプリケーションの種類。
ActingOriginalAppType ひも レポート デバイスによって報告される動作アプリケーションの種類。
ActorOriginalUserType (アクター元ユーザータイプ) ひも ソースによって提供されている場合、元のアクター ユーザーの種類。
アクタースコープ ひも ActorUserId と ActorUsername が定義されているスコープ (Azure AD テナントなど)。
アクタースコープID ひも ActorUserId と ActorUsername が定義されているスコープ ID (Azure AD テナント ID など)。
ActorSessionId (アクターセッションID) ひも アクターのサインイン セッションの一意の ID。
ActorUserAadId (アクター ユーザー AAD ID) ひも アクターの Azure Active Directory ID。
ActorUserId ひも コンピューターが読み取り可能な英数字、アクターの一意の表現。
アクターユーザーIDタイプ ひも ActorUserId フィールドに格納されている ID の種類。
ActorUsername ひも アクターのユーザー名 (使用可能な場合はドメイン情報を含む)。
アクターユーザーネームタイプ (ActorUsernameType) ひも ActorUsername フィールドに格納されているユーザー名の種類を指定します。
ActorUserSid ひも アクターの Windows ユーザー ID (SID)。
アクター利用者タイプ ひも アクターの種類。
AdditionalFields ダイナミック ASim にマップされないソースによって提供されるキーと値のペアを使用して表される追加情報。
_請求額サイズ real レコード サイズ (バイト単位)
DvcAction ひも セキュリティ システムを報告する場合、システムによって実行されるアクション。
DvcDescription ひも デバイスに関連付けられる説明のテキスト。
DvcDomain ひも イベントを報告するデバイスのドメイン。
Dvcドメインタイプ ひも DvcDomain の種類。
DvcFQDN ひも イベントが発生した、またはイベントを報告したデバイスのホスト名。
Dvcホスト名 ひも イベントを報告するデバイスのホスト名。
DvcId ひも イベントが発生したデバイスまたはイベントを報告したデバイスの一意の ID。
DvcIdType ひも DvcId の種類。
DvcInterface ひも データがキャプチャされたネットワーク インターフェイス。
DvcIpAddr ひも イベントを報告するデバイスの IP アドレス。
DvcMacAddr ひも イベントが発生した、またはイベントを報告したデバイスの MAC アドレス。
DvcOriginalAction ひも レポート デバイスによって提供された元の DvcAction。
DvcOs ひも イベントが発生した、またはイベントを報告したデバイスで実行されているオペレーティング システム。
DvcOsVersion ひも イベントが発生した、またはイベントを報告したデバイスのオペレーティング システムのバージョン。
DvcScope ひも デバイスが属しているクラウドプラットフォームの範囲。 DvcScope は、Azure ではサブスクリプション名に、AWS ではアカウント ID にマップされます。
DvcScopeId ひも デバイスが属するクラウド プラットフォームのスコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
DvcZone ひも イベントが発生したネットワーク、またはイベントを報告したネットワーク。
イベント数 整数 (int) レコードによって記述されるイベントの数。
イベント終了時刻 DATETIME イベントが終了した時刻。 ソースが集計をサポートし、レコードが複数のイベントを表す場合、最後のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントメッセージ ひも 一般的なメッセージまたは説明。
イベントの元の結果の詳細 ひも ソースによって提供される元の結果の詳細。
EventOriginalSeverity ひも 報告デバイスによって提供された元の重大度。
EventOriginalSubType ひも 元のイベントのサブタイプまたは ID (ソースによって提供されている場合)。
EventOriginalType ひも 元のイベントの種類または ID (ソースによって提供されている場合)。
EventOriginalUid (イベントオリジナルUID) ひも 元のレコードの一意の ID (ソースによって提供されている場合)。
イベントオーナー ひも イベントの所有者。通常は、イベントが生成された部門または子会社です。
EventProduct ひも イベントを生成している製品。
EventProductVersion ひも イベントを生成している製品のバージョン。
イベントレポートURL ひも イベントで提供された URL は、そのイベントに関する詳細情報を提供するリソースのものです。
イベント結果 ひも イベントの結果。Success、Partial、Failure、NA (Not Applicable) のいずれかの値で表されます。 この値はソースによって直接提供されない場合があります。その場合は、EventResultDetails フィールドなどの他のイベント フィールドから派生します。
イベント結果詳細 ひも EventResult でレポートされた結果の理由または詳細。
イベントスキーマ ひも スキーマの名前
EventSchemaVersion ひも スキーマのバージョン。
EventSeverity ひも イベントの重大度。 有効な値は、Informational、Low、Medium、High です。
イベント開始時間 DATETIME イベントが開始した時刻。 ソースが集計をサポートし、レコードが複数のイベントを表す場合、最初のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントサブタイプ ひも EventType フィールドでレポートされた操作を細分化して記述します。
イベントの種類 ひも レコードによって報告される操作を記述します。
EventVendor ひも イベントを生成している製品のベンダー。
グループID ひも グループに関連するアクティビティで、コンピューターが判読できる、英数字で、グループを一意に表現したもの。
GroupIdType ひも GroupId フィールドに格納されている ID の種類。
グループネーム ひも グループに関連するアクティビティでのグループ名 (使用可能な場合はドメイン情報を含む)。
グループ名タイプ ひも GroupName フィールドに格納されているグループ名の種類を指定 します。
GroupOriginalType ひも ソースによって提供されている場合、元のグループの種類。
グループタイプ ひも グループに関連するアクティビティでの、グループの種類。
HTTPユーザーエージェント ひも HTTP または HTTPS で認証が行われる場、このフィールドの値は、認証を実行するときに代理アプリケーションによって提供される user_agent HTTP ヘッダーです。
_IsBillable // 請求可能かどうかを示す ひも データの取り込みが課金対象かどうかを指定します。 _IsBillable が false の場合、インジェストはお使いの Azure アカウントに課金されません
NewPropertyValue ひも 指定したプロパティに格納される新しい値。
PreviousPropertyValue ひも 指定したプロパティに格納されていた以前の値。
_リソースID ひも レコードが関連付けられているリソースに対するユニークな識別子
ルール名 ひも 検査結果に関連付けられたルールの名前または ID。
ルール番号 整数 (int) 検査結果に関連付けられたルールの番号。
SourceSystem ひも イベントを収集したエージェントの種類。 たとえば、Windows エージェントの場合は OpsManager (直接接続または Operations Manager のいずれか)、すべての Linux エージェントの場合は Linux、Azure Diagnostics の場合は Azure です
SrcDescription ひも ソース デバイスに関連付けられている説明テキスト。
SrcDeviceType ひも ソース デバイスの種類。
SrcDomain ひも ソース デバイスのドメイン。
SrcDomainType ひも SrcDomain の種類。
SrcDvcId ひも レコードで報告されるソース デバイスの ID。
SrcDvcIdType ひも SrcDvcId の種類。
SrcDvcScope ひも ソース デバイスが属するクラウド プラットフォーム スコープ。 SrcDvcScope は、Azure のサブスクリプション名と AWS のアカウント ID にマップされます。
SrcDvcScopeId ひも ソース デバイスが属しているクラウド プラットフォーム スコープ ID。 SrcDvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
SrcFQDN ひも ソース デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。
SrcGeoCity ひも 発信元 IP アドレスに関連付けられている都市。
SrcGeoCountry ひも 発信元 IP アドレスに関連付けられている国。
SrcGeoLatitude real 発信元 IP アドレスに関連付けられている地理的座標の緯度。
SrcGeoLongitude real 発信元 IP アドレスに関連付けられている地理的座標の経度。
SrcGeoRegion ひも 送信元 IP アドレスに関連付けられている国内のリージョン。.
SrcHostname ひも ドメイン情報を除いた、ソース デバイスのホスト名。
SrcIpAddr ひも ソース デバイスの IP アドレス。
SrcMacAddr ひも ソース デバイスの MAC アドレス。
SrcOriginalRiskLevel ひも レポート デバイスによって報告された、特定されたソースに関連付けられているリスク レベル。
SrcPortNumber 整数 (int) 接続元のソース IP ポート。
SrcRiskLevel 整数 (int) 識別されたソースに関連付けられているリスク レベル。
_SubscriptionId(サブスクリプションID) ひも レコードが関連付けられているサブスクリプションのユニークな識別子
元のユーザータイプを目標にする ひも ソースによって提供されている場合、元のターゲット ユーザーの種類。
対象ユーザーID ひも コンピューターが判読できる、英数字で、ターゲット ユーザーを一意に表現したもの。
対象ユーザーIDタイプ ひも TargetUserId フィールドに格納されている ID の種類。
ターゲットユーザー名 ひも ターゲット ユーザーのユーザー名 (使用可能な場合はドメイン情報を含む)。
ターゲットユーザー名タイプ ひも TargetUsername フィールドに格納されているユーザー名の種類を指定します。
対象ユーザー範囲 ひも TargetUserId と TargetUsername が定義されているスコープ (Azure AD テナント名など)。
TargetUserScopeId ひも TargetUserId と TargetUsername が定義されているスコープ ID (Azure AD テナント ID など)。
TargetUserSessionId ひも ユーザーのサインイン セッションの一意の ID。
対象ユーザータイプ ひも ターゲット ユーザーの種類。
ターゲットユーザーUID ひも ユーザーの Unix または Linux ユーザー ID。
テナントID ひも Log Analytics ワークスペース ID
脅威カテゴリ ひも アクティビティで特定された脅威またはマルウェアのカテゴリ。
ThreatConfidence 整数 (int) 識別された脅威の信頼レベル。0 から 100 の間の値に正規化されます。
ThreatField ひも 脅威が特定されたフィールド。
脅威最初報告日時 DATETIME IP アドレスまたはドメインが脅威として初めて識別された場合。
脅威識別子 ひも アクティビティで識別された脅威またはマルウェアの ID。
脅威が活動中です ブール (bool) 特定された脅威がアクティブな脅威と見なされる真の ID。
脅威が最後に報告された時間 DATETIME 最後に IP アドレスまたはドメインが脅威として識別された時刻。
ThreatName ひも アクティビティで識別された脅威またはマルウェアの名前。
ThreatOriginalConfidence ひも レポート デバイスによって報告される、特定された脅威の元の信頼レベル。
ThreatOriginalRiskLevel ひも レポート デバイスによって報告されたリスク レベル。
脅威リスクレベル 整数 (int) 識別された脅威に関連付けられているリスク レベル。 レベルは、0 から 100 の間の数値である必要があります。
タイムジェネレーテッド DATETIME イベントが生成された時刻を反映するタイムスタンプ (UTC)。
タイプ ひも テーブルの名前