次の方法で共有

ASimユーザー管理アクティビティログ

ASim ユーザー管理スキーマは、ユーザーまたはグループの作成、ユーザー属性の変更、グループへのユーザーの追加などのユーザー管理アクティビティを表します。 このようなイベントは、たとえばオペレーティング システム、ディレクトリ サービス、ID 管理システム、およびローカル ユーザー管理アクティビティに関するその他のシステム レポートによって報告されます。

テーブル属性

属性 価値
リソースの種類 microsoft.securityinsights/asimtables
Categories (カテゴリ) セキュリティ
ソリューション SecurityInsights
基本的なログ はい
インジェスト時の変換 はい
サンプル クエリ -

列

列 タイプ 説明
ActingAppId 文字列 プロセス、ブラウザー、サービスなどのアクティビティを実行するためにアクターが使用するアプリケーションの ID。
ActingAppName 文字列 プロセス、ブラウザー、サービスなどのアクティビティを実行するためにアクターが使用するアプリケーションの名前。
演技アプリの種類 文字列 演技アプリケーションの種類。
ActingOriginalAppType 文字列 レポート デバイスによって報告される動作アプリケーションの種類。
ActorOriginalUserType (アクター元ユーザータイプ) 文字列 ソースによって提供されている場合、元のアクター ユーザーの種類。
アクタースコープ 文字列 ActorUserId と ActorUsername が定義されているスコープ (Azure AD テナントなど)。
アクタースコープID 文字列 ActorUserId と ActorUsername が定義されているスコープ ID (Azure AD テナント ID など)。
ActorSessionId (アクターセッションID) 文字列 アクターのサインイン セッションの一意の ID。
ActorUserAadId (アクター ユーザー AAD ID) 文字列 アクターの Azure Active Directory ID。
ActorUserId 文字列 コンピューターが読み取り可能な英数字、アクターの一意の表現。
アクターユーザーIDタイプ 文字列 ActorUserId フィールドに格納されている ID の種類。
ActorUsername 文字列 アクターのユーザー名 (使用可能な場合はドメイン情報を含む)。
アクターユーザーネームタイプ (ActorUsernameType) 文字列 ActorUsername フィールドに格納されているユーザー名の種類を指定します。
ActorUserSid 文字列 アクターの Windows ユーザー ID (SID)。
アクター利用者タイプ 文字列 アクターの種類。
AdditionalFields ダイナミック ASim にマップされないソースによって提供されるキーと値のペアを使用して表される追加情報。
_請求額サイズ real レコード サイズ (バイト単位)
DvcAction 文字列 セキュリティ システムを報告する場合、システムによって実行されるアクション。
DvcDescription 文字列 デバイスに関連付けられる説明のテキスト。
DvcDomain 文字列 イベントを報告するデバイスのドメイン。
Dvcドメインタイプ 文字列 DvcDomain の種類。
DvcFQDN 文字列 イベントが発生した、またはイベントを報告したデバイスのホスト名。
Dvcホスト名 文字列 イベントを報告するデバイスのホスト名。
DvcId 文字列 イベントが発生したデバイスまたはイベントを報告したデバイスの一意の ID。
DvcIdType 文字列 DvcId の種類。
DvcInterface 文字列 データがキャプチャされたネットワーク インターフェイス。
DvcIpAddr 文字列 イベントを報告するデバイスの IP アドレス。
DvcMacAddr 文字列 イベントが発生した、またはイベントを報告したデバイスの MAC アドレス。
DvcOriginalAction 文字列 レポート デバイスによって提供された元の DvcAction。
DvcOs 文字列 イベントが発生した、またはイベントを報告したデバイスで実行されているオペレーティング システム。
DvcOsVersion 文字列 イベントが発生した、またはイベントを報告したデバイスのオペレーティング システムのバージョン。
DvcScope 文字列 デバイスが属しているクラウドプラットフォームの範囲。 DvcScope は、Azure ではサブスクリプション名に、AWS ではアカウント ID にマップされます。
DvcScopeId 文字列 デバイスが属するクラウド プラットフォームのスコープ ID。 DvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
DvcZone 文字列 イベントが発生したネットワーク、またはイベントを報告したネットワーク。
イベント数 整数 (int) レコードによって記述されるイベントの数。
イベント終了時刻 datetime イベントが終了した時刻。 ソースが集計をサポートし、レコードが複数のイベントを表す場合、最後のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントメッセージ 文字列 一般的なメッセージまたは説明。
イベントの元の結果の詳細 文字列 ソースによって提供される元の結果の詳細。
EventOriginalSeverity 文字列 報告デバイスによって提供された元の重大度。
EventOriginalSubType 文字列 元のイベントのサブタイプまたは ID (ソースによって提供されている場合)。
EventOriginalType 文字列 元のイベントの種類または ID (ソースによって提供されている場合)。
EventOriginalUid (イベントオリジナルUID) 文字列 元のレコードの一意の ID (ソースによって提供されている場合)。
イベントオーナー 文字列 イベントの所有者。通常は、イベントが生成された部門または子会社です。
EventProduct 文字列 イベントを生成している製品。
EventProductVersion 文字列 イベントを生成している製品のバージョン。
イベントレポートURL 文字列 イベントで提供された URL は、そのイベントに関する詳細情報を提供するリソースのものです。
イベント結果 文字列 イベントの結果。Success、Partial、Failure、NA (Not Applicable) のいずれかの値で表されます。 この値はソースによって直接提供されない場合があります。その場合は、EventResultDetails フィールドなどの他のイベント フィールドから派生します。
イベント結果詳細 文字列 EventResult でレポートされた結果の理由または詳細。
イベントスキーマ 文字列 スキーマの名前
EventSchemaVersion 文字列 スキーマのバージョン。
EventSeverity 文字列 イベントの重大度。 有効な値は、Informational、Low、Medium、High です。
イベント開始時間 datetime イベントが開始した時刻。 ソースが集計をサポートし、レコードが複数のイベントを表す場合、最初のイベントが生成された時刻。 ソース レコードによって指定されなかった場合、このフィールドが TimeGenerated フィールドの別名となります。
イベントサブタイプ 文字列 EventType フィールドでレポートされた操作を細分化して記述します。
イベントの種類 文字列 レコードによって報告される操作を記述します。
EventVendor 文字列 イベントを生成している製品のベンダー。
グループID 文字列 グループに関連するアクティビティで、コンピューターが判読できる、英数字で、グループを一意に表現したもの。
GroupIdType 文字列 GroupId フィールドに格納されている ID の種類。
グループネーム 文字列 グループに関連するアクティビティでのグループ名 (使用可能な場合はドメイン情報を含む)。
グループ名タイプ 文字列 GroupName フィールドに格納されているグループ名の種類を指定 します。
GroupOriginalType 文字列 ソースによって提供されている場合、元のグループの種類。
グループタイプ 文字列 グループに関連するアクティビティでの、グループの種類。
HTTPユーザーエージェント 文字列 HTTP または HTTPS で認証が行われる場、このフィールドの値は、認証を実行するときに代理アプリケーションによって提供される user_agent HTTP ヘッダーです。
_IsBillable // 請求可能かどうかを示す 文字列 データの取り込みが課金対象かどうかを指定します。 _IsBillable が false の場合、インジェストはお使いの Azure アカウントに課金されません
NewPropertyValue 文字列 指定したプロパティに格納される新しい値。
PreviousPropertyValue 文字列 指定したプロパティに格納されていた以前の値。
_リソースID 文字列 レコードが関連付けられているリソースに対するユニークな識別子
ルール名 文字列 検査結果に関連付けられたルールの名前または ID。
ルール番号 整数 (int) 検査結果に関連付けられたルールの番号。
SourceSystem 文字列 イベントを収集したエージェントの種類。 たとえば、Windows エージェントの場合は OpsManager (直接接続または Operations Manager のいずれか)、すべての Linux エージェントの場合は Linux、Azure Diagnostics の場合は Azure です
SrcDescription 文字列 ソース デバイスに関連付けられている説明テキスト。
SrcDeviceType 文字列 ソース デバイスの種類。
SrcDomain 文字列 ソース デバイスのドメイン。
SrcDomainType 文字列 SrcDomain の種類。
SrcDvcId 文字列 レコードで報告されるソース デバイスの ID。
SrcDvcIdType 文字列 SrcDvcId の種類。
SrcDvcScope 文字列 ソース デバイスが属するクラウド プラットフォーム スコープ。 SrcDvcScope は、Azure のサブスクリプション名と AWS のアカウント ID にマップされます。
SrcDvcScopeId 文字列 ソース デバイスが属しているクラウド プラットフォーム スコープ ID。 SrcDvcScopeId は、Azure ではサブスクリプション ID に、AWS ではアカウント ID にマップされます。
SrcFQDN 文字列 ソース デバイスのホスト名 (使用可能な場合はドメイン情報を含む)。
SrcGeoCity 文字列 発信元 IP アドレスに関連付けられている都市。
SrcGeoCountry 文字列 発信元 IP アドレスに関連付けられている国。
SrcGeoLatitude real 発信元 IP アドレスに関連付けられている地理的座標の緯度。
SrcGeoLongitude real 発信元 IP アドレスに関連付けられている地理的座標の経度。
SrcGeoRegion 文字列 送信元 IP アドレスに関連付けられている国内のリージョン。.
SrcHostname 文字列 ドメイン情報を除いた、ソース デバイスのホスト名。
SrcIpAddr 文字列 ソース デバイスの IP アドレス。
SrcMacAddr 文字列 ソース デバイスの MAC アドレス。
SrcOriginalRiskLevel 文字列 レポート デバイスによって報告された、特定されたソースに関連付けられているリスク レベル。
SrcPortNumber 整数 (int) 接続元のソース IP ポート。
SrcRiskLevel 整数 (int) 識別されたソースに関連付けられているリスク レベル。
_SubscriptionId(サブスクリプションID) 文字列 レコードが関連付けられているサブスクリプションのユニークな識別子
元のユーザータイプを目標にする 文字列 ソースによって提供されている場合、元のターゲット ユーザーの種類。
対象ユーザーID 文字列 コンピューターが判読できる、英数字で、ターゲット ユーザーを一意に表現したもの。
対象ユーザーIDタイプ 文字列 TargetUserId フィールドに格納されている ID の種類。
ターゲットユーザー名 文字列 ターゲット ユーザーのユーザー名 (使用可能な場合はドメイン情報を含む)。
ターゲットユーザー名タイプ 文字列 TargetUsername フィールドに格納されているユーザー名の種類を指定します。
対象ユーザー範囲 文字列 TargetUserId と TargetUsername が定義されているスコープ (Azure AD テナント名など)。
TargetUserScopeId 文字列 TargetUserId と TargetUsername が定義されているスコープ ID (Azure AD テナント ID など)。
TargetUserSessionId 文字列 ユーザーのサインイン セッションの一意の ID。
対象ユーザータイプ 文字列 ターゲット ユーザーの種類。
ターゲットユーザーUID 文字列 ユーザーの Unix または Linux ユーザー ID。
テナントID 文字列 Log Analytics ワークスペース ID
脅威カテゴリ 文字列 アクティビティで特定された脅威またはマルウェアのカテゴリ。
ThreatConfidence 整数 (int) 識別された脅威の信頼レベル。0 から 100 の間の値に正規化されます。
ThreatField 文字列 脅威が特定されたフィールド。
脅威最初報告日時 datetime IP アドレスまたはドメインが脅威として初めて識別された場合。
脅威識別子 文字列 アクティビティで識別された脅威またはマルウェアの ID。
脅威が活動中です ブール (bool) 特定された脅威がアクティブな脅威と見なされる真の ID。
脅威が最後に報告された時間 datetime 最後に IP アドレスまたはドメインが脅威として識別された時刻。
ThreatName 文字列 アクティビティで識別された脅威またはマルウェアの名前。
ThreatOriginalConfidence 文字列 レポート デバイスによって報告される、特定された脅威の元の信頼レベル。
ThreatOriginalRiskLevel 文字列 レポート デバイスによって報告されたリスク レベル。
脅威リスクレベル 整数 (int) 識別された脅威に関連付けられているリスク レベル。 レベルは、0 から 100 の間の数値である必要があります。
タイムジェネレーテッド datetime イベントが生成された時刻を反映するタイムスタンプ (UTC)。
タイプ 文字列 テーブルの名前