你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Microsoft Sentinel 规范化审核事件表。 存储与信息系统审核跟踪相关的事件，以及审核跟踪日志系统配置活动和策略更改。 此类更改通常由系统管理员执行，但也可由用户在配置其自己的应用程序的设置时执行。
表属性
| 属性 | 值 |
|---|---|
| 资源类型 | microsoft.securityinsights/auditeventnormalized |
| 类别 | 安全性 |
| 解决方案 | SecurityInsights |
| 基本日志 | 是 |
| 引入时转换 | 是 |
| 示例查询 | - |
列
| 列 | 类型 | 说明 |
|---|---|---|
| ActingAppId | 字符串 | 启动报告的活动的应用程序的 ID，包括进程、浏览器或服务。 |
| ActingAppName | 字符串 | 启动报告的活动的应用程序的名称，包括服务、URL 或 SaaS 应用程序。 |
| ActingAppType | 字符串 | 操作应用程序的类型。 |
| ActingOriginalAppType | 字符串 | 报告设备报告的操作应用程序类型。 |
| ActorOriginalUserType | 字符串 | 报告设备报告的用户类型。 |
| ActorScope | 字符串 | 定义 ActorUserId 和 ActorUsername 的范围，例如 Azure AD 租户。 |
| ActorScopeId | 字符串 | 定义 ActorUserId 和 ActorUsername 的范围 ID，例如 Azure AD 租户 ID。 |
| ActorSessionId | 字符串 | 参与者登录会话的唯一 ID。 |
| ActorUserAadId | 字符串 | 参与者的 Azure Active Directory ID。 |
| ActorUserId | 字符串 | 参与者的计算机可读的唯一字母数字表示形式。 |
| 演员用户ID类型 | 字符串 | ActorUserId 字段中存储的 ID 的类型。 |
| 演员用户名 | 字符串 | 参与者的用户名，包括域信息（如果可用）。 |
| 角色用户名类型 | 字符串 | ActionUsername 字段中指定的参与者的用户名的类型 |
| ActorUserSid | 字符串 | 参与者的 Windows 用户 ID (SID)。 |
| 演员用户类型 | 字符串 | 参与者的类型。 |
| AdditionalFields | 动态的 | 其他信息，使用源提供的键/值对来表示，这些信息不映射到 ASim。 |
| _BilledSize（账单大小） | 实数 | 记录大小（字节） |
| DvcAction | 字符串 | 对于报告安全系统，此属性为系统执行的操作。 |
| DvcDescription | 字符串 | 与设备关联的描述性文本。 |
| DvcDomain | 字符串 | 设备报告事件的域名。 |
| DvcDomainType | 字符串 | DvcDomain 的类型。 |
| DvcFQDN | 字符串 | 发生了事件或报告了事件的设备的主机名。 |
| DvcHostname | 字符串 | 报告事件的设备的主机名。 |
| “DvcId” | 字符串 | 发生了事件或报告了事件的设备的唯一 ID。 |
| DvcIdType | 字符串 | DvcId 的类型。 |
| DvcInterface | 字符串 | 捕获数据的网络接口。 |
| DvcIpAddr | 字符串 | 报告事件的设备的 IP 地址。 |
| DvcMacAddr | 字符串 | 发生了事件或报告了事件的设备的 MAC 地址。 |
| DvcOriginalAction | 字符串 | 由报告设备提供的原始 DvcAction。 |
| DvcOs | 字符串 | 发生了事件或报告了事件的设备上运行的操作系统。 |
| DvcOsVersion | 字符串 | 发生了事件或报告了事件的设备上的操作系统版本。 |
| DvcScope | 字符串 | 设备所属的云平台范围。 DvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| DvcScopeId | 字符串 | 设备所属的云平台范围 ID。 DvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| DvcZone | 字符串 | 发生了事件或报告了事件的网络。 |
| EventCount | 整数 | 记录中描述的事件数。 |
| 事件结束时间 | 日期/时间 | 事件的结束时间 (UTC)。 如果源支持聚合且记录表示多个事件，则为生成最后一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。 |
| EventMessage | 字符串 | 常规消息或说明。 |
| 事件原始结果详情 | 字符串 | 源提供的原始结果详细信息。 |
| EventOriginalSeverity | 字符串 | 报告设备提供的原始严重性。 |
| EventOriginalSubType | 字符串 | 原始事件子类型或 ID（如果已由源提供）。 |
| 事件原始类型 | 字符串 | 原始事件类型或 ID（如果已由源提供）。 |
| EventOriginalUid | 字符串 | 原始记录的唯一 ID（如果已由源提供）。 |
| 活动主办方 | 字符串 | 事件的所有者，通常是生成事件的部门或子公司。 |
| EventProduct | 字符串 | 生成事件的产品。 |
| EventProductVersion | 字符串 | 生成事件的产品的版本。 |
| 事件报告网址 | 字符串 | 在资源的事件中提供的 URL，提供有关该事件的更多信息。 |
| EventResult | 字符串 | 事件的结果，由以下值之一表示：成功、部分、失败、NA（不适用）。 该值可能不是由源直接提供的，在这种情况下，它来自其他事件字段，例如 EventResultDetails 字段。 |
| 事件结果详情 | 字符串 | EventResult 字段中报告的结果的原因或详细信息。 |
| EventSchemaVersion | 字符串 | 架构的版本。 |
| EventSeverity | 字符串 | 事件的严重性。 有效值为：Informational、Low、Medium 或 High。 |
| 事件开始时间 | 日期/时间 | 事件的开始时间 (UTC)。 如果源支持聚合且记录表示多个事件，则为生成第一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。 |
| 事件子类型 | 字符串 | 描述 EventType 字段中报告的操作的细分。 |
| 事件类型 | 字符串 | 描述记录中所报告的操作 |
| EventVendor | 字符串 | 生成事件的产品的供应商。 |
| HTTP用户代理 (HttpUserAgent) | 字符串 | 通过 HTTP 或 HTTPS 执行身份验证时，此字段的值是执行身份验证时操作应用程序提供的 user_agent HTTP 标头。 |
| _IsBillable | 字符串 | 指定引入数据是否需要付费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| NewValue | 字符串 | 执行操作后的对象的新值。 |
| 对象 | 字符串 | 执行由 EventType 标识的操作的对象名称。 |
| 对象标识符 (ObjectId) | 字符串 | 执行由 EventType 标识的操作的对象名称。 |
| 对象类型 | 字符串 | 对象的类型。 |
| OldValue | 字符串 | 操作前对象的旧值。 |
| 操作 | 字符串 | 报告设备报告的已审核操作。 |
| 原始对象类型 | 字符串 | 报告设备报告的对象类型。 |
| _资源ID | 字符串 | 与记录关联的资源的唯一标识符 |
| 规则名称 | 字符串 | 与检查结果关联的规则的名称或 ID。 |
| RuleNumber | 整数 | 与检查结果关联的规则的数量。 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure |
| SrcDescription | 字符串 | 与源设备关联的描述性文本。 |
| SrcDeviceType | 字符串 | 源设备的类型。 |
| SrcDomain | 字符串 | 源设备的域。 |
| SrcDomainType | 字符串 | SrcDomain 的类型。 |
| SrcDvcId | 字符串 | 源设备的 ID。 |
| SrcDvcIdType | 字符串 | SrcDvcId 的类型。 |
| SrcDvcScope | 字符串 | 源设备所属的云平台范围。 SrcDvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| SrcDvcScopeId | 字符串 | 源设备所属的云平台范围 ID。 SrcDvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| SrcFQDN | 字符串 | 源设备主机名，包括域信息（如果可用）。 |
| SrcGeoCity | 字符串 | 与源 IP 地址关联的城市。 |
| SrcGeoCountry | 字符串 | 与源 IP 地址关联的国家/地区。 |
| SrcGeoLatitude | 实数 | 与源 IP 地址关联的地理坐标的纬度。 |
| SrcGeoLongitude | 实数 | 与源 IP 地址关联的地理坐标的经度。 |
| SrcGeoRegion | 字符串 | 与源 IP 地址关联的国家/地区中的区域。 |
| SrcHostname | 字符串 | 源设备主机名，不包括域信息。 |
| SrcIpAddr | 字符串 | 发起连接或会话的源 IP 地址。 |
| SrcOriginalRiskLevel | 字符串 | 由报告设备报告的与已识别源相关联的风险级别。 |
| SrcPortNumber | 整数 | 从中发起了连接的源 IP 端口。 |
| Src风险等级 | 整数 | 与已识别的源关联的风险级别。 |
| _SubscriptionId（订阅编号） | 字符串 | 与记录关联的订阅的唯一标识符 |
| 目标应用程序ID | 字符串 | 事件应用的应用程序 ID，包括进程、浏览器或服务。 |
| TargetAppName | 字符串 | 事件应用的应用程序名称，包括服务、URL 或 SaaS 应用程序。 |
| 目标应用类型 | 字符串 | 代表参与者进行授权的应用程序类型。 |
| 目标描述 | 字符串 | 与目标设备关联的描述性文本。 |
| 目标设备类型 | 字符串 | 目标设备的类型。 |
| 目标领域 | 字符串 | 目标设备的域。 |
| 目标域类型 | 字符串 | TargetDomain 的类型。 |
| TargetDvcId | 字符串 | 目标设备的 ID。 |
| TargetDvcIdType | 字符串 | TargetDvcId 的类型。 |
| TargetDvcOs | 字符串 | 目标设备的 OS。 |
| TargetDvcScope | 字符串 | 目标设备所属的云平台范围。 TargetDvcScope 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| TargetDvcScopeId | 字符串 | 目标设备所属的云平台范围 ID。 TargetDvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| TargetFQDN | 字符串 | 目标设备主机名，包括域信息（如果可用）。 |
| TargetGeoCity | 字符串 | 与目标 IP 地址关联的城市。 |
| TargetGeoCountry | 字符串 | 与目标 IP 地址关联的国家/地区。 |
| TargetGeoLatitude | 实数 | 与目标 IP 地址关联的地理坐标的纬度。 |
| TargetGeoLongitude | 实数 | 与目标 IP 地址关联的地理坐标的经度。 |
| TargetGeoRegion | 字符串 | 与目标 IP 地址关联的国家/地区中的区域。 |
| 目标主机名 | 字符串 | 目标设备主机名，不包括域信息。 |
| 目标IP地址 | 字符串 | 从中发起了连接或会话的目标 IP 地址。 |
| 目标原始应用类型 | 字符串 | 报告设备报告的目标应用程序类型。 |
| 目标原始风险水平 | 字符串 | 与目标关联的风险级别，由报告设备报告。 |
| TargetPortNumber | 整数 | 从中发起了连接的目标 IP 端口。 |
| 目标风险等级 | 整数 | 与目标关联的风险级别。 |
| 目标URL | 字符串 | 与目标应用程序相关联的 URL。 |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| 威胁类别 | 字符串 | 在审核活动中识别到的威胁或恶意软件的类别。 |
| ThreatConfidence | 整数 | 已识别威胁的可信度，规范化为 0 到 100 之间的值。 |
| ThreatField | 字符串 | 已识别出威胁的字段。 |
| ThreatFirstReportedTime | 日期/时间 | IP 地址或域首次被识别为威胁的时间。 |
| 威胁编号 (ThreatId) | 字符串 | 在审核活动中识别到的威胁或恶意软件的 ID。 |
| ThreatIpAddr | 字符串 | 已识别出威胁的 IP 地址或域。 |
| 威胁处于活跃状态 | 布尔 | 如果识别出的威胁被视为活跃威胁，则为 True。 |
| ThreatLastReportedTime | 日期/时间 | 上次将 IP 地址或域识别为威胁的时间。 |
| 威胁名称 | 字符串 | 在审核活动中识别到的威胁或恶意软件的名称。 |
| ThreatOriginalConfidence | 字符串 | 报告设备报告的已识别威胁的原始可信度。 |
| ThreatOriginalRiskLevel | 字符串 | 报告设备报告的风险级别。 |
| 威胁风险等级 | 整数 | 与已识别的威胁关联的风险级别。 级别应是介于 0 和 100 之间的数字。 |
| TimeGenerated | 日期/时间 | 时间戳 (UTC)，反映生成事件的时间。 |
| 类型 | 字符串 | 表的名称 |
| ValueType | 字符串 | 旧值和新值的类型。 |