你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
高级安全信息模型 (ASIM) Web 会话规范化架构 - 描述 IP 网络活动。 例如，Web 服务器、Web 代理和 Web 安全网关会报告 IP 网络活动。
表属性
| 属性 | 价值 |
|---|---|
| 资源类型 | microsoft.securityinsights/websessionlogs |
| 类别 | 安全性 |
| 解决方案 | SecurityInsights |
| 基本日志 | 是 |
| 引入时转换 | 是 |
| 示例查询 | - |
列
| 列 | 类型 | 说明 |
|---|---|---|
| AdditionalFields | 动态的 | 其他信息，使用源提供的键/值对来表示，这些信息不映射到 ASim。 |
| _BilledSize（账单大小） | 实数 | 记录大小（字节） |
| DstAppId | 字符串 | 目标应用程序的 ID，由报告设备报告。 |
| DstAppName | 字符串 | 目标应用程序的名称。 |
| DstAppType | 字符串 | 目标应用程序的类型。 |
| DstBytes | 长整型 | 从连接或会话的目标发送到源的字节数。 如果聚合了事件，则 DstBytes 为所有聚合会话的总和。 |
| DstDeviceType | 字符串 | 目标设备的类型。 |
| DstDomain | 字符串 | 目标设备的域名。 |
| DstDomainType | 字符串 | DstDomain 的类型。 |
| DstDvcId | 字符串 | 目标设备的 ID。 |
| DstDvcIdType | 字符串 | DstDvcId 的类型。 |
| DstDvcScope | 字符串 | 目标设备所属的云平台范围。 DvcScope 映射到 Azure 上的订阅和 AWS 上的帐户。 |
| DstDvcScopeId | 字符串 | 目标设备所属的云平台范围 ID。 DvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| DstFQDN | 字符串 | 目标设备主机名，包括域信息（如果可用）。 |
| DstGeoCity | 字符串 | 与目标 IP 地址关联的城市。 |
| DstGeoCountry | 字符串 | 与目标 IP 地址关联的国家/地区。 |
| DstGeoLatitude | 实数 | 与目标 IP 地址关联的地理坐标的纬度。 |
| DstGeoLongitude | 实数 | 与目标 IP 地址关联的地理坐标的经度。 |
| DstGeoRegion | 字符串 | 与目标 IP 地址关联的国家内的地区或省。 |
| DstHostname | 字符串 | 目标设备主机名，不包括域信息。 |
| DstIpAddr | 字符串 | 连接或会话目标的 IP 地址。 |
| DstMacAddr | 字符串 | 由目标设备用来建立连接或会话的网络接口的 MAC 地址。 |
| DstNatIpAddr | 字符串 | DstNatIpAddr 表示以下任一地址：如果使用了网络地址转换，则表示目标设备的原始地址，或者表示中间设备用于与源通信的 IP 地址。 |
| DstNatPortNumber | 整数 (int) | 如果由中间 NAT 设备报告，则该值是由 NAT 设备用来与源通信的端口。 |
| DstOriginalUserType | 字符串 | 原始目标用户类型（如果源已提供）。 |
| DstPackets | 长整型 | 从连接或会话的目标发送到源的数据包数。 数据包的含义由报告设备定义。 如果聚合了事件，则 DstPackets 为所有聚合会话的总和。 |
| DstPortNumber | 整数 (int) | 目标 IP 端口。 |
| DstUserId | 字符串 | 目标用户的计算机可读的唯一字母数字表示形式。 |
| Dst用户ID类型 | 字符串 | DstUserId 字段中存储的 ID 的类型。 |
| DstUsername | 字符串 | 目标用户名，包括域信息（如果可用）。 仅当未提供域信息时才使用简单格式。 |
| Dst用户名类型 | 字符串 | 指定 DstUsername 字段中存储的用户名的类型。 |
| Dst用户类型 | 字符串 | 目标用户的类型。 |
| Dvc | 字符串 | 发生了事件或报告了事件的设备的唯一标识符。 |
| DvcAction | 字符串 | 对 Web 会话执行的操作。 |
| DvcDomain | 字符串 | 报告事件的设备的域。 |
| DvcDomainType | 字符串 | DvcDomain 的类型。 可能的值包括“Windows”和“FQDN”。 |
| DvcFQDN | 字符串 | 发生了事件或报告了事件的设备的主机名。 |
| DvcHostname | 字符串 | 报告事件的设备的主机名。 |
| “DvcId” | 字符串 | 发生了事件或报告了事件的设备的唯一 ID。 |
| DvcIdType | 字符串 | DvcId 的类型。 |
| DvcIpAddr | 字符串 | 报告事件的设备的 IP 地址。 |
| DvcOriginalAction | 字符串 | 报告设备提供的原始 DvcAction。 |
| EventCount | 整数 (int) | 当源支持聚合且单个记录可以表示多个事件时，将使用此值。 |
| 活动结束时间 | 日期/时间 | 事件的结束时间。 如果源支持聚合且记录表示多个事件，则为生成最后一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。 |
| EventMessage | 字符串 | 常规消息或说明。 |
| 事件原始结果详情 | 字符串 | 源提供的原始结果详细信息。 此值用于派生 EventResultDetails，其应只包含针对每个架构记录的值之一。 |
| EventOriginalSeverity | 字符串 | 由报告设备提供的原始严重性。 此值用于派生 EventSeverity。 |
| EventOriginalSubType | 字符串 | 原始事件子类型或 ID（如果已由源提供）。 例如，此字段用于存储原始 Windows 登录类型。 此值用于派生 EventSubType，其中应只包含针对每个架构记录的一个值。 |
| 事件原始类型 | 字符串 | 原始事件类型或 ID（如果已由源提供）。 |
| EventOriginalUid | 字符串 | 原始记录的唯一 ID（如果已由源提供）。 |
| 活动主办方 | 字符串 | 事件的所有者，通常是生成事件的部门或子公司。 |
| EventProduct | 字符串 | 生成事件的产品。 |
| EventProductVersion | 字符串 | 生成事件的产品的版本。 |
| 事件报告网址 | 字符串 | 在资源的事件中提供的 URL，提供有关该事件的更多信息。 |
| EventResult | 字符串 | 事件的结果，由以下值之一表示：成功、部分、失败、NA（不适用）。 该值可能不是由源直接提供的，在这种情况下，它来自其他事件字段，例如 EventResultDetails 字段。 |
| 事件结果详情 | 字符串 | HTTP 状态代码。 |
| EventSchemaVersion | 字符串 | 架构的版本。 |
| EventSeverity | 字符串 | 事件的严重性。 有效值为：Informational、Low、Medium 或 High。 |
| 活动开始时间 | 日期/时间 | 事件的开始时间。 如果源支持聚合且记录表示多个事件，则为生成第一个事件的时间。 如果源记录未提供此字段，则此字段将使用 TimeGenerated 字段的别名。 |
| 事件子类型 | 字符串 | 事件类型的附加说明（如果适用）。 |
| 事件类型 | 字符串 | 由记录报告的操作。 |
| EventVendor | 字符串 | 生成事件的产品的供应商。 |
| 文件内容类型 | 字符串 | 对于 HTTP 上传，该字段表示上传文件的内容类型。 |
| FileMD5 | 字符串 | 对于 HTTP 上传，该字段表示上传文件的 MD5 哈希。 |
| 文件名 | 字符串 | 对于 HTTP 上传，该字段表示上传的文件的名称。 |
| FileSHA1 | 字符串 | 对于 HTTP 上传，该字段表示上传文件的 SHA1 哈希。 |
| FileSHA256 | 字符串 | 对于 HTTP 上传，该字段表示上传文件的 SHA256 哈希。 |
| FileSHA512 | 字符串 | 对于 HTTP 上传，该字段表示上传文件的 SHA512 哈希。 |
| 文件大小 | 整数 (int) | 对于 HTTP 上传，该字段表示上传文件的大小（以字节为单位）。 |
| HttpContentFormat | 字符串 | HttpContentType 的内容格式部分 |
| HttpContentType (HTTP内容类型) | 字符串 | HTTP 响应内容类型标头。 |
| HttpHost | 字符串 | HTTP 请求所面向的虚拟 Web 服务器。 |
| HttpReferrer | 字符串 | HTTP 引用器标头。 |
| HTTP请求方法 | 字符串 | HTTP 方法。 |
| HTTP请求时间 | 整数 (int) | 向服务器发送请求所用的时间量（以毫秒为单位）。 |
| HttpRequestXff | 字符串 | HTTP X-Forwarded-For 标头。 |
| HTTP响应时间 | 整数 (int) | 在服务器中接收响应所花费的时间（以毫秒为单位）。 |
| HTTP用户代理 (HttpUserAgent) | 字符串 | HTTP 用户代理标头。 |
| HttpVersion | 字符串 | HTTP 请求版本。 |
| _IsBillable | 字符串 | 指定引入数据是否可计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| 网络应用协议 | 字符串 | 连接或会话使用的应用程序层协议。 |
| NetworkBytes | 长整型 | 双向发送的字节数。 如果 BytesReceived 和 BytesSent 都存在，则 BytesTotal 应等于它们的总和。 如果聚合了事件，则 NetworkBytes 为所有聚合会话的总和。 |
| 网络连接历史 | 字符串 | TCP 标志和其他潜在的 IP 标头信息。 |
| NetworkDirection | 字符串 | 连接或会话的方向。 |
| 网络时长 | 整数 (int) | 完成 Web 会话或连接所花费的时间（以毫秒为单位）。 |
| NetworkIcmpCode（网络ICMP代码） | 整数 (int) | 对于 ICMP 消息，ICMP 消息类型的数值是根据 RFC 2780（用于 IPv4 网络连接）或 RFC 4443（用于 IPv6 网络连接）所描述的。 |
| 网络ICMP类型 | 字符串 | 对于 ICMP 消息，它表示 RFC 2780（适用于 IPv4 网络连接）或 RFC 4443（适用于 IPv6 网络连接）中描述的 ICMP 消息类型的文本表示形式。 |
| NetworkPackets | 长整型 | 双向发送的数据包数。 如果 PacketsReceived 和 PacketsSent 都存在，则 BytesTotal 应等于它们的总和 。 数据包的含义由报告设备定义。 如果聚合了事件，则 NetworkPackets 为所有聚合会话的总和。 |
| 网络协议 | 字符串 | 连接或会话使用的 IP 协议，在 IANA 协议分配中列出，通常为 TCP、UDP 或 ICMP。 |
| 网络协议版本 | 字符串 | NetworkProtocol 的版本。 |
| 网络会话ID | 字符串 | 报告设备报告的会话标识符。 |
| _资源ID | 字符串 | 与记录关联的资源的唯一标识符 |
| 规则 | 字符串 | NetworkRuleName 或 NetworkRuleNumber |
| 规则名称 | 字符串 | 确定 DvcAction 时所依据的规则的名称或 ID。 示例：AnyAnyDrop |
| RuleNumber | 整数 (int) | 确定 DvcAction 时所依据的规则的编号。 示例: 23 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure |
| SrcAppId | 字符串 | 源应用程序的 ID（由报告设备报告）。 |
| SrcAppName | 字符串 | 源应用程序的名称。 |
| SrcAppType | 字符串 | 源应用程序的类型。 |
| SrcBytes | 长整型 | 从连接或会话的源发送到目标的字节数。 如果聚合了事件，则 SrcBytes 为所有聚合会话的总和。 |
| SrcDeviceType | 字符串 | 源设备的类型。 |
| SrcDomain | 字符串 | 源设备的域。 |
| SrcDomainType | 字符串 | SrcDomain 的类型。 |
| SrcDvcId | 字符串 | 源设备的 ID。 |
| SrcDvcIdType | 字符串 | SrcDvcId 的类型。 |
| SrcDvcScope | 字符串 | 源设备所属的云平台范围。 DvcScope 映射到 Azure 上的订阅和 AWS 上的帐户。 |
| SrcDvcScopeId | 字符串 | 源设备所属的云平台范围 ID。 DvcScopeId 映射到 Azure 上的订阅 ID 和 AWS 上的帐户 ID。 |
| SrcFQDN | 字符串 | 源设备主机名，包括域信息（如果可用）。 |
| SrcGeoCity | 字符串 | 与源 IP 地址关联的城市。 |
| SrcGeoCountry | 字符串 | 与源 IP 地址关联的国家/地区。 |
| SrcGeoLatitude | 实数 | 与源 IP 地址关联的地理坐标的纬度。 |
| SrcGeoLongitude | 实数 | 与源 IP 地址关联的地理坐标的经度。 |
| SrcGeoRegion | 字符串 | 与源 IP 地址关联的国家/地区中的区域。 |
| SrcHostname | 字符串 | 源设备主机名，不包括域信息。 如果没有可用的设备名称，请存储相关的 IP 地址。 |
| SrcIpAddr | 字符串 | 源自连接或会话的 IP 地址。 |
| SrcMacAddr | 字符串 | 从中发起了连接或会话的网络接口的 MAC 地址。 |
| SrcNatIpAddr | 字符串 | SrcNatIpAddr 表示以下任一地址：如果使用了网络地址转换，则表示源设备的原始地址，或者表示中间设备用于与目标通信的 IP 地址。 |
| SrcNatPortNumber | 整数 (int) | 如果由中间 NAT 设备报告，则该值是由 NAT 设备用来与目标通信的端口。 |
| SrcOriginalUserType | 字符串 | 原始目标用户类型（如果由报告设备提供）。 |
| SrcPackets | 长整型 | 从连接或会话的源发送到目标的数据包数。 数据包的含义由报告设备定义。 如果聚合了事件，则 SrcPackets 为所有聚合会话的总和。 |
| SrcPortNumber | 整数 (int) | 连接起始的 IP 端口。 可能与包含多个连接的会话无关。 |
| SrcProcessGuid | 字符串 | 源进程生成的唯一标识符 (GUID)。 |
| SrcProcessId | 字符串 | 源进程的进程ID (PID)。 |
| SrcProcessName | 字符串 | 源进程的名称。 |
| SrcUserId | 字符串 | 源用户的计算机可读的唯一字母数字表示形式。 |
| SrcUserIdType | 字符串 | SrcUserId 字段中存储的 ID 的类型。 |
| SrcUsername | 字符串 | 源用户名，包括域信息（如果可用）。 |
| SrcUsernameType | 字符串 | 指定 SrcUsername 字段中存储的用户名的类型。 |
| SrcUserScope | 字符串 | 定义 SrcUserId 和 SrcUsername 的范围，例如 Azure AD 租户。 |
| SrcUserScopeId | 字符串 | 定义 SrcUserId 和 SrcUsername 的范围（例如 Azure AD 租户）的 ID。 |
| SrcUserType | 字符串 | 源用户的类型。 |
| _SubscriptionId（订阅编号） | 字符串 | 与记录关联的订阅的唯一标识符 |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| 威胁类别 | 字符串 | 在 Web 会话中识别到的威胁或恶意软件的类别。 |
| ThreatConfidence | 整数 (int) | 已识别威胁的可信度，规范化为 0 到 100 之间的值。 |
| ThreatField | 字符串 | 已识别出威胁的字段。 该值为 SrcIpAddr、DstIpAddr、Domain 或 DnsResponseName。 |
| ThreatFirstReportedTime | 日期/时间 | IP 地址或域首次被识别为威胁的时间。 |
| 威胁编号 (ThreatId) | 字符串 | 在 Web 会话中识别到的威胁或恶意软件的 ID。 |
| ThreatIpAddr | 字符串 | 已识别出威胁的 IP 地址。 字段 ThreatField 包含 ThreatIpAddr 表示字段的名称。 |
| 威胁处于活跃状态 | 布尔 | True ID 已识别威胁被视为活动威胁。 |
| ThreatLastReportedTime | 日期/时间 | 上次将 IP 地址或域识别为威胁的时间。 |
| 威胁名称 | 字符串 | 在 Web 会话中识别到的威胁或恶意软件的名称。 |
| ThreatOriginalConfidence | 字符串 | 报告设备所报告的威胁的初始可信级别。 |
| ThreatOriginalRiskLevel | 字符串 | 报告设备报告的风险级别。 |
| 威胁风险级别 | 整数 (int) | 与会话关联的风险级别。 级别是介于 0 到 100 之间的数字。 |
| TimeGenerated | 日期/时间 | 时间戳 (UTC)，反映生成事件的时间。 |
| 类型 | 字符串 | 表的名称 |
| URL | 字符串 | 完整的 HTTP 请求 URL，包括参数。 |
| UrlCategory | 字符串 | URL 的特定分组或 URL 的域部分。 |
| UrlOriginal | 字符串 | URL 的原始值（如果报告设备修改了 URL，并且已提供这两个值）。 |