你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
此表是自定义集合应用场景的 Microsoft Defender for Endpoints 的一部分。 此表包含客户明确请求收集的内容的文件创建、修改及其他文件系统事件。
表属性
| 属性 | 价值 |
|---|---|
| 资源类型 | - |
| 类别 | 安全性 |
| 解决方案 | 日志管理 |
| 基本日志 | 是的 |
| 引入时间转换 | 否 |
| 示例查询 | - |
列
| 列 | 类型 | 描述 |
|---|---|---|
| 操作类型 | 字符串 | 触发事件的活动的类型。 |
| AdditionalFields | 动态 | 有关实体或活动的其他信息。 |
| AppGuardContainerId | 字符串 | 应用程序防护用于隔离浏览器活动的虚拟化容器的标识符。 |
| _BilledSize（账单大小） | 实数 | 记录大小（字节） |
| DeviceId | 字符串 | 设备在服务中的唯一标识符。 |
| 设备名称 | 字符串 | 设备的完全限定的域名 (FQDN)。 |
| 文件名 | 字符串 | 应用记录操作的文件名称。 |
| FileOriginIP | 字符串 | 从中下载文件的 IP 地址。 |
| 文件来源引荐人网址 | 字符串 | 链接到所下载文件的网页的 URL。 |
| 文件来源网址 | 字符串 | 从其中下载文件的 URL。 |
| 文件大小 | 长整型 | 文件的大小（字节）。 |
| FolderPath | 字符串 | 记录的操作所应用到的的文件所处的文件夹。 |
| InitProcessAccountDomain | 字符串 | 运行事件相关的进程的帐户的域。 |
| InitProcessAccountName | 字符串 | 运行负责事件的进程的账户的用户名。 |
| InitProcessAccountObjectId | 字符串 | 运行负责事件的进程的用户帐户的 Azure AD 对象 ID。 |
| InitProcessAccountSid | 字符串 | 运行负责事件的进程的帐户的安全标识符 (SID)。 |
| InitProcessAccountUpn | 字符串 | 运行生成事件的进程的账户的用户主体名称 (UPN)。 |
| InitProcessCommandLine | 字符串 | 用于运行启动事件的进程的命令行。 |
| InitProcessCreationTime | 日期/时间 | 启动事件的进程的启动日期和时间。 |
| InitProcessFileName | 字符串 | 启动事件的进程的名称。 |
| InitProcessFileSize | 长整型 | 启动事件的进程（映像文件）的大小（以字节为单位）。 |
| InitProcessFolderPath | 字符串 | 包含启动事件的进程（映像文件）的文件夹。 |
| InitProcessId | 长整型 | 启动该事件的进程的 ID (PID)。 |
| InitProcessIntegrityLevel | 字符串 | 启动事件的进程的完整性级别。 Windows 会根据某些特征（例如，从 Internet 下载启动）为进程分配完整性级别。 这些完整性级别会影响资源权限。 |
| InitProcessMD5 | 字符串 | 启动事件的进程（映像文件）的 MD5 哈希。 |
| InitProcessParentCreationTime | 日期/时间 | 事件相关的进程的父进程启动的日期和时间。 |
| InitProcessParentFileName | 字符串 | 生成负责事件的进程的父进程的名称。 |
| InitProcessParentId | 长整型 | 生成事件相关进程的父进程的进程 ID (PID)。 |
| InitProcessSHA1 | 字符串 | 启动事件的进程（映像文件）的 SHA-1 哈希。 |
| InitProcessSHA256 | 字符串 | 启动事件的进程（映像文件）的 SHA-256 哈希。 通常不会填充此字段 - 在可用时使用 SHA1 列。 |
| InitProcessTokenElevation | 字符串 | 指示是否存在应用于启动事件的进程的用户访问控制 (UAC) 特权提升的令牌类型。 |
| InitProcessVersionInfoCompanyName | 字符串 | 负责事件的进程（映像文件）的版本信息中的公司名称。 |
| InitProcessVersionInfoFileDescription | 字符串 | 事件相关进程（映像文件）版本信息中的说明。 |
| InitProcessVersionInfoInternalFileName | 字符串 | 负责事件的进程（映像文件）的版本信息中的内部文件名。 |
| InitProcessVersionInfoOriginalFileName | 字符串 | 负责该事件的进程（图像文件）的版本信息中的原文件名。 |
| InitProcessVersionInfoProductName | 字符串 | 负责事件的进程（映像文件）的版本信息中的产品名称。 |
| InitProcessVersionInfoProductVersion | 字符串 | 事件相关进程（映像文件）版本信息中的产品版本。 |
| Azure信息保护是否已应用 | 布尔 | 指示文件是否由 Azure 信息保护加密。 |
| _IsBillable | 字符串 | 指定引入数据是否可计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| MachineGroup | 字符串 | 计算机的计算机组。 基于角色的访问控制使用此组来确定计算机访问权限。 |
| MD5 | 字符串 | 应用记录操作的文件的 MD5 哈希。 |
| PreviousFileName | 字符串 | 因操作而重命名的文件的原始名称。 |
| PreviousFolderPath | 字符串 | 原始文件夹，其中包含应用所记录的操作之前的文件。 |
| ReportId | 长整型 | 基于重复计数器的事件标识符。 若要识别唯一事件，必须将此列与 ComputerName 列和 EventTime 列结合使用。 |
| RequestAccountDomain | 字符串 | 用于远程启动活动的帐户的域。 |
| RequestAccountName | 字符串 | 用于远程启动活动的帐户的用户名。 |
| RequestAccountSid | 字符串 | 用于远程启动活动的帐户的安全标识符 (SID)。 |
| RequestProtocol | 字符串 | 用于启动活动的网络协议（如果适用）：Unknown、Local、SMB 或 NFS。 |
| 请求来源IP (RequestSourceIP) | 字符串 | 启动活动的远程设备的 IPv4 或 IPv6 地址。 |
| RequestSourcePort | 整数 | 启动活动的远程设备上的源端口。 |
| SensitivityLabel | 字符串 | 应用于电子邮件、文件或其他内容的标签，用于对其进行分类，以便进行信息保护。 |
| SensitivitySubLabel | 字符串 | 应用于电子邮件、文件或其他内容的子标签，用于对其进行分类，以便进行信息保护；敏感度子标签在敏感度标签下分组，但单独处理。 |
| SHA1 | 字符串 | 应用记录操作的文件的 SHA-1 哈希。 |
| SHA256 | 字符串 | 应用记录操作的文件的 SHA-256。 |
| ShareName | 字符串 | 包含文件的共享文件夹的名称。 |
| SourceSystem | 字符串 | 收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（包括直接连接或 Operations Manager），适用于所有 Linux 代理的 Linux，或者适用于 Azure 诊断的 Azure。 |
| 租户ID | 字符串 | Log Analytics 工作区 ID |
| TimeGenerated | 日期/时间 | MDE 代理在终端上记录事件的日期和时间。 |
| 类型 | 字符串 | 表的名称 |