Урьдчилан тодорхойлсон хайлтын талбар ба утгууд

Доор урьдчилан тодорхойлсон утгатай хайлтын талбаруудыг ангиллаар нь жагсаав.

File

• file.operation — Файл дээр хийгдсэн үйлдлийн төрөл; утга: read, write, delete, rename, close, create
• file.attribute_operation — Файлын атрибут өөрчлөхөд хийгдсэн үйлдлийн төрөл; утга: security_change, basic_attributes_change, datetime_change
• file.item_type — Хандсан эсвэл өөрчилсөн объектын төрөл; утга: file, folder, web, site, tenant, library

Alert

• alert.type — Сэрэмжлүүлгийг үүсгэсэн технологийн төрөл; утга: atd, am, hd, atd_beta, hd_report, cmdline, ctc, ghoster, hd_no_report, sandbox, memory_scan, urlstatus, gemma, anomaly_detection, amsi, dynamic_ml, self_protect, user_detection, crypt_protect, etw, user_detection_yara
• alert.mark — Үүссэн сэрэмжлүүлгийн төрлийг тодорхойлно; утга:

- info — сэрэмжлүүлэг мэдээллийн шинжтэй бөгөөд зөвхөн мэдэгдэх зорилготой.
- suspicious — сэрэмжлүүлэг сэжигтэй үйлдлийг тодорхойлно. Энэ утга EDR илрүүлэлтэд түгээмэл.
- malware — сэрэмжлүүлэг хортой үйлдлийг тодорхойлно.

• alert.scan_type — Сэрэмжлүүлгийг өдөөсөн шалгалтын төрлийг тодорхойлно; утга: on_access, on_demand, http_traffic
• alert.actions_taken — Файл дээр авсан үйлдлүүд; утга: invalid, no_action, block, block_and_disinfect, disinfect_only, delete, quarantine

Network

• network.direction — Сүлжээний урсгалын чиглэл; утга: outbound, inbound, both

Process

• process.integrity_level — Процессын бүрэн бүтэн байдлын түвшин; утга: untrusted, low, medium, high, system
• process.parent_integrity_level — Эцэг процессын бүрэн бүтэн байдлын түвшин; утга: untrusted, low, medium, high, system
• process.access_privileges — Процесс ямар эрхээр ажилласныг заана; утга: elevated, restricted
• process.parent_access_privileges — Эцэг процесс ямар эрхээр ажилласныг заана; утга: elevated, restricted

Registry

• registry.operation — Өгөгдөлд хандсан төрөл; утга: read, write, create, delete
• registry.type — Registry өгөгдлийн төрөл; утга: none, sz, expand_sz, binary, dword, dword_little_endian, dword_big_endian, link, multi_sz, resource_list, full_resource_descriptor, resource_requirements_list, qword

User

• user.type — Үйлдлийг гүйцэтгэсэн хэрэглэгчийн төрөл; утга:

- user — энгийн хэрэглэгч
- organization_administrator — таны Microsoft 365 байгууллагын администратор
- datacenter_account — Microsoft-ын дата төвийн администратор эсвэл дата төвийн системийн данс
- system_acount — системийн данс
- application — программ
- service — service principal
- custom_policy — хэрэглэгчийн тодорхойлсон бодлого
- system_policy — системийн бодлого

Email

• email.logon_type — Дараах утгууд нь шуудангийн хайрцагт хандсан хэрэглэгчийн төрлийг заана; утга:

- owner — шуудангийн хайрцгийн эзэн
- administrator — администратор
- delegate — төлөөлөгч
- microsoft_transport_service — дата төв дэх transport үйлчилгээ
- microsoft_service_account — дата төв дэх үйлчилгээний данс
- delegated_administrator — төлөөлсөн администратор

Other

• other.event_name — Үйл явдлын нэр; утга: –
• other.os — Үйлдлийн системийн төрөл; утга: windows, linux, macos
• other.event_type — Үйл явдлын төрөл; утга: raw, alert, xalert
• other.detection_class — Илрүүлэлтийн төрөл; утга: edr_detection, ransomware, antimalware_scan_interface, amsi_detection, anomaly_detection, antimalware_detection, atd_beta_detection, atd_detection, gemma_detection, hd_detection, hd_no_report_detection, hd_report_detection, machine_learning_detection, memory_scan_detection, network_scan_detection, user_defined_detection, command_line_scanning_detection, sandbox_detection, urlstatus_detection, cryptprotect_detection, etw_detection, user_detection_yara
• other.sensor_name — Сэрэмжлүүлгийг үүсгэсэн мэдрэгч; утга: atc, edr, filescan, trafficscan, office365
• other.arch — Үйлдлийн системийн архитектурын төрөл; утга: x86, x64
• other.compliance_center_event — Үйлдэл Microsoft 365 compliance center-ийн үйл явдал байсныг заана; утга: true, false
• other.result_status — Үйлдэл амжилттай болсон эсэхийг заана; утга: true, false