跳至主内容

XDR搜索字段

以下表格按类别展示XDR搜索字段：

网络

字段名称	描述
network.bytes_in	传入字节数。该数值始终大于零。
network.bytes_out	传出字节数。该数值始终大于零。
network.container_id	对于虚拟化环境，此字段表示唯一标识网络容器的ID。
network.container_name	对于虚拟化环境，此字段表示网络容器的名称。
network.destination_ip	目标IP地址
network.destination_port	目标端口
network.direction	网络流量的方向： `出站` `入站` `双向`
network.domain_name	域名
network.file_path	传输文件的路径
network.hostname	主机名
network.mac	发起请求的端点MAC地址
network.protocol	网络流量使用的协议
network.request_method	HTTP请求方法的类型。例如： `GET` , `POST` .
network.source_ip	源IP地址
network.source_port	源端口
network.status_code	HTTP响应代码。例如： `200` , `300` .
network.stream_type	流的响应方法。例如： `application/x-msdownload` .
network.uri	触发警报的访问URL。

用户

字段名	描述
user.domain	执行操作的用户（参与者）所属租户组织的身份信息。
user.email	用户的电子邮件
user.extended_properties	Azure Active Directory事件的扩展属性。
user.external_access	指定操作是由组织内部还是外部人员执行。
user.id	第三方平台或应用提供的用户ID
user.modified_properties	该字段包含已修改属性的详细信息，如属性名称、旧值、新值。根据处理的日志文件不同，字段可能包含不同细节。更多信息请查阅 `ModifiedProperties` 位于此微软网页 .
user.name	用户名称
user.operation	对用户账户执行的操作： `无` `启用账户` `禁用账户` `删除账户` `锁定账户` `解锁账户` `更改密码` `重置密码` `添加到安全组` `从安全组移除` `未知`
user.shared_with	资源被共享的目标用户。
user.sharing_permissions	分配给资源被共享用户的共享权限类型。
user.target	执行操作的目标用户。
user.team_guid	Microsoft Teams中的团队ID。
user.team_members	被添加或移除出团队的用户列表。每个用户包含所属组织名称及成员邮箱地址。以下数值表示分配给用户的角色类型： `1` - 表示所有者角色。 `2` - 表示成员角色。 `3` - 表示访客角色。
user.team_name	Microsoft Teams 中的团队名称。
user.type	执行操作的用户类型。以下值表示用户类型： `user` - 普通用户 `organization_administrator` - Microsoft 365 组织中的管理员 `datacenter_account` - Microsoft 数据中心管理员或数据中心系统账户 `system_acount` - 系统账户 `application` - 应用程序 `service` - 服务主体 `custom_policy` - 自定义策略 `system_policy` - 系统策略

Process

字段名称	描述
process.access_privileges	表示进程运行的权限级别： `elevated` `restricted`
process.command_line	启动该进程的命令行。
process.create_type	指示该进程是通过 `fork` 系统调用还是 `execve` 函数生成的。
process.injection_method	用于注入该进程的方法。
process.injection_target_path	生成目标进程的可执行文件路径。
process.injection_target_pid	被注入进程的标识符。
process.injection_writer_path	生成写入进程的可执行文件路径。
process.injection_writer_pid	注入其他进程的进程标识符
process.integrity_level	进程完整性可能具有以下值之一： `untrusted` `low` `medium` `high` `system`
process.is_driver	指示该进程是否为驱动程序。可能取值： `yes` `no`
process.module	触发警报的已加载模块名称。
process.module_pid	加载该模块的进程标识符。
process.new_service_name	服务的新名称（若曾被重命名）。
process.parent_access_privileges	指示父进程运行时的权限级别： `提升权限` `受限权限`
process.parent_cmdline	启动父进程的命令行。
process.parent_integrity_level	父进程完整性可能包含以下值之一： `不受信任` `低` `中` `高` `系统`
process.parent_path	父进程路径
process.parent_pid	父进程标识符
process.parent_user	启动父进程的用户。
process.path	进程路径
process.pid	进程标识符
process.service_name	服务名称
process.service_start_type	指示服务启动方式： `auto_start` - 服务随系统自动启动。 `manual_start` - 系统启动后手动启动该服务。 `disabled_service` - 服务已被禁用。 `none` - 服务未启动。
process.target_name	对于计划任务事件，此字段表示设定要运行的可执行文件名称。
process.target_path	对于计划任务事件，此字段表示设定要运行的可执行文件路径。
process.user	启动进程的用户。

文件

字段名称	描述
file.attribute_operation	文件属性变更操作类型： `security_change` `basic_attributes_change` `datetime_change`
file.destination_file	文件移动或复制后重命名的新文件名。若未重命名，则显示原始文件名。
file.destination_url	文件上传至的目标文件夹URL。
file.ext	正在复制或移动的文件的扩展名。
file.is_remote	指示对文件的更改是否通过远程连接发生： `是` `否`
file.item_type	被访问或修改的对象类型。可能的值包括： `文件` `文件夹` `网站` `站点` `租户` `库`
file.md5	所访问文件的MD5哈希值（若文件为可执行文件）。
file.name	文件名
file.operation	对文件的操作类型： `读取` `写入` `删除` `重命名` `关闭` `创建`
file.path	触发警报的文件路径。
file.sha256	所访问文件的SHA256哈希值（若文件为可执行文件）。 `文件` `文件夹` `网页` `站点` `租户` `库`
文件站点	用户访问的文件或文件夹所在站点的GUID。
文件大小	文件大小
文件URL	文件的直接下载链接

注册表

字段名称	描述
注册表数据	已被修改的注册表值。
注册表键	生成警报的注册表键所在文件夹。
注册表操作	数据访问类型： `读取` `写入` `创建` `删除`
注册表类型	注册表数据类型： `无` `字符串` - 以空字符结尾的字符串。根据使用的是Unicode还是ANSI函数，它可能是Unicode或ANSI字符串。 `扩展字符串` - 以空字符结尾的字符串，包含对环境变量的未扩展引用，例如 `%PATH%` 它可以是Unicode或ANSI字符串，具体取决于您使用的是Unicode还是ANSI函数。 `binary` - 任意形式的二进制数据。 `dword` - 一个32位数字。 `dword_little_endian` - 小端格式的32位数字。 `dword_big_endian` - 大端格式的32位数字。某些UNIX系统支持大端架构。 `link` - 以空字符结尾的Unicode字符串，包含通过调用 `RegCreateKeyEx` 函数并指定 `REG_OPTION_CREATE_LINK` . `multi_sz` - 以空字符串（\0）结尾的一系列以空字符结尾的字符串。 `resource_list` `full_resource_descriptor` `resource_requirements_list` `qword` - 一个64位数字。
registry.value	注册表值

资源

图转换捕获节点之间的交互。根据这些交互，警报中涉及的资源可能有所不同。以下是可搜索资源字段的列表。

字段名称	描述
resource.app_address	接收认证令牌的应用地址
resource.data	部分或全部与资源相关的数据，以字符串形式显示。
resource.id	资源ID
resource.md5	资源的MD5哈希值
resource.name	资源名称
resource.path	资源的文件路径
resource.policy_type	若资源为策略，此字段显示策略类型。
resource.sha256	资源的SHA256哈希值
resource.size	资源大小（以字节为单位）
resource.ssh_public_key	若资源为SSH密钥，此字段显示公钥。
resource.type	资源类型： `application` - 作为资源使用的应用程序名称 `email` - 作为资源使用的邮件主题字段 `file` - 作为资源使用的文件名 `flow` - 作为资源使用的自动化邮件流ID `generic` - 在可用的情况下，提供所用资源的一般信息。 `key_vault` - 用作资源的凭证集合（密钥保管库）的名称。 `launch_template` - 用作资源的实例配置信息（启动模板）的名称。 `policy` - 用作资源的策略名称。 `role` - 用作资源的用户角色名称。 `sharing_link` - 用作资源的共享链接中的文档名称。 `ssh_key` - 用作资源的SSH公钥。 `url` - 用作资源的URL地址。
resource.url	如果资源是文件，该字段显示文件的直接下载链接。如果资源是URL，该字段显示URL。

电子邮件

字段名称	描述
email.attachments_hashes	附件哈希值
email.attachments_names	附件名称
email.attachments_number	电子邮件附件的数量
email.attachments_size	每个电子邮件附件的大小（以字节为单位）
email.attachments_types	附件类型
email.attachments_uris	邮件中所有URL链接的列表
email.bcc_address	邮件密送字段中列出的电子邮件地址
email.bcc_name	邮件密送字段中列出的电子邮件地址的显示名称
email.cc_address	邮件抄送字段中列出的电子邮件地址
email.cc_name	邮件抄送字段中列出的电子邮件地址的显示名称
email.client	用于访问或发送邮件的软件类型，例如：Outlook。
email.date	邮件发送日期。
email.event_name	事件名称
email.id	唯一标识邮件的ID
email.login_status	标识Office365中可能发生的登录失败情况。
email.logon_type	邮箱访问类型。以下值表示访问邮箱的用户类型： `所有者` - 邮箱所有者 `管理员` - 管理员 `代理人` - 代理人 `微软传输服务` - 数据中心内的传输服务 `微软服务账户` - 数据中心内的服务账户 `委派管理员` - 委派管理员
email.mailbox_guid	唯一标识邮箱的ID
email.mailbox_owner	邮箱的所有者
email.origin_ip	发送邮件的IP地址
email.parameters	对于Exchange管理员活动，记录与Operation属性中标识的cmdlet一起使用的所有参数的名称和值 `cmdlet` 该属性标识在Operation属性中指定的cmdlet
email.path	被访问邮件所在的邮箱文件夹名称。此属性还标识创建邮件的文件夹，或将邮件复制或移动到的文件夹。
email.receiver_address	收件人的电子邮件地址
email.receiver_name	收件人的显示名称
email.sender_address	发件人的电子邮件地址
email.sender_name	发件人显示名称
email.subject	邮件主题
email.to_address	收件人邮箱地址
email.to_name	收件人字段中列出的邮箱地址对应的显示名称收件人字段

告警

字段名称	描述
alert.actions_taken	对文件采取的操作： `无效` `无操作` `拦截` `拦截并清除` `仅清除` `删除` `隔离`
alert.att&ck_subtechnique_id	部分MITRE技术存在子技术。此字段显示子技术ID。例如： `T1595.002` .
alert.att&ck_subtechnique	部分MITRE技术存在子技术。此字段显示子技术名称。
alert.att&ck_tactic	所有MITRE技术均按战术分类。此字段显示战术名称。
alert.att&ck_technique	Mitre技术名称，以官方网站文档为准。例如： `命令与脚本解释器` .
alert.att&ck_technique_id	Mitre技术ID，以官方网站文档为准。例如： `T1074` .
alert.description	触发警报的事件描述。
alert.incident_number	事件编号
alert.mark	描述警报类型。可能取值包括： `info` - 该警报为信息类，仅用于通知目的。 `suspicious` - 该警报描述可疑行为，此值常见于 EDR 检测场景。 `malware` - 该警报描述恶意行为
alert.name	警报名称
alert.scan_type	扫描类型： `on_access` `on_demand` `http_traffic`
alert.severity_score	警报分数。取值范围从 `1` （代表最低严重性）到 `100` （代表最高严重性）。
alert.type	生成警报的技术类型： `atd` - 基于ATD行为检测触发的警报。 `am` - 基于反恶意软件模块检测触发的警报。 `hd` - 基于反恶意软件Hyperdetect检测触发的警报。 `hd_report` - 当HD仅设置为报告模式时，基于反恶意软件Hyperdetect检测触发的警报。 `cmdline` - 基于命令行扫描模块检测触发的警报。 `ctc` - 基于EDR引擎检测触发的警报。 `ghoster` - 基于网络攻击防御模块检测触发的警报。 `sandbox` - 基于观察到的沙箱行为触发的警报。 `memory_scan` - 基于进程内存扫描触发的警报。 `urlstatus` - 基于URL拦截活动触发的警报。 `gemma` - 基于ATD代码缓冲区检测触发的警报。 `anomaly_detection` - 警报由异常检测引擎触发，因检测到与学习行为相关的异常行为。 `amsi` - 警报基于Windows反恶意软件扫描接口缓冲区触发。 `dynamic_ml` - 警报基于机器学习模型的输入触发。 `self_protect` - 警报基于 Bitdefender 产品自我保护组件触发。 `user_detection` - 警报基于BD用户编写的规则触发。 `crypt_protect` - 警报基于勒索软件防护模块触发。 `etw` - 警报基于Windows ETW日志事件触发。 `user_detection_yara` - 警报基于BD用户用Yara语言编写的规则触发。 `anti_tampering` `firewall` `generic_heuristic_engine` `PHASR`

其他

字段名称	描述
other.agent	关于用户浏览器的信息，即用户代理字符串。此信息由浏览器提供。
other.api	生成警报的挂钩Windows API名称。
other.arch	架构类型： `x86` `x64`
other.compliance_center_event	表示该活动是Microsoft 365合规中心事件： `是` `否`
other.detection_class	检测类型： `edr_detection` - 基于EDR引擎检测触发的警报。 `ransomware` - 基于勒索软件防护模块活动触发的警报。 `antimalware_scan_interface` - 基于Windows反恶意软件扫描接口缓冲区触发的警报。 `amsi_detection` - 基于Windows反恶意软件扫描接口缓冲区触发的警报。 `anomaly_detection` - 基于异常检测引擎触发的警报，因检测到与学习行为相关的异常行为。 `antimalware_detection` - 基于反恶意软件模块检测触发的警报。 `atd_detection` - 基于ATD行为检测触发的警报。 `gemma_detection` - 基于ATD代码缓冲区检测触发的警报。 `hd_detection` - 基于反恶意软件超检测触发的警报。 `hd_report_detection` - 基于反恶意软件超检测触发的警报（HD仅设置为报告模式时）。 `machine_learning_detection` - 基于机器学习模型输入触发的警报。 `内存扫描检测` - 基于进程内存扫描触发的警报。 `网络扫描检测` - 基于网络攻击防御模块检测触发的警报。 `用户自定义检测` - 基于BD用户编写的规则触发的警报。 `命令行扫描检测` - 基于命令行扫描模块检测触发的警报。 `沙箱检测` - 基于观察到的沙箱行为触发的警报。 `URL状态检测` - 基于URL拦截活动触发的警报。 `加密保护检测` - 基于勒索软件防护模块触发的警报。 `ETW检测` - 基于Windows ETW日志事件触发的警报。 `用户Yara检测` - 基于BD用户用Yara语言编写的规则触发的警报。 `防篡改` `反钓鱼检测` `防火墙检测` `通用启发式引擎检测` `PHASR` `自我保护检测` `用户检测`
其他.事件ID	事件的唯一ID
其他.事件类型	事件类型： `原始` - 原始事件 `告警` - EDR 告警 `xalert` - XDR 告警
other.exclusion_id	用户在GravityZone中创建的排除项ID GravityZone .
other.hostname	生成流量或事件的终端名称。
other.organization_id	表示GravityZone中的公司ID GravityZone .
other.os	操作系统类型。可选值包括： `windows` `linux` `macos`
other.record_type	记录所指示的操作类型。该属性标识触发操作的服务或功能。
other.result_status	指示操作是否成功： `true` `false` `失败` `无效` `无` `运行中` `已停止` `成功` `未知`
其他.脚本	生成事件的脚本。
其他.传感器名称	生成警报的传感器： `ATC` `EDR` `文件扫描` `流量扫描` `终端` `O365邮件` `PHASR` `XDR`
其他.用户	事件发生时的登录用户

本节内容 :

这对您有帮助吗？

您想提供反馈吗？点击此处即可建议修改。