Windows Event Log

IoAId

string array

Уникальный идентификатор индикатора атаки

IoAName

string array

Название индикатора атаки

IoAVersion

integer array

Версия индикатора атаки

IoAAlert

string array

Возводится ли алерт при срабатывании данного индикатора атаки. 

IoAConfidence

string array

Уровень надежности индикатора атаки в зависимости от вероятности ложных срабатываний. High - высокий, Medium - средний, Low - низкий

IoASeverity

string array

Степень важности индикатора атаки с точки зрения возможного влияния события на безопасность компьютеров или локальной сети организации. High - высокий, Medium - средний, Low - низкий

IoATactics

string array

Тактики матрицы MITRE ATT&CK, к которым относится срабатывание данного индикатора атаки

IoATechniques

string array

Техники и подтехники матрицы MITRE ATT&CK, к которым относится срабатывание данного индикатора атаки

IoAEventIds

string array

Перечень идентификаторов событий, связанных с данным индикатором атаки

IoAEventCount

integer array

Количество событий, связанных с данным индикатором атаки

IoASB

string array

Путь к файлу, который отправится на автообработку в песочницу на основании логики индикатора атаки

EventType

string

Тип события

EventId

string

Уникальный идентификатор события

EventTimestamp

int

Дата и время на хосте (клиенте), где произошло событие (дата указана в UTC)

EventReceivedtimestamp

int

Дата и время получения события на сервере

EventSequenceid

int

Номер последовательности отправленного события

HostId

string

Уникальный идентификатор хоста

HostKscId

string

Идентификатор защищаемого хоста для администрирования через KSC

HostMdrId

string

Идентификатор защищаемого хоста в MDR-решении

HostOsmpId

string

Список идентификаторов серверов OSMP Based XDR решений, к которым подключен защищаемый хост

HostOsFamily

string

Тип операционной системы хоста (Windows)

HostOsName

string

Название операционной системы хоста

HostOsVersion

string

Версия операционной системы хоста

HostName

string

Имя хоста, на котором было обнаружено событие

HostIp

string

IP адрес хоста, на котором было обнаружено событие 

AgentVersion

string

Название продукта, установленного на хосте

AgentKdbTimestamp

int

Временная метка обновления компонентов KDB

AgentSw2Timestamp

int

Временная метка обновления баз компонента SW2

AgentIndexTimestamp

int

Временная метка последнего обновления баз всех компонентов

SystemLogEventXml

string

XML события журнала Windows

SystemLogEventId [inclusive filtering field, the name is constant]

int

Идентификатор события журнала Windows

SystemLogChannelName [inclusive filtering field, the name is constant]

string

SystemLogProviderName [inclusive filtering field, the name is constant]

string

OmitQualifiers [inclusive filtering field, the name is constant]

Техническое поле по инклюзвиной фильтрации, задавать ли SystemLogEventId с учетом Qualifiers или нет

WinBinary

string

Атрибуты обрабатываемого объекта

WinData

string

Основные данные события Windows Event Log

WinAccessGranted

string

Параметры безопасности из событий в windows event log

WinAccessList

string

Права доступа, которыми обладает обрабатываемый объект

WinAccessMask

string

Права доступа, которыми обладает обрабатываемый объект

WinAccessReason

string

Причина, по которой файл помещен в категорию

WinAccessRemoved

string

Права доступа, которые были удалены с объекта

WinAccountDomain

string

Имя домена, используемого для аутентификации владельца сеанса входа

WinAccountExpires

string

Параметры объектов active directory

WinAccountName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinAccountSessionIdentifier

string

Идентификатор сессии аутентификации в событии Network Policy Server

WinAction

string

Действие системы или безопасности в событии

WinActionID

string

Идентификатор действия, выполненного при событии

WinActionName

string

Название действия, выполненного при событии

WinActiveProfile

string

Активный профиль конфигурации или сети

WinAddedCAPs

string

Список добавленных централизованных политик доступа

WinAdditionalActionsID

string

Идентификаторы дополнительных действий, связанных с событием

WinAdditionalActionsString

string

Описание или строки дополнительных действий, связанных с событием

WinAdditionalDetails

string

Текст запроса

WinAdditionalInfo

string

Дополнительная информация о событии или объекте

WinAdditionalInfo2

string

Дополнительная информация о событии или объекте (второе поле)

WinAdvancedOptions

string

Расширенные параметры настройки

WinAlgorithmName

string

Название используемого криптографического алгоритма

WinAllowedToDelegateTo

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinAppCorrelationID

string

Код типа объекта

WinApplication

string

Имя обрабатываемого объекта

WinAppName

string

Название по

WinAppVersion

string

Версия компонента по

WinAsIsCAPs

string

Список неизмененных центральных политик доступа

WinAttributeLDAPDisplayName

string

Атрибуты обрабатываемого исполняемого файла

WinAttributes

string

Атрибуты объекта или события

WinAttributeSyntaxOID

string

Атрибуты обрабатываемого объекта

WinAttributeValue

string

Атрибуты обрабатываемого исполняемого файла

WinAuditPolicyChanges

string

Параметры безопасности из событий в windows event log

WinAuditSourceName

string

Имя обрабатываемого объекта

WinAuditStatusCode

string

Код статуса аудита события

WinAuthenticationLevel

string

Уровень аутентификации для запроса или соединения

WinAuthenticationPackageName

string

Имя обрабатываемого объекта

WinAuthenticationProvider

string

Поставщик аутентификации для события

WinAuthenticationServer

string

Сервер, выполнявший аутентификацию

WinAuthenticationService

string

Служба аутентификации, использованная в событии

WinAuthenticationType

string

Тип аутентификации для события

WinBackupType

string

Тип резервного копирования

WinBcdCCID

string

Параметры и свойства устройств класса смарт-карта

WinBMaxSlotIndex

string

Параметры и свойства устройств класса смарт-карта

WinBNumClockSupported

string

Параметры и свойства устройств класса смарт-карта

WinBNumDataRateSupported

string

Параметры и свойства устройств класса смарт-карта

WinBootMode

string

Параметры пользовательских сессий из событий в windows event log

WinBuildVersion

string

Версия отправляемой статистики

WinBVoltageSupport

string

Параметры и свойства устройств класса смарт-карта

WinCalledStationID

string

Идентификатор вызываемой станции в аутентификации

WinCallerProcessId

string

Идентификатор родительского процесса в системе (pid)

WinCallerProcessName

string

Имя обрабатываемого объекта

WinCallingStationID

string

Идентификатор вызывающей станции в аутентификации

WinCalloutKey

string

Ключ вызываемой функции или правила

WinCalloutName

string

Название вызываемой функции или правила

WinCategoryId

string

Параметры операций из событий в windows event log

WinCategoryName

string

Категория события или угрозы

WinCertificateTemplate

string

Шаблон сертификата, используемый в событии

WinCertIssuerName

string

Наименование эмитента сертификата

WinCertSerialNumber

string

Серийный номер сертификата

WinCertThumbprint

string

Отпечаток цифрового сертификата проверяемого объекта и алгоритм хеширования

WinChangeType

string

Тип внесенного изменения

WinClassId

string

Код типа объекта

WinClassName

string

Имя обрабатываемого объекта

WinClientAddress

string

Локальный ip адрес

WinClientIPAddress

string

IP-адрес клиента, инициировавшего событие

WinClientName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinClientProcessId

string

Идентификатор процесса клиента

WinClientProcessStartKey

string

Уникальный ключ процесса, создавшего задачу

WinCommandLine

string

Командная строка запущенного процесса

WinCompatibleIds

string

Дополнительные параметры событий в windows event log

WinComputerAccountChange

string

Параметры операций из событий в windows event log

WinComputerName

string

Имя компьютера, где произошло событие

WinConditions

string

Условия, связанные с событием или фильтром

WinConfigAccessPolicy

string

Политика доступа к конфигурации

WinConfiguredNames

string

Настроенные имена ресурсов или объектов

WinContextInfo

string

Параметры задач, зарегистрированных в событиях в windows event log

WinCountOfCredentialsReturned

string

Количество возвращенных учетных данных

WinCrashOnAuditFailValue

string

Значение настройки аварийного завершения при сбое аудита

WinCredType

string

Тип учетных данных

WinCurrentEngineVersion

string

Текущая версия движка защиты

WinCurrentSignatureVersion

string

Текущая версия сигнатур

WinCVEID

string

Дополнительные параметры событий в windows event log

WinDCDNSName

string

DNS-имя контроллера домена

WinDCOMorRPC

string

Используемый протокол DCOM или RPC

WinDeletedCAPs

string

Список удаленных централизованных политик доступа

WinDestAddress

string

Адрес назначения для сетевого события

WinDestinationDRA

string

Параметры сетевых соединений из событий в windows event log

WinDestPort

string

Порт назначения для сетевого события

WinDetectionID

string

Идентификатор обнаруженной угрозы

WinDetectionSource

string

Источник обнаружения угрозы

WinDetectionSourceIndex

string

Индекс источника обнаружения угрозы

WinDetectionTime

string

Время обнаружения угрозы

WinDetectionType

string

Тип обнаружения угрозы

WinDetectionTypeIndex

string

Индекс типа обнаружения угрозы

WinDetectionUser

string

Пользователь, при котором произошло обнаружение угрозы

WinDeviceClaims

string

Устройства, задействованные в аутентификации

WinDeviceDescription

string

Описание обрабатываемого объекта, указанное в его свойствах

WinDeviceId

string

Идентификатор устройства

WinDirection

string

Направление сетевого трафика

WinDisabledPrivilegeList

string

Список отключенных привилегий

WinDisableIntegrityChecks

string

Флаг отключения проверки целостности

WinDisplayName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinDisposition

string

Результат обработки события или объекта

WinDnsHostName

string

Название устройства пользователя

WinDnsName

string

Название устройства пользователя

WinDomain

string

Домен, связанный с событием или объектом

WinDomainBehaviorVersion

string

Параметры объектов active directory

WinDomainName

string

Имя домена, используемого для аутентификации владельца сеанса входа

WinDomainPolicyChanged

string

Параметры объектов active directory

WinDomainSid

string

Идентификатор безопасности учетной записи (sid)

WinDSName

string

Имя обрабатываемого объекта

WinDSType

string

Тип объекта, обнаруженного по

WinDummy

string

Дополнительные параметры событий в windows event log

WinDuration

string

Продолжительность события

WinDwDataRate

string

Параметры и свойства устройств класса смарт-карта

WinDwDefaultClock

string

Параметры и свойства устройств класса смарт-карта

WinDwFeatures

string

Параметры и свойства устройств класса смарт-карта

WinDwMaxDataRate

string

Параметры и свойства устройств класса смарт-карта

WinDwMaxIFSD

string

Параметры и свойства устройств класса смарт-карта

WinDwMaximumClock

string

Параметры и свойства устройств класса смарт-карта

WinDwMechanical

string

Параметры и свойства устройств класса смарт-карта

WinDwProtocols

string

Параметры и свойства устройств класса смарт-карта

WinDwSyncProtocols

string

Параметры и свойства устройств класса смарт-карта

WinEAPErrorCode

string

Код ошибки EAP

WinEAPReasonCode

string

Код причины ошибки EAP

WinEapRootCauseString

string

Описание основной причины ошибки EAP

WinEAPType

string

Тип EAP-аутентификации

WinEffectiveState

string

Текущее состояние объекта или системы

WinElevatedToken

string

Параметры безопасности из событий в windows event log

WinEnabledPrivilegeList

string

Список включенных привилегий

WinEndUSN

string

Конечный идентификатор изменения в журнале USN

WinEngineVersion

string

Версия движка на момент события

WinEntryType

string

Тип объекта, обнаруженного по

WinErrorCode

string

Параметры операций из событий в windows event log

WinErrorDescription

string

Описание ошибки, возникшей при событии

WinEventCount

string

Количество повторений события

WinEventCountTotal

string

Общее количество связанных событий

WinEventId

string

Идентификатор события

WinEventIdx

string

Индекс события в последовательности

WinEventSourceId

string

Код типа объекта

WinExecutionID

string

Идентификатор процесса, сгенерировавшего событие

WinExecutionName

string

Название процесса, сгенерировавшего событие

WinExecutionStatus

string

Статус выполнения действия

WinExecutionStatusIndex

string

Индекс статуса выполнения действия

WinExeFileName

string

Имя обрабатываемого объекта

WinFailureId

string

Идентификатор ошибки

WinFailurePoint

string

Точка, где произошел сбой

WinFailureReason

string

Причина, по которой файл помещен в категорию

WinFileName

string

Имя обрабатываемого объекта

WinFilterId

string

Идентификатор фильтра

WinFilterKey

string

Ключ фильтра

WinFilterName

string

Название фильтра

WinFilterRTID

string

Параметры сетевых соединений из событий в windows event log

WinFilterType

string

Тип фильтра

WinFlags

string

Параметры операций из событий в windows event log

WinFlightSigning

string

Флаг подписи для тестовых сборок

WinForceLogoff

string

Параметры объектов active directory

WinForestRoot

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinForestRootSid

string

Идентификатор безопасности учетной записи (sid)

WinFQDN

string

Полное доменное имя хоста (FQDN), с которого инициировано событие

WinFullyQualifiedSubjectMachineName

string

Полное имя компьютера субъекта

WinFullyQualifiedSubjectUserName

string

Полное имя пользователя субъекта

WinFWLink

string

Ссылка на страницу с описанием угрозы

WinGPOList

string

Права доступа, которыми обладает обрабатываемый объект

WinGroupDomainName

string

Домен группы

WinGroupMembership

string

Членство в группах

WinGroupName

string

Имя группы

WinGroupPolicyApplied

string

Примененная групповая политика

WinGroupSid

string

SID группы

WinGroupTypeChange

string

Информация о принадлежности пользователя к группе пользователей

WinHandleId

string

Код типа объекта

WinHangType

string

Тип объекта, обнаруженного по

WinHardwareIds

string

Идентификаторы аппаратного обеспечения

WinHomeDirectory

string

Путь к обрабатываемому объекту

WinHomePath

string

Путь к обрабатываемому объекту

WinHypervisorDebug

string

Флаг отладки гипервизора

WinHypervisorLaunchType

string

Тип запуска гипервизора

WinHypervisorLoadOptions

string

Опции загрузки гипервизора

WinIdentity

string

Идентификатор пользователя или устройства

WinImagePath

string

Путь к обрабатываемому объекту

WinImpersonationLevel

string

Параметры безопасности из событий в windows event log

WinInitiatorCookie

string

Файл cookie инициатора операции

WinInterfaceName

string

Имя сетевого интерфейса

WinIntfGuid

string

GUID сетевого интерфейса

WinIpAddress

string

Локальный ip адрес

WinIpAddresses

string

IP-адреса, связанные с объектом

WinIpPort

string

Номера портов источника и получателя обрабатываемого сетевого соединения

WinKerberosPolicyChange

string

Параметры безопасности из событий в windows event log

WinKernelDebug

string

Флаг отладки ядра

WinKeyFilePath

string

Путь к ключевому файлу

WinKeyLength

string

Параметры объектов active directory

WinKeyModName

string

Имя модуля управления ключами

WinKeyName

string

Имя криптографического ключа

WinKeyType

string

Тип криптографического ключа

WinLayerId

string

Идентификатор слоя фильтрации

WinLayerKey

string

Ключ слоя фильтрации

WinLayerName

string

Параметры сетевых соединений из событий в windows event log

WinLayerRTID

string

Параметры сетевых соединений из событий в windows event log

WinLinkName

string

Имя обрабатываемого объекта

WinLmPackageName

string

Имя обрабатываемого объекта

WinLoadOptions

string

Параметры загрузки

WinLocalAddress

string

Локальный адрес в сетевом событии

WinLocalKeyModPort

string

Порт локального модуля ключа

WinLocalMac

string

Локальный MAC-адрес

WinLocalMMPrincipalName

string

Локальный субъект безопасности, который использовался в процессе аутентификации основного режима (IPsec Main Mode)

WinLocationInformation

string

Параметры пользовательских сессий из событий в windows event log

WinLockoutDuration

string

Параметры объектов active directory

WinLockoutObservationWindow

string

Параметры объектов active directory

WinLockoutThreshold

string

Параметры объектов active directory

WinLogDroppedPacketsEnabled

string

Флаг, указывающий включено ли логирование отброшенных сетевых пакетов

WinLoggingResult

string

Результат выполнения логирования

WinLogonGuid

string

Информация о принадлежности пользователя к группе пользователей

WinLogonHours

string

Параметры объектов active directory

WinLogonID

string

Идентификатор безопасности учетной записи (sid)

WinLogonProcessName

string

Имя объекта из события windows event log

WinLogonType

string

Тип сеанса входа в систему

WinLogSuccessfulConnectionsEnabled

string

Флаг, показывающий включено ли логирование успешных сетевых подключений

WinMachineAccountQuota

string

Параметры объектов active directory

WinMachineInventory

string

Инвентаризация машины

WinMajorVersion

string

Версия отправляемой статистики

WinMandatoryLabel

string

Обязательная метка безопасности процесса

WinMasterKeyId

string

Идентификатор основного ключа для шифрования данных

WinMaxPasswordAge

string

Параметры объектов active directory

WinMemberName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinMemberSid

string

Идентификатор безопасности учетной записи (sid)

WinMessageNumber

string

Дополнительные параметры событий в windows event log

WinMessageTotal

string

Дополнительные параметры событий в windows event log

WinMinorVersion

string

Версия отправляемой статистики

WinMinPasswordAge

string

Параметры объектов active directory

WinMinPasswordLength

string

Параметры объектов active directory

WinMixedDomainMode

string

Параметры объектов active directory

WinMMAuthMethod

string

Метод аутентификации, используемый во время согласования основного режима (IPsec Main Mode)

WinMMFilterID

string

Идентификатор, который Windows назначает определенному фильтру основного режима (IPsec Main Mode)

WinMMImpersonationState

string

Поле показывает, использовалось ли имперсонация в процессе аутентификации основного режима (IPsec Main Mode)

WinModifiedCAPs

string

Список модифицированных централизованных политик доступа

WinModifiedObjectProperties

string

Описание обрабатываемого объекта, указанное в его свойствах

WinMulticastFlowsEnabled

string

Флаг включения многоадресных потоков

WinNamingContext

string

Параметры сетевых соединений из событий в windows event log

WinNASIdentifier

string

Идентификатор сетевого доступа (NAS)

WinNASIPv4Address

string

IPv4-адрес сетевого доступа (NAS)

WinNASIPv6Address

string

IPv6-адрес сетевого доступа (NAS)

WinNASPort

string

Порт сетевого доступа, через который проходит соединение

WinNASPortType

string

Тип порта сетевого доступа

WinNetbiosName

string

Имя обрабатываемого объекта

WinNetworkPolicyName

string

Название примененной сетевой политики

WinNewMaxUsers

string

Свойства ресурсов распределённой файловой системы (dfs)

WinNewObjectDN

string

Уникальное имя объекта

WinNewProcessId

string

Идентификатор созданного процесса

WinNewProcessName

string

Имя созданного процесса

WinNewRemark

string

Свойства ресурсов распределённой файловой системы (dfs)

WinNewSd

string

Параметры безопасности из событий в windows event log

WinNewShareFlags

string

Свойства ресурсов распределённой файловой системы (dfs)

WinNewState

string

Новое состояние объекта или системы

WinNewTargetUserName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinNewTime

string

Время события

WinNewUacValue

string

Параметры компонента контроль учетных записей пользователей (uac)

WinNewValue

string

Атрибуты обрабатываемого объекта

WinNewValueType

string

Тип объекта, обнаруженного по

WinNotificationPackageName

string

Имя обрабатываемого объекта

WinObjectClass

string

Битовая маска категорий программ в компоненте обновления программ

WinObjectCollectionName

string

Имя обрабатываемого объекта

WinObjectDN

string

Уникальное имя объекта

WinObjectGUID

string

Информация о принадлежности пользователя к группе пользователей

WinObjectIdentifyingProperties

string

Дополнительные параметры событий в windows event log

WinObjectName

string

Имя объекта из события windows event log

WinObjectProperties

string

Параметры задач, зарегистрированных в событиях в windows event log

WinObjectServer

string

Параметры задач, зарегистрированных в событиях в windows event log

WinObjectType

string

Тип объекта, обнаруженного по

WinObjectValueName

string

Имя обрабатываемого объекта

WinOemInformation

string

Описание обрабатываемого объекта, указанное в его свойствах

WinOldMaxUsers

string

Свойства ресурсов распределённой файловой системы (dfs)

WinOldObjectDN

string

Уникальное имя объекта

WinOldRemark

string

Свойства ресурсов распределённой файловой системы (dfs)

WinOldSd

string

Параметры безопасности из событий в windows event log

WinOldShareFlags

string

Свойства ресурсов распределённой файловой системы (dfs)

WinOldTargetUserName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinOldUacValue

string

Параметры компонента контроль учетных записей пользователей (uac)

WinOldValue

string

Атрибуты обрабатываемого объекта

WinOldValueType

string

Тип объекта, обнаруженного по

WinOpCorrelationID

string

Код типа объекта

WinOperation

string

Тип выполняемой операции

WinOperationId

string

Параметры операций из событий в windows event log

WinOperationMode

string

Режим выполнения операции

WinOperationType

string

Тип объекта, обнаруженного по

WinOptions

string

Параметры операций из событий в windows event log

WinOriginID

string

Идентификатор источника происхождения объекта

WinOriginName

string

Название источника происхождения объекта

WinPackage

string

Имя или идентификатор пакета, связанного с событием

WinPackageFullName

string

Имя обрабатываемого объекта

WinPackageName

string

Имя обрабатываемого объекта

WinPackageRelativeAppId

string

Код типа объекта

WinPackageSid

string

SID пакета, связанного с событием

WinParam1

string

Текст запроса

WinParam2

string

Текст запроса

WinParam3

string

Текст запроса

WinParam4

string

Текст запроса

WinParam5

string

Текст запроса

WinParentProcessId

string

Идентификатор процесса-родителя, который запустил текущий процесс при создании задачи

WinParentProcessName

string

Имя родительского процесса

WinPasswordHistoryLength

string

Параметры объектов active directory

WinPasswordLastSet

string

Параметры объектов active directory

WinPasswordProperties

string

Описание обрабатываемого объекта, указанное в его свойствах

WinPath

string

Путь к обрабатываемому объекту

WinPathFound

string

Путь к обнаруженному файлу или объекту

WinPayload

string

Атрибуты обрабатываемого объекта

WinPeerMac

string

MAC-адрес удаленного устройства

WinPostCleanStatus

string

Статус после очистки угрозы

WinPreAuthType

string

Тип объекта, обнаруженного по

WinPreExecutionStatus

string

Статус до выполнения действия

WinPreviousEngineVersion

string

Предыдущая версия движка защиты

WinPreviousSignatureVersion

string

Предыдущая версия сигнатур

WinPreviousTime

string

Время события

WinPrimaryGroupId

string

Информация о принадлежности пользователя к группе пользователей

WinPrivilegeList

string

Права доступа, которыми обладает обрабатываемый объект

WinProcessCreationTime

string

Время создания процесса

WinProcessId

string

Идентификатор процесса в системе (pid)

WinProcessName

string

Имя обрабатываемого объекта

WinProductName

string

Название продукта безопасности, сгенерировавшего событие

WinProductVersion

string

Версия продукта безопасности

WinProfile

string

Имя или идентификатор профиля пользователя или системы

WinProfileChanged

string

Параметры операций из событий в windows event log

WinProfilePath

string

Путь к обрабатываемому объекту

WinProfiles

string

Список примененных профилей

WinProfileUsed

string

Используемый профиль в событии

WinProperties

string

Описание обрабатываемого объекта, указанное в его свойствах

WinPropertyName

string

Название свойства объекта

WinProtocol

string

Параметры сетевых соединений из событий в windows event log

WinProviderKey

string

Ключ поставщика для фильтра или операции

WinProviderName

string

Имя поставщика для операции или события

WinProxyPolicyName

string

Название политики прокси

WinPuaCount

string

Дополнительные параметры событий в windows event log

WinPuaPolicyId

string

Код типа объекта

WinQfeVersion

string

Версия отправляемой статистики

WinQuarantineSessionIdentifier

string

Идентификатор сессии карантина

WinQuarantineState

string

Состояние объекта в карантине

WinReadOperation

string

Флаг выполнения операции чтения

WinReason

string

Причина события или действия

WinReasonCode

string

Код причины события

WinReasonForRejection

string

Причина отклонения операции

WinReasonText

string

Текстовое описание причины события

WinRecoveryKeyId

string

Идентификатор ключа восстановления

WinRecoveryReason

string

Причина использования ключа восстановления

WinRecoveryServer

string

Сервер восстановления данных

WinRelativeTargetName

string

Имя обрабатываемого объекта

WinRemediationUser

string

Пользователь, инициировавший очистку

WinRemoteAddress

string

Удаленный адрес подключения или операции

WinRemoteAdminEnabled

string

Флаг разрешения удаленного администрирования

WinRemoteEventLogging

string

Флаг удаленного ведения журнала событий

WinRemoteKeyModPort

string

Удаленный порт модуля ключа

WinRemoteMachineID

string

Идентификатор удаленной машины

WinRemoteMMPrincipalName

string

Удаленный субъект безопасности, который использовался в процессе аутентификации основного режима (IPsec Main Mode)

WinRemoteUserID

string

Идентификатор удаленного пользователя

WinReplicationEvent

string

Флаг события репликации

WinReportId

string

Код типа объекта

WinRequestClientInfo

string

Информация о клиенте, отправившем запрос

WinRequestCSPProvider

string

Поставщик CSP, запрошенный в событии

WinRequester

string

Субъект, инициировавший запрос

WinRequestId

string

Идентификатор запроса

WinRequestOSVersion

string

Версия ОС клиента запроса

WinResource

string

Объект или ресурс, над которым выполняется операция

WinResourceAttributes

string

Атрибуты обрабатываемого объекта

WinResourceManager

string

Менеджер ресурса, ответственный за объект

WinResponderCookie

string

Файл cookie ответчика операции

WinRestrictedAdminMode

string

Параметры безопасности из событий в windows event log

WinRestrictedSidCount

string

Количество ограниченных SID для операции

WinReturnCode

string

Код возврата результата операции

WinRole

string

Роль субъекта в операции

WinRpcCallClientLocality

string

Местоположение клиента RPC, инициировавшего событие, указывающее на локальный или удаленный вызов

WinRuleAttr

string

Атрибут правила безопасности или фильтра

WinRuleId

string

Код типа объекта

WinRuleName

string

Имя обрабатываемого объекта

WinRunspaceId

string

Идентификатор рабочего пространства PowerShell

WinSamAccountName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinScanID

string

Идентификатор сканирования

WinScanParameters

string

Параметры сканирования

WinScanParametersIndex

string

Индекс параметров сканирования

WinScanResources

string

Ресурсы, которые были просканированы

WinScanTimeHours

string

Часы, затраченные на сканирование

WinScanTimeMinutes

string

Минуты, затраченные на сканирование

WinScanTimeSeconds

string

Секунды, затраченные на сканирование

WinScanType

string

Тип сканирования

WinScanTypeIndex

string

Индекс типа сканирования

WinSchema

string

Схема объекта или события

WinSchemaFriendlyName

string

Читаемое имя схемы

WinScriptBlockId

string

Код типа объекта

WinScriptBlockText

string

Параметры пользовательских сессий из событий в windows event log

WinScriptPath

string

Путь к обрабатываемому объекту

WinSecurityDescriptor

string

Дескриптор безопасности объекта

WinSecurityPackageName

string

Имя обрабатываемого объекта

WinSerialNumber

string

Серийный номер сертификата или объекта безопасности

WinServerNames

string

Список имён серверов, участвующих в операции

WinService

string

Имя службы или сервисного компонента, связанного с событием

WinServiceAccount

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinServiceFileName

string

Имя обрабатываемого объекта

WinServiceName

string

Имя объекта из события windows event log

WinServicePrincipalNames

string

Имя обрабатываемого объекта

WinServiceSid

string

Идентификатор безопасности учетной записи (sid)

WinServiceStartType

string

Тип запуска службы windows

WinServiceType

string

Тип объекта, обнаруженного по

WinServiceVersion

string

Версия отправляемой статистики

WinSessionId

string

Уникальный идентификатор сеанса входа

WinSessionName

string

Параметры пользовательских сессий из событий в windows event log

WinSettingType

string

Тип объекта, обнаруженного по

WinSettingValue

string

Атрибуты обрабатываемого объекта

WinSeverityID

string

Идентификатор уровня опасности угрозы

WinSeverityName

string

Название уровня опасности угрозы

WinShareLocalPath

string

Путь к обрабатываемому объекту

WinShareName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinSID

string

Идентификатор безопасности (SID), относящийся к пользователю или объекту

WinSidFilteringEnabled

string

Параметры безопасности из событий в windows event log

WinSidHistory

string

Идентификатор безопасности учетной записи (sid)

WinSidList

string

Идентификатор безопасности учетной записи (sid)

WinSignatureType

string

Тип сигнатуры угрозы

WinSignatureTypeIndex

string

Индекс типа сигнатуры угрозы

WinSignatureVersion

string

Версия сигнатуры на момент события

WinSourceAddr

string

Параметры сетевых соединений из событий в windows event log

WinSourceAddress

string

Локальный ip адрес

WinSourceDRA

string

Параметры сетевых соединений из событий в windows event log

WinSourceHandleId

string

Идентификатор дескриптора исходного объекта

WinSourceID

string

Идентификатор источника события или действия

WinSourceName

string

Название источника события или действия

WinSourcePort

string

Номера портов источника и получателя обрабатываемого сетевого соединения

WinSourceProcessId

string

Идентификатор процесса-источника

WinSourceSid

string

SID субъекта, инициировавшего операцию

WinSourceUserName

string

Имя пользователя-источника

WinSpnName

string

Имя SPN (Service Principal Name), используемое для аутентификации

WinSSID

string

Идентификатор беспроводной сети (SSID)

WinStagingReason

string

Причина направления объекта на аудит

WinStartTime

string

Время события

WinStartType

string

Тип объекта, обнаруженного по

WinStartUSN

string

Параметры сетевых соединений из событий в windows event log

WinState

string

Состояние объекта или системы на момент события

WinStatus

string

Описание обрабатываемого объекта, указанное в его свойствах

WinStatusCode

string

Параметры операций из событий в windows event log

WinStatusDescription

string

Описание текущего статуса события или действия

WinStopTime

string

Время события

WinSubcategoryGuid

string

Информация о принадлежности пользователя к группе пользователей

WinSubcategoryId

string

Код типа объекта

WinSubject

string

Информация о субъекте, инициировавшем действие

WinSubjectAlternativeName

string

Поле SAN сертификата, содержащее альтернативные имена субъекта

WinSubjectDomainName

string

Имя домена, используемого для аутентификации владельца сеанса входа

WinSubjectKeyIdentifier

string

Идентификатор ключа субъекта сертификата

WinSubjectLogonId

string

Идентификатор безопасности учетной записи (sid)

WinSubjectMachineName

string

Имя машины, от имени которой выполнялось действие

WinSubjectMachineSID

string

SID машины, от имени которой выполнялось действие

WinSubjectUserDomainName

string

Имя домена, используемого для аутентификации владельца сеанса входа

WinSubjectUserName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinSubjectUserSid

string

Идентификатор безопасности учетной записи (sid)

WinSubStatus

string

Параметры операций из событий в windows event log

WinTargetDomainName

string

Имя домена, используемого для аутентификации владельца сеанса входа

WinTargetHandleId

string

Идентификатор дескриптора целевого объекта

WinTargetInfo

string

Описание обрабатываемого объекта, указанное в его свойствах

WinTargetLinkedLogonId

string

Идентификатор безопасности учетной записи (sid)

WinTargetLogonGuid

string

Информация о принадлежности пользователя к группе пользователей

WinTargetLogonId

string

Идентификатор безопасности учетной записи (sid)

WinTargetName

string

Имя целевого объекта или ресурса

WinTargetOutboundDomainName

string

Имя домена, используемого для аутентификации владельца сеанса входа

WinTargetOutboundUserName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinTargetProcessId

string

Идентификатор процесса в системе (pid)

WinTargetProcessName

string

Имя обрабатываемого объекта

WinTargetServer

string

Целевой сервер события

WinTargetServerName

string

Название устройства пользователя

WinTargetSid

string

Идентификатор безопасности учетной записи (sid)

WinTargetState

string

Состояние целевого объекта после операции

WinTargetUserDomain

string

Домен целевого пользователя

WinTargetUserName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinTargetUserSid

string

Идентификатор безопасности учетной записи (sid)

WinTaskContent

string

Исходное содержимое задачи планировщика, связанной с событием

WinTaskContentActionsContext

string

Параметры заданий планировщика задач операционной системы

WinTaskContentActionsExecCommand

string

Аргументы командной строки, переданные процессу при запуске

WinTaskContentPrincipalsPrincipalid

string

Идентификатор безопасности учетной записи (sid)

WinTaskContentPrincipalsPrincipalLogonType

string

Тип сеанса входа в систему

WinTaskContentPrincipalsPrincipalRunLevel

string

Параметры заданий планировщика задач операционной системы

WinTaskContentPrincipalsPrincipalUserId

string

Идентификатор безопасности учетной записи (sid)

WinTaskContentRegistrationInfoAuthor

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinTaskContentRegistrationInfoDate

string

Дата события

WinTaskContentSettingsAllowHardTerminate

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsAllowStartOnDemand

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsDisallowStartIfOnBatteries

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsEnabled

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsExecutionTimeLimit

string

Время события

WinTaskContentSettingsHidden

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsIdleSettingsRestartOnIdle

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsIdleSettingsStopOnIdleEnd

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsMultipleInstancesPolicy

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsPriority

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsRunOnlyIfIdle

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsRunOnlyIfNetworkAvailable

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsStartWhenAvailable

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsStopIfGoingOnBatteries

string

Параметры заданий планировщика задач операционной системы

WinTaskContentSettingsWakeToRun

string

Параметры заданий планировщика задач операционной системы

WinTaskContentTriggers

string

Параметры задач, зарегистрированных в событиях в windows event log

WinTaskContentversion

string

Версия задачи в её исходном содержимом

WinTaskContentNew

string

Изменённое содержимое задачи планировщика

WinTaskContentNewActionsContext

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewActionsExecCommand

string

Аргументы командной строки, переданные процессу при запуске

WinTaskContentNewPrincipalsPrincipalid

string

Идентификатор безопасности учетной записи (sid)

WinTaskContentNewPrincipalsPrincipalLogonType

string

Тип сеанса входа в систему

WinTaskContentNewPrincipalsPrincipalRunLevel

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewPrincipalsPrincipalUserId

string

Идентификатор безопасности учетной записи (sid)

WinTaskContentNewRegistrationInfoAuthor

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinTaskContentNewRegistrationInfoDate

string

Дата события

WinTaskContentNewSettingsAllowHardTerminate

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsAllowStartOnDemand

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsDisallowStartIfOnBatteries

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsEnabled

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsExecutionTimeLimit

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsHidden

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsIdleSettingsRestartOnIdle

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsIdleSettingsStopOnIdleEnd

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsMultipleInstancesPolicy

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsPriority

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsRunOnlyIfIdle

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsRunOnlyIfNetworkAvailable

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsStartWhenAvailable

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsStopIfGoingOnBatteries

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewSettingsWakeToRun

string

Параметры заданий планировщика задач операционной системы

WinTaskContentNewTriggers

string

Параметры задач, зарегистрированных в событиях в windows event log

WinTaskContentNewversion

string

Версия задачи в обновлённом содержимом

WinTaskName

string

Имя обрабатываемого объекта

WinTdoAttributes

string

Атрибуты обрабатываемого объекта

WinTdoDirection

string

Параметры сетевых соединений из событий в windows event log

WinTdoType

string

Тип объекта, обнаруженного по

WinTemplateContent

string

Содержимое шаблона сертификата

WinTemplateDSObjectFQDN

string

Полное доменное имя (FQDN) объекта шаблона в каталоге Active Directory

WinTemplateInternalName

string

Внутреннее имя шаблона сертификата

WinTemplateOID

string

Идентификатор объекта шаблона сертификата

WinTemplateSchemaVersion

string

Версия схемы шаблона сертификата

WinTemplateVersion

string

Версия шаблона сертификата

WinTerminationTime

string

Время события

WinTestSigning

string

Флаг, указывающий включён ли режим тестовой подписи в системе

WinThreatID

string

Идентификатор угрозы

WinThreatName

string

Название угрозы

WinTicketEncryptionType

string

Тип объекта, обнаруженного по

WinTicketOptions

string

Параметры объектов active directory

WinTokenElevationType

string

Тип повышения токена безопасности

WinTopLevelName

string

Имя обрабатываемого объекта

WinTransactionId

string

Код типа объекта

WinTransitionsToOn

string

Переход объекта или компонента в состояние «включено»

WinTransmittedServices

string

Параметры операций из событий в windows event log

WinTreeDelete

string

Дополнительные параметры событий в windows event log

WinType

string

Тип события или объекта

WinTypeID

string

Идентификатор типа события или угрозы

WinTypeName

string

Название типа события или угрозы

WinUnused

string

Зарезервированное или неиспользуемое поле

WinUnused2

string

Дополнительное зарезервированное поле, не используемое событием

WinUnused3

string

Дополнительное зарезервированное поле, не используемое событием

WinUnused4

string

Дополнительное зарезервированное поле, не используемое событием

WinUnused5

string

Дополнительное зарезервированное поле, не используемое событием

WinUnused6

string

Дополнительное зарезервированное поле, не используемое событием

WinUpdateType

string

Тип обновления продукта или сигнатуры

WinUpdateTypeIndex

string

Индекс типа обновления продукта или сигнатуры

WinUser

string

Имя пользователя, связанного с событием

WinUserAccountControl

string

Параметры компонента контроль учетных записей пользователей (uac)

WinUserClaims

string

Список заявок пользователя для нового сеанса входа

WinUserData

string

Параметры пользовательских сессий из событий в windows event log

WinUserName

string

Имя пользователя

WinUserParameters

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinUserPrincipalName

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinUserSid

string

SID пользователя, связанного с событием

WinUserUPN

string

User Principal Name (UPN) пользователя

WinUserWorkstations

string

Название устройства пользователя

WinVendorIds

string

Параметры пользовательских сессий из событий в windows event log

WinVirtualAccount

string

Идентификатор учетной записи, от имени которой был запущен контролируемый процесс

WinVsmLaunchType

string

Тип запуска Virtual Secure Mode (VSM)

WinWakeFromState

string

Состояние, из которого система была выведена (сон, гибернация и т.д.)

WinWakeRequesterTypeAc

string

Тип инициатора пробуждения при работе от сети

WinWakeRequesterTypeDc

string

Тип инициатора пробуждения при работе от батареи

WinWeight

string

Вес или приоритет, связанный с объектом события

WinWorkstation

string

Название устройства пользователя

WinWorkstationName

string

Название устройства пользователя

WinProcessingErrorDataDataItemName

string

Имя элемента данных, вызвавшего ошибку обработки

WinProcessingErrorDataErrorCode

string

Код ошибки, возникшей при обработке события

WinProcessingErrorDataEventPayload

string

Исходные данные события, вызвавшие ошибку

WinSystemChannel

string

Канал журнала событий Windows, из которого получено событие

WinSystemComputer

string

Имя компьютера, на котором было сгенерировано событие

WinSystemEventID

string

Идентификатор события, определяющий тип произошедшего события в систем

WinSystemEventIDQualifiers

string

Дополнительные квалификаторы события, предоставляющие расширенную информацию о событии

WinSystemEventRecordID

string

Уникальный идентификатор записи события в журнале

WinSystemExecutionProcessID

string

Идентификатор процесса (PID), связанного с выполнением события

WinSystemExecutionThreadID

string

Идентификатор потока (TID), который вызвал событие

WinSystemKeywords

string

Ключевые слова события, используемые для классификации и фильтрации событий

WinSystemLevel

string

Уровень события, указывающий на его важность или критичность

WinSystemOpcode

string

Код операции события, описывающий тип действия, связанного с событием

WinSystemProviderEventSourceName

string

Имя источника, который сгенерировал событие

WinSystemProviderGuid

string

Глобальный уникальный идентификатор провайдера события

WinSystemProviderName

string

Имя провайдера события

WinSystemSecurityUserID

string

Идентификатор пользователя, связанный с событием

WinSystemTask

string

Идентификатор задачи события

WinSystemTimeCreatedSystemTime

string

Время создания события

WinSystemVersion

string

Версия схемы события

WinAutoBackupBackupPath

string

Путь к файлу или папке, куда выполняется автоматическое резервное копирование

WinAutoBackupChannel

string

Канал или источник, используемый для автоматического резервного копирования

WinEventProcessingFailureErrorCode

string

Код ошибки, возникшей при обработке события

WinEventProcessingFailureEventID

string

ID события, при обработке которого произошла ошибка

WinEventProcessingFailurePublisherID

string

Идентификатор приложения или службы, пытавшейся зарегистрировать событие, вызвавшее ошибку

WinEventXMLAddress

string

Адрес, связанный с событием

WinEventXMLParam1

string

Поле дополнительной информации о событии

WinEventXMLParam2

string

Поле дополнительной информации о событии

WinEventXMLParam3

string

Поле дополнительной информации о событии

WinEventXMLSessionID

string

Идентификатор сессии пользователя, связанной с событием

WinEventXMLSource

string

Источник события

WinEventXMLTargetSession

string

Целевая сессия, к которой относится событие

WinEventXMLUser

string

Пользователь, связанный с событием

WinFileIsFull

string

Индикатор того, что журнал заполнен и больше не может принимать новые записи

WinLogFileClearedSubjectDomainName

string

Домен пользователя, который очистил журнал событий

WinLogFileClearedSubjectLogonId

string

Идентификатор входа пользователя, который очистил журнал событий

WinLogFileClearedSubjectUserName

string

Имя пользователя, который очистил журнал событий

WinLogFileClearedSubjectUserSid

string

SID пользователя, который очистил журнал событий

WinOperationClientFailureClientMachine

string

Имя компьютера клиента, на котором произошла ошибка операции

WinOperationClientFailureClientProcessId

string

Идентификатор процесса клиента, вызвавшего сбой операции

WinOperationClientFailureComponent

string

Компонент системы, в котором произошла ошибка операции

WinOperationClientFailureId

string

Уникальный идентификатор ошибки операции

WinOperationClientFailureOperation

string

Название или описание операции, которая завершилась сбоем

WinOperationClientFailurePossibleCause

string

Возможная причина сбоя операции

WinOperationClientFailureResultCode

string

Код результата операции, указывающий на успешность или причину сбоя

WinOperationClientFailureUser

string

Пользователь, инициировавший операцию, которая завершилась сбоем

WinOperationStartedOperationalCode

string

Код начатой операции

WinOperationStartedOperationalHostProcess

string

Процесс хоста, инициировавший операцию

WinOperationStartedOperationalProcessID

string

Идентификатор процесса, связанного с начатой операцией

WinOperationStartedOperationalProviderName

string

Имя провайдера или источника события

WinOperationStartedOperationalProviderPath

string

Путь к провайдеру или источнику события

WinServiceShutdown

string

Служба Windows была остановлена