WMI Consumer Register

IoAId

string array

Уникальный идентификатор индикатора атаки

IoAName

string array

Название индикатора атаки

IoAVersion

integer array

Версия индикатора атаки

IoAAlert

string array

Возводится ли алерт при срабатывании данного индикатора атаки. 

IoAConfidence

string array

Уровень надежности индикатора атаки в зависимости от вероятности ложных срабатываний. High - высокий, Medium - средний, Low - низкий

IoASeverity

string array

Степень важности индикатора атаки с точки зрения возможного влияния события на безопасность компьютеров или локальной сети организации. High - высокий, Medium - средний, Low - низкий

IoATactics

string array

Тактики матрицы MITRE ATT&CK, к которым относится срабатывание данного индикатора атаки

IoATechniques

string array

Техники и подтехники матрицы MITRE ATT&CK, к которым относится срабатывание данного индикатора атаки

IoAEventIds

string array

Перечень идентификаторов событий, связанных с данным индикатором атаки

IoAEventCount

integer array

Количество событий, связанных с данным индикатором атаки

IoASB

string array

Путь к файлу, который отправится на автообработку в песочницу на основании логики индикатора атаки

EventType

string

Тип события

EventId

string

Уникальный идентификатор события

EventTimestamp

int

Дата и время на хосте (клиенте), где произошло событие (дата указана в UTC)

EventReceivedtimestamp

int

Дата и время получения события на сервере

EventSequenceid

int

Номер последовательности отправленного события

HostId

string

Уникальный идентификатор хоста

HostKscId

string

Идентификатор защищаемого хоста для администрирования через KSC

HostMdrId

string

Идентификатор защищаемого хоста в MDR-решении

HostOsmpId

string

Список идентификаторов серверов OSMP Based XDR решений, к которым подключен защищаемый хост

HostOsFamily

string

Тип операционной системы хоста (Windows)

HostOsName

string

Название операционной системы хоста

HostOsVersion

string

Версия операционной системы хоста

HostName

string

Имя хоста, на котором было обнаружено событие

HostIp

string

IP адрес хоста, на котором было обнаружено событие 

AgentVersion

string

Название продукта, установленного на хосте

AgentKdbTimestamp

int

Временная метка обновления компонентов KDB

AgentSw2Timestamp

int

Временная метка обновления баз компонента SW2

AgentIndexTimestamp

int

Временная метка последнего обновления баз всех компонентов

WmiNamespacename

string

Пространство имен WMI, которое было запрошено

WmiFiltername

string

Имя фильтра, используемого потребителем событий

WmiConsumerName

string

Имя созданного потребителя событий

WmiConsumerText

string

MOF-код потребителя событий

ProcessUniqueid

int

Уникальный идентификатор процесса

ProcessId

int

Идентификатор процесса 

ProcessCmdline

string

Командная строка процесса

ProcessCreationflags

string

Список флагов созданого процесса

ProcessDirectory

string

Директория, из которой был запущен процесс

ProcessProperties

string

Свойства аккаунта, из-под которого был запущен процесс

ProcessFileLnkName

string

Имя LNK файла,из которого был запущен файл текущего процесса

ProcessFileLnkPath

string

Путь к LNK-файлy, из которого был запущен процесс (без имени файла)

ProcessFileLnkFullname

string

Полный путь к LNK файлу, из которого был запущен файл текущего процесса

ProcessFileLnkCmdline

string

Командная строка LNK-файла

ProcessFileLnkMd5

string

MD5 хэш содержимого LNK файла, из которого был запущен файл текущего процесса

ProcessFileLnkSha256

string

SHA256 хэш LNK файла, из которого был запущен текущий процесс

ProcessIntegritylevel

int

Уровень целостности процесса 

ProcessFileName

string

Имя файла запущенного процесса (без пути)

ProcessFilePath

string

Путь к файлу запущенного процесса (без имени файла)

ProcessFileFullname

string

Полное имя файла запущенного процесса (включая полный путь к файлу)

ProcessFileSize

int

Размер файла запущенного процесса

ProcessFileCreationtime

int

Дата/время создания файла запущенного процесса

ProcessFileModificationtime

int

Дата/время последней модификации файла запущенного процесса

ProcessFileMd5

string

MD5 хэш файла запущенного процесса

ProcessFileSha256

string

SHA256 хэш файла запущенного процесса

ProcessFileAttr

int

Список атрибутов файловой системы  исполняемого файла, от которого был запущен процесс

ProcessFileType

string

Тип файла запущенного процесса

ProcessFileUrl

string

URL-адрес, с которого был загружен исполняемый файл процесса

ProcessFileEmailSrcAddress

string

Email-адрес отправителя письма, во вложении которого был получен файл запущенного процесса

ProcessFileZoneidentifier

int

Идентификатор зоны из альтернативного потока (NTFS) Zone.Identifier, который был назначен при загрузке файла

ProcessFileProductname

string

Имя приложения, указанное в ресурсе VERSIONINFO 

ProcessFileProductversion

string

Версия приложения, указанная в ресурсе VERSIONINFO 

ProcessFileOriginalname

string

Оригинальное имя файла приложения указанное в ресурсе VERSIONINFO

ProcessFileProductvendor

string

Имя компании, указанное в ресурсе VERSIONINFO

ProcessFileDescription

string

Описание, указанное в ресурсе VERSIONINFO

ProcessFileVersion

string

Версия файла, указанная в ресурсе VERSIONINFO

ProcessFileSignResult

string

Результат проверки подписи: пройдена - true, иначе - false

ProcessFileSignTimestamp

int

Дата и время подписания файла

ProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым подписан файл запущенного процесса

ProcessLogonType

string

Тип сеанса входа в систему пользователя, запустившего данный процесс

ProcessLogonSessionId

int

Идентификатор сеанса входа из токена доступа процесса

ProcessUserType

int

Тип аккаунта пользователя, запустившего процесс. Возможные значения: Unknown, Admin, NotAdmin

ProcessUserName

string

Имя пользователя (с доменом), запустившего процесс

ParentProcessUniqueid

int

Уникальный идентификатор родительского процесса

ParentProcessId

int

Идентификатор родительского процесса

ParentProcessCmdline

string

Командная строка родительского процесса

ParentProcessCreationflags

string

Список флагов родительского процесса

ParentProcessFileLnkName

string

Имя (без указания пути) LNK файла, из которого был запущен родительский процесс

ParentProcessFileLnkPath

string

Путь к LNK файлу (без имени файла), из которого был запущен родительский процесс

ParentProcessFileLnkFullname

string

Полный путь к LNK файлу, из которого был запущен родительский процесс

ParentProcessFileLnkCmdline

string

Командная строка LNK-файла родительского процесса

ParentProcessFileLnkMd5

string

MD5 хеш LNK файла, из которого был запущен родительский процесс

ParentProcessFileLnkSha256

string

SHA256 хэш LNK файла, из которого был запущен родительский процесс

ParentProcessIntegritylevel

int

Уровень целостности родительского процесса

ParentProcessFileName

string

Имя исполняемого файла родительского процесса (без пути)

ParentProcessFilePath

string

Полный путь к исполняемому файлу родительского процесса (без имени файла)

ParentProcessFileFullname

string

Полный путь к исполняемому файлу родительского процесса

ParentProcessFileCreationtime

int

Время создания исполняемого файла родительского процесса

ParentProcessFileModificationtime

int

Последнее время, когда файл родительского процесса был изменен

ParentProcessFileAttrModificationtime

int

Последнее время, когда были изменены атрибуты исполняемого файла родительского процесса

ParentProcessFileMd5

string

MD5-хэш исполняемого файла родительского процесса

ParentProcessFileSha256

string

SHA256-хэш исполняемого файла родительского процесса

ParentProcessFileAttr

int

Список атрибутов файловой системы для исполняемого файла родительского процесса

ParentProcessFileType

string

Тип исполняемого файла родительского процесса

ParentProcessFileUrl

string

URL, с которого был загружен исполняемый файл родительского процесса

ParentProcessFileEmailSrcAddress

string

Адрес отправителя, с которого исполняемый файл родительского процесса был получен как вложение

ParentProcessFileProductname

string

Значение имени продукта из ресурса VERSIONINFO ресурс исполняемого файла родительского процесса

ParentProcessFileOriginalname

string

Оригинальное имя файла из ресурса VERSIONINFO исполняемого файла родительского процесса

ParentProcessFileProductvendor

string

Значение имени компании из ресурса VERSIONINFO исполняемого файла родительского процесса

ParentProcessFileDescription

string

Описание из ресурса VERSIONINFO исполняемого файла родительского процесса

ParentProcessFileSignResult

string

Результат проверки подписи файла родительского процесса: пройдена - true, иначе - false

ParentProcessFileSignTimestamp

int

Дата и время подписания файла родительского процесса

ParentProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым был подписан файл родительского процесса

ParentProcessLogonType

string

Тип сеанса входа в систему родительского процесса

ParentProcessLogonSessionId

int

Идентификатор сеанса входа из токена доступа родительского процесса

ParentProcessProperties

int

Список свойств аккаунта, из-под которого был запущен родительский процесс

ParentProcessUserName

string

Домен и имя пользователя, запустившего родительский процесс

GrandParentProcessUniqueid

int

Уникальный идентификатор прародительского процесса

GrandParentProcessId

int

Идентификатор прародительского процесса

GrandParentProcessCmdline

string

Командная строка прародительского процесса

GrandParentProcessCreationflags

string

Флаги создания прародительского процесса

GrandParentProcessFileLnkName

string

Имя LNK-файла, из которого был запущен прародительский процесс (без пути)

GrandParentProcessFileLnkPath

string

Полный путь к LNK-файлу, из которого был запущен прародительский процесс(без имени файла)

GrandParentProcessFileLnkFullname

string

Полный путь к LNK-файлу, из которого был запущен прародительский процесс

GrandParentProcessFileLnkCmdline

string

Командная строка LNK-файла, из которого был запущен прародительский процесс

GrandParentProcessFileLnkMd5

string

MD5-хэш LNK-файла, из которого был запущен прародительский процесс

GrandParentProcessFileLnkSha256

string

SHA256 хэш LNK-файла, из которого был запущен прародительский процесс

GrandParentProcessIntegritylevel

int

Уровень целостности прародительского процесса

GrandParentProcessFileName

string

Имя исполняемого файла прародительского процесса (без пути)

GrandParentProcessFilePath

string

Полный путь к исполняемому файлу прародительского процесса (без имени файла).

GrandParentProcessFileFullname

string

Полный путь к исполняемому файлу прародительского процесса

GrandParentProcessFileCreationtime

int

Дата и время создания исполняемого файла прародительского процесса

GrandParentProcessFileModificationtime

int

Последнее время, когда исполняемый файл прародительского процесса был изменен

GrandParentProcessFileAttrModificationtime

int

Последнее время, когда были изменены атрибуты исполняемого файла прародительского процесса

GrandParentProcessFileMd5

string

MD5-хэш исполняемого файла прародительского процесса

GrandParentProcessFileSha256

string

SHA256-хэш исполняемого файла прародительского процесса

GrandParentProcessFileAttr

int

Список атрибутов файловой системы для исполняемого файла прародительского процесса

GrandParentProcessFileType

string

Тип исполняемого файла прародительского процесса

GrandParentProcessFileUrl

string

URL, откуда был загружен исполняемый файл прародительского процесса. Заполняется если файл прародительского процесса был загружен из интернета

GrandParentProcessFileEmailSrcAddress

string

Адрес отправителя, с которого исполняемый файл прародительского процесса был получен как вложение. Заполняется, если файл прародительского процесса был получен в письме как вложение

GrandParentProcessFileProductname

string

Значение имени продукта из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileOriginalname

string

Оригинальное имя файла из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileProductvendor

string

Значение имени компании из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileDescription

string

Описание из ресурса VERSIONINFO исполняемого файла прародительского процесса

GrandParentProcessFileSignResult

string

Результат проверки подписи файла прародительского процесса: пройдена - true, иначе - false

GrandParentProcessFileSignTimestamp

int

Дата и время подписания файла прародительского процесса

GrandParentProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым был подписан файл прародительского процесса

GrandParentProcessLogonType

string

Идентификатор сеанса входа из токена доступа прародительского процесса

GrandParentProcessLogonSessionId

int

Идентификатор сессии входа в систему из маркера доступа grand-parent процесса

GrandParentProcessProperties

int

Список свойств аккаунта, из-под которого был запущен прародительский процесс

GrandParentProcessUserName

string

Имя пользователя (с доменом), запустившего прародительский процесс

CreatorProcessUniqueid

int

Уникальный идентификатор процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessId

int

Идентификатор процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessCmdline

string

Командная строка процесса, который является фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessCreationflags

string

Флаги создания процесса, который является фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessDirectory

string

Текущая рабочая директория процесса, который является фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkName

string

Имя LNK-файла (без пути), из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkPath

string

Полный путь к LNK-файлу, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkFullname

string

Полный путь к LNK-файлу, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). В этом случае передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать в пакете телеметрии и следует смотреть на поля ParentProcess*.

CreatorProcessFileLnkCmdline

string

Параметры командной строки LNK-файла, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). В этом случае передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать в пакете телеметрии и следует смотреть на поля ParentProcess*.

CreatorProcessFileLnkMd5

string

MD5-хеш LNK-файла, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileLnkSha256

string

SHA256-хеш LNK-файла, из которого был запущен процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessIntegritylevel

int

Уровень целостности процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFilePath

string

Имя исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileFullname

string

Полный путь (без имени файла) к исполняемому файлу процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileCreationtime

int

Полный путь к исполняемому файлу процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). В этом случае передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать в пакете телеметрии и следует смотреть на поля ParentProcess*.

CreatorProcessFileModificationtime

int

Время создания исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileAttrModificationtime

int

Время изменения исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileMd5

string

MD5-хеш исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSha256

string

SHA256 -хеш исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileAttr

int

Список атрибутов файловой системы для исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileType

string

Тип исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess).Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileUrl

string

URL-адрес, с которого был загружен исполняемый файл процесса, являющегося фактическим создателем текущего. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileEmailSrcAddress

string

Адрес отправителя, от которого исполняемый файла процесса, являющегося фактическим создателем текущего процесса, был получен в виде вложения. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileProductname

string

Значение имени продукта из ресурса VERSIONINFO исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileOriginalname

string

Оригинальное имя файла из ресурса VERSIONINFO исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileProductvendor

string

Значение имени компании из ресурса VERSIONINFO исполняемого файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileDescription

string

Описание из ресурса VERSIONINFO исполняемого файла процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSignResult

string

Результат проверки подписи исполняемого файла процесса, являющегося фактическим создателем текущего процесса: пройдена - true, иначе - false. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSignTimestamp

int

Дата и время подписания файла процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess).Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessFileSignSubjectname

string

Название организации, выпустившей сертификат, которым подписан файл процесса, являющегося фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessLogonType

string

Тип сеанса входа в систему пользователя, запустившего процесс, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessLogonSessionId

int

Идентификатор сеанса входа из маркера доступа процесса, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessProperties

int

Свойства аккаунта, из-под которого был запущен процесс, который является фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*

CreatorProcessUserName

string

Имя пользователя (с доменом), запустившего процесс, являющийся фактическим создателем текущего процесса. Обычно инициатор создания процесса (ParentProcess) совпадает с фактическим создателем (CreatorProcess). Тогда передаваемые в составе телеметрии поля CreatorProcess* будут отсутствовать и следует смотреть на поля ParentProcess*