Condividi tramite

SecurityEvent

  • Articolo

Eventi di sicurezza raccolti dai computer Windows da Centro sicurezza di Azure o Azure Sentinel.

Attributi di tabella

Attributo Valore
Tipi di risorse microsoft.securityinsights/securityinsights,
microsoft.compute/virtualmachines,
microsoft.conenctedvmwarevsphere/virtualmachines,
microsoft.azurestackhci/virtualmachines,
microsoft.scvmm/virtualmachines,
microsoft.compute/virtualmachinescalesets
Categorie Sicurezza
Soluzioni Sicurezza, SecurityInsights
Log di base No
Trasformazione in fase di inserimento Sì
Query di esempio Sì

Colonne

Column Type Descrizione
Maschera di accesso string Maschera esadecimale per l'operazione richiesta o eseguita.
Conto string Contesto di sicurezza per i servizi o gli utenti.
AccountDomain string Dominio o nome computer dell'oggetto.
AccountExpires string Data di scadenza dell'account.
AccountName string Nome dell'account che ha richiesto l'operazione di rimozione dell'attendibilità del dominio.
AccountSessionIdentifier string Identificatore univoco generato dal computer quando viene creata la sessione.
AccountType string Identifica se l'account è un account computer (computer) o un utente.
Impegno string Titolo descrittivo dell'evento.
AdditionalInfo string Informazioni aggiuntive fornite dall'origine, che non sono mappate ad altri campi, rappresentate dall'elenco.
AdditionalInfo2 string Informazioni aggiuntive fornite dall'origine, che non sono mappate ad altri campi, rappresentate dall'elenco.
AllowedToDelegateTo string Elenco di nomi SPN a cui questo account può presentare credenziali delegate.
Attributi string Informazioni aggiuntive sull'evento.
AuditPolicyChanges string Eventi generati quando vengono apportate modifiche ai criteri di controllo del sistema o alle impostazioni di controllo in un file o in una chiave del Registro di sistema.
AuditsDiscarded int Numero di messaggi di controllo eliminati.
AuthenticationLevel int Numero di messaggi di controllo eliminati.
AuthenticationPackageName string nome del pacchetto di autenticazione caricato. Il formato è: DLL_PATH_AND_NAME: AUTHENTICATION_PACKAGE_NAME.
AuthenticationProvider string Identità del provider responsabile del processo di autenticazione (può includere un'autorità di certificazione, un nome utente, un sistema di autenticazione password e così via).
AuthenticationServer string Server in cui si trova il provider di autenticazione.
AuthenticationService int Servizio in cui si trova il provider di autenticazione.
AuthenticationType string tipo di autenticazione usato per l'evento (autenticazione a due fattori, autenticazione biometrica e così via).
AzureDeploymentID string ID distribuzione di Azure del servizio cloud a cui appartiene il log
_BilledSize real Dimensioni del record in byte
CACertificateHash string Valore hash del certificato dell'autorità di certificazione (CA) usato per autenticare l'utente che ha eseguito l'evento.
CalledStationID string Informazioni sull'ID della stazione che ha avviato l'azione che ha portato all'evento di sicurezza.
CallerProcessId string ID processo esadecimale del processo che ha tentato l'accesso. L'ID processo (PID) è un numero usato dal sistema operativo per identificare in modo univoco un processo attivo.
CallerProcessName string Percorso completo e nome dell'eseguibile per il processo.
CallingStationID string Informazioni sull'ID della stazione che ha avviato l'azione che ha portato all'evento di sicurezza.
CAPublicKeyHash string Valore hash che identifica la chiave pubblica di un'autorità di certificazione (CA) che ha emesso un certificato.
CategoryId string Categoria dell'evento di sicurezza che si è verificato (tentativo di accesso, violazione dei dati e così via).
CertificateDatabaseHash string Valore hash che identifica il database che ha emesso un certificato.
Channel string Canale a cui è stato registrato l'evento.
ClassId string Attributo 'Class Guid' del dispositivo.
ClassName string Attributo 'Class' del dispositivo.
ClientAddress string Indirizzo IP del computer da cui è stata ricevuta la richiesta TGT.
ClientIPAddress string Indirizzo IP del computer che ha avviato l'azione che ha portato all'evento.
ClientName string nome computer da cui l'utente è stato riconnesso. Valore 'Unknown' per la sessione della console.
CommandLine string Argomenti della riga di comando passati a un'applicazione o a un processo coinvolto nell'evento.
CompatibleIds string Attributo 'Compatible Ids' del dispositivo. Per visualizzare le proprietà del dispositivo, avviare Gestione dispositivi, aprire proprietà specifiche del dispositivo e fare clic su "Dettagli":
Computer string nome del computer in cui si è verificato l'evento.
Correlazione string Identificatori di attività che gli utenti possono usare per raggruppare gli eventi correlati.
DCDNSName string Nome DNS del controller di dominio coinvolto nell'evento.
DeviceDescription string la descrizione del dispositivo coinvolto nell'evento.
DeviceId string Identificatore univoco del dispositivo coinvolto nell'evento.
DisplayName string Si tratta di un nome, visualizzato nella rubrica per un account specifico. Si tratta in genere della combinazione del nome dell'utente, del secondo nome e del cognome dell'utente.
Disposition string Risultato o risoluzione dell'evento, ad esempio se l'evento è stato risolto o se è stata eseguita un'azione in risposta all'evento.
DomainBehaviorVersion string Attributo di dominio msDS-Behavior-Version modificato. Valore numerico.
DomainName string Nome del dominio attendibile rimosso.
DomainPolicyChanged string Indica se i criteri di dominio sono stati modificati come parte dell'evento (criteri password, criteri di sicurezza e così via).
DomainSid string SID del partner attendibile. Questo parametro potrebbe non essere acquisito nell'evento e in questo caso viene visualizzato come "SID NULL".
EAPType string Tipo di protocollo EAP (Extensible Authentication Protocol) usato per il processo di autenticazione degli eventi.
ElevatedToken string Flag "Sì" o "No". Se "Sì", la sessione rappresentata da questo evento è elevata e dispone dei privilegi di amministratore.
ErrorCode int Contiene il codice di errore per gli eventi di errore. Per gli eventi Success questo parametro ha il valore '0x0'.
EventData string Dati specifici dell'evento associati all'evento.
EventID int Identificatore utilizzato dal provider per identificare l'evento.
EventLevelName string Stringa del messaggio di cui è stato eseguito il rendering del livello specificato nell'evento.
EventRecordId string Numero di record assegnato all'evento al momento della registrazione.
EventSourceName string Nome del software che registra l'evento (l'applicazione è un succomponent).
ExtendedQuarantineState string Stato del processo di quarantena di rete, se applicabile. La quarantena di rete è un processo in base al quale i dispositivi non autorizzati non possono accedere a una rete fino a quando non soddisfano determinati requisiti di sicurezza o sono stati verificati la presenza di malware.
FailureReason string spiegazione testuale del valore del campo Stato. Per questo evento, in genere ha il valore "Account bloccato".
FileHash string Valore hash per tutti i file a cui è stato eseguito l'accesso o la modifica come parte dell'evento o qualsiasi file usato nel processo di autenticazione o autorizzazione.
FilePath string Percorso completo e nome file del file di chiave in cui è stata eseguita l'operazione.
FilePathNoUser string Percorso di tutti i file correlati all'evento, esclusi il nome utente o altre informazioni specifiche dell'utente.
Filtro string Filtri utilizzati nell'evento eseguito.
ForceLogoff string '\Security Settings\Local Policies\Security Options\Network security: Force logoff when logon hours expire' group policy.
Fqbn string Nome binario completo (FQBN) per tutti i file correlati all'evento.
FullyQualifiedSubjectMachineName string Nome di dominio completo (FQDN) del computer che ha avviato l'evento.
FullyQualifiedSubjectUserName string Nome utente dell'utente o del servizio che ha avviato l'evento in formato FQDN.
GroupMembership string Elenco di SID di gruppo a cui appartiene l'account registrato (membro di). Visualizzatore eventi tenta automaticamente di risolvere i SID e visualizzare il nome dell'account. Se il SID non può essere risolto, verranno visualizzati i dati di origine nell'evento .
HandleId string Valore esadecimale di un handle in Nome oggetto. Questo campo può essere usato per la correlazione con altri eventi.
HardwareIds string Attributo "Id hardware" del dispositivo. Per visualizzare le proprietà del dispositivo, avviare Gestione dispositivi, aprire proprietà specifiche del dispositivo e fare clic su "Dettagli":
HomeDirectory string Home directory dell'utente. Se l'attributo homeDrive è impostato e specifica una lettera di unità, homeDirectory deve essere un percorso UNC. Il percorso deve essere un UNC di rete nel formato \Server\Share\Directory.
HomePath string Percorso iniziale dell'utente. Il percorso deve essere un UNC di rete nel formato \Server\Share\Directory.
InterfaceUuid string Identificatore univoco (UUID) per l'interfaccia di rete usata per l'evento.
IpAddress string indirizzo di rete (in genere IPv4 o IPv6) associato all'evento.
IpPort string Numero di porta di rete associato all'evento.
_IsBillable string Specifica se l'inserimento dei dati è fatturabile. Quando _IsBillable è false, l'inserimento dati non viene fatturato all'account Azure
KeyLength int Lunghezza della chiave di sicurezza della sessione NTLM. In genere ha una lunghezza di 128 bit o 56 bit.
Parole chiave string Maschera di bit delle parole chiave definite nell'evento .
Livello string Windows classifica ogni evento con un livello di gravità. I livelli in ordine di gravità sono informazioni, verbose, avviso, errore e critico espressi in numeri.
LmPackageName string Nome del pacchetto o del componente software attualmente utilizzato dall'Autorità di sicurezza locale (LSA) nel computer in cui viene generato l'evento.
LocationInformation string Attributo "Informazioni sulla posizione" del dispositivo. Per visualizzare le proprietà del dispositivo, avviare Gestione dispositivi, aprire proprietà specifiche del dispositivo e fare clic su "Dettagli":
LockoutDuration string Criteri di gruppo '\Impostazioni di sicurezza\Criteri account\Criteri di blocco account\Durata blocco account'. Valore numerico.
LockoutObservationWindow string '\Security Settings\Account Policies\Account Lockout Policy\Reset account lockout counter after' criteri di gruppo. Valore numerico.
LockoutThreshold string Criteri di gruppo '\Impostazioni di sicurezza\Criteri account\Criteri di blocco account\Soglia di blocco account'. Valore numerico.
LoggingResult string Risultato del processo di accesso.
LogonGuid string GUID che consente di correlare questo evento a un altro evento che può contenere lo stesso GUID di accesso.
LogonHours string Ore in cui l'account è autorizzato ad accedere al dominio.
LOGONID string Valore esadecimale che consente di correlare questo evento con gli eventi recenti che potrebbero contenere lo stesso ID di accesso.
LogonProcessName string Nome del processo di accesso registrato.
LogonType int Tipo di accesso eseguito.
LogonTypeName string Tipo di evento di accesso o autenticazione acquisito dal registro eventi (valori comuni: Interactive, Network, RemoteInteractive, Unlock).
MachineAccountQuota string Attributo di dominio ms-DS-MachineAccountQuota modificato. Valore numerico.
MachineInventory string Informazioni sulla configurazione hardware e sull'ambiente software del computer in cui viene generato l'evento. Può includere punti dati diversi, ad esempio il make e il modello del computer, la quantità di RAM o spazio di archiviazione disponibile, i numeri di versione di varie applicazioni software e così via.
MachineLogon string Informazioni su un evento di accesso riuscito nel computer.
ManagementGroupName string Informazioni aggiuntive basate sul tipo di risorsa.
MandatoryLabel string ID dell'etichetta di integrità assegnata al nuovo processo.
MaxPasswordAge string Periodo di tempo (in giorni) che è possibile usare una password prima che il sistema richieda all'utente di modificarla.
MemberName string Account utente coinvolto nell'evento.
MemberSid string Identificatore di sicurezza (SID) associato all'account utente coinvolto nell'evento.
MinPasswordAge string Periodo di tempo (in giorni) in cui deve essere usata una password prima che il sistema richieda all'utente di modificarla.
MinPasswordLength string Numero minimo di caratteri che possono creare una password per un account utente.
MixedDomainMode string Modalità di dominio di un sistema o di un controller di dominio.
NASIdentifier string Identificatore del server di accesso alla rete (NAS) coinvolto nell'evento.
NASIPv4Address string Indirizzo IPv4Address del server di accesso alla rete (NAS) coinvolto nell'evento, se applicabile.
NASIPv6Address string Indirizzo IPv6Address del server di accesso alla rete (NAS) coinvolto nell'evento, se applicabile.
NASPort string porta nel server di accesso alla rete utilizzato nell'evento .
NASPortType string tipo di server di accesso alla rete (NAS) usato nell'evento.
NetworkPolicyName string Nome dei criteri di rete associati all'evento.
NewDate string Nuova data nel fuso orario UTC. Il formato è AAAA-MM-GG.
NewMaxUsers string Nuovo numero massimo di utenti consentiti per una risorsa nell'evento.
NewProcessId string ID processo esadecimale del nuovo processo. L'ID processo (PID) è un numero usato dal sistema operativo per identificare in modo univoco un processo attivo.
NewProcessName string Percorso completo e nome dell'eseguibile per il nuovo processo.
NewRemark string Nuovo valore del campo "Comments:" della condivisione di rete. Ha il valore 'N/A' se non è impostato.
NewShareFlags string Flag di condivisione associati a una risorsa nell'evento, ad esempio: informazioni su se la risorsa è di sola lettura o di sola lettura/scrittura, se è nascosta e altri parametri che possono influire sull'accesso e sulle autorizzazioni.
NewTime string Nuova ora impostata nel fuso orario UTC. Il formato è YYYY-MM-DDThh:mm:ss.nnnnnnnZ
NewUacValue string Specifica i flag che controllano password, blocco, disabilitazione/abilitazione, script e altro comportamento per l'account utente.
NewValue string Nuovo valore per il valore della chiave del Registro di sistema modificato.
NewValueType string Nuovo tipo di valore della chiave del Registro di sistema modificato.
ObjectName string Nome e altre informazioni di identificazione per l'oggetto per cui è stato richiesto l'accesso. Ad esempio, per un file, il percorso verrebbe incluso.
ObjectServer string Contiene il nome del sottosistema Windows che chiama la routine.
ObjectType string Tipo di oggetto a cui è stato eseguito l'accesso durante l'operazione.
ObjectValueName string Nome del valore della chiave del Registro di sistema modificato.
OemInformation string Produttore di apparecchiature originali (OEM) associato a un dispositivo o sistema nell'evento.
OldMaxUsers string Numero massimo di utenti precedente consentito per una risorsa nell'evento.
OldRemark string il valore precedente del campo "Comments:" della condivisione di rete. Ha il valore 'N/A' se non è impostato.
OldShareFlags string I flag di condivisione precedenti associati a una risorsa nell'evento, ad esempio: informazioni su se la risorsa è di sola lettura o di sola lettura/scrittura, se è nascosta e altri parametri che possono influire sull'accesso e sulle autorizzazioni.
OldUacValue string Specifica i flag che controllano password, blocco, disabilitazione/abilitazione, script e altro comportamento per l'account utente. Questo parametro contiene il valore precedente dell'attributo userAccountControl dell'oggetto utente.
OldValue string Valore precedente per il valore della chiave del Registro di sistema modificato.
OldValueType string Tipo precedente del valore della chiave del Registro di sistema modificato.
Opcode string L'elemento opcode è definito dal tipo complesso SystemPropertiesType.
OperationType string Tipo di operazione eseguita su un oggetto
PackageName string Nome del sottoconfezionato DI LAN Manager (nome del protocollo della famiglia NTLM) utilizzato durante l'accesso.
ParentProcessName string Nome del processo padre associato all'evento.
PasswordHistoryLength string \Impostazioni di sicurezza\Criteri account\Criteri password\Applica cronologia password" Criteri di gruppo. Valore numerico.
PasswordLastSet string Ora dell'ultima modifica della password dell'account.
PasswordProprietà string Criteri password o proprietà associati all'evento, ad esempio lunghezza della password, complessità e data di scadenza.
PreviousDate string Data precedente associata all'evento.
PreviousTime string Ora precedente nel fuso orario UTC. Il formato è AAAA-MM-GGThh:mm:ss.nnnnnnnZ.
PrimaryGroupId string Identificatore relativo (RID) del gruppo primario dell'oggetto dell'utente.
PrivateKeyUsageCount string Numero di volte in cui è stata usata una chiave privata.
PrivilegeList string Privilegi, inclusi utenti, gruppi o privilegi di sistema associati all'evento.
Processo string Nome del processo che genera l'evento.
ProcessId string Identifica il processo che ha generato l'evento.
ProcessName string Percorso completo e nome dell'eseguibile per il processo.
ProfilePath string Specifica un percorso del profilo dell'account. Questo valore può essere una stringa Null, un percorso assoluto locale o un percorso UNC.
Proprietà string Dipende dal tipo di oggetto. Questo campo può essere vuoto o contenere l'elenco delle proprietà dell'oggetto a cui è stato eseguito l'accesso.
ProtocolSequence string Informazioni sul protocollo usato per un tentativo di autenticazione.
ProxyPolicyName string Nome dei criteri usati per configurare il server proxy per la connessione alla rete.
QuarantineHelpURL string URL che fornisce assistenza per la risoluzione di un problema di quarantena di rete.
QuarantineSessionID string Identificatore della sessione in cui è stato valutato il file per la quarantena.
QuarantineSessionIdentifier string Identificatore della sessione in cui è stato valutato il file per la quarantena.
QuarantineState string Indica se il file è in quarantena.
QuarantineSystemHealthResult string Report che mostra lo stato dei file in quarantena.
RelativeTargetName string Nome relativo del file o della cartella di destinazione a cui si accede. Questo percorso di file è relativo alla condivisione di rete. Se l'accesso è stato richiesto per la condivisione stessa, questo campo viene visualizzato come "".
RemoteIpAddress string Indirizzo IP del computer che ha avviato una connessione remota.
RemotePort string Numero di porta del computer remoto che ha avviato una connessione.
Richiedente string Identificatore del richiedente dell'evento.
RequestId string Identificatore univoco associato a richieste specifiche, ad esempio quelle effettuate tramite HTTP.
_ResourceId string Identificatore univoco della risorsa a cui è associato il record.
RestrictedAdminMode string Popolato solo per sessioni di tipo di accesso RemoteInteractive. Si tratta di un flag Sì/No che indica se le credenziali fornite sono state passate usando la modalità amministratore con restrizioni. La modalità di amministrazione con restrizioni è stata aggiunta in Win8.1/2012R2, ma questo flag è stato aggiunto all'evento in Win10.
RowsDeleted string Numero di righe eliminate come parte di un'operazione specifica.
SamAccountName string nome di accesso per l'account usato per supportare client e server di versioni precedenti di Windows (nome di accesso precedente a Windows 2000).
ScriptPath string Specifica il percorso dello script di accesso dell'account.
SecurityDescriptor string Informazioni sulle impostazioni di sicurezza e sulle autorizzazioni di un determinato oggetto o risorsa.
ServiceAccount string Contesto di sicurezza che il servizio verrà eseguito come all'avvio.
ServiceFileName string Indica il tipo di servizio registrato con Gestione controllo servizi.
ServiceName string Nome del servizio installato.
ServiceStartType int Contiene informazioni su come deve essere avviato un particolare servizio, indipendentemente dal fatto che debba essere avviato automaticamente o manualmente.
ServiceType string Indica il tipo di servizio registrato con Gestione controllo servizi.
SessionName string Nome della sessione a cui l'utente è stato riconnesso.
ShareLocalPath string Percorso locale della condivisione di rete a cui si accede.
ShareName string Nome della condivisione di rete a cui si accede. Il formato è: \*\SHARE_NAME.
SidHistory string Contiene i SID precedenti utilizzati per l'oggetto se l'oggetto è stato spostato da un altro dominio.
SourceComputerId string Identificatore univoco assegnato a ogni computer in un dominio Windows.
SourceSystem string Tipo di agente da cui è stato raccolto l'evento. Ad esempio, OpsManager per l'agente Windows, la connessione diretta o Operations Manager, Linux per tutti gli agenti Linux o Azure per Diagnostica di Azure
Stato string Motivo per cui l'accesso non è riuscito. Per questo evento, in genere ha il valore '0xC0000234'. I codici di stato più comuni sono elencati nella tabella 12. Codici di stato di accesso di Windows.
StorageAccount string Imposta la chiave di accesso dell'account di archiviazione.
SubcategoryGuid string GUID univoco della sottocategoria modificata.
SubcategoryId string Identificatore univoco per un tipo specifico dell'evento.
Oggetto string Informazioni sull'entità di sicurezza (ad esempio: account utente) che ha avviato l'evento.
SubjectAccount string Informazioni sull'account che avvia l'evento.
SubjectDomainName string Informazioni sul dominio o sul gruppo di lavoro a cui appartiene l'account soggetto.
SubjectKeyIdentifier string Identificatore univoco per un determinato soggetto del certificato.
SubjectLogonId string Identificatore univoco per la sessione di accesso associata all'account soggetto.
SubjectMachineName string Informazioni sul computer o sul sistema da cui è stato creato l'evento.
SubjectMachineSID string Identificatore di sicurezza (SID) per il computer che ha generato l'evento.
SubjectUserName string Nome dell'account utente che ha generato l'evento.
SubjectUserSid string Identificatore di sicurezza (SID) per l'account utente che ha generato l'evento.
_SubscriptionId string Identificatore univoco della sottoscrizione a cui è associato il record
SubStatus string Informazioni aggiuntive sull'errore di accesso. I codici di stato secondario più comuni elencati nella tabella 12. Codici di stato di accesso di Windows'.
SystemProcessId int Identifica il processo che ha generato l'evento.
SystemThreadId int Identifica il thread che ha generato l'evento.
SystemUserId string ID dell'utente responsabile dell'evento.
TableId string Identificatore di tabella dati specifico in cui vengono archiviati i dati dell'evento.
TargetAccount string Account di destinazione dell'evento (nome utente, nome computer e così via).
TargetDomainName string Nome del dominio a cui appartiene l'account di destinazione.
TargetInfo string Informazioni aggiuntive sulla destinazione dell'evento, ad esempio il percorso di un file o di una cartella, il nome di una chiave del Registro di sistema e così via.
TargetLinkedLogonId string Informazioni che consentono di collegare gli eventi correlati in base agli ID tentativi di accesso. Può essere utile per mantenere organizzati tutti gli eventi rilevanti, tenere traccia delle attività in più sessioni e identificare l'origine degli attacchi.
TargetLogonGuid string Identificatore univoco globale (GUID) associato alla sessione di accesso correlata all'evento.
TargetLogonId string Identificatore univoco associato alla sessione di accesso correlata all'evento.
TargetOutboundDomainName string Il dominio su cui è stato autenticato l'account specificato nel campo TargetAccount durante un tentativo di autenticazione in uscita.
TargetOutboundUserName string Nome dell'account utente autenticato durante un tentativo di autenticazione in uscita.
TargetServerName string Nome del server in cui è stato eseguito il nuovo processo. Ha il valore "localhost" se il processo è stato eseguito localmente.
TargetSid string Identificatore di sicurezza (SID) del server in cui è stato eseguito il nuovo processo.
TargetUser string Identificatore dell'account utente che ha generato il nuovo processo.
TargetUserName string Nome dell'account utente che ha generato il nuovo processo.
TargetUserSid string Identificatore di sicurezza (SID) associato all'utente o alla risorsa coinvolta nell'evento.
Attività int Attività definita nell'evento.
TemplateContent string Contenuto del messaggio o della notifica dell'evento in un formato strutturato.
TemplateDSObjectFQDN string FQDN dell'oggetto DS che rappresenta il modello di oggetto Criteri di gruppo.
TemplateInternalName string Nome interno del modello di oggetto Criteri di gruppo.
TemplateOID string identificatore univoco per il modello utilizzato per creare l'evento.
TemplateSchemaVersion string Versione dello schema del modello che definisce i dati da includere con un evento.
TemplateVersion string Versione del modello che definisce i dati da includere con un evento.
TenantId string L'ID dell'area di lavoro Log Analytics
TimeGenerated datetime Timestamp quando l'evento è stato generato nel computer.
TokenElevationType string Tipo di token assegnato a un nuovo processo in base ai criteri di controllo dell'account utente.
TransmittedServices string Elenco dei servizi trasmessi. I servizi trasmessi vengono popolati se l'accesso è risultato di un processo di accesso S4U (Service For User). S4U è un'estensione Microsoft del protocollo Kerberos per consentire a un servizio dell'applicazione di ottenere un ticket di servizio Kerberos per conto di un utente, in genere eseguito da un sito Web front-end per accedere a una risorsa interna per conto di un utente. Per altre informazioni su S4U, vedere https://msdn.microsoft.com/library/cc246072.aspx.
Type string Nome della tabella
UserAccountControl string Mostra l'elenco delle modifiche apportate all'attributo userAccountControl. Verrà visualizzata una riga di testo per ogni modifica.
UserParameters string Se si modifica un'impostazione utilizzando Utenti e computer di Active Directory console di gestione nella scheda Accesso esterno delle proprietà dell'account dell'utente, verrà visualizzato <il valore modificato, ma non visualizzato> in questo campo. Per gli account locali, questo campo non è applicabile e ha <sempre valore non impostato> .
UserPrincipalName string Nome di accesso in stile Internet per l'account, basato sullo standard Internet RFC 822. Per convenzione, questo deve essere mappato al nome di posta elettronica dell'account.
UserWorkstations string Contiene l'elenco di nomi NetBIOS o DNS dei computer da cui l'utente può accedere. Ogni nome computer è separato da una virgola. Il nome di un computer è la proprietà sAMAccountName di un oggetto computer.
VendorIds string Attributo "Id hardware" del dispositivo. Per visualizzare le proprietà del dispositivo, avviare Gestione dispositivi, aprire proprietà specifiche del dispositivo e fare clic su "Dettagli".
Versione int Contiene il numero di versione della definizione dell'evento.
VirtualAccount string Flag "Sì" o "No", che indica se l'account è un account virtuale (ad esempio, "Account del servizio gestito"), introdotto in Windows 7 e Windows Server 2008 R2 per fornire la possibilità di identificare l'account usato da un determinato servizio, invece di usare semplicemente "NetworkService".
Workstation string Nome del computer utilizzato per eseguire l'evento.
WorkstationName string Nome del computer da cui è stato eseguito un tentativo di accesso.