azure - 如何在 Azure Sentinel 中获取 OfficeActivity 架构的文件哈希？

Question

我已经彻底检查了这个问题的答案，但运气不佳。似乎无法从 OfficeActivity 架构中获取任何算法的文件哈希。虽然，我在这里发布这个问题来验证我没有错过任何东西！

Answer 1

事实上，文件哈希不是 OfficeActivity 表的一部分。 https://docs.microsoft.com/en-us/azure/azure-monitor/reference/tables/officeactivity

但是，如果您有 Defender for Endpoint，则可以关联 DeviceFileEvents 表中的事件： https ://docs.microsoft.com/en-us/azure/azure-monitor/reference/tables/devicefileevents

连接可能适用于表的 OfficeActivity / ClientMachineName 和 DeviceFileEvents / DeviceName 列。