高度なハンティング スキーマ - 名前の変更

  • 適用対象: Microsoft Defender XDR, Microsoft Sentinel in the Microsoft Defender portal

重要

この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。

高度なハンティング スキーマは、新しいテーブルと列を追加するために定期的に更新されます。 場合によっては、ユーザー エクスペリエンスを向上させるために、既存の列名の名前が変更または置き換えられます。 クエリに影響を与える可能性がある名前付けの変更を確認するには、この記事を参照してください。

名前付けの変更は、カスタム検出ルールで使用されるクエリを含め、Microsoft Defenderに保存されるクエリに自動的に適用されます。 これらのクエリを手動で更新する必要はありません。 ただし、次のクエリを更新する必要があります。

  • API を使用して実行されるクエリ
  • Microsoft Defender以外の場所に保存されているクエリ

2026 年 6 月

  • AIAgentsInfo テーブルは、AgentsInfo テーブルに移行しています。 AIAgentsInfo テーブルは、もともとCopilot Studioシナリオ用に構築されており、その列の多くは、そのプラットフォームに固有でした。 新しいAgentsInfo テーブルには、Copilot Studio、Microsoft Foundry、Microsoft 365 Copilot、サード パーティのエージェント、エンドポイントで検出されたエージェントなど、すべてのエージェントの種類に対するエージェント インベントリとガバナンスをサポートする統合スキーマが用意されています。 Microsoft Agent 365お客様は、AgentsInfo テーブルを今すぐ使用する必要があります。

    新しいテーブルの主な変更には、エージェント ID、認証、アクセス許可、ライフサイクル、構成の範囲が拡大されています。 新しいスキーマには、追加のエージェント データを JSON 形式で格納する RawAgentInfo 列も含まれています。スキーマの進化に伴うデータ損失を防止します。

    この変更を準備するには:

    • 高度なハンティング クエリを更新して、AgentsInfoではなくAIAgentsInfo テーブルを使用します。
    • 新しいテーブルで列名が変更されたので、列名 AIAgentsInfo 参照するすべてのフィルター、プロジェクション、または結合を確認して更新します。
    • API を介して実行されるクエリ、またはMicrosoft Defender XDRの外部に保存されたクエリを更新します。 カスタム検出ルールを含む、Microsoft Defender XDRに保存されたクエリは自動的に更新されます。

    AIAgentsInfo テーブルは、移行の時間を確保するために、2026 年 7 月 1 日までアクセスできます。

2025 年 11 月

  • 高度なハンティング結果のブール値フィールド値は、2026 年 2 月 25 日に数値 (1 と 0) からテキスト (True と False) に変更されます。 クエリとカスタム検出ルールは、この変更の影響を受けることはありませんが、これらの値を解析する自動プロセス (スクリプト、プレイブック、統合など) を更新する必要がある場合があります。

  • AADSignInEventsBetaテーブルとAADSpnSignInEventsBetaテーブルはそれぞれEntraIdSignInEventsとEntraIdSpnSignInEventsに置き換えられます。 これらの変更は、以前のテーブルのプレビュー状態を削除し、既存の製品ブランドに合わせて調整するために行われています。

    EntraIdSignInEventsテーブルとEntraIdSpnSignInEvents テーブルを使用できるようになりました。 レガシ AADSignInEventsBetaテーブルと AADSpnSignInEventsBeta テーブルは、クエリを更新するための時間を許可するために、30 日間スキーマに残ります。 カスタム検出は自動的に更新され、変更は必要ありません。 2025 年 12 月 9 日に、 AADSignInEventsBetaと AADSpnSignInEventsBeta がスキーマから削除されます。

2025 年 9 月

AADSignInEventsBeta テーブルでは、現在の製品ブランド化に合わせて、AadDeviceId列が EntraIdDeviceId と呼ばれる新しい列に置き換えられます。 レガシ AadDeviceId 列は、クエリの更新に時間を割り当てるために、30 日間スキーマに残ります。 この期間が 30 日経過すると、 AadDeviceId がスキーマから削除されます。

2025 年 5 月

IdentityInfo テーブルでは、SourceProvider列が IdentityEnvironment 列に置き換えられました。 この変更は、Microsoft Sentinelログ分析で同様のテーブルを使用して、統合されたIdentityInfo テーブルを合理化するために行われました。 統合テーブルに新しい列 SourceProviders ( s) が追加されたことに注意してください。 この列は、ID のアカウントのソース プロバイダーを参照します。

2021 年 5 月

AppFileEvents テーブルは非推奨になりました。 CloudAppEvents テーブルには、AppFileEvents テーブルに含まれる以前の情報と、クラウド サービスの他のアクティビティが含まれています。

2021 年 3 月

DeviceTvmSoftwareInventoryVulnerabilities テーブルは非推奨になりました。 置き換えることは、 DeviceTvmSoftwareInventory テーブルと DeviceTvmSoftwareVulnerabilities テーブルです。

2021 年 2 月

  • EmailAttachmentInfo テーブルと EmailEvents テーブルでは、MalwareFilterVerdict列とPhishFilterVerdict列が ThreatTypes 列に置き換えられました。 MalwareDetectionMethod列とPhishDetectionMethod列も、DetectionMethods列に置き換えられました。 この合理化により、新しい列の下に詳細情報を提供できます。 マッピングを以下に示します。

    テーブル名 元の列名 新しい列名 変更の理由
    EmailAttachmentInfo MalwareDetectionMethod
    PhishDetectionMethod    		 DetectionMethods その他の検出方法を含める
    EmailAttachmentInfo MalwareFilterVerdict
    PhishFilterVerdict    		 ThreatTypes より多くの脅威の種類を含める
    EmailEvents MalwareDetectionMethod
    PhishDetectionMethod    		 DetectionMethods その他の検出方法を含める
    EmailEvents MalwareFilterVerdict
    PhishFilterVerdict    		 ThreatTypes より多くの脅威の種類を含める

  • EmailAttachmentInfo テーブルと EmailEvents テーブルでは、電子メールの脅威に関する詳細情報を提供するために、ThreatNames列が追加されました。 この列には、スパムやフィッシングなどの値が含まれています。

  • DeviceInfo テーブルでは、顧客からのフィードバックに基づいて、DeviceObjectId列がAadDeviceId列に置き換えられました。

  • DeviceEvents テーブルでは、アクションの説明をより適切に反映するために、複数の ActionType 名が変更されました。 変更の詳細については、以下を参照してください。

    テーブル名 元の ActionType 名 新しい ActionType 名 変更の理由
    DeviceEvents UsbDriveMount UsbDriveMounted お客様のフィードバック
    DeviceEvents UsbDriveUnmount UsbDriveUnmounted お客様のフィードバック
    DeviceEvents WriteProcessMemoryApiCall WriteToLsassProcessMemory お客様のフィードバック

2021 年 1 月

列名 元の値の名前 新しい値の名前 変更の理由
DetectionSource Defender for Cloud Apps（クラウドアプリケーション用ディフェンダー） Microsoft Defender for Cloud Apps（クラウドアプリを守るマイクロソフトのセキュリティサービス） ブランド
DetectionSource WindowsDefenderAtp EDR ブランド
DetectionSource WindowsDefenderAv ウイルス対策 ブランド
DetectionSource WindowsDefenderSmartScreen Smartscreen ブランド
DetectionSource CustomerTI カスタム TI ブランド
DetectionSource OfficeATP Microsoft Defender for Office 365 ブランド
DetectionSource Mtp Microsoft Defender XDR ブランド
DetectionSource AzureATP Microsoft Defender for Identity ブランド
DetectionSource CustomDetection カスタム検出 ブランド
DetectionSource AutomatedInvestigation 自動調査 ブランド
DetectionSource ThreatExperts Microsoft 脅威エキスパート ブランド
DetectionSource サード パーティ TI サード パーティ製センサー ブランド
ServiceSource Microsoft Defender ATP Microsoft Defender for Endpoint（エンドポイント用マイクロソフトディフェンダー） ブランド
ServiceSource Microsoft Threat Protection Microsoft Defender XDR ブランド
ServiceSource Office 365 ATP Microsoft Defender for Office 365 ブランド
ServiceSource Azure ATP Microsoft Defender for Identity ブランド

DetectionSource は AlertInfo テーブルで使用できます。 ServiceSource は、 AlertEvidence テーブルと AlertInfo テーブルで使用できます。

2020 年 12 月

テーブル名 元の列名 新しい列名 変更の理由
EmailEvents FinalEmailAction EmailAction お客様のフィードバック
EmailEvents FinalEmailActionPolicy EmailActionPolicy お客様のフィードバック
EmailEvents FinalEmailActionPolicyGuid EmailActionPolicyGuid お客様のフィードバック

ヒント

さらに多くの情報を得るには、 Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。

  • Last updated on