ฟิลด์ของ Windows

Windows agent อ่าน Event Log แล้วส่งค่าใน EventData ของแต่ละ event มาเป็นฟิลด์แยก L-Flow แปลงฟิลด์ที่สำคัญเป็นชื่อ ECS และตั้ง event.action ตาม Event ID ฟิลด์ EventData ที่ไม่ได้แปลงจะถูกเก็บด้วยชื่อเดิมของ Windows เช่น SubjectDomainName, LogonId

ตัวอย่าง

Event 4625 (logon ไม่สำเร็จ) จาก Security log หลังแปลงแล้ว จะเห็นใน Explore เป็น:

timestamp               2026-09-24T03:15:32.1234567Z
vendor                  windows
devid                   windows-3f9a1c7e2b8d4e6fa1b2c3d4e5f60718
type                    auth
severity                high
winlog.channel          Security
winlog.provider_name    Microsoft-Windows-Security-Auditing
winlog.record_id        884213
event.code              4625
event.action            logon_failed
event.outcome           failure
host.hostname           FIN-PC07.corp.example.com
user.name               jdoe
user.domain             CORP
source.ip               203.0.113.50
source.port             51122
source.domain           ATTACKER-PC
winlog.logon.type       3
message                 Microsoft-Windows-Security-Auditing event 4625 (Failure)

ฟิลด์ที่มีในทุก event

ฟิลด์ ECS	มาจาก	ความหมาย
timestamp	TimeCreated	เวลาที่ Windows บันทึก event เป็น UTC
vendor	—	ค่าคงที่ `windows`
devid	agent	รหัสเครื่องที่ได้ตอนลงทะเบียน agent รูปแบบ `windows-` ตามด้วย machine ID ไม่ใช่ hostname
type	Channel	หมวดของ event ดู ค่าของ type
winlog.channel	Channel	ชื่อ log เช่น `Security`, `Microsoft-Windows-Sysmon/Operational`
winlog.provider_name	Provider	โปรแกรมที่เขียน event
event.code	EventID	Event ID ของ Windows
winlog.record_id	EventRecordID	ลำดับของ event ใน log นั้น
host.hostname	Computer	ชื่อเครื่องตามที่ Windows บันทึก
event.outcome	Keywords	`success` หรือ `failure` (Audit Success / Audit Failure) มีเฉพาะ event ประเภท audit
severity	Level	ระดับความรุนแรง ดู severity
event.action	Event ID	สิ่งที่เกิดขึ้น ดูแต่ละหัวข้อด้านล่าง
message	—	สรุปสั้น `Provider event EventID (Outcome)` ไม่ใช่ข้อความที่ Event Viewer แสดง

ค่าของ type

type	Channel
auth	Security, Microsoft-Windows-TerminalServices-*
system	System, Directory Service, DFS Replication, Microsoft-Windows-DNS-Server/*
app	Application
antivirus	Microsoft-Windows-Windows Defender/Operational
winevent	channel อื่นทั้งหมด เช่น Sysmon, PowerShell, WMI-Activity, Task Scheduler, Windows Firewall

Note:event ของ Sysmon อยู่ใน type:winevent ค้นด้วย winlog.channel:"Microsoft-Windows-Sysmon/Operational" หรือด้วย event.action เช่น event.action:network_connection

severity

severity	Level ของ Windows
critical	Critical
high	Error
medium	Warning
information	Information, Verbose

event ใน Security log เป็น Level Information เสมอ แม้เป็น Audit Failure L-Flow จึงปรับ event ที่ event.outcome เป็น failure ให้เป็น high และการปิด Windows Defender (5001, 5010, 5012) เป็น high เสมอ

Security log

Logon

Event ID	event.action	ฟิลด์ที่ได้
4624	logon_success	user.name, user.domain, source.ip, source.port, source.domain (ชื่อเครื่องต้นทาง), winlog.logon.type
4625	logon_failed	เหมือน 4624
4634, 4647	logoff	user.name
4672	privileged_logon	user.name (บัญชีที่ได้สิทธิ์ผู้ดูแลตอน logon)
4740	account_locked	user.name
4776	ntlm_auth	user.name, source.domain

winlog.logon.type คือวิธี logon: 2 ที่หน้าเครื่อง, 3 ผ่านเครือข่าย (เช่น แชร์ไฟล์), 4 batch, 5 service, 7 ปลดล็อกหน้าจอ, 10 RDP, 11 cached credential

Process

Event ID	event.action	ฟิลด์ที่ได้
4688	process_start	process.executable, process.command_line, process.parent.executable, user.name
4689	process_end	process.executable, user.name
4673, 4674	sensitive_privilege_use	user.name, winlog.privilege_list

process.command_line ใน 4688 มีค่าเฉพาะเครื่องที่เปิดการบันทึก command line ของ process creation แล้ว

บัญชีและกลุ่ม

ทุก event ในหัวข้อนี้มี user.name = คนที่ทำรายการ, user.target.name = บัญชีที่ถูกกระทำ และ group.name = กลุ่ม (ถ้ามี) ใช้กรองกลุ่มสำคัญได้ด้วยชื่อ เช่น group.name:"Domain Admins"

Event ID	event.action
4720	user_created
4722	user_enabled
4723	password_change_attempt
4724	password_reset
4725	user_disabled
4726	user_deleted
4728	group_member_added (global group)
4729	group_member_removed (global group)
4732	local_group_member_added
4733	local_group_member_removed
4738	user_changed
4741	computer_created
4742	computer_changed
4743	computer_deleted
4756	universal_group_member_added
4757	universal_group_member_removed
4781	account_renamed
Event ID อื่นในช่วง 4720–4781 รวม Kerberos (4768–4772) และ 4739	account_management

อื่นๆ ใน Security log

Event ID	event.action	ฟิลด์ที่ได้
4698–4702	scheduled_task_created / deleted / enabled / disabled / updated	file.name (ชื่อ task), user.name
4662	directory_service_access	winlog.ds_access.object_name, winlog.ds_access.properties (GUID ของสิทธิ์ที่ใช้ ใช้ตรวจ DCSync), user.name
5136–5139	directory_object_modified / created / undeleted / moved	winlog.ds_change.object_dn, user.name
4713, 4719	policy_change	—
6416, 6419–6422	removable_device_change	file.name (ชื่ออุปกรณ์)

System log

Event ID	event.action	ฟิลด์ที่ได้
7045	service_installed	service.name, file.path (path ของโปรแกรม service), user.name (บัญชีที่ service ใช้รัน)
7034	service_crashed	service.name
7035	service_control_sent	service.name
7036	service_state_changed	service.name
7040	service_start_type_changed	service.name
6005	system_startup	—
6006	system_shutdown	—
6008	system_unexpected_shutdown	—

Sysmon

มีเฉพาะเครื่องที่ติดตั้ง Sysmon ทุก event ของ Sysmon ที่มีฟิลด์เหล่านี้จะได้: process.executable (Image), process.command_line, process.parent.executable, process.parent.command_line, user.name, file.hash.sha256 และ file.hash.md5 (แยกจาก Hashes)

Event ID	event.action	ฟิลด์ที่ได้เพิ่ม
1	process_start	—
3	network_connection	source.ip, source.port, destination.ip, destination.port, network.transport
5	process_end	—
6	driver_load	file.path (ไฟล์ driver)
7	image_load	file.path (DLL ที่โหลด)
8	process_injection	process.executable (ต้นทาง), process.target.executable (process ที่ถูก inject)
10	process_access	process.executable, process.target.executable, winlog.granted_access · ถ้าเป้าหมายคือ lsass.exe จะมี `tags:lsass_access`
11	file_create	file.path
12	registry_key_create	registry.path
13	registry_value_set	registry.path, registry.value
14	registry_key_rename	registry.path
17	named_pipe_create	file.name (ชื่อ pipe)
18	named_pipe_connect	file.name (ชื่อ pipe)
19	wmi_filter_event	winlog.wmi.name, winlog.wmi.query
20	wmi_consumer_event	winlog.wmi.name, winlog.wmi.consumer
21	wmi_binding_event	winlog.wmi.consumer, winlog.wmi.filter
22	dns_query	dns.question.name, dns.answers

Channel อื่น

Channel	Event ID	event.action	ฟิลด์ที่ได้
PowerShell/Operational	4104	powershell_script_block	powershell.script_block_text (ตัดที่ 4,096 ตัวอักษร, powershell.script_block_truncated = true เมื่อถูกตัด), powershell.script_block_id, file.path
PowerShell/Operational	4103	powershell_module_logging	powershell.command_details (ตัดที่ 4,096 ตัวอักษร)
TerminalServices-*	1149	rdp_auth_success	user.name, user.domain, source.ip
TerminalServices-*	21	rdp_session_logon	—
TerminalServices-*	22	rdp_shell_start	—
TerminalServices-*	25	rdp_session_reconnect	—
Windows Defender/Operational	1116	malware_detected	—
Windows Defender/Operational	1117	malware_action_taken	—
Windows Defender/Operational	5001, 5010, 5012	protection_disabled	severity high
Windows Firewall With Advanced Security/Firewall	ทุก ID	firewall_rule_change	—
WMI-Activity/Operational	ทุก ID	wmi_activity	—
TaskScheduler/Operational	ทุก ID	scheduled_task_activity	—
Directory Service	ทุก ID	directory_service_event	—
DFS Replication	ทุก ID	dfs_replication_event	—
DNS-Server/*	ทุก ID	dns_server_event	—

Note:event ของ Windows Defender และ DNS Server ยังไม่ได้แปลงฟิลด์เป็น ECS ชื่อภัยคุกคามและรายละเอียดอื่นยังอยู่ในฟิลด์ชื่อเดิมของ Windows ค้นได้ตามปกติ

ฟิลด์ที่ไม่ได้แปลงชื่อ

ฟิลด์ EventData อื่นทั้งหมดถูกเก็บด้วยชื่อเดิมของ Windows (ขึ้นต้นด้วยตัวพิมพ์ใหญ่) เช่น SubjectDomainName, LogonId, ProcessId, Status, SubStatus ชื่อและความหมายของแต่ละฟิลด์ดูได้จาก เอกสารของ Microsoft สำหรับ Event ID นั้น

ติดตั้ง agent ดูที่ Windows · ฟิลด์ของ Linux ดูที่ ฟิลด์ของ Linux