DeviceNetworkEvents è una tabella di hunting di Microsoft Defender XDR che registra l'attività di rete dagli endpoint. In genere acquisisce dettagli come il dispositivo coinvolto, l'IP o il dominio di destinazione, le porte, il protocollo, il contesto del processo e le marche temporali. Gli analisti della sicurezza la usano per ricostruire a cosa si è connesso un host, quando si è connesso e quale processo ha effettuato la richiesta.
Questa tabella è importante perché molti attacchi dipendono dalla comunicazione in uscita: il malware effettua beacon verso server di comando e controllo, i dati sottratti vengono inviati all'esterno e i sistemi compromessi possono eseguire ricognizioni su altri host. Nelle difese, DeviceNetworkEvents aiuta i team a individuare schemi sospetti come destinazioni rare, porte insolite, connessioni ripetute o traffico collegato a un processo specifico. È anche utile per convalidare le attività di hunting, ma i filtri basati su un singolo campo possono creare punti ciechi se la classificazione della telemetria è incompleta o imprecisa.