Freigeben über

ASimDhcpEventLogs

  • Artikel

Das ASIM-DHCP-Schema stellt DHCP-Serveraktivitäten dar, einschließlich der Bereitstellung von Anforderungen für DHCP-IP-Adressen, die von Clientsystemen geleast werden, und der Aktualisierung eines DNS-Servers mit den gewährten Leases.

Tabellenattribute

attribute Wert
Ressourcentypen microsoft.securityinsights/asimtables
Kategorien Sicherheit
Lösungen SecurityInsights
Standardprotokoll No
Erfassungszeittransformation Ja
Beispielabfragen -

Spalten

Spalte Type BESCHREIBUNG
AdditionalFields dynamisch Zusätzliche Informationen, dargestellt mithilfe von Schlüssel-Wert-Paaren, die von der Quelle bereitgestellt werden, die nicht ASim zugeordnet sind.
_BilledSize real Die Datensatzgröße in Bytes.
DhcpCircuitId Zeichenfolge Die DHCP-Schaltkreis-ID, wie durch RFC3046 definiert.
DhcpLeaseDuration int Die Länge der einem Client gewährten Lease in Sekunden.
DhcpSessionDuration int Die Zeitspanne in Millisekunden für den Abschluss der DHCP-Sitzung.
DhcpSessionId Zeichenfolge Der Sitzungsbezeichner, der vom meldenden Gerät gemeldet wird. Für den Windows DHCP-Server legen Sie diesen auf das Feld „TransactionID“ fest.
DhcpSrcDHCId Zeichenfolge Die DHCP-Client-ID, wie von RFC4701 definiert.
DhcpSubscriberId Zeichenfolge Die DHCP-Abonnent-ID, wie von RFC3993 definiert.
DhcpUserClass Zeichenfolge Die DHCP-Benutzerklasse gemäß RFC3004.
DhcpUserClassId Zeichenfolge Die DHCP-Benutzerklassen-ID gemäß RFC3004.
DhcpVendorClass Zeichenfolge Die DHCP-Herstellerklasse gemäß RFC3925.
DhcpVendorClassId Zeichenfolge Die DHCP-Herstellerklassen-ID gemäß RFC3925.
DvcAction Zeichenfolge Bei meldenden Sicherheitssystemen ist dies die vom System ausgeführte Aktion (falls zutreffend).
DvcDescription Zeichenfolge Ein mit dem Gerät verknüpfter beschreibender Text.
DvcDomain Zeichenfolge Die Domäne des Geräts, auf dem das Ereignis aufgetreten ist oder das das Ereignis gemeldet hat, je nach Schema
DvcDomainType Zeichenfolge Der Typ von DvcDomain.
DvcFQDN Zeichenfolge Je nach Schema ist dies der Hostname des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcHostname Zeichenfolge Je nach Schema ist dies der Hostname des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcId Zeichenfolge Je nach Schema ist dies die eindeutige ID des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcIdType Zeichenfolge Der Typ von DvcId.
DvcInterface Zeichenfolge Die Netzwerkschnittstelle, über die Daten erfasst wurden. Dieses Feld ist in der Regel für netzwerkbezogene Aktivitäten relevant, die von einem Zwischen- oder TAP-Gerät erfasst werden.
DvcIpAddr Zeichenfolge Je nach Schema ist dies die IP-Adresse des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcMacAddr Zeichenfolge Die MAC-Adresse des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcOriginalAction Zeichenfolge Die ursprüngliche DvcAction, wie vom meldenden Gerät angegeben.
DvcOs Zeichenfolge Das Betriebssystem, das auf dem Gerät ausgeführt wird, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcOsVersion Zeichenfolge Die Version des Betriebssystems auf dem Gerät, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat.
DvcScope Zeichenfolge Der Cloudplattformbereich, zu dem das Gerät gehört. DvcScope wird einem Abonnementnamen in Azure und einer Konto-ID in AWS zugeordnet.
DvcScopeId Zeichenfolge Die ID des Cloudplattformbereichs, zu dem das Gerät gehört. DvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
DvcZone Zeichenfolge Je nach Schema ist dies das Netzwerk, in dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Die Zone wird vom meldenden Gerät definiert.
EventCount int Die Anzahl der Ereignisse, die vom Datensatz beschrieben werden. Dieser Wert wird verwendet, wenn die Quelle Aggregation unterstützt. Ein einzelner Datensatz kann mehrere Ereignisse darstellen.
EventEndTime datetime Der Zeitpunkt, zu dem das Ereignis geendet hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, wird der Zeitpunkt, zu dem das letzte Ereignis generiert wurde, generiert. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar.
EventMessage Zeichenfolge Eine allgemeine Nachricht oder Beschreibung, entweder im Datensatz enthalten oder aus ihm generiert.
EventOriginalResultDetails Zeichenfolge Die ursprünglichen Ergebnisdetails, die von der Quelle bereitgestellt werden. Dieser Wert wird verwendet, um das Feld EventResultDetails abzuleiten, das nur einen der für jedes Schema dokumentierten Werte enthalten sollte.
EventOriginalSeverity Zeichenfolge Der ursprüngliche Schweregrad, wie vom meldenden Gerät angegeben. Dieser Wert wird zum Ableiten von EventSeverity verwendet.
EventOriginalSubType Zeichenfolge Der ursprüngliche Ereignisuntertyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt.
EventOriginalType Zeichenfolge Der ursprüngliche Ereignistyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt.
EventOriginalUid Zeichenfolge Eine eindeutige ID des ursprünglichen Datensatzes, sofern von der Quelle bereitgestellt.
EventOwner Zeichenfolge Der Besitzer des Ereignisses, bei dem es sich in der Regel um die Abteilung oder Niederlassung handelt, in der das Ereignis generiert wurde
EventProduct Zeichenfolge Das Produkt, das das Ereignis erzeugt. Der Wert sollte einer der unter Anbieter und Produkte aufgeführten Werte sein.
EventProductVersion Zeichenfolge Die Version des Produkts, das das Ereignis erzeugt.
EventReportUrl Zeichenfolge Eine URL, die im Ereignis für eine Ressource bereitgestellt wird, die weitere Informationen zum Ereignis enthält.
EventResult Zeichenfolge Das Ergebnis des Ereignisses, dargestellt durch einen der folgenden Werte: Success, Partial, Failure, NA (Not Applicable).
EventResultDetails Zeichenfolge Grund oder Details für das im Feld EventResult gemeldete Ergebnis.
EventSchema Zeichenfolge Das Schema, in das das Ereignis normalisiert wird. Jedes Schema dokumentiert seinen Schemanamen.
EventSchemaVersion Zeichenfolge Die Version des Schemas. In jedem Schema ist die aktuelle Version dokumentiert.
EventSeverity Zeichenfolge Der Schweregrad des Ereignisses.
EventStartTime datetime Der Zeitpunkt, zu dem das Ereignis begonnen hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, wird der Zeitpunkt, zu dem das erste Ereignis generiert wurde, generiert. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar.
EventSubType Zeichenfolge Beschreibt eine Untereinheit des Vorgangs, der im Feld EventType gemeldet wird.
EventType Zeichenfolge Beschreibt den vom Datensatz gemeldeten Vorgang.
EventVendor Zeichenfolge Der Hersteller des Produkts, das das Ereignis erzeugt. Der Wert sollte einer der unter Anbieter und Produkte aufgeführten Werte sein.
_IsBillable Zeichenfolge Gibt an, ob die Erfassung der Daten gebührenpflichtig ist. Wenn _IsBillable auf false festgelegt ist, wird die Datenerfassung Ihrem Azure-Konto nicht in Rechnung gestellt.
RequestedIpAddr Zeichenfolge Die vom DHCP-Client angeforderte IP-Adresse (sofern verfügbar).
_ResourceId Zeichenfolge Ein eindeutiger Bezeichner für die Ressource, der der Datensatz zugeordnet ist.
RuleName Zeichenfolge Der Name oder die ID der Regel, die den Inspektionsergebnissen zugeordnet ist.
RuleNumber int Die Nummer der Regel, die den Inspektionsergebnissen zugeordnet ist.
SourceSystem Zeichenfolge Typ des Agents, von dem das Ereignis gesammelt wurde. Beispiel: OpsManager für den Windows-Agent (direkte Verbindung oder Operations Manager), Linux für alle Linux-Agents oder Azure für die Azure-Diagnose
SrcDescription Zeichenfolge Ein mit dem Gerät verknüpfter beschreibender Text.
SrcDeviceType Zeichenfolge Der Gerätetyp.
SrcDomain Zeichenfolge Die Domäne des Geräts.
SrcDomainType Zeichenfolge Die Art der Domäne.
SrcDvcId Zeichenfolge Die ID des Geräts
SrcDvcIdType Zeichenfolge Der Typ der DvcId.
SrcDvcScope Zeichenfolge Der Cloudplattformbereich, zu dem das Gerät gehört.
SrcDvcScopeId Zeichenfolge Die ID des Cloudplattformbereichs, zu dem das Gerät gehört.
SrcFQDN Zeichenfolge Der Gerätehostname, einschließlich Domäneninformationen, wenn verfügbar.
SrcGeoCity Zeichenfolge Die Stadt, die der Quell-IP-Adresse zugeordnet ist.
SrcGeoCountry Zeichenfolge Das Land/die Region, das bzw. die der Quell-IP-Adresse zugeordnet ist.
SrcGeoLatitude real Der Breitengrad der geografischen Koordinate, die der Quell-IP-Adresse zugeordnet ist.
SrcGeoLongitude real Der Längengrad der geografischen Koordinate, die der Quell-IP-Adresse zugeordnet ist.
SrcGeoRegion Zeichenfolge Die Region innerhalb eines Landes, das der Quell-IP-Adresse zugeordnet ist.
SrcHostname Zeichenfolge Der Gerätehostname, mit Ausnahme von Domäneninformationen.
SrcIpAddr Zeichenfolge Die IP-Adresse des Quellgeräts.
SrcMacAddr Zeichenfolge Die MAC-Adresse der Netzwerkschnittstelle, von der aus die Verbindung oder Sitzung hergestellt wurde.
SrcOriginalRiskLevel Zeichenfolge Die Risikostufe, die mit der identifizierten Quelle verknüpft ist, wie vom Berichterstellungsgerät gemeldet.
SrcOriginalUserType Zeichenfolge Der ursprüngliche Quellbenutzertyp, sofern von der Quelle bereitgestellt.
SrcPortNumber int Der IP-Port, auf dem das Gerät kommuniziert hat, falls zutreffend.
SrcRiskLevel int Die Risikostufe, die der identifizierten Quelle zugeordnet ist.
SrcUserId Zeichenfolge Eine maschinenlesbare, alphanumerische, eindeutige Darstellung des Benutzers.
SrcUserIdType Zeichenfolge Der Typ von SrcUserId.
SrcUsername Zeichenfolge Der Benutzername des Benutzers, einschließlich Domäneninformationen, wenn verfügbar.
SrcUsernameType Zeichenfolge Der Typ des Benutzernamens.
SrcUserScope Zeichenfolge Der Typ des Benutzernamens.
SrcUserScopeId Zeichenfolge Die Bereichs-ID, z. B. azure AD-Mandanten-ID, in der Benutzer-ID und Benutzername definiert sind.
SrcUserSessionId Zeichenfolge Die eindeutige ID der Anmeldesitzung des Benutzers.
SrcUserType Zeichenfolge Der Typ des Benutzers
SrcUserUid Zeichenfolge Die Unix- oder Linux-Benutzer-ID des Benutzers.
_SubscriptionId Zeichenfolge Ein eindeutiger Bezeichner für das Abonnement, dem der Datensatz zugeordnet ist.
TenantId Zeichenfolge Die ID des Log Analytics-Arbeitsbereichs.
ThreatCategory Zeichenfolge Die Kategorie der Inaktivität identifizierten Bedrohungen oder Schadsoftware.
ThreatConfidence int Die Konfidenzstufe der identifizierten Bedrohung, normalisiert auf einen Wert zwischen 0 und 100
ThreatField Zeichenfolge Das Feld, für das eine Bedrohung identifiziert wurde.
ThreatFirstReportedTime datetime Das erste Mal, dass die IP-Adresse oder Domäne als Bedrohung identifiziert wurde
ThreatId Zeichenfolge Die ID der in der Aktivität identifizierten Bedrohung oder Schadsoftware.
ThreatIsActive bool True ID; die identifizierte Bedrohung wird als aktive Bedrohung betrachtet.
ThreatLastReportedTime datetime Das letzte Mal, dass die IP-Adresse oder Domäne als Bedrohung identifiziert wurde
ThreatName Zeichenfolge Der Name der in der Aktivität identifizierten Bedrohung oder Schadsoftware.
ThreatOriginalConfidence Zeichenfolge Die ursprüngliche Konfidenzstufe der identifizierten Bedrohung, wie vom meldenden Gerät gemeldet.
ThreatOriginalRiskLevel Zeichenfolge Die Risikostufe, wie vom meldenden Gerät gemeldet.
ThreatRiskLevel int Die Risikostufe, die der identifizierten Bedrohung zugeordnet ist. Hierbei muss es sich um eine Zahl zwischen 0 und 100 handeln.
TimeGenerated datetime Der Zeitstempel (UTC), der die Uhrzeit widerspiegelt, in der das Ereignis generiert wurde.
type Zeichenfolge Der Name der Tabelle.