Referenz zu allgemeinen Schemafeldern des erweiterten Sicherheitsinformationsmodells (Advanced Security Information Model, ASIM) (Vorschauversion)

Einige Felder sind in allen ASIM-Schemas enthalten. Jedes Schema kann Richtlinien für die Verwendung einiger der allgemeinen Felder im Kontext des jeweiligen Schemas hinzufügen. Beispielsweise können die zulässigen Werte für das Feld EventType und für das Feld EventSchemaVersion je nach Schema unterschiedlich sein.

Log Analytics-Standardfelder

Die folgenden Felder werden von Log Analytics in den meisten Fällen für jeden Datensatz generiert. Sie können überschrieben werden, wenn Sie einen benutzerdefinierten Connector erstellen.

Feld	type	Diskussion (Discussion)
TimeGenerated	datetime	Der Zeitpunkt, zu dem das Ereignis vom meldenden Gerät generiert wurde.
Type	String	Die ursprüngliche Tabelle, aus der der Datensatz abgerufen wurde. Dieses Feld ist nützlich, wenn dasselbe Ereignis über mehrere Kanäle in unterschiedlichen Tabellen empfangen werden kann und die gleichen EventVendor- und EventProduct-Werte vorliegen. Ein Sysmon-Ereignis kann z. B. entweder in der Tabelle Event oder in der Tabelle WindowsEvent gesammelt werden.

Hinweis

Log Analytics fügt auch andere Felder hinzu, die für Sicherheitsanwendungsfälle weniger relevant sind. Weitere Informationen finden Sie unter Standardspalten in Azure Monitor-Protokollen.

Allgemeine ASIM-Felder

Die folgenden Felder werden von ASIM für alle Schemas definiert:

Ereignisfelder

Feld	Klasse	type	BESCHREIBUNG
EventMessage	Optional	String	Eine allgemeine Nachricht oder Beschreibung, entweder im Datensatz enthalten oder aus ihm generiert.
EventCount	Obligatorisch.	Integer	Die Anzahl der Ereignisse, die vom Datensatz beschrieben werden. Dieser Wert wird verwendet, wenn die Quelle Aggregation unterstützt. Ein einzelner Datensatz kann mehrere Ereignisse darstellen. Legen Sie den Wert für andere Quellen auf 1 fest.
EventStartTime	Obligatorisch.	Datum/Uhrzeit	Der Zeitpunkt, zu dem das Ereignis begonnen hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, die Zeit, zu der das erste Ereignis generiert wurde. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar.
EventEndTime	Obligatorisch.	Datum/Uhrzeit	Der Zeitpunkt, zu dem das Ereignis geendet hat. Wenn die Quelle Aggregation unterstützt und der Datensatz mehrere Ereignisse darstellt, die Zeit, zu der das letzte Ereignis generiert wurde. Wenn dies nicht vom Quelldatensatz bereitgestellt wird, stellt dieses Feld einen Alias für das Feld TimeGenerated dar.
EventType	Obligatorisch.	Enumerated	Beschreibt den vom Datensatz gemeldeten Vorgang. Jedes Schema definiert die Liste der für dieses Feld gültigen Werte. Der ursprüngliche, quellspezifische Wert wird im Feld EventOriginalType gespeichert.
EventSubType	Optional	Enumerated	Beschreibt eine Untereinheit des Vorgangs, der im Feld EventType gemeldet wird. Jedes Schema definiert die Liste der für dieses Feld gültigen Werte. Der ursprüngliche, quellspezifische Wert wird im Feld EventOriginalSubType gespeichert.
EventResult	Obligatorisch.	Enumerated	Einer der folgenden Werte: Success, Partial, Failure, NA (Not Applicable/nicht zutreffend). Der Wert kann im Quelldatensatz mit anderen Begriffen angegeben werden, die auf diese Werte normalisiert werden sollten. Alternativ kann die Quelle auch nur das Feld EventResultDetails angeben, das analysiert werden muss, um den EventResult-Wert abzuleiten. Beispiel: Success
EventResultDetails	Empfohlen	Enumerated	Grund oder Details für das im Feld EventResult gemeldete Ergebnis. Jedes Schema definiert die Liste der für dieses Feld gültigen Werte. Der ursprüngliche, quellspezifische Wert wird im Feld EventOriginalResultDetails gespeichert. Beispiel: NXDOMAIN
EventUid	Empfohlen	String	Die eindeutige ID des Datensatzes, die von Microsoft Sentinel zugewiesen wurde. Dieses Feld ist in der Regel dem Log Analytics-Feld _ItemId zugeordnet.
EventOriginalUid	Optional	String	Eine eindeutige ID des ursprünglichen Datensatzes, sofern von der Quelle bereitgestellt. Beispiel: 69f37748-ddcd-4331-bf0f-b137f1ea83b
EventOriginalType	Optional	String	Der ursprüngliche Ereignistyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt. Dieses Feld wird beispielsweise verwendet, um die ursprüngliche Windows-Ereignis-ID zu speichern. Dieser Wert wird verwendet, um das Feld EventType abzuleiten, das nur einen der für jedes Schema dokumentierten Werte enthalten sollte. Beispiel: 4624
EventOriginalSubType	Optional	String	Der ursprüngliche Ereignisuntertyp oder die ursprüngliche Ereignis-ID, sofern von der Quelle bereitgestellt. Dieses Feld wird beispielsweise verwendet, um den ursprünglichen Windows-Anmeldetyp zu speichern. Dieser Wert wird verwendet, um das Feld EventSubType abzuleiten, das nur einen der für jedes Schema dokumentierten Werte enthalten sollte. Beispiel: 2
EventOriginalResultDetails	Optional	String	Die ursprünglichen Ergebnisdetails, die von der Quelle bereitgestellt werden. Dieser Wert wird verwendet, um das Feld EventResultDetails abzuleiten, das nur einen der für jedes Schema dokumentierten Werte enthalten sollte.
EventSeverity	Empfohlen	Enumerated	Der Schweregrad des Ereignisses. Gültige Werte sind Informational, Low, Medium oder High.
EventOriginalSeverity	Optional	String	Der ursprüngliche Schweregrad, wie vom meldenden Gerät angegeben. Dieser Wert wird zum Ableiten von EventSeverity verwendet.
EventProduct	Obligatorisch.	String	Das Produkt, das das Ereignis erzeugt. Der Wert sollte einer der unter Anbieter und Produkte aufgeführten Werte sein. Beispiel: Sysmon
EventProductVersion	Optional	String	Die Version des Produkts, das das Ereignis erzeugt. Beispiel: 12.1
EventVendor	Obligatorisch.	String	Der Hersteller des Produkts, das das Ereignis erzeugt. Der Wert sollte einer der unter Anbieter und Produkte aufgeführten Werte sein. Beispiel: Microsoft
EventSchema	Obligatorisch.	String	Das Schema, in das das Ereignis normalisiert wird. Jedes Schema dokumentiert seinen Schemanamen.
EventSchemaVersion	Obligatorisch.	String	Die Version des Schemas. In jedem Schema ist die aktuelle Version dokumentiert.
EventReportUrl	Optional	String	Eine URL, die im Ereignis für eine Ressource bereitgestellt wird, die weitere Informationen zum Ereignis enthält.
EventOwner	Optional	String	Der Besitzer des Ereignisses, bei dem es sich in der Regel um die Abteilung oder Niederlassung handelt, in der das Ereignis generiert wurde

Gerätefelder

Die Rolle der Gerätefelder unterscheidet sich für unterschiedliche Schemas und Ereignistypen. Beispiel:

• Für die Netzwerksitzungsereignisse enthalten Gerätefelder in der Regel Informationen zu dem Gerät, das das Ereignis generiert hat.
• Für die Prozessereignisse enthalten die Gerätefelder Informationen zu dem Gerät, auf dem der Prozess ausgeführt wird.

Jedes Schemadokument gibt die Rolle des Geräts für das Schema an.

Feld	Klasse	type	BESCHREIBUNG
Dvc	Alias	String	Je nach Schema ist dies ein eindeutiger Bezeichner des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Dieses Feld kann ein Alias für die Felder DvcFQDN, DvcId, DvcHostname oder DvcIpAddr sein. Verwenden Sie für Cloudquellen, für die es kein offensichtliches Gerät gibt, den gleichen Wert wie das Feld Ereignisprodukt.
DvcIpAddr	Empfohlen	IP-Adresse	Je nach Schema ist dies die IP-Adresse des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: 45.21.42.12
DvcHostname	Empfohlen	Hostname	Je nach Schema ist dies der Hostname des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: ContosoDc
DvcDomain	Empfohlen	String	Je nach Schema ist dies die Domäne des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: Contoso
DvcDomainType	Bedingt	Enumerated	Der Typ von DvcDomain. Eine Liste der zulässigen Werte und weitere Informationen finden Sie unter DomainType. Hinweis: Dieses Feld ist erforderlich, wenn das Feld DvcDomain verwendet wird.
DvcFQDN	Optional	String	Je nach Schema ist dies der Hostname des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: Contoso\DESKTOP-1282V4D Hinweis: Dieses Feld unterstützt sowohl das herkömmliche FQDN-Format als auch das Windows-Format „Domäne\Hostname“. Das Feld DvcDomainType spiegelt das verwendete Format wider.
DvcDescription	Optional	String	Ein mit dem Gerät verknüpfter beschreibender Text. Beispiel: Primary Domain Controller.
DvcId	Optional	String	Je nach Schema ist dies die eindeutige ID des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: 41502da5-21b7-48ec-81c9-baeea8d7d669
DvcIdType	Bedingt	Enumerated	Der Typ von DvcId. Eine Liste der zulässigen Werte und weitere Informationen finden Sie unter DvcIdType. - MDEid Wenn mehrere IDs verfügbar sind, verwenden Sie die erste aus der Liste, und speichern Sie die anderen anhand der Feldnamen DvcAzureResourceId bzw. DvcMDEid. Hinweis: Dieses Feld ist erforderlich, wenn das Feld DvcId verwendet wird.
DvcMacAddr	Optional	MAC	Die MAC-Adresse des Geräts, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: 00:1B:44:11:3A:B7
DvcZone	Optional	String	Je nach Schema ist dies das Netzwerk, in dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Die Zone wird vom meldenden Gerät definiert. Beispiel: Dmz
DvcOs	Optional	String	Das Betriebssystem, das auf dem Gerät ausgeführt wird, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: Windows
DvcOsVersion	Optional	String	Die Version des Betriebssystems auf dem Gerät, auf dem das Ereignis eingetreten ist oder das das Ereignis gemeldet hat. Beispiel: 10
DvcAction	Empfohlen	String	Bei meldenden Sicherheitssystemen ist dies die vom System ausgeführte Aktion (falls zutreffend). Beispiel: Blocked
DvcOriginalAction	Optional	String	Die ursprüngliche DvcAction, wie vom meldenden Gerät angegeben.
DvcInterface	Optional	String	Die Netzwerkschnittstelle, über die Daten erfasst wurden. Dieses Feld ist in der Regel für netzwerkbezogene Aktivitäten relevant, die von einem Zwischen- oder TAP-Gerät erfasst werden.
DvcScopeId	Optional	String	Die ID des Cloudplattformbereichs, zu dem das Gerät gehört. DvcScopeId wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.
DvcScope	Optional	String	Der Cloudplattformbereich, zu dem das Gerät gehört. DvcScope wird einer Abonnement-ID in Azure und einer Konto-ID in AWS zugeordnet.

Weitere Felder

Feld	Klasse	type	BESCHREIBUNG
AdditionalFields	Optional	Dynamisch	Wenn Ihre Quelle zusätzliche Informationen enthält, die erhalten bleiben sollten, behalten Sie sie entweder mit den ursprünglichen Feldnamen bei, oder erstellen Sie das dynamische Feld AdditionalFields, und fügen Sie ihm die zusätzlichen Informationen als Schlüssel-Wert-Paare hinzu.
ASimMatchingIpAddr	Empfohlen	String	Wenn ein Parser die Filterparameter ipaddr_has_any_prefix verwendet, wird dieses Feld mit einem der Werte SrcIpAddr, DstIpAddr oder Both festgelegt, um die übereinstimmenden Felder oder Felder widerzuspiegeln.
ASimMatchingHostname	Empfohlen	String	Wenn ein Parser die Filterparameter hostname_has_any verwendet, wird dieses Feld mit einem der Werte SrcHostname, DstHostname oder Both festgelegt, um die übereinstimmenden Felder oder Felder widerzuspiegeln.

Schemaupdates

• Das Feld EventOwner wurde am 1. Dezember 2022 zu den allgemeinen Feldern und damit zu allen Schemas hinzugefügt.
• Das Feld EventUid wurde am 26. Dezember 2022 zu den allgemeinen Feldern und damit zu allen Schemas hinzugefügt.

Anbieter und Produkte

Um die Konsistenz zu gewährleisten, wird die Liste der zulässigen Anbieter und Produkte als Teil von ASIM festgelegt und entspricht möglicherweise nicht direkt dem von der Quelle gesendeten Wert, sofern verfügbar.

Die derzeit unterstützte Liste der Anbieter und Produkte, die in den Feldern EventVendor bzw. EventProduct verwendet werden, lautet wie folgt:

Hersteller	Produkte
AWS	- CloudTrail - VPC
Cisco	- ASA - Umbrella - IOS - Meraki
Corelight	Zeek
Cynerio	Cynerio
Dataminr	Dataminr Pulse
GCP	Cloud DNS
Infoblox	NIOS
Microsoft	- Microsoft Entra ID - Azure - Azure Firewall - Azure Blob Storage - Azure File Storage - Azure NSG flows - Azure Queue Storage - Azure Table Storage - DNS Server - Microsoft Defender XDR for Endpoint - Microsoft Defender for IoT - Security Events - SharePoint - OneDrive - Sysmon - Sysmon for Linux - VMConnection - Windows Firewall - WireData
Linux	- su - sudo
Okta	- Okta - Auth0
OpenBSD	OpenSSH
Palo Alto	- PanOS - CDL
PostgreSQL	PostgreSQL
Squid	Squid Proxy
Vectra AI	Vectra Steam
WatchGuard	Fireware
Zscaler	- ZIA DNS - ZIA Firewall - ZIA Proxy

Wenn Sie einen Parser für Anbieter oder Produkte entwickeln, die hier nicht aufgeführt sind, bitten Sie das Microsoft Sentinel-Team, neue zulässige Anbieter- und Produktkennzeichner zuzuweisen.

Nächste Schritte

Weitere Informationen finden Sie unter

• Sehen Sie sich das ASIM-Webinar an, oder befassen Sie sich mit den Folien.
• Übersicht über das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Schemas für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Parser für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Inhalte für das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)