CEF および CommonSecurityLog フィールドのマッピング
次の表は、共通イベント形式 (CEF) フィールド名を Microsoft Sentinel の CommonSecurityLog で使用する名前にマップします。Microsoft Sentinel で CEF データ ソースを使用する場合に役立つ場合があります。 詳しくは「Azure Monitor エージェントを使用して syslog と CEF のメッセージを Microsoft Sentinel に取り込む」を参照してください。
A から C
D
E から I
| CEF キー名 | CommonSecurityLog での名前 | 説明 |
|---|---|---|
| externalId | ExternalID | 発信元デバイスによって使用されている ID。 一般に、これらの値は、イベントにそれぞれが関連付けられている、増加してゆく値です。 |
| fileCreateTime | FileCreateTime | ファイルが作成された日時。 |
| fileHash | FileHash | ファイルのハッシュ。 |
| fileId | FileID | ファイルに関連付けられている ID (inode など)。 |
| fileModificationTime | FileModificationTime | ファイルが最後に変更された日時。 |
| filePath | FilePath | ファイル名を含む、ファイルへの完全なパス。 たとえば、C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe や /usr/bin/zip などです。 |
| filePermission | FilePermission | ファイルのアクセス許可。 |
| fileType | FileType | パイプやソケットなどのファイルの種類。 |
| fname | FileName | パスを含まないファイルの名前。 |
| fsize | FileSize | ファイルのサイズ。 |
| Host | Computer | Syslog に記載されているホスト |
| in | ReceivedBytes | 内側へ転送されたバイト数。 |
M から P
| CEF キー名 | CommonSecurityLog での名前 | 説明 |
|---|---|---|
| msg | Message | イベントに関する詳細情報を示すメッセージ。 |
| 名前 | アクティビティ | 人間が判読でき、理解できるイベントの説明を表している文字列。 |
| oldFileCreateTime | OldFileCreateTime | 古いファイルが作成された日時。 |
| oldFileHash | OldFileHash | 古いファイルのハッシュ。 |
| oldFileId | OldFileId | 古いファイルに関連付けられている、inode などの ID。 |
| oldFileModificationTime | OldFileModificationTime | 古いファイルが最後に変更された日時。 |
| oldFileName | OldFileName | 古いファイルの名前。 |
| oldFilePath | OldFilePath | ファイル名を含む、古いファイルへの完全なパス。 たとえば、 C:\ProgramFiles\WindowsNT\Accessories\wordpad.exe または /usr/bin/zip です。 |
| oldFilePermission | OldFilePermission | 古いファイルのアクセス許可。 |
| oldFileSize | OldFileSize | 古いファイルのサイズ。 |
| oldFileType | OldFileType | パイプやソケットなど、古いファイルのファイルの種類。 |
| out | SentBytes | 外側へ転送されたバイト数。 |
| outcome | EventOutcome | イベントの結果 (success や failure など)。 |
| proto | Protocol | 使用されているレイヤー 4 プロトコルを識別するトランスポート プロトコル。 ありえる値として、 TCP や UDP などのプロトコル名が含まれます。 |
R から T
カスタム フィールド
次の表は、どの組み込みフィールドにも適用されないデータに使用できる CEF キーと CommonSecurityLog フィールドの名前を示しています。
カスタム IPv6 アドレス フィールド
次の表に、カスタム データに使用できる IPv6 アドレス フィールドの CEF キーと CommonSecurityLog の名前をマップします。
| CEF キー名 | CommonSecurityLog での名前 |
|---|---|
| c6a1 | DeviceCustomIPv6Address1 |
| c6a1Label | DeviceCustomIPv6Address1Label |
| c6a2 | DeviceCustomIPv6Address2 |
| c6a2Label | DeviceCustomIPv6Address2Label |
| c6a3 | DeviceCustomIPv6Address3 |
| c6a3Label | DeviceCustomIPv6Address3Label |
| c6a4 | DeviceCustomIPv6Address4 |
| c6a4Label | DeviceCustomIPv6Address4Label |
| cfp1 | DeviceCustomFloatingPoint1 |
| cfp1Label | deviceCustomFloatingPoint1Label |
| cfp2 | DeviceCustomFloatingPoint2 |
| cfp2Label | deviceCustomFloatingPoint2Label |
| cfp3 | DeviceCustomFloatingPoint3 |
| cfp3Label | deviceCustomFloatingPoint3Label |
| cfp4 | DeviceCustomFloatingPoint4 |
| cfp4Label | deviceCustomFloatingPoint4Label |
カスタム数値フィールド
次の表に、カスタム データに使用できる "数値" フィールドの CEF キーと CommonSecurityLog の名前をマップします。
| CEF キー名 | CommonSecurityLog での名前 |
|---|---|
| cn1 | DeviceCustomNumber1 |
| cn1Label | DeviceCustomNumber1Label |
| cn2 | DeviceCustomNumber2 |
| cn2Label | DeviceCustomNumber2Label |
| cn3 | DeviceCustomNumber3 |
| cn3Label | DeviceCustomNumber3Label |
カスタム文字列フィールド
次の表に、カスタム データに使用できる "文字列" フィールドの CEF キーと CommonSecurityLog の名前をマップします。
| CEF キー名 | CommonSecurityLog での名前 |
|---|---|
| cs1 | DeviceCustomString1 1 |
| cs1Label | DeviceCustomString1Label 1 |
| cs2 | DeviceCustomString2 1 |
| cs2Label | DeviceCustomString2Label 1 |
| cs3 | DeviceCustomString3 1 |
| cs3Label | DeviceCustomString3Label 1 |
| cs4 | DeviceCustomString4 1 |
| cs4Label | DeviceCustomString4Label 1 |
| cs5 | DeviceCustomString5 1 |
| cs5Label | DeviceCustomString5Label 1 |
| cs6 | DeviceCustomString6 1 |
| cs6Label | DeviceCustomString6Label 1 |
| flexString1 | FlexString1 |
| flexString1Label | FlexString1Label |
| flexString2 | FlexString2 |
| flexString2Label | FlexString2Label |
カスタム タイムスタンプ フィールド
次の表に、カスタム データに使用できる "タイムスタンプ" フィールドの CEF キーと CommonSecurityLog の名前をマップします。
| CEF キー名 | CommonSecurityLog での名前 |
|---|---|
| deviceCustomDate1 | DeviceCustomDate1 |
| deviceCustomDate1Label | DeviceCustomDate1Label |
| deviceCustomDate2 | DeviceCustomDate2 |
| deviceCustomDate2Label | DeviceCustomDate2Label |
| flexDate1 | FlexDate1 |
| flexDate1Label | FlexDate1Label |
カスタム整数データ フィールド
次の表に、カスタム データに使用できる "整数" フィールドの CEF キーと CommonSecurityLog の名前をマップします。
| CEF キー名 | CommonSecurityLog での名前 |
|---|---|
| flexNumber1 | FlexNumber1 |
| flexNumber1Label | FlexNumber1Label |
| flexNumber2 | FlexNumber2 |
| flexNumber2Label | FlexNumber2Label |
エンリッチメント フィールド
次の CommonSecurityLog フィールドは、ソース デバイスから受信した元のイベントをエンリッチするために Microsoft Sentinel によって追加されています。CEF キーのマッピングはありません。
脅威インテリジェンス フィールド
| CommonSecurityLog でのフィールド名 | 説明 |
|---|---|
| IndicatorThreatType | 脅威インテリジェンス フィードに従った MaliciousIP の脅威の種類。 |
| MaliciousIP | 現在の脅威インテリジェンス フィードと相関するメッセージ内のすべての IP アドレスを一覧表示します。 |
| MaliciousIPCountry | レコード インジェスト時の地理情報に従った MaliciousIP の国およびリージョン。 |
| MaliciousIPLatitude | レコード インジェスト時の地理情報に従った MaliciousIP の経度。 |
| MaliciousIPLongitude | レコード インジェスト時の地理情報に従った MaliciousIP の経度。 |
| ReportReferenceLink | 脅威インテリジェンス レポートへのリンク。 |
| ThreatConfidence | 脅威インテリジェンス フィードに従った MaliciousIP の脅威の信頼度。 |
| ThreatDescription | 脅威インテリジェンス フィードに従った MaliciousIP の脅威の説明。 |
| ThreatSeverity | レコード インジェスト時の脅威インテリジェンス フィードに従った MaliciousIP の脅威の重要度。 |
その他のエンリッチメント フィールド
| CommonSecurityLog でのフィールド名 | 説明 |
|---|---|
| OriginalLogSeverity | 常に空で、CiscoASA との統合でサポートされます。 ログ重大度の値の詳細については、LogSeverity フィールドを参照してください。 |
| RemoteIP | リモート IP アドレス。 この値は、可能な場合は CommunicationDirection フィールドに基づきます。 |
| RemotePort | リモート ポート。 この値は、可能な場合は CommunicationDirection フィールドに基づきます。 |
| SimplifiedDeviceAction | DeviceAction の値を、静的な値のセットに単純化しますが、DeviceAction フィールドの元の値は保持します。 たとえば、「 Denied>Deny」のように入力します。 |
| SourceSystem | 常に OpsManager と定義されます。 |