Schematy zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
Schemat zaawansowanego modelu informacji o zabezpieczeniach (ASIM) to zestaw pól reprezentujących działanie. Użycie pól ze znormalizowanego schematu w zapytaniu gwarantuje, że zapytanie będzie działać z każdym znormalizowanym źródłem.
Aby zrozumieć, jak schematy mieszczą się w architekturze ASIM, zapoznaj się z diagramem architektury ASIM.
Odwołania do schematu przedstawiają pola, które składają się na każdy schemat. Obecnie usługa ASIM definiuje następujące schematy:
| Schemat | Wersja | Stan |
|---|---|---|
| Zdarzenie inspekcji | 0.1 | Podgląd |
| Zdarzenie uwierzytelniania | 0.1.3 | Podgląd |
| Działanie DNS | 0.1.7 | Podgląd |
| Działanie DHCP | 0.1 | Podgląd |
| Działanie pliku | 0.2.1 | Podgląd |
| Sesja sieciowa | 0.2.6 | Podgląd |
| Zdarzenie procesu | 0.1.4 | Podgląd |
| Zdarzenie rejestru | 0.1.2 | Podgląd |
| Zarządzanie użytkownikami | 0.1 | Podgląd |
| Sesja sieci Web | 0.2.6 | Podgląd |
Ważne
Schematy i analizatory ASIM są obecnie dostępne w wersji zapoznawczej. Dodatkowe postanowienia dotyczące wersji zapoznawczej platformy Azure obejmują dodatkowe postanowienia prawne dotyczące funkcji platformy Azure, które są dostępne w wersji beta, wersji zapoznawczej lub w inny sposób nie zostały jeszcze wydane w wersji ogólnodostępnej.
Pojęcia dotyczące schematu
Poniższe pojęcia pomagają zrozumieć dokumenty referencyjne schematu i rozszerzyć schemat w znormalizowany sposób, jeśli dane zawierają informacje, których schemat nie obejmuje.
| Koncepcja | opis |
|---|---|
| Nazwy pól | Rdzeniem każdego schematu są jego nazwy pól. Nazwy pól należą do następujących grup: — Pola wspólne dla wszystkich schematów. - Pola specyficzne dla schematu. — Pola reprezentujące jednostki, takie jak użytkownicy, którzy biorą udział w schemacie. Pola reprezentujące jednostki są podobne w schematach. Gdy źródła mają pola, które nie są prezentowane w udokumentowanym schemacie, są znormalizowane w celu zachowania spójności. Jeśli dodatkowe pola reprezentują jednostkę, zostaną znormalizowane na podstawie wytycznych dotyczących pól jednostki. W przeciwnym razie schematy starają się zachować spójność we wszystkich schematach. Na przykład, gdy dzienniki aktywności serwera DNS nie udostępniają informacji o użytkowniku, dzienniki aktywności DNS z punktu końcowego mogą zawierać informacje o użytkowniku, które można znormalizować zgodnie z wytycznymi jednostki użytkownika. |
| Typy pól | Każde pole schematu ma typ. Obszar roboczy usługi Log Analytics ma ograniczony zestaw typów danych. Z tego powodu usługa Microsoft Sentinel używa typu logicznego dla wielu pól schematu, które usługa Log Analytics nie wymusza, ale jest wymagana w celu zachowania zgodności schematu. Typy pól logicznych zapewniają, że zarówno wartości, jak i nazwy pól są spójne między źródłami. Aby uzyskać więcej informacji, zobacz Typy logiczne. |
| Field, klasa | Pola mogą mieć kilka klas, które definiują, kiedy pola powinny być implementowane przez analizator: - Obowiązkowe pola muszą być wyświetlane w każdym analizatorze. Jeśli źródło nie udostępnia informacji dla tej wartości lub nie można dodać danych w inny sposób, nie będzie obsługiwać większości elementów zawartości odwołujących się do znormalizowanego schematu. - Zalecane pola powinny być znormalizowane, jeśli są dostępne. Jednak mogą one nie być dostępne w każdym źródle. Każdy element zawartości odwołujący się do znormalizowanego schematu powinien uwzględniać dostępność. - Opcjonalne pola, jeśli są dostępne, mogą być znormalizowane lub pozostawione w oryginalnym formularzu. Zazwyczaj analizator minimalny nie normalizuje ich ze względów wydajności. - Pola warunkowe są obowiązkowe, jeśli pole, które następuje, jest wypełniane. Pola warunkowe są zwykle używane do opisywania wartości w innym polu. Na przykład typowe pole DvcIdType opisuje wartość int wspólnego pola DvcId i dlatego jest obowiązkowe, jeśli ten ostatni zostanie wypełniony. - Alias jest specjalnym typem pola warunkowego i jest obowiązkowy, jeśli pole aliasu zostanie wypełnione. |
| Typowe pola | Niektóre pola są wspólne dla wszystkich schematów ASIM. Każdy schemat może dodawać wskazówki dotyczące używania niektórych typowych pól w kontekście określonego schematu. Na przykład dozwolone wartości pola EventType mogą się różnić w zależności od schematu, ponieważ może to być wartość pola EventSchemaVersion. |
| Encje | Zdarzenia ewoluują wokół jednostek, takich jak użytkownicy, hosty, procesy lub pliki. Każda jednostka może wymagać kilku pól, aby je opisać. Na przykład host może mieć nazwę i adres IP. Pojedynczy rekord może zawierać wiele jednostek tego samego typu, takich jak host źródłowy i docelowy. Usługa ASIM definiuje sposób spójnego opisywania jednostek, a jednostki umożliwiają rozszerzanie schematów. Na przykład schemat sesji sieciowej nie zawiera informacji o procesie, niektóre źródła zdarzeń udostępniają informacje o procesie, które można dodać. Aby uzyskać więcej informacji, zobacz Jednostki. |
| Aliasy | Aliasy zezwalają na wiele nazw dla określonej wartości. W niektórych przypadkach różni użytkownicy oczekują, że pole będzie miało różne nazwy. Na przykład w terminologii DNS można oczekiwać pola o nazwie DnsQuery, podczas gdy ogólniej, zawiera nazwę domeny. Domena aliasu pomaga użytkownikowi, zezwalając na używanie obu nazw. W niektórych przypadkach alias może mieć wartość jednego z kilku pól, w zależności od tego, które wartości są dostępne w zdarzeniu. Na przykład alias dvc aliasy albo DvcFQDN, DvcId, DvcHostname lub DvcIpAddr lub Event Product . Gdy alias może mieć kilka wartości, jego typ musi być ciągiem, aby uwzględnić wszystkie możliwe wartości aliasu. W związku z tym podczas przypisywania wartości do takiego aliasu pamiętaj, aby przekonwertować typ na ciąg przy użyciu funkcji KQL tostring. Natywne znormalizowane tabele nie zawierają aliasów, ponieważ oznaczałyby one duplikowanie magazynu danych. Zamiast tego analizatory wycinków dodają aliasy. Aby zaimplementować aliasy w analizatorach, utwórz kopię oryginalnej wartości przy użyciu extend operatora . |
Typy logiczne
Każde pole schematu ma typ. Niektóre z nich mają wbudowane typy usługi Log Analytics, takie jak string, int, datetimelub dynamic. Inne pola mają typ logiczny, który reprezentuje sposób normalizacji wartości pól.
| Typ danych | Typ fizyczny | Formatowanie i wartość |
|---|---|---|
| Wartość logiczna | Bool | Użyj wbudowanego typu danych KQL bool , a nie liczbowej lub ciągowej reprezentacji wartości logicznych. |
| Wyliczane | String | Lista wartości zdefiniowanych jawnie dla pola. Definicja schematu zawiera listę akceptowanych wartości. |
| Data/godzina | W zależności od możliwości metody pozyskiwania użyj dowolnej z następujących reprezentacji fizycznych w priorytetzie malejącym: - Wbudowany typ daty/godziny usługi Log Analytics — Pole liczby całkowitej używające reprezentacji liczbowej daty/godziny usługi Log Analytics. - Pole ciągu używające reprezentacji liczbowej daty/godziny usługi Log Analytics — Pole ciągu przechowujące obsługiwany format daty/godziny usługi Log Analytics. |
Reprezentacja daty i godziny usługi Log Analytics jest podobna, ale różni się od reprezentacji czasu systemu Unix. Aby uzyskać więcej informacji, zobacz wytyczne dotyczące konwersji. Uwaga: Jeśli ma to zastosowanie, czas powinien być dostosowany do strefy czasowej. |
| Adres MAC | String | Notacja dwukropkowa szesnastkowa. |
| Adres IP | String | Schematy usługi Microsoft Sentinel nie mają oddzielnych adresów IPv4 i IPv6. Dowolne pole adresu IP może zawierać adres IPv4 lub adres IPv6 w następujący sposób: - Protokół IPv4 w notacji kropkowej dziesiętnej. - Protokół IPv6 w notacji 8-hextets, co pozwala na krótką formę. Na przykład: - Protokół IPv4: 192.168.10.10 - Protokół IPv6: FEDC:BA98:7654:3210:FEDC:BA98:7654:3210- Krótka forma protokołu IPv6: 1080::8:800:200C:417A |
| FQDN | String | W pełni kwalifikowana nazwa domeny używająca notacji kropkowej, na przykład learn.microsoft.com. Aby uzyskać więcej informacji, zobacz Jednostka Urządzenie. |
| Nazwa hosta | String | Nazwa hosta, która nie jest nazwą FQDN, zawiera maksymalnie 63 znaki, w tym litery, cyfry i łączniki. Aby uzyskać więcej informacji, zobacz Jednostka Urządzenie. |
| Typ domeny | Enumerated | Typ domeny przechowywanej w polach domeny i nazwy FQDN. Aby uzyskać listę wartości i więcej informacji, zobacz Jednostka Urządzenie. |
| DvcIdType | Enumerated | Typ identyfikatora urządzenia przechowywanego w polach DvcId. Aby uzyskać listę dozwolonych wartości i dalsze informacje, zobacz DvcIdType. |
| Typ urządzenia | Enumerated | Typ urządzenia przechowywanego w polach DeviceType. Możliwe wartości to: - Computer- Mobile Device- IOT Device- Other. Aby uzyskać więcej informacji, zobacz Jednostka Urządzenie. |
| Nazwa użytkownika | String | Prawidłowa nazwa użytkownika w jednym z obsługiwanych typów. Aby uzyskać więcej informacji, zobacz Jednostka Użytkownik. |
| Typ nazwy użytkownika | Enumerated | Typ nazwy użytkownika przechowywany w polach nazwy użytkownika. Aby uzyskać więcej informacji i listę obsługiwanych wartości, zobacz Jednostka Użytkownik. |
| UserIdType | Enumerated | Typ identyfikatora przechowywanego w polach identyfikatora użytkownika. Obsługiwane wartości to SID, , UIS, OktaIdAADID, , AWSIdi PUID. Aby uzyskać więcej informacji, zobacz Jednostka Użytkownik. |
| Typ użytkownika | Enumerated | Typ użytkownika. Aby uzyskać więcej informacji i listę dozwolonych wartości, zobacz Jednostka Użytkownik. |
| Typ aplikacji | Enumerated | Typ aplikacji. Obsługiwane wartości to: Process, Service, ResourceURL, SaaS application, CSPi Other. |
| Kraj | String | Ciąg z normą ISO 3166-1 zgodnie z następującym priorytetem: - Kody alfa-2, takie jak US dla Stany Zjednoczone. - Kody alfa-3, takie jak USA dla Stany Zjednoczone. - Krótka nazwa. Listę kodów można znaleźć w witrynie internetowej Międzynarodowej Organizacji Standardów (ISO). |
| Region | String | Nazwa poddziału kraju/regionu przy użyciu iso 3166-2. Listę kodów można znaleźć w witrynie internetowej Międzynarodowej Organizacji Standardów (ISO). |
| Miasto | String | |
| Długość | Liczba rzeczywista | Reprezentacja współrzędnych ISO 6709 (podpisana liczba dziesiętna). |
| Szerokość | Liczba rzeczywista | Reprezentacja współrzędnych ISO 6709 (podpisana liczba dziesiętna). |
| MD5 | String | 32-szesnastkowy znak. |
| SHA1 | String | 40-szesnastkowy znak. |
| SHA256 | String | 64-szesnastkowy znak. |
| SHA512 | String | 128-szesnastkowy znak. |
Jednostki
Zdarzenia ewoluują wokół jednostek, takich jak użytkownicy, hosty, procesy lub pliki. Reprezentacja jednostki pozwala kilku jednostkom tego samego typu być częścią jednego rekordu i obsługuje wiele atrybutów dla tych samych jednostek.
Aby włączyć funkcje jednostki, reprezentacja jednostki ma następujące wytyczne:
| Wytyczna | opis |
|---|---|
| Deskryptory i aliasy | Ponieważ pojedyncze zdarzenie często zawiera więcej niż jedną jednostkę tego samego typu, taką jak hosty źródłowe i docelowe, deskryptory są używane jako prefiks do identyfikowania wszystkich pól skojarzonych z określoną jednostką. Aby zachować normalizację, usługa ASIM używa małego zestawu deskryptorów standardowych, wybierając najbardziej odpowiednie elementy dla określonej roli jednostek. Jeśli pojedyncza jednostka typu jest odpowiednia dla zdarzenia, nie ma potrzeby używania deskryptora. Ponadto zestaw pól bez aliasów deskryptora najczęściej używanych jednostek dla każdego typu. |
| Identyfikatory i typy | Znormalizowany schemat umożliwia utworzenie kilku identyfikatorów dla każdej jednostki, której oczekujemy współistnienia w zdarzeniach. Jeśli zdarzenie źródłowe ma inne identyfikatory jednostek, których nie można zamapować na znormalizowany schemat, zachowaj je w formularzu źródłowym lub użyj pola dynamicznego AdditionalFields . Aby zachować informacje o typie identyfikatorów, zapisz typ, jeśli ma to zastosowanie, w polu o tej samej nazwie i sufiksie Type. Na przykład UserIdType. |
| Atrybuty | Jednostki często mają inne atrybuty, które nie służą jako identyfikator i mogą być również kwalifikowane za pomocą deskryptora. Jeśli na przykład użytkownik źródłowy ma informacje o domenie, znormalizowane pole to SrcUserDomain. |
Każdy schemat jawnie definiuje centralne jednostki i pola jednostek. Poniższe wytyczne umożliwiają zrozumienie centralnych pól schematu oraz sposób rozszerzania schematów w znormalizowany sposób przy użyciu innych jednostek lub pól jednostek, które nie są jawnie zdefiniowane w schemacie.
Jednostka User
Użytkownicy są centralni do działań zgłaszanych przez zdarzenia. Pola wymienione w tej sekcji służą do opisywania użytkowników zaangażowanych w akcję. Prefiksy służą do wyznaczania roli użytkownika w działaniu. Prefiksy Src i Dst służą do wyznaczania roli użytkownika w zdarzeniach związanych z siecią, w których system źródłowy i system docelowy komunikują się. Prefiksy "Aktor" i "Target" są używane dla zdarzeń zorientowanych na system, takich jak zdarzenia procesu.
Identyfikator użytkownika i zakres
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| UserId | Opcjonalnie | String | Czytelna dla maszyny alfanumeryczna reprezentacja użytkownika. |
| UserScope | Opcjonalnie | string | Zakres, w którym zdefiniowano identyfikator użytkownika i nazwę użytkownika . Na przykład nazwa domeny dzierżawy entra firmy Microsoft. Pole UserIdType reprezentuje również typ skojarzonego z tym polem. |
| UserScopeId | Opcjonalnie | string | Identyfikator zakresu, w którym zdefiniowano identyfikator użytkownika i nazwę użytkownika . Na przykład identyfikator katalogu dzierżawy entra firmy Microsoft. Pole UserIdType reprezentuje również typ skojarzonego z tym polem. |
| UserIdType | Opcjonalnie | UserIdType | Typ identyfikatora przechowywanego w polu UserId . |
| UserSid, UserUid, UserAadId, UserOktaId, UserAWSId, UserPuid | Opcjonalnie | String | Pola używane do przechowywania określonych identyfikatorów użytkowników. Wybierz identyfikator najbardziej skojarzony ze zdarzeniem jako identyfikator podstawowy przechowywany w identyfikatorze UserId. Wypełnij odpowiednie pole określonego identyfikatora, oprócz identyfikatora UserId, nawet jeśli zdarzenie ma tylko jeden identyfikator. |
| UserAADTenant, UserAWSAccount | Opcjonalnie | String | Pola używane do przechowywania określonych zakresów. Użyj pola UserScope dla zakresu skojarzonego z identyfikatorem przechowywanym w polu UserId. Wypełnij odpowiednie pole określonego zakresu, oprócz UserScope, nawet jeśli zdarzenie ma tylko jeden identyfikator. |
Dozwolone wartości dla typu identyfikatora użytkownika to:
| Type | Opis | Przykład |
|---|---|---|
| SID | Identyfikator użytkownika systemu Windows. | S-1-5-21-1377283216-344919071-3415362939-500 |
| UID | Identyfikator użytkownika systemu Linux. | 4578 |
| AADID | Identyfikator użytkownika entra firmy Microsoft. | 00aa00aa-bb11-cc22-dd33-44ee44ee44ee |
| OktaId | Identyfikator użytkownika usługi Okta. | 00urjk4znu3BcncfY0h7 |
| Identyfikator AWSId | Identyfikator użytkownika platformy AWS. | 72643944673 |
| IDENTYFIKATOR PUID | Identyfikator użytkownika platformy Microsoft 365. | 10032001582F435C |
| SalesforceId | Identyfikator użytkownika usługi Salesforce. | 00530000009M943 |
Nazwa użytkownika
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| Nazwa użytkownika | Opcjonalnie | String | Źródłowa nazwa użytkownika, w tym informacje o domenie, gdy są dostępne. Użyj prostego formularza tylko wtedy, gdy informacje o domenie nie są dostępne. Zapisz typ nazwy użytkownika w polu UsernameType . |
| Typ nazwy użytkownika | Opcjonalnie | Typ nazwy użytkownika | Określa typ nazwy użytkownika przechowywanej w polu Nazwa użytkownika . |
| UserUPN, WindowsUsername, DNUsername, SimpleUsername | Opcjonalnie | String | Pola używane do przechowywania dodatkowych nazw użytkowników, jeśli oryginalne zdarzenie zawiera wiele nazw użytkowników. Wybierz nazwę użytkownika najbardziej skojarzona ze zdarzeniem jako podstawową nazwę użytkownika przechowywaną w polu Nazwa użytkownika. |
Dozwolone wartości typu nazwy użytkownika to:
| Type | Opis | Przykład |
|---|---|---|
| Nazwa UPN | Wyznaczanie nazwy UPN lub adresu e-mail nazwy użytkownika. | johndow@contoso.com |
| Windows | Nazwa użytkownika systemu Windows obejmująca domenę. | Contoso\johndow |
| DN | Projektant nazw wyróżniających LDAP. | CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM |
| Prosty | Prosta nazwa użytkownika bez projektowania domeny. | johndow |
| Identyfikator AWSId | Identyfikator użytkownika platformy AWS. | 72643944673 |
Dodatkowe pola użytkownika
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| Typ użytkownika | Opcjonalnie | UserType | Typ użytkownika źródłowego. Obsługiwane wartości to: - Regular- Machine- Admin- System- Application- Service Principal- Service- Anonymous- Other.Wartość może być podana w rekordzie źródłowym przy użyciu różnych terminów, które powinny być znormalizowane do tych wartości. Zapisz oryginalną wartość w polu OriginalUserType . |
| OriginalUserType | Opcjonalnie | String | Oryginalny typ użytkownika docelowego, jeśli jest udostępniany przez urządzenie raportowania. |
Jednostka urządzenia
Urządzenia lub hosty są typowymi terminami używanymi dla systemów, które biorą udział w zdarzeniu. Prefiks Dvc służy do wyznaczania urządzenia podstawowego, na którym występuje zdarzenie. Niektóre zdarzenia, takie jak sesje sieciowe, mają urządzenia źródłowe i docelowe wyznaczone przez prefiks Src i Dst. W takim przypadku Dvc prefiks jest używany do raportowania zdarzenia przez urządzenie, które może być źródłem, miejscem docelowym lub urządzeniem monitora.
Aliasy urządzenia
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| Dvc, Src, Dst | Obowiązkowy | String | Pola Dvc, "Src" lub "Dst" są używane jako unikatowy identyfikator urządzenia. Jest ona ustawiona na najlepszą dostępną zidentyfikowaną dla urządzenia. Te pola mogą aliasować pola FQDN, DvcId, Hostname lub IpAddr . W przypadku źródeł w chmurze, dla których nie ma widocznego urządzenia, użyj tej samej wartości co pole Produkt zdarzenia. |
Nazwa urządzenia
Zgłoszone nazwy urządzeń mogą zawierać tylko nazwę hosta lub w pełni kwalifikowaną nazwę domeny (FQDN), która zawiera nazwę hosta i nazwę domeny. Nazwa FQDN może być wyrażona przy użyciu kilku formatów. Poniższe pola umożliwiają obsługę różnych wariantów, w których można podać nazwę urządzenia.
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| Nazwa hosta | Zalecane | Hostname (Nazwa hosta) | Krótka nazwa hosta urządzenia. |
| Domena | Zalecane | String | Domena urządzenia, na którym wystąpiło zdarzenie, bez nazwy hosta. |
| Typ domeny | Zalecane | Enumerated | Typ domeny. Obsługiwane wartości to FQDN i Windows. To pole jest wymagane, jeśli jest używane pole Domena. |
| FQDN | Opcjonalnie | String | Nazwa FQDN urządzenia, w tym nazwa hosta i domena . To pole obsługuje zarówno tradycyjny format FQDN, jak i format domain\hostname systemu Windows. Pole DomainType odzwierciedla używany format. |
Na przykład:
| Pole | Wartość dla danych wejściowych appserver.contoso.com |
wartość dla danych wejściowych appserver |
|---|---|---|
| Nazwa hosta | appserver |
appserver |
| Domena | contoso.con |
<empty> |
| Typ domeny | FQDN |
<empty> |
| FQDN | appserver.contoso.com |
<empty> |
Jeśli wartość podana przez źródło jest nazwą FQDN lub gdy wartość może być nazwą FQDN lub krótką nazwą hosta, analizator powinien obliczyć 4 wartości. Użyj funkcji _ASIM_ResolveFQDNpomocnika ASIM , _ASIM_ResolveSrcFQDN, _ASIM_ResolveDstFQDNi _ASIM_ResolveDvcFQDN , aby łatwo ustawić wszystkie cztery pola na podstawie pojedynczej wartości wejściowej. Aby uzyskać więcej informacji, zobacz Funkcje pomocnika ASIM.
Identyfikator urządzenia i zakres
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| DvcId | Opcjonalnie | String | Unikatowy identyfikator urządzenia . Na przykład: 41502da5-21b7-48ec-81c9-baeea8d7d669. |
| Identyfikator zakresu | Opcjonalnie | String | Identyfikator zakresu platformy w chmurze, do którego należy urządzenie. Zakres mapuje na identyfikator subskrypcji na platformie Azure i na identyfikator konta na platformie AWS. |
| Scope | Opcjonalnie | String | Zakres platformy w chmurze, do którego należy urządzenie. Zakres mapuje na subskrypcję na platformie Azure i na konto na platformie AWS. |
| DvcIdType | Opcjonalnie | Enumerated | Typ DvcId. Zazwyczaj to pole będzie również identyfikować typ zakresu i identyfikator zakresu. To pole jest wymagane, jeśli jest używane pole DvcId . |
| DvcAzureResourceId, DvcMDEid, DvcMD4IoTid, DvcVMConnectionId, DvcVectraId, DvcAwsVpcId | Opcjonalnie | String | Pola używane do przechowywania dodatkowych identyfikatorów urządzeń, jeśli oryginalne zdarzenie zawiera wiele identyfikatorów urządzeń. Wybierz identyfikator urządzenia najbardziej skojarzony ze zdarzeniem jako identyfikator podstawowy przechowywany w identyfikatorze DvcId. |
Należy pamiętać, że pola o nazwie powinny poprzedzać prefiks roli, taki jak Src lub Dst, ale nie powinny poprzedzać drugiego Dvc prefiksu, jeśli jest używany w tej roli.
Dozwolone wartości dla typu identyfikatora urządzenia to:
| Type | Opis |
|---|---|
| Identyfikator MDEid | Identyfikator systemu przypisany przez Ochrona punktu końcowego w usłudze Microsoft Defender. |
| AzureResourceId | Identyfikator zasobu platformy Azure. |
| MD4IoTid | Identyfikator zasobu usługi Microsoft Defender dla IoT. |
| VMConnectionId | Identyfikator zasobu rozwiązania Azure Monitor VM Insights. |
| AwsVpcId | Identyfikator VPC platformy AWS. |
| VectraId | Identyfikator zasobu przypisanego przez Vectra AI. |
| Inne | Typ identyfikatora, który nie został wymieniony powyżej. |
Na przykład rozwiązanie Azure Monitor VM Insights udostępnia informacje o sesjach sieciowych w pliku VMConnection. Tabela zawiera identyfikator zasobu platformy Azure w _ResourceId polu i szczegółowe informacje o maszynie wirtualnej określonego identyfikatora Machine urządzenia w polu. Użyj następującego mapowania, aby reprezentować te identyfikatory:
| Pole | Mapuj na |
|---|---|
| DvcId | Pole Machine w VMConnection tabeli. |
| DvcIdType | Wartość VMConnectionId |
| DvcAzureResourceId | Pole _ResourceId w VMConnection tabeli. |
Dodatkowe pola urządzenia
| Pole | Klasa | Type | Opis |
|---|---|---|---|
| IpAddr | Zalecane | Adres IP | Adres IP urządzenia. Przykład: 45.21.42.12 |
| DvcDescription | Opcjonalnie | String | Tekst opisowy skojarzony z urządzeniem. Na przykład: Primary Domain Controller. |
| MacAddr | Opcjonalnie | MAC | Adres MAC urządzenia, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie. Przykład: 00:1B:44:11:3A:B7 |
| Strefa | Opcjonalnie | String | Sieć, w której wystąpiło zdarzenie lub które zgłosiło zdarzenie, w zależności od schematu. Strefa jest definiowana przez urządzenie raportowania. Przykład: Dmz |
| DvcOs | Opcjonalnie | String | System operacyjny uruchomiony na urządzeniu, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie. Przykład: Windows |
| DvcOsVersion | Opcjonalnie | String | Wersja systemu operacyjnego na urządzeniu, na którym wystąpiło zdarzenie lub które zgłosiło zdarzenie. Przykład: 10 |
| DvcAction | Opcjonalnie | String | W przypadku systemów zabezpieczeń raportowania akcja podjęta przez system, jeśli ma to zastosowanie. Przykład: Blocked |
| DvcOriginalAction | Opcjonalnie | String | Oryginalna wersja DvcAction dostarczana przez urządzenie raportowania. |
| Interfejs | Opcjonalnie | String | Interfejs sieciowy, na którym zostały przechwycone dane. To pole jest zwykle istotne dla działania związanego z siecią, które jest przechwytywane przez urządzenie pośrednie lub naciśnij. |
Należy pamiętać, że pola o nazwie na liście z prefiksem Dvc powinny poprzedzać prefiks roli, taki jak Src lub Dst, ale nie powinny poprzedzać drugiego Dvc prefiksu, jeśli jest używany w tej roli.
Przykładowe mapowanie jednostek
W tej sekcji użyto zdarzenia systemu Windows 4624 jako przykładu, aby opisać, jak dane zdarzenia są znormalizowane dla usługi Microsoft Sentinel.
To zdarzenie ma następujące jednostki:
| Terminologia firmy Microsoft | Oryginalny prefiks pola zdarzenia | Prefiks pola ASIM | opis |
|---|---|---|---|
| Temat | Subject |
Actor |
Użytkownik, który zgłosił informacje o pomyślnym zalogowaniu. |
| Nowe logowanie | Target |
TargetUser |
Użytkownik, dla którego wykonano logowanie. |
| Proces | - | ActingProcess |
Proces, który próbował się zalogować. |
| Informacje o sieci | - | Src |
Maszyna, z której wykonano próbę logowania. |
Na podstawie tych jednostek zdarzenie systemu Windows 4624 jest znormalizowane w następujący sposób (niektóre pola są opcjonalne):
| Znormalizowane pole | Oryginalne pole | Wartość w przykładzie | Uwagi |
|---|---|---|---|
| AktorUserId | SubjectUserSid | S-1-5-18 | |
| AktorUserIdType | - | SID | |
| AktorUserName | SubjectDomainName\ SubjectUserName | WORKGROUP\WIN-GG82ULGC9GO$ | Skompilowane przez łączenie dwóch pól |
| AktorUserNameType | - | Windows | |
| ActorsSessionId | SubjectLogonId | 0x3e7 | |
| TargetUserId | TargetUserSid | S-1-5-21-1377283216-344919071-3415362939-500 | |
| UserId | TargetUserSid | Alias | |
| TargetUserIdType | - | SID | |
| TargetUserName | TargetDomainName\ TargetUserName | Administrator\WIN-GG82ULGC9GO$ | Skompilowane przez łączenie dwóch pól |
| Nazwa użytkownika | TargetDomainName\ TargetUserName | Alias | |
| TargetUserNameType | - | Windows | |
| TargetSessionId | Identyfikator dziennika docelowego | 0x8dcdc | |
| ActingProcessName | ProcessName | C:\Windows\System32\svchost.exe | |
| ActingProcessId | ProcessId | 0x44c | |
| SrcHostname | Nazwa stacji roboczej | Windows | |
| SrcIpAddr | Adresy IP | 127.0.0.1 | |
| SrcPortNumber | IpPort | 0 | |
| TargetHostname | Komputer | Win-GG82ULGC9GO | |
| Nazwa hosta | Komputer | Alias |
Następne kroki
Ten artykuł zawiera omówienie normalizacji w usługach Microsoft Sentinel i ASIM.
Aby uzyskać więcej informacji, zobacz:
- Obejrzyj seminarium internetowe szczegółowe na temat analizatorów normalizacji usługi Microsoft Sentinel i znormalizowanej zawartości lub przejrzyj slajdy
- Omówienie zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
- Analizatory zaawansowanego modelu informacji o zabezpieczeniach (ASIM)
- Zawartość usługi Advanced Security Information Model (ASIM)