共用方式為


進階安全性資訊模型 (ASIM) 登錄事件正規化架構參考 (公開預覽)

登錄事件架構可用來描述建立、修改或刪除 Windows 登錄實體的 Windows 活動。

登錄事件專屬於 Windows 系統,但是由監視 Windows 的不同系統所報告,例如 EDR(端點偵測和回應)系統、Sysmon 或 Windows 本身。

如需 Microsoft Sentinel 中正規化的詳細資訊,請參閱 正規化和進階安全性資訊模型(ASIM)。

重要

登錄事件正規化架構目前為 PREVIEW。 此功能在沒有服務等級協定的情況下提供,不建議用於生產工作負載。

Azure 預覽補充條款 包含適用於 Azure 功能 (搶鮮版 (Beta)、預覽版,或尚未發行的版本) 的其他法律條款。

剖析器

若要使用統一剖析器來統一所有內建剖析器,並確保分析在所有設定的來源上執行,請使用 imRegistry 作為查詢中的資料表名稱。

如需處理事件剖析器清單,Microsoft Sentinel 提供現成的參考 ASIM 剖析器清單

Microsoft Sentinel GitHub 存放庫 部署統一和來源特定的剖析器 。

如需詳細資訊,請參閱 ASIM 剖析器和 使用 ASIM 剖析器

新增您自己的標準化剖析器

實作登錄事件資訊模型的自訂剖析器時,請使用下列語法為您的 KQL 函式命名: imRegistry<vendor><Product>

將 KQL 函式新增至 imRegistry 統一剖析器,以確保任何使用登錄事件模型的內容也會使用新的剖析器。

標準化內容

Microsoft Sentinel 提供透過 IFEO 登錄機碼 搜捕查詢保存 。 此查詢適用于使用進階安全性資訊模型正規化的任何登錄活動資料。

如需詳細資訊,請參閱使用 Microsoft Sentinel 搜捕威脅

架構詳細資料

登錄事件資訊模型會與 OSSEM 登錄實體架構 一致。

一般 ASIM 欄位

重要

ASIM 通用欄位一文會詳細說明 所有架構的通用欄位

具有特定指導方針的常見欄位

下列清單提及具有進程活動事件特定指導方針的欄位:

欄位 類別 類型 描述
EventType 必要 枚舉 描述記錄所報告的作業。

針對登錄記錄,支援的值包括:
- RegistryKeyCreated
- RegistryKeyDeleted
- RegistryKeyRenamed
- RegistryValueDeleted
- RegistryValueSet
EventSchemaVersion 必要 String 結構描述的版本。 這裡記載的架構版本如下 0.1.2
EventSchema 選擇性 String 這裡記載的架構名稱為 RegistryEvent
Dvc 欄位 針對登錄活動事件,裝置欄位會參考登錄活動發生所在的系統。

重要

欄位 EventSchema 目前為選擇性欄位,但將于 2022 年 9 月 1 日變成 [強制]。

所有通用欄位

下表中顯示的欄位適用于所有 ASIM 架構。 上述任何指定的指導方針會覆寫欄位的一般指導方針。 例如,欄位通常是選擇性的,但特定架構的必要專案。 如需每個欄位的進一步詳細資料,請參閱 ASIM 通用欄位 一文。

類別 欄位
必要 - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
建議需求 - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
選擇性 - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

登錄事件特定欄位

下表所列的欄位專屬於登錄事件,但與其他架構中的欄位類似,並遵循類似的命名慣例。

如需詳細資訊,請參閱 Windows 檔中的登錄 結構。

欄位 類別 類型 描述
RegistryKey 必要 String 與作業相關聯的登錄機碼,標準化為標準根金鑰命名慣例。 如需詳細資訊,請參閱 根金鑰

登錄機碼類似于檔案系統中的資料夾。

例如:HKEY_LOCAL_MACHINE\SOFTWARE\MTG
RegistryValue 建議需求 String 與作業相關聯的登錄值。 登錄值類似于檔案系統中的檔案。

例如:Path
RegistryValueType 建議需求 String 登錄值的類型,標準化為標準格式。 如需詳細資訊,請參閱 實值類型

例如:Reg_Expand_Sz
RegistryValueData 建議需求 String 儲存在登錄值中的資料。

範例: C:\Windows\system32;C:\Windows;
RegistryPreviousKey 建議需求 String 針對修改登錄的作業,原始登錄機碼會標準化為標準根機碼命名。 如需詳細資訊,請參閱 根金鑰

注意 :如果作業變更了其他欄位,例如 值,但機碼保持不變, RegistryPreviousKey 的值會與 RegistryKey 相同。

範例: HKEY_LOCAL_MACHINE\SOFTWARE\MTG
RegistryPreviousValue 建議需求 String 針對修改登錄的作業,原始實數值型別會正規化為標準格式。 如需詳細資訊,請參閱 實值類型

如果類型未變更,此欄位的值會與 RegistryValueType 欄位相同。

範例: Path
RegistryPreviousValueType 建議需求 String 針對修改登錄的作業,原始實數值型別。

如果類型未變更,此欄位的值會與 RegistryValueType 欄位相同,並正規化為標準表單。 如需詳細資訊,請參閱 實值型別

範例: Reg_Expand_Sz
RegistryPreviousValueData 建議需求 String 修改登錄之作業的原始登錄資料。

範例: C:\Windows\system32;C:\Windows;
使用者 Alias ActorUsername 欄位的 別名。

範例: CONTOSO\ dadmin
處理 Alias ActingProcessName 欄位的 別名。

範例: C:\Windows\System32\rundll32.exe
ActorUsername 必要 String 起始事件之使用者的使用者名稱。

範例: CONTOSO\WIN-GG82ULGC9GO$
ActorUsernameType 條件 枚舉 指定儲存在 ActorUsername 欄位中的使用者名稱類型。 如需詳細資訊,請參閱 使用者實體

範例: Windows
ActorUserId 建議需求 String 動作專案的唯一識別碼。 特定識別碼取決於產生事件的系統。 如需詳細資訊,請參閱 使用者實體

範例: S-1-5-18
ActorScope 選擇性 String 定義 ActorUserId ActorUsername 的 Microsoft Entra 租使用者 等範圍。 或詳細資訊和允許的值清單,請參閱 架構概觀一文 中的 UserScope 。
ActorUserIdType 建議需求 String 儲存在 ActorUserId 欄位中的識別碼類型。 如需詳細資訊,請參閱 使用者實體

範例: SID
ActorSessionId 條件 String 動作專案登入會話的唯一識別碼。

範例: 999

注意 :類型定義為 支援不同系統的字串 ,但在 Windows 上,此值必須是數值。 如果您使用 Windows 電腦,而且來源會傳送不同的類型,請務必轉換值。 例如,如果 source 傳送十六進位值,請將它轉換成十進位值。
ActingProcessName 選擇性 String 代理程式影像檔案的檔案名。 此名稱通常被視為進程名稱。

範例: C:\Windows\explorer.exe
ActingProcessId 必要 String 代理程式的進程識別碼(PID)。

範例: 48610176

注意 :類型定義為 支援不同系統的字串 ,但在 Windows 和 Linux 上,此值必須是數值。

如果您使用 Windows 或 Linux 電腦並使用不同的類型,請務必轉換值。 例如,如果您使用十六進位值,請將它轉換成十進位值。
ActingProcessGuid 選擇性 String 代理程式所產生的唯一識別碼 (GUID)。

範例: EF3BD0BD-2B74-60C5-AF5C-010000001E00
ParentProcessName 選擇性 String 父進程影像檔案的檔案名。 此值通常視為進程名稱。

範例: C:\Windows\explorer.exe
ParentProcessId 必要 String 父進程的進程識別碼 (PID)。

範例: 48610176
ParentProcessGuid 選擇性 String 父進程的產生唯一識別碼 (GUID)。

範例: EF3BD0BD-2B74-60C5-AF5C-010000001E00

根索引鍵

不同的來源代表使用不同標記法的登錄機碼前置詞。 針對 RegistryKey RegistryPreviousKey 欄位,請使用下列正規化前置詞:

標準化索引鍵前置詞 其他常見的標記法
HKEY_LOCAL_MACHINE HKLM, \REGISTRY\MACHINE
HKEY_USERS HKU, \REGISTRY\USER

值類型

不同的來源代表使用不同標記法的登錄實值型別。 針對 [RegistryValueType] 和 [ RegistryPreviousValueType ] 欄位,請使用下列正規化類型:

標準化索引鍵前置詞 其他常見的標記法
Reg_None None, %%1872
Reg_Sz String, %%1873
Reg_Expand_Sz ExpandString, %%1874
Reg_Binary Binary, %%1875
Reg_DWord Dword, %%1876
Reg_Multi_Sz MultiString, %%1879
Reg_QWord Qword, %%1883

架構更新

這些是架構 0.1.1 版的變更:

  • 已新增欄位 EventSchema

這些是架構 0.1.2 版的變更:

  • 已新增 、 ActorScope DvcScopeIdDvcScope 欄位。

下一步

如需詳細資訊,請參閱