ASimDnsActivityLogs

Схема действия DNS ASim представляет действие протокола DNS, которое может быть зарегистрировано DNS-сервером или устройством, отправляющее DNS-запросы на DNS-сервер. Действия протокола DNS включают в себя DNS-запросы, обновления DNS-сервера и массовую передачу данных DNS. Так как схема представляет действие протокола, оно управляется RFCs и официально назначенными списками параметров. Схема действий DNS не представляет события аудита DNS-сервера.

Атрибуты таблицы

Атрибут Значение
Типы ресурсов microsoft.securityinsights/dnsnormalized
Категории Безопасность
Решения SecurityInsights
Базовый журнал Да
Поддержка DCR во время приема Да
Прием только озера Да
Примеры запросов Да

Столбцы

Колонка Тип Описание
ДополнительныеПоля динамичный Дополнительные сведения, представленные с помощью пар "ключ-значение", предоставляемых источником и не сопоставляемых с ASim.
_BilledSize (Размер счета) реальный Размер записи в байтах
Флаги DNS строка Флаги DNS-запроса, как предоставляемые устройством, предоставляющим отчет. Структура сведений о флагах DNS может отличаться на различных устройствах, используемых для составления отчетов.
Аутентифицированные флаги DNS булевая переменная (bool) Флаг ответа с проверкой подлинности DNS, связанный с DNSSEC, указывает, что все данные, включенные в разделы ответа и авторитетных данных, были проверены сервером в соответствии с его политиками. Дополнительные сведения см.в разделе 6.1 RFC 3655.
DnsFlagsAuthoritative булевая переменная (bool) Флаг достоверного ответа DNS указывает, является ли ответ от сервера авторитетным.
Отключена проверка DnsFlags булевая переменная (bool) Флаг DNS CD, связанный с DNSSEC, указывает в запросе, что не проверенные данные приемлемы для системы отправки запроса.
Флаги DNS - доступна рекурсия булевая переменная (bool) Флаг DNS RA в ответе указывает, что сервер поддерживает рекурсивные запросы.
ФлагиDnsЖелаемаяРекурсия булевая переменная (bool) Флаг желаемой рекурсии DNS в запросе указывает, что клиент хотел бы, чтобы сервер использовал рекурсивные запросы.
DnsFlagsTruncated булевая переменная (bool) Флаг DNS TC указывает на то, что ответ был усечен из-за превышения максимального размера.
DnsFlagsZ булевая переменная (bool) Флаг DNS Z является устаревшим флагом DNS, который может быть распознан старыми системами DNS.
Продолжительность сети DNS INT Время в миллисекундах, необходимое для завершения запроса DNS.
DnsQuery строка Домен, который требуется разрешить.
DnsQueryClass INT Идентификатор класса DNS, определенный центром назначения номеров Интернета (IANA).
DnsQueryClassName строка Имя класса DNS, определенное Администрацией по присвоению номеров в Интернете (IANA).
Тип DNS-запроса INT Коды типов записей ресурсов DNS, определенные центром назначения номеров Интернета (IANA).
DnsQueryTypeName строка Имя типа записи ресурса DNS, определенное центром назначения номеров Интернета (IANA).
КодОтветаDns INT Код числовых ответов DNS, определенный центром назначения номеров Интернета (IANA).
DnsResponseIpCity строка Город, связанный с IP-адресом ответа.
Страна IP-ответа DNS строка Страна, связанная с IP-адресом ответа.
Ответ DNS по широте IP реальный Широта географической координаты, связанной с IP-адресом ответа.
Долгота IP-ответа DNS реальный Долгота географической координаты, связанной с IP-адресом ответа.
DnsResponseIpRegion строка Регион или штат в пределах страны, связанный с исходным IP-адресом.
DnsResponseName строка Содержимое ответа в том виде, в котором оно включено в запись. Структура данных ответа DNS может отличаться между устройствами, генерирующими отчеты.
DnsSessionId строка Идентификатор сеанса DNS, сообщаемый устройством составления отчетов.
Дст строка Уникальный идентификатор сервера, получившего DNS-запрос.
DstDescription строка Описательный текст, связанный с назначением.
ТипУстройстваDst строка Тип устройства назначения.
DstDomain строка Домен устройства назначения.
DstDomainType строка Тип DstDomain.
DstDvcId строка Идентификатор устройства назначения.
DstDvcIdType строка Тип DstDvcId.
"DstDvcScope" строка Область облачной платформы, к которой принадлежит целевое устройство. DvcScope соотносится с подпиской на Azure и учетной записью на AWS.
DstDvcScopeId строка Идентификатор области облачной платформы, к которому принадлежит целевое устройство. DvcScopeId сопоставляет идентификатор подписки в Azure и идентификатор учетной записи в AWS.
DstFQDN строка Имя узла устройства назначения, включая сведения о домене, если они доступны.
DstGeoCity строка Город, связанный с IP-адресом назначения.
DstGeoCountry строка Страна, связанная с IP-адресом назначения.
DstGeoLatitude реальный Широта географической координаты, связанная с IP-адресом назначения.
ДстГеоДолгота реальный Долгота географической координаты, связанная с IP-адресом назначения.
DstGeoRegion строка Регион или штат в пределах страны, связанный с IP-адресом назначения.
DstHostname строка Имя узла устройства назначения, исключая сведения о домене.
DstIpAddr строка IP-адрес сервера, получающего запрос DNS. Для обычного запроса DNS это значение как правило определяет передающее устройство и в большинстве случаев равно 127.0.0.1.
УровеньИсходногоРиска строка Уровень риска, связанный с конечным устройством, как сообщается отчётным устройством.
Номер порта назначения INT Номер порта назначения.
Уровень Риска Dst INT Уровень риска, связанный с конечным устройством.
Dvc строка Уникальный идентификатор устройства, сообщающего о событии. Идентификатор может быть IP-адресом, именем узла или идентификатором устройства.
DvcAction строка Действие, предпринимаемое устройством для отчетов по запросу, например, его блокировка.
DvcОписание строка Текст описания, связанный с устройством. Например: основной контроллер домена.
DvcDomain строка Домен устройства, сообщающего о событии.
DvcDomainType строка Тип DvcDomain. Возможные значения включают "Windows" и "FQDN".
DvcFQDN строка Полное имя узла, включая сведения о домене, устройства, сообщающее о событии.
ДвкХостнейм строка Имя узла устройства, сообщающее о событии.
DvcId строка Уникальный идентификатор устройства, сообщающего о событии.
DvcIdType строка Тип DvcId.
DvcInterface строка Сетевой интерфейс, на котором были зафиксированы данные. Это поле обычно относится к сетевой активности, которая фиксируется промежуточным или подслушивающим устройством.
DvcIpAddr строка IP-адрес устройства, сообщающего о событии.
DvcMacAddr строка MAC-адрес устройства, сообщающего о событии.
DvcOriginalAction строка Исходное действие DvcAction, предоставленное передающим устройством.
DvcOs строка Операционная система, запущенная на устройстве, сообщает о событии.
DvcOsVersion строка Версия операционной системы на устройстве, сообщающая о событии.
DvcScope строка Область облачной платформы, к которой принадлежит устройство. DvcScope сопоставляет идентификатор подписки в Azure и идентификатор учетной записи в AWS.
DvcScopeId строка Идентификатор области облачной платформы, к которому принадлежит устройство. DvcScopeId сопоставляет идентификатор подписки в Azure и идентификатор учетной записи в AWS.
DvcZone строка Сетевой сегмент устройства, сообщающего о событии.
Количество событий INT Количество событий, описываемых записью. Обычно это значение используется для источников, которые поддерживают агрегирование, то есть когда одна запись может сопоставляться с несколькими событиями.
Время окончания события дата и время Время окончания события. Если источник поддерживает агрегирование, а запись представляет несколько событий, это время генерации последнего события. Если это поле не указано в исходной записи, оно является псевдонимом поля TimeGenerated.
Сообщение о событии строка Общее сообщение или описание.
EventOriginalSeverity строка Исходная степень серьезности, предоставленная передающим устройством. Это значение используется для получения EventSeverity.
ТипИсходногоСобытия строка Исходный тип события или идентификатор, например исходный идентификатор события Windows.
СобытиеOriginalUid строка Уникальный идентификатор исходной записи.
Владелец мероприятия строка Владелец события, которым обычно является отдел или дочерняя компания, в которой оно было создано.
EventProduct строка Продукт, создающий событие.
Версия продукта мероприятия строка Версия продукта, создающего событие.
СсылкаНаОтчетОСобытии строка URL-адрес ресурса, предоставляющего дополнительные сведения о событии.
РезультатСобытия строка Результат события, представленный одним из следующих значений: Успех, частичный успех, неудача, НП (не применимо). Значение может не предоставляться напрямую источниками, в этом случае оно является производным от других полей событий, например поля EventResultDetails.
Детали результата события строка Код ответа DNS, определенный центром назначения номеров Интернета (IANA).
EventSchemaVersion строка Версия схемы.
EventSeverity строка Серьезность события. Допустимые значения: "Информационный", "Низкий", "Средний" или "Высокий".
ВремяНачалаСобытия дата и время Время начала события. Если источник поддерживает агрегирование, а запись представляет несколько событий, это время генерации первого события. Если это поле не указано в исходной записи, оно является псевдонимом поля TimeGenerated.
тип подтипа события строка Либо запрос, либо ответ.
Тип события строка Указывает на операцию, о которой сообщает эта запись. Для событий активности DNS это значение является операционным кодом DNS, как определено Интернет-корпорацией по присвоению имен и номеров (IANA).
EventVendor строка Поставщик продукта, создающего событие.
_ПодлежитУчету строка Указывает, подлежит ли прием данных оплате. Если _IsBillable false прием не взимается в учетную запись Azure.
Сетевой протокол строка Транспортный протокол, используемый событием разрешения сети. Значение может быть UDP или TCP.
ВерсияСетевогоПротокола строка Версия сетевого протокола. Обычно используется для различения IPv4 и Ipv6.
_ResourceId (идентификатор ресурса) строка Уникальный идентификатор ресурса, с которым связана запись.
НазваниеПравила строка Имя или идентификатор правила, связанный с результатами проверки.
НомерПравила INT Число правил, связанных с результатами проверки.
SourceSystem строка Тип агента, которым было собрано событие. Например, OpsManager для агента Windows прямого подключения или Operations Manager, Linux для всех агентов Linux, или Azure для Azure Diagnostics.
Src строка Уникальный идентификатор исходного устройства.
SrcDescription строка Число правил, связанных с результатами проверки.
ТипИсходногоУстройства строка Тип исходного устройства.
SrcDomain строка Домен исходного устройства.
ТипИсходногоДоменана строка Тип SrcDomain.
SrcDvcId строка Идентификатор исходного устройства.
SrcDvcIdType строка Тип SrcDvcId.
SrcDvcScope строка Область облачной платформы, к которой принадлежит исходное устройство. DvcScope соотносится с подпиской на Azure и учетной записью на AWS.
SrcDvcScopeId строка Идентификатор области облачной платформы, к которому принадлежит исходное устройство. DvcScopeId сопоставляет идентификатор подписки в Azure и идентификатор учетной записи в AWS.
SrcFQDN строка Имя узла исходного устройства, включая сведения о домене.
SrcGeoCity строка Город, связанный с исходным IP-адресом.
Страна происхождения (SrcGeoCountry) строка Страна, связанная с исходным IP-адресом.
SrcGeoLatitude реальный Географическая широта, связанная с исходным IP-адресом.
SrcGeoLongitude (источник географической долготы) реальный Географическая долгота, связанная с исходным IP-адресом.
ИсточникГеоРегион строка Регион или штат в пределах страны, связанный с исходным IP-адресом.
SrcHostname строка Имя узла исходного устройства без учёта сведений о домене.
SrcIpAddr строка IP-адрес клиента, отправляющего запрос DNS. Для рекурсивного DNS-запроса это значение обычно является устройством отправки данных и в большинстве случаев устанавливается как 127.0.0.1.
ИсходныйУровеньРиска строка Уровень риска, связанный с исходным устройством, как сообщается устройством, предоставляющим отчет.
ИсходныйТипПользователя строка Исходный тип пользователя источника, как указано источником.
НомерИсходногоПорта INT Исходный порт для запроса DNS.
SrcProcessGuid строка Созданный уникальный идентификатор (GUID) процесса, который инициировал DNS-запрос.
SrcProcessId строка Идентификатор процесса (PID), который инициировал DNS-запрос.
SrcProcessName строка Имя процесса, инициирующего DNS-запрос.
Уровень риска INT Уровень риска, связанный с исходным устройством.
SrcUserId строка Считываемое компьютером буквенно-цифровое, уникальное представление исходного пользователя.
SrcUserIdType строка Тип идентификатора, который хранится в поле SrcUserId.
SrcUsername строка Имя пользователя Source, включая сведения о домене, если они доступны.
ТипИмениПользователяSrc строка Тип имени пользователя, хранящегося в поле SrcUsername.
SrcUserScope строка Область, например клиент Azure AD, в которой определены SrcUserId и SrcUsername.
SrcUserScopeId строка Идентификатор области, например клиента Azure AD, в которой определены SrcUserId и SrcUsername.
Идентификатор сессии пользователя (SrcUserSessionId) строка Уникальный идентификатор сеанса входа исходного пользователя.
SrcТипПользователя строка Тип исходного пользователя.
_SubscriptionId (идентификатор подписки) строка Уникальный идентификатор подписки, с которой связана запись
Идентификатор арендатора строка Идентификатор рабочей области Log Analytics
Категория угрозы строка Если источник событий DNS также предоставляет функции безопасности DNS, он может также оценивать событие DNS. Например, может выполняться поиск IP-адреса или домена в базе данных аналитики угроз, а также назначаться категория угрозы для домена или IP-адреса.
Уверенность в угрозе INT Уровень достоверности для обнаруженной угрозы, нормализованный до диапазона значений от 0 до 100.
Поле Угроз строка Поле, для которого была обнаружена угроза. Значение может быть либо SrcIpAddr, либо DstIpAddr, либо Domain, либо DnsResponseName.
Время первого обнаружения угрозы строка Время первого обнаружения угрозы для этого IP-адреса или домена.
ВремяПервогоСообщенияОбУгрозе_d дата и время Время первого обнаружения угрозы для этого IP-адреса или домена.
Идентификатор угрозы строка Идентификатор угрозы или вредоносных программ, определенных в веб-сеансе.
Опасный IP-адрес строка IP-адрес, для которого была обнаружена угроза. Поле ThreatField содержит имя поля, которому соответствует ThreatIpAddr. Если угроза определена в поле Domain, это поле должно быть пустым.
Угроза активна булевая переменная (bool) Считается, что обнаруженная угроза является активной угрозой.
ВремяПоследнегоСообщенияОбУгрозе строка Время последнего обнаружения угрозы для этого IP-адреса или домена.
Время последнего сообщения об угрозе_d дата и время Время последнего обнаружения угрозы для этого IP-адреса или домена.
Имя угрозы строка Имя обнаруженной угрозы, полученное от устройства, сообщившего о ней.
Оригинальная уверенность угрозы строка Уровень первоначальной достоверности угрозы, выявленной устройством, которое о ней сообщило.
Уровень первоначального риска угрозы INT Исходный уровень риска, связанный с обнаруженной угрозой, как это было определено устройством, сообщившим о ней.
исходный уровень риска угрозы строка Уровень риска, связанный с обнаруженной угрозой, нормализованный до диапазона значения от 0 до 100.
УровеньРискаУгрозы INT Уровень риска, связанный с обнаруженной угрозой, нормализованный до диапазона значения от 0 до 100.
Время генерации дата и время Метка времени (UTC), отражающая время создания события.
TransactionIdHex строка Уникальный шестнадцатеричный идентификатор транзакции DNS.
Тип строка Имя таблицы.
Категория URL строка Источник событий DNS также может искать категорию запрошенных доменов.
  • Last updated on