Справочник по схеме нормализации событий аудита расширенной информационной модели безопасности (ASIM)

Схема нормализации событий аудита Microsoft Sentinel представляет события, связанные с журналом аудита информационных систем. Журнал аудита регистрирует действия конфигурации системы и изменения политики. Такие изменения часто выполняются системными администраторами, но также могут выполняться пользователями при настройке параметров собственных приложений.

Каждая система регистрирует события аудита вместе со своими основными журналами действий. Например, брандмауэр регистрирует события о сетевых сеансах и события аудита об изменениях конфигурации, примененных к самому брандмауэру.

Дополнительные сведения о нормализации в Microsoft Sentinel см. в разделе Нормализация и расширенная информационная модель безопасности (ASIM).

Обзор схемы

Основные поля события аудита:

  • Объект , который может быть, например, управляемым ресурсом или правилом политики, на который фокусируется событие, представленный полем Object. Поле ObjectType указывает тип объекта .
  • Контекст приложения объекта, представленный полем TargetAppName, псевдоним которого определяется приложением.
  • Операция, выполняемая с объектом , представленная полями EventType и Operation. В то время как Operation — это значение, сообщаемое источником, EventType — это нормализованная версия, которая является более согласованной в разных источниках.
  • Старые и новые значения для объекта , если применимо, представленные OldValue и NewValue соответственно.

События аудита также ссылаются на следующие сущности, которые участвуют в операции конфигурации:

  • Субъект — пользователь, выполняющий операцию конфигурации.
  • TargetApp — приложение или система, к которым применяется операция конфигурации.
  • Target — система, в которой выполняется TargetApp*.
  • ActingApp — приложение, используемое субъектом для выполнения операции настройки.
  • Src — система, используемая субъектом для инициации операции конфигурации, если она отличается от целевой.

Дескриптор Dvc используется для устройства отчетности, которое является локальной системой для сеансов, о которых сообщает конечная точка, и промежуточным устройством или устройством безопасности в других случаях.

Парсеров

Развертывание и использование средств синтаксического анализа событий аудита

Разверните средства синтаксического анализа событий аудита ASIM из репозитория Microsoft Sentinel GitHub. Чтобы выполнить запрос ко всем источникам событий аудита, используйте унифицированный синтаксический анализатор imAuditEvent в качестве имени таблицы в запросе.

Дополнительные сведения об использовании средств синтаксического анализа ASIM см. в обзоре средств синтаксического анализа ASIM. Список средств синтаксического анализа событий аудита, Microsoft Sentinel предоставляет встроенные средства синтаксического анализа, см. в списке средств синтаксического анализа ASIM.

Добавление собственных нормализованных анализаторов

При реализации пользовательских средств синтаксического анализа для информационной модели событий файла присвойте функции KQL имя, используя следующий синтаксис: imAuditEvent<vendor><Product>. См. статью Управление средствами синтаксического анализа ASIM , чтобы узнать, как добавить пользовательские средства синтаксического анализа в унифицированное средство синтаксического анализа событий аудита.

Фильтрация параметров средства синтаксического анализа

Средства синтаксического анализа событий аудита поддерживают параметры фильтрации. Хотя эти параметры являются необязательными, они могут повысить производительность запроса.

Доступны следующие параметры фильтрации:

Имя Тип Описание
Starttime datetime Отфильтруйте только события, которые были запущены в это время или позже. Этот параметр использует поле в TimeGenerated качестве конструктора времени события.
время окончания datetime Фильтровать только запросы событий, которые завершили выполнение в это время или раньше. Этот параметр использует поле в TimeGenerated качестве конструктора времени события.
srcipaddr_has_any_prefix Динамический Отфильтруйте только события из этого исходного IP-адреса, как указано в поле SrcIpAddr .
eventtype_in string Фильтрация только событий, в которых тип события, представленный в поле EventType , является любым из указанных терминов.
eventresult string Фильтрация только событий, в которых результат события, представленный в поле EventResult , равен значению параметра.
actorusername_has_any dynamic/string Фильтрация только событий, в которых actorUsername включает любое из указанных терминов.
operation_has_any dynamic/string Отфильтруйте только события, в которых поле Операции содержит любое из указанных условий.
object_has_any dynamic/string Отфильтруйте только события, в которых поле "Объект" содержит любое из указанных терминов.
newvalue_has_any dynamic/string Фильтрация только событий, в которых поле NewValue содержит любое из указанных терминов.

Некоторые параметры могут принимать как список значений типа dynamic , так и одно строковое значение. Чтобы передать литерал списка параметрам, которые ожидают динамическое значение, явно используйте динамический литерал. Пример: dynamic(['192.168.','10.'])

Например, чтобы отфильтровать только события аудита с терминами install или update в поле Операции , начиная с последнего дня, используйте:

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Сведения о схеме

Общие поля ASIM

Важно!

Поля, общие для всех схем, подробно описаны в статье Общие поля ASIM .

Общие поля с определенными рекомендациями

В следующем списке перечислены поля с определенными рекомендациями по событиям аудита.

Поле Класс Тип Описание
Eventtype Обязательный Перечисленных Описывает операцию, проверяемую событием с использованием нормализованного значения. Используйте EventSubType для предоставления дополнительных сведений, которые не передаются нормализованным значением, и Operation. для хранения операции, о чем сообщает устройство отчетов.

Для записей событий аудита допустимые значения:
- Set
- Read
- Create
- Delete
- Execute
- Install
- Clear
- Enable
- Disable
- Initialize
- Start
- Stop
- Other

События аудита представляют собой большое разнообразие операций, а Other значение позволяет выполнять операции сопоставления, не имеющие соответствующих EventType. Однако использование Other ограничивает удобство использования события, и по возможности его следует избегать.
EventSubType Необязательный String Предоставляет дополнительные сведения, которые не передают нормализованное значение в EventType .
EventSchema Обязательный Перечисленных Имя схемы, описанной здесь, — AuditEvent.
EventSchemaVersion Обязательный SchemaVersion (String) Версия схемы. Версия схемы, описанная здесь, — 0.1.2.

Все общие поля

Поля, отображаемые в таблице, являются общими для всех схем ASIM. Любое из указанных в этом документе рекомендаций переопределяет общие рекомендации для поля. Например, поле может быть необязательным в целом, но обязательным для конкретной схемы. Дополнительные сведения о каждом поле см. в статье Общие поля ASIM .

Class Fields
Обязательный - EventCount
- EventStartTime
- EventEndTime
- Eventtype
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Рекомендуемый - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Необязательный - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- Дополнительные поля
- DvcDescription
- DvcScopeId
- DvcScope

Поля аудита

Поле Класс Тип Описание
Операции Обязательный String Операция, проверенная устройством отчетности.
Объекта Обязательный String Имя объекта, для которого выполняется операция, определяемая EventType .
Objectid Необязательный String Идентификатор объекта, на котором выполняется операция, определяемая EventType .
Objecttype Условного Перечисленных Тип Объекта. Допустимые значения:
- Cloud Resource
- Configuration Atom
- Policy Rule
- Event Log
-Scheduled Task
-Service
-Directory Service Object
-Other
OriginalObjectType Необязательный String Тип объекта , сообщаемый системой отчетов
Oldvalue Необязательный String Старое значение Object до операции, если применимо.
Newvalue Рекомендуемый String Новое значение Object после выполнения операции, если применимо.
Значение Alias Псевдоним для NewValue
Valuetype Условного Перечисленных Тип старых и новых значений. Допустимые значения:
-Других

Поля субъекта

Поле Класс Тип Описание
ActorUserId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление субъекта. Дополнительные сведения и альтернативные поля для других идентификаторов см. в разделе Сущность пользователя.

Пример: S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorScope Необязательный String Область, например Microsoft Entra доменное имя, в котором определены ActorUserId и ActorUsername. дополнительные сведения и список допустимых значений см. в статье UserScope в статье Общие сведения о схеме.
ActorScopeId Необязательный String Идентификатор область, например Microsoft Entra идентификатор каталога, в котором определены ActorUserId и ActorUsername. Дополнительные сведения и список допустимых значений см. в разделе UserScopeIdстатьи Общие сведения о схеме.
ActorUserIdType Условного Перечисленных Тип идентификатора, хранящегося в поле ActorUserId . Дополнительные сведения и список допустимых значений см. в разделе UserIdTypeстатьи Общие сведения о схеме.
ActorUsername Рекомендуемый Имя пользователя (строка) Имя пользователя субъекта, включая сведения о домене, если они доступны. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: AlbertE
Пользователь Alias Псевдоним для ActorUsername
ActorUsernameType Условного UsernameType Указывает тип имени пользователя, хранящегося в поле ActorUsername . Дополнительные сведения и список допустимых значений см. в статье UsernameType статьи Общие сведения о схеме.

Пример: Windows
ActorUserType Необязательный UserType Тип субъекта. Дополнительные сведения и список допустимых значений см. в статье UserType статьи Общие сведения о схеме.

Пример: Guest
ActorOriginalUserType Необязательный String Тип пользователя, о чем сообщает устройство отчетов.
ActorSessionId Необязательный String Уникальный идентификатор сеанса входа субъекта.

Пример: 102pTUgC3p8RIqHvzxLCHnFlg

Поля целевого приложения

Поле Класс Тип Описание
TargetAppId Необязательный String Идентификатор приложения, к которому применяется событие, включая процесс, браузер или службу.

Пример: 89162
TargetAppName Необязательный String Имя приложения, к которому применяется событие, включая службу, URL-адрес или приложение SaaS.

Пример: Exchange 365
Приложения Alias Псевдоним для targetAppName
TargetAppType Условного AppType Тип приложения, авторизующего от имени субъекта. Дополнительные сведения и список разрешенных значений см. в разделе AppTypeстатьи Общие сведения о схеме.
TargetOriginalAppType Необязательный String Тип приложения, к которому применяется событие, сообщается устройством отчетов.
TargetUrl Необязательный URL-адрес URL-адрес, связанный с целевым приложением.

Пример: https://console.aws.amazon.com/console/home?fromtb=true&hashArgs=%23&isauthcode=true&nc2=h_ct&src=header-signin&state=hashArgsFromTB_us-east-1_7596bc16c83d260b

Целевые системные поля

Поле Класс Тип Описание
Dst Alias String Уникальный идентификатор целевого объекта проверки подлинности.

Это поле может быть псевдонимом полей TargetDvcId, TargetHostname, TargetIpAddr, TargetAppId или TargetAppName .

Пример: 192.168.12.1
TargetHostname Рекомендуемый Hostname (Имя узла) Имя узла целевого устройства, за исключением сведений о домене.

Пример: DESKTOP-1282V4D
TargetDomain Необязательный Domain(String) Домен целевого устройства.

Пример: Contoso
TargetDomainType Условного Перечисленных Тип TargetDomain. Список допустимых значений и дополнительные сведения см. в статье DomainType статьи Общие сведения о схеме.

Требуется, если используется TargetDomain .
TargetFQDN Необязательный Полное доменное имя (строка) Имя узла целевого устройства, включая сведения о домене, если они доступны.

Пример: Contoso\DESKTOP-1282V4D

Примечание. Это поле поддерживает как традиционный формат полного доменного имени, так и формат домен\имя узла Windows. TargetDomainType отражает используемый формат.
TargetDescription Необязательный String Описательный текст, связанный с устройством. Пример: Primary Domain Controller.
TargetDvcId Необязательный String Идентификатор целевого устройства. Если доступно несколько идентификаторов, используйте наиболее важный и сохраните остальные в полях TargetDvc<DvcIdType>.

Пример: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
TargetDvcScopeId Необязательный String Идентификатор область облачной платформы, к которому принадлежит устройство. TargetDvcScopeId сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
TargetDvcScope Необязательный String Облачная платформа область, к которой принадлежит устройство. TargetDvcScope сопоставляет идентификатор подписки на Azure и идентификатор учетной записи в AWS.
TargetDvcIdType Условного Перечисленных Тип TargetDvcId. Список допустимых значений и дополнительные сведения см. в разделе DvcIdTypeстатьи Общие сведения о схеме.

Требуется, если используется TargetDeviceId .
TargetDeviceType Необязательный Перечисленных Тип целевого устройства. Список допустимых значений и дополнительные сведения см. в статье DeviceType статьи Общие сведения о схеме.
TargetIpAddr Рекомендуемый IP-адрес IP-адрес целевого устройства.

Пример: 2.2.2.2
TargetDvcOs Необязательный String ОС целевого устройства.

Пример: Windows 10
TargetPortNumber Необязательный Integer Порт целевого устройства.
TargetGeoCountry Необязательный Страна Страна или регион, связанные с целевым IP-адресом.

Пример: USA
TargetGeoRegion Необязательный Region Регион в стране или регионе, связанном с целевым IP-адресом.

Пример: Vermont
TargetGeoCity Необязательный Город Город, связанный с целевым IP-адресом.

Пример: Burlington
TargetGeoLatitude Необязательный Latitude Широта географической координаты, связанной с целевым IP-адресом.

Пример: 44.475833
TargetGeoLongitude Необязательный Longitude Долгота географической координаты, связанной с целевым IP-адресом.

Пример: 73.211944
TargetRiskLevel Необязательный Integer Уровень риска, связанный с целевым объектом. Значение должно быть скорректировано в диапазоне 0 до 100, с 0 для доброкачественных и 100 для высокого риска.

Пример: 90
TargetOriginalRiskLevel Необязательный String Уровень риска, связанный с целевым объектом, о чем сообщает устройство отчетности.

Пример: Suspicious

Поля действующего приложения

Поле Класс Тип Описание
ActingAppId Необязательный String Идентификатор приложения, которое инициировало сообщаемое действие, включая процесс, браузер или службу.

Пример: 0x12ae8
ActingAppName Необязательный String Имя приложения, которое инициировало сообщаемое действие, включая службу, URL-адрес или приложение SaaS.

Пример: C:\Windows\System32\svchost.exe
ActingAppType Необязательный AppType Тип действующего приложения. Дополнительные сведения и список разрешенных значений см. в разделе AppTypeстатьи Общие сведения о схеме.
ActingOriginalAppType Необязательный String Тип приложения, которое инициировало действие, о чем сообщает устройство отчетности.
HttpUserAgent Необязательный String Если проверка подлинности выполняется по протоколу HTTP или HTTPS, значение этого поля является user_agent заголовка HTTP, предоставляемого действующим приложением при выполнении проверки подлинности.

Пример: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Поля исходной системы

Поле Класс Тип Описание
Src Alias String Уникальный идентификатор исходного устройства.

Это поле может быть псевдонимом полей SrcDvcId, SrcHostname или SrcIpAddr .

Пример: 192.168.12.1
SrcIpAddr Рекомендуемый IP-адрес IP-адрес, с которого было создано подключение или сеанс.

Пример: 77.138.103.108
IpAddr Alias Псевдоним для SrcIpAddr или TargetIpAddr , если SrcIpAddr не указан.
SrcPortNumber Необязательный Integer IP-порт, с которого было создано подключение. Может не иметь значения для сеанса, состоящего из нескольких подключений.

Пример: 2335
SrcHostname Необязательный Hostname (Имя узла) Имя узла исходного устройства, за исключением сведений о домене. Если имя устройства недоступно, сохраните соответствующий IP-адрес в этом поле.

Пример: DESKTOP-1282V4D
SrcDomain Необязательный Домен (строка) Домен исходного устройства.

Пример: Contoso
SrcDomainType Условного DomainType Тип SrcDomain. Список допустимых значений и дополнительные сведения см. в статье DomainType статьи Общие сведения о схеме.

Требуется, если используется SrcDomain .
SrcFQDN Необязательный Полное доменное имя (строка) Имя узла исходного устройства, включая сведения о домене, если они доступны.

Примечание. Это поле поддерживает как традиционный формат полного доменного имени, так и формат домен\имя узла Windows. Поле SrcDomainType отражает используемый формат.

Пример: Contoso\DESKTOP-1282V4D
SrcDescription Необязательный String Описательный текст, связанный с устройством. Пример: Primary Domain Controller.
SrcDvcId Необязательный String Идентификатор исходного устройства. Если доступно несколько идентификаторов, используйте наиболее важный и сохраните остальные в полях SrcDvc<DvcIdType>.

Пример: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Необязательный String Идентификатор область облачной платформы, к которому принадлежит устройство. SrcDvcScopeId сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcScope Необязательный String Облачная платформа область, к которой принадлежит устройство. SrcDvcScope сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcIdType Условного DvcIdType Тип SrcDvcId. Список допустимых значений и дополнительные сведения см. в разделе DvcIdTypeстатьи Общие сведения о схеме.

Примечание. Это поле является обязательным, если используется SrcDvcId .
SrcDeviceType Необязательный DeviceType Тип исходного устройства. Список допустимых значений и дополнительные сведения см. в статье DeviceType статьи Общие сведения о схеме.
SrcGeoCountry Необязательный Страна Страна или регион, связанные с исходным IP-адресом.

Пример: USA
SrcGeoRegion Необязательный Region Регион в стране или регионе, связанном с исходным IP-адресом.

Пример: Vermont
SrcGeoCity Необязательный Город Город, связанный с исходным IP-адресом.

Пример: Burlington
SrcGeoLatitude Необязательный Latitude Широта географической координаты, связанной с исходным IP-адресом.

Пример: 44.475833
SrcGeoLongitude Необязательный Longitude Долгота географической координаты, связанной с исходным IP-адресом.

Пример: 73.211944
SrcRiskLevel Необязательный Integer Уровень риска, связанный с источником. Значение должно быть скорректировано в диапазоне 0 до 100, с 0 для доброкачественных и 100 для высокого риска.

Пример: 90
SrcOriginalRiskLevel Необязательный String Уровень риска, связанный с источником, о чем сообщает устройство отчетности.

Пример: Suspicious

Поля проверки

Следующие поля используются для представления проверки, выполняемой системой безопасности.

Поле Класс Тип Описание
RuleName Необязательный String Имя или идентификатор правила, связанного с результатами проверки.
RuleNumber Необязательный Integer Номер правила, связанного с результатами проверки.
Rule Alias String Значение RuleName или значение RuleNumber. Если используется значение RuleNumber , тип следует преобразовать в строку.
ThreatId Необязательный String Идентификатор угрозы или вредоносной программы, обнаруженной в действии аудита.
ThreatName Необязательный String Имя угрозы или вредоносной программы, обнаруженной в действии аудита.
ThreatCategory Необязательный String Категория угрозы или вредоносного ПО, обнаруженная в действии файла аудита.
ThreatRiskLevel Необязательный RiskLevel (целое число) Уровень риска, связанный с обнаруженной угрозой. Уровень должен быть числом от 0 до 100.

Примечание. Значение может быть предоставлено в исходной записи с помощью другой шкалы, которая должна быть нормализована по этому масштабу. Исходное значение должно храниться в ThreatRiskLevelOriginal.
ThreatOriginalRiskLevel Необязательный String Уровень риска, сообщаемый устройством отчетности.
ThreatConfidence Необязательный ConfidenceLevel (Целое число) Уровень достоверности обнаруженной угрозы, нормализованный до значения от 0 до 100.
ThreatOriginalConfidence Необязательный String Исходный уровень достоверности обнаруженной угрозы, о чем сообщает устройство отчетности.
ThreatIsActive Необязательный Логический Значение true, если обнаруженная угроза считается активной угрозой.
ThreatFirstReportedTime Необязательный datetime При первом обнаружении IP-адреса или домена как угрозы.
ThreatLastReportedTime Необязательный datetime В последний раз IP-адрес или домен были определены как угроза.
ThreatIpAddr Необязательный IP-адрес IP-адрес, для которого была обнаружена угроза. Поле ThreatField содержит имя поля ThreatIpAddr , представляющего .
ThreatField Условного Перечисленных Поле, для которого была обнаружена угроза. Значение равно или SrcIpAddrTargetIpAddr.

Обновления схемы

Изменения в схеме версии 0.1.1:

  • Добавлены поля ObjectId и OriginalObjectType.

Изменения в схеме версии 0.1.2:

  • Добавлено поле ActingOriginalAppType, OriginalObjectType, SrcOriginalRiskLevel, SrcRiskLevel,TargetGeoCity,TargetGeoCountry,TargetGeoLatitude,TargetGeoLongitude,,TargetGeoRegion,TargetOriginalAppType,TargetOriginalRiskLevel и TargetRiskLevel

Связанные материалы

  • Last updated on