Справочник по схеме нормализации DHCP с расширенной информационной безопасностью (ASIM)

Информационная модель DHCP используется для описания событий, сообщаемых DHCP-сервером, и используется Microsoft Sentinel для включения аналитики, не зависящей от источника.

Дополнительные сведения см. в разделе Нормализация и расширенная информационная модель безопасности (ASIM).

Парсеров

Дополнительные сведения о средствах синтаксического анализа ASIM см. в обзоре средства синтаксического анализа ASIM.

Фильтрация параметров средства синтаксического анализа

Средства синтаксического анализа DHCP поддерживают параметры фильтрации. Хотя эти параметры являются необязательными, они могут повысить производительность запроса.

Доступны следующие параметры фильтрации:

Имя Тип Описание
Starttime datetime Фильтрация только событий DHCP, произошедших в это время или позже. Этот параметр фильтрует TimeGenerated поле, которое является стандартным конструктором для времени события, независимо от сопоставления полей EventStartTime и EventEndTime специфичного для средства синтаксического анализа.
время окончания datetime Отфильтруйте только события DHCP, произошедшие в это время или раньше. Этот параметр фильтрует TimeGenerated поле, которое является стандартным конструктором для времени события, независимо от сопоставления полей EventStartTime и EventEndTime специфичного для средства синтаксического анализа.
srcipaddr_has_any_prefix Динамический Фильтрация только событий DHCP, в которых префикс исходного IP-адреса соответствует любому из перечисленных значений. Префиксы должны заканчиваться .на , например: 10.0..
srchostname_has_any Динамический Фильтрация только событий DHCP, в которых имя исходного узла содержит любое из перечисленных значений.
srcusername_has_any Динамический Фильтрация только событий DHCP, в которых имя пользователя источника имеет любое из перечисленных значений.
eventresult string Фильтрация только событий DHCP с определенным результатом события. Используйте * для включения всех результатов.

Например, чтобы отфильтровать только события DHCP из определенного диапазона IP-адресов за последний день, используйте:

_Im_DhcpEvent (srcipaddr_has_any_prefix=dynamic(['10.0.']), starttime = ago(1d), endtime=now())

Обзор схемы

Схема DHCP ASIM представляет действия DHCP-сервера, включая обслуживание запросов для IP-адреса DHCP, арендованного клиентскими системами, и обновление DNS-сервера с предоставленными арендами.

Наиболее важными полями в событии DHCP являются SrcIpAddr и SrcHostname, которые DHCP-сервер привязывает путем предоставления аренды и псевдонимируются полями IpAddr и Hostname соответственно. Поле SrcMacAddr также важно, так как оно представляет клиентский компьютер, используемый, когда IP-адрес не арендуется.

DHCP-сервер может отклонить клиент из-за проблем безопасности или из-за насыщенности сети. Он также может поместить клиента в карантин, арендуя ему IP-адрес, который будет подключать его к ограниченной сети. Поля EventResult, EventResultDetails и DvcAction содержат сведения об ответе и действии DHCP-сервера.

Длительность аренды сохраняется в поле DhcpLeaseDuration .

Сведения о схеме

ASIM соответствует проекту метаданных событий безопасности с открытым кодом (OSSEM).

В OSSEM нет схемы DHCP, сравнимой со схемой DHCP ASIM.

Общие поля ASIM

Важно!

Поля, общие для всех схем, подробно описаны в статье Общие поля ASIM .

Общие поля с определенными рекомендациями

В следующем списке перечислены поля с определенными рекомендациями по событиям DHCP:

Field Class Тип Описание
EventType Обязательный Перечисленных Укажите операцию, сообщаемую записью.

Возможные значения: Assign, Renew, Releaseи DNS Update.

Пример: Assign
EventSchemaVersion Обязательный SchemaVersion (String) Версия схемы, описанная здесь, — 0.1.1.
EventSchema Обязательный String Имя схемы, описанной здесь, — DhcpEvent.
Поля Dvc - - Для событий DHCP поля устройства относятся к системе, которая сообщает о событии DHCP.

Все общие поля

Поля, отображаемые в таблице, являются общими для всех схем ASIM. Любое указанное выше руководство переопределяет общие рекомендации для поля. Например, поле может быть необязательным в целом, но обязательным для конкретной схемы. Дополнительные сведения о каждом поле см. в статье Общие поля ASIM .

Class Fields
Обязательный - EventCount
- EventStartTime
- EventEndTime
- Eventtype
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Рекомендуемый - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Необязательный - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- Дополнительные поля
- DvcDescription
- DvcScopeId
- DvcScope

Поля, зависящие от DHCP

Field Class Type Примечания.
DhcpLeaseDuration Необязательный Integer Длина аренды, предоставляемой клиенту, в секундах.
DhcpSessionId Необязательный string Идентификатор сеанса, сообщаемый устройством отчетов. Для DHCP-сервера Windows задайте поле TransactionID.

Пример: 2099570186
Sessionid Alias String Псевдоним dhcpSessionId
DhcpSessionDuration Необязательный Integer Время (в миллисекундах) для завершения сеанса DHCP.

Пример: 1500
Duration Alias Псевдоним dhcpSessionDuration
DhcpSrcDHCId  Необязательный String Идентификатор DHCP-клиента, определенный в RFC4701
DhcpCircuitId  Необязательный String Идентификатор канала DHCP, как определено в RFC3046
DhcpSubscriberId  Необязательный String Идентификатор подписчика DHCP, определенный в RFC3993
DhcpVendorClassId   Необязательный String Идентификатор класса поставщика DHCP, определенный в RFC3925.
DhcpVendorClass   Необязательный String Класс поставщика DHCP, как определено в RFC3925.
DhcpUserClassId   Необязательный String Идентификатор класса пользователя DHCP, определенный в RFC3004.
DhcpUserClass  Необязательный String Класс пользователя DHCP, определенный в RFC3004.
RequestedIpAddr Необязательный IP-адрес IP-адрес, запрошенный DHCP-клиентом, если он доступен.

Пример: 192.168.12.3

Поля исходной системы

Исходная система — это система, которая запрашивает аренду DHCP.

Field Class Type Примечания.
Src Alias String Уникальный идентификатор исходного устройства.

Это поле может быть псевдонимом полей SrcDvcId, SrcHostname или SrcIpAddr .

Пример: 192.168.12.1
SrcIpAddr Обязательный IP-адрес IP-адрес, назначенный клиенту DHCP-сервером.

Пример: 192.168.12.1
IpAddr Alias Псевдоним для SrcIpAddr
SrcHostname Обязательный Hostname (String) Имя узла устройства, запрашивающего аренду DHCP. Если имя устройства недоступно, сохраните соответствующий IP-адрес в этом поле.

Пример: DESKTOP-1282V4D
Узла Alias Псевдоним для SrcHostname
SrcDomain Рекомендуемый Домен (строка) Домен исходного устройства.

Пример: Contoso
SrcDomainType Условного Перечисленных Тип SrcDomain, если он известен. Возможные значения:
- Windows (например, : contoso)
- FQDN (например, : microsoft.com)

Требуется, если используется SrcDomain .
SrcFQDN Необязательный Полное доменное имя (строка) Имя узла исходного устройства, включая сведения о домене, если они доступны.

Примечание. Это поле поддерживает как традиционный формат полного доменного имени, так и формат домен\имя узла Windows. Поле SrcDomainType отражает используемый формат.

Пример: Contoso\DESKTOP-1282V4D
SrcDvcId Необязательный String Идентификатор исходного устройства, как указано в записи.

Пример: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Необязательный String Идентификатор область облачной платформы, к которому принадлежит устройство. SrcDvcScopeId сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcScope Необязательный String Облачная платформа область, к которой принадлежит устройство. SrcDvcScope сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcIdType Условного Перечисленных Тип SrcDvcId, если он известен. Возможные значения:
- AzureResourceId
- MDEid

Если доступно несколько идентификаторов, используйте первый из приведенного выше списка, а остальные сохраните в SrcDvcAzureResourceId и SrcDvcMDEid соответственно.

Примечание. Это поле является обязательным, если используется SrcDvcId .
SrcDeviceType Необязательный Перечисленных Тип исходного устройства. Возможные значения:
- Computer
- Mobile Device
- IOT Device
- Other
SrcDescription Необязательный String Описательный текст, связанный с устройством. Пример: Primary Domain Controller.
SrcGeoCountry Необязательный Страна Страна или регион, связанные с исходным IP-адресом.

Пример: USA
SrcGeoRegion Необязательный Region Регион, связанный с исходным IP-адресом.

Пример: Vermont
SrcGeoCity Необязательный Город Город, связанный с исходным IP-адресом.

Пример: Burlington
SrcGeoLatitude Необязательный Latitude Широта географической координаты, связанной с исходным IP-адресом.

Пример: 44.475833
SrcGeoLongitude Необязательный Longitude Долгота географической координаты, связанной с исходным IP-адресом.

Пример: 73.211944
SrcRiskLevel Необязательный Integer Уровень риска, связанный с источником. Значение должно быть скорректировано в диапазоне 0 до 100, с 0 для доброкачественных и 100 для высокого риска.

Пример: 90
SrcOriginalRiskLevel Необязательный String Уровень риска, связанный с источником, о чем сообщает устройство отчетности.

Пример: Suspicious
SrcPortNumber Необязательный Integer IP-порт, с которого было создано подключение. Может не иметь значения для сеанса, состоящего из нескольких подключений.

Пример: 2335

Поля исходного пользователя

Field Class Type Примечания.
SrcUserId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление исходного пользователя. Дополнительные сведения и альтернативные поля для дополнительных идентификаторов см. в разделе Сущность пользователя.

Пример: S-1-12-1-4141952679-1282074057-627758481-2916039507
SrcUserIdType Условного UserIdType Тип идентификатора, хранящегося в поле SrcUserId . Дополнительные сведения и список допустимых значений см. в разделе UserIdTypeстатьи Общие сведения о схеме.
SrcUsername Необязательный Имя пользователя (строка) Имя пользователя источника, включая сведения о домене, если они доступны. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: AlbertE
Пользователь Alias Псевдоним для SrcUsername
SrcUsernameType Условного UsernameType Указывает тип имени пользователя, хранящегося в поле SrcUsername . Дополнительные сведения и список допустимых значений см. в статье UsernameType статьи Общие сведения о схеме.

Пример: Windows
SrcUserType Необязательный UserType Тип исходного пользователя. Дополнительные сведения и список допустимых значений см. в статье UserType статьи Общие сведения о схеме.

Пример: Guest
SrcOriginalUserType Необязательный String Исходный тип пользователя источника, если он предоставлен источником.
SrcMacAddr Обязательный Mac-адрес MAC-адрес клиента, запрашивающего аренду DHCP.

Примечание. Dhcp-сервер Windows регистрирует MAC-адрес нестандартным способом, пропуская двоеточия, которые должны быть вставлены средством синтаксического анализа.

Пример: 06:10:9f:eb:8f:14
SrcUserScope Необязательный String Область, например клиент Microsoft Entra, в котором определены SrcUserId и SrcUsername. дополнительные сведения и список допустимых значений см. в статье UserScope в статье Общие сведения о схеме.
SrcUserScopeId Необязательный String Идентификатор область, например Microsoft Entra идентификатор каталога, в котором определены SrcUserId и SrcUsername. Дополнительные сведения и список допустимых значений см. в разделе UserScopeIdстатьи Общие сведения о схеме.
SrcUserSessionId Необязательный String Уникальный идентификатор сеанса входа субъекта.

Пример: 102pTUgC3p8RIqHvzxLCHnFlg

Поля проверки

Field Class Type Примечания.
Rule Alias string Значение RuleName или значение RuleNumber. Если используется значение RuleNumber, тип следует преобразовать в строку.
RuleNumber Необязательный int Номер правила, связанного с оповещением.

Например. 123456
RuleName Необязательный string Имя или идентификатор правила, связанного с оповещением.

Например. Server PSEXEC Execution via Remote Access
ThreatId Необязательный string Идентификатор угрозы или вредоносной программы, определенной в оповещении.

Например. 1234567891011121314
ThreatCategory Необязательный String Категория угроз или вредоносных программ, определенных в оповещении.

Поддерживаемые значения: Malware, Ransomware, , VirusTrojan, Worm, , SpywareAdware, , Rootkit, Cryptominor, Phishing, Spam, , MaliciousUrl, Spoofing, Security Policy ViolationUnknown
ThreatName Необязательный string Имя угрозы или вредоносных программ, определенных в оповещении.

Например. Init.exe
ThreatConfidence Необязательный ConfidenceLevel (Целое число) Уровень достоверности обнаруженной угрозы, нормализованный до значения от 0 до 100.
ThreatOriginalConfidence Необязательный string Уровень достоверности, сообщаемый исходной системой.
ThreatRiskLevel Необязательный RiskLevel (целое число) Уровень риска, связанный с угрозой. Уровень должен быть числом от 0 до 100.

Примечание. Значение может быть предоставлено в исходной записи с помощью другой шкалы, которая должна быть нормализована по этому масштабу. Исходное значение должно храниться в ThreatRiskLevelOriginal.
ThreatOriginalRiskLevel Необязательный string Уровень риска, сообщаемый исходной системой.
ThreatIsActive Необязательный логический Указывает, активна ли угроза в настоящее время.

Поддерживаемые значения: True, False
ThreatFirstReportedTime Необязательный Дата и время Дата и время первого сообщения об угрозе.

Например. 2024-09-19T10:12:10.0000000Z
ThreatLastReportedTime Необязательный Дата и время Дата и время последнего сообщения об угрозе.

Например. 2024-09-19T10:12:10.0000000Z

Обновления схемы

Ниже приведены изменения в схеме версии 0.1.1.

  • Добавлены поля проверки.
  • Добавлены поля исходного географического расположения.
  • Добавлены исходные поля: SrcDescription, SrcOriginalRiskLevel, SrcOriginalUserType,SrcPortNumber , SrcRiskLevel, SrcUserScope, SrcUserScopeIdSrcUserSessionId``SrcUserUid
  • Добавлены псевдонимы Src и User
  • Поля SrcUserUid и ThreatField доступны в таблице, ASimDhcpEventLogs но не являются частью схемы.

Связанные материалы

  • Last updated on