Microsoft Sentinel справочник по схеме нормализации управления пользователями

Схема нормализации управления пользователями Microsoft Sentinel используется для описания действий по управлению пользователями, таких как создание пользователя или группы, изменение атрибута пользователя или добавление пользователя в группу. Такие события сообщаются, например, операционными системами, службами каталогов, системами управления удостоверениями и любой другой системой, сообщающей о действиях локального управления пользователями.

Дополнительные сведения о нормализации в Microsoft Sentinel см. в разделе Нормализация и расширенная информационная модель безопасности (ASIM).

Обзор схемы

Схема управления пользователями ASIM описывает действия по управлению пользователями. Действия обычно включают следующие сущности:

  • Субъект — пользователь, выполняющий действие управления.
  • Действующий процесс — процесс, используемый субъектом для выполнения действия управления.
  • Src — когда действие выполняется по сети, исходное устройство, с которого было инициировано действие.
  • Целевой пользователь — пользователь, которым управляет учетная запись.
  • Группа , из которой добавляется целевой пользователь или из нее удаляется, или изменяется.

Некоторые действия, такие как UserCreated, GroupCreated, UserModified и GroupModified*, задают или обновляют свойства пользователя. Набор или обновление свойства описано в следующих полях:

  • EventSubType — имя значения, которое было задано или обновлено. UpdatedPropertyName — это псевдоним EventSubType , если EventSubType ссылается на один из соответствующих типов событий.
  • PreviousPropertyValue — предыдущее значение свойства.
  • NewPropertyValue — обновленное значение свойства.

Парсеров

Дополнительные сведения о средствах синтаксического анализа ASIM см. в обзоре средства синтаксического анализа ASIM.

Фильтрация параметров средства синтаксического анализа

Средства синтаксического анализа управления пользователями поддерживают параметры фильтрации. Хотя эти параметры являются необязательными, они могут повысить производительность запроса.

Доступны следующие параметры фильтрации:

Имя Тип Описание
Starttime datetime Фильтрация только событий управления пользователями, произошедших в это время или позже. Этот параметр фильтрует TimeGenerated поле, которое является стандартным конструктором для времени события, независимо от сопоставления полей EventStartTime и EventEndTime специфичного для средства синтаксического анализа.
время окончания datetime Фильтрация только событий управления пользователями, произошедших в это время или раньше. Этот параметр фильтрует TimeGenerated поле, которое является стандартным конструктором для времени события, независимо от сопоставления полей EventStartTime и EventEndTime специфичного для средства синтаксического анализа.
srcipaddr_has_any_prefix Динамический Фильтрация только событий управления пользователями, когда префикс исходного IP-адреса соответствует любому из перечисленных значений. Префиксы должны заканчиваться .на , например: 10.0..
targetusername_has_any Динамический Фильтрация только событий управления пользователями, в которых целевое имя пользователя имеет любое из перечисленных значений.
actorusername_has_any Динамический Фильтрация только событий управления пользователями, в которых имя пользователя субъекта имеет любое из перечисленных значений.
eventtype_in Динамический Фильтрация только событий управления пользователями, в которых тип события является одним из перечисленных значений, например UserCreated, UserDeleted, UserModified, PasswordChangedили GroupCreated.

Например, чтобы отфильтровать только события создания пользователей за последний день, используйте:

_Im_UserManagement (eventtype_in=dynamic(['UserCreated']), starttime = ago(1d), endtime=now())

Сведения о схеме

Общие поля ASIM

Важно!

Поля, общие для всех схем, подробно описаны в статье Общие поля ASIM .

Общие поля с определенными рекомендациями

В следующем списке перечислены поля с определенными рекомендациями по событиям действия процесса.

Поле Класс Тип Описание
EventType Обязательный Перечисленных Описывает операцию, сообщаемую записью.

Для действия управления пользователями поддерживаются следующие значения:
- UserCreated
- UserDeleted
- UserModified
- UserLocked
- UserUnlocked
- UserDisabled
- UserEnabled
- PasswordChanged
- PasswordReset
- GroupCreated
- GroupDeleted
- GroupModified
- UserAddedToGroup
- UserRemovedFromGroup
- GroupEnumerated
- UserRead
- GroupRead
EventSubType Необязательный Перечисленных Поддерживаются следующие подтипы:
- UserRead: пароль, хэш
- UserCreated, GroupCreated, UserModified, GroupModified. Дополнительные сведения см. в разделе UpdatedPropertyName.
EventResult Обязательный Перечисленных Хотя сбой возможен, большинство систем сообщают только об успешных событиях управления пользователями. Ожидаемое значение для успешных событий — Success.
EventResultDetails Рекомендуемый Перечисленных Допустимые значения: NotAuthorized и Other.
EventSeverity Обязательный Перечисленных Хотя разрешено любое допустимое значение серьезности, серьезность событий управления пользователями обычно Informationalимеет значение .
EventSchema Обязательный Перечисленных Имя схемы, описанной здесь, — UserManagement.
EventSchemaVersion Обязательный SchemaVersion (String) Версия схемы. Версия схемы, описанная здесь, — 0.1.2.
Поля Dvc Для событий управления пользователями поля устройства относятся к системе, сообщая о событии. Обычно это система, в которой осуществляется управление пользователем.

Все общие поля

Поля, отображаемые в таблице ниже, являются общими для всех схем ASIM. Любое указанное выше руководство переопределяет общие рекомендации для поля. Например, поле может быть необязательным в целом, но обязательным для конкретной схемы. Дополнительные сведения о каждом поле см. в статье Общие поля ASIM .

Class Fields
Обязательный - EventCount
- EventStartTime
- EventEndTime
- Eventtype
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Рекомендуемый - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Необязательный - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- Дополнительные поля
- DvcDescription
- DvcScopeId
- DvcScope

Обновлены поля свойств

Поле Класс Тип Описание
UpdatedPropertyName Alias Псевдоним eventSubType , если тип события имеет значение UserCreated, GroupCreated, UserModifiedили GroupModified.

Поддерживаемые значения:
- MultipleProperties: используется, когда действие обновляет несколько свойств.
- Previous<PropertyName>, где <PropertyName> является одним из поддерживаемых значений для UpdatedPropertyName.
- New<PropertyName>, где <PropertyName> является одним из поддерживаемых значений для UpdatedPropertyName.
PreviousPropertyValue Необязательный String Предыдущее значение, хранящееся в указанном свойстве.
NewPropertyValue Необязательный String Новое значение, хранящееся в указанном свойстве.

Поля целевого пользователя

Поле Класс Тип Описание
TargetUserId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление целевого пользователя.

Поддерживаемые форматы и типы:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578
- AADID (Microsoft Entra ID):9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId: 00urjk4znu3BcncfY0h7
- AWSId: 72643944673

Сохраните тип идентификатора в поле TargetUserIdType . Если доступны другие идентификаторы, рекомендуется нормализовать имена полей до TargetUserSid, TargetUserUid, TargetUserAADID, TargetUserOktaId и TargetUserAwsId соответственно. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: S-1-12
TargetUserIdType Условного Перечисленных Тип идентификатора, хранящегося в поле TargetUserId .

Поддерживаемые значения: SID, UID, AADID, OktaIdи AWSId.
TargetUsername Необязательный Имя пользователя (строка) Целевое имя пользователя, включая сведения о домене, если они доступны.

Используйте один из следующих форматов и в следующем порядке приоритета:
- Upn/Email:johndow@contoso.com
- Windows: Contoso\johndow
- DN: CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
- Простой: johndow. Используйте простую форму, только если сведения о домене недоступны.

Сохраните тип имени пользователя в поле TargetUsernameType . Если доступны другие идентификаторы, рекомендуется нормализовать имена полей в TargetUserUpn, TargetUserWindows и TargetUserDn. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: AlbertE
TargetUsernameType Условного Перечисленных Указывает тип имени пользователя, хранящегося в поле TargetUsername . Поддерживаемые значения: UPN, Windows, DNи Simple. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: Windows
TargetUserType Необязательный Перечисленных Тип целевого пользователя. Поддерживаются следующие значения:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

Примечание. Значение может быть указано в исходной записи с помощью разных терминов, которые должны быть нормализованы для этих значений. Сохраните исходное значение в поле TargetOriginalUserType .
TargetOriginalUserType Необязательный String Исходный тип целевого пользователя, если он указан источником.
TargetUserScope Необязательный String Область, например клиент Microsoft Entra, в котором определены TargetUserId и TargetUsername. дополнительные сведения и список допустимых значений см. в статье UserScope в статье Общие сведения о схеме.
TargetUserScopeId Необязательный String Идентификатор область, например идентификатор каталога Microsoft Entra, в котором определены TargetUserId и TargetUsername. Дополнительные сведения и список допустимых значений см. в разделе UserScopeIdстатьи Общие сведения о схеме.
TargetUserSessionId Необязательный String Уникальный идентификатор сеанса входа целевого пользователя.

Пример: 999

Примечание. Тип определяется как строка для поддержки различных систем, но в Windows это значение должно быть числовым.

Если вы используете компьютер с Windows или Linux и используете другой тип, обязательно преобразуйте значения. Например, если вы использовали шестнадцатеричное значение, преобразуйте его в десятичное значение.

Поля субъекта

Поле Класс Тип Описание
ActorUserId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление субъекта.

Поддерживаемые форматы и типы:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578
- AADID (Microsoft Entra ID):9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId: 00urjk4znu3BcncfY0h7
- AWSId: 72643944673

Сохраните тип идентификатора в поле ActorUserIdType . Если доступны другие идентификаторы, рекомендуется нормализовать имена полей до ActorUserSid, ActorUserUid, ActorUserAadId, ActorUserOktaId и ActorAwsId соответственно. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: S-1-12
ActorUserIdType Условного Перечисленных Тип идентификатора, хранящегося в поле ActorUserId . Поддерживаемые значения: SID, UID, AADID, OktaIdи AWSId.
ActorUsername Обязательный Имя пользователя (строка) Имя пользователя субъекта, включая сведения о домене, если они доступны.

Используйте один из следующих форматов и в следующем порядке приоритета:
- Upn/Email:johndow@contoso.com
- Windows: Contoso\johndow
- DN: CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
- Простой: johndow. Используйте простую форму, только если сведения о домене недоступны.

Сохраните тип имени пользователя в поле ActorUsernameType . Если доступны другие идентификаторы, рекомендуется нормализовать имена полей на ActorUserUpn, ActorUserWindows и ActorUserDn.

Дополнительные сведения см. в разделе Сущность пользователя.

Пример: AlbertE
Пользователя Alias Псевдоним для ActorUsername.
ActorUsernameType Условного Перечисленных Указывает тип имени пользователя, хранящегося в поле ActorUsername . Поддерживаемые значения: UPN, Windows, DNи Simple. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: Windows
ActorUserType Необязательный Перечисленных Тип субъекта. Допустимые значения:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

Примечание. Значение может быть указано в исходной записи с помощью разных терминов, которые должны быть нормализованы для этих значений. Сохраните исходное значение в поле ActorOriginalUserType .
ActorOriginalUserType Необязательный String Исходный тип целевого пользователя, если он указан устройством отчетности.
ActorOriginalUserType Исходный тип пользователя субъекта, если он предоставлен источником.
ActorSessionId Необязательный String Уникальный идентификатор сеанса входа субъекта.

Пример: 999

Примечание. Тип определяется как строка для поддержки различных систем, но в Windows это значение должно быть числовым.

Если вы используете компьютер с Windows и используете другой тип, обязательно преобразуйте значения. Например, если вы использовали шестнадцатеричное значение, преобразуйте его в десятичное значение.
ActorScope Необязательный String Область, например клиент Microsoft Entra, в котором определены ActorUserId и ActorUsername. дополнительные сведения и список допустимых значений см. в статье UserScope в статье Общие сведения о схеме.
ActorScopeId Необязательный String Идентификатор область, например Microsoft Entra идентификатор каталога, в котором определены ActorUserId и ActorUsername. дополнительные сведения и список допустимых значений см. в статье UserScopeId в статье Общие сведения о схеме.

Поля группы

Поле Класс Тип Описание
GroupId Необязательный String Машиночитаемое, буквенно-цифровое, уникальное представление группы для действий с участием группы.

Поддерживаемые форматы и типы:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578

Сохраните тип идентификатора в поле GroupIdType . Если доступны другие идентификаторы, рекомендуется нормализовать имена полей в GroupSid или GroupUid соответственно. Дополнительные сведения см. в разделе Сущность пользователя.

Пример: S-1-12
GroupIdType Необязательный Перечисленных Тип идентификатора, хранящегося в поле GroupId .

Поддерживаемые значения: SIDи UID.
Groupname Необязательный String Имя группы, включая сведения о домене, если они доступны, для действий с участием группы.

Используйте один из следующих форматов и в следующем порядке приоритета:
- Upn/Email:grp@contoso.com
- Windows: Contoso\grp
- DN: CN=grp,OU=Sales,DC=Fabrikam,DC=COM
- Простой: grp. Используйте простую форму, только если сведения о домене недоступны.

Сохраните тип имени группы в поле GroupNameType . Если доступны другие идентификаторы, рекомендуется нормализовать имена полей в GroupUpn, GroupNameWindows и GroupDn.

Пример: Contoso\Finance
GroupNameType Необязательный Перечисленных Указывает тип имени группы, хранящегося в поле Имя_группы . Поддерживаемые значения: UPN, Windows, DNи Simple.

Пример: Windows
GroupType Необязательный Перечисленных Тип группы для действий с участием группы. Поддерживаются следующие значения:
- Local Distribution
- Local Security Enabled
- Global Distribution
- Global Security Enabled
- Universal Distribution
- Universal Security Enabled
- Other

Примечание. Значение может быть указано в исходной записи с помощью разных терминов, которые должны быть нормализованы для этих значений. Сохраните исходное значение в поле GroupOriginalType .
GroupOriginalType Необязательный String Исходный тип группы, если он предоставлен источником.

Исходные поля

Поле Класс Тип Описание
Src Рекомендуемый String Уникальный идентификатор исходного устройства.

Это поле может быть псевдонимом полей SrcDvcId, SrcHostname или SrcIpAddr .

Пример: 192.168.12.1
SrcIpAddr Рекомендуемый IP-адрес IP-адрес исходного устройства. Это значение является обязательным, если указано имя SrcHostname .

Пример: 77.138.103.108
IpAddr Alias Псевдоним SrcIpAddr.
SrcPortNumber Необязательный Integer IP-порт, с которого было создано подключение. Может не иметь значения для сеанса, состоящего из нескольких подключений.

Пример: 2335
SrcMacAddr Необязательный MAC-адрес (строка) MAC-адрес сетевого интерфейса, из которого возникло подключение или сеанс.

Пример: 06:10:9f:eb:8f:14
SrcDescription Необязательный String Описательный текст, связанный с устройством. Пример: Primary Domain Controller.
SrcHostname Рекомендуемый String Имя узла исходного устройства, за исключением сведений о домене.

Пример: DESKTOP-1282V4D
SrcDomain Рекомендуемый Домен (строка) Домен исходного устройства.

Пример: Contoso
SrcDomainType Рекомендуемый Перечисленных Тип SrcDomain, если он известен. Возможные значения:
- Windows (например, contoso)
- FQDN (например, microsoft.com)

Требуется, если используется SrcDomain .
SrcFQDN Необязательный Полное доменное имя (строка) Имя узла исходного устройства, включая сведения о домене, если они доступны.

Примечание. Это поле поддерживает как традиционный формат полного доменного имени, так и формат домен\имя узла Windows. Поле SrcDomainType отражает используемый формат.

Пример: Contoso\DESKTOP-1282V4D
SrcDvcId Необязательный String Идентификатор исходного устройства, как указано в записи.

Пример: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Необязательный String Идентификатор область облачной платформы, к которому принадлежит устройство. SrcDvcScopeId сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcScope Необязательный String Облачная платформа область, к которой принадлежит устройство. SrcDvcScope сопоставляется с идентификатором подписки на Azure и идентификатором учетной записи в AWS.
SrcDvcIdType Условного Перечисленных Тип SrcDvcId, если он известен. Возможные значения:
- AzureResourceId
- MDEid

Если доступно несколько идентификаторов, используйте первый из предыдущего списка, а остальные сохраните в SrcDvcAzureResourceId и SrcDvcMDEid соответственно.

Примечание. Это поле является обязательным, если используется SrcDvcId .
SrcDeviceType Необязательный Перечисленных Тип исходного устройства. Возможные значения:
- Computer
- Mobile Device
- IOT Device
- Other
SrcGeoCountry Необязательный Страна Страна или регион, связанные с исходным IP-адресом.

Пример: USA
SrcGeoRegion Необязательный Region Регион, связанный с исходным IP-адресом.

Пример: Vermont
SrcGeoCity Необязательный Город Город, связанный с исходным IP-адресом.

Пример: Burlington
SrcGeoLatitude Необязательный Latitude Широта географической координаты, связанной с исходным IP-адресом.

Пример: 44.475833
SrcGeoLongitude Необязательный Longitude Долгота географической координаты, связанной с исходным IP-адресом.

Пример: 73.211944
SrcRiskLevel Необязательный Integer Уровень риска, связанный с источником. Значение должно быть скорректировано в диапазоне 0 до 100, с 0 для доброкачественных и 100 для высокого риска.

Пример: 90
SrcOriginalRiskLevel Необязательный String Уровень риска, связанный с источником, о чем сообщает устройство отчетности.

Пример: Suspicious

Действующее приложение

Поле Класс Тип Описание
ActingAppId Необязательный String Идентификатор приложения, используемого субъектом для выполнения действия, включая процесс, браузер или службу.

Пример: 0x12ae8
ActingAppName Необязательный String Имя приложения, используемого субъектом для выполнения действия, включая процесс, браузер или службу.

Пример: C:\Windows\System32\svchost.exe
ActingAppType Необязательный Перечисленных Тип действующего приложения. Поддерживаются следующие значения:
- Process
- Browser
- Resource
- Other
ActingOriginalAppType Необязательный String Тип приложения, которое инициировало действие, о чем сообщает устройство отчетности.
HttpUserAgent Необязательный String Если проверка подлинности выполняется по протоколу HTTP или HTTPS, значение этого поля является user_agent заголовка HTTP, предоставляемого действующим приложением при выполнении проверки подлинности.

Пример: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Поля проверки

Следующие поля используются для представления проверки, выполняемой системой безопасности, такой как система EDR.

Поле Класс Тип Описание
RuleName Необязательный String Имя или идентификатор правила, связанного с результатами проверки.
RuleNumber Необязательный Integer Номер правила, связанного с результатами проверки.
Rule Условного String Значение kRuleName или значение RuleNumber. Если используется значение RuleNumber , тип следует преобразовать в строку.
ThreatId Необязательный String Идентификатор угрозы или вредоносных программ, определенных в действии файла.
ThreatName Необязательный String Имя угрозы или вредоносной программы, обнаруженной в действии файла.

Пример: EICAR Test File
ThreatCategory Необязательный String Категория угрозы или вредоносного ПО, обнаруженная в действии файла.

Пример: Trojan
ThreatRiskLevel Необязательный RiskLevel (целое число) Уровень риска, связанный с обнаруженной угрозой. Уровень должен быть числом от 0 до 100.

Примечание. Значение может быть предоставлено в исходной записи с помощью другой шкалы, которая должна быть нормализована по этому масштабу. Исходное значение должно храниться в ThreatOriginalRiskLevel.
ThreatOriginalRiskLevel Необязательный String Уровень риска, сообщаемый устройством отчетности.
ThreatField Необязательный String Поле, для которого была обнаружена угроза.
ThreatConfidence Необязательный ConfidenceLevel (Целое число) Уровень достоверности обнаруженной угрозы, нормализованный до значения от 0 до 100.
ThreatOriginalConfidence Необязательный String Исходный уровень достоверности обнаруженной угрозы, о чем сообщает устройство отчетности.
ThreatIsActive Необязательный Логический Значение true, если обнаруженная угроза считается активной угрозой.
ThreatFirstReportedTime Необязательный datetime При первом обнаружении IP-адреса или домена как угрозы.
ThreatLastReportedTime Необязательный datetime В последний раз IP-адрес или домен были определены как угроза.

Дополнительные поля и псевдонимы

Поле Класс Тип Описание
Узла Alias Псевдоним DvcHostname.

Обновления схемы

Изменения в схеме версии 0.1.2:

  • Добавлены поля проверки.
  • Добавлены исходные поля SrcDescription, SrcMacAddr, SrcOriginalRiskLevel, SrcPortNumber, SrcRiskLevel,
  • Добавлены целевые поля TargetUserScope, , TargetUserScopeIdTargetUserSessionId
  • Добавлены поля ActorOriginalUserTypeсубъекта , , ActorScopeActorScopeId
  • Добавлено поле действующего приложения ActingOriginalAppType

Связанные материалы

  • Last updated on