Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
В этой статье подробно описаны схемы, используемые во всех встроенных шаблонах списка отслеживания, предоставляемых Microsoft Sentinel. Дополнительные сведения см. в статье Создание списков просмотра в Microsoft Sentinel.
Шаблоны списков Microsoft Sentinel в настоящее время находятся в предварительной версии. Дополнительные условия предварительной версии Azure включают дополнительные юридические условия, применимые к Azure функциям, которые находятся в бета-версии, предварительной версии или еще не выпущены в общедоступную версию.
Высокоценные ресурсы
В списке отслеживания высокоценных активов перечислены устройства, ресурсы и другие ресурсы, которые имеют критически важное значение в организации, и содержатся следующие поля:
| Имя поля | Формат | Пример | Обязательный/необязательный |
|---|---|---|---|
| Тип ресурса | String |
Device, Azure resource, AWS resourceURL, SPO, File share, Other |
Обязательный |
| Идентификатор ресурса | Строка в зависимости от типа ресурса | /subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/SOC-Purview/providers/Microsoft.Storage/storageAccounts/purviewadls |
Обязательный |
| Имя ресурса | String | Microsoft.Storage/storageAccounts/purviewadls |
Необязательный |
| Полное доменное имя ресурса | Полное доменное имя | Finance-SRv.local.microsoft.com |
Обязательный |
| IP-адрес | IP | 1.1.1.1 |
Необязательный |
| Tags | Перечисление |
["SAW user","Blue Ocean team"] для CSV-файлов, созданных в Microsoft Excel, или [""SAW user"",""Blue Ocean team""] для CSV-файлов, созданных в текстовом редакторе |
Необязательный |
VIP-пользователи
Список просмотров виртуальных ip-пользователей содержит учетные записи пользователей сотрудников, которые имеют большое значение в организации, и включает следующие значения:
| Имя поля | Формат | Пример | Обязательный/необязательный |
|---|---|---|---|
| Идентификатор пользователя | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
Необязательный |
| Идентификатор объекта AAD пользователя | SID | aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb |
Необязательный |
| Локальный идентификатор пользователя | SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
Необязательный |
| "User Principal Name" (Имя участника-пользователя); | UPN | JeffL@seccxp.ninja |
Обязательный |
| Tags | Перечисление |
["SAW user","Blue Ocean team"] для CSV-файлов, созданных в Microsoft Excel, или [""SAW user"",""Blue Ocean team""] для CSV-файлов, созданных в текстовом редакторе |
Необязательный |
Сетевые адреса
В списке отслеживания сетевых адресов перечислены IP-подсети и соответствующие контексты организации, а также следующие поля:
| Имя поля | Формат | Пример | Обязательный/необязательный |
|---|---|---|---|
| IP-подсеть | Диапазон подсети | 198.51.100.0/24 |
Обязательный |
| Имя диапазона | String | DMZ |
Необязательный |
| Tags | Перечисление |
["Example","Example"] для CSV-файлов, созданных в Microsoft Excel, или [""Example"",""Example""] для CSV-файлов, созданных в текстовом редакторе |
Необязательный |
Уволенные сотрудники
В списке отслеживания "Уволенные сотрудники" перечислены учетные записи пользователей сотрудников, которые были или будут прекращены, и содержатся следующие поля:
| Имя поля | Формат | Пример | Обязательный/необязательный |
|---|---|---|---|
| Идентификатор пользователя | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
Необязательный |
| Идентификатор объекта AAD пользователя | SID | aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb |
Необязательный |
| Локальный идентификатор пользователя | SID | S-1-12-1-4141952679-1282074057-123 |
Необязательный |
| "User Principal Name" (Имя участника-пользователя); | UPN | JeffL@seccxp.ninja |
Обязательный |
| UserState | String Рекомендуется использовать или NotifiedTerminated |
Terminated |
Обязательный |
| Дата уведомления | Метка времени — день Рекомендуется использовать формат UTC |
2020-12-1 |
Необязательный |
| Дата окончания срока действия | Метка времени — день Рекомендуется использовать формат UTC |
2021-01-01 |
Обязательный |
| Tags | Перечисление |
["SAW user","Amba Wolfs team"] для CSV-файлов, созданных в Microsoft Excel, или [""SAW user"",""Amba Wolfs team""] для CSV-файлов, созданных в текстовом редакторе |
Необязательный |
Корреляция удостоверений
Список отслеживания корреляции удостоверений содержит список связанных учетных записей пользователей, принадлежащих одному и тому же человеку, и содержит следующие поля:
| Имя поля | Формат | Пример | Обязательный/необязательный |
|---|---|---|---|
| Идентификатор пользователя | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
Необязательный |
| Идентификатор объекта AAD пользователя | SID | aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb |
Необязательный |
| Локальный идентификатор пользователя | SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
Необязательный |
| "User Principal Name" (Имя участника-пользователя); | UPN | JeffL@seccxp.ninja |
Обязательный |
| Идентификатор сотрудника | String | 8234123 |
Необязательный |
| Электронная почта | Электронная почта | JeffL@seccxp.ninja |
Необязательный |
| Идентификатор связанной привилегированной учетной записи | UID/SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
Необязательный |
| Связанная привилегированная учетная запись | UPN | Admin@seccxp.ninja |
Необязательный |
| Tags | Перечисление |
["SAW user","Amba Wolfs team"] для CSV-файлов, созданных в Microsoft Excel, или [""SAW user"",""Amba Wolfs team""]для CSV-файлов, созданных в текстовом редакторе |
Необязательный |
Учетные записи служб
Список отслеживания учетных записей служб содержит учетные записи служб и их владельцев и содержит следующие поля:
| Имя поля | Формат | Пример | Обязательный/необязательный |
|---|---|---|---|
| Идентификатор службы | UID | 1111-112123-12312312-123123123 |
Необязательный |
| Идентификатор объекта AAD службы | SID | 11123-123123-123123-123123 |
Необязательный |
| Локальный идентификатор службы | SID | S-1-12-1-3123123-123213123-12312312-2916039507 |
Необязательный |
| Имя субъекта-службы | UPN | myserviceprin@contoso.com |
Обязательный |
| Идентификатор пользователя владельца | UID | 52322ec8-6ebf-11eb-9439-0242ac130002 |
Необязательный |
| Идентификатор объекта AAD владельца пользователя | SID | aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb |
Необязательный |
| Локальный идентификатор пользователя-владельца | SID | S-1-12-1-4141952679-1282074057-627758481-2916039507 |
Необязательный |
| Имя субъекта-пользователя владельца | UPN | JeffL@seccxp.ninja |
Обязательный |
| Tags | Перечисление |
["Automation Account","GitHub Account"] для CSV-файлов, созданных в Microsoft Excel, или [""Automation Account"",""GitHub Account""]для CSV-файлов, созданных в текстовом редакторе |
Необязательный |
Дальнейшие действия
Дополнительные сведения см. в статье.