ASIM-sikkerhedsindhold (Advanced Security Information Model)

Normaliseret sikkerhedsindhold i Microsoft Sentinel omfatter analyseregler, jagtforespørgsler og projektmapper, der fungerer sammen med samlende normaliseringsparsere.

Du kan finde normaliseret, indbygget indhold i Microsoft Sentinel gallerier og løsninger, oprette dit eget normaliserede indhold eller redigere eksisterende indhold for at bruge normaliserede data.

Denne artikel indeholder en liste over indbygget Microsoft Sentinel indhold, der er konfigureret til at understøtte ASIM (Advanced Security Information Model). Selvom der er angivet links til Microsoft Sentinel GitHub-lageret som reference, kan du også finde disse regler i galleriet med Microsoft Sentinel Analytics-regler. Brug de sammenkædede GitHub-sider til at kopiere relevante jagtforespørgsler.

Hvis du vil vide, hvordan normaliseret indhold passer inden for ASIM-arkitekturen, skal du se ASIM-arkitekturdiagrammet.

Sikkerhedsindhold til godkendelse

Følgende indbyggede godkendelsesindhold understøttes i forbindelse med ASIM-normalisering.

Analyseregler

• Potentielt adgangskodesprøjteangreb (bruger godkendelsesnormalisering)
• Brute force attack mod brugerens legitimationsoplysninger (bruger godkendelse normalisering)
• Brugerlogon fra forskellige lande/områder inden for 3 timer (bruger normalisering af godkendelse)
• Logon fra IP-adresser, der forsøger at logge på deaktiverede konti (bruger godkendelsesnormalisering)

Sikkerhedsindhold for filaktivitet

Følgende indbyggede filaktivitetsindhold understøttes i forbindelse med ASIM-normalisering.

• Ældre IOC-baseret trusselsregistrering

Analyseregler

• SUNBURST- og SUPERNOVA-bagdørhashes (normaliserede filhændelser)

Sikkerhedsindhold for registreringsdatabaseaktivitet

Følgende indbyggede aktivitetsindhold i registreringsdatabasen understøttes i forbindelse med ASIM-normalisering.

Analyseregler

• Potentiel Fodhelper UAC Bypass (ASIM-version)

Jagtforespørgsler

• Bevares via IFEO-registreringsdatabasenøglen

Sikkerhedsindhold i DNS-forespørgsel

Følgende indbyggede DNS-forespørgselsindhold understøttes til ASIM-normalisering.

Sikkerhedsindhold for netværkssession

Følgende indbyggede indhold, der er relateret til netværkssessionen, understøttes til ASIM-normalisering.

Behandl sikkerhedsindhold for aktivitet

Følgende indbyggede procesaktivitetsindhold understøttes til ASIM-normalisering.

Sikkerhedsindhold i websession

Følgende indbyggede websessionsrelaterede indhold understøttes i forbindelse med ASIM-normalisering.

Næste trin

Du kan finde flere oplysninger under:

• Se webinaret med detaljeret gennemgang på Microsoft Sentinel normalisere fortolkere og normaliseret indhold, eller gennemse slidene
• Oversigt over ASIM (Advanced Security Information Model)
• ASIM-skemaer (Advanced Security Information Model)
• ASIM-fortolkninger (Advanced Security Information Model)
• Brug af ASIM (Advanced Security Information Model)
• Ændring af Microsoft Sentinel indhold for at bruge ASIM-fortolkere (Advanced Security Information Model)