Skemareferencen til normalisering af asim-netværkssessionen (Advanced Security Information Model)

Normaliseringsskemaet Microsoft Sentinel netværkssession repræsenterer en IP-netværksaktivitet, f.eks. netværksforbindelser og netværkssessioner. Sådanne hændelser rapporteres for eksempel af operativsystemer, routere, firewalls og intrusion forebyggelsessystemer.

Netværksnormaliseringsskemaet kan repræsentere alle typer af en IP-netværkssession, men er designet til at understøtte almindelige kildetyper, f.eks. Netflow, firewalls og systemer til forebyggelse af indtrængen.

Du kan få flere oplysninger om normalisering i Microsoft Sentinel under Normalisering og ASIM (Advanced Security Information Model).

Parsere

Du kan finde flere oplysninger om ASIM-fortolkninger i oversigten over ASIM-fortolkninger.

Forenende fortolkere

Hvis du vil bruge fortolkere, der forener alle ASIM-fortolkninger, der er klar til brug, og sikre, at din analyse kører på tværs af alle de konfigurerede kilder, skal du bruge fortolkeren _Im_NetworkSession .

Ude af funktion, kildespecifikke fortolkninger

Hvis du vil se listen over fortolkninger af netværkssessionen Microsoft Sentinel leverer klar til brug, skal du se listen over ASIM-fortolkninger

Tilføj dine egne normaliserede fortolkere

Når du udvikler brugerdefinerede fortolkninger for informationsmodellen for netværkssessionen, skal du navngive dine KQL-funktioner ved hjælp af følgende syntaks:

• vimNetworkSession<vendor><Product> til parametriserede fortolkere
• ASimNetworkSession<vendor><Product> for almindelige fortolkninger

Se artiklen Administration af ASIM-fortolkere for at få mere at vide om, hvordan du føjer dine brugerdefinerede fortolkere til netværkssessionen forener fortolkere.

Filtreringsparserparametre

Fortolkningsparametrene for netværkssessionen understøtter filtrering af parametre. Selvom disse parametre er valgfrie, kan de forbedre ydeevnen af din forespørgsel.

Følgende filtreringsparametre er tilgængelige:

Nogle parametre kan acceptere begge lister med værdier af typen dynamic eller en enkelt strengværdi. Hvis du vil overføre en konstantliste til parametre, der forventer en dynamisk værdi, skal du eksplicit bruge en dynamisk konstant. For eksempel: dynamic(['192.168.','10.'])

Hvis du f.eks. kun vil filtrere netværkssessioner for en angivet liste over domænenavne, skal du bruge:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normaliseret indhold

Du kan se en komplet liste over analyseregler, der bruger normaliserede DNS-hændelser, under Sikkerhedsindhold for netværkssession.

Skemaoversigt

Informationsmodellen for netværkssessionen er justeret i forhold til OSSEM Network-enhedsskemaet.

Skemaet til netværkssessionen serverer flere typer lignende, men særskilte scenarier, som deler de samme felter. Disse scenarier identificeres af feltet EventType:

• NetworkSession - en netværkssession, der rapporteres af en mellemliggende enhed, der overvåger netværket, f.eks. en firewall, en router eller et netværkstryk.
• L2NetworkSession - en netværkssession, hvor der kun er lag 2-oplysninger tilgængelige. Sådanne hændelser omfatter MAC-adresser, men ikke IP-adresser.
• Flow – en samlet hændelse, der rapporterer flere lignende netværkssessioner, typisk over en foruddefineret tidsperiode, f.eks . Netflow-hændelser .
• EndpointNetworkSession – en netværkssession, der rapporteres af et af slutpunkterne for sessionen, herunder klienter og servere. For sådanne hændelser understøtter skemaet aliasfelterne remote og local .
• IDS – en netværkssession, der er rapporteret som mistænkelig. En sådan hændelse vil have nogle af kontrolfelterne udfyldt, og der kan kun være udfyldt ét IP-adressefelt, enten kilden eller destinationen.

En forespørgsel skal typisk enten vælge blot et undersæt af disse hændelsestyper og skal muligvis håndtere separate entydige aspekter af use cases. IDS-hændelser afspejler f.eks. ikke hele netværksenheden og bør ikke tages i betragtning i kolonnebaserede analyser.

Netværkssessionshændelser bruger beskrivelserne Src og Dst til at angive rollerne for de enheder og relaterede brugere og programmer, der er involveret i sessionen. Så kildeenhedens værtsnavn og IP-adresse navngives SrcHostname f.eks. og SrcIpAddr. Andre ASIM-skemaer bruger Target typisk i stedet for Dst.

For hændelser, der rapporteres af et slutpunkt, og hvor hændelsestypen er EndpointNetworkSession, beskriver Local og Remote angiver henholdsvis slutpunktet og enheden i den anden ende af netværkssessionen.

Dvc Beskrivelsen bruges til rapporteringsenheden, som er det lokale system for sessioner, der er rapporteret af et slutpunkt, og mellemliggende enhed eller netværkstryk for andre netværkssessionshændelser.

Skemadetaljer

Almindelige ASIM-felter

Almindelige felter med specifikke retningslinjer

På følgende liste nævnes felter, der har specifikke retningslinjer for hændelser i netværkssessionen:

Alle almindelige felter

Felter, der vises i nedenstående tabel, er fælles for alle ASIM-skemaer. Alle retningslinjer, der er angivet ovenfor, tilsidesætter de generelle retningslinjer for feltet. Et felt kan f.eks. være valgfrit generelt, men obligatorisk for et bestemt skema. Du kan finde flere oplysninger om hvert felt i artiklen Almindelige ASIM-felter .

Netværkssessionsfelter

Destinationssystemfelter

Destinationsbrugerfelter

Destinationsprogramfelter

Kildesystemfelter

Kildebrugerfelter

Kildeprogramfelter

Lokale og eksterne aliasser

Alle de kilde- og destinationsfelter, der er angivet ovenfor, kan eventuelt aliasseres efter felter med det samme navn og beskrivelserne Local og Remote. Dette er typisk nyttigt for hændelser, der rapporteres af et slutpunkt, og for hvilke hændelsestypen er EndpointNetworkSession.

For sådanne hændelser angiver beskrivelserne Local og Remote selve slutpunktet og enheden i den anden ende af netværkssessionen. For indgående forbindelser er det lokale system destinationen, Local felter er aliasser for Dst felterne, og 'Fjernfelter' er aliasser for Src felter. Omvendt er det lokale system kilden for udgående forbindelser, Local felter er aliasser for Src felterne, og Remote felter er aliasser for Dst felter.

For en indgående hændelse er feltet LocalIpAddr f.eks. et alias til DstIpAddr , og feltet RemoteIpAddr er et alias til SrcIpAddr.

Aliasser for værtsnavn og IP-adresse

Nat-felter (Mellemliggende enhed og Netværksadresseoversættelse)

Følgende felter er nyttige, hvis posten indeholder oplysninger om en mellemliggende enhed, f.eks. en firewall eller en proxy, som relæer netværkssessionen.

Mellemliggende systemer bruger ofte adresseoversættelse, og derfor er den oprindelige adresse og den adresse, der blev observeret eksternt, ikke den samme. I sådanne tilfælde repræsenterer de primære adressefelter, f.eks . SrcIPAddr og DstIpAddr de adresser, der er observeret eksternt, mens NAT-adressefelterne SrcNatIpAddr og DstNatIpAddr repræsenterer den interne adresse på den oprindelige enhed før oversættelse.

Kontrolfelter

Følgende felter bruges til at repræsentere den kontrol, som en sikkerhedsenhed, f.eks. en firewall, en IPS eller en websikkerhedsgateway udførte:

Andre felter

Hvis hændelsen rapporteres af et af slutpunkterne for netværkssessionen, kan den indeholde oplysninger om den proces, der startede eller afsluttede sessionen. I sådanne tilfælde bruges SKEMAet for ASIM-proceshændelser til at normalisere disse oplysninger.

Skemaopdateringer

Følgende er ændringerne i version 0.2.1 af skemaet:

• Tilføjet Src og Dst som aliaser til et foranstillet id for kilde- og destinationssystemerne.
• Tilføjede felterne NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanIdog OuterVlanId.

Følgende er ændringerne i version 0.2.2 af skemaet:

• Tilføjede Remote aliasser og Local .
• Hændelsestypen EndpointNetworkSessioner tilføjet.
• Defineret Hostname og IpAddr som aliaser for RemoteHostname henholdsvis og LocalIpAddr , når hændelsestypen er EndpointNetworkSession.
• Defineret DvcInterface som et alias til DvcInboundInterface eller DvcOutboundInterface.
• Ændrede typen af følgende felter fra Integer til Long: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPacketsog NetworkPackets.
• Feltet NetworkProtocolVersioner tilføjet.
• Frarådes DstUserDomain og SrcUserDomain.

Følgende er ændringerne i version 0.2.3 af skemaet:

• Filterparameteren ipaddr_has_any_prefix er tilføjet.
• Filterparameteren hostname_has_any stemmer nu overens med enten kilde- eller destinationsværtsnavne.
• Tilføjede felterne ASimMatchingHostname og ASimMatchingIpAddr.

Følgende er ændringerne i version 0.2.4 af skemaet:

• Tilføjede felterne TcpFlags .
• Opdateret NetworkIcpmType og NetworkIcmpCode for at afspejle talværdien for begge.
• Tilføjede yderligere kontrolfelter.
• Feltet 'ThreatRiskLevelOriginal' blev omdøbt til at ThreatOriginalRiskLevel justere med ASIM-konventioner. Eksisterende Microsoft-fortolkere bevarer ThreatRiskLevelOriginal indtil den 1. maj 2023.
• Markeret EventResultDetails som anbefalet og angivet de tilladte værdier.

Følgende er ændringerne i version 0.2.5 af skemaet:

• Felterne DstUserScope, SrcUserScope, SrcDvcScopeId, SrcDvcScope, DstDvcScopeId, DstDvcScope, DvcScopeIdog DvcScope.

Følgende er ændringerne i version 0.2.6 af skemaet:

• IdS er tilføjet som en hændelsestype

Følgende er ændringerne i version 0.2.7 af skemaet:

• Tilføjede felterne DstDescription og SrcDescription

Næste trin

Du kan finde flere oplysninger under:

• Se ASIM-webinaret , eller gennemse slides
• Oversigt over ASIM (Advanced Security Information Model)
• ASIM-skemaer (Advanced Security Information Model)
• ASIM-fortolkninger (Advanced Security Information Model)
• Asim-indhold (Advanced Security Information Model)