Microsoft Sentinel referencia del esquema de normalización de administración de usuarios

El esquema de normalización de administración de usuarios Microsoft Sentinel se usa para describir las actividades de administración de usuarios, como crear un usuario o un grupo, cambiar el atributo de usuario o agregar un usuario a un grupo. Estos eventos se notifican, por ejemplo, mediante sistemas operativos, servicios de directorio, sistemas de administración de identidades y cualquier otro sistema que informe sobre su actividad de administración de usuarios local.

Para obtener más información sobre la normalización en Microsoft Sentinel, vea Normalización y el modelo de información de seguridad avanzada (ASIM).

Introducción al esquema

El esquema de administración de usuarios de ASIM describe las actividades de administración de usuarios. Las actividades suelen incluir las siguientes entidades:

  • Actor : el usuario que realiza la actividad de administración.
  • Proceso de actuación : el proceso utilizado por el actor para realizar la actividad de administración.
  • Src : cuando la actividad se realiza a través de la red, el dispositivo de origen desde el que se inició la actividad.
  • Usuario de destino : el usuario que administra la cuenta.
  • Agrupar el usuario de destino se agrega o se quita de, o se va a modificar.

Algunas actividades, como UserCreated, GroupCreated, UserModified y GroupModified*, establecen o actualizan las propiedades de usuario. El conjunto de propiedades o actualizado se documenta en los campos siguientes:

Analizadores

Para obtener más información sobre los analizadores de ASIM, consulte la introducción a los analizadores de ASIM.

Filtrado de parámetros del analizador

Los analizadores de administración de usuarios admiten parámetros de filtrado. Aunque estos parámetros son opcionales, pueden mejorar el rendimiento de las consultas.

Están disponibles los siguientes parámetros de filtrado:

Nombre Tipo Description
starttime datetime Filtre solo los eventos de administración de usuarios que se produjeron en o después de este momento. Este parámetro filtra en el TimeGenerated campo, que es el designador estándar para la hora del evento, independientemente de la asignación específica del analizador de los campos EventStartTime y EventEndTime.
endtime datetime Filtre solo los eventos de administración de usuarios que se produjeron en o antes de este momento. Este parámetro filtra en el TimeGenerated campo, que es el designador estándar para la hora del evento, independientemente de la asignación específica del analizador de los campos EventStartTime y EventEndTime.
srcipaddr_has_any_prefix dinámico Filtre solo los eventos de administración de usuarios en los que el prefijo de dirección IP de origen coincida con cualquiera de los valores enumerados. Los prefijos deben terminar con , .por ejemplo: 10.0..
targetusername_has_any dinámico Filtre solo los eventos de administración de usuarios en los que el nombre de usuario de destino tenga cualquiera de los valores enumerados.
actorusername_has_any dinámico Filtre solo los eventos de administración de usuarios en los que el nombre de usuario del actor tenga cualquiera de los valores enumerados.
eventtype_in dinámico Filtre solo los eventos de administración de usuarios en los que el tipo de evento sea uno de los valores enumerados, como UserCreated, UserDeleted, UserModified, PasswordChangedo GroupCreated.

Por ejemplo, para filtrar solo los eventos de creación de usuarios del último día, use:

_Im_UserManagement (eventtype_in=dynamic(['UserCreated']), starttime = ago(1d), endtime=now())

Detalles del esquema

Campos comunes de ASIM

Importante

Los campos comunes a todos los esquemas se describen en detalle en el artículo Campos comunes de ASIM .

Campos comunes con directrices específicas

En la lista siguiente se mencionan los campos que tienen directrices específicas para los eventos de actividad de proceso:

Campo Clase Tipo Description
EventType Obligatorio Enumerado Describe la operación notificada por el registro.

Para la actividad administración de usuarios, los valores admitidos son:
- UserCreated
- UserDeleted
- UserModified
- UserLocked
- UserUnlocked
- UserDisabled
- UserEnabled
- PasswordChanged
- PasswordReset
- GroupCreated
- GroupDeleted
- GroupModified
- UserAddedToGroup
- UserRemovedFromGroup
- GroupEnumerated
- UserRead
- GroupRead
EventSubType Opcional Enumerado Se admiten los subtipos siguientes:
- UserRead: contraseña, hash
- UserCreated, GroupCreated, UserModified, GroupModified. Para obtener más información, vea UpdatedPropertyName.
EventResult Obligatorio Enumerado Aunque es posible un error, la mayoría de los sistemas solo notifican eventos de administración de usuarios correctos. El valor esperado para eventos correctos es Success.
EventResultDetails Recomendado Enumerado Los valores válidos son NotAuthorized y Other.
EventSeverity Obligatorio Enumerado Aunque se permite cualquier valor de gravedad válido, la gravedad de los eventos de administración de usuarios suele ser Informational.
EventSchema Obligatorio Enumerado El nombre del esquema documentado aquí es UserManagement.
EventSchemaVersion Obligatorio SchemaVersion (String) Versión del esquema. La versión del esquema documentada aquí es 0.1.2.
Campos Dvc Para los eventos de administración de usuarios, los campos de dispositivo hacen referencia al sistema que informa del evento. Suele ser el sistema en el que se administra el usuario.

Todos los campos comunes

Los campos que aparecen en la tabla siguiente son comunes a todos los esquemas de ASIM. Cualquier directriz especificada anteriormente invalida las directrices generales para el campo. Por ejemplo, un campo puede ser opcional en general, pero obligatorio para un esquema específico. Para obtener más información sobre cada campo, consulte el artículo Campos comunes de ASIM .

Class Fields
Obligatorio - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Recomendado - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Opcional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

Campos de propiedad actualizados

Campo Clase Tipo Description
UpdatedPropertyName Alias Alias para EventSubType cuando el tipo de evento es UserCreated, GroupCreated, UserModifiedo GroupModified.

Los valores admitidos son los siguientes:
- MultipleProperties: se usa cuando la actividad actualiza varias propiedades.
- Previous<PropertyName>, donde <PropertyName> es uno de los valores admitidos para UpdatedPropertyName.
- New<PropertyName>, donde <PropertyName> es uno de los valores admitidos para UpdatedPropertyName.
PreviousPropertyValue Opcional Cadena Valor anterior almacenado en la propiedad especificada.
NewPropertyValue Opcional Cadena Nuevo valor almacenado en la propiedad especificada.

Campos de usuario de destino

Campo Clase Tipo Description
TargetUserId Opcional Cadena Representación única, alfanumérica y legible de la máquina del usuario de destino.

Entre los formatos y tipos admitidos se incluyen:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578
- AADID (Microsoft Entra ID):9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId: 00urjk4znu3BcncfY0h7
- AWSId: 72643944673

Almacene el tipo de identificador en el campo TargetUserIdType . Si hay otros identificadores disponibles, se recomienda normalizar los nombres de campo en TargetUserSid, TargetUserUid, TargetUserAADID, TargetUserOktaId y TargetUserAwsId, respectivamente. Para obtener más información, vea La entidad User.

Ejemplo: S-1-12
TargetUserIdType Condicional Enumerado Tipo del identificador almacenado en el campo TargetUserId .

Los valores admitidos son SID, UID, AADID, OktaIdy AWSId.
TargetUsername Opcional Nombre de usuario (cadena) El nombre de usuario de destino, incluida la información de dominio cuando está disponible.

Use uno de los siguientes formatos y en el orden de prioridad siguiente:
- Upn/Email:johndow@contoso.com
- Windows: Contoso\johndow
- DN: CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
- Simple: johndow. Use el formulario Simple solo si la información de dominio no está disponible.

Almacene el tipo de nombre de usuario en el campo TargetUsernameType . Si hay otros identificadores disponibles, se recomienda normalizar los nombres de campo en TargetUserUpn, TargetUserWindows y TargetUserDn. Para obtener más información, vea La entidad User.

Ejemplo: AlbertE
TargetUsernameType Condicional Enumerado Especifica el tipo del nombre de usuario almacenado en el campo TargetUsername . Entre los valores admitidos se incluyen UPN, Windows, DNy Simple. Para obtener más información, vea La entidad User.

Ejemplo: Windows
TargetUserType Opcional Enumerado Tipo de usuario de destino. Los valores admitidos son:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

Nota: El valor se puede proporcionar en el registro de origen mediante diferentes términos, que deben normalizarse a estos valores. Almacene el valor original en el campo TargetOriginalUserType .
TargetOriginalUserType Opcional Cadena Tipo de usuario de destino original, si lo proporciona el origen.
TargetUserScope Opcional Cadena Ámbito, como Microsoft Entra inquilino, en el que se definen TargetUserId y TargetUsername. o más información y lista de valores permitidos, vea UserScope en el artículo Información general del esquema.
TargetUserScopeId Opcional Cadena Identificador de ámbito, como Microsoft Entra id. de directorio, en el que se definen TargetUserId y TargetUsername. Para obtener más información y una lista de los valores permitidos, vea UserScopeId en el artículo Información general del esquema.
TargetUserSessionId Opcional Cadena Identificador único de la sesión de inicio de sesión del usuario de destino.

Ejemplo: 999

Nota: El tipo se define como cadena para admitir sistemas variables, pero en Windows este valor debe ser numérico.

Si usa una máquina Windows o Linux y usa otro tipo, asegúrese de convertir los valores. Por ejemplo, si usó un valor hexadecimal, conviértalo en un valor decimal.

Campos de actor

Campo Clase Tipo Description
ActorUserId Opcional Cadena Representación única, alfanumérica y legible de la máquina del actor.

Entre los formatos y tipos admitidos se incluyen:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578
- AADID (Microsoft Entra ID):9267d02c-5f76-40a9-a9eb-b686f3ca47aa
- OktaId: 00urjk4znu3BcncfY0h7
- AWSId: 72643944673

Almacene el tipo de identificador en el campo ActorUserIdType . Si hay otros identificadores disponibles, se recomienda normalizar los nombres de campo en ActorUserSid, ActorUserUid, ActorUserAadId, ActorUserOktaId y ActorAwsId, respectivamente. Para obtener más información, vea La entidad User.

Ejemplo: S-1-12
ActorUserIdType Condicional Enumerado Tipo del identificador almacenado en el campo ActorUserId . Entre los valores admitidos se incluyen SID, UID, AADID, OktaIdy AWSId.
ActorUsername Obligatorio Nombre de usuario (cadena) Nombre de usuario del actor, incluida la información de dominio cuando esté disponible.

Use uno de los siguientes formatos y en el orden de prioridad siguiente:
- Upn/Email:johndow@contoso.com
- Windows: Contoso\johndow
- DN: CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
- Simple: johndow. Use el formulario Simple solo si la información de dominio no está disponible.

Almacene el tipo de nombre de usuario en el campo ActorUsernameType . Si hay otros identificadores disponibles, se recomienda normalizar los nombres de campo en ActorUserUpn, ActorUserWindows y ActorUserDn.

Para obtener más información, vea La entidad User.

Ejemplo: AlbertE
Usuario Alias Alias a ActorUsername.
ActorUsernameType Condicional Enumerado Especifica el tipo de nombre de usuario almacenado en el campo ActorUsername . Los valores admitidos son UPN, Windows, DNy Simple. Para obtener más información, vea La entidad User.

Ejemplo: Windows
ActorUserType Opcional Enumerado Tipo del actor. Los valores permitidos son:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Other

Nota: El valor se puede proporcionar en el registro de origen mediante diferentes términos, que deben normalizarse a estos valores. Almacene el valor original en el campo ActorOriginalUserType .
ActorOriginalUserType Opcional Cadena Tipo de usuario de destino original, si lo proporciona el dispositivo de informes.
ActorOriginalUserType Tipo de usuario de actor original, si lo proporciona el origen.
ActorSessionId Opcional Cadena Identificador único de la sesión de inicio de sesión del actor.

Ejemplo: 999

Nota: El tipo se define como cadena para admitir sistemas variables, pero en Windows este valor debe ser numérico.

Si usa una máquina Windows y usa otro tipo, asegúrese de convertir los valores. Por ejemplo, si usó un valor hexadecimal, conviértalo en un valor decimal.
ActorScope Opcional Cadena Ámbito, como Microsoft Entra inquilino, en el que se definen ActorUserId y ActorUsername. o más información y lista de valores permitidos, vea UserScope en el artículo Información general del esquema.
ActorScopeId Opcional Cadena Identificador de ámbito, como Microsoft Entra id. de directorio, en el que se definen ActorUserId y ActorUsername. o más información y lista de valores permitidos, vea UserScopeId en el artículo Información general del esquema.

Campos de grupo

Campo Clase Tipo Description
GroupId Opcional Cadena Representación única, alfanumérica y legible del grupo para las actividades que implican un grupo.

Entre los formatos y tipos admitidos se incluyen:
- SID (Windows): S-1-5-21-1377283216-344919071-3415362939-500
- UID (Linux):4578

Almacene el tipo de identificador en el campo GroupIdType . Si hay otros identificadores disponibles, se recomienda normalizar los nombres de campo en GroupSid o GroupUid, respectivamente. Para obtener más información, vea La entidad User.

Ejemplo: S-1-12
GroupIdType Opcional Enumerado Tipo del identificador almacenado en el campo GroupId .

Los valores admitidos son SID, y UID.
GroupName Opcional Cadena El nombre del grupo, incluida la información de dominio cuando está disponible, para las actividades que implican un grupo.

Use uno de los siguientes formatos y en el orden de prioridad siguiente:
- Upn/Email:grp@contoso.com
- Windows: Contoso\grp
- DN: CN=grp,OU=Sales,DC=Fabrikam,DC=COM
- Simple: grp. Use el formulario Simple solo si la información de dominio no está disponible.

Almacene el tipo de nombre de grupo en el campo GroupNameType . Si hay otros identificadores disponibles, se recomienda normalizar los nombres de campo en GroupUpn, GroupNameWindows y GroupDn.

Ejemplo: Contoso\Finance
GroupNameType Opcional Enumerado Especifica el tipo del nombre del grupo almacenado en el campo GroupName . Entre los valores admitidos se incluyen UPN, Windows, DNy Simple.

Ejemplo: Windows
GroupType Opcional Enumerado El tipo del grupo, para las actividades que implican un grupo. Los valores admitidos son:
- Local Distribution
- Local Security Enabled
- Global Distribution
- Global Security Enabled
- Universal Distribution
- Universal Security Enabled
- Other

Nota: El valor se puede proporcionar en el registro de origen mediante diferentes términos, que deben normalizarse a estos valores. Almacene el valor original en el campo GroupOriginalType .
GroupOriginalType Opcional Cadena Tipo de grupo original, si lo proporciona el origen.

Campos de origen

Campo Clase Tipo Description
Src Recomendado Cadena Identificador único del dispositivo de origen.

Este campo podría aliasar los campos SrcDvcId, SrcHostname o SrcIpAddr .

Ejemplo: 192.168.12.1
SrcIpAddr Recomendado Dirección IP Dirección IP del dispositivo de origen. Este valor es obligatorio si se especifica SrcHostname .

Ejemplo: 77.138.103.108
IpAddr Alias Alias para SrcIpAddr.
SrcPortNumber Opcional Entero Puerto IP desde el que se originó la conexión. Es posible que no sea relevante para una sesión que incluya varias conexiones.

Ejemplo: 2335
SrcMacAddr Opcional Dirección MAC (cadena) Dirección MAC de la interfaz de red desde la que se originó la conexión o sesión.

Ejemplo: 06:10:9f:eb:8f:14
SrcDescription Opcional Cadena Texto descriptivo asociado al dispositivo. Por ejemplo: Primary Domain Controller.
SrcHostname Recomendado Cadena Nombre de host del dispositivo de origen, excepto la información de dominio.

Ejemplo: DESKTOP-1282V4D
SrcDomain Recomendado Dominio (cadena) Dominio del dispositivo de origen.

Ejemplo: Contoso
SrcDomainType Recomendado Enumerado Tipo de SrcDomain, si se conoce. Los valores posibles son:
- Windows (por ejemplo contoso, )
- FQDN (por ejemplo microsoft.com, )

Obligatorio si se usa SrcDomain .
SrcFQDN Opcional FQDN (cadena) Nombre de host del dispositivo de origen, incluida la información de dominio cuando está disponible.

Nota: Este campo admite el formato FQDN tradicional y el formato domain\hostname de Windows. El campo SrcDomainType refleja el formato usado.

Ejemplo: Contoso\DESKTOP-1282V4D
SrcDvcId Opcional Cadena Identificador del dispositivo de origen tal como se indica en el registro.

Ejemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Opcional Cadena Identificador del ámbito de la plataforma en la nube al que pertenece el dispositivo. SrcDvcScopeId se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS.
SrcDvcScope Opcional Cadena Ámbito de la plataforma en la nube al que pertenece el dispositivo. SrcDvcScope se asigna a un identificador de suscripción en Azure y a un identificador de cuenta en AWS.
SrcDvcIdType Condicional Enumerado Tipo de SrcDvcId, si se conoce. Los valores posibles son:
- AzureResourceId
- MDEid

Si hay varios identificadores disponibles, use el primero de la lista anterior y almacene los demás en SrcDvcAzureResourceId y SrcDvcMDEid, respectivamente.

Nota: Este campo es necesario si se usa SrcDvcId .
SrcDeviceType Opcional Enumerado Tipo del dispositivo de origen. Los valores posibles son:
- Computer
- Mobile Device
- IOT Device
- Other
SrcGeoCountry Opcional País País o región asociado a la dirección IP de origen.

Ejemplo: USA
SrcGeoRegion Opcional Región Región asociada a la dirección IP de origen.

Ejemplo: Vermont
SrcGeoCity Opcional Ciudad Ciudad asociada a la dirección IP de origen.

Ejemplo: Burlington
SrcGeoLatitude Opcional Latitude Latitud de la coordenada geográfica asociada a la dirección IP de origen.

Ejemplo: 44.475833
SrcGeoLongitude Opcional Longitude Longitud de la coordenada geográfica asociada a la dirección IP de origen.

Ejemplo: 73.211944
SrcRiskLevel Opcional Entero Nivel de riesgo asociado al origen. El valor debe ajustarse a un intervalo de 0 a , con 0 para benignos y 100 para 100un riesgo alto.

Ejemplo: 90
SrcOriginalRiskLevel Opcional Cadena El nivel de riesgo asociado al origen, tal y como informa el dispositivo de informes.

Ejemplo: Suspicious

Aplicación que actúa

Campo Clase Tipo Description
ActingAppId Opcional Cadena Identificador de la aplicación usada por el actor para realizar la actividad, incluido un proceso, un explorador o un servicio.

Por ejemplo: 0x12ae8
ActingAppName Opcional Cadena Nombre de la aplicación usada por el actor para realizar la actividad, incluido un proceso, un explorador o un servicio.

Por ejemplo: C:\Windows\System32\svchost.exe
ActingAppType Opcional Enumerado Tipo de aplicación que actúa. Los valores admitidos son:
- Process
- Browser
- Resource
- Other
ActingOriginalAppType Opcional Cadena Tipo de la aplicación que inició la actividad tal y como informó el dispositivo de informes.
HttpUserAgent Opcional Cadena Cuando la autenticación se realiza a través de HTTP o HTTPS, el valor de este campo es el encabezado HTTP user_agent proporcionado por la aplicación que actúa al realizar la autenticación.

Por ejemplo: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Campos de inspección

Los campos siguientes se usan para representar esa inspección realizada por un sistema de seguridad como un sistema EDR.

Campo Clase Tipo Description
RuleName Opcional Cadena Nombre o identificador de la regla asociado a los resultados de la inspección.
RuleNumber Opcional Entero Número de la regla asociada a los resultados de la inspección.
Rule Condicional Cadena El valor de kRuleName o el valor de RuleNumber. Si se usa el valor de RuleNumber , el tipo debe convertirse en cadena.
ThreatId Opcional Cadena Identificador de la amenaza o malware identificado en la actividad de archivo.
ThreatName Opcional Cadena Nombre de la amenaza o malware identificado en la actividad de archivo.

Ejemplo: EICAR Test File
ThreatCategory Opcional Cadena Categoría de la amenaza o malware identificada en la actividad de archivo.

Ejemplo: Trojan
ThreatRiskLevel Opcional RiskLevel (integer) Nivel de riesgo asociado a la amenaza identificada. El nivel debe ser un número entre 0 y 100.

Nota: Es posible que el valor se proporcione en el registro de origen mediante una escala diferente, que debe normalizarse a esta escala. El valor original debe almacenarse en ThreatOriginalRiskLevel.
ThreatOriginalRiskLevel Opcional Cadena El nivel de riesgo notificado por el dispositivo de informes.
ThreatField Opcional Cadena Campo para el que se identificó una amenaza.
ThreatConfidence Opcional ConfidenceLevel (integer) El nivel de confianza de la amenaza identificada, normalizada a un valor entre 0 y 100.
ThreatOriginalConfidence Opcional Cadena El nivel de confianza original de la amenaza identificada, según lo notificado por el dispositivo de informes.
ThreatIsActive Opcional Booleano True si la amenaza identificada se considera una amenaza activa.
ThreatFirstReportedTime Opcional datetime La primera vez que la dirección IP o el dominio se identificaron como una amenaza.
ThreatLastReportedTime Opcional datetime La última vez que la dirección IP o el dominio se identificaron como una amenaza.

Campos y alias adicionales

Campo Clase Tipo Description
Nombre de host Alias Alias a DvcHostname.

Actualizaciones de esquema

Los cambios en la versión 0.1.2 del esquema son:

  • Se han agregado campos de inspección.
  • Se agregaron los campos SrcDescriptionde origen , SrcMacAddr, SrcOriginalRiskLevel, SrcPortNumber, , . SrcRiskLevel
  • Se agregaron los campos TargetUserScopede destino , , TargetUserScopeIdTargetUserSessionId
  • Se agregaron los campos ActorOriginalUserTypede actor , , ActorScopeActorScopeId
  • Se agregó el campo de aplicación que actúa ActingOriginalAppType

Siguientes pasos

Para más información, vea:

  • Last updated on