Referencia del esquema de normalización de sesión de red del modelo de información de seguridad avanzada (ASIM)

El esquema de normalización de sesión de red Microsoft Sentinel representa una actividad de red IP, como conexiones de red y sesiones de red. Estos eventos se notifican, por ejemplo, mediante sistemas operativos, enrutadores, firewalls y sistemas de prevención de intrusiones.

El esquema de normalización de red puede representar cualquier tipo de sesión de red IP, pero está diseñado para proporcionar compatibilidad con tipos de origen comunes, como Netflow, firewalls y sistemas de prevención de intrusiones.

Para obtener más información sobre la normalización en Microsoft Sentinel, vea Normalización y el modelo de información de seguridad avanzada (ASIM).

Analizadores

Para obtener más información sobre los analizadores de ASIM, consulte la introducción a los analizadores de ASIM.

Unificar analizadores

Para usar analizadores que unifiquen todos los analizadores integrados de ASIM y asegúrese de que el análisis se ejecuta en todos los orígenes configurados, use el _Im_NetworkSession analizador.

Analizadores integrados y específicos del origen

Para obtener la lista de los analizadores de sesión de red Microsoft Sentinel proporciona información general, consulte la lista de analizadores de ASIM.

Agregar sus propios analizadores normalizados

Al desarrollar analizadores personalizados para el modelo de información de sesión de red, asigne un nombre a las funciones de KQL mediante la sintaxis siguiente:

• vimNetworkSession<vendor><Product> para analizadores parametrizados
• ASimNetworkSession<vendor><Product> para analizadores normales

Consulte el artículo Administración de analizadores de ASIM para obtener información sobre cómo agregar los analizadores personalizados a la sesión de red que unifica los analizadores.

Filtrado de parámetros del analizador

Los analizadores de sesión de red admiten parámetros de filtrado. Aunque estos parámetros son opcionales, pueden mejorar el rendimiento de las consultas.

Están disponibles los siguientes parámetros de filtrado:

Algunos parámetros pueden aceptar la lista de valores de tipo dynamic o un valor de cadena único. Para pasar una lista literal a parámetros que esperan un valor dinámico, use explícitamente un literal dinámico. Por ejemplo: dynamic(['192.168.','10.'])

Por ejemplo, para filtrar solo las sesiones de red para una lista especificada de nombres de dominio, use:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Contenido normalizado

Para obtener una lista completa de las reglas de análisis que usan eventos DNS normalizados, consulte Contenido de seguridad de sesión de red.

Introducción al esquema

El modelo de información de sesión de red está alineado con el esquema de entidad de red de OSSEM.

El esquema de sesión de red sirve varios tipos de escenarios similares pero distintos, que comparten los mismos campos. Estos escenarios se identifican mediante el campo EventType:

• NetworkSession : una sesión de red notificada por un dispositivo intermedio que supervisa la red, como un firewall, un enrutador o una pulsación de red.
• L2NetworkSession - una sesión de red para la que solo está disponible la información de nivel 2. Estos eventos incluirán direcciones MAC, pero no direcciones IP.
• Flow : un evento agregado que informa de varias sesiones de red similares, normalmente durante un período de tiempo predefinido, como eventos de Netflow .
• EndpointNetworkSession : una sesión de red notificada por uno de los puntos finales de la sesión, incluidos los clientes y servidores. Para estos eventos, el esquema admite los remote campos de alias y local .
• IDS : una sesión de red notificada como sospechosa. Este evento tendrá algunos de los campos de inspección rellenados y puede tener un solo campo de dirección IP rellenado, ya sea el origen o el destino.

Normalmente, una consulta debe seleccionar solo un subconjunto de esos tipos de eventos y puede que tenga que abordar aspectos únicos por separado de los casos de uso. Por ejemplo, los eventos IDS no reflejan todo el volumen de red y no deben tenerse en cuenta en el análisis basado en columnas.

Los eventos de sesión de red usan los descriptores y Dst para denotar los roles de los dispositivos y usuarios y aplicaciones relacionados implicados Src en la sesión. Por ejemplo, el nombre de host y la dirección IP del dispositivo de origen se denominan SrcHostname y SrcIpAddr. Otros esquemas de ASIM suelen usar Target en lugar de Dst.

Para los eventos notificados por un punto de conexión y para los que el tipo de evento es EndpointNetworkSession, los descriptores Local y Remote denotan el propio punto de conexión y el dispositivo en el otro extremo de la sesión de red, respectivamente.

El descriptor Dvc se usa para el dispositivo de informes, que es el sistema local para las sesiones notificadas por un punto de conexión, y el dispositivo intermedio o la pulsación de red para otros eventos de sesión de red.

Detalles del esquema

Campos comunes de ASIM

Campos comunes con directrices específicas

En la lista siguiente se mencionan los campos que tienen directrices específicas para los eventos de sesión de red:

Todos los campos comunes

Los campos que aparecen en la tabla siguiente son comunes a todos los esquemas de ASIM. Cualquier directriz especificada anteriormente invalida las directrices generales para el campo. Por ejemplo, un campo puede ser opcional en general, pero obligatorio para un esquema específico. Para obtener más información sobre cada campo, consulte el artículo Campos comunes de ASIM .

Campos de sesión de red

Campos del sistema de destino

Campos de usuario de destino

Campos de aplicación de destino

Campos del sistema de origen

Campos de usuario de origen

Campos de aplicación de origen

Alias locales y remotos

Todos los campos de origen y destino enumerados anteriormente, se pueden aliasar opcionalmente por campos con el mismo nombre y los descriptores Local y Remote. Esto suele ser útil para los eventos notificados por un punto de conexión y para los que el tipo de evento es EndpointNetworkSession.

Para estos eventos, los descriptores Local y Remote denotan el propio punto de conexión y el dispositivo en el otro extremo de la sesión de red, respectivamente. En el caso de las conexiones entrantes, el sistema local es el destino, Local los campos son alias de los Dst campos y los campos "Remotos" son alias para Src los campos. Por el contrario, para las conexiones salientes, el sistema local es el origen, Local los campos son alias de los Src campos y Remote los campos son alias para Dst los campos.

Por ejemplo, para un evento de entrada, el campo LocalIpAddr es un alias para DstIpAddr y el campo RemoteIpAddr es un alias para SrcIpAddr.

Alias de nombre de host y dirección IP

Campos de traducción de direcciones de red (NAT) y dispositivo intermedio

Los campos siguientes son útiles si el registro incluye información sobre un dispositivo intermediario, como un firewall o un proxy, que retransmite la sesión de red.

Los sistemas intermediarios suelen usar la traducción de direcciones y, por tanto, la dirección original y la dirección observada externamente no son iguales. En tales casos, los campos de dirección principal como SrcIPAddr y DstIpAddr representan las direcciones observadas externamente, mientras que los campos de dirección NAT, SrcNatIpAddr y DstNatIpAddr representan la dirección interna del dispositivo original antes de la traducción.

Campos de inspección

Los campos siguientes se usan para representar esa inspección que realizó un dispositivo de seguridad, como un firewall, una IPS o una puerta de enlace de seguridad web:

Otros campos

Si uno de los puntos de conexión de la sesión de red notifica el evento, puede incluir información sobre el proceso que inició o finalizó la sesión. En tales casos, se usa el esquema de eventos de proceso de ASIM para normalizar esta información.

Actualizaciones de esquema

A continuación se muestran los cambios en la versión 0.2.1 del esquema:

• Se han agregado Src alias y Dst como a un identificador inicial para los sistemas de origen y destino.
• Se agregaron los campos NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanIdy OuterVlanId.

A continuación se muestran los cambios en la versión 0.2.2 del esquema:

• Se han agregado Remote alias y Local .
• Se agregó el tipo EndpointNetworkSessionde evento .
• Definido Hostname y IpAddr como alias para RemoteHostname y LocalIpAddr respectivamente cuando el tipo de evento es EndpointNetworkSession.
• Se define DvcInterface como un alias para DvcInboundInterface o DvcOutboundInterface.
• Se ha cambiado el tipo de los siguientes campos de Integer a Long: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPacketsy NetworkPackets.
• Se agregó el campo NetworkProtocolVersion.
• En desuso DstUserDomain y SrcUserDomain.

A continuación se muestran los cambios en la versión 0.2.3 del esquema:

• Se agregó el ipaddr_has_any_prefix parámetro de filtrado.
• El hostname_has_any parámetro de filtrado ahora coincide con los nombres de host de origen o de destino.
• Se agregaron los campos ASimMatchingHostname y ASimMatchingIpAddr.

A continuación se muestran los cambios en la versión 0.2.4 del esquema:

• Se agregaron los TcpFlags campos.
• Se ha actualizado NetworkIcpmType y NetworkIcmpCode para reflejar el valor numérico de ambos.
• Se han agregado campos de inspección adicionales.
• Se cambió el nombre del campo "ThreatRiskLevelOriginal" a ThreatOriginalRiskLevel para alinearse con las convenciones de ASIM. Los analizadores de Microsoft existentes se mantendrán ThreatRiskLevelOriginal hasta el 1 de mayo de 2023.
• Marcado EventResultDetails como recomendado y especificado los valores permitidos.

A continuación se muestran los cambios en la versión 0.2.5 del esquema:

• Se agregaron los campos DstUserScope, SrcUserScope, SrcDvcScopeId, SrcDvcScope, DstDvcScopeId, DstDvcScope, DvcScopeIdy DvcScope.

A continuación se muestran los cambios en la versión 0.2.6 del esquema:

• Se ha agregado IDS como tipo de evento.

A continuación se muestran los cambios en la versión 0.2.7 del esquema:

• Se agregaron los campos DstDescription y SrcDescription

Siguientes pasos

Para más información, vea:

• Vea el seminario web de ASIM o revise las diapositivas.
• Introducción al modelo de información de seguridad avanzada (ASIM)
• Esquemas del modelo de información de seguridad avanzada (ASIM)
• Analizadores del modelo de información de seguridad avanzada (ASIM)
• Contenido del modelo de información de seguridad avanzada (ASIM)