Informations de référence sur le schéma de normalisation des événements d’audit ASIM (Advanced Security Information Model)

Le schéma de normalisation des événements d’audit Microsoft Sentinel représente les événements associés à la piste d’audit des systèmes d’information. La piste d’audit enregistre les activités de configuration du système et les modifications de stratégie. Ces modifications sont souvent effectuées par les administrateurs système, mais peuvent également être effectuées par les utilisateurs lors de la configuration des paramètres de leurs propres applications.

Chaque système enregistre les événements d’audit avec ses journaux d’activité principaux. Par exemple, un pare-feu journalisera les événements relatifs aux sessions réseau et auditera les événements concernant les modifications de configuration appliquées au pare-feu lui-même.

Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et le modèle ASIM (Advanced Security Information Model).

Vue d’ensemble du schéma

Les principaux champs d’un événement d’audit sont les suivants :

• Objet, qui peut être, par exemple, une ressource managée ou une règle de stratégie, sur lequel l’événement se concentre, représenté par le champ Object. Le champ ObjectType spécifie le type de l’objet.
• Contexte d’application de l’objet, représenté par le champ TargetAppName, qui est alias par Application.
• Opération effectuée sur l’objet, représentée par les champs EventType et Operation. Bien que Operation soit la valeur signalée par la source, EventType est une version normalisée qui est plus cohérente entre les sources.
• Ancienne et nouvelle valeurs de l’objet, le cas échéant, représentées respectivement par OldValue et NewValue .

Les événements d’audit font également référence aux entités suivantes, qui sont impliquées dans l’opération de configuration :

• Acteur : utilisateur effectuant l’opération de configuration.
• TargetApp : application ou système pour lequel l’opération de configuration s’applique.
• Target : système sur lequel TargetApp* s’exécute.
• ActingApp : application utilisée par l’acteur pour effectuer l’opération de configuration.
• Src : système utilisé par l’acteur pour lancer l’opération de configuration, s’il est différent de target.

Le descripteur Dvc est utilisé pour l’appareil de création de rapports, qui est le système local pour les sessions signalées par un point de terminaison, et l’appareil intermédiaire ou de sécurité dans d’autres cas.

Analyseurs

Déploiement et utilisation des analyseurs d’événements d’audit

Déployez les analyseurs d’événements d’audit ASIM à partir du dépôt GitHub Microsoft Sentinel. Pour interroger toutes les sources d’événements d’audit, utilisez l’analyseur imAuditEvent d’unification comme nom de table dans votre requête.

Pour plus d’informations sur l’utilisation des analyseurs ASIM, consultez la vue d’ensemble des analyseurs ASIM. Pour obtenir la liste des analyseurs d’événements d’audit Microsoft Sentinel fournit prête à l’emploi, reportez-vous à la liste des analyseurs ASIM.

Ajouter vos propres analyseurs normalisés

Lors de l’implémentation d’analyseurs personnalisés pour le modèle d’informations d’événement de fichier, nommez vos fonctions KQL à l’aide de la syntaxe suivante : imAuditEvent<vendor><Product>. Reportez-vous à l’article Gestion des analyseurs ASIM pour savoir comment ajouter vos analyseurs personnalisés à l’analyseur d’unification d’événement d’audit.

Filtrage des paramètres de l’analyseur

Les analyseurs d’événements d’audit prennent en charge les paramètres de filtrage. Bien que ces paramètres soient facultatifs, ils peuvent améliorer les performances de vos requêtes.

Les paramètres de filtrage suivants sont disponibles :

Certains paramètres peuvent accepter les deux listes de valeurs de type dynamic ou une valeur de chaîne unique. Pour passer une liste littérale à des paramètres qui attendent une valeur dynamique, utilisez explicitement un littéral dynamique. Par exemple : dynamic(['192.168.','10.'])

Par exemple, pour filtrer uniquement les événements d’audit avec les termes install ou update dans leur champ Opération , à partir du dernier jour, utilisez :

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Détails du schéma

Champs ASIM courants

Champs communs avec des instructions spécifiques

La liste suivante mentionne les champs qui ont des instructions spécifiques pour les événements d’audit :

Tous les champs courants

Les champs qui apparaissent dans la table sont communs à tous les schémas ASIM. Toutes les instructions spécifiées dans ce document remplacent les instructions générales pour le champ. Par exemple, un champ peut être facultatif en général, mais obligatoire pour un schéma spécifique. Pour plus d’informations sur chaque champ, consultez l’article Champs communs ASIM .

Champs d’audit

Champs d’acteur

Champs d’application cibles

Champs système cibles

Champs d’application en cours d’action

Champs système source

Champs d’inspection

Les champs suivants sont utilisés pour représenter l’inspection effectuée par un système de sécurité.

Mises à jour de schéma

Les modifications apportées à la version 0.1.1 du schéma sont les suivantes :

• Ajout du champ ObjectId et OriginalObjectType.

Les modifications apportées à la version 0.1.2 du schéma sont les suivantes :

• Ajout du champ ActingOriginalAppType, OriginalObjectType, SrcOriginalRiskLevel, SrcRiskLevel,TargetGeoCity,TargetGeoCountry,TargetGeoLatitudeTargetGeoLongitude,TargetGeoRegion,TargetOriginalAppType,TargetOriginalRiskLevel, etTargetRiskLevel

Prochaines étapes

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Regardez le webinaire ASIM ou passez en revue les diapositives
• Vue d’ensemble du modèle ASIM (Advanced Security Information Model)
• Schémas ASIM (Advanced Security Information Model)
• Analyseurs ASIM (Advanced Security Information Model)
• Contenu ASIM (Advanced Security Information Model)