Informations de référence sur le schéma de normalisation de session réseau ASIM (Advanced Security Information Model)

Le schéma de normalisation de session réseau Microsoft Sentinel représente une activité réseau IP, telle que les connexions réseau et les sessions réseau. Ces événements sont signalés, par exemple, par les systèmes d’exploitation, les routeurs, les pare-feu et les systèmes de prévention des intrusions.

Le schéma de normalisation réseau peut représenter n’importe quel type de session réseau IP, mais il est conçu pour prendre en charge les types de sources courants, tels que Netflow, les pare-feu et les systèmes de prévention des intrusions.

Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et le modèle ASIM (Advanced Security Information Model).

Analyseurs

Pour plus d’informations sur les analyseurs ASIM, consultez la vue d’ensemble des analyseurs ASIM.

Analyseurs d’unification

Pour utiliser des analyseurs qui unifient tous les analyseurs ASIM prêtes à l’emploi et vérifiez que votre analyse s’exécute sur toutes les sources configurées, utilisez l’analyseur _Im_NetworkSession .

Analyseurs spécifiques à la source prêtes à l’emploi

Pour obtenir la liste des analyseurs de session réseau Microsoft Sentinel fournit prête à l’emploi, reportez-vous à la liste des analyseurs ASIM.

Ajouter vos propres analyseurs normalisés

Lorsque vous développez des analyseurs personnalisés pour le modèle d’informations de session réseau, nommez vos fonctions KQL à l’aide de la syntaxe suivante :

• vimNetworkSession<vendor><Product> pour les analyseurs paramétrés
• ASimNetworkSession<vendor><Product> pour les analyseurs standard

Reportez-vous à l’article Gestion des analyseurs ASIM pour savoir comment ajouter vos analyseurs personnalisés aux analyseurs d’unification de session réseau.

Filtrage des paramètres de l’analyseur

Les analyseurs de session réseau prennent en charge les paramètres de filtrage. Bien que ces paramètres soient facultatifs, ils peuvent améliorer les performances de vos requêtes.

Les paramètres de filtrage suivants sont disponibles :

Certains paramètres peuvent accepter les deux listes de valeurs de type dynamic ou une valeur de chaîne unique. Pour passer une liste littérale à des paramètres qui attendent une valeur dynamique, utilisez explicitement un littéral dynamique. Par exemple : dynamic(['192.168.','10.'])

Par exemple, pour filtrer uniquement les sessions réseau pour une liste spécifiée de noms de domaine, utilisez :

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Contenu normalisé

Pour obtenir la liste complète des règles d’analyse qui utilisent des événements DNS normalisés, consultez Contenu de sécurité de session réseau.

Vue d’ensemble du schéma

Le modèle d’informations de session réseau est aligné sur le schéma d’entité réseau OSSEM.

Le schéma de session réseau sert plusieurs types de scénarios similaires, mais distincts, qui partagent les mêmes champs. Ces scénarios sont identifiés par le champ EventType :

• NetworkSession : session réseau signalée par un appareil intermédiaire qui surveille le réseau, comme un pare-feu, un routeur ou un tap réseau.
• L2NetworkSession - session réseau pour laquelle seules les informations de couche 2 sont disponibles. Ces événements incluent des adresses MAC, mais pas des adresses IP.
• Flow - événement agrégé qui signale plusieurs sessions réseau similaires, généralement sur une période prédéfinie, comme les événements Netflow .
• EndpointNetworkSession : session réseau signalée par l’un des points de terminaison de la session, y compris les clients et les serveurs. Pour ces événements, le schéma prend en charge les champs d’alias remote et local .
• IDS : session réseau signalée comme suspecte. Un tel événement aura certains champs d’inspection renseignés et peut avoir un seul champ d’adresse IP rempli, soit la source, soit la destination.

En règle générale, une requête doit sélectionner uniquement un sous-ensemble de ces types d’événements et peut avoir besoin de traiter séparément des aspects uniques des cas d’usage. Par exemple, les événements IDS ne reflètent pas l’intégralité du volume réseau et ne doivent pas être pris en compte dans l’analytique basée sur les colonnes.

Les événements de session réseau utilisent les descripteurs Src et Dst pour désigner les rôles des appareils et des utilisateurs et applications associés impliqués dans la session. Par exemple, le nom d’hôte et l’adresse IP de l’appareil source sont nommés SrcHostname et SrcIpAddr. D’autres schémas ASIM utilisent Target généralement au lieu de Dst.

Pour les événements signalés par un point de terminaison et pour lesquels le type d’événement est EndpointNetworkSession, les descripteurs Local et Remote indiquent le point de terminaison lui-même et l’appareil à l’autre extrémité de la session réseau, respectivement.

Le descripteur Dvc est utilisé pour l’appareil de création de rapports, qui est le système local pour les sessions signalées par un point de terminaison, et l’appareil intermédiaire ou le tap réseau pour les autres événements de session réseau.

Détails du schéma

Champs ASIM courants

Champs communs avec des instructions spécifiques

La liste suivante mentionne les champs qui ont des instructions spécifiques pour les événements de session réseau :

Tous les champs courants

Les champs qui apparaissent dans le tableau ci-dessous sont communs à tous les schémas ASIM. Toutes les recommandations spécifiées ci-dessus remplacent les instructions générales pour le champ. Par exemple, un champ peut être facultatif en général, mais obligatoire pour un schéma spécifique. Pour plus d’informations sur chaque champ, consultez l’article Champs communs ASIM .

Champs de session réseau

Champs système de destination

Champs de l’utilisateur de destination

Champs d’application de destination

Champs système source

Champs de l’utilisateur source

Champs d’application source

Alias locaux et distants

Tous les champs source et de destination répertoriés ci-dessus peuvent éventuellement être alias par des champs portant le même nom et les descripteurs Local et Remote. Cela est généralement utile pour les événements signalés par un point de terminaison et pour lesquels le type d’événement est EndpointNetworkSession.

Pour ces événements, les descripteurs Local et Remote indiquent le point de terminaison lui-même et l’appareil à l’autre extrémité de la session réseau, respectivement. Pour les connexions entrantes, le système local est la destination, Local les champs sont des alias des Dst champs et les champs « Distants » sont des alias de Src champs. À l’inverseSrc, pour les connexions sortantes, le système local est la source, Local les champs sont des alias des champs et Remote les champs sont des alias de Dst champs.

Par exemple, pour un événement entrant, le champ LocalIpAddr est un alias de DstIpAddr et le champ RemoteIpAddr est un alias pour SrcIpAddr.

Noms d’hôte et alias d’adresse IP

Champs d’appareil intermédiaire et de traduction d’adresses réseau (NAT)

Les champs suivants sont utiles si l’enregistrement inclut des informations sur un appareil intermédiaire, tel qu’un pare-feu ou un proxy, qui relaie la session réseau.

Les systèmes intermédiaires utilisent souvent la traduction d’adresses et, par conséquent, l’adresse d’origine et l’adresse observée en externe ne sont pas les mêmes. Dans ce cas, les champs d’adresse primaire tels que SrcIPAddr et DstIpAddr représentent les adresses observées en externe, tandis que les champs d’adresse NAT , SrcNatIpAddr et DstNatIpAddr représentent l’adresse interne de l’appareil d’origine avant la traduction.

Champs d’inspection

Les champs suivants sont utilisés pour représenter l’inspection effectuée par un appareil de sécurité tel qu’un pare-feu, une adresse IPS ou une passerelle de sécurité web :

Autres champs

Si l’événement est signalé par l’un des points de terminaison de la session réseau, il peut inclure des informations sur le processus qui a lancé ou mis fin à la session. Dans ce cas, le schéma d’événement de processus ASIM est utilisé pour normaliser ces informations.

Mises à jour de schéma

Voici les modifications apportées à la version 0.2.1 du schéma :

• Ajout Src de et Dst en tant qu’alias à un identificateur de début pour les systèmes source et de destination.
• Ajout des champs NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanIdet OuterVlanId.

Voici les modifications apportées à la version 0.2.2 du schéma :

• Ajout d’alias Remote et Local .
• Ajout du type EndpointNetworkSessiond’événement .
• Définis Hostname et IpAddr en tant qu’alias pour RemoteHostname et LocalIpAddr respectivement lorsque le type d’événement est EndpointNetworkSession.
• Défini DvcInterface en tant qu’alias de DvcInboundInterface ou DvcOutboundInterface.
• Modification du type des champs suivants de Integer en Long : SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPacketset NetworkPackets.
• Ajout du champ NetworkProtocolVersion.
• Dépréciés DstUserDomain et SrcUserDomain.

Voici les modifications apportées à la version 0.2.3 du schéma :

• Ajout du ipaddr_has_any_prefix paramètre de filtrage.
• Le hostname_has_any paramètre de filtrage correspond désormais aux noms d’hôte source ou de destination.
• Ajout des champs ASimMatchingHostname et ASimMatchingIpAddr.

Voici les modifications apportées à la version 0.2.4 du schéma :

• Ajout des TcpFlags champs.
• Mis à jour NetworkIcpmType et NetworkIcmpCode pour refléter la valeur numérique pour les deux.
• Ajout de champs d’inspection supplémentaires.
• Le champ « ThreatRiskLevelOriginal » a été renommé ThreatOriginalRiskLevel en pour s’aligner sur les conventions ASIM. Les analyseurs Microsoft existants seront conservés ThreatRiskLevelOriginal jusqu’au 1er mai 2023.
• Marqué EventResultDetails comme recommandé et spécifié les valeurs autorisées.

Voici les modifications apportées à la version 0.2.5 du schéma :

• Ajout des champs DstUserScope, SrcUserScope, SrcDvcScopeId, SrcDvcScope, DstDvcScopeIdDstDvcScope, DvcScopeId, et DvcScope.

Voici les modifications apportées à la version 0.2.6 du schéma :

• Ajout d’IDS en tant que type d’événement

Voici les modifications apportées à la version 0.2.7 du schéma :

• Ajout des champs DstDescription et SrcDescription

Prochaines étapes

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Regardez le webinaire ASIM ou passez en revue les diapositives
• Vue d’ensemble du modèle ASIM (Advanced Security Information Model)
• Schémas ASIM (Advanced Security Information Model)
• Analyseurs ASIM (Advanced Security Information Model)
• Contenu ASIM (Advanced Security Information Model)