Informations de référence sur le schéma de normalisation de session web ASIM (Advanced Security Information Model)

Le schéma de normalisation de session web est utilisé pour décrire une activité réseau IP. Par exemple, les activités réseau IP sont signalées par les serveurs web, les proxys web et les passerelles de sécurité web.

Pour plus d’informations sur la normalisation dans Microsoft Sentinel, consultez Normalisation et le modèle ASIM (Advanced Security Information Model).

Vue d’ensemble du schéma

Le schéma de normalisation de session web représente toute session réseau HTTP et convient pour prendre en charge les types de sources courants, notamment :

• Serveurs Web
• Proxys web
• Passerelles de sécurité web

Le schéma de session web ASIM représente l’activité des protocoles HTTP et HTTPS. Étant donné que le schéma représente l’activité du protocole, il est régi par des RFC et des listes de paramètres officiellement attribuées, qui sont référencées dans cet article le cas échéant.

Le schéma de session web ne représente pas les événements d’audit des appareils sources. Par exemple, un événement modifiant une stratégie de passerelle de sécurité web ne peut pas être représenté par le schéma de session web.

Étant donné que les sessions HTTP sont des sessions de couche application qui utilisent TCP/IP comme session de couche réseau sous-jacente, le schéma de session web est un super ensemble du schéma de session réseau ASIM.

Les champs les plus importants d’un schéma de session web sont les suivants :

• URL, qui indique l’URL que le client a demandée au serveur.
• SrcIpAddr (alias ipAddr), qui représente l’adresse IP à partir de laquelle la requête a été générée.
• Champ EventResultDetails , qui indique généralement le code d’état HTTP.

Les événements de session web peuvent également inclure des informations utilisateur et processus pour l’utilisateur et le processus à l’origine de la demande.

Analyseurs

Pour plus d’informations sur les analyseurs ASIM, consultez la vue d’ensemble des analyseurs ASIM.

Analyseurs d’unification

Pour utiliser des analyseurs qui unifient tous les analyseurs ASIM prêtes à l’emploi et vérifiez que votre analyse s’exécute sur toutes les sources configurées, utilisez l’analyseur _Im_WebSession .

Analyseurs spécifiques à la source prêtes à l’emploi

Pour obtenir la liste des analyseurs de session web Microsoft Sentinel fournit prête à l’emploi, reportez-vous à la liste des analyseurs ASIM.

Ajouter vos propres analyseurs normalisés

Lorsque vous implémentez des analyseurs personnalisés pour le modèle d’informations de session web, nommez vos fonctions KQL à l’aide de la syntaxe suivante :

• vimWebSession<vendor><Product> pour les analyseurs paramétrés
• ASimWebSession<vendor><Product> pour les analyseurs standard

Filtrage des paramètres de l’analyseur

Les im analyseurs et vim* prennent en charge les paramètres de filtrage. Bien que ces analyseurs soient facultatifs, ils peuvent améliorer les performances de vos requêtes.

Les paramètres de filtrage suivants sont disponibles :

Certains paramètres peuvent accepter les deux listes de valeurs de type dynamic ou une valeur de chaîne unique. Pour passer une liste littérale à des paramètres qui attendent une valeur dynamique, utilisez explicitement un littéral dynamique. Par exemple : dynamic(['192.168.','10.'])

Par exemple, pour filtrer uniquement les sessions Web pour une liste spécifiée de noms de domaine, utilisez :

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_WebSession (url_has_any = torProxies)

Détails du schéma

Le modèle d’informations de session web est aligné sur le schéma d’entité réseau OSSEM et le schéma d’entité HTTP OSSEM.

Pour se conformer aux meilleures pratiques du secteur, le schéma de session web utilise les descripteurs Src et Dst pour identifier les appareils source et de destination de session, sans inclure le jeton Dvc dans le nom du champ.

Par exemple, le nom d’hôte et l’adresse IP de l’appareil source sont respectivement nommés SrcHostname et SrcIpAddr , et non SrcDvcHostname et SrcDvcIpAddr. Le préfixe Dvc est utilisé uniquement pour l’appareil de création de rapports ou intermédiaire, le cas échéant.

Les champs qui décrivent l’utilisateur et l’application associés aux appareils source et de destination utilisent également les descripteurs Src et Dst .

Les autres schémas ASIM utilisent généralement Target au lieu de Dst.

Champs ASIM courants

Champs communs avec des instructions spécifiques

La liste suivante mentionne les champs qui ont des instructions spécifiques pour les événements de session web :

Tous les champs courants

Les champs qui apparaissent dans le tableau ci-dessous sont communs à tous les schémas ASIM. Toutes les recommandations spécifiées ci-dessus remplacent les instructions générales pour le champ. Par exemple, un champ peut être facultatif en général, mais obligatoire pour un schéma spécifique. Pour plus d’informations sur chaque champ, reportez-vous à l’article Champs communs ASIM .

Champs de session réseau

Les sessions HTTP sont des sessions de couche application qui utilisent TCP/IP comme session de couche réseau sous-jacente. Le schéma de session web est un super ensemble de schéma de session réseau ASIM et tous les champs de schéma réseau sont également inclus dans le schéma de session web.

Les champs de schéma de session réseau ASIM suivants ont des instructions spécifiques lorsqu’ils sont utilisés pour un événement de session web :

• L’alias User doit faire référence à SrcUsername et non à DstUsername.
• Le champ EventOriginalResultDetails peut contenir n’importe quel résultat signalé par la source en plus du code de status HTTP stocké dans EventResultDetails.
• Pour les sessions web, le champ de destination principal est le champ URL. Le DstDomain est facultatif plutôt que recommandé. Plus précisément, s’il n’est pas disponible, il n’est pas nécessaire de l’extraire de l’URL dans l’analyseur.
• Les champs NetworkRuleName et NetworkRuleNumber sont respectivement renommés RuleName et RuleNumber .

Les événements de session web sont généralement signalés par des appareils intermédiaires qui mettent fin à la connexion HTTP à partir du client et initient une nouvelle connexion, agissant comme un proxy, avec le serveur. Pour représenter l’appareil intermédiaire, utilisez les champs De l’appareil intermédiairedu schéma de session réseau ASIM

Champs de session HTTP

Voici des champs supplémentaires spécifiques aux sessions web :

Autres champs

Si l’événement est signalé par l’un des points de terminaison de la session web, il peut inclure des informations sur le processus qui a lancé ou mis fin à la session. Dans ce cas, le schéma d’événement de processus ASIM permet de normaliser ces informations.

Mises à jour de schéma

Le schéma de session web s’appuie sur le schéma de session réseau. Par conséquent, les mises à jour du schéma de session réseau s’appliquent également au schéma de session web.

Voici les modifications apportées à la version 0.2.5 du schéma :

• Ajout du champ HttpHost.

Voici les modifications apportées à la version 0.2.6 du schéma :

• Le type de FileSize est passé de Integer à Long.

Voici les modifications apportées à la version 0.2.7 du schéma :

• Ajout des champs HttpCookie, HttpIsProxied, HttpRequestBodyBytes, HttpRequestCacheControl, HttpRequestHeaderCountHttpResponseBodyBytes, HttpResponseCacheControl, HttpResponseExpireset HttpResponseHeaderCount.

Prochaines étapes

Pour plus d’informations, reportez-vous aux rubriques suivantes :

• Regardez le webinaire ASIM ou passez en revue les diapositives
• Vue d’ensemble du modèle ASIM (Advanced Security Information Model)
• Schémas ASIM (Advanced Security Information Model)
• Analyseurs ASIM (Advanced Security Information Model)
• Contenu ASIM (Advanced Security Information Model)