De naslaginformatie over het schema voor netwerksessienormalisatie van ASIM (Advanced Security Information Model)

Het normalisatieschema voor Microsoft Sentinel netwerksessie vertegenwoordigt een IP-netwerkactiviteit, zoals netwerkverbindingen en netwerksessies. Dergelijke gebeurtenissen worden bijvoorbeeld gerapporteerd door besturingssystemen, routers, firewalls en inbraakpreventiesystemen.

Het schema voor netwerknormalisatie kan elk type IP-netwerksessie vertegenwoordigen, maar is ontworpen om ondersteuning te bieden voor algemene brontypen, zoals Netflow, firewalls en inbraakpreventiesystemen.

Zie Normalisatie en het Advanced Security Information Model (ASIM) voor meer informatie over normalisatie in Microsoft Sentinel.

Parsers

Zie het overzicht van ASIM-parsers voor meer informatie over ASIM-parsers.

Parseerfuncties samenvoegen

Als u parsers wilt gebruiken waarmee alle out-of-the-box ASIM-parsers worden samengevoegd en ervoor wilt zorgen dat uw analyse wordt uitgevoerd in alle geconfigureerde bronnen, gebruikt u de _Im_NetworkSession parser.

Out-of-the-box, bronspecifieke parsers

Raadpleeg de lijst met ASIM-parsers voor de lijst met netwerksessieparsesers Microsoft Sentinel out-of-the-box biedt

Uw eigen genormaliseerde parsers toevoegen

Wanneer u aangepaste parsers ontwikkelt voor het netwerksessiegegevensmodel, geeft u de KQL-functies een naam met behulp van de volgende syntaxis:

• vimNetworkSession<vendor><Product> voor geparametriseerde parsers
• ASimNetworkSession<vendor><Product> voor normale parsers

Raadpleeg het artikel ASIM-parsers beheren voor meer informatie over het toevoegen van uw aangepaste parsers aan de parseringsservers voor netwerksessies.

Parameters voor filteren van parser

De netwerksessieparser ondersteunt filterparameters. Hoewel deze parameters optioneel zijn, kunnen ze uw queryprestaties verbeteren.

De volgende filterparameters zijn beschikbaar:

Sommige parameters kunnen zowel een lijst met waarden van het type dynamic als één tekenreekswaarde accepteren. Als u een letterlijke lijst wilt doorgeven aan parameters die een dynamische waarde verwachten, gebruikt u expliciet een dynamische letterlijke waarde. Bijvoorbeeld:dynamic(['192.168.','10.'])

Als u bijvoorbeeld alleen netwerksessies wilt filteren op een opgegeven lijst met domeinnamen, gebruikt u:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Genormaliseerde inhoud

Zie Netwerksessiebeveiligingsinhoud voor een volledige lijst met analyseregels die gebruikmaken van genormaliseerde DNS-gebeurtenissen.

Schemaoverzicht

Het informatiemodel van de netwerksessie is afgestemd op het entiteitsschema OSSEM Network.

Het netwerksessieschema dient voor verschillende typen vergelijkbare, maar afzonderlijke scenario's, die dezelfde velden delen. Deze scenario's worden geïdentificeerd door het veld EventType:

• NetworkSession - een netwerksessie die wordt gerapporteerd door een tussenliggend apparaat dat het netwerk bewaakt, zoals een firewall, een router of een netwerktik.
• L2NetworkSession - een netwerksessie waarvoor alleen laag 2-informatie beschikbaar is. Dergelijke gebeurtenissen omvatten MAC-adressen, maar geen IP-adressen.
• Flow - een geaggregeerde gebeurtenis die meerdere vergelijkbare netwerksessies rapporteert, meestal gedurende een vooraf gedefinieerde periode, zoals Netflow-gebeurtenissen .
• EndpointNetworkSession - een netwerksessie gerapporteerd door een van de eindpunten van de sessie, inclusief clients en servers. Voor dergelijke gebeurtenissen ondersteunt het schema de remote aliasvelden en local .
• IDS - een netwerksessie die als verdacht wordt gerapporteerd. Een dergelijke gebeurtenis bevat een aantal van de inspectievelden en kan slechts één IP-adresveld hebben ingevuld, ofwel de bron of het doel.

Normaal gesproken moet een query slechts een subset van deze gebeurtenistypen selecteren en mogelijk unieke aspecten van de use cases aanpakken. IDS-gebeurtenissen geven bijvoorbeeld niet het hele netwerkvolume weer en mogen niet worden meegenomen in analyses op basis van kolommen.

Netwerksessie-gebeurtenissen gebruiken de descriptors Src en Dst om de rollen aan te geven van de apparaten en gerelateerde gebruikers en toepassingen die bij de sessie betrokken zijn. De hostnaam en het IP-adres van het bronapparaat hebben bijvoorbeeld de naam SrcHostname en SrcIpAddr. Andere ASIM-schema's gebruiken Target doorgaans in plaats van Dst.

Voor gebeurtenissen die zijn gerapporteerd door een eindpunt en waarvoor het gebeurtenistype is EndpointNetworkSession, LocalRemote worden respectievelijk het eindpunt zelf en het apparaat aan het andere einde van de netwerksessie aangegeven.

De descriptor Dvc wordt gebruikt voor het rapportageapparaat, het lokale systeem voor sessies die zijn gerapporteerd door een eindpunt, en de tussenliggende apparaat- of netwerktik voor andere netwerksessie-gebeurtenissen.

Schemadetails

Algemene ASIM-velden

Algemene velden met specifieke richtlijnen

In de volgende lijst worden velden vermeld met specifieke richtlijnen voor netwerksessie-gebeurtenissen:

Alle algemene velden

Velden die in de onderstaande tabel worden weergegeven, zijn gemeenschappelijk voor alle ASIM-schema's. Elke hierboven opgegeven richtlijn overschrijft de algemene richtlijnen voor het veld. Een veld kan bijvoorbeeld in het algemeen optioneel zijn, maar verplicht voor een specifiek schema. Raadpleeg het artikel Algemene velden van ASIM voor meer informatie over elk veld.

Velden voor netwerksessie

Doelsysteemvelden

Doelgebruikersvelden

Doeltoepassingsvelden

Bronsysteemvelden

Brongebruikersvelden

Brontoepassingsvelden

Lokale en externe aliassen

Alle hierboven vermelde bron- en doelvelden kunnen eventueel worden gealiaseerd door velden met dezelfde naam en de descriptors Local en Remote. Dit is meestal handig voor gebeurtenissen die zijn gerapporteerd door een eindpunt en waarvoor het gebeurtenistype is EndpointNetworkSession.

Voor dergelijke gebeurtenissen worden LocalRemote respectievelijk het eindpunt zelf en het apparaat aan het andere einde van de netwerksessie aangegeven. Voor binnenkomende verbindingen is het lokale systeem het doel, Local zijn velden aliassen voor de Dst velden en 'Externe' velden zijn aliassen voor Src velden. Omgekeerd is voor uitgaande verbindingen het lokale systeem de bron, Local zijn velden aliassen voor de Src velden en Remote velden aliassen voor Dst velden.

Voor een binnenkomende gebeurtenis is het veld LocalIpAddr bijvoorbeeld een alias voor DstIpAddr en is het veld RemoteIpAddr een alias van SrcIpAddr.

Aliassen voor hostnaam en IP-adres

Tussenliggende velden apparaat en NAT (Network Address Translation)

De volgende velden zijn handig als de record informatie bevat over een tussenliggend apparaat, zoals een firewall of een proxy, waarmee de netwerksessie wordt doorgegeven.

Tussenliggende systemen maken vaak gebruik van adresomzetting en daarom zijn het oorspronkelijke adres en het externe adres niet hetzelfde. In dergelijke gevallen vertegenwoordigen de primaire adresvelden, zoals SrcIPAddr en DstIpAddr , de adressen die extern worden waargenomen, terwijl de NAT-adresvelden, SrcNatIpAddr en DstNatIpAddr het interne adres van het oorspronkelijke apparaat vertegenwoordigen vóór de vertaling.

Inspectievelden

De volgende velden worden gebruikt om de inspectie weer te geven die een beveiligingsapparaat zoals een firewall, een IPS of een webbeveiligingsgateway heeft uitgevoerd:

Overige velden

Als de gebeurtenis wordt gerapporteerd door een van de eindpunten van de netwerksessie, kan deze informatie bevatten over het proces waarmee de sessie is gestart of beëindigd. In dergelijke gevallen wordt het schema ASIM Process Event gebruikt om deze informatie te normaliseren.

Schema-updates

Hier volgen de wijzigingen in versie 0.2.1 van het schema:

• Dst En Src toegevoegd als aliassen aan een voorloop-id voor de bron- en doelsystemen.
• De velden NetworkConnectionHistory, SrcVlanId, DstVlanId, InnerVlanIden OuterVlanId.

Hier volgen de wijzigingen in versie 0.2.2 van het schema:

• Toegevoegde Remote aliassen en Local aliassen.
• Het gebeurtenistype EndpointNetworkSessionis toegevoegd.
• Gedefinieerd Hostname en IpAddr als aliassen voor RemoteHostname respectievelijk en LocalIpAddr wanneer het gebeurtenistype is EndpointNetworkSession.
• Gedefinieerd DvcInterface als een alias voor DvcInboundInterface of DvcOutboundInterface.
• Het type van de volgende velden is gewijzigd van Geheel getal in Lang: SrcBytes, DstBytesNetworkBytes, , SrcPackets, DstPacketsen NetworkPackets.
• Het veld NetworkProtocolVersionis toegevoegd.
• DstUserDomain Afgeschaft en SrcUserDomain.

Hier volgen de wijzigingen in versie 0.2.3 van het schema:

• ipaddr_has_any_prefix De filterparameter toegevoegd.
• De hostname_has_any filterparameter komt nu overeen met de hostnamen van de bron of de bestemming.
• De velden ASimMatchingHostname en ASimMatchingIpAddrzijn toegevoegd.

Hier volgen de wijzigingen in versie 0.2.4 van het schema:

• De velden zijn TcpFlags toegevoegd.
• Bijgewerkt NetworkIcpmType en NetworkIcmpCode om de getalwaarde voor beide weer te geven.
• Aanvullende inspectievelden toegevoegd.
• De naam van het veld ThreatRiskLevelOriginal is gewijzigd in om ThreatOriginalRiskLevel uit te lijnen met ASIM-conventies. Bestaande Microsoft-parsers blijven behouden ThreatRiskLevelOriginal tot 1 mei 2023.
• Gemarkeerd EventResultDetails als aanbevolen en de toegestane waarden opgegeven.

Hier volgen de wijzigingen in versie 0.2.5 van het schema:

• De velden , , , , , DstDvcScopeId, DstDvcScope, , DvcScopeIden DvcScope. SrcDvcScopeSrcDvcScopeIdSrcUserScopeDstUserScope

Hier volgen de wijzigingen in versie 0.2.6 van het schema:

• Id's toegevoegd als gebeurtenistype

Hier volgen de wijzigingen in versie 0.2.7 van het schema:

• De velden DstDescription en SrcDescription

Volgende stappen

Zie voor meer informatie:

• Bekijk de ASIM-webinar of bekijk de dia's
• Overzicht van Advanced Security Information Model (ASIM)
• ASIM-schema's (Advanced Security Information Model)
• ASIM-parsers (Advanced Security Information Model)
• ASIM-inhoud (Advanced Security Information Model)