De ASIM-gebruikersentiteit (Advanced Security Information Model)

Gebruikers staan centraal in activiteiten die worden gerapporteerd door gebeurtenissen. De velden van de gebruikersentiteit die in deze sectie worden vermeld, worden gebruikt om de gebruikers te beschrijven die bij de actie betrokken zijn. Bij gebruik in een gebeurtenis worden voorvoegsels gebruikt om de rol van een gebruikersentiteit in de activiteit aan te geven. De voorvoegsels Src en Dst worden gebruikt om de gebruikersrol aan te wijzen in netwerkgerelateerde gebeurtenissen, waarin een bronsysteem en een doelsysteem communiceren. De voorvoegsels Actor en Doel worden gebruikt voor systeemgeoriënteerde gebeurtenissen, zoals procesgebeurtenissen.

De gebruikers-id en het bereik

Veld Klasse Type Beschrijving
Userid Optioneel Tekenreeks Een machineleesbare, alfanumerieke, unieke weergave van de gebruiker.
UserScope Optioneel tekenreeks Het bereik waarin UserId en Username zijn gedefinieerd. Bijvoorbeeld een Microsoft Entra tenantdomeinnaam. Het veld UserIdType vertegenwoordigt ook het type dat aan dit veld is gekoppeld.
UserScopeId Optioneel tekenreeks De id van het bereik waarin UserId en Username zijn gedefinieerd. Bijvoorbeeld een Microsoft Entra tenantmap-id. Het veld UserIdType vertegenwoordigt ook het type dat aan dit veld is gekoppeld.
UserIdType Optioneel UserIdType Het type id dat is opgeslagen in het veld UserId .
UserSid, UserUid, UserAadId, UserOktaId, UserAWSId, UserPuid Optioneel Tekenreeks Velden die worden gebruikt voor het opslaan van specifieke gebruikers-id's. Selecteer de id die het meest is gekoppeld aan de gebeurtenis als de primaire id die is opgeslagen in UserId. Vul naast UserId het relevante specifieke id-veld in, zelfs als de gebeurtenis slechts één id heeft.
UserAADTenant, UserAWSAccount Optioneel Tekenreeks Velden die worden gebruikt voor het opslaan van specifieke bereiken. Gebruik het veld UserScope voor het bereik dat is gekoppeld aan de id die is opgeslagen in het veld UserId . Vul naast UserScope het relevante specifieke bereikveld in, zelfs als de gebeurtenis slechts één id heeft.

De toegestane waarden voor een type gebruikers-id zijn:

Type Beschrijving Voorbeeld
SID Een Windows-gebruikers-id. S-1-5-21-1377283216-344919071-3415362939-500
UID Een Linux gebruikers-id. 4578
AADID Een Microsoft Entra gebruikers-id. 00aa00aa-bb11-cc22-dd33-44ee44ee44ee
OktaId Een Okta-gebruikers-id. 00urjk4znu3BcncfY0h7
AWSId Een AWS-gebruikers-id. 72643944673
PUID Een Microsoft 365-gebruikers-id. 10032001582F435C
SalesforceId Een Salesforce-gebruikers-id. 00530000009M943

De gebruikersnaam

Veld Klasse Type Beschrijving
Gebruikersnaam Optioneel Tekenreeks De brongebruikersnaam, inclusief domeingegevens, indien beschikbaar. Gebruik het eenvoudige formulier alleen als domeingegevens niet beschikbaar zijn. Sla het gebruikersnaamtype op in het veld UsernameType .
UsernameType Optioneel UsernameType Hiermee geeft u het type gebruikersnaam op dat is opgeslagen in het veld Gebruikersnaam .
UserUPN, WindowsUsername, DNUsername, SimpleUsername Optioneel Tekenreeks Velden die worden gebruikt voor het opslaan van extra gebruikersnamen, als de oorspronkelijke gebeurtenis meerdere gebruikersnamen bevat. Selecteer de gebruikersnaam die het meest is gekoppeld aan de gebeurtenis als de primaire gebruikersnaam die is opgeslagen in Gebruikersnaam.

De toegestane waarden voor een gebruikersnaamtype zijn:

Type Beschrijving Voorbeeld
UPN Een UPN of Email adresnaam voor gebruikersnaam. johndow@contoso.com
Windows Een Windows-gebruikersnaam inclusief een domein. Contoso\johndow
DN Een LDAP DN-naamaantekening. CN=Jeff Smith,OU=Sales,DC=Fabrikam,DC=COM
Simple Een eenvoudige gebruikersnaam zonder domein-aanwijzen. johndow
AWSId Een AWS-gebruikers-id. 72643944673

Aanvullende gebruikersvelden

Veld Klasse Type Beschrijving
UserType Optioneel UserType Het type brongebruiker. Ondersteunde waarden zijn onder andere:
- Regular
- Machine
- Admin
- System
- Application
- Service Principal
- Service
- Anonymous
- Other.

De waarde kan worden opgegeven in de bronrecord met behulp van verschillende termen, die moeten worden genormaliseerd naar deze waarden. Sla de oorspronkelijke waarde op in het veld OriginalUserType .
OriginalUserType Optioneel Tekenreeks Het oorspronkelijke doelgebruikerstype, indien opgegeven door het rapportageapparaat.