De naslaginformatie over het schema voor het normaliseren van controlegebeurtenissen (Advanced Security Information Model)

Het normalisatieschema Microsoft Sentinel Controlegebeurtenissen vertegenwoordigt gebeurtenissen die zijn gekoppeld aan de audittrail van informatiesystemen. De audittrail registreert systeemconfiguratieactiviteiten en beleidswijzigingen. Dergelijke wijzigingen worden vaak uitgevoerd door systeembeheerders, maar kunnen ook worden uitgevoerd door gebruikers bij het configureren van de instellingen van hun eigen toepassingen.

Elk systeem registreert auditgebeurtenissen naast de kernactiviteitenlogboeken. Een firewall meldt bijvoorbeeld gebeurtenissen over de netwerksessies zijn processen en controleert gebeurtenissen over configuratiewijzigingen die zijn toegepast op de firewall zelf.

Zie Normalisatie en het Advanced Security Information Model (ASIM) voor meer informatie over normalisatie in Microsoft Sentinel.

Schemaoverzicht

De belangrijkste velden van een auditgebeurtenis zijn:

• Het object, dat bijvoorbeeld een beheerde resource of beleidsregel kan zijn, waarop de gebeurtenis is gericht, wordt vertegenwoordigd door het veld Object. Het veld ObjectType geeft het type van het object op.
• De toepassingscontext van het object, vertegenwoordigd door het veld TargetAppName, dat als alias wordt opgegeven door Toepassing.
• De bewerking die is uitgevoerd op het object, vertegenwoordigd door de velden EventType en Operation. Hoewel Operation de waarde is die de bron heeft gerapporteerd, is EventType een genormaliseerde versie die consistenter is voor alle bronnen.
• De oude en nieuwe waarden voor het object, indien van toepassing, worden vertegenwoordigd door respectievelijk OldValue en NewValue .

Controlegebeurtenissen verwijzen ook naar de volgende entiteiten, die betrokken zijn bij de configuratiebewerking:

• Actor : de gebruiker die de configuratiebewerking uitvoert.
• TargetApp : de toepassing of het systeem waarop de configuratiebewerking van toepassing is.
• Doel : het systeem waarop TargetApp* wordt uitgevoerd.
• ActingApp : de toepassing die door de Actor wordt gebruikt om de configuratiebewerking uit te voeren.
• Src : het systeem dat door de Actor wordt gebruikt om de configuratiebewerking te initiëren, indien anders dan Doel.

De descriptor Dvc wordt gebruikt voor het rapportageapparaat, dat het lokale systeem is voor sessies die door een eindpunt worden gerapporteerd, en in andere gevallen het tussenliggende of beveiligingsapparaat.

Parsers

Parsers voor controlegebeurtenissen implementeren en gebruiken

Implementeer de ASIM-controlegebeurtenissenparser vanuit de Microsoft Sentinel GitHub-opslagplaats. Als u een query wilt uitvoeren op alle auditgebeurtenisbronnen, gebruikt u de parseringsfunctie voor samenvoeging imAuditEvent als de tabelnaam in uw query.

Zie het overzicht van ASIM-parsers voor meer informatie over het gebruik van ASIM-parsers. Raadpleeg de lijst met ASIM-parsers voor de lijst met controlegebeurtenissenparses Microsoft Sentinel out-of-the-box biedt

Uw eigen genormaliseerde parsers toevoegen

Bij het implementeren van aangepaste parsers voor het bestandsgebeurtenisinformatiemodel geeft u de KQL-functies een naam met behulp van de volgende syntaxis: imAuditEvent<vendor><Product>. Raadpleeg het artikel ASIM-parsers beheren voor meer informatie over het toevoegen van uw aangepaste parsers aan de parser voor het samenvoegen van controlegebeurtenissen.

Parameters voor filteren van parser

De parsers voor controlegebeurtenissen ondersteunen filterparameters. Hoewel deze parameters optioneel zijn, kunnen ze uw queryprestaties verbeteren.

De volgende filterparameters zijn beschikbaar:

Sommige parameters kunnen zowel een lijst met waarden van het type dynamic als één tekenreekswaarde accepteren. Als u een letterlijke lijst wilt doorgeven aan parameters die een dynamische waarde verwachten, gebruikt u expliciet een dynamische letterlijke waarde. Bijvoorbeeld:dynamic(['192.168.','10.'])

Als u bijvoorbeeld alleen auditgebeurtenissen wilt filteren met de voorwaarden install of update in het veld Bewerking van de laatste dag, gebruikt u:

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Schemadetails

Algemene ASIM-velden

Algemene velden met specifieke richtlijnen

In de volgende lijst worden velden vermeld met specifieke richtlijnen voor controlegebeurtenissen:

Alle algemene velden

Velden die in de tabel worden weergegeven, zijn gemeenschappelijk voor alle ASIM-schema's. Alle richtlijnen die in dit document zijn opgegeven, overschrijven de algemene richtlijnen voor het veld. Een veld kan bijvoorbeeld in het algemeen optioneel zijn, maar verplicht voor een specifiek schema. Zie het artikel Algemene ASIM-velden voor meer informatie over elk veld.

Auditvelden

Actorvelden

Doeltoepassingsvelden

Doelsysteemvelden

Velden voor actieve toepassing

Bronsysteemvelden

Inspectievelden

De volgende velden worden gebruikt om de door een beveiligingssysteem uitgevoerde inspectie aan te geven.

Schema-updates

De wijzigingen in versie 0.1.1 van het schema zijn:

• Het veld ObjectId en OriginalObjectTypetoegevoegd.

De wijzigingen in versie 0.1.2 van het schema zijn:

• Het veld ActingOriginalAppType, , , SrcOriginalRiskLevel,SrcRiskLevelTargetGeoCity,,TargetGeoCountry,TargetGeoLatitude,TargetGeoLongitude,TargetGeoRegionTargetOriginalAppTypeTargetOriginalRiskLevel, OriginalObjectTypeen toegevoegdTargetRiskLevel

Volgende stappen

Zie voor meer informatie:

• Bekijk de ASIM-webinar of bekijk de dia's
• Overzicht van Advanced Security Information Model (ASIM)
• ASIM-schema's (Advanced Security Information Model)
• ASIM-parsers (Advanced Security Information Model)
• ASIM-inhoud (Advanced Security Information Model)