Naslaginformatie over het schema voor het normaliseren van websessies (Advanced Security Information Model)

Het schema voor normalisatie van websessies wordt gebruikt om een IP-netwerkactiviteit te beschrijven. IP-netwerkactiviteiten worden bijvoorbeeld gerapporteerd door webservers, webproxy's en webbeveiligingsgateways.

Zie Normalisatie en het Advanced Security Information Model (ASIM) voor meer informatie over normalisatie in Microsoft Sentinel.

Schemaoverzicht

Het schema voor normalisatie van websessies vertegenwoordigt elke HTTP-netwerksessie en is geschikt om ondersteuning te bieden voor algemene brontypen, waaronder:

• Webservers
• Webproxy's
• Webbeveiligingsgateways

Het ASIM-websessieschema vertegenwoordigt HTTP- en HTTPS-protocolactiviteit. Omdat het schema protocolactiviteit vertegenwoordigt, wordt het beheerd door RFC's en officieel toegewezen parameterlijsten, waarnaar in dit artikel wordt verwezen indien van toepassing.

Het websessieschema vertegenwoordigt geen controlegebeurtenissen van bronapparaten. Een gebeurtenis die een webbeveiligingsgatewaybeleid wijzigt, kan bijvoorbeeld niet worden vertegenwoordigd door het websessieschema.

Omdat HTTP-sessies toepassingslaagsessies zijn die gebruikmaken van TCP/IP als de onderliggende netwerklaagsessie, is het schema van de websessie een superset van het ASIM-netwerksessieschema.

De belangrijkste velden in een websessieschema zijn:

• URL, die de URL rapporteert die de client heeft aangevraagd bij de server.
• De SrcIpAddr (alias naar IpAddr), die het IP-adres vertegenwoordigt van waaruit de aanvraag is gegenereerd.
• Het veld EventResultDetails , waarin doorgaans de HTTP-statuscode wordt gerapporteerd.

Websessie-gebeurtenissen kunnen ook gebruikers- en procesgegevens bevatten voor de gebruiker en het proces dat de aanvraag initieert.

Parsers

Zie het overzicht van ASIM-parsers voor meer informatie over ASIM-parsers.

Parseerfuncties samenvoegen

Als u parsers wilt gebruiken waarmee alle out-of-the-box ASIM-parsers worden samengevoegd en ervoor wilt zorgen dat uw analyse wordt uitgevoerd in alle geconfigureerde bronnen, gebruikt u de _Im_WebSession parser.

Out-of-the-box, bronspecifieke parsers

Raadpleeg de lijst met ASIM-parsers voor de lijst met websessieparsesers die Microsoft Sentinel out-of-the-box biedt

Uw eigen genormaliseerde parsers toevoegen

Bij het implementeren van aangepaste parsers voor het websessiegegevensmodel, geeft u de KQL-functies een naam met behulp van de volgende syntaxis:

• vimWebSession<vendor><Product> voor geparametriseerde parsers
• ASimWebSession<vendor><Product> voor normale parsers

Parameters voor filteren van parser

De im parsers en vim* ondersteunen filterparameters. Hoewel deze parsers optioneel zijn, kunnen ze uw queryprestaties verbeteren.

De volgende filterparameters zijn beschikbaar:

Sommige parameters kunnen zowel een lijst met waarden van het type dynamic als één tekenreekswaarde accepteren. Als u een letterlijke lijst wilt doorgeven aan parameters die een dynamische waarde verwachten, gebruikt u expliciet een dynamische letterlijke waarde. Bijvoorbeeld:dynamic(['192.168.','10.'])

Als u bijvoorbeeld alleen websessies wilt filteren op een opgegeven lijst met domeinnamen, gebruikt u:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_WebSession (url_has_any = torProxies)

Schemadetails

Het informatiemodel van de websessie is afgestemd op het entiteitsschema OSSEM Network en het OSSEM HTTP-entiteitsschema.

Om te voldoen aan de aanbevolen procedures in de branche, gebruikt het schema van de websessie de descriptors Src en Dst om de sessiebron- en doelapparaten te identificeren, zonder het token Dvc op te geven in de veldnaam.

De hostnaam en het IP-adres van het bronapparaat worden bijvoorbeeld respectievelijk SrcHostname en SrcIpAddr genoemd, en niet SrcDvcHostname en SrcDvcIpAddr. Het voorvoegsel Dvc wordt alleen gebruikt voor het rapportage- of intermediaire apparaat, indien van toepassing.

Velden die de gebruiker en toepassing beschrijven die zijn gekoppeld aan de bron- en doelapparaten, gebruiken ook de Src - en Dst-descriptors .

Andere ASIM-schema's gebruiken doorgaans Doel in plaats van Dst.

Algemene ASIM-velden

Algemene velden met specifieke richtlijnen

In de volgende lijst worden velden vermeld met specifieke richtlijnen voor websessie-gebeurtenissen:

Alle algemene velden

Velden die in de onderstaande tabel worden weergegeven, zijn gemeenschappelijk voor alle ASIM-schema's. Elke hierboven opgegeven richtlijn overschrijft de algemene richtlijnen voor het veld. Een veld kan bijvoorbeeld in het algemeen optioneel zijn, maar verplicht voor een specifiek schema. Raadpleeg het artikel Algemene velden van ASIM voor meer informatie over elk veld.

Velden voor netwerksessie

HTTP-sessies zijn toepassingslaagsessies die gebruikmaken van TCP/IP als de onderliggende netwerklaagsessie. Het websessieschema is een superset van het ASIM-netwerksessieschema en alle netwerkschemavelden zijn ook opgenomen in het schema van de websessie.

De volgende schemavelden voor ASIM-netwerksessie hebben specifieke richtlijnen wanneer deze worden gebruikt voor een websessie-gebeurtenis:

• De alias Gebruiker moet verwijzen naar de SrcUsername en niet naar DstUsername.
• Het veld EventOriginalResultDetails kan elk resultaat bevatten dat is gerapporteerd door de bron, naast de HTTP-statuscode die is opgeslagen in EventResultDetails.
• Voor websessies is het primaire doelveld het URL-veld. Het DstDomain is optioneel in plaats van aanbevolen. Als deze niet beschikbaar is, hoeft u deze niet te extraheren uit de URL in de parser.
• De velden NetworkRuleName en NetworkRuleNumber zijn respectievelijk hernoemd RuleName en RuleNumber .

Websessie-gebeurtenissen worden meestal gerapporteerd door tussenliggende apparaten die de HTTP-verbinding van de client beëindigen en een nieuwe verbinding, die fungeert als een proxy, met de server initiëren. Als u het tussenliggende apparaat wilt weergeven, gebruikt u het ASIM-netwerksessieschemaTussenliggende apparaatvelden

HTTP-sessievelden

Hier volgen aanvullende velden die specifiek zijn voor websessies:

Overige velden

Als de gebeurtenis wordt gerapporteerd door een van de eindpunten van de websessie, kan deze informatie bevatten over het proces waarmee de sessie is gestart of beëindigd. In dergelijke gevallen wordt deze informatie genormaliseerd door het ASIM Process Event-schema .

Schema-updates

Het websessieschema is afhankelijk van het netwerksessieschema. Daarom zijn updates van het netwerksessieschema ook van toepassing op het websessieschema.

Hier volgen de wijzigingen in versie 0.2.5 van het schema:

• Het veld HttpHostis toegevoegd.

Hier volgen de wijzigingen in versie 0.2.6 van het schema:

• Het type FileSize is gewijzigd van Geheel getal in Lang.

Hier volgen de wijzigingen in versie 0.2.7 van het schema:

• De velden , , , , HttpRequestCacheControlHttpRequestHeaderCount, , HttpResponseBodyBytes, HttpResponseCacheControl, , HttpResponseExpiresen HttpResponseHeaderCount. HttpRequestBodyBytesHttpIsProxiedHttpCookie

Volgende stappen

Zie voor meer informatie:

• Bekijk de ASIM-webinar of bekijk de dia's
• Overzicht van Advanced Security Information Model (ASIM)
• ASIM-schema's (Advanced Security Information Model)
• ASIM-parsers (Advanced Security Information Model)
• ASIM-inhoud (Advanced Security Information Model)