ASIM-scheman (Advanced Security Information Model)

Ett ASIM-schema (Advanced Security Information Model) är en uppsättning fält som representerar en aktivitet eller entitet. Om du använder fälten från ett normaliserat schema i en fråga ser du till att frågan fungerar med varje normaliserad källa.

Information om hur scheman passar in i ASIM-arkitekturen finns i ASIM-arkitekturdiagrammet.

Aktivitets-/händelsescheman

Schemareferenser beskriver de fält som utgör varje schema. ASIM definierar för närvarande följande scheman för händelser:

Entitetsscheman

ASIM definierar för närvarande följande scheman för entiteter:

Entiteter som ingår i andra ASIM-scheman finns i Händelseentiteter.

Namn på fält

Kärnan i varje schema är dess fältnamn. Fältnamn tillhör följande grupper:

• Fält som är gemensamma för alla scheman.
• Fält som är specifika för ett schema.
• Fält som representerar entiteter, till exempel användare, som deltar i schemat. Fält som representerar entiteter liknar olika scheman.

När källor har fält som inte visas i det dokumenterade schemat normaliseras de för att upprätthålla konsekvens. Om de extra fälten representerar en entitet normaliseras de baserat på riktlinjerna för entitetsfält. Annars strävar scheman efter att hålla konsekvensen i alla scheman.

Även om DNS-serveraktivitetsloggar till exempel inte innehåller användarinformation kan DNS-aktivitetsloggar från en slutpunkt innehålla användarinformation, som kan normaliseras enligt riktlinjerna för användarentitet.

Vanliga fält

Vissa fält är gemensamma för alla ASIM-scheman. Varje schema kan lägga till riktlinjer för att använda några av de gemensamma fälten i kontexten för det specifika schemat. Tillåtna värden för fältet EventType kan till exempel variera per schema, liksom värdet för fältet EventSchemaVersion .

Fältklasser

Fält kan ha flera klasser som definierar när fälten ska implementeras av en parser:

• Obligatoriska fält måste visas i varje parser. Om källan inte anger information för det här värdet eller om data inte kan läggas till på annat sätt, stöder den inte de flesta innehållsobjekt som refererar till det normaliserade schemat.
• Rekommenderade fält bör normaliseras om de är tillgängliga. De kanske dock inte är tillgängliga i alla källor. Alla innehållsobjekt som refererar till det normaliserade schemat bör ta hänsyn till tillgängligheten.
• Valfria fält, om de är tillgängliga, kan normaliseras eller lämnas i sitt ursprungliga formulär. Normalt skulle en minimal parser inte normalisera dem av prestandaskäl.
• Villkorsstyrda fält är obligatoriska om det fält som de följer fylls i. Villkorsstyrda fält används vanligtvis för att beskriva värdet i ett annat fält. Till exempel beskriver det gemensamma fältet DvcIdType värdet i det gemensamma fältet DvcId och är därför obligatoriskt om det senare fylls i.
• Alias är en särskild typ av villkorsfält och är obligatoriskt om det aliaserade fältet fylls i.

Händelseentiteter

Händelser utvecklas kring entiteter, till exempel användare, värdar, processer eller filer. Varje entitet kan kräva flera fält för att beskriva den. En värd kan till exempel ha ett namn och en IP-adress.

En enskild post kan innehålla flera entiteter av samma typ, till exempel både en käll- och målvärd.

ASIM definierar hur du beskriver entiteter konsekvent, och entiteter tillåter att scheman utökas.

Även om nätverkssessionsschemat till exempel inte innehåller processinformation tillhandahåller vissa händelsekällor processinformation som kan läggas till. Mer information finns i Entiteter.

För att aktivera entitetsfunktioner har entitetsrepresentation följande riktlinjer:

Mer information om specifika entitetstyper finns i:

• Användarentitet
• Enhetsentitet
• Programentitet

Mer information om fullständiga entitetsscheman finns i:

• Tillgångsentitetsschema

Alias

Alias tillåter flera namn för ett angivet värde. I vissa fall förväntar sig olika användare att ett fält har olika namn. I DNS-terminologi kan du till exempel förvänta dig ett fält med namnet DnsQuery, medan det i allmänhet innehåller ett domännamn. Aliasdomänen hjälper användaren genom att tillåta användning av båda namnen.

I vissa fall kan ett alias ha värdet för ett av flera fält, beroende på vilka värden som är tillgängliga i händelsen. Till exempel dvc-aliaset , aliasen antingen fälten DvcFQDN, DvcId, DvcHostname eller DvcIpAddr eller Event Product . När ett alias kan ha flera värden måste dess typ vara en sträng för att hantera alla möjliga aliasvärden. När du tilldelar ett värde till ett sådant alias bör du därför konvertera typen till sträng med hjälp av KQL-funktionen tostring.

Interna normaliserade tabeller innehåller inte alias, eftersom de skulle innebära duplicerad datalagring. I stället lägger stub-parsarna till aliasen. Om du vill implementera alias i parsers skapar du en kopia av det ursprungliga värdet med hjälp av operatorn extend .

Logiska typer

Varje schemafält har en typ. Log Analytics-arbetsytan har en begränsad uppsättning datatyper. Därför använder Microsoft Sentinel en logisk typ för många schemafält som Log Analytics inte tillämpar men som krävs för schemakompatibilitet. Logiska fälttyper säkerställer att både värden och fältnamn är konsekventa mellan källor.

Exempel på entitetsmappning

I det här avsnittet används Windows-händelse 4624 som ett exempel för att beskriva hur händelsedata normaliseras för Microsoft Sentinel.

Den här händelsen har följande entiteter:

Baserat på dessa entiteter normaliseras Windows-händelse 4624 enligt följande (vissa fält är valfria):

Nästa steg

Den här artikeln innehåller en översikt över normalisering i Microsoft Sentinel och ASIM.

Mer information finns i:

• Titta på webbseminariet för djupdykning på Microsoft Sentinel Normalisera parsrar och normaliserat innehåll eller granska bilderna
• Översikt över Advanced Security Information Model (ASIM)
• ASIM-parsers (Advanced Security Information Model)
• ASIM-innehåll (Advanced Security Information Model)