Referenz zum Advanced Security Information Model (ASIM)-Schema für die Normalisierung von Netzwerksitzungen

Das Microsoft Sentinel Schema zur Normalisierung von Netzwerksitzungen stellt eine IP-Netzwerkaktivität dar, z. B. Netzwerkverbindungen und Netzwerksitzungen. Solche Ereignisse werden beispielsweise von Betriebssystemen, Routern, Firewalls und Intrusion Prevention-Systemen gemeldet.

Das Netzwerknormalisierungsschema kann jeden Typ einer IP-Netzwerksitzung darstellen, ist jedoch so konzipiert, dass es allgemeine Quelltypen wie Netflow, Firewalls und Angriffsschutzsysteme unterstützt.

Weitere Informationen zur Normalisierung in Microsoft Sentinel finden Sie unter Normalization and the Advanced Security Information Model (ASIM).

Parser

Weitere Informationen zu ASIM-Parsern finden Sie in der Übersicht über ASIM-Parser.

Vereinheitlichende Parser

Verwenden Sie den _Im_NetworkSession Parser, um Parser zu verwenden, die alle standardmäßigen ASIM-Parser vereinheitlichen und sicherstellen möchten, dass Ihre Analyse in allen konfigurierten Quellen ausgeführt wird.

Sofort einsatzbereite, quellspezifische Parser

Die Liste der Netzwerksitzungsparser, die Microsoft Sentinel sofort verfügbar sind, finden Sie in der Liste der ASIM-Parser.

Hinzufügen eigener normalisierter Parser

Wenn Sie benutzerdefinierte Parser für das Netzwerksitzungsinformationsmodell entwickeln, benennen Sie Ihre KQL-Funktionen mit der folgenden Syntax:

• vimNetworkSession<vendor><Product> für parametrisierte Parser
• ASimNetworkSession<vendor><Product> für reguläre Parser

Lesen Sie den Artikel Verwalten von ASIM-Parsern , um zu erfahren, wie Sie Ihre benutzerdefinierten Parser zu den vereinheitlichenden Parsern der Netzwerksitzung hinzufügen.

Filtern von Parserparametern

Die Netzwerksitzungsparser unterstützen das Filtern von Parametern. Diese Parameter sind zwar optional, können aber die Abfrageleistung verbessern.

Die folgenden Filterparameter sind verfügbar:

Einige Parameter können sowohl eine Liste von Werten vom Typ dynamic als auch einen einzelnen Zeichenfolgenwert akzeptieren. Um eine Literalliste an Parameter zu übergeben, die einen dynamischen Wert erwarten, verwenden Sie explizit ein dynamisches Literal. Beispiel: dynamic(['192.168.','10.'])

Um beispielsweise nur Netzwerksitzungen nach einer angegebenen Liste von Domänennamen zu filtern, verwenden Sie Folgendes:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normalisierter Inhalt

Eine vollständige Liste der Analyseregeln, die normalisierte DNS-Ereignisse verwenden, finden Sie unter Netzwerksitzungssicherheitsinhalte.

Schemaübersicht

Das Netzwerksitzungsinformationsmodell ist am OSSEM-Netzwerkentitätsschema ausgerichtet.

Das Netzwerksitzungsschema bietet verschiedene Arten ähnlicher, aber unterschiedlicher Szenarien, die dieselben Felder verwenden. Diese Szenarien werden durch das Feld EventType identifiziert:

• NetworkSession – Eine Netzwerksitzung, die von einem Zwischengerät gemeldet wird, das das Netzwerk überwacht, z. B. eine Firewall, einen Router oder ein Netzwerkabzweig.
• L2NetworkSession – Eine Netzwerksitzung, für die nur Layer-2-Informationen verfügbar sind. Solche Ereignisse umfassen MAC-Adressen, aber keine IP-Adressen.
• Flow : Ein aggregiertes Ereignis, das mehrere ähnliche Netzwerksitzungen meldet, in der Regel über einen vordefinierten Zeitraum, z. B. Netflow-Ereignisse .
• EndpointNetworkSession – eine Netzwerksitzung, die von einem der Endpunkte der Sitzung gemeldet wird, einschließlich Clients und Servern. Für solche Ereignisse unterstützt das Schema die remote Aliasfelder und local .
• IDS – eine Netzwerksitzung, die als verdächtig gemeldet wird. Bei einem solchen Ereignis werden einige der Inspektionsfelder aufgefüllt, und möglicherweise wird nur ein IP-Adressfeld aufgefüllt, entweder die Quelle oder das Ziel.

In der Regel sollte eine Abfrage entweder nur eine Teilmenge dieser Ereignistypen auswählen und muss möglicherweise separat eindeutige Aspekte der Anwendungsfälle behandeln. IDS-Ereignisse spiegeln beispielsweise nicht das gesamte Netzwerkvolume wider und sollten bei der spaltenbasierten Analyse nicht berücksichtigt werden.

Netzwerksitzungsereignisse verwenden die Deskriptoren Src und Dst , um die Rollen der Geräte und der zugehörigen Benutzer und Anwendungen anzugeben, die an der Sitzung beteiligt sind. So werden beispielsweise der Hostname und die IP-Adresse des Quellgeräts und benannt SrcHostnameSrcIpAddr. Andere ASIM-Schemas verwenden Target in der Regel anstelle von Dst.

Bei Ereignissen, die von einem Endpunkt gemeldet werden und für die der Ereignistyp ist EndpointNetworkSession, bezeichnen die Deskriptoren Local und Remote den Endpunkt selbst bzw. das Gerät am anderen Ende der Netzwerksitzung.

Der Deskriptor Dvc wird für das meldende Gerät verwendet, bei dem es sich um das lokale System für von einem Endpunkt gemeldete Sitzungen handelt, und für andere Netzwerksitzungsereignisse das zwischengeschaltete Gerät oder das Netzwerk tippen.

Schemadetails

Allgemeine ASIM-Felder

Allgemeine Felder mit bestimmten Richtlinien

In der folgenden Liste sind Felder aufgeführt, die bestimmte Richtlinien für Netzwerksitzungsereignisse aufweisen:

Alle gemeinsamen Felder

Felder, die in der folgenden Tabelle angezeigt werden, sind für alle ASIM-Schemas gemeinsam. Jede oben angegebene Richtlinie setzt die allgemeinen Richtlinien für das Feld außer Kraft. Beispielsweise kann ein Feld im Allgemeinen optional, aber für ein bestimmtes Schema obligatorisch sein. Weitere Informationen zu den einzelnen Feldern finden Sie im Artikel ALLGEMEINE ASIM-Felder .

Netzwerksitzungsfelder

Zielsystemfelder

Zielbenutzerfelder

Zielanwendungsfelder

Quellsystemfelder

Quellbenutzerfelder

Quellanwendungsfelder

Lokale und Remotealiase

Alle oben aufgeführten Quell- und Zielfelder können optional nach Feldern mit demselben Namen und den Deskriptoren Local und Remoteals Alias verwendet werden. Dies ist in der Regel hilfreich für Ereignisse, die von einem Endpunkt gemeldet werden und für die der Ereignistyp ist EndpointNetworkSession.

Bei solchen Ereignissen bezeichnen die Deskriptoren Local und Remote den Endpunkt selbst bzw. das Gerät am anderen Ende der Netzwerksitzung. Bei eingehenden Verbindungen ist das lokale System das Ziel, Local Felder sind Aliase für die Dst Felder und "Remote"-Felder sind Aliase für Src Felder. Umgekehrt ist für ausgehende Verbindungen das lokale System die Quelle, Local Felder sind Aliase für die Src Felder und Remote Felder sind Aliase für Dst Felder.

Für ein eingehendes Ereignis ist das Feld LocalIpAddr beispielsweise ein Alias für DstIpAddr und das Feld RemoteIpAddr ein Alias für SrcIpAddr.

Aliase für Hostname und IP-Adresse

Zwischengerät und NAT-Felder (Network Address Translation, Netzwerkadressenübersetzung)

Die folgenden Felder sind nützlich, wenn der Datensatz Informationen zu einem zwischengeschalteten Gerät enthält, z. B. eine Firewall oder einen Proxy, der die Netzwerksitzung weitergibt.

Zwischensysteme verwenden häufig die Adressübersetzung, sodass die ursprüngliche Adresse und die extern beobachtete Adresse nicht identisch sind. In solchen Fällen stellen die primären Adressfelder wie SrcIPAddr und DstIpAddr die extern beobachteten Adressen dar, während die NAT-Adressfelder SrcNatIpAddr und DstNatIpAddr die interne Adresse des ursprünglichen Geräts vor der Übersetzung darstellen.

Inspektionsfelder

Die folgenden Felder werden verwendet, um die Überprüfung darzustellen, die ein Sicherheitsgerät wie eine Firewall, ein IPS oder ein Websicherheitsgateway durchgeführt hat:

Andere Felder

Wenn das Ereignis von einem der Endpunkte der Netzwerksitzung gemeldet wird, kann es Informationen zu dem Prozess enthalten, der die Sitzung initiiert oder beendet hat. In solchen Fällen wird das ASIM-Prozessereignisschema verwendet, um diese Informationen zu normalisieren.

Schemaaktualisierungen

Im Folgenden sind die Änderungen in Version 0.2.1 des Schemas aufgeführt:

• Dst Und als Aliase zu einem führenden Bezeichner für das Quell- und Zielsystem hinzugefügtSrc.
• Die Felder NetworkConnectionHistory, , SrcVlanIdDstVlanId, InnerVlanIdund OuterVlanIdwurden hinzugefügt.

Im Folgenden sind die Änderungen in Version 0.2.2 des Schemas aufgeführt:

• Aliase und Local hinzugefügtRemote.
• Der Ereignistyp EndpointNetworkSessionwurde hinzugefügt.
• Definiert Hostname und IpAddr als Aliase für RemoteHostname bzw LocalIpAddr . , wenn der Ereignistyp ist EndpointNetworkSession.
• Definiert DvcInterface als Alias für DvcInboundInterface oder DvcOutboundInterface.
• Der Typ der folgenden Felder wurde von Integer in Long geändert: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPacketsund NetworkPackets.
• Das Feld NetworkProtocolVersionwurde hinzugefügt.
• Und SrcUserDomainals veraltet gekennzeichnetDstUserDomain.

Im Folgenden sind die Änderungen in Version 0.2.3 des Schemas aufgeführt:

• Filterparameter ipaddr_has_any_prefix hinzugefügt.
• Der hostname_has_any Filterparameter stimmt nun entweder mit Quell- oder Zielhostnamen überein.
• Die Felder ASimMatchingHostname und ASimMatchingIpAddrwurden hinzugefügt.

Im Folgenden sind die Änderungen in Version 0.2.4 des Schemas aufgeführt:

• Die TcpFlags Felder wurden hinzugefügt.
• Und NetworkIcmpCode aktualisiertNetworkIcpmType, um den Zahlenwert für beide widerzuspiegeln.
• Zusätzliche Inspektionsfelder hinzugefügt.
• Das Feld "ThreatRiskLevelOriginal" wurde in umbenannt ThreatOriginalRiskLevel , um den ASIM-Konventionen zu entsprechen. Vorhandene Microsoft-Parser werden bis zum 1. Mai 2023 beibehalten ThreatRiskLevelOriginal .
• Als empfohlen markiert EventResultDetails und die zulässigen Werte angegeben.

Im Folgenden sind die Änderungen in Version 0.2.5 des Schemas aufgeführt:

• Die Felder DstUserScope, SrcUserScope, , SrcDvcScopeId, SrcDvcScope, DstDvcScopeIdDstDvcScope, DvcScopeId, und DvcScopewurden hinzugefügt.

Im Folgenden sind die Änderungen in Version 0.2.6 des Schemas aufgeführt:

• IDS als Ereignistyp hinzugefügt

Im Folgenden sind die Änderungen in Version 0.2.7 des Schemas aufgeführt:

• Die Felder DstDescription und wurden hinzugefügt. SrcDescription

Nächste Schritte

Weitere Informationen finden Sie unter:

• Sehen Sie sich das ASIM-Webinar an, oder überprüfen Sie die Folien
• Übersicht über das erweiterte Sicherheitsinformationsmodell (Advanced Security Information Model, ASIM)
• Advanced Security Information Model (ASIM)-Schemas
• ASIM-Parser (Advanced Security Information Model)
• Inhalt des erweiterten Sicherheitsinformationsmodells (Advanced Security Information Model, ASIM)