ASIM (Advanced Security Information Model) DNS -normalisoinnin rakenneviittaus

DNS-tietomallia käytetään kuvaamaan DNS-palvelimen tai DNS-suojausjärjestelmän raportoimia tapahtumia, ja Microsoft Sentinel käyttää sitä lähdeagnostisen analytiikan käyttöönottoon.

Lisätietoja on kohdassa Normalisointi ja asim-malli (Advanced Security Information Model).

Rakenteen yleiskatsaus

ASIM DNS -rakenne edustaa DNS-protokollan toimintaa. Sekä DNS-palvelimet että laitteet, jotka lähettävät DNS-pyyntöjä DNS-palvelimen lokin DNS-toimintoon. DNS-protokollan toiminto sisältää DNS-kyselyt, DNS-palvelimen päivitykset ja DNS-joukkotietojen siirrot. Koska rakenne edustaa protokollan toimintaa, siihen sovelletaan RFC-kutsuja ja virallisesti määritettyjä parametriluetteloita, joihin viitataan tässä artikkelissa tarvittaessa. DNS-rakenne ei vastaa DNS-palvelimen valvontatapahtumia.

DNS-palvelimien ilmoittama tärkein toiminto on DNS-kysely, jonka EventType kentäksi Queryon määritetty .

DNS-tapahtuman tärkeimmät kentät ovat seuraavat:

• DnsQuery, joka raportoi toimialuenimen, jolle kysely tehtiin.

• SrcIpAddr (alias IpAddr), joka edustaa IP-osoitetta, josta pyyntö luotiin. DNS-palvelimet tarjoavat yleensä SrcIpAddr-kentän, mutta DNS-asiakkaat eivät aina tarjoa tätä kenttää ja antavat vain SrcHostname-kentän .

• EventResultDetails, joka raportoi, onnistuiko pyyntö, ja jos ei, miksi.

• Kun se on käytettävissä, dnsResponseName, joka sisältää palvelimen kyselyyn antaman vastauksen. ASIM ei edellytä vastauksen jäsentämistä, ja sen muoto vaihtelee lähteiden välillä.

  Jos haluat käyttää tätä kenttää lähdeagnostisessa sisällössä, hae sisältöä - tai contains -operaattoreillahas.

Asiakaslaitteessa kerätyt DNS-tapahtumat voivat sisältää myös käyttäjä - ja prosessitietoja .

DNS-tapahtumien keräämistä koskevat ohjeet

DNS on ainutlaatuinen protokolla siinä mielessä, että se saattaa ylittää suuren määrän tietokoneita. Koska DNS käyttää UDP:tä, pyynnöt ja vastaukset poistetaan ja ne eivät liity toisiinsa suoraan.

Seuraavassa kuvassa näkyy yksinkertaistettu DNS-pyynnön työnkulku, joka sisältää neljä segmenttiä. Reaalimaailman pyyntö voi olla monimutkaisempi, ja siihen liittyy enemmän segmenttejä.

Koska pyyntö- ja vastaussegmentit eivät ole suoraan yhteydessä toisiinsa DNS-pyynnön työnkulussa, täydellinen kirjaaminen voi aiheuttaa merkittäviä päällekkäisyyksiä.

Arvokkain lokiin kirjattava segmentti on asiakkaan vastaus. Vastaus tarjoaa toimialuenimikyselyt, hakutuloksen ja asiakkaan IP-osoitteen. Vaikka monet DNS-järjestelmät kirjaavat vain tämän segmentin, muiden osien kirjaamisessa on arvoa. Esimerkiksi DNS-välimuistin myrkytyshyökkäys hyödyntää usein valevastauksia ylätason palvelimelta.

Jos tietolähteesi tukee täyttä DNS-kirjausta ja olet päättänyt kirjata useita segmenttejä, muokkaa kyselyitäsi siten, että tietojen päällekkäisyys estetään Microsoft Sentinel.

Voit esimerkiksi muokata kyselyäsi normalisoimalla sen seuraavasti:

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

Jäsentimet

Lisätietoja ASIM-jäsennyksistä on ASIM-jäsennysten yleiskatsauksessa.

Käyttövalmiit jäsennykset

Jos haluat käyttää jäsennystä, joka yhdistää kaikki valmiit ASIM-jäsennykset, ja varmista, että analyysisi suoritetaan kaikissa määritetyissä lähteissä, käytä yhdistävää jäsennintä _Im_Dns kyselyn taulukon nimenä.

Dns-jäsennysten luettelo, jonka Microsoft Sentinel tarjoaa, on ASIM-jäsennysluettelossa.

Omien normalisoitujen jäsennysten lisääminen

Kun otat dns-tietomallin mukautettuja jäsennystoimintoja käyttöön, anna KQL-funktioille nimeksi muoto vimDns<vendor><Product>. Katso artikkelista ASIM-jäsennysten hallinta ohjeet mukautettujen jäsennysten lisäämiseen DNS-yhtenäistämisen jäsennykseen.

Jäsennysparametrien suodattaminen

DNS-jäsentimet tukevat suodatusparametreja. Vaikka nämä parametrit ovat valinnaisia, ne voivat parantaa kyselyn suorituskykyä.

Seuraavat suodatusparametrit ovat käytettävissä:

Jos esimerkiksi haluat suodattaa vain viimeisen päivän DNS-kyselyt, jotka eivät pystyneet ratkaisemaan toimialuenimeä, käytä seuraavaa:

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

Jos haluat suodattaa vain tietyn toimialuenimien luettelon DNS-kyselyt, käytä seuraavaa:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

Jotkin parametrit voivat hyväksyä sekä tyyppiarvojen dynamic luettelon että yksittäisen merkkijonoarvon. Jos haluat välittää literaaliluettelon parametreihin, jotka odottavat dynaamista arvoa, käytä eksplisiittisesti dynaamista literaalia. Esimerkiksi: dynamic(['192.168.','10.'])

Normalisoitu sisältö

Täydellinen luettelo normalisoituja DNS-tapahtumia käyttävistä analytiikkasäännöistä on artikkelissa DNS-kyselyn suojaussisältö.

Rakenteen tiedot

DNS-tietomalli on tasattu OSSEM DNS -entiteettirakenteen kanssa.

Lisätietoja on kohdassa Internet Assigned Numbers Authorityn (IANA) DNS-parametriviittaus.

Yleiset ASIM-kentät

Yleiset kentät, joissa on tarkat ohjeet

Seuraavassa luettelossa mainitaan kentät, joissa on dns-tapahtumien tarkat ohjeet:

Kaikki yleiset kentät

Alla olevassa taulukossa näkyvät kentät ovat yhteisiä kaikille ASIM-rakenteille. Kaikki edellä määritetyt ohjeet ohittavat kentän yleiset ohjeet. Kenttä voi olla esimerkiksi yleisesti valinnainen, mutta tietyn rakenteen pakollinen. Lisätietoja kustakin kentästä on ASIM Common Fields -artikkelissa.

Lähdejärjestelmäkentät

Lähdekäyttäjän kentät

Lähdeprosessin kentät

Kohdejärjestelmäkentät

DNS-kentät

Tarkastuskentät

Seuraavia kenttiä käytetään edustamaan tarkastusta, jonka DNS-suojauslaite suoritti. Uhkaan liittyvät kentät ovat yksittäinen uhka, joka liittyy joko lähdeosoitteeseen, kohdeosoitteeseen, yhteen vastauksessa olevista IP-osoitteista tai DNS-kyselytoimialueeseen. Jos uhaksi tunnistettiin useampi kuin yksi uhka, muihin IP-osoitteisiin liittyviä tietoja voidaan tallentaa kenttään AdditionalFields.

Vanhentuneet tunnukset ja kentät

Seuraavat kentät ovat aliaksia, joita ylläpidetään yhteensopivuuden vuoksi. Ne poistettiin rakenteesta 31.12.2021.

• Query (alias kohteeseen DnsQuery)
• QueryType (alias kohteeseen DnsQueryType)
• QueryTypeName (alias kohteeseen DnsQueryTypeName)
• ResponseName (alias kohteeseen DnsResponseName)
• ResponseCodeName (alias kohteeseen DnsResponseCodeName)
• ResponseCode (alias kohteeseen DnsResponseCode)
• QueryClass (alias kohteeseen DnsQueryClass)
• QueryClassName (alias kohteeseen DnsQueryClassName)
• Flags (alias kohteeseen DnsFlags)
• SrcUserDomain

Rakennepäivitykset

Rakenteen versioon 0.1.2 tehdyt muutokset ovat seuraavat:

• Lisätty kenttä EventSchema.
• Lisätty varattu merkintäkenttä, joka laajentaa yhdistettyä Merkintä-kenttää : DnsFlagsAuthoritative, , DnsFlagsCheckingDisabled, DnsFlagsRecursionAvailable, DnsFlagsRecursionDesired, DnsFlagsTruncatedja DnsFlagsZ.

Rakenteen versioon 0.1.3 tehdyt muutokset ovat:

• Rakenne dokumentoi nyt eksplisiittisesti - Src*, Dst*- Process* ja User* -kentät.
• Dvc* Lisätty kenttiä vastaamaan uusimpia yleisiä kenttien määrityksiä.
• Lisätty Src ja Dst aliaksina lähde- ja kohdejärjestelmien johtavaan tunnukseen.
• Lisätty valinnainen DnsNetworkDuration ja Duration, -alias siihen.
• Lisätty valinnaiset Sijainti- ja Riskitaso-kentät.

Rakenteen versioon 0.1.4 tehdyt muutokset ovat seuraavat:

• Lisätty valinnaiset kentät ThreatIpAddr, , ThreatNameThreatField, ThreatConfidence, , ThreatOriginalRiskLevelThreatOriginalConfidence, , ThreatIsActive, ThreatFirstReportedTimeja ThreatLastReportedTime.

Rakenteen versioon 0.1.5 tehdyt muutokset ovat seuraavat:

• Lisätty kentät SrcUserScope, , SrcUserSessionIdSrcDvcScopeId, SrcDvcScope, DstDvcScopeId, , DstDvcScope, DvcScopeIdja DvcScope.

Rakenteen versioon 0.1.6 tehdyt muutokset ovat seuraavat:

• Kentät DnsResponseIpCountry, , DnsResponseIpRegionDnsResponseIpCity, DnsResponseIpLatitudeja DnsResponseIpLongitudeon lisätty.

Rakenteen versioon 0.1.7 tehdyt muutokset ovat seuraavat:

• Lisätty kentät SrcDescription, , SrcOriginalRiskLevel, DstDescriptionDstOriginalRiskLevel, SrcUserScopeId, , NetworkProtocolVersion, Rule, RuleName, , RuleNumberja ThreatId.

Lähdekohtaiset ristiriidat

Normalisoinnin tavoitteena on varmistaa, että kaikki lähteet tarjoavat yhdenmukaisia telemetriatietoja. Lähdettä, joka ei tarjoa vaadittuja telemetriatietoja, kuten pakollisia rakennekenttiä, ei voi normalisoida. Kuitenkin lähteet, jotka yleensä tarjoavat kaikki vaaditut telemetriatiedot, vaikka joitain eroja olisikin, voidaan normalisoida. Ristiriidat voivat vaikuttaa kyselytulosten täydellisyyteen.

Seuraavassa taulukossa luetellaan tunnetut ristiriidat:

DNS-vastauksen käsittely

Useimmissa tapauksissa kirjatut DNS-tapahtumat eivät sisällä vastaustietoja, jotka voivat olla suuria ja yksityiskohtaisia. Jos tietue sisältää enemmän vastaustietoja, tallenna se ResponseName-kenttään sellaisena kuin se näkyy tietueessa.

Voit myös antaa ylimääräisen KQL-funktion nimeltä _imDNS<vendor>Response_, joka ottaa jäsentämättömän vastauksen syötteeksi ja palauttaa dynaamisen arvon, jolla on seuraava rakenne:

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

Dynaamisen arvon kunkin sanaston kentät vastaavat kunkin DNS-vastauksen kenttiä. Merkinnän part tulee sisältää joko answer, authoritytai , tai additional sen osan tulee näkyä vastauksessa, johon sanasto kuuluu.

DNS-merkintöjen käsittely

Merkintätietojen jäsentämistä ja normalisointia ei tarvita. Tallenna sen sijaan raportointilaitteen toimittamat merkintätiedot Merkinnät-kenttään . Jos yksittäisten merkintöjen arvoa määritetään suoraan eteenpäin, voit käyttää myös varattuja merkintäkenttiä.

Voit myös antaa ylimääräisen KQL-funktion nimeltä _imDNS<vendor>Flags_, joka ottaa jäsentämättömän vastauksen tai varatut merkintäkentät syötteeksi ja palauttaa dynaamisen luettelon, jossa on totuusarvot, jotka edustavat kutakin merkintää seuraavassa järjestyksessä:

• Todennettu (AD)
• Tärkeä (AA)
• Tarkistus on poistettu käytöstä (CD)
• Rekursio käytettävissä (RA)
• Rekursio haluttu (RD)
• Katkaistu (TC)
• Z

Seuraavat vaiheet

Lisätietoja on seuraavissa artikkeleissa:

• Katso ASIM-verkkoseminaari tai tarkista diat
• Asim-mallin (Advanced Security Information Model) yleiskatsaus
• ASIM(Advanced Security Information Model) -rakenteet
• ASIM (Advanced Security Information Model) -jäsentimet
• ASIM (Advanced Security Information Model) -sisältö