ASIM (Advanced Security Information Model) -verkkoistunnon normalisointirakenteen viittaus

Microsoft Sentinel verkkoistunnon normalisointirakenne edustaa IP-verkkotoimintoa, kuten verkkoyhteyksiä ja verkkoistuntoja. Tällaisia tapahtumia raportoivat esimerkiksi käyttöjärjestelmät, reitittimet, palomuurit ja luvattoman käytön estojärjestelmät.

Verkon normalisointirakenne voi edustaa mitä tahansa IP-verkko-istuntoa, mutta se on suunniteltu tarjoamaan tukea yleisille lähdetyypeille, kuten Netflow,palomuurit ja luvattoman käytön estojärjestelmät.

Lisätietoja Microsoft Sentinel normalisoinnista on kohdassa Normalisointi ja ASIM (Advanced Security Information Model).

Jäsentimet

Lisätietoja ASIM-jäsennyksistä on ASIM-jäsennysten yleiskatsauksessa.

Jäsennysten yhtenäistäminen

Jos haluat käyttää jäsentimiä, jotka yhdistävät kaikki valmiit ASIM-jäsennykset, ja varmista, että analyysisi suoritetaan kaikissa määritetyissä lähteissä, käytä jäsennintä _Im_NetworkSession .

Käyttövalmiit lähdekohtaiset jäsennykset

Jos kyseessä on verkkoistunnon jäsennysluettelo, Microsoft Sentinel tarjoaa käyttövalmiin luettelon, katso ASIM-jäsennysluettelo

Omien normalisoitujen jäsennysten lisääminen

Kun kehität verkkoistunnon tietomallin mukautettuja jäsennystoimintoja , nimeä KQL-funktiosi seuraavalla syntaksilla:

• vimNetworkSession<vendor><Product> parametrised parsers -parametrille
• ASimNetworkSession<vendor><Product> tavallisille jäsennyksille

Katso artikkelista ASIM-jäsennysten hallinta ohjeet mukautettujen jäsennysten lisäämiseen verkkoistuntoon jäsentäjien yhtenäistämiseksi.

Jäsennysparametrien suodattaminen

Verkkoistunnon jäsennykset tukevat suodatusparametreja. Vaikka nämä parametrit ovat valinnaisia, ne voivat parantaa kyselyn suorituskykyä.

Seuraavat suodatusparametrit ovat käytettävissä:

Jotkin parametrit voivat hyväksyä sekä tyyppiarvojen dynamic luettelon että yksittäisen merkkijonoarvon. Jos haluat välittää literaaliluettelon parametreihin, jotka odottavat dynaamista arvoa, käytä eksplisiittisesti dynaamista literaalia. Esimerkiksi: dynamic(['192.168.','10.'])

Jos esimerkiksi haluat suodattaa vain verkkoistunnot määritetylle toimialuenimien luettelolle, käytä seuraavaa:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normalisoitu sisältö

Täydellinen luettelo normalisoituja DNS-tapahtumia käyttävistä analytiikkasäännöistä on kohdassa Verkkoistunnon suojaussisältö.

Rakenteen yleiskatsaus

Verkkoistunnon tietomalli on tasattu OSSEM-verkkoentiteettirakenteen kanssa.

Verkkoistunnon rakenne sisältää useita erilaisia samankaltaisia mutta erillisiä skenaarioita, jotka jakavat samat kentät. EventType-kenttä tunnistaa nämä skenaariot:

• NetworkSession - verkkoistunto, jonka verkkoa valvova välilaite, kuten palomuuri, reititin tai verkkokuuntelu, ilmoittaa.
• L2NetworkSession – verkkoistunto, jossa on käytettävissä vain tason 2 tietoja. Tällaiset tapahtumat sisältävät MAC-osoitteita, mutta eivät IP-osoitteita.
• Flow – koostettu tapahtuma, joka raportoi useista samankaltaisista verkkoistunnoista yleensä ennalta määritetyn ajanjakson aikana, kuten Netflow-tapahtumat .
• EndpointNetworkSession - verkkoistunto, jonka jokin istunnon päätepisteistä ilmoittaa, mukaan lukien asiakkaat ja palvelimet. Tällaisissa tapahtumissa rakenne tukee - remote ja local -aliaskenttiä.
• IDS - verkkoistunto, joka on ilmoitettu epäilyttäväksi. Tällaiseen tapahtumaan täytetään joitakin tarkastuskenttiä, ja siinä voi olla täytettynä vain yksi IP-osoitekenttä, joko lähde tai kohdesijainti.

Yleensä kyselyn tulee valita vain näiden tapahtumatyyppien alijoukko, ja sen on ehkä käsiteltävä erikseen käyttötapausten yksilöllisiä näkökohtia. Esimerkiksi IDS-tapahtumat eivät vastaa koko verkkomäärää, eikä niitä tule ottaa huomioon sarakepohjaisessa analytiikassa.

Verkkoistunnon tapahtumat käyttävät kuvauksia Src ja Dst ilmaisevat istuntoon liittyvien laitteiden ja niihin liittyvien käyttäjien sekä sovellusten rooleja. Esimerkiksi lähdelaitteen isäntänimi ja IP-osoite nimetään SrcHostname ja SrcIpAddr. Muita ASIM-rakenteita käytetään Target yleensä -rakenteiden Dstsijaan.

Päätepisteen ilmoittamille tapahtumille, joiden tapahtumatyyppi on EndpointNetworkSession, kuvaavat Local päätepistettä itseään ja Remote laitetta verkkoistunnon toisessa päässä.

Kuvaajaa Dvc käytetään raportointilaitteessa, joka on päätepisteen raportoimien istuntojen paikallinen järjestelmä, ja välittäjälaitteella tai verkon napautuksella muissa verkkoistuntotapahtumissa.

Rakenteen tiedot

Yleiset ASIM-kentät

Yleiset kentät, joissa on tarkat ohjeet

Seuraavassa luettelossa mainitaan kentät, joissa on verkkoistuntotapahtumien erityiset ohjeet:

Kaikki yleiset kentät

Alla olevassa taulukossa näkyvät kentät ovat yhteisiä kaikille ASIM-rakenteille. Kaikki edellä määritetyt ohjeet ohittavat kentän yleiset ohjeet. Kenttä voi olla esimerkiksi yleisesti valinnainen, mutta tietyn rakenteen pakollinen. Lisätietoja kustakin kentästä on ARTIKKELISSA ASIM:n yleiset kentät .

Verkkoistunnon kentät

Kohdejärjestelmäkentät

Kohdekäyttäjän kentät

Kohdesovelluksen kentät

Lähdejärjestelmäkentät

Lähdekäyttäjän kentät

Lähdesovelluskentät

Paikalliset ja etäaliakset

Kaikki yllä luetellut lähde- ja kohdekentät voidaan valinnaisesti määrittää samannimisillä kentillä sekä kuvaimilla Local ja Remote. Tästä on yleensä hyötyä päätepisteen ilmoittamille tapahtumille, joiden tapahtumatyyppi on EndpointNetworkSession.

Tällaisille tapahtumille kuvaajat Local ja Remote ilmaisevat päätepistettä itseään ja laitetta verkkoistunnon toisessa päässä. Saapuvissa yhteyksissä paikallinen järjestelmä on kohde, Local kentät ovat aliaksia kentille Dst ja Etä-kentät ovat aliaksia kentille Src . Toisaalta lähtevissä yhteyksissä paikallinen järjestelmä on lähde, Local kentät ovat kentille Src aliaksia ja Remote kentät ovat kentille Dst aliaksia.

Esimerkiksi saapuvan tapahtuman kenttä LocalIpAddr on alias DstIpAddr ja kenttä RemoteIpAddr on -alias SrcIpAddr.

Isäntänimi- ja IP-osoitealiakset

Välilaitteen ja verkko-osoitteen käännöskentät (NAT)

Seuraavat kentät ovat hyödyllisiä, jos tietue sisältää tietoja välittäjälaitteesta, kuten palomuurin tai välityspalvelimen, joka välittää verkkoistunnon.

Välittäjäjärjestelmissä käytetään usein osoitekäännöstä, joten alkuperäinen osoite ja ulkoisesti havaittu osoite eivät ole samat. Tällaisissa tapauksissa ensisijaiset osoitekentät, kuten SrcIPAddr ja DstIpAddr , edustavat havaittuja osoitteita ulkoisesti, kun taas NAT-osoitekentät SrcNatIpAddr ja DstNatIpAddr edustavat alkuperäisen laitteen sisäistä osoitetta ennen kääntämistä.

Tarkastuskentät

Seuraavia kenttiä käytetään edustamaan tarkastusta, jonka suoritti suojauslaite, kuten palomuuri, IPS tai verkkosuojausyhdyskäytävä:

Muut kentät

Jos jokin verkkoistunnon päätepisteistä ilmoittaa tapahtumasta, se saattaa sisältää tietoja istunnon aloittaneesta tai päättyneestä prosessista. Tällaisissa tapauksissa ASIM-prosessitapahtuman rakennetta käytetään tietojen normalisointiin.

Rakennepäivitykset

Rakenteen versiossa 0.2.1 näkyvät seuraavat muutokset:

• Lisätty Src ja Dst aliaksina lähde- ja kohdejärjestelmien johtavaan tunnukseen.
• Kentät NetworkConnectionHistory, , SrcVlanIdDstVlanId, InnerVlanIdja OuterVlanIdon lisätty.

Seuraavat muutokset ovat rakenteen versiossa 0.2.2:

• Lisätty Remote ja Local aliakset.
• Tapahtumatyyppi EndpointNetworkSessionon lisätty.
• Määritetty Hostname ja IpAddr aliaksina tapahtumatyypille RemoteHostname ja LocalIpAddr vastaavassa järjestyksessä, kun tapahtumatyyppi on EndpointNetworkSession.
• Määritetty DvcInterface aliakseksi kohteeseen DvcInboundInterface tai DvcOutboundInterface.
• Muutti seuraavien kenttien tyypin kokonaisluvusta pitkäksi: SrcBytes, , DstBytes, NetworkBytes, SrcPackets, DstPacketsja NetworkPackets.
• Lisätty kenttä NetworkProtocolVersion.
• Vanhentuneet DstUserDomain ja SrcUserDomain.

Seuraavat muutokset ovat rakenteen versiossa 0.2.3:

• ipaddr_has_any_prefix Lisätty suodatusparametri.
• hostname_has_any Suodatusparametri vastaa nyt joko lähteen tai kohteen isäntänimiä.
• Lisätty kentät ASimMatchingHostname ja ASimMatchingIpAddr.

Seuraavat muutokset ovat rakenteen versiossa 0.2.4:

• Kentät on TcpFlags lisätty.
• Päivitetty NetworkIcpmType vastaamaan NetworkIcmpCode kummankin lukuarvoa.
• Lisätty ylimääräisiä tarkastuskenttiä.
• Kenttä ThreatRiskLevelOriginal nimettiin uudelleen asim-käytäntöjen mukaiseksi ThreatOriginalRiskLevel . Aiemmin luodut Microsoft-jäsentimet säilytetään ThreatRiskLevelOriginal 1.5.2023 asti.
• Merkitty EventResultDetails suositelluksi ja määrittänyt sallitut arvot.

Seuraavat muutokset ovat rakenteen versiossa 0.2.5:

• Lisätty kentät DstUserScope, , SrcUserScopeSrcDvcScopeId, SrcDvcScope, DstDvcScopeId, , DstDvcScope, DvcScopeIdja DvcScope.

Rakenteen versiossa 0.2.6 näkyvät seuraavat muutokset:

• Lisätty IDS tapahtumatyyppinä

Seuraavat muutokset ovat rakenteen versiossa 0.2.7:

• Lisätty kentät DstDescription ja SrcDescription

Seuraavat vaiheet

Lisätietoja on seuraavissa artikkeleissa:

• Katso ASIM-verkkoseminaari tai tarkista diat
• Asim-mallin (Advanced Security Information Model) yleiskatsaus
• ASIM(Advanced Security Information Model) -rakenteet
• ASIM (Advanced Security Information Model) -jäsentimet
• ASIM (Advanced Security Information Model) -sisältö