ASIM (Advanced Security Information Model) -verkkoistunnon normalisointirakenteen viittaus

Verkkoistunnon normalisointirakennetta käytetään kuvaamaan IP-verkkotoimintoa. Esimerkiksi IP-verkkotoiminnot raportoidaan verkkopalvelimien, verkkovälityspalvelimien ja verkkosuojausyhdyskäytäviä käyttämällä.

Lisätietoja Microsoft Sentinel normalisoinnista on kohdassa Normalisointi ja ASIM (Advanced Security Information Model).

Rakenteen yleiskatsaus

Verkkoistunnon normalisointirakenne edustaa mitä tahansa HTTP-verkkoistuntoa, ja se soveltuu tarjoamaan tukea yleisille lähdetyypeille, kuten:

• WWW-palvelimet
• WWW-välityspalvelimet
• Verkkosuojausyhdyskäytävät

ASIM-verkkoistunnon rakenne edustaa HTTP- ja HTTPS-protokollatoimintoja. Koska rakenne edustaa protokollatoimintaa, siihen sovelletaan RFC-kutsuja ja virallisesti määritettyjä parametriluetteloita, joihin viitataan tässä artikkelissa tarvittaessa.

WWW-istunnon rakenne ei vastaa lähdelaitteiden valvontatapahtumia. Esimerkiksi web security gateway -käytäntöä muokkaavaa tapahtumaa ei voi esittää verkkoistunnon rakenteessa.

Koska HTTP-istunnot ovat sovelluskerrosistuntoja, jotka käyttävät TCP/IP:tä pohjana olevana verkkokerrosistuntona, verkkoistunnon rakenne on ASIM-verkkoistunnon rakenteen superjoukko.

WWW-istunnon rakenteen tärkeimmät kentät ovat seuraavat:

• URL-osoite, joka ilmoittaa asiakkaan palvelimelta pyytämän URL-osoitteen.
• SrcIpAddr (alias IpAddr), joka edustaa IP-osoitetta, josta pyyntö luotiin.
• EventResultDetails-kenttä , joka yleensä raportoi HTTP-tilakoodin.

VERKKO-istunnon tapahtumat voivat sisältää myös käyttäjän käyttäjä - ja prosessitietoja sekä pyynnön aloittamisen prosessin.

Jäsentimet

Lisätietoja ASIM-jäsennyksistä on ASIM-jäsennysten yleiskatsauksessa.

Jäsennysten yhtenäistäminen

Jos haluat käyttää jäsentimiä, jotka yhdistävät kaikki valmiit ASIM-jäsennykset, ja varmista, että analyysisi suoritetaan kaikissa määritetyissä lähteissä, käytä jäsennintä _Im_WebSession .

Käyttövalmiit lähdekohtaiset jäsennykset

Www-istuntojen jäsennysluettelon Microsoft Sentinel sisältää valmiita tietoja, katso ASIM-jäsennysluettelo

Omien normalisoitujen jäsennysten lisääminen

Kun toteutat verkko-istunnon tietomallin mukautettuja jäsennystoimintoja, anna KQL-funktioille nimeksi seuraava syntaksi:

• vimWebSession<vendor><Product> parametrised parsers -parametrille
• ASimWebSession<vendor><Product> tavallisille jäsennyksille

Jäsennysparametrien suodattaminen

- im ja vim* -jäsentimet tukevat suodatusparametreja. Vaikka nämä jäsentimet ovat valinnaisia, ne voivat parantaa kyselyn suorituskykyä.

Seuraavat suodatusparametrit ovat käytettävissä:

Jotkin parametrit voivat hyväksyä sekä tyyppiarvojen dynamic luettelon että yksittäisen merkkijonoarvon. Jos haluat välittää literaaliluettelon parametreihin, jotka odottavat dynaamista arvoa, käytä eksplisiittisesti dynaamista literaalia. Esimerkiksi: dynamic(['192.168.','10.'])

Jos esimerkiksi haluat suodattaa vain verkko-istunnot määritetylle toimialuenimien luettelolle, käytä seuraavaa:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_WebSession (url_has_any = torProxies)

Rakenteen tiedot

Verkkoistunnon tietomalli on tasattu OSSEM-verkkoentiteettirakenteen ja OSSEM HTTP -entiteettirakenteen kanssa.

Täyttääkseen alan parhaat käytännöt verkkoistunnon rakenne käyttää kuvauksia Src ja Dst istunnon lähde- ja kohdelaitteiden tunnistamiseen sisällyttämättä tunnuksen Dvc :tä kentän nimeen.

Lähdelaitteen isäntänimi ja IP-osoite ovat siis nimeltään SrcHostname ja SrcIpAddr , ei SrcDvcHostname ja SrcDvcIpAddr. Etuliitettä Dvc käytetään soveltuvin osin vain raportointi- tai välilaitetta varten.

Lähde- ja kohdelaitteisiin liittyviä käyttäjää ja sovellusta kuvaavat kentät käyttävät myös Src - ja Dst-kuvauksia .

Muissa ASIM-rakenteissa käytetään yleensä TargetiaDst:n sijaan.

Yleiset ASIM-kentät

Yleiset kentät, joissa on tarkat ohjeet

Seuraavassa luettelossa mainitaan kentät, joissa on verkkoistuntotapahtumien erityiset ohjeet:

Kaikki yleiset kentät

Alla olevassa taulukossa näkyvät kentät ovat yhteisiä kaikille ASIM-rakenteille. Kaikki edellä määritetyt ohjeet ohittavat kentän yleiset ohjeet. Kenttä voi olla esimerkiksi yleisesti valinnainen, mutta tietyn rakenteen pakollinen. Lisätietoja kustakin kentästä on ARTIKKELISSA ASIM:n yleiset kentät .

Verkkoistunnon kentät

HTTP-istunnot ovat sovelluskerrosistuntoja, jotka hyödyntävät TCP/IP:tä pohjana olevana verkkokerrosistuntona. Verkkoistunnon rakenne on ASIM-verkkoistunnon rakenteen superjoukko, ja kaikki verkkorakennekentät sisältyvät myös verkkoistunnon rakenteeseen.

Seuraavissa ASIM-verkkoistunnon rakennekentissä on tietyt ohjeet, kun niitä käytetään verkkoistunnon tapahtumassa:

• Alias käyttäjän tulee viitata SrcUsername-nimeen eikä DstUsernameen.
• EventOriginalResultDetails-kenttä voi sisältää minkä tahansa lähteen raportoiman tuloksen EventResultDetails-kohteeseen tallennetun HTTP-tilakoodin lisäksi.
• WWW-istunnoissa ensisijainen kohdekenttä on URL-kenttä. DstDomain on valinnainen eikä suositeltu. Tarkemmin sanottuna, jos se ei ole käytettävissä, sitä ei tarvitse poimia jäsentimen URL-osoitteesta.
• Kentät NetworkRuleName ja NetworkRuleNumber nimetään RuleNameRuleNumber uudelleen.

Verkko-istunnon tapahtumista raportoivat yleensä välilaitteet, jotka lopettavat ASIAKKAAN HTTP-yhteyden ja käynnistävät uuden välityspalvelimena toimivan yhteyden palvelimeen. Jos haluat edustaa välilaitetta, käytä ASIM-verkkoistunnon rakenteenvälittäjälaitteen kenttiä

HTTP-istuntokentät

Seuraavassa on verkkoistuntoja koskevia lisäkenttiä:

Muut kentät

Jos jokin verkkoistunnon päätepisteistä raportoi tapahtuman, se voi sisältää tietoja istunnon aloittaneesta tai päättyneestä prosessista. Tällaisissa tapauksissa ASIM-prosessitapahtuman rakenne normalisoida nämä tiedot.

Rakennepäivitykset

Verkkoistunnon rakenne on riippuvainen verkkoistunnon rakenteesta. Siksi verkkoistunnon rakennepäivitykset koskevat myös verkkoistunnon rakennetta.

Seuraavat muutokset ovat rakenteen versiossa 0.2.5:

• Lisätty kenttä HttpHost.

Rakenteen versiossa 0.2.6 näkyvät seuraavat muutokset:

• FileSize-tyyppi muutettiin kokonaisluvusta pitkäksi.

Seuraavat muutokset ovat rakenteen versiossa 0.2.7:

• Lisätty kentät HttpCookie, , HttpIsProxied, HttpRequestBodyBytesHttpRequestCacheControl, HttpRequestHeaderCount, , HttpResponseBodyBytes, HttpResponseCacheControl, , HttpResponseExpiresja HttpResponseHeaderCount.

Seuraavat vaiheet

Lisätietoja on seuraavissa artikkeleissa:

• Katso ASIM-verkkoseminaari tai tarkista diat
• Asim-mallin (Advanced Security Information Model) yleiskatsaus
• ASIM(Advanced Security Information Model) -rakenteet
• ASIM (Advanced Security Information Model) -jäsentimet
• ASIM (Advanced Security Information Model) -sisältö