高度なセキュリティ情報モデル (ASIM) DNS 正規化スキーマ リファレンス

DNS 情報モデルは、DNS サーバーまたは DNS セキュリティ システムによって報告されるイベントを記述するために使用され、ソースに依存しない分析を有効にするためにMicrosoft Sentinelによって使用されます。

詳細については、「 正規化と高度なセキュリティ情報モデル (ASIM)」を参照してください。

スキーマの概要

ASIM DNS スキーマは、DNS プロトコル アクティビティを表します。 DNS サーバーと DNS 要求を DNS サーバーログ DNS アクティビティに送信するデバイスの両方。 DNS プロトコル アクティビティには、DNS クエリ、DNS サーバーの更新、DNS 一括データ転送が含まれます。 スキーマはプロトコル アクティビティを表しているため、RFC と正式に割り当てられたパラメーター リストによって管理されます。このパラメーター リストは、必要に応じてこの記事で参照されます。 DNS スキーマは、DNS サーバー監査イベントを表しません。

DNS サーバーによって報告される最も重要なアクティビティは、 EventType フィールドが Query に設定されている DNS クエリです。

DNS イベントの最も重要なフィールドは次のとおりです。

• クエリが発行されたドメイン名を報告する DnsQuery。

• SrcIpAddr (IpAddr にエイリアス付き) は、要求の生成元の IP アドレスを表します。 DNS サーバーは通常 SrcIpAddr フィールドを提供しますが、DNS クライアントがこのフィールドを提供せず、 SrcHostname フィールドのみを提供する場合があります。

• EventResultDetails。要求が成功したかどうかを報告し、成功しなかった場合は理由を報告します。

• 使用可能な場合、 DnsResponseName は、サーバーからクエリに対して提供された回答を保持します。 ASIM は応答の解析を必要とせず、その形式はソースによって異なります。

  ソースに依存しないコンテンツでこのフィールドを使用するには、 has 演算子または contains 演算子を使用してコンテンツを検索します。

クライアント デバイスで収集された DNS イベントには、 ユーザー と プロセス の情報も含まれる場合があります。

DNS イベントを収集するためのガイドライン

DNS は、多数のコンピューターをまたがる可能性がある点で固有のプロトコルです。 また、DNS では UDP が使用されるため、要求と応答は結合解除され、相互に直接関連しません。

次の図は、4 つのセグメントを含む簡略化された DNS 要求フローを示しています。 実際の要求は複雑になる可能性があり、セグメントが多くなります。

要求セグメントと応答セグメントは DNS 要求フロー内で直接接続されていないため、完全なログ記録によって大幅な重複が発生する可能性があります。

ログに記録する最も重要なセグメントは、クライアントへの応答です。 応答は、ドメイン名クエリ、ルックアップ結果、およびクライアントの IP アドレスを提供します。 多くの DNS システムはこのセグメントのみをログに記録しますが、他の部分のログ記録には価値があります。 たとえば、DNS キャッシュポイズニング攻撃では、アップストリーム サーバーからの偽の応答を利用することがよくあります。

データ ソースが完全な DNS ログをサポートしていて、複数のセグメントをログに記録することを選択した場合は、クエリを調整して、Microsoft Sentinelでのデータの重複を防ぎます。

たとえば、次の正規化を使用してクエリを変更できます。

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

パーサー

ASIM パーサーの詳細については、 ASIM パーサーの概要に関するページを参照してください。

すぐに使用するパーサー

すべての ASIM アウト オブ ザ ボックス パーサーを統合し、構成されているすべてのソースで分析を確実に実行するパーサーを使用するには、統合パーサー _Im_Dns をクエリのテーブル名として使用します。

すぐに使用できる DNS パーサー Microsoft Sentinelの一覧については、ASIM パーサーの一覧を参照してください。

独自の正規化されたパーサーを追加する

Dns 情報モデルにカスタム パーサーを実装する場合は、 vimDns<vendor><Product>形式を使用して KQL 関数に名前を付けます。 カスタム パーサーを DNS 統合パーサーに追加する方法については、 ASIM パーサーの管理 に関する記事を参照してください。

パーサー パラメーターのフィルター処理

DNS パーサーでは、 フィルター パラメーターがサポートされています。 これらのパラメーターは省略可能ですが、クエリのパフォーマンスを向上させることができます。

次のフィルター パラメーターを使用できます。

たとえば、ドメイン名の解決に失敗した最終日の DNS クエリのみをフィルター処理するには、次を使用します。

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

ドメイン名の指定した一覧に対して DNS クエリのみをフィルター処理するには、次のコマンドを使用します。

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

一部のパラメーターでは、 dynamic 型の値の両方のリストまたは単一の文字列値を受け取ることができます。 動的な値が必要なパラメーターにリテラル リストを渡すには、 動的リテラルを明示的に使用します。 例: dynamic(['192.168.','10.'])

正規化されたコンテンツ

正規化された DNS イベントを使用する分析ルールの完全な一覧については、「 DNS クエリのセキュリティ コンテンツ」を参照してください。

スキーマの詳細

DNS 情報モデルは、 OSSEM DNS エンティティ スキーマに合わせて調整されます。

詳細については、 インターネット割り当て番号機関 (IANA) DNS パラメーターリファレンスを参照してください。

一般的な ASIM フィールド

特定のガイドラインを含む一般的なフィールド

次の一覧では、DNS イベントに関する特定のガイドラインがあるフィールドについて説明します。

すべての共通フィールド

次の表に示すフィールドは、すべての ASIM スキーマに共通です。 上記で指定したガイドラインは、フィールドの一般的なガイドラインをオーバーライドします。 たとえば、フィールドは一般的には省略可能ですが、特定のスキーマでは必須です。 各フィールドの詳細については、 ASIM 共通フィールド に関する記事を参照してください。

ソース システムフィールド

ソース ユーザー フィールド

ソース プロセス フィールド

宛先システム フィールド

DNS 固有のフィールド

検査フィールド

次のフィールドは、DNS セキュリティ デバイスが実行した検査を表すために使用されます。 脅威に関連するフィールドは、送信元アドレス、宛先アドレス、応答内のいずれかの IP アドレス、または DNS クエリ ドメインに関連付けられている 1 つの脅威を表します。 複数の脅威が脅威として識別された場合は、他の IP アドレスに関する情報をフィールド AdditionalFieldsに格納できます。

非推奨のエイリアスとフィールド

次のフィールドは、下位互換性のために維持されるエイリアスです。 2021 年 12 月 31 日にスキーマから削除されました。

• Query (エイリアスから DnsQuery)
• QueryType (エイリアスから DnsQueryType)
• QueryTypeName (エイリアスから DnsQueryTypeName)
• ResponseName (エイリアスから DnsResponseName)
• ResponseCodeName (エイリアスから DnsResponseCodeName)
• ResponseCode (エイリアスから DnsResponseCode)
• QueryClass (エイリアスから DnsQueryClass)
• QueryClassName (エイリアスから DnsQueryClassName)
• Flags (エイリアスから DnsFlags)
• SrcUserDomain

スキーマの更新

スキーマのバージョン 0.1.2 の変更は次のとおりです。

• フィールド EventSchemaを追加しました。
• DnsFlagsAuthoritative、DnsFlagsCheckingDisabled、DnsFlagsRecursionAvailable、DnsFlagsRecursionDesired、DnsFlagsTruncated、DnsFlagsZの組み合わせフラグ フィールドを拡張する専用フラグ フィールドが追加されました。

スキーマのバージョン 0.1.3 の変更は次のとおりです。

• スキーマでは、 Src*、 Dst*、 Process* 、 User* の各フィールドが明示的に文書化されるようになりました。
• 最新の共通フィールド定義と一致するように、さらに Dvc* フィールドを追加しました。
• SrcとDstをエイリアスとして、移行元と移行先のシステムの先頭の識別子に追加しました。
• 省略可能な DnsNetworkDuration と Duration (エイリアス) を追加しました。
• オプションの [地理的位置] フィールドと [リスク レベル] フィールドを追加しました。

スキーマのバージョン 0.1.4 の変更は次のとおりです。

• 省略可能なフィールド ThreatIpAddr、 ThreatField、 ThreatName、 ThreatConfidence、 ThreatOriginalConfidence、 ThreatOriginalRiskLevel、 ThreatIsActive、 ThreatFirstReportedTime、 ThreatLastReportedTimeを追加しました。

スキーマのバージョン 0.1.5 の変更は次のとおりです。

• フィールド SrcUserScope、 SrcUserSessionId、 SrcDvcScopeId、 SrcDvcScope、 DstDvcScopeId、 DstDvcScope、 DvcScopeId、 DvcScopeを追加しました。

スキーマのバージョン 0.1.6 の変更は次のとおりです。

• フィールド DnsResponseIpCountry、 DnsResponseIpRegion、 DnsResponseIpCity、 DnsResponseIpLatitude、 DnsResponseIpLongitudeを追加しました。

スキーマのバージョン 0.1.7 の変更は次のとおりです。

• SrcDescription、SrcOriginalRiskLevel、DstDescription、DstOriginalRiskLevel、SrcUserScopeId、NetworkProtocolVersion、Rule、RuleName、RuleNumber、ThreatIdの各フィールドを追加しました。

ソース固有の不一致

正規化の目標は、すべてのソースが一貫性のあるテレメトリを提供できるようにすることです。 必須のスキーマ フィールドなど、必要なテレメトリを提供しないソースを正規化することはできません。 ただし、一般的に必要なすべてのテレメトリを提供するソースは、一部の不一致がある場合でも正規化できます。 不一致は、クエリ結果の完全性に影響する可能性があります。

次の表に、既知の相違点を示します。

DNS 応答の処理

ほとんどの場合、ログに記録された DNS イベントには応答情報が含まれず、大規模で詳細な場合があります。 レコードにさらに多くの応答情報が含まれている場合は、レコードに表示される ResponseName フィールドに格納します。

また、 _imDNS<vendor>Response_ と呼ばれる追加の KQL 関数を指定することもできます。これは、解析されていない応答を入力として受け取り、次の構造体を使用して動的値を返します。

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

動的値の各ディクショナリのフィールドは、各 DNS 応答のフィールドに対応します。 partエントリには、ディクショナリが属する応答の部分を反映するために、answer、authority、またはadditionalのいずれかを含める必要があります。

DNS フラグの処理

フラグ データには、解析と正規化は必要ありません。 代わりに、レポート デバイスによって提供されるフラグ データを [ フラグ ] フィールドに格納します。 個々のフラグの値を簡単に決定する場合は、専用フラグ フィールドを使用することもできます。

また、 _imDNS<vendor>Flags_ と呼ばれる追加の KQL 関数を提供することもできます。この関数は、解析されていない応答または専用フラグ フィールドを入力として受け取り、動的リストを返し、各フラグを次の順序で表すブール値で返します。

• Authenticated (AD)
• 権限あり (AA)
• 無効の確認 (CD)
• 利用可能な再帰 (RA)
• 再帰 Desired (RD)
• 切り捨て (TC)
• Z

次の手順

詳細については、以下を参照してください。

• ASIM ウェビナーを見る、またはスライドを確認する
• 高度なセキュリティ情報モデル (ASIM) の概要
• 高度なセキュリティ情報モデル (ASIM) スキーマ
• 高度なセキュリティ情報モデル (ASIM) パーサー
• 高度なセキュリティ情報モデル (ASIM) コンテンツ