高度なセキュリティ情報モデル (ASIM) ネットワーク セッション正規化スキーマ リファレンス

Microsoft Sentinel ネットワーク セッション正規化スキーマは、ネットワーク接続やネットワーク セッションなどの IP ネットワーク アクティビティを表します。 このようなイベントは、オペレーティング システム、ルーター、ファイアウォール、侵入防止システムなどによって報告されます。

ネットワーク正規化スキーマは、任意の種類の IP ネットワーク セッションを表すことができますが、Netflow、ファイアウォール、侵入防止システムなどの一般的なソースの種類をサポートするように設計されています。

Microsoft Sentinelでの正規化の詳細については、「正規化と高度なセキュリティ情報モデル (ASIM)」を参照してください。

パーサー

ASIM パーサーの詳細については、 ASIM パーサーの概要に関するページを参照してください。

パーサーの統合

すべての ASIM アウト オブ ザ ボックス パーサーを統合し、構成されているすべてのソースで分析が実行されるようにするパーサーを使用するには、 _Im_NetworkSession パーサーを使用します。

すぐに使用するソース固有のパーサー

すぐに使用できるネットワーク セッション パーサー Microsoft Sentinel一覧については、ASIM パーサーの一覧を参照してください。

独自の正規化されたパーサーを追加する

ネットワーク セッション情報モデルの カスタム パーサーを開発 する場合は、次の構文を使用して KQL 関数に名前を付けます。

• vimNetworkSession<vendor><Product> パラメーター化されたパーサーの場合
• ASimNetworkSession<vendor><Product> 通常のパーサーの場合

カスタム パーサーをネットワーク セッションに追加してパーサーを統合する方法については、 ASIM パーサーの管理 に関する記事を参照してください。

パーサー パラメーターのフィルター処理

ネットワーク セッション パーサーでは、 フィルター パラメーターがサポートされています。 これらのパラメーターは省略可能ですが、クエリのパフォーマンスを向上させることができます。

次のフィルター パラメーターを使用できます。

一部のパラメーターでは、 dynamic 型の値の両方のリストまたは単一の文字列値を受け取ることができます。 動的な値が必要なパラメーターにリテラル リストを渡すには、 動的リテラルを明示的に使用します。 例: dynamic(['192.168.','10.'])

たとえば、ドメイン名の指定したリストに対してネットワーク セッションのみをフィルター処理するには、次を使用します。

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

正規化されたコンテンツ

正規化された DNS イベントを使用する分析ルールの完全な一覧については、「 ネットワーク セッションセキュリティコンテンツ」を参照してください。

スキーマの概要

ネットワーク セッション情報モデルは、 OSSEM ネットワーク エンティティ スキーマに合わせて調整されます。

ネットワーク セッション スキーマは、同じフィールドを共有する、類似するが異なるシナリオのいくつかの種類を提供します。 これらのシナリオは、EventType フィールドによって識別されます。

• NetworkSession - ファイアウォール、ルーター、ネットワーク タップなど、ネットワークを監視している中間デバイスによって報告されるネットワーク セッション。
• L2NetworkSession - レイヤー 2 の情報のみを使用できるネットワーク セッション。 このようなイベントには MAC アドレスが含まれますが、IP アドレスは含まれません。
• Flow - Netflow イベントなど、通常は定義済みの期間にわたって、複数の同様のネットワーク セッションを報告する集計イベント。
• EndpointNetworkSession - クライアントとサーバーを含む、セッションのエンドポイントの 1 つによって報告されるネットワーク セッション。 このようなイベントの場合、スキーマでは、 remote と local エイリアス フィールドがサポートされます。
• IDS - 疑わしいと報告されたネットワーク セッション。 このようなイベントには、一部の検査フィールドが設定され、送信元または宛先の IP アドレス フィールドが 1 つだけ設定される場合があります。

通常、クエリでは、これらのイベントの種類のサブセットのみを選択する必要があり、ユース ケースの個別の一意の側面に対処する必要がある場合があります。 たとえば、IDS イベントはネットワーク ボリューム全体を反映せず、列ベースの分析では考慮しないでください。

ネットワーク セッション イベントでは、記述子 Src と Dst を使用して、セッションに関連するデバイスと関連するユーザーとアプリケーションの役割を表します。 そのため、たとえば、ソース デバイスのホスト名と IP アドレスは SrcHostname と SrcIpAddr という名前になります。 通常、他の ASIM スキーマでは、DstではなくTargetが使用されます。

エンドポイントによって報告され、イベントの種類が EndpointNetworkSessionされるイベントの場合、記述子 Local と Remote は、それぞれ、ネットワーク セッションのもう一方の端にあるエンドポイント自体とデバイスを表します。

記述子 Dvc は、エンドポイントによって報告されるセッションのローカル システムであるレポート デバイスと、他のネットワーク セッション イベントの中継デバイスまたはネットワーク タップに使用されます。

スキーマの詳細

一般的な ASIM フィールド

特定のガイドラインを含む一般的なフィールド

次の一覧では、ネットワーク セッション イベントに関する特定のガイドラインがあるフィールドについて説明します。

すべての共通フィールド

次の表に示すフィールドは、すべての ASIM スキーマに共通です。 上記で指定したガイドラインは、フィールドの一般的なガイドラインをオーバーライドします。 たとえば、フィールドは一般的には省略可能ですが、特定のスキーマでは必須です。 各フィールドの詳細については、 ASIM 共通フィールド に関する記事を参照してください。

ネットワーク セッション フィールド

宛先システム フィールド

宛先ユーザー フィールド

変換先のアプリケーション フィールド

ソース システムフィールド

ソース ユーザー フィールド

ソース アプリケーション フィールド

ローカルエイリアスとリモートエイリアス

上記のすべてのソースフィールドと宛先フィールドは、必要に応じて、同じ名前のフィールドと記述子 Local および Remoteによってエイリアス化できます。 これは通常、エンドポイントによって報告され、イベントの種類が EndpointNetworkSessionされるイベントに役立ちます。

このようなイベントの場合、記述子 Local と Remote は、それぞれネットワーク セッションのもう一方の端にあるエンドポイント自体とデバイスを表します。 インバウンド接続の場合、ローカル・システムは宛先、 Local ・フィールドは Dst ・フィールドの別名であり、「リモート」フィールドは Src ・フィールドの別名です。 逆に、送信接続の場合、ローカル システムはソース、 Local フィールドは Src フィールドのエイリアス、 Remote フィールドは Dst フィールドのエイリアスです。

たとえば、受信イベントの場合、フィールド LocalIpAddr は DstIpAddr のエイリアスであり、フィールド RemoteIpAddr は SrcIpAddrのエイリアスです。

ホスト名と IP アドレスのエイリアス

中間デバイスとネットワーク アドレス変換 (NAT) フィールド

次のフィールドは、ネットワーク セッションを中継するファイアウォールやプロキシなどの中間デバイスに関する情報がレコードに含まれている場合に役立ちます。

中間システムでは、多くの場合、アドレス変換が使用されるため、元のアドレスと外部で観察されたアドレスは同じではありません。 このような場合、 SrcIPAddr や DstIpAddr などのプライマリ アドレス フィールドは外部で監視されるアドレスを表し、NAT アドレス フィールド SrcNatIpAddr と DstNatIpAddr は変換前の元のデバイスの内部アドレスを表します。

検査フィールド

次のフィールドは、ファイアウォール、IPS、Web セキュリティ ゲートウェイなどのセキュリティ デバイスが実行した検査を表すために使用されます。

その他のフィールド

イベントがネットワーク セッションのいずれかのエンドポイントによって報告された場合、セッションを開始または終了したプロセスに関する情報が含まれる場合があります。 このような場合、この情報を正規化するために ASIM プロセス イベント スキーマ が使用されます。

スキーマの更新

スキーマのバージョン 0.2.1 の変更を次に示します。

• SrcとDstをエイリアスとして、移行元と移行先のシステムの先頭の識別子に追加しました。
• フィールド NetworkConnectionHistory、 SrcVlanId、 DstVlanId、 InnerVlanId、 OuterVlanIdを追加しました。

スキーマのバージョン 0.2.2 の変更を次に示します。

• RemoteとLocalエイリアスを追加しました。
• イベントの種類 EndpointNetworkSessionを追加しました。
• イベントの種類がEndpointNetworkSessionの場合、HostnameとIpAddrをそれぞれRemoteHostnameとLocalIpAddrのエイリアスとして定義します。
• DvcInboundInterfaceまたはDvcOutboundInterfaceのエイリアスとしてDvcInterface定義されます。
• 次のフィールドの種類を Integer から Long に変更しました。 SrcBytes、 DstBytes、 NetworkBytes、 SrcPackets、 DstPackets、 NetworkPackets。
• フィールド NetworkProtocolVersionを追加しました。
• 非推奨の DstUserDomain と SrcUserDomain。

スキーマのバージョン 0.2.3 の変更点を次に示します。

• ipaddr_has_any_prefixフィルター処理パラメーターを追加しました。
• hostname_has_anyフィルター処理パラメーターが、ソースまたは宛先のホスト名と一致するようになりました。
• フィールドの ASimMatchingHostname と ASimMatchingIpAddrを追加しました。

スキーマのバージョン 0.2.4 の変更を次に示します。

• TcpFlagsフィールドを追加しました。
• NetworkIcpmTypeとNetworkIcmpCodeを更新し、両方の数値を反映しました。
• 検査フィールドを追加しました。
• フィールド 'ThreatRiskLevelOriginal' の名前が ASIM 規則に合わせて ThreatOriginalRiskLevel に変更されました。 既存の Microsoft パーサーは、2023 年 5 月 1 日まで ThreatRiskLevelOriginal を維持します。
• EventResultDetailsを推奨としてマークし、許可される値を指定しました。

スキーマのバージョン 0.2.5 の変更点を次に示します。

• フィールド DstUserScope、 SrcUserScope、 SrcDvcScopeId、 SrcDvcScope、 DstDvcScopeId、 DstDvcScope、 DvcScopeId、 DvcScopeを追加しました。

スキーマのバージョン 0.2.6 の変更を次に示します。

• イベントの種類として IDS を追加しました

スキーマのバージョン 0.2.7 の変更点を次に示します。

• DstDescriptionフィールドを追加し、SrcDescription

次の手順

詳細については、以下を参照してください。

• ASIM ウェビナーを見る、またはスライドを確認する
• 高度なセキュリティ情報モデル (ASIM) の概要
• 高度なセキュリティ情報モデル (ASIM) スキーマ
• 高度なセキュリティ情報モデル (ASIM) パーサー
• 高度なセキュリティ情報モデル (ASIM) コンテンツ