Skjemareferanse for normalisering av overvåkingshendelser for avansert sikkerhetsinformasjonsmodell (ASIM)

Normaliseringsskjemaet for Microsoft Sentinel-overvåkingshendelser representerer hendelser som er knyttet til revisjonssporet til informasjonssystemene. Overvåkingssporet logger systemkonfigurasjonsaktiviteter og policyendringer. Slike endringer utføres ofte av systemansvarlige, men kan også utføres av brukere når de konfigurerer innstillingene for sine egne programmer.

Hvert system logger overvåkingshendelser sammen med kjerneaktivitetsloggene. En brannmur loggfører for eksempel hendelser om nettverksøktene er prosesser, og overvåkingshendelser om konfigurasjonsendringer som brukes i selve brannmuren.

Hvis du vil ha mer informasjon om normalisering i Microsoft Sentinel, kan du se Normalisering og ASIM (Advanced Security Information Model).

Skjemaoversikt

Hovedfeltene i en overvåkingshendelse er:

• Objektet, som for eksempel kan være en administrert ressurs eller policyregel, som hendelsen fokuserer på, representert av feltobjektet. Feltet ObjectType angir objekttypen.
• Programkonteksten for objektet, representert av feltet TargetAppName, som er alias av programmet.
• Operasjonen som utføres på objektet, representert av feltene EventType og Operation. Mens Operasjon er verdien kilden rapporterte, er EventType en normalisert versjon som er mer konsekvent på tvers av kilder.
• De gamle og nye verdiene for objektet, hvis aktuelt, representeres av henholdsvis OldValue og NewValue .

Overvåkingshendelser refererer også til følgende enheter, som er involvert i konfigurasjonsoperasjonen:

• Aktør – Brukeren som utfører konfigurasjonsoperasjonen.
• TargetApp – programmet eller systemet som konfigurasjonsoperasjonen gjelder for.
• Mål – Systemet som TargetApp* kjører på.
• ActingApp – programmet som brukes av aktøren til å utføre konfigurasjonsoperasjonen.
• Src – systemet som brukes av aktøren til å starte konfigurasjonsoperasjonen, hvis den er forskjellig fra Mål.

Dvc Beskrivelsen brukes for rapporteringsenheten, som er det lokale systemet for økter rapportert av et endepunkt, og mellomleddet eller sikkerhetsenheten i andre tilfeller.

Parsere

Distribuere og bruke analyser for overvåkingshendelser

Distribuer ASIM-revisjonshendelsesanalyser fra Microsoft Sentinel GitHub-repositoriet. Hvis du vil spørre på tvers av alle kilder for overvåkingshendelser, kan du bruke den samlende parseren imAuditEvent som tabellnavn i spørringen.

Hvis du vil ha mer informasjon om hvordan du bruker ASIM-analyser, kan du se ASIM-analyseoversikten. Se ASIM-analyselisten for listen over revisjonshendelsesanalyser Microsoft Sentinel

Legg til dine egne normaliserte analyser

Når du implementerer egendefinerte analyser for filhendelsesinformasjonsmodellen, gir du navn til KQL-funksjonene ved hjelp av følgende syntaks: imAuditEvent<vendor><Product>. Se artikkelen Administrere ASIM-analyser for å lære hvordan du legger til egendefinerte parsere i analyseanalysen for overvåkingshendelsen.

Parametere for filtreringsanalyse

Analyser av overvåkingshendelser støtter filtreringsparametere. Selv om disse parameterne er valgfrie, kan de forbedre spørringsytelsen.

Følgende filtreringsparametere er tilgjengelige:

Noen parametere kan godta begge listene med verdier av typen dynamic eller en enkelt strengverdi. Hvis du vil sende en litteral liste til parametere som forventer en dynamisk verdi, bruker du eksplisitt en dynamisk litteral. For eksempel: dynamic(['192.168.','10.'])

Hvis du for eksempel bare vil filtrere overvåkingshendelser med vilkårene install eller updateoperasjonsfeltet , bruker du følgende fra den siste dagen:

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Skjemadetaljer

Vanlige ASIM-felt

Vanlige felt med spesifikke retningslinjer

Listen nedenfor nevner felt som har spesifikke retningslinjer for overvåkingshendelser:

Alle fellesfelt

Felt som vises i tabellen, er felles for alle ASIM-skjemaer. Alle retningslinjer som er angitt i dette dokumentet overstyrer de generelle retningslinjene for feltet. Et felt kan for eksempel være valgfritt generelt, men obligatorisk for et bestemt skjema. Hvis du vil ha mer informasjon om hvert felt, kan du se artikkelen ASIM Common Fields .

Overvåkingsfelt

Aktørfelt

Målprogramfelt

Målsystemfelt

Fungerende programfelt

Kildesystemfelt

Inspeksjonsfelt

Følgende felt brukes til å representere denne inspeksjonen utført av et sikkerhetssystem.

Skjemaoppdateringer

Endringene i versjon 0.1.1 av skjemaet er:

• La til feltet ObjectId og OriginalObjectType.

Endringene i versjon 0.1.2 av skjemaet er:

• La til feltet ActingOriginalAppType, OriginalObjectType, SrcOriginalRiskLevel, SrcRiskLevel,TargetGeoCityTargetGeoCountry,,TargetGeoLatitude,TargetGeoLongitudeTargetGeoRegion,TargetOriginalAppType,TargetOriginalRiskLevel ogTargetRiskLevel

Neste trinn

Hvis du vil ha mer informasjon, kan du se:

• Se ASIM-nettseminaret eller se gjennom lysbildene
• Oversikt over Advanced Security Information Model (ASIM)
• ASIM-skjemaer (Advanced Security Information Model)
• ASIM-analyser (Advanced Security Information Model)
• ASIM-innhold (Advanced Security Information Model)