Skjemareferansen for godkjenning av avansert sikkerhetsinformasjonsmodell (ASIM)

Skjemaet for Microsoft Sentinel-godkjenning brukes til å beskrive hendelser relatert til brukergodkjenning, pålogging og avlogging. Godkjenningshendelser sendes av mange rapporteringsenheter, vanligvis som en del av hendelsesstrømmen sammen med andre hendelser. Windows sender for eksempel flere godkjenningshendelser sammen med andre OS-aktivitetshendelser.

Godkjenningshendelser omfatter begge hendelser fra systemer som fokuserer på godkjenning, for eksempel VPN-gatewayer eller domenekontrollere, og direkte godkjenning til et sluttsystem, for eksempel en datamaskin eller brannmur.

Hvis du vil ha mer informasjon om normalisering i Microsoft Sentinel, kan du se Normalisering og ASIM (Advanced Security Information Model).

Parsere

Distribuer ASIM-godkjenningsanalyser fra gitHub-repositoriet Microsoft Sentinel. Hvis du vil ha mer informasjon om ASIM-analyser, kan du se artiklene ASIM-analyseoversikt.

Samlende analyser

Hvis du vil bruke parsere som forener alle ASIM-parsere som er ferdig brukte, og sikre at analysen kjører på tvers av alle de konfigurerte kildene, kan du bruke imAuthentication filtreringsanalysen eller den parameterfrie parseren ASimAuthentication .

Kildespesifikke analyser

Hvis du vil se listen over godkjenningsanalyser Microsoft Sentinel kan du se ASIM-parserlisten:

Legg til dine egne normaliserte analyser

Når du implementerer egendefinerte analyser for informasjonsmodellen for godkjenning, kan du gi navn til KQL-funksjonene ved hjelp av følgende syntaks:

• vimAuthentication<vendor><Product> for filtreringsanalyser
• ASimAuthentication<vendor><Product> for parameter-less-parsers

Hvis du vil ha informasjon om hvordan du legger til egendefinerte analyser i den samlende parseren, kan du se Administrere ASIM-analyser.

Parametere for filtreringsanalyse

vim* Parserne im støtter filtreringsparametere. Selv om disse parserne er valgfrie, kan de forbedre spørringsytelsen.

Følgende filtreringsparametere er tilgjengelige:

Hvis du for eksempel bare vil filtrere godkjenningshendelser fra den siste dagen til en bestemt bruker, bruker du:

imAuthentication (targetusername_has = 'johndoe', starttime = ago(1d), endtime=now())

Normalisert innhold

Analytiske regler for normalisert godkjenning er unike når de oppdager angrep på tvers av kilder. Så hvis for eksempel en bruker logget på forskjellige, ikke-relaterte systemer, fra forskjellige land/områder, vil Microsoft Sentinel nå oppdage denne trusselen.

Hvis du vil ha en fullstendig liste over analyseregler som bruker normaliserte godkjenningshendelser, kan du se sikkerhetsinnhold for godkjenningsskjema.

Skjemaoversikt

Informasjonsmodellen for godkjenning er justert med OSSEM-påloggingsenhetsskjemaet.

Feltene som er oppført i tabellen nedenfor, er spesifikke for godkjenningshendelser, men ligner på felt i andre skjemaer og følger lignende navnekonvensjoner.

Godkjenningshendelser refererer til følgende enheter:

• TargetUser – brukerinformasjonen som brukes til å godkjenne til systemet. TargetSystem er hovedemnet for godkjenningshendelsen, og aliaset Brukeraliaserer en TargetUser identifisert.
• TargetApp – programmet er godkjent til.
• Mål – Systemet som TargetApp* kjører på.
• Aktør – Brukeren som starter godkjenningen, hvis den er forskjellig fra TargetUser.
• ActingApp – programmet som brukes av aktøren til å utføre godkjenningen.
• Src – systemet som brukes av aktøren til å starte godkjenningen.

Forholdet mellom disse enhetene demonstreres best som følger:

En aktør som kjører et fungerende program, ActingApp, på et kildesystem, Src, forsøker å godkjenne som en TargetUser til et målprogram, TargetApp, på et målsystem, TargetDvc.

Skjemadetaljer

I tabellene nedenfor refererer Type til en logisk type. Hvis du vil ha mer informasjon, kan du se logiske typer.

Vanlige ASIM-felt

Vanlige felt med spesifikke retningslinjer

Listen nedenfor nevner felt som har spesifikke retningslinjer for godkjenningshendelser:

Alle fellesfelt

Felt som vises i tabellen nedenfor, er felles for alle ASIM-skjemaer. Alle retningslinjer som er angitt ovenfor, overstyrer de generelle retningslinjene for feltet. Et felt kan for eksempel være valgfritt generelt, men obligatorisk for et bestemt skjema. Hvis du vil ha mer informasjon om hvert felt, kan du se artikkelen ASIM Common Fields .

Godkjenningsspesifikke felt

Aktørfelt

Fungerende programfelt

Målbrukerfelt

Kildesystemfelt

Målprogramfelt

Målsystemfelt

Inspeksjonsfelt

Følgende felt brukes til å representere denne inspeksjonen utført av et sikkerhetssystem.

Skjemaoppdateringer

Dette er endringene i versjon 0.1.1 av skjemaet:

• Oppdaterte enhetsfeltene for bruker og enhet slik at de samsvarer med andre skjemaer.
• Endret TargetDvc navn og SrcDvc til Target og Src henholdsvis for å samsvare med gjeldende ASIM-retningslinjer. Feltene med nytt navn vil bli implementert som aliaser frem til 1. juli 2022. Disse feltene omfatter: SrcDvcHostname, SrcDvcHostnameType, SrcDvcType, SrcDvcIpAddr, TargetDvcHostname, TargetDvcTypeTargetDvcHostnameType, TargetDvcIpAddrog TargetDvc.
• La til aliasene Src og Dst.
• La til feltene SrcDvcIdType, SrcDeviceType, TargetDvcIdTypeog TargetDeviceType, og EventSchema.

Dette er endringene i versjon 0.1.2 av skjemaet:

• La til feltene ActorScope, TargetUserScope, SrcDvcScopeId, SrcDvcScopeTargetDvcScopeId, TargetDvcScope, DvcScopeIdog DvcScope.

Dette er endringene i versjon 0.1.3 av skjemaet:

• La til feltene SrcPortNumber, ActorOriginalUserType, ActorScopeId, TargetOriginalUserTypeTargetUserScopeId, SrcDescription, SrcRiskLevel, SrcOriginalRiskLevelog TargetDescription.
• Lagt til inspeksjonsfelt
• Lagt til geoplasseringsfelt for målsystem.

Dette er endringene i versjon 0.1.4 av skjemaet:

• La til feltene ActingOriginalAppType og TargetOriginalAppType.
• La til aliaset Application.

Neste trinn

Hvis du vil ha mer informasjon, kan du se:

• Se ASIM-nettseminaret eller se gjennom lysbildene
• Oversikt over Advanced Security Information Model (ASIM)
• ASIM-skjemaer (Advanced Security Information Model)
• ASIM-analyser (Advanced Security Information Model)
• ASIM-innhold (Advanced Security Information Model)