Referência do esquema de normalização de Eventos de Auditoria do Modelo de Informação de Segurança Avançada (ASIM)

O esquema de normalização de eventos de Auditoria Microsoft Sentinel representa eventos associados ao registo de auditoria de sistemas de informação. O registo de auditoria regista as atividades de configuração do sistema e as alterações de política. Estas alterações são frequentemente efetuadas por administradores de sistema, mas também podem ser efetuadas pelos utilizadores ao configurar as definições das suas próprias aplicações.

Cada sistema regista eventos de auditoria juntamente com os registos de atividades principais. Por exemplo, uma Firewall irá registar eventos sobre as sessões de rede são processos e auditar eventos sobre alterações de configuração aplicadas à própria Firewall.

Para obter mais informações sobre a normalização no Microsoft Sentinel, veja Normalização e Modelo avançado de informações de segurança (ASIM).

Descrição geral do esquema

Os campos principais de um evento de auditoria são:

  • O objeto, que pode ser, por exemplo, um recurso gerido ou regra de política, no qual o evento se concentra, representado pelo campo Objeto. O campo ObjectType especifica o tipo do objeto.
  • O contexto da aplicação do objeto, representado pelo campo TargetAppName, que é aliasado pela Aplicação.
  • A operação efetuada no objeto, representada pelos campos EventType e Operation. Embora Operação seja o valor que a origem reportou, EventType é uma versão normalizada que é mais consistente entre as origens.
  • Os valores antigos e novos do objeto, se aplicável, representados por OldValue e NewValue , respetivamente.

Os eventos de auditoria também referenciam as seguintes entidades, que estão envolvidas na operação de configuração:

  • Actor – o utilizador que executa a operação de configuração.
  • TargetApp – a aplicação ou o sistema para o qual a operação de configuração se aplica.
  • Destino – o sistema no qual o TargetApp* está em execução.
  • ActingApp – a aplicação utilizada pelo Ator para executar a operação de configuração.
  • Src – o sistema utilizado pelo Ator para iniciar a operação de configuração, se diferente de Target.

O descritor Dvc é utilizado para o dispositivo de relatório, que é o sistema local para sessões comunicadas por um ponto final, e o intermediário ou dispositivo de segurança noutros casos.

Analisadores

Implementar e utilizar analisadores de eventos de auditoria

Implemente os analisadores de eventos de auditoria do ASIM a partir do repositório Microsoft Sentinel GitHub. Para consultar todas as origens de eventos imAuditEvent de auditoria, utilize o analisador unificador como o nome da tabela na consulta.

Para obter mais informações sobre a utilização de analisadores ASIM, veja Descrição geral dos analisadores asIM. Para obter a lista dos analisadores de eventos de auditoria Microsoft Sentinel fornece uma lista completa, consulte a lista de analisadores asim

Adicionar os seus próprios analisadores normalizados

Ao implementar analisadores personalizados para o modelo de informações do Evento de Ficheiro, atribua um nome às funções KQL com a seguinte sintaxe: imAuditEvent<vendor><Product>. Veja o artigo Managing ASIM parsers (Gerir analisadores ASIM ) para saber como adicionar os seus analisadores personalizados ao analisador unificador de eventos de auditoria.

Filtrar parâmetros do analisador

Os analisadores de eventos de auditoria suportam parâmetros de filtragem. Embora estes parâmetros sejam opcionais, podem melhorar o desempenho da consulta.

Estão disponíveis os seguintes parâmetros de filtragem:

Name Tipo Descrição
hora de início datetime Filtre apenas os eventos que foram executados em ou depois desta hora. Este parâmetro utiliza o TimeGenerated campo como o designador de hora do evento.
endtime datetime Filtre apenas as consultas de eventos que terminaram de ser executadas em ou antes desta hora. Este parâmetro utiliza o TimeGenerated campo como o designador de hora do evento.
srcipaddr_has_any_prefix dinâmico Filtre apenas eventos deste endereço IP de origem, conforme representado no campo SrcIpAddr .
eventtype_in cadeia Filtre apenas os eventos em que o tipo de evento, tal como representado no campo EventType , é qualquer um dos termos fornecidos.
eventresult cadeia Filtre apenas os eventos em que o resultado do evento, tal como representado no campo EventResult , é igual ao valor do parâmetro.
actorusername_has_any dinâmico/cadeia Filtre apenas os eventos em que ActorUsername inclui qualquer um dos termos fornecidos.
operation_has_any dinâmico/cadeia Filtre apenas os eventos em que o campo Operação inclui qualquer um dos termos fornecidos.
object_has_any dinâmico/cadeia Filtre apenas os eventos nos quais o campo Objeto inclui qualquer um dos termos fornecidos.
newvalue_has_any dinâmico/cadeia Filtre apenas os eventos em que o campo NewValue inclui qualquer um dos termos fornecidos.

Alguns parâmetros podem aceitar a lista de valores do tipo dynamic ou um único valor de cadeia. Para transmitir uma lista literal para parâmetros que esperam um valor dinâmico, utilize explicitamente um literal dinâmico. Por exemplo: dynamic(['192.168.','10.'])

Por exemplo, para filtrar apenas eventos de auditoria com os termos install ou update no campo Operação , a partir do último dia, utilize:

imAuditEvent (operation_has_any=dynamic(['install','update']), starttime = ago(1d), endtime=now())

Detalhes do esquema

Campos ASIM comuns

Importante

Os campos comuns a todos os esquemas são descritos em detalhe no artigo Campos Comuns do ASIM .

Campos comuns com diretrizes específicas

A lista seguinte menciona campos que têm diretrizes específicas para Eventos de Auditoria:

Campo Classe Tipo Descrição
EventType Obrigatório Enumerado Descreve a operação auditada pelo evento com um valor normalizado. Utilize EventSubType para fornecer mais detalhes, que o valor normalizado não transmite, e Operação. para armazenar a operação conforme comunicado pelo dispositivo de relatório.

Para registos de Eventos de Auditoria, os valores permitidos são:
- Set
- Read
- Create
- Delete
- Execute
- Install
- Clear
- Enable
- Disable
- Initialize
- Start
- Stop
- Other

Os eventos de auditoria representam uma grande variedade de operações e o Other valor permite operações de mapeamento que não EventTypetêm . No entanto, a utilização de Other limita a usabilidade do evento e deve ser evitada, se possível.
EventSubType Opcional Cadeia Fornece mais detalhes, que o valor normalizado em EventType não transmite.
EventSchema Obrigatório Enumerado O nome do esquema documentado aqui é AuditEvent.
EventSchemaVersion Obrigatório SchemaVersion (Cadeia) A versão do esquema. A versão do esquema documentado aqui é 0.1.2.

Todos os campos comuns

Os campos que aparecem na tabela são comuns a todos os esquemas ASIM. Qualquer uma das diretrizes especificadas neste documento substitui as diretrizes gerais do campo. Por exemplo, um campo pode ser opcional em geral, mas obrigatório para um esquema específico. Para obter mais informações sobre cada campo, veja o artigo Campos Comuns do ASIM .

Classe Campos
Obrigatório - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
Recomendado - EventResultDetails
- EventoSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
Opcional - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- EventOwner
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- Campos Adicionais
- DvcDescription
- DvcScopeId
- DvcScope

Campos de auditoria

Campo Classe Tipo Descrição
Operação Obrigatório Cadeia A operação foi auditada conforme comunicado pelo dispositivo de relatório.
Objeto Obrigatório Cadeia O nome do objeto no qual a operação identificada pelo EventType é executada.
ObjectId Opcional Cadeia O ID do objeto no qual a operação identificada pelo EventType é executada.
ObjectType Condicional Enumerado O tipo de Objeto. Os valores permitidos são:
- Cloud Resource
- Configuration Atom
- Policy Rule
- Event Log
-Scheduled Task
-Service
-Directory Service Object
-Other
OriginalObjectType Opcional Cadeia O tipo de Objeto conforme comunicado pelo sistema de relatórios
OldValue Opcional Cadeia O valor antigo do Objeto antes da operação, se aplicável.
NewValue Recomendado Cadeia O novo valor de Objeto após a execução da operação, se aplicável.
Valor Alias Alias to NewValue (Alias para NewValue)
ValueType Condicional Enumerado O tipo dos valores antigos e novos. Os valores permitidos são
- Outro

Campos de ator

Campo Classe Tipo Descrição
ActorUserId Opcional Cadeia Uma representação exclusiva, alfanumérica e legível por computador do Ator. Para obter mais informações e campos alternativos para outros IDs, veja A entidade Utilizador.

Exemplo: S-1-12-1-4141952679-1282074057-627758481-2916039507
ActorScope Opcional Cadeia O âmbito, como Microsoft Entra Nome de Domínio, no qual ActorUserId e ActorUsername estão definidos. ou mais informações e lista de valores permitidos, veja UserScope no artigo Descrição Geral do Esquema.
ActorScopeId Opcional Cadeia O ID de âmbito, como Microsoft Entra ID do Diretório, no qual ActorUserId e ActorUsername estão definidos. para obter mais informações e lista de valores permitidos, veja UserScopeId no artigo Descrição Geral do Esquema.
ActorUserIdType Condicional Enumerado O tipo do ID armazenado no campo ActorUserId . Para obter mais informações e lista de valores permitidos, veja UserIdType no artigo Descrição Geral do Esquema.
ActorUsername Recomendado Nome de utilizador (Cadeia) O nome de utilizador do Ator, incluindo informações de domínio quando disponível. Para obter mais informações, veja A entidade Utilizador.

Exemplo: AlbertE
Utilizador Alias Alias to ActorUsername
ActorUsernameType Condicional UsernameType Especifica o tipo do nome de utilizador armazenado no campo ActorUsername . Para obter mais informações e lista de valores permitidos, veja UsernameType no artigo Descrição Geral do Esquema.

Exemplo: Windows
ActorUserType Opcional UserType O tipo do Ator. Para obter mais informações e lista de valores permitidos, veja UserType no artigo Descrição Geral do Esquema.

Por exemplo: Guest
ActorOriginalUserType Opcional Cadeia O tipo de utilizador conforme comunicado pelo dispositivo de relatório.
ActorSessionId Opcional Cadeia O ID exclusivo da sessão de início de sessão do Ator.

Exemplo: 102pTUgC3p8RIqHvzxLCHnFlg

Campos da aplicação de destino

Campo Classe Tipo Descrição
TargetAppId Opcional Cadeia O ID da aplicação a que o evento se aplica, incluindo um processo, browser ou serviço.

Exemplo: 89162
TargetAppName Opcional Cadeia O nome da aplicação a que se aplica o evento, incluindo um serviço, um URL ou uma aplicação SaaS.

Exemplo: Exchange 365
Aplicação Alias Alias para TargetAppName
TargetAppType Condicional AppType O tipo da aplicação que autoriza em nome do Ator. Para obter mais informações e a lista de valores permitida, veja AppType no artigo Descrição Geral do Esquema.
TargetOriginalAppType Opcional Cadeia O tipo da aplicação a que o evento se aplica conforme comunicado pelo dispositivo de relatório.
TargetUrl Opcional URL O URL associado à aplicação de destino.

Exemplo: https://console.aws.amazon.com/console/home?fromtb=true&hashArgs=%23&isauthcode=true&nc2=h_ct&src=header-signin&state=hashArgsFromTB_us-east-1_7596bc16c83d260b

Campos do sistema de destino

Campo Classe Tipo Descrição
Dst Alias Cadeia Um identificador exclusivo do destino de autenticação.

Este campo pode alias os campos TargetDvcId, TargetHostname, TargetIpAddr, TargetAppId ou TargetAppName .

Exemplo: 192.168.12.1
TargetHostname Recomendado Hostname O nome do anfitrião do dispositivo de destino, excluindo as informações de domínio.

Exemplo: DESKTOP-1282V4D
TargetDomain Opcional Domain(String) O domínio do dispositivo de destino.

Exemplo: Contoso
TargetDomainType Condicional Enumerado O tipo de TargetDomain. Para obter uma lista de valores permitidos e mais informações, veja DomainType no artigo Descrição Geral do Esquema.

Necessário se o TargetDomain for utilizado.
TargetFQDN Opcional FQDN (Cadeia) O nome do anfitrião do dispositivo de destino, incluindo informações de domínio quando disponíveis.

Exemplo: Contoso\DESKTOP-1282V4D

Nota: este campo suporta o formato FQDN tradicional e o formato de domínio/nome do anfitrião do Windows. O TargetDomainType reflete o formato utilizado.
TargetDescription Opcional Cadeia Um texto descritivo associado ao dispositivo. Por exemplo: Primary Domain Controller.
TargetDvcId Opcional Cadeia O ID do dispositivo de destino. Se estiverem disponíveis vários IDs, utilize o mais importante e armazene os outros nos campos TargetDvc<DvcIdType>.

Exemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
TargetDvcScopeId Opcional Cadeia O ID de âmbito da plataforma na cloud ao qual o dispositivo pertence. TargetDvcScopeId mapeie para um ID de subscrição no Azure e para um ID de conta no AWS.
TargetDvcScope Opcional Cadeia O âmbito da plataforma na cloud ao qual o dispositivo pertence. TargetDvcScope mapeie para um ID de subscrição no Azure e para um ID de conta no AWS.
TargetDvcIdType Condicional Enumerado O tipo de TargetDvcId. Para obter uma lista de valores permitidos e mais informações, veja DvcIdType no artigo Descrição Geral do Esquema.

Necessário se TargetDeviceId for utilizado.
TargetDeviceType Opcional Enumerado O tipo do dispositivo de destino. Para obter uma lista de valores permitidos e mais informações, veja DeviceType no artigo Descrição Geral do Esquema.
TargetIpAddr Recomendado Endereço IP O endereço IP do dispositivo de destino.

Exemplo: 2.2.2.2
TargetDvcOs Opcional Cadeia O SO do dispositivo de destino.

Exemplo: Windows 10
TargetPortNumber Opcional Número inteiro A porta do dispositivo de destino.
TargetGeoCountry Opcional País/Região O país/região associado ao endereço IP de Destino.

Exemplo: USA
TargetGeoRegion Opcional Região A região dentro de um país/região associado ao endereço IP de destino.

Exemplo: Vermont
TargetGeoCity Opcional Localidade A cidade associada ao endereço IP de Destino.

Exemplo: Burlington
TargetGeoLatitude Opcional Latitude A latitude da coordenada geográfica associada ao endereço IP de Destino.

Exemplo: 44.475833
TargetGeoLongitude Opcional Longitude A longitude da coordenada geográfica associada ao endereço IP de Destino.

Exemplo: 73.211944
TargetRiskLevel Opcional Número inteiro O nível de risco associado ao destino. O valor deve ser ajustado para um intervalo de 0 para , com 0 para benigno e 100 para 100um risco elevado.

Exemplo: 90
TargetOriginalRiskLevel Opcional Cadeia O nível de risco associado ao destino, conforme comunicado pelo dispositivo de relatório.

Exemplo: Suspicious

Campos da Aplicação em Ação

Campo Classe Tipo Descrição
ActingAppId Opcional Cadeia O ID da aplicação que iniciou a atividade reportada, incluindo um processo, browser ou serviço.

Por exemplo: 0x12ae8
ActingAppName Opcional Cadeia O nome da aplicação que iniciou a atividade reportada, incluindo um serviço, um URL ou uma aplicação SaaS.

Por exemplo: C:\Windows\System32\svchost.exe
ActingAppType Opcional AppType O tipo de aplicação em ação. Para obter mais informações e a lista de valores permitida, veja AppType no artigo Descrição Geral do Esquema.
ActingOriginalAppType Opcional Cadeia O tipo da aplicação que iniciou a atividade conforme comunicado pelo dispositivo de relatório.
HttpUserAgent Opcional Cadeia Quando a autenticação é efetuada através de HTTP ou HTTPS, o valor deste campo é o cabeçalho http user_agent fornecido pela aplicação em ação ao efetuar a autenticação.

Por exemplo: Mozilla/5.0 (iPhone; CPU iPhone OS 12_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0 Mobile/15E148 Safari/604.1

Campos do sistema de origem

Campo Classe Tipo Descrição
Src Alias Cadeia Um identificador exclusivo do dispositivo de origem.

Este campo pode alias os campos SrcDvcId, SrcHostname ou SrcIpAddr .

Exemplo: 192.168.12.1
SrcIpAddr Recomendado Endereço IP O endereço IP a partir do qual a ligação ou sessão teve origem.

Exemplo: 77.138.103.108
IpAddr Alias Alias para SrcIpAddr ou para TargetIpAddr se SrcIpAddr não for fornecido.
SrcPortNumber Opcional Número inteiro A porta IP a partir da qual a ligação teve origem. Pode não ser relevante para uma sessão que inclua várias ligações.

Exemplo: 2335
SrcHostname Opcional Hostname O nome do anfitrião do dispositivo de origem, excluindo as informações de domínio. Se não estiver disponível nenhum nome de dispositivo, armazene o endereço IP relevante neste campo.

Exemplo: DESKTOP-1282V4D
SrcDomain Opcional Domínio (Cadeia) O domínio do dispositivo de origem.

Exemplo: Contoso
SrcDomainType Condicional DomainType O tipo de SrcDomain. Para obter uma lista de valores permitidos e mais informações, veja DomainType no artigo Descrição Geral do Esquema.

Necessário se o SrcDomain for utilizado.
SrcFQDN Opcional FQDN (Cadeia) O nome do anfitrião do dispositivo de origem, incluindo informações de domínio quando disponível.

Nota: este campo suporta o formato FQDN tradicional e o formato de domínio/nome do anfitrião do Windows. O campo SrcDomainType reflete o formato utilizado.

Exemplo: Contoso\DESKTOP-1282V4D
SrcDescription Opcional Cadeia Um texto descritivo associado ao dispositivo. Por exemplo: Primary Domain Controller.
SrcDvcId Opcional Cadeia O ID do dispositivo de origem. Se estiverem disponíveis vários IDs, utilize o mais importante e armazene os outros nos campos SrcDvc<DvcIdType>.

Exemplo: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId Opcional Cadeia O ID de âmbito da plataforma na cloud ao qual o dispositivo pertence. O mapa SrcDvcScopeId é mapeado para um ID de subscrição no Azure e para um ID de conta no AWS.
SrcDvcScope Opcional Cadeia O âmbito da plataforma na cloud ao qual o dispositivo pertence. O SrcDvcScope mapeia para um ID de subscrição no Azure e para um ID de conta no AWS.
SrcDvcIdType Condicional DvcIdType O tipo de SrcDvcId. Para obter uma lista de valores permitidos e mais informações, veja DvcIdType no artigo Descrição Geral do Esquema.

Nota: este campo é necessário se o SrcDvcId for utilizado.
SrcDeviceType Opcional DeviceType O tipo do dispositivo de origem. Para obter uma lista de valores permitidos e mais informações, veja DeviceType no artigo Descrição Geral do Esquema.
SrcGeoCountry Opcional País/Região O país/região associado ao endereço IP de origem.

Exemplo: USA
SrcGeoRegion Opcional Região A região num país/região associado ao endereço IP de origem.

Exemplo: Vermont
SrcGeoCity Opcional Localidade A cidade associada ao endereço IP de origem.

Exemplo: Burlington
SrcGeoLatitude Opcional Latitude A latitude da coordenada geográfica associada ao endereço IP de origem.

Exemplo: 44.475833
SrcGeoLongitude Opcional Longitude A longitude da coordenada geográfica associada ao endereço IP de origem.

Exemplo: 73.211944
SrcRiskLevel Opcional Número inteiro O nível de risco associado à origem. O valor deve ser ajustado para um intervalo de 0 para , com 0 para benigno e 100 para 100um risco elevado.

Exemplo: 90
SrcOriginalRiskLevel Opcional Cadeia O nível de risco associado à origem, conforme comunicado pelo dispositivo de relatório.

Exemplo: Suspicious

Campos de inspeção

Os seguintes campos são utilizados para representar essa inspeção realizada por um sistema de segurança.

Campo Classe Tipo Descrição
RuleName Opcional Cadeia O nome ou ID da regra associado aos resultados da inspeção.
RuleNumber Opcional Número inteiro O número da regra associada aos resultados da inspeção.
Regra Alias Cadeia O valor de RuleName ou o valor de RuleNumber. Se o valor de RuleNumber for utilizado, o tipo deve ser convertido em cadeia.
ThreatId Opcional Cadeia O ID da ameaça ou software maligno identificado na atividade de auditoria.
ThreatName Opcional Cadeia O nome da ameaça ou software maligno identificado na atividade de auditoria.
ThreatCategory Opcional Cadeia A categoria da ameaça ou software maligno identificado na atividade de ficheiro de auditoria.
ThreatRiskLevel Opcional RiskLevel (Número Inteiro) O nível de risco associado à ameaça identificada. O nível deve ser um número entre 0 e 100.

Nota: o valor pode ser fornecido no registo de origem com uma escala diferente, que deve ser normalizada para esta escala. O valor original deve ser armazenado em ThreatRiskLevelOriginal.
ThreatOriginalRiskLevel Opcional Cadeia O nível de risco, conforme comunicado pelo dispositivo de relatório.
ThreatConfidence Opcional ConfidenceLevel (Número Inteiro) O nível de confiança da ameaça identificada, normalizado para um valor entre 0 e 100.
ThreatOriginalConfidence Opcional Cadeia O nível de confiança original da ameaça identificado, conforme comunicado pelo dispositivo de relatório.
ThreatIsActive Opcional Booleano Verdadeiro se a ameaça identificada for considerada uma ameaça ativa.
ThreatFirstReportedTime Opcional datetime A primeira vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatLastReportedTime Opcional datetime A última vez que o endereço IP ou domínio foi identificado como uma ameaça.
ThreatIpAddr Opcional Endereço IP Um endereço IP para o qual foi identificada uma ameaça. O campo ThreatField contém o nome do campo que ThreatIpAddr representa.
ThreatField Condicional Enumerado O campo para o qual foi identificada uma ameaça. O valor é ou SrcIpAddrTargetIpAddr.

Atualizações de esquema

As alterações na versão 0.1.1 do esquema são:

  • Adicionou o campo ObjectId e OriginalObjectType.

As alterações na versão 0.1.2 do esquema são:

  • Adicionou o campo ActingOriginalAppType, , SrcOriginalRiskLevelOriginalObjectType, ,TargetGeoCountrySrcRiskLevelTargetGeoCity,TargetGeoLatitude,TargetGeoLongitude,TargetGeoRegion,TargetOriginalAppType,TargetOriginalRiskLevel eTargetRiskLevel

Passos seguintes

Para mais informações, consulte:

  • Last updated on