高级安全信息模型 (ASIM) DNS 规范化架构参考

DNS 信息模型用于描述由 DNS 服务器或 DNS 安全系统报告的事件，并由Microsoft Sentinel用于启用与源无关的分析。

有关详细信息，请参阅 规范化和高级安全信息模型 (ASIM) 。

架构概述

ASIM DNS 架构表示 DNS 协议活动。 向 DNS 服务器发送 DNS 请求的 DNS 服务器和设备都记录了 DNS 活动。 DNS 协议活动包括 DNS 查询、DNS 服务器更新和 DNS 批量数据传输。 由于架构表示协议活动，因此它受 RFC 和正式分配的参数列表控制，本文在适当时会引用这些列表。 DNS 架构不表示 DNS 服务器审核事件。

DNS 服务器报告的最重要活动是 DNS 查询，其 EventType 字段设置为 Query。

DNS 事件中最重要的字段是：

• DnsQuery，用于报告发出查询的域名。

• SrcIpAddr (别名为 IpAddr) ，表示从中生成请求的 IP 地址。 DNS 服务器通常提供 SrcIpAddr 字段，但 DNS 客户端有时不提供此字段，仅提供 SrcHostname 字段。

• EventResultDetails，它报告请求是否成功，如果不是，则报告原因。

• 如果可用， 则为 DnsResponseName，它保存服务器提供给查询的答案。 ASIM 不需要分析响应，其格式因源而异。

  若要在与源无关的内容中使用此字段，请使用 或 contains 运算符搜索内容has。

在客户端设备上收集的 DNS 事件可能还包括 用户 和 进程 信息。

收集 DNS 事件的准则

DNS 是一种唯一协议，它可能跨大量计算机。 此外，由于 DNS 使用 UDP，因此请求和响应是去耦合的，彼此不直接相关。

下图显示了简化的 DNS 请求流，包括四个段。 实际请求可能更复杂，涉及更多段。

由于请求段和响应段在 DNS 请求流中不直接相互连接，因此完整日志记录可能会导致大量重复。

要记录的最有价值的段是对客户端的响应。 响应提供域名查询、查找结果和客户端的 IP 地址。 虽然许多 DNS 系统只记录此段，但记录其他部分也有价值。 例如，DNS 缓存中毒攻击通常利用来自上游服务器的虚假响应。

如果数据源支持完整的 DNS 日志记录，并且你已选择记录多个段，请调整查询以防止Microsoft Sentinel数据重复。

例如，可以使用以下规范化来修改查询：

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

解析 器

有关 ASIM 分析程序的详细信息，请参阅 ASIM 分析程序概述。

现用分析程序

若要使用统一所有 ASIM 现成分析器的分析程序，并确保分析跨所有配置的源运行，请使用统一分析器 _Im_Dns 作为查询中的表名称。

有关 DNS 分析程序列表Microsoft Sentinel提供现成的，请参阅 ASIM 分析程序列表。

添加自己的规范化分析程序

为 Dns 信息模型实现自定义分析程序时，请使用格式 vimDns<vendor><Product>命名 KQL 函数。 请参阅 管理 ASIM 分析程序 一文，了解如何将自定义分析程序添加到 DNS 统一分析器。

筛选分析程序参数

DNS 分析程序支持 筛选参数。 虽然这些参数是可选的，但它们可以提高查询性能。

以下筛选参数可用：

例如，若要仅筛选来自最后一天未能解析域名的 DNS 查询，请使用：

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

若要仅筛选指定域名列表的 DNS 查询，请使用：

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

某些参数可以接受类型的 dynamic 值列表或单个字符串值。 若要将文本列表传递给需要动态值的参数，请显式使用 动态文本。 例如：dynamic(['192.168.','10.'])

规范化内容

有关使用规范化 DNS 事件的分析规则的完整列表，请参阅 DNS 查询安全内容。

架构详细信息

DNS 信息模型与 OSSEM DNS 实体架构保持一致。

有关详细信息，请参阅 Internet 分配号码机构 (IANA) DNS 参数参考。

常见 ASIM 字段

具有特定准则的通用字段

以下列表提到了具有 DNS 事件特定准则的字段：

所有常见字段

下表中显示的字段对所有 ASIM 架构都是通用的。 上面指定的任何准则都覆盖字段的一般准则。 例如，字段通常可能是可选的，但对于特定架构是必需的。 有关每个字段的更多详细信息，请参阅 ASIM 通用字段 一文。

源系统字段

源用户字段

源进程字段

目标系统字段

DNS 特定字段

检查字段

以下字段用于表示 DNS 安全设备执行的检查。 与威胁相关的字段表示与源地址、目标地址、响应中的 IP 地址之一或 DNS 查询域关联的单个威胁。 如果多个威胁被标识为威胁，则可以在 字段中 AdditionalFields存储有关其他 IP 地址的信息。

已弃用的别名和字段

以下字段是为向后兼容性而维护的别名。 它们已于 2021 年 12 月 31 日从架构中删除。

• Query (别名) DnsQuery
• QueryType (别名) DnsQueryType
• QueryTypeName (别名) DnsQueryTypeName
• ResponseName (别名) DnsResponseName
• ResponseCodeName (别名) DnsResponseCodeName
• ResponseCode (别名) DnsResponseCode
• QueryClass (别名) DnsQueryClass
• QueryClassName (别名) DnsQueryClassName
• Flags (别名) DnsFlags
• SrcUserDomain

架构更新

架构版本 0.1.2 中的更改如下：

• 添加了字段 EventSchema。
• 添加了专用标志字段，用于扩充合并的标志字段：DnsFlagsAuthoritative、、DnsFlagsCheckingDisabled、DnsFlagsRecursionAvailableDnsFlagsRecursionDesired、 DnsFlagsTruncated和 DnsFlagsZ。

架构版本 0.1.3 中的更改如下：

• 架构现在显式记录 Src*、 Dst*Process* 和 User* 字段。
• 添加了更多 Dvc* 字段，以匹配最新的通用字段定义。
• 将 和 Dst 作为别名添加到Src源和目标系统的前导标识符。
• 添加了可选的 DnsNetworkDuration 和 Duration，一个别名。
• 添加了可选的“地理位置”和“风险级别”字段。

架构版本 0.1.4 中的更改如下：

• 添加了可选字段 ThreatIpAddr、、ThreatField、ThreatName、 ThreatConfidenceThreatIsActiveThreatFirstReportedTimeThreatOriginalConfidenceThreatOriginalRiskLevel和 。ThreatLastReportedTime

架构版本 0.1.5 中的更改如下：

• 添加了字段 SrcUserScope、、SrcUserSessionId、SrcDvcScopeId、SrcDvcScopeDstDvcScopeIdDstDvcScope、DvcScopeId、 和 DvcScope。

架构版本 0.1.6 中的更改如下：

• 添加了字段 DnsResponseIpCountry、 DnsResponseIpRegion、 DnsResponseIpCity、 DnsResponseIpLatitude和 DnsResponseIpLongitude。

架构版本 0.1.7 中的更改如下：

• 添加了字段 SrcDescription、、SrcOriginalRiskLevel、DstDescription、DstOriginalRiskLevel、SrcUserScopeIdNetworkProtocolVersionRuleNameRule、、 RuleNumber和 。ThreatId

特定于源的差异

规范化的目标是确保所有源都提供一致的遥测数据。 无法规范化未提供所需遥测的源（如必需架构字段）。 但是，通常提供所有必需遥测数据的源（即使存在一些差异）也可以规范化。 差异可能会影响查询结果的完整性。

下表列出了已知差异：

处理 DNS 响应

在大多数情况下，记录的 DNS 事件不包括响应信息，这些信息可能很大且详细。 如果记录包含更多响应信息，请将其存储在记录中显示的 ResponseName 字段中。

还可以提供名为 _imDNS<vendor>Response_的额外 KQL 函数，该函数采用未分析的响应作为输入，并使用以下结构返回动态值：

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

动态值中的每个字典中的字段对应于每个 DNS 响应中的字段。 条目 part 应包括 answer、 authority或 additional ，以反映字典所属的响应中的部分。

处理 DNS 标志

标志数据不需要分析和规范化。 而是将报告设备提供的标志数据存储在 “标志 ”字段中。 如果确定各个标志的值是直接的，则还可以使用专用标志字段。

还可以提供名为 的额外 _imDNS<vendor>Flags_KQL 函数，该函数将未分析的响应或专用标志字段作为输入并返回一个动态列表，其布尔值按以下顺序表示每个标志：

• 经过身份验证 (AD)
• 权威 (AA)
• 检查禁用 (CD)
• 递归可用 (RA)
• 递归所需 (RD)
• 截断 (TC)
• Z

后续步骤

有关更多信息，请参阅：

• 观看 ASIM 网络研讨会 或查看 幻灯片
• 高级安全信息模型 (ASIM) 概述
• (ASIM) 架构的高级安全信息模型
• 高级安全信息模型 (ASIM) 分析程序
• (ASIM) 内容的高级安全信息模型