Az Advanced Security Information Model (ASIM) hálózati munkamenet normalizálási sémájának referenciája (nyilvános előzetes verzió)

A Microsoft Sentinel hálózati munkamenet normalizálási sémája egy IP-hálózati tevékenységet jelöl, például a hálózati kapcsolatokat és a hálózati munkameneteket. Az ilyen eseményeket például operációs rendszerek, útválasztók, tűzfalak és behatolás-megelőzési rendszerek jelentik.

A hálózati normalizálási séma bármilyen TÍPUSÚ IP-hálózati munkamenetet képviselhet, de úgy van kialakítva, hogy támogatást nyújtson a gyakori forrástípusokhoz, például a Netflow-hoz, a tűzfalakhoz és a behatolás-megelőzési rendszerekhez.

A Microsoft Sentinel normalizálásáról további információt a Normalizálás és az Advanced Security Information Model (ASIM) című cikkben talál.

Ez a cikk a hálózati normalizálási séma 0.2.x-es verzióját ismerteti. A 0.1-es verzió az ASIM megjelenése előtt jelent meg, és több helyen nem igazodik az ASIM-hez. További információt a hálózati normalizálási sémaverziók közötti különbségek című témakörben talál.

Elemzők

Az ASIM-elemzőkkel kapcsolatos további információkért tekintse meg az ASIM-elemzők áttekintését.

Elemzők egyesítése

Ha olyan elemzőket szeretne használni, amelyek egyesítik az összes beépített ASIM-elemzőt, és biztosítják, hogy az elemzés az összes konfigurált forrásban futjon, használja a _Im_NetworkSession szűrőelemzőt vagy a _ASim_NetworkSession paraméter nélküli elemzőt.

A munkaterületen üzembe helyezett ImNetworkSession és ASimNetworkSession elemzőket is használhatja a Microsoft Sentinel GitHub-adattárból való üzembe helyezéssel.

További információkért lásd a beépített ASIM-elemzőket és a munkaterületen üzembe helyezett elemzőket.

Házon kívül, forrásspecifikus elemzők

A Microsoft Sentinel által biztosított hálózati munkamenet-elemzők listájához tekintse meg az ASIM-elemzők listáját

Saját normalizált elemzők hozzáadása

A hálózati munkamenet-információs modell egyéni elemzőinek fejlesztésekor nevezze el a KQL-függvényeket az alábbi szintaxissal:

• vimNetworkSession<vendor><Product> parametrizált elemzők esetén
• ASimNetworkSession<vendor><Product> normál elemzőkhöz

Az ASIM-elemzők kezelésével foglalkozó cikkből megtudhatja, hogyan vehet fel egyéni elemzőket a hálózati munkamenet egyesítő elemzőibe.

Szűrőelemző paraméterek

A hálózati munkamenet elemzői támogatják a szűrési paramétereket. Bár ezek a paraméterek nem kötelezőek, javíthatják a lekérdezés teljesítményét.

A következő szűrési paraméterek érhetők el:

Egyes paraméterek a típusértékek dynamic listáját vagy egy sztringértéket is elfogadnak. Ha egy konstanslistát dinamikus értéket váró paramétereknek szeretne átadni, használjon explicit módon egy dinamikus literált. Például: dynamic(['192.168.','10.'])

Ha például csak a hálózati munkameneteket szeretné szűrni a megadott tartománynevek listájára, használja a következőt:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_NetworkSession (hostname_has_any = torProxies)

Normalizált tartalom

A normalizált DNS-eseményeket használó elemzési szabályok teljes listáját a hálózati munkamenet biztonsági tartalma tartalmazza.

Séma áttekintése

A hálózati munkamenet információs modellje az OSSEM hálózati entitásséma szerint van összhangban.

A hálózati munkamenet sémája számos hasonló, de eltérő forgatókönyvet szolgál ki, amelyek azonos mezőkkel osztoznak. Ezeket a forgatókönyveket az EventType mező azonosítja:

• NetworkSession - a hálózatot figyelő köztes eszköz által jelentett hálózati munkamenet, például tűzfal, útválasztó vagy hálózati koppintás.
• L2NetworkSession - olyan hálózati munkamenetek, amelyekhez csak a 2. réteg információi érhetők el. Az ilyen események a MAC-címeket tartalmazzák, az IP-címeket nem.
• Flow - olyan összesített esemény, amely több hasonló hálózati munkamenetet jelent, általában előre meghatározott időszakban, például Netflow-eseményeken .
• EndpointNetworkSession - a munkamenet egyik végpontja által jelentett hálózati munkamenet, beleértve az ügyfeleket és a kiszolgálókat is. Ilyen események esetén a séma támogatja az és local az remote alias mezőket.
• IDS - gyanúsként jelentett hálózati munkamenet. Egy ilyen eseményben a vizsgálati mezők némelyike ki lesz töltve, és csak egy IP-címmező van feltöltve, akár a forrás, akár a cél.

A lekérdezéseknek általában csak az adott eseménytípusok egy részhalmazát kell kiválasztaniuk, és előfordulhat, hogy a használati esetek külön egyedi szempontjaival kell foglalkozniuk. Az IDS-események például nem tükrözik a teljes hálózati kötetet, és az oszlopalapú elemzésekben nem szabad figyelembe venni őket.

A hálózati munkamenet eseményei a leírókat használják Src , valamint Dst a munkamenetben részt vevő eszközök és kapcsolódó felhasználók és alkalmazások szerepköreinek jelölésére. Így például a forráseszköz gazdagépneve és IP-címe neve SrcHostname és SrcIpAddr. Más ASIM-sémák általában Target a .Dst

A végpont által jelentett és az eseménytípusú EndpointNetworkSessionesemények esetében a leírók Local és Remote a végpontot, illetve az eszközt a hálózati munkamenet másik végén jelölik.

A leírót Dvc a jelentéskészítő eszközhöz használják, amely a végpont által jelentett munkamenetek helyi rendszere, a közbenső eszköz vagy a hálózati koppintás pedig más hálózati munkamenetek eseményeihez.

Séma részletei

Gyakori ASIM-mezők

Általános mezők konkrét irányelvekkel

Az alábbi lista azokat a mezőket sorolja fel, amelyek konkrét irányelvekkel rendelkeznek a hálózati munkamenet eseményeihez:

Minden gyakori mező

Az alábbi táblázatban megjelenő mezők az összes ASIM-sémában gyakoriak. A fent megadott útmutatás felülbírálja a mező általános irányelveit. Előfordulhat például, hogy egy mező általában nem kötelező, de egy adott sémához kötelező. Az egyes mezőkkel kapcsolatos további információkért tekintse meg az ASIM Common Fields cikket.

Hálózati munkamenet mezői

Célrendszermezők

Célfelhasználói mezők

Célalkalmazás mezői

Forrásrendszermezők

Forrásfelhasználói mezők

Forrásalkalmazás mezői

Helyi és távoli aliasok

A fent felsorolt forrás- és célmezők tetszőlegesen aliasosak lehetnek az azonos nevű mezők, valamint a leírók Local és Remotea . Ez általában hasznos a végpont által jelentett és az eseménytípushoz EndpointNetworkSessiontartozó eseményekhez.

Ilyen események esetén a leírók Local és Remote a végpontot, illetve az eszközt a hálózati munkamenet másik végén jelölik. Bejövő kapcsolatok esetén a helyi rendszer a cél, Local a mezők aliasai a Dst mezőknek, a "Távoli" mezők pedig a mezők aliasai Src . Ezzel szemben a kimenő kapcsolatok esetében a helyi rendszer a forrás, Local a Src mezők a mezők aliasai, a Remote mezők pedig a mezők aliasai Dst .

Bejövő esemény esetén például a mező LocalIpAddr a cél aliasa DstIpAddr , a mező RemoteIpAddr pedig a következő aliasa SrcIpAddr: .

Állomásnév és IP-cím aliasai

Közvetítőeszköz és hálózati címfordítás (NAT) mezői

Az alábbi mezők akkor hasznosak, ha a rekord egy közvetítőeszközre, például tűzfalra vagy proxyra vonatkozó információkat tartalmaz, amelyek továbbítják a hálózati munkamenetet.

A közvetítő rendszerek gyakran használnak címfordítást, ezért az eredeti cím és a külsőleg megfigyelt cím nem azonos. Ilyen esetekben az olyan elsődleges címmezők, mint a SrcIPAddr és a DstIpAddr , a külsőleg megfigyelt címeket, míg a NAT-címmezők, a SrcNatIpAddr és a DstNatIpAddr az eredeti eszköz belső címét képviselik a fordítás előtt.

Vizsgálati mezők

A következő mezők azt az ellenőrzést jelölik, amelyet egy biztonsági eszköz, például tűzfal, IPS vagy webes biztonsági átjáró hajtott végre:

Egyéb mezők

Ha az eseményt a hálózati munkamenet egyik végpontja jelenti, az információkat is tartalmazhat a munkamenetet kezdeményező vagy megszakító folyamatról. Ilyen esetekben az ASIM folyamatesemény sémája normalizálja ezeket az információkat.

Sémafrissítések

A séma 0.2.1-es verziójának változásai a következők:

• Aliasként hozzáadva Src a forrás- és Dst célrendszerek vezető azonosítóihoz.
• Hozzáadta a mezőket NetworkConnectionHistory, SrcVlanId, DstVlanIdés OuterVlanIdInnerVlanId.

A séma 0.2.2-es verziójának változásai a következők:

• Hozzáadott Remote és Local aliasok.
• Hozzáadta az eseménytípust EndpointNetworkSession.
• Az eseménytípushoz és annak aliasaként LocalIpAddrRemoteHostname definiálva HostnameEndpointNetworkSession.IpAddr
• Aliasként definiálva DvcInterface a következőhöz DvcInboundInterface vagy DvcOutboundInterface.
• Az alábbi mezők típusát egész számról Hosszúra módosította: SrcBytes, DstBytes, NetworkBytes, SrcPackets, DstPacketsés NetworkPackets.
• Hozzáadta a mezőket NetworkProtocolVersion, SrcSubscriptionIdés DstSubscriptionId.
• Elavult DstUserDomain és SrcUserDomain.

A séma 0.2.3-s verziójának változásai a következők:

• Hozzáadta a ipaddr_has_any_prefix szűrési paramétert.
• A hostname_has_any szűrési paraméter most már megfelel a forrás vagy a cél állomásnévnek.
• Hozzáadta a mezőket ASimMatchingHostname és ASimMatchingIpAddra .

A séma 0.2.4-es verziójának változásai a következők:

• Hozzáadta a TcpFlags mezőket.
• Frissítve NetworkIcpmType , és NetworkIcmpCode mindkettő számértékének megfelelően.
• További ellenőrzési mezőket adott hozzá.
• A "ThreatRiskLevelOriginal" mező átnevezve ThreatOriginalRiskLevel lett az ASIM-konvenciókhoz való igazodásra. A meglévő Microsoft-elemzők 2023. május 1-ig megmaradnak ThreatRiskLevelOriginal .
• Ajánlottként jelölve EventResultDetails , és megadta az engedélyezett értékeket.

A séma 0.2.5-ös verziójának változásai a következők:

• Hozzáadta a mezőket DstUserScope, SrcUserScope, SrcDvcScopeId, SrcDvcScope, DstDvcScopeIdDstDvcScope, DvcScopeIdés DvcScope.

A séma 0.2.6-os verziójának változásai a következők:

• Azonosítók hozzáadása eseménytípusként

Következő lépések

További információk:

• Az ASIM Webinárium megtekintése vagy a diák áttekintése
• Az Advanced Security Information Model (ASIM) áttekintése
• Advanced Security Information Model (ASIM) sémák
• Advanced Security Information Model (ASIM) elemzők
• Advanced Security Information Model (ASIM) tartalom