Az Advanced Security Information Model (ASIM) DNS normalizálási sémájának referenciája (nyilvános előzetes verzió)

A DNS-információs modell egy DNS-kiszolgáló vagy egy DNS-biztonsági rendszer által jelentett események leírására szolgál, és a Microsoft Sentinel a forráselemzés engedélyezésére használja.

További információ: Normalization and the Advanced Security Information Model (ASIM).

Séma áttekintése

Az ASIM DNS-séma a DNS protokolltevékenységet jelöli. Mind a DNS-kiszolgálók, mind az eszközök DNS-kéréseket küldenek egy DNS-kiszolgáló napló DNS-tevékenységének. A DNS protokolltevékenység magában foglalja a DNS-lekérdezéseket, a DNS-kiszolgáló frissítéseit és a DNS tömeges adatátvitelét. Mivel a séma a protokolltevékenységet jelöli, az RFC-k és a hivatalosan hozzárendelt paraméterlisták szabályozzák, amelyekre szükség esetén ebben a cikkben hivatkozunk. A DNS-séma nem a DNS-kiszolgáló naplózási eseményeit jelöli.

A DNS-kiszolgálók által jelentett legfontosabb tevékenység egy DNS-lekérdezés, amelyhez a EventType mező be van állítva Query.

A DNS-események legfontosabb mezői a következők:

• DnsQuery, amely azt a tartománynevet jelenti, amelyhez a lekérdezést kiadták.

• A SrcIpAddr (ipAddr-hez aliasolt) érték, amely azt az IP-címet jelöli, amelyből a kérés létrejött. A DNS-kiszolgálók általában a SrcIpAddr mezőt adják meg, de a DNS-ügyfelek néha nem adják meg ezt a mezőt, és csak az SrcHostname mezőt adják meg.

• EventResultDetails, amely azt jelzi, hogy a kérés sikeres volt-e, és ha nem, miért.

• Ha elérhető, a DnsResponseName, amely a kiszolgáló által a lekérdezésre adott választ tartalmazza. Az ASIM-nek nincs szüksége a válasz elemzésére, formátuma forrásonként eltérő.

  Ha ezt a mezőt forrás-agnosztikus tartalomban szeretné használni, keressen rá a tartalomra a vagy contains operátorokkalhas.

Az ügyféleszközön gyűjtött DNS-események tartalmazhatnak felhasználói és folyamatadatokat is.

A DNS-események gyűjtésének irányelvei

A DNS egy egyedi protokoll, amely nagy számú számítógépet keresztezhet. Mivel a DNS UDP-t használ, a kérések és válaszok nem kapcsolódnak egymáshoz, és nem kapcsolódnak egymáshoz.

Az alábbi képen egy egyszerűsített DNS-kérési folyamat látható, amely négy szegmenst tartalmaz. A valós kérések összetettebbek lehetnek, és több szegmenst is érinthetnek.

Mivel a kérelem- és válaszszegmensek nincsenek közvetlenül egymáshoz csatlakoztatva a DNS-kérések folyamatában, a teljes naplózás jelentős duplikációt eredményezhet.

A naplózandó legértékesebb szegmens az ügyfél válasza. A válasz megadja a tartománynév-lekérdezéseket, a keresési eredményt és az ügyfél IP-címét. Bár sok DNS-rendszer csak ezt a szegmenst naplózza, van érték a többi rész naplózásában. Egy DNS-gyorsítótár mérgezéses támadása például gyakran kihasználja a felsőbb rétegbeli kiszolgáló hamis válaszait.

Ha az adatforrás támogatja a teljes DNS-naplózást, és több szegmens naplózását választotta, módosítsa a lekérdezéseket, hogy megakadályozza az adatok duplikálását a Microsoft Sentinelben.

Módosíthatja például a lekérdezést a következő normalizálással:

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

Elemzők

Az ASIM-elemzőkkel kapcsolatos további információkért tekintse meg az ASIM-elemzők áttekintését.

Házon kívül elemzők

Ha olyan elemzőket szeretne használni, amelyek egyesítik az összes beépített ASIM-elemzőt, és biztosítják, hogy az elemzés az összes konfigurált forrásban fusson, használja az egyesítő elemzőt _Im_Dns táblanévként a lekérdezésben.

A Microsoft Sentinel által biztosított DNS-elemzők listájához tekintse meg az ASIM-elemzők listáját.

Saját normalizált elemzők hozzáadása

Amikor egyéni elemzőket implementál a Dns-információs modellhez, nevezze el a KQL-függvényeket a formátum vimDns<vendor><Product>használatával. Az ASIM-elemzők kezelésével foglalkozó cikkben megtudhatja, hogyan adhat hozzá egyéni elemzőket a DNS-egyesítési elemzőhöz.

Szűrőelemző paraméterek

A DNS-elemzők támogatják a szűrési paramétereket. Bár ezek a paraméterek nem kötelezőek, javíthatják a lekérdezés teljesítményét.

A következő szűrési paraméterek érhetők el:

Ha például csak a tartománynév feloldására nem használt utolsó napból származó DNS-lekérdezéseket szeretné szűrni, használja a következőt:

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

Ha csak a DNS-lekérdezéseket szeretné szűrni a megadott tartománynevek listájára, használja a következőt:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

Egyes paraméterek a típusértékek dynamic listáját vagy egy sztringértéket is elfogadnak. Ha egy konstanslistát dinamikus értéket váró paramétereknek szeretne átadni, használjon explicit módon egy dinamikus literált. Például: dynamic(['192.168.','10.'])

Normalizált tartalom

A normalizált DNS-eseményeket használó elemzési szabályok teljes listáját a DNS-lekérdezés biztonsági tartalma tartalmazza.

Séma részletei

A DNS-információs modell az OSSEM DNS-entitásséma szerint van összhangban.

További információkért tekintse meg az Internet Assigned Numbers Authority (IANA) DNS-paraméterreferenciáját.

Gyakori ASIM-mezők

Általános mezők konkrét irányelvekkel

Az alábbi lista a DNS-eseményekre vonatkozó konkrét irányelvekkel rendelkező mezőket sorolja fel:

Minden gyakori mező

Az alábbi táblázatban megjelenő mezők az összes ASIM-sémában gyakoriak. A fent megadott útmutatás felülbírálja a mező általános irányelveit. Előfordulhat például, hogy egy mező általában nem kötelező, de egy adott sémához kötelező. Az egyes mezőkkel kapcsolatos további részletekért tekintse meg az ASIM Közös mezők című cikket.

Forrásrendszermezők

Forrásfelhasználói mezők

Forrásfolyamat mezői

Célrendszermezők

DNS-specifikus mezők

Vizsgálati mezők

Az alábbi mezők egy ellenőrzést jelölnek, amelyet egy DNS-biztonsági eszköz hajtott végre. A fenyegetéssel kapcsolatos mezők egyetlen fenyegetést jelölnek, amely a forráscímhez, a célcímhez, a válaszban szereplő IP-címek egyikéhez vagy a DNS-lekérdezési tartományhoz van társítva. Ha egynél több fenyegetést azonosítottak fenyegetésként, az egyéb IP-címekre vonatkozó információk a mezőben AdditionalFieldstárolhatók.

Elavult aliasok és mezők

Az alábbi mezők a visszamenőleges kompatibilitás érdekében fenntartott aliasok. 2021. december 31-én eltávolították őket a sémából.

• Query (alias– DnsQuery)
• QueryType (alias– DnsQueryType)
• QueryTypeName (alias– DnsQueryTypeName)
• ResponseName (alias– DnsResponseName)
• ResponseCodeName (alias– DnsResponseCodeName)
• ResponseCode (alias– DnsResponseCode)
• QueryClass (alias– DnsQueryClass)
• QueryClassName (alias– DnsQueryClassName)
• Flags (alias– DnsFlags)
• SrcUserDomain

Sémafrissítések

A séma 0.1.2-es verziójának változásai a következők:

• Hozzáadta a mezőt EventSchema.
• Dedikált jelzőmezőt adott hozzá, amely kibővíti a kombinált jelzők mezőt: DnsFlagsAuthoritative, DnsFlagsCheckingDisabled, DnsFlagsRecursionAvailable, , DnsFlagsRecursionDesiredDnsFlagsTruncatedés DnsFlagsZ.

A séma 0.1.3-s verziójának változásai a következők:

• A séma mostantól explicit módon dokumentumokat és Process*Dst*User* mezőket tartalmaz.Src*
• További Dvc* mezőket adott hozzá, hogy megfeleljenek a legújabb általános meződefiníciónak.
• Aliasként hozzáadva Src a forrás- és Dst célrendszerek vezető azonosítóihoz.
• Nem kötelező DnsNetworkDuration , és Durationegy aliast is hozzáadtunk hozzá.
• Opcionális földrajzi hely és kockázati szint mezőket adott hozzá.

A séma 0.1.4-es verziójának változásai a következők:

• Hozzáadta az opcionális mezőket ThreatIpAddr, ThreatField, ThreatName, ThreatConfidence, ThreatOriginalConfidenceThreatOriginalRiskLevel, ThreatIsActive, ThreatFirstReportedTimeés ThreatLastReportedTime.

A séma 0.1.5-ös verziójának változásai a következők:

• Hozzáadta a mezőket SrcUserScope, SrcUserSessionId, SrcDvcScopeId, SrcDvcScope, DstDvcScopeIdDstDvcScope, DvcScopeIdés DvcScope.

A séma 0.1.6-os verziójának változásai a következők:

• Hozzáadta a mezőket DnsResponseIpCountry, DnsResponseIpRegion, DnsResponseIpCityés DnsResponseIpLongitudeDnsResponseIpLatitude.

A séma 0.1.7-es verziójának változásai a következők:

• Hozzáadta a mezőket SrcDescription, SrcOriginalRiskLevel, DstDescription, DstOriginalRiskLevel, SrcUserScopeIdNetworkProtocolVersion, Rule, RuleName, RuleNumberés ThreatId.

Forrásspecifikus eltérések

A normalizálás célja annak biztosítása, hogy minden forrás konzisztens telemetriát biztosítson. Nem lehet normalizálni azokat a forrásokat, amelyek nem biztosítják a szükséges telemetriát, például a kötelező sémamezőket. Azonban azokat a forrásokat, amelyek általában minden szükséges telemetriát biztosítanak, még akkor is normalizálhatók, ha vannak eltérések. Az eltérések hatással lehetnek a lekérdezési eredmények teljességére.

Az alábbi táblázat az ismert eltéréseket sorolja fel:

DNS-válasz kezelése

A naplózott DNS-események a legtöbb esetben nem tartalmaznak válaszadatokat, amelyek nagyok és részletesek lehetnek. Ha a rekord több válaszinformációt is tartalmaz, a rekordban megjelenő Válasznév mezőben tárolja.

Egy további KQL-függvényt _imDNS<vendor>Response_is megadhat, amely bemenetként veszi fel a nem elemzett választ, és dinamikus értéket ad vissza a következő struktúrával:

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

A dinamikus értékben lévő szótárak mezői az egyes DNS-válaszok mezőinek felelnek meg. A part bejegyzésnek tartalmaznia kell vagy answerazt authoritya részt, additional amelyhez a szótár tartozik.

DNS-jelzők kezelése

A jelölőadatok elemzéséhez és normalizálásához nincs szükség. Ehelyett tárolja a jelentéskészítő eszköz által megadott jelzőadatokat a Jelzők mezőben. Ha az egyes jelölők értékének meghatározása egyenesen előre halad, használhatja a dedikált jelzők mezőit is.

Megadhat egy további KQL-függvényt _imDNS<vendor>Flags_is, amely a nem elemezhető választ vagy a dedikált jelzőmezőket veszi bemenetként, és dinamikus listát ad vissza, logikai értékekkel, amelyek az egyes jelölőket a következő sorrendben jelölik:

• Hitelesített (AD)
• Mérvadó (AA)
• Letiltott ellenőrzés (CD)
• Recursion Available (RA)
• Kívánt rekurzió (RD)
• Csonkolt (TC)
• Z

Következő lépések

További információk:

• Az ASIM Webinárium megtekintése vagy a diák áttekintése
• Az Advanced Security Information Model (ASIM) áttekintése
• Advanced Security Information Model (ASIM) sémák
• Advanced Security Information Model (ASIM) elemzők
• Advanced Security Information Model (ASIM) tartalom