Referensi skema normalisasi DNS Advanced Security Information Model (ASIM) (Pratinjau umum)

Model informasi DNS digunakan untuk menjelaskan peristiwa yang dilaporkan oleh server DNS atau sistem keamanan DNS, dan digunakan oleh Microsoft Azure Sentinel untuk mengaktifkan analitik agnostik-sumber.

Untuk informasi selengkapnya, lihat Normalisasi dan Model Informasi Keamanan Tingkat Lanjut (ASIM).

Gambaran umum Skema

Skema DNS ASIM mewakili aktivitas protokol DNS. Server DNS dan perangkat yang mengirim permintaan DNS ke aktivitas DNS log server DNS. Aktivitas protokol DNS mencakup kueri DNS, pembaruan server DNS, dan transfer data massal DNS. Karena skema ini mewakili aktivitas protokol, skema ini diatur oleh RFC dan daftar parameter yang ditetapkan secara resmi, yang dirujuk dalam artikel ini bila sesuai. Skema DNS tidak mewakili peristiwa audit server DNS.

Aktivitas paling penting yang dilaporkan oleh server DNS adalah kueri DNS, di mana bidang EventType diatur ke Query.

Bidang yang paling penting dalam peristiwa DNS adalah:

• DnsQuery, yang melaporkan nama domain yang diterbitkan oleh kueri.

• SrcIpAddr (alias ipAddr), yang mewakili alamat IP di mana permintaan dihasilkan. Server DNS biasanya menyediakan bidang SrcIpAddr, tetapi klien DNS terkadang tidak menyediakan bidang ini dan hanya menyediakan bidang SrcHostname.

• EventResultDetails, yang melaporkan apakah permintaan itu berhasil dan jika tidak, mengapa.

• Bila tersedia, DnsResponseName, yang menyimpan jawaban yang disediakan oleh server untuk kueri. ASIM tidak memerlukan penguraian respons, dan formatnya bervariasi antar sumber.

  Untuk menggunakan bidang ini dalam konten agnostik-sumber, cari konten menggunakan operator has atau contains.

Peristiwa DNS yang dikumpulkan pada perangkat klien juga dapat mencakup informasi Pengguna dan Proses.

Panduan untuk mengumpulkan acara DNS

DNS adalah protokol unik karena dapat melintasi sejumlah besar komputer. Selain itu, karena DNS menggunakan UDP, permintaan dan tanggapan dipisahkan dan tidak terkait langsung satu sama lain.

Gambar berikut menunjukkan alur permintaan DNS yang disederhanakan, termasuk empat segmen. Permintaan dunia nyata bisa lebih kompleks, dengan lebih banyak segmen yang terlibat.

Karena segmen permintaan dan respons tidak terhubung langsung satu sama lain dalam aliran permintaan DNS, pengelogan penuh dapat mengakibatkan duplikasi yang signifikan.

Segmen yang paling berharga untuk log adalah respons terhadap klien. Segmen yang paling berharga untuk dicatat adalah respons terhadap klien, yang menyediakan kueri nama domain, hasil pencarian, dan alamat IP klien. Sementara banyak sistem DNS hanya mencatat segmen ini, ada nilai dalam pengelogan bagian lain. Misalnya, serangan keracunan cache DNS sering mengambil keuntungan dari tanggapan palsu dari server hulu.

Jika sumber data Anda mendukung pengelogan DNS penuh dan Anda telah memilih untuk mencatat beberapa segmen, Anda harus menyesuaikan kueri untuk mencegah duplikasi data di Microsoft Azure Sentinel.

Misalnya, Anda dapat mengubah kueri Anda dengan normalisasi berikut:

_Im_Dns | where SrcIpAddr != "127.0.0.1" and EventSubType == "response"

Parser

Untuk informasi selengkapnya tentang parser ASIM, lihat gambaran umum parser ASIM.

Pengurai di luar kotak

Untuk menggunakan pengurai yang menyatukan semua pengurai di luar kotak ASIM, dan memastikan bahwa analisis Anda berjalan di semua sumber yang dikonfigurasi, gunakan pengurai pemersatu _Im_Dns sebagai nama tabel dalam kueri Anda.

Untuk daftar pengurai DNS yang disediakan Microsoft Azure Sentinel di luar kotak, lihat daftar pengurai ASIM.

Tambahkan parser normalisasi Anda sendiri

Saat menerapkan pengurai kustom untuk model informasi Dns, beri nama fungsi KQL Anda menggunakan format vimDns<vendor><Product>. Lihat artikel Mengelola pengurai ASIM untuk mempelajari cara menambahkan pengurai kustom Anda ke pengurai pemersatu DNS.

Memfilter parameter parser

Pengurai DNS mendukung parameter pemfilteran. Meskipun parameter ini bersifat opsional, parameter ini dapat meningkatkan performa kueri Anda.

Parameter pemfilteran berikut ini tersedia:

Misalnya, untuk hanya memfilter kueri DNS dari hari terakhir yang gagal menyelesaikan nama domain, gunakan:

_Im_Dns (responsecodename = 'NXDOMAIN', starttime = ago(1d), endtime=now())

Untuk hanya memfilter kueri DNS untuk daftar nama domain tertentu, gunakan:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_Dns (domain_has_any = torProxies)

Beberapa parameter dapat menerima kedua daftar nilai jenis dynamic atau nilai string tunggal. Untuk meneruskan daftar harfiah ke parameter yang memerlukan nilai dinamis, secara eksplisit gunakan harfiah dinamis. Misalnya: dynamic(['192.168.','10.'])

Konten yang dinormalisasi

Untuk daftar lengkap aturan analitik yang menggunakan peristiwa DNS yang dinormalisasi, lihat bagian konten keamanan kueri DNS.

Detail skema

Model informasi DNS diselaraskan dengan skema entitas DNS OSSEM.

Untuk informasi selengkapnya, lihat referensi parameter DNS Internet Assigned Numbers Authority (IANA).

Bidang ASIM umum

Bidang umum dengan pedoman khusus

Daftar berikut menyebutkan bidang yang memiliki pedoman khusus untuk acara DNS:

Semua bidang umum

Bidang yang muncul pada tabel di bawah ini adalah umum untuk semua skema ASIM. Setiap pedoman yang ditentukan di atas mengambil alih pedoman umum untuk bidang ini. Misalnya, sebuah bidang mungkin opsional secara umum, tetapi wajib untuk skema tertentu. Untuk detail selengkapnya tentang setiap bidang, lihat artikel Bidang Umum ASIM.

Bidang sistem sumber

Bidang pengguna sumber

Bidang proses sumber

Bidang sistem tujuan

Bidang khusus DNS

Bidang inspeksi

Bidang berikut digunakan untuk mewakili pemeriksaan, yang dilakukan oleh perangkat keamanan DNS. Bidang terkait ancaman mewakili satu ancaman yang terkait dengan alamat sumber, alamat tujuan, salah satu alamat IP dalam respons atau domain kueri DNS. Jika lebih dari satu ancaman diidentifikasi sebagai ancaman, informasi tentang alamat IP lain dapat disimpan di bidang AdditionalFields.

Alias dan bidang yang tidak digunakan lagi

Bidang berikut adalah alias yang saat ini tidak digunakan lagi tetapi dipertahankan untuk kompatibilitas mundur. Mereka akan dihapus dari skema pada 31 Desember 31, 2021.

• Query (alias ke DnsQuery)
• QueryType (alias ke DnsQueryType)
• QueryTypeName (alias ke DnsQueryTypeName)
• ResponseName (alias ke DnsResponseName)
• ResponseCodeName (alias ke DnsResponseCodeName)
• ResponseCode (alias ke DnsResponseCode)
• QueryClass (alias ke DnsQueryClass)
• QueryClassName (alias ke DnsQueryClassName)
• Flags (alias ke DnsFlags)
• SrcUserDomain

Pembaruan skema

Ini adalah perubahan dalam versi 0.1.2 dari skema tersebut:

• Menambahkan bidang EventSchema.
• Penambahan bidang bendera khusus yang menambah kombinasi bidang Bendera: DnsFlagsAuthoritative, DnsFlagsCheckingDisabled, DnsFlagsRecursionAvailable, DnsFlagsRecursionDesired, DnsFlagsTruncated, dan DnsFlagsZ.

Ini adalah perubahan dalam versi 0.1.3 dari skema tersebut:

• Skema tersebut sekarang secara eksplisit mendokumentasikan bidang Src*, Dst* , Process*, dan User*.
• Penambahan bidang Dvc* tambahan agar sesuai dengan definisi bidang umum terbaru.
• Penambahan Src dan Dst sebagai alias ke pengenal utama untuk sistem sumber dan tujuan.
• Penambahan DnsNetworkDuration dan Duration opsional, alias untuk opsi tersebut.
• Penambahan bidang Geo Location dan Tingkat Risiko opsional.

Perubahan skema versi 0.1.4 adalah:

• Menambahkan bidang ThreatIpAddropsional , , ThreatField, ThreatName, ThreatConfidence, ThreatOriginalConfidence, ThreatOriginalRiskLevel, ThreatIsActive, ThreatFirstReportedTime, dan ThreatLastReportedTime.

Perubahan skema versi 0.1.5 adalah:

• Menambahkan bidang SrcUserScope, , SrcUserSessionId, SrcDvcScopeIdSrcDvcScope, , DstDvcScopeId, DstDvcScope, DvcScopeId, dan DvcScope.

Perubahan skema versi 0.1.6 adalah:

• Menambahkan bidang DnsResponseIpCountry, DnsResponseIpRegion, DnsResponseIpCity, DnsResponseIpLatitude, dan DnsResponseIpLongitude.

Perubahan skema versi 0.1.7 adalah:

• Menambahkan bidang SrcDescription, , SrcOriginalRiskLevel, DstDescriptionDstOriginalRiskLevel, SrcUserScopeId, , NetworkProtocolVersion, Rule, RuleName, RuleNumber, dan ThreatId.

Perbedaan khusus sumber

Tujuan normalisasi adalah untuk memastikan bahwa semua sumber menyediakan telemetri yang konsisten. Sumber yang tidak menyediakan telemetri yang diperlukan, seperti bidang skema wajib, tidak dapat dinormalisasi. Namun, sumber yang biasanya menyediakan semua telemetri yang diperlukan, bahkan jika ada beberapa perbedaan, dapat dinormalisasi. Perbedaan dapat mempengaruhi kelengkapan hasil kueri.

Tabel berikut mencantumkan perbedaan yang diketahui:

Menangani respons DNS

Dalam kebanyakan kasus, peristiwa DNS yang dicatat tidak mencakup informasi respons, yang mungkin besar dan terperinci. Jika rekaman Anda menyertakan lebih banyak informasi tanggapan, simpan di bidang ResponseName seperti yang muncul di rekaman.

Anda juga dapat menyediakan fungsi KQL tambahan yang disebut _imDNS<vendor>Response_, yang mengambil respons yang tidak diuraikan sebagai input dan mengembalikan nilai dinamis dengan struktur berikut:

[
    {
        "part": "answer"
        "query": "yahoo.com."
        "TTL": 1782
        "Class": "IN"
        "Type": "A"
        "Response": "74.6.231.21"
    }
    {
        "part": "authority"
        "query": "yahoo.com."
        "TTL": 113066
        "Class": "IN"
        "Type": "NS"
        "Response": "ns5.yahoo.com"
    }
    ...
]

Bidang di setiap kamus dalam nilai dinamis sesuai dengan bidang di setiap respons DNS. Entri part harus menyertakan answer, authority, atau additional untuk mencerminkan bagian dalam respons yang dimiliki kamus.

Menangani bendera DNS

Penguraian dan normalisasi tidak diperlukan untuk data bendera. Sebagai gantinya, simpan data bendera yang disediakan oleh perangkat pelaporan di bidang Bendera. Jika menentukan nilai bendera individual mudah, Anda juga dapat menggunakan bidang bendera khusus.

Anda juga dapat menyediakan fungsi KQL tambahan yang disebut _imDNS<vendor>Flags_, yang mengambil respons yang tidak diuraikan, atau bidang bendera khusus, sebagai input dan mengembalikan daftar dinamis, dengan nilai Boolean yang mewakili setiap bendera dalam urutan berikut:

• Terautentikasi (AD)
• Autoritatif (AA)
• Pemeriksaan Dinonaktifkan (CD)
• Rekursi Tersedia (RA)
• Rekursi Diinginkan (RD)
• Terpotong (TC)
• Z

Langkah berikutnya

Untuk informasi selengkapnya, lihat:

• Tonton Webinar ASIM atau tinjau slide
• Gambaran umum Model Informasi Keamanan Tingkat Lanjut (ASIM)
• Skema Model Informasi Keamanan Tingkat Lanjut (ASIM)
• Parser Model Informasi Keamanan Tingkat Lanjut (ASIM)
• Konten Model Informasi Keamanan Tingkat Lanjut (ASIM)