Gelişmiş Güvenlik Bilgileri Modeli (ASIM) Web Oturumu normalleştirme şema başvurusu (Genel önizleme)

Web Oturumu normalleştirme şeması, bir IP ağ etkinliğini açıklamak için kullanılır. Örneğin, IP ağ etkinlikleri web sunucuları, web proxy'leri ve web güvenliği ağ geçitleri tarafından bildirilir.

Microsoft Sentinel'de normalleştirme hakkında daha fazla bilgi için bkz . Normalleştirme ve Gelişmiş Güvenlik Bilgileri Modeli (ASIM).

Şemaya genel bakış

Web Oturumu normalleştirme şeması herhangi bir HTTP ağ oturumunu temsil eder ve aşağıdakiler gibi yaygın kaynak türleri için destek sağlamaya uygundur:

• Web sunucuları
• Web proxy'leri
• Web güvenliği ağ geçitleri

ASIM Web Oturumu şeması HTTP ve HTTPS protokol etkinliğini temsil eder. Şema protokol etkinliğini temsil ettiğinden, uygun olduğunda bu makalede başvurulan RFC'ler ve resmi olarak atanan parametre listeleri tarafından yönetilir.

Web Oturumu şeması, kaynak cihazlardan gelen denetim olaylarını temsil etmez. Örneğin, Bir Web Güvenliği Ağ Geçidi ilkesini değiştiren bir olay Web Oturumu şeması tarafından temsil edilemez.

HTTP oturumları, temel ağ katmanı oturumu olarak TCP/IP kullanan uygulama katmanı oturumları olduğundan, Web Oturumu şeması ASIM Ağ Oturumu şemasının bir süper kümesidir.

Web Oturumu şemasındaki en önemli alanlar şunlardır:

• url, istemcinin sunucudan istediği URL'yi bildirir.
• İsteğin oluşturulduğu IP adresini temsil eden SrcIpAddr (IpAddr ile diğer adı kullanılır).
• Genellikle HTTP Durum Kodunu bildiren EventResultDetails alanı.

Web Oturumu olayları, kullanıcının Kullanıcı ve İşlem bilgilerini ve isteği başlatma işlemini de içerebilir.

Çözümleyicileri

ASIM ayrıştırıcıları hakkında daha fazla bilgi için bkz . ASIM ayrıştırıcılarına genel bakış.

Ayrıştırıcıları birleştirme

Tüm ASIM kullanıma alınmış ayrıştırıcıları birleştiren ayrıştırıcıları kullanmak ve çözümlemenizin yapılandırılan tüm kaynaklarda çalıştığından emin olmak için filtreleme ayrıştırıcısını _Im_WebSession veya parametresiz ayrıştırıcıyı _ASim_WebSession kullanın.

Çalışma alanı tarafından dağıtılan ImWebSession ve ASimWebSession ayrıştırıcıları Microsoft Sentinel GitHub deposundan dağıtarak da kullanabilirsiniz. Daha fazla bilgi için bkz . yerleşik ASIM ayrıştırıcıları ve çalışma alanı tarafından dağıtılan ayrıştırıcılar.

Kullanıma açık, kaynağa özgü ayrıştırıcılar

Web Oturumu ayrıştırıcılarının listesi için Microsoft Sentinel kullanıma hazır sağlar ASIM ayrıştırıcıları listesine bakın

Kendi normalleştirilmiş ayrıştırıcılarınızı ekleme

Web Oturumu bilgi modeli için özel ayrıştırıcılar uygularken aşağıdaki söz dizimini kullanarak KQL işlevlerinizi adlandırın:

• vimWebSession<vendor><Product> parametrized ayrıştırıcılar için
• ASimWebSession<vendor><Product> normal ayrıştırıcılar için

Ayrıştırıcı parametrelerini filtreleme

im ve ayrıştırıcıları filtreleme parametrelerini destekler.vim* Bu ayrıştırıcılar isteğe bağlı olsa da sorgu performansınızı artırabilir.

Aşağıdaki filtreleme parametreleri kullanılabilir:

Bazı parametreler hem tür dynamic değerleri listesini hem de tek bir dize değerini kabul edebilir. Sabit bir listeyi dinamik değer bekleyen parametrelere geçirmek için, dinamik değişmez değeri açıkça kullanın. Örneğin: dynamic(['192.168.','10.'])

Örneğin, yalnızca belirtilen etki alanı adları listesi için Web oturumlarını filtrelemek için şunu kullanın:

let torProxies=dynamic(["tor2web.org", "tor2web.com", "torlink.co"]);
_Im_WebSession (url_has_any = torProxies)

Şema ayrıntıları

Web Oturumu bilgi modeli, OSSEM Ağ varlık şeması ve OSSEM HTTP varlık şeması ile hizalanır.

Web Oturumu şeması, sektörün en iyi yöntemleriyle uyumlu olmak için Src ve Dst tanımlayıcılarını kullanarak alan adına Dvc belirtecini eklemeden oturum kaynağı ve hedef cihazlarını tanımlar.

Bu nedenle, örneğin, kaynak cihaz ana bilgisayar adı ve IP adresi sırasıyla SrcHostname ve SrcIpAddr olarak adlandırılır, Src Dvc Ana Bilgisayar Adı ve SrcDvcIpAddr olarak adlandırılmaz. Dvc ön eki yalnızca raporlama veya aracı cihaz için kullanılabilir.

Kaynak ve hedef cihazlarla ilişkili kullanıcı ve uygulamayı açıklayan alanlar da Src ve Dst tanımlayıcılarını kullanır.

Diğer ASIM şemaları genellikle Dst yerine Target kullanır.

Ortak ASIM alanları

Belirli yönergelere sahip ortak alanlar

Aşağıdaki listede, Web Oturumu olayları için belirli yönergelere sahip alanlardan bahsediliyor:

Tüm ortak alanlar

Aşağıdaki tabloda görünen alanlar tüm ASIM şemalarında ortaktır. Yukarıda belirtilen tüm yönergeler, alanın genel yönergelerini geçersiz kılar. Örneğin, bir alan genel olarak isteğe bağlı olabilir, ancak belirli bir şema için zorunlu olabilir. Her alan hakkında daha fazla ayrıntı için ASIM Ortak Alanları makalesine bakın.

Ağ oturumu alanları

HTTP oturumları, temel ağ katmanı oturumu olarak TCP/IP kullanan uygulama katmanı oturumlarıdır. Web Oturumu şeması, ASIM Ağ Oturumu şemasının süper kümesidir ve tüm Ağ Şeması Alanları da Web Oturumu şemasına eklenir.

Aşağıdaki ASIM Ağ Oturumu şema alanları, bir Web Oturumu olayı için kullanıldığında belirli yönergelere sahiptir:

• Kullanıcı diğer adı, DstUsername'e değil SrcUsername'e başvurmalıdır.
• EventOriginalResultDetails alanı, EventResultDetails içinde depolanan HTTP durum koduna ek olarak kaynak tarafından bildirilen herhangi bir sonucu tutabilir.
• Web Oturumları için birincil hedef alanı Url Alanı'dır. DstDomain önerilir yerine isteğe bağlıdır. Özellikle, kullanılamıyorsa ayrıştırıcıdaki URL'den ayıklamanız gerekmez.
• ve alanları NetworkRuleName sırasıyla yeniden adlandırılır RuleNameRuleNumber.NetworkRuleNumber

Web Oturumu olayları genellikle istemciden HTTP bağlantısını sonlandıran ve sunucuyla ara sunucu görevi üstlenerek yeni bir bağlantı başlatan ara cihazlar tarafından bildirilir. Ara cihazı temsil etmek için ASIM Ağ Oturumu şemasıAracı cihaz alanlarını kullanın

HTTP oturum alanları

Web oturumlarına özgü ek alanlar şunlardır:

Diğer alanlar

Olay web oturumunun uç noktalarından biri tarafından bildirilirse, oturumu başlatan veya sonlandıran işlem hakkında bilgi içerebilir. Bu gibi durumlarda, bu bilgileri normalleştirmek için ASIM İşlem Olayı şeması .

Şema güncelleştirmeleri

Web Oturumu şeması, Ağ Oturumu şemasına dayanır. Bu nedenle, Ağ Oturumu şema güncelleştirmeleri Web Oturumu şemasına da uygulanır.

Şemanın 0.2.5 sürümündeki değişiklikler şunlardır:

• alanını HttpHostekledik.

Şemanın 0.2.6 sürümündeki değişiklikler şunlardır:

• FileSize türü Tamsayı'dan Uzun'a değiştirildi.

Sonraki adımlar

Daha fazla bilgi için bkz.

• ASIM Web seminerini izleyin veya slaytları gözden geçirin
• Gelişmiş Güvenlik Bilgileri Modeline (ASIM) genel bakış
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) şemaları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) ayrıştırıcıları
• Gelişmiş Güvenlik Bilgileri Modeli (ASIM) içeriği