مشاركة عبر


كيان جهاز نموذج المعلومات الأمنية المتقدم (ASIM)

يعد مصطلحا "الأجهزة" أو "المضيفين" مصطلحين شائعين مستخدمين للأنظمة المشاركة في الحدث. تُستخدم البادئة Dvc لتعيين الجهاز الأساسي الذي يحدث عليه الحدث. تحتوي بعض الأحداث، مثل: جلسات عمل الشبكة، على أجهزة المصدر والوجهة، المعينة بالبادئة Src و Dst. في مثل هذه الحالة، تُستخدم البادئة Dvc للجهاز الذي يبلغ عن الحدث، والذي قد يكون المصدر أو الوجهة أو جهاز المراقبة.

الأسماء المستعارة للجهاز

ميدان الفصل Type وصف
Dvc، Src، Dst إلزامي سلسلة‬‬ تُستخدم الحقول Dvc، أو "Src"، أو "Dst" بمثابة معرف فريد للجهاز. كما تُعين إلى أفضل معرف متاح للجهاز. يمكن تسمية هذه الحقول بالأسماء المستعارة الآتية FQDN أو DvcId أو اسم المضيف أو IpAddr. بالنسبة لمصادر السحابة، التي لا يوجد لها جهاز واضح، استخدم نفس القيمة مثل حقل منتج الحدث.

اسم الجهاز

قد تتضمن أسماء الأجهزة المبلغ عنها اسم مضيف فقط، أو اسم المجال المؤهل بالكامل (FQDN) الذي يتضمن كلاً من اسم المضيف واسم المجال. قد يُعبر عن اسم FQDN باستخدام عدة تنسيقات. تمكن الحقول الآتية دعم المتغيرات المختلفة التي قد يتوفر بها اسم الجهاز.

ميدان الفصل Type وصف
اسم المضيف مستحسن اسم المضيف اسم مضيف قصير للجهاز.
المجال مستحسن سلسلة‬‬ مجال الجهاز الذي حدث فيه الحدث، دون اسم المضيف.
نوع المجال مستحسن تعداد نوع المجال. تتضمن القيم المدعومة: FQDN وWindows. يلزم توفير هذا الحقل في حال استخدام حقل المجال.
FQDN اختياري سلسلة‬‬ اسم FQDN للجهاز بما في ذلك اسم المضيف والمجال . يدعم هذا الحقل تنسيق اسم FQDN التقليدي وتنسيق مجال/اسم مضيف نظام تشغيل Windows. يعكس الحقل DomainType التنسيق المستخدم.

على سبيل المثال:

ميدان قيمة للإدخال appserver.contoso.com قيمة للإدخال appserver
اسم المضيف appserver appserver
المجال contoso.con <فارغ>
DomainType FQDN <فارغ>
FQDN appserver.contoso.com <فارغ>

عندما تكون القيمة المقدمة من المصدر FQDN، يجب على المحلل حساب القيم الأربع. وهذا صحيح أيضا عندما تكون القيمة إما FQDN أو اسم مضيف قصير. استخدم وظائف مساعد مخططات ASIM _ASIM_ResolveFQDN، و_ASIM_ResolveSrcFQDN، و_ASIM_ResolveDstFQDN، و_ASIM_ResolveDvcFQDN لتعيين جميع الحقول الأربعة بسهولة استناداً إلى قيمة إدخال واحدة. للمزيد من المعلومات، راجع وظائف مساعد ASIM.

معرف الجهاز ونطاقه

ميدان الفصل Type وصف
معرف دي في سي اختياري سلسلة‬‬ التعريف الفريد للجهاز. على سبيل المثال: 41502da5-21b7-48ec-81c9-baeea8d7d669
معرف النطاق اختياري سلسلة‬‬ معرف نطاق النظام الأساسي السحابي الذي ينتمي إليه الجهاز. تعيين النطاق إلى معرف اشتراك على Azure ومعرف حساب على AWS.
النطاق اختياري سلسلة‬‬ نطاق النظام الأساسي السحابي الذي ينتمي إليه الجهاز. تعيين النطاق إلى اشتراك على Azure وإلى حساب على AWS.
نوع DvcId اختياري تعداد نوع DvcId. عادة ما يحدد هذا الحقل أيضا نوع النطاقومعرف النطاق. يلزم توفير هذا الحقل في حال استخدام الحقل DvcId.
DvcAzureResourceId، DvcMDEid، DvcMD4IoTid، DvcVMConnectionId، DvcVectraId، DvcAwsVpcId اختياري سلسلة‬‬ الحقول المستخدمة لتخزين معرفات الأجهزة الأخرى، إذا كان الحدث الأصلي يتضمن عدة معرفات للأجهزة. حدد معرف الجهاز الأكثر اقتراناً بالحدث بمثابة معرف أساسي مخزن في DvcId.

يجب أن تسبق أسماء الحقول بادئة دور مثل Src أو Dst، ولكن لا يجب أن تسبق بادئة ثانية Dvc إذا استخدمت في ذلك الدور.

تشمل القيم المسموحة لنوع معرف الجهاز:

Type وصف
MDEid معرف النظام الذي عينه Microsoft Defender لنقطة النهاية.
AzureResourceId معرف مورد Azure.
MD4IoTid معرف مورد Microsoft Defender لإنترنت الأشياء.
VMConnectionId معرف مورد حل نتيجة تحليلات الأجهزة الظاهرية لمراقب Azure.
AwsVpcId معرّف AWS VPC.
VectraId معرّف مورد الذكاء الاصطناعي المُعيّن لـ Vectra.
آخر نوع الهوية غير مدرج.

على سبيل المثال، يوفر الحل VM Insights في Azure Monitor معلومات جلسات عمل الشبكة في VMConnection. يوفر الجدول معرف مورد Azure في الحقل _ResourceId ومعرف جهاز معين لنتائج تحليلات VM في الحقل Machine. استخدم التعيين الآتي لتمثيل هذه المعرفات:

ميدان عين إلى
DvcId الحقل Machine في الجدول VMConnection.
DvcIdType القيمة VMConnectionId
DvcAzureResourceId الحقل _ResourceId في الجدول VMConnection.

مجالات أجهزة أخرى

ميدان الفصل Type وصف
بروتوكول IpAddr مستحسن عنوان IP عنوان IP الخاص بالجهاز.

على سبيل المثال:45.21.42.12
وصف Dvc اختياري سلسلة‬‬ نص وصفي مرتبط بالجهاز. على سبيل المثال: Primary Domain Controller.
ماك أدر اختياري وحدة تحكم وصول الوسائط عنوان وحدة تحكم وصول الوسائط للجهاز الذي وقع عليه الحدث أو الذي أبلغ عن الحدث.

على سبيل المثال:00:1B:44:11:3A:B7
المنطقة اختياري سلسلة‬‬ الشبكة التي وقع عليها الحدث أو التي أبلغت عن الحدث، اعتمادًا على المخطط. جهاز الإبلاغ هو من يحدد المنطقة.

على سبيل المثال:Dmz
دي في سي اختياري سلسلة‬‬ نظام تشغيل الجهاز الذي وقع عليه الحدث أو الذي أبلغ عن الحدث.

على سبيل المثال:Windows
دي في سي أو إس فريجن اختياري سلسلة‬‬ إصدار نظام تشغيل الجهاز الذي وقع عليه الحدث أو الذي أبلغ عن الحدث.

على سبيل المثال:10
دي في سي أكشن اختياري سلسلة‬‬ للإبلاغ عن أنظمة الأمان، يتخذ النظام الإجراء، إن أمكن.

على سبيل المثال:Blocked
دي في سي الأصلي اختياري سلسلة‬‬ DvcAction الأصلي المقدم من جهاز إعداد التقارير.
الواجهة اختياري سلسلة‬‬ واجهة الشبكة المُسجل عليها البيانات. عادة ما يكون هذا المجال ذا صلة بالنشاط المرتبط بالشبكة الذي يلتقطه جهاز وسيط أو جهاز تنصت.

يجب أن تسبق الحقول المسماة في القائمة التي تحمل بادئة Dvc بادئة دور مثل Src أو Dst، ولكن لا يجب أن تسبق بادئة ثانية Dvc إذا استخدمت في ذلك الدور.