Microsoft Sentinel ASIM Email Event Normalization schema reference

يمثل مخطط تطبيع حدث البريد الإلكتروني Microsoft Sentinel نشاط تسليم وفحص البريد الإلكتروني. يشمل ذلك تفاصيل عنونة الرسائل والتوجيه، ونتائج مصادقة البريد الإلكتروني، ونتائج التسليم، والتهديدات التي تم تحديدها في رسائل البريد الإلكتروني.

استخدم مخطط حدث البريد الإلكتروني لتطبيع السجلات من خوادم البريد، وبوابات البريد الإلكتروني الآمنة، وخدمات أمن البريد الإلكتروني، وأنظمة أخرى تعالج أو تفحص البريد الإلكتروني. يتيح لك التطبيع تحليل هذه السجلات بأسماء وقيم حقول متسقة، بغض النظر عن المصدر.

لمزيد من المعلومات حول التسوية في Microsoft Sentinel، راجع التسوية ونموذج معلومات الأمان المتقدم (ASIM).

نظرة عامة على المخطط

الحقول الرئيسية لحدث البريد الإلكتروني توصف:

تصف الحقول Dvc نظام التقارير أو التفتيش الذاتي.

موزعي

نشر واستخدام محللات أحداث البريد الإلكتروني

نشر محللات ASIM من مستودع Microsoft Sentinel GitHub. للاستعلام عن جميع مصادر أحداث البريد الإلكتروني المعادية، استخدم محلل _Im_EmailEvent التوحيد كاسم الجدول في استفسارك.

لمزيد من المعلومات حول استخدام محللات ASIM، راجع نظرة عامة على محللات ASIM.

إضافة المحللات التي تمت تسويتها

عند تنفيذ محللات مخصصة لنموذج معلومات حدث البريد الإلكتروني، استخدم صياغة التسمية التالية:

  • ASimEmailEvent<vendor><Product> للمحللين العاديين.
  • vimEmailEvent<vendor><Product> للمحللات المعدلة.

لإضافة محللات مخصصة إلى محلل موحد حدث البريد الإلكتروني، راجع إدارة محللات ASIM.

نتائج محلل المرشح

يدعم محلل تصفية أحداث البريد الإلكتروني معلمات التصفية لتحسين أداء الاستعلام.

الاسم نوع الوصف
starttime التاريخ والوقت تصفية الأحداث التي بدأت في هذا الوقت أو بعده.
endtime التاريخ والوقت فلتر الأحداث التي انتهت عند هذا الوقت أو قبله.
ipaddr_has_any_prefix دينامي تصفية الأحداث التي يبدأ فيها عنوان IP بأحد البادئات المدرجة.
emailfromaddress_has_any دينامي تصفية الأحداث التي EmailFromAddress تحتوي على إحدى القيم المدرجة.
emailrecipient_has_any دينامي تصفية الأحداث التي تحتوي على أحد مستلمي البريد الإلكتروني المدرجين.
emailsubject_has_any دينامي تصفية الأحداث التي EmailSubject تحتوي على إحدى القيم المدرجة.
emaildirection_in دينامي تصفية الأحداث التي EmailDirection هي واحدة من القيم المذكورة.
emaildeliverylocation_in دينامي تصفية الأحداث التي EmailDeliveryLocation هي واحدة من القيم المذكورة.
eventresult String تصفية الأحداث التي EventResult تساوي القيمة المحددة. القيمة الافتراضية، *، لا تصفية حسب النتيجة.
الحقيبة بوليان عند ضبطها AdditionalFields على true، تعبئة حقول المصدر غير المطابقة في الحقل الديناميكي. الافتراضي هو false.

على سبيل المثال، استخدم الاستعلام التالي للرد على البريد الإلكتروني الوارد الذي أرسلته عناوين تحتوي على contoso.com خلال اليوم الأخير:

_Im_EmailEvent(
	starttime=ago(1d),
	endtime=now(),
	emailfromaddress_has_any=dynamic(['contoso.com']),
	emaildirection_in=dynamic(['Inbound'])
)

تفاصيل المخطط

حقول ASIM الشائعة

Important

يتم وصف الحقول المشتركة لجميع المخططات بالتفصيل في الحقول المشتركة لنظام ASIM. تتجاوز الإرشادات في هذا المقال الإرشادات العامة للمجال المعني.

الحقول المشتركة مع إرشادات محددة

الميدان فئة نوع الوصف
نوع الحدث إلزامي تعداد يصف نشاط البريد الإلكتروني الطبيعي. القيم المسموح بها هي EmailDelivery و EmailInspection.
نوع فرعي الحدث اختياري تعداد يوفر تفاصيل أكثر حول نشاط البريد الإلكتروني. القيم المسموح بها هي EmailSent و EmailReceived.
EventSchema إلزامي تعداد اسم المخطط هو EmailEvent.
EventSchemaVersion إلزامي SchemaVersion (سلسلة) إصدار المخطط. النسخة الموثقة هنا هي 1.0.0.
تفاصيل الحدث مستحسن تعداد يقدم تفاصيل عن النتيجة. القيم المسموح بها هي InvalidAddress، MailboxFull، MessageTooLarge، MessageRateLimitExceededRecipientRateLimitExceeded، BlockedBySpamFilterPhishingDetectedBlockedByPolicyMalwareDetectedو .Other
حدث كلي مستحسن تعداد شدة الحدث. القيم المسموح بها هي Informationalو LowMediumو و.High

كافة الحقول الشائعة

فئة الحقول
إلزامي - عدد الأحداث
- الحدث بداية الوقت
- نهاية الأحداث
- نوع الحدث
- نتيجة الحدث
- منتج الحدث
- EventVendor
- تخطيط الأحداث
- EventSchemaVersion
- دي في سي
مستحسن - تفاصيل الحدث
- حدث كلي
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
اختياري - EventMessage
- نوع فرعي الحدث
- EventOriginalUid
- نوع الحدث الأصلي
- الحدث الأصلي النتيجة التفاصيل
- الحدث الأصلي الخطورة
- EventProductVersion
- EventReportUrl
- مالك الحدث
- وصف DvcDescription
- DvcFQDN
- معرف Dvc
- واجهة دي في سي
- دي في سي ماك أدر
- دي في سي الأصلي
- دي في سي أو إس
- دي في سي أو إس فريجن
- دي في سي سكوب
- DvcScopeId
- دي في سي زون
- الكيانات الإضافية
- حقول إضافية
شرطي - DvcDomainType
- نوع DvcId

حقول البريد الإلكتروني

الميدان فئة نوع الوصف
البريد الإلكتروني منالعنوان مستحسن String عنوان البريد الإلكتروني في رأس الرسالة From .
البريد الإلكتروني من دومين اختياري String النطاق من العنوان في رأس الرسالة From .
البريد الإلكترونيالبريدمنعنوان اختياري String عنوان مرسل الظرف المستخدم في بروتوكول نقل البريد.
البريد الإلكتروني فرام دومين اختياري String نطاق عنوان مرسل الظرف.
البريد الإلكتروني ReplyToAddress مستحسن String عنوان البريد الإلكتروني في رأس الرسالة Reply-To .
البريد الإلكتروني ReplyToDomain اختياري String النطاق من العنوان في رأس الرسالة Reply-To .
البريد الإلكتروني إلى المستلمين مستحسن Dynamic مصفوفة من المستلمين في رأس الرسالة To .
البريد الإلكتروني CCRecipients اختياري Dynamic مصفوفة من المستلمين في رأس الرسالة Cc .
البريد الإلكتروني BCCRecipients اختياري Dynamic مصفوفة من المستلمين في رأس الرسالة Bcc .
EmailSubject مستحسن String موضوع البريد الإلكتروني.
لغة البريد الإلكتروني اختياري String لغة محتوى البريد الإلكتروني، كما أبلغ المصدر.
EmailSizeBytes مستحسن طويل حجم البريد الإلكتروني الكلي بالبايتات.
البريد الإلكتروني اسم البروتوكول مستحسن تعداد البروتوكول المستخدم لنقل أو استرجاع البريد الإلكتروني. القيم المسموح بها هي SMTPو IMAPو.POP3
اتجاه البريد الإلكتروني مستحسن تعداد اتجاه البريد الإلكتروني بالنسبة لبيئة التقارير. القيم المسموح بها هي InboundوOutboundInternalLocal.Unknown
البريد الإلكترونيDeliverLocation اختياري تعداد الموقع الطبيعي الذي تم فيه تسليم البريد الإلكتروني. القيم المسموح بها هي Inboxو JunkQuarantineو و.DeletedItems
البريد الإلكتروني الأصلي التوصيل الموقع اختياري String موقع التسليم كما أبلغ المصدر.
EmailFileCount مستحسن العدد الصحيح عدد الملفات المرفقة بالبريد الإلكتروني.
ملفات البريد الإلكتروني اختياري Dynamic مصفوفة تصف الملفات المرفقة بالبريد الإلكتروني.
EmailUrlCount مستحسن العدد الصحيح عدد الروابط الموجودة في البريد الإلكتروني.
عناوين البريد الإلكتروني اختياري Dynamic مجموعة من الروابط الموجودة في البريد الإلكتروني.

حقول مصادقة البريد الإلكتروني

الميدان فئة نوع الوصف
EmailSpfResult اختياري تعداد نتيجة إطار سياسة المرسل (SPF) الذي تم تطبيعه. القيم المسموح بها هي Pass، Fail، SoftFail، Neutral، None، TemporaryError، و PermanentError.
البريد الإلكترونيSpfOriginalResult اختياري String نتيجة SPF كما أبلغ المصدر.
EmailDkimDomain اختياري String النطاق الذي وقع الرسالة باستخدام البريد المعرف بمفاتيح النطاق (DKIM).
بريد إلكتروني DkimSignature اختياري String توقيع DKIM المرتبط بالرسالة.
EmailDkimResult اختياري تعداد نتيجة DKIM الطبيعية. القيم المسموح بها هي PassوFailTemporaryErrorPermanentError.None
البريد الإلكتروني DkimOriginalResult اختياري String نتيجة DKIM كما أوردها المصدر.
البريد الإلكتروني DmarcResult اختياري تعداد نتيجة المصادقة والإبلاغ والتوافق المعتمد على نطاق النطاق (DMARC) التي تم تطبيعها. القيم المسموح بها هي Passو FailBestGuessPassو و.None
البريد الإلكتروني DmarcOriginalResult اختياري String نتيجة DMARC كما أبلغ المصدر.
البريد الإلكتروني MailDmarcPolicy اختياري تعداد سياسة DMARC كانت تنطبق على البريد الإلكتروني. القيم المسموح بها هي Quarantineو Rejectو.None
البريد الإلكتروني DmarcOverride اختياري تعداد السبب في إلغاء سياسة DMARC. القيم المسموح بها هي Forwardedو LocalPolicyMailingListوSampleOutTrustedForwarder.Other

حقول التسليم والوجهة

الميدان فئة نوع الوصف
دي في سي أكشن اختياري تعداد الإجراء الطبيعي الذي تم اتخاذه على البريد الإلكتروني. القيم المسموح بها هي Delivered، Modified، Redirected، Blocked، PurgedQuarantinedDeletedو .NA
اللحظة الصحيحة إلزامي String معرف فريد لوجهة البريد الإلكتروني.
DstIpAddr مستحسن IP address عنوان IP لوجهة البريد الإلكتروني.

حقول النظام المصدر

الميدان فئة نوع الوصف
Src مستحسن String معرف فريد للنظام المصدر.
SrcIpAddr اختياري IP address عنوان IP المصدر.
IpAddr الاسم المستعار IP address الاسم المستعار ل SrcIpAddr.
اسم SrcHostname مستحسن اسم المضيف اسم مضيف الجهاز المصدر، باستثناء معلومات المجال.
SrcDomain مستحسن مجال مجال الجهاز المصدر.
SrcDomainType شرطي تعداد نوع SrcDomain. القيم المسموح بها هي Windowsو FQDNو.ResourceGroup مطلوب عند SrcDomain الاستخدام.
SrcFQDN اختياري FQDN اسم النطاق المؤهل بالكامل للجهاز المصدر.
SrcDvcId اختياري String معرف الجهاز المصدر.
SrcDvcIdType شرطي تعداد نوع SrcDvcId. القيم المسموح بها هي AzureResourceId، MDEid، MD4IoTid، VMConnectionId، AwsVpcId، AppGateIdVectraIdForcepointId، ، و .Other مطلوب عند SrcDvcId الاستخدام.
SrcDvcScope اختياري String نطاق منصة السحابة الذي ينتمي إليه الجهاز المصدر.
SrcDvcScopeId اختياري String معرف نطاق منصة السحابة الذي ينتمي إليه الجهاز المصدر.
SrcDeviceType اختياري تعداد نوع الجهاز المصدر.
وصف Src اختياري String وصف للجهاز المصدر.
SrcIsp اختياري String مزود خدمة الإنترنت مرتبط بعنوان IP المصدر.
SrcGeoCountry اختياري String الدولة أو المنطقة المرتبطة بعنوان IP المصدر.
SrcGeoRegion اختياري String المنطقة المقترنة بعنوان IP المصدر.
SrcGeoCity اختياري String المدينة المقترنة بعنوان IP المصدر.
SrcGeoLatitude اختياري حقيقي خط العرض المرتبط بعنوان IP المصدر.
SrcGeoLongitude اختياري حقيقي خط الطول المرتبط بعنوان IP المصدر.

حقول المستخدم المصدر

الميدان فئة نوع الوصف
SrcUserName اختياري String اسم المستخدم الأصلي.
مستخدم الاسم المستعار String اسم مستعار ل SrcUserName.
SrcUserUpn مستحسن String اسم المستخدم الرئيسي للمستخدم المصدر (UPN).
SrcUserId اختياري String معرف قابل للقراءة آليا للمستخدم المصدر.
SrcUserIdType اختياري تعداد نوع SrcUserId. القيم المسموح بها هي SID، UID، AADID، OktaIdAWSId، SalesforceIdVectraUserIdPUIDMD4IoTidو .Other
SrcUsernameType اختياري تعداد نوع القيمة في SrcUserName.
SrcUserScope اختياري String النطاق الذي يعرف فيه المستخدم المصدر.
SrcUserScopeId اختياري String معرف النطاق الذي يعرف فيه المستخدم المصدر.

حقول الفحص

الحقول التالية تصف القاعدة أو التهديد أو المؤشر المرتبط بفحص البريد الإلكتروني.

الميدان فئة نوع الوصف
اسم القاعدة اختياري String اسم أو هوية قاعدة الفحص.
رقم القاعدة اختياري العدد الصحيح الرقم القياسي لقاعدة الفحص.
القاعدة الاسم المستعار String اسم مستعار ل RuleName.
وصف القواعد اختياري String وصف لقاعدة التفتيش.
نوع المؤشر اختياري تعداد نوع المؤشر الذي تم تحديده في حدث البريد الإلكتروني.
تقييم المؤشرات اختياري تعداد الارتباط بين المؤشر وحدث البريد الإلكتروني.
معرف التهديد اختياري String معرف التهديد الذي تم تحديده في البريد الإلكتروني.
اسم التهديد اختياري String اسم التهديد الذي تم تحديده في البريد الإلكتروني.
فئة التهديد اختياري String فئة التهديد الطبيعية.
ThreatOriginalCategory اختياري String فئة التهديد كما أبلغ المصدر.
ThreatRiskLevel اختياري RiskLevel (عدد صحيح) مستوى خطر التهديد الطبيعي، من 0 خلال 100.
ThreatOriginalRiskLevel اختياري String مستوى خطر التهديد كما أبلغ المصدر.
تكوين التهديد اختياري مستوى الثقة (عدد صحيح) مستوى الثقة الطبيعي، من 0 خلال 100.
تكوين التهديدات اختياري String الثقة في التهديد كما أبلغ المصدر.
ThreatIsActive اختياري بوليان يشير إلى ما إذا كان التهديد المحدد نشطا.
ThreatFirstReportedTime اختياري التاريخ والوقت المرة الأولى التي تم الإبلاغ فيها عن التهديد.
ThreatLastReportedTime اختياري التاريخ والوقت آخر مرة تم الإبلاغ عن التهديد.
ThreatIpAddr اختياري IP address عنوان IP مرتبط بالتهديد المحدد.
حقل التهديد شرطي تعداد الحقل الذي تم تحديد التهديد من أجله.
AttackTactics اختياري String تكتيكات MITRE ATT&CK المرتبطة بحدث البريد الإلكتروني.
AttackTechniques اختياري String تقنيات MITRE ATT&CK المرتبطة بحدث البريد الإلكتروني.
AttackRemediationSteps اختياري String الخطوات الموصى بها لمعالجة الهجوم أو التهديد المحدد.

تحديثات المخطط

النسخة 1.0.0 هي الإصدار الأولي لمخطط حدث البريد الإلكتروني.

المحتوى ذو الصلة

  • تاريخ آخر تحديث في