مشاركة عبر

مرجع مخطط تسوية حدث ملف نموذج معلومات الأمان المتقدم (ASIM) (الإصدار الأولي العام)

  • مقالة

يُستخدم مخطط تسوية حدث الملف لوصف نشاط الملف مثل إنشاء الملفات أو المستندات أو تعديلها أو حذفها. يتم الإبلاغ عن مثل هذه الأحداث بواسطة أنظمة التشغيل وأنظمة تخزين الملفات مثل Azure Files وأنظمة إدارة المستندات مثل Microsoft SharePoint.

لمزيد من المعلومات بشأن التسوية في Microsoft Sentinel، راجع التسوية ونموذج معلومات الأمان المتقدم (ASIM).

هام

مخطط تسوية حدث الملف في الإصدار الأولي حالياً. تُوفّر هذه الميزة دون الحاجة إلى اتفاقية مستوى الخدمة، ولا يوصى بها لأحمال العمل الخاصة بالإنتاج.

تتضمن الشروط التكميلية لمعاينة Azure شروطا قانونية إضافية تنطبق على ميزات Azure الموجودة في الإصدار التجريبي أو المعاينة أو التي لم يتم إصدارها بعد في التوفر العام.

المُحللات

توزيع واستخدام محللات أنشطة الملفات

نشر محللات نشاط ملف ASIM من مستودع Microsoft Sentinel GitHub. للاستعلام عبر كافة مصادر نشاط الملف، استخدم محلل imFileEvent التوحيد كاسم الجدول في الاستعلام.

لمزيد من المعلومات حول استخدام محللات ASIM، راجع نظرة عامة على محللات ASIM. للحصول على قائمة محللات نشاط الملف التي يوفرها Microsoft Sentinel خارج الصندوق، ارجع إلى قائمة محللي ASIM

أضف المحلل اللغوي المعياري الخاص بك

عند تنفيذ المحلل اللغوي المخصص لنموذج معلومات حدث الملف، قم بتسمية وظائف KQL باستخدام الصيغة التالية: imFileEvent<vendor><Product.

راجع المقالة إدارة محللات ASIM لمعرفة كيفية إضافة محللات مخصصة إلى محلل توحيد نشاط الملف.

المحتوى الطبيعي

للحصول على قائمة كاملة بقواعد التحليلات التي تستخدم أحداث نشاط الملفات التي تمت تسويتها، راجع محتوى أمان نشاط الملفات.

نظرة عامة على المخطط

تتم محاذاة نموذج معلومات حدث الملف مع مخطط كيان عملية OSSEM.

يشير مخطط حدث الملف إلى الكيانات التالية، والتي تعتبر مركزية لأنشطة الملفات:

  • الممثل. المستخدم الذي بدأ نشاط الملف
  • ActingProcess. العملية التي يستخدمها الممثل لبدء نشاط الملف
  • TargetFile. الملف الذي أجريت عليه العملية
  • ملف المصدر (SrcFile). يخزن معلومات الملف قبل العملية.

من الأفضل توضيح العلاقة بين هذه الكيانات على النحو التالي: الفاعل ينفذ عملية ملف باستخدام عملية التمثيل، والتي تعدل الملف المصدر إلى الهدف ملف.

على سبيل المثال: يستخدم JohnDoe (الممثل) Windows File Explorer (عملية التمثيل) لإعادة تسمية new.doc (ملف المصدر) إلى old.doc ( ملف الهدف).

تفاصيل المُخطط

الحقول الشائعة

هام

توصف الحقول المشتركة لكافة المخططات بالتفصيل في مقالة الحقول المشتركة لـ ASIM.

حقول ذات إرشادات محددة لمخطط حدث الملف

تشير القائمة التالية إلى الحقول التي تحتوي على إرشادات محددة لأحداث نشاط الملف:

ميدان فصل النوع الوصف
EventType إلزامي Enumerated يصف العملية التي أبلغ بها السجل.

تتضمن القيم المدعومة ما يلي:

- FileAccessed
- FileCreated
- FileModified
- FileDeleted
- FileRenamed
- FileCopied
- FileMoved
- FolderCreated
- FolderDeleted
- FolderMoved
- FolderModified
- FileCreatedOrModified
EventSubType اختياري Enumerated توضح هذه المقالة تفاصيل حول العملية التي تم الإبلاغ عنها في EventType. تتضمن القيم المدعومة لكل نوع حدث ما يلي:
- FileCreated - Upload, Checkin
- FileModified - Checkin
- FileCreatedOrModified - Checkin
- FileAccessed - Download، ، Preview، CheckoutExtended
- FileDeleted - Recycled، ، VersionsSite
EventSchema إلزامي السلسلة‬ اسم المخطط الموثق هنا هو FileEvent.
EventSchemaVersion إلزامي السلسلة‬ إصدار المُخطط. إصدار مخطط قاعدة البيانات الموثق هنا هو 0.2.1
حقول Dvc - - بالنسبة لأحداث نشاط الملف، تشير مجالات الجهاز إلى النظام الذي حدث فيه نشاط الملف.

هام

يعد الحقل EventSchema اختيارياً حالياً ولكنه سيصبح إلزامياً في الأول من سبتمبر 2022.

جميع الحقول الشائعة

الحقول التي تظهر في الجدول شائعة لجميع مخططات ASIM. يتجاوز أي من الإرشادات المحددة للمخطط في هذا المستند الإرشادات العامة للحقل. على سبيل المثال، قد يكون الحقل اختياريًا بشكل عام، لكنه إلزامي لمخطط معين. لمزيد من المعلومات حول كل حقل، راجع مقالة الحقول المشتركة ASIM.

فصل الحقول
إلزامي - EventCount
- EventStartTime
- EventEndTime
- EventType
- EventResult
- EventProduct
- EventVendor
- EventSchema
- EventSchemaVersion
- Dvc
مستحسن - EventResultDetails
- EventSeverity
- EventUid
- DvcIpAddr
- DvcHostname
- DvcDomain
- DvcDomainType
- DvcFQDN
- DvcId
- DvcIdType
- DvcAction
اختياري - EventMessage
- EventSubType
- EventOriginalUid
- EventOriginalType
- EventOriginalSubType
- EventOriginalResultDetails
- EventOriginalSeverity
- EventProductVersion
- EventReportUrl
- مالك الحدث
- DvcZone
- DvcMacAddr
- DvcOs
- DvcOsVersion
- DvcOriginalAction
- DvcInterface
- AdditionalFields
- DvcDescription
- DvcScopeId
- DvcScope

حقول الملف الهدف

تمثل الحقول التالية معلومات حول الملف الهدف في عملية ملف. إذا تضمنت العملية ملفا واحدا، FileCreate على سبيل المثال، يتم تمثيله بواسطة حقول الملف الهدف.

الحقل الفصل النوع ‏‏الوصف
TargetFileCreationTime اختياري التاريخ/الوقت الوقت الذي تم فيه إنشاء الملف الهدف.
TargetFileDirectory اختياري السلسلة‬ مجلد الملف الهدف أو الموقع. يجب أن يكون هذا الحقل مماثلاً للحقل TargetFilePath، دون العنصر النهائي.

ملاحظة: يمكن للمحلل تقديم هذه القيمة إذا كانت القيمة متوفرة في مصدر السجل ولا تحتاج إلى الاستخراج من المسار الكامل.
TargetFileExtension اختياري السلسلة‬ ملحق الملف الهدف.

ملاحظة: يمكن للمحلل تقديم هذه القيمة إذا كانت القيمة متوفرة في مصدر السجل ولا تحتاج إلى الاستخراج من المسار الكامل.
TargetFileMimeType اختياري Enumerated نوع Mime أو Media للملف الهدف. يتم سرد القيم المسموح بها في مستودع أنواع وسائط IANA.
TargetFileName مستحسن السلسلة‬ اسم الملف الهدف، دون مسار أو موقع، ولكن بملحق إذا كان مناسباً. يجب أن يكون هذا الحقل مماثلاً للعنصر الأخير في الحقل TargetFilePath.
اسم الملف الاسم المستعار الاسم المستعار للحقل TargetFileName .
TargetFilePath إلزامي السلسلة‬ المسار الكامل والمعيار للملف الهدف، بما في ذلك المجلد أو الموقع واسم الملف والملحق. لمزيد من المعلومات، راجع بنية المسار.

ملاحظة: إذا كان السجل لا يتضمن معلومات المجلد أو الموقع، فقم بتخزين اسم الملف هنا فقط.

مثال: C:\Windows\System32\notepad.exe
TargetFilePathType إلزامي Enumerated نوع TargetFilePath. لمزيد من المعلومات، راجع بنية المسار.
مسار الملف الاسم المستعار الاسم المستعار للحقل TargetFilePath.
TargetFileMD5 اختياري MD5 تجزئة MD5 للملف الهدف.

مثال: 75a599802f1fa166cdadb360960b1dd0
TargetFileSHA1 اختياري SHA1 تجزئة SHA-1 للملف الهدف.

مثال:
d55c5a4df19b46db8c54
c801c4665d3338acdab0
TargetFileSHA256 اختياري SHA256 تجزئة SHA-256 للملف الهدف.

مثال:
e81bb824c4a09a811af17deae22f22dd
2e1ec8cbb00b22629d2899f7c68da274
TargetFileSHA512 اختياري SHA512 تجزئة SHA-512 للملف المصدر.
Hash الاسم المستعار الاسم المستعار لأفضل تجزئة الملف الهدف المتاحة.
HashType مستحسن السلسلة‬ نوع التجزئة المخزنة في حقل HASH البديل، والقيم المسموح بها هي MD5 وSHASHA256SHA512 IMPHASH. إلزامي إذا Hash تم ملؤه.
TargetFileSize اختياري طويل حجم الملف الهدف بالبايت.

حقول الملف المصدر

تمثل الحقول التالية معلومات حول الملف المصدر في عملية ملف تحتوي على كل من المصدر والوجهة، مثل النسخ. إذا تضمنت العملية ملفا واحدا، يتم تمثيله بواسطة حقول الملف الهدف.

الحقل الفصل النوع ‏‏الوصف
SrcFileCreationTime اختياري التاريخ/الوقت الوقت الذي تم فيه إنشاء الملف المصدر.
SrcFileDirectory اختياري السلسلة‬ مجلد أو موقع الملف المصدر. يجب أن يكون هذا الحقل مشابهاً للحقل SrcFilePath، دون العنصر النهائي.

ملاحظة: يمكن للمحلل تقديم هذه القيمة إذا كانت القيمة متاحة في مصدر السجل، ولا يلزم استخلاصها من المسار الكامل.
SrcFileExtension اختياري السلسلة‬ ملحق الملف المصدر.

ملاحظة: يمكن للمحلل أن يوفر هذه القيمة، فالقيمة متوفرة في مصدر السجل، ولا يلزم استخلاصها من المسار الكامل.
SrcFileMimeType اختياري Enumerated نوع Mime أو Media للملف المصدر. يتم سرد القيم المدعومة في مستودع أنواع وسائط IANA.
SrcFileName مستحسن السلسلة‬ اسم الملف المصدر، دون مسار أو موقع، ولكن بملحق إذا كان مناسباً. يجب أن يكون هذا الحقل مماثلاً للعنصر الأخير في الحقل SrcFilePath.
SrcFilePath مستحسن السلسلة‬ المسار الكامل والمعيار للملف المصدر، بما في ذلك المجلد أو الموقع واسم الملف والملحق.

لمزيد من المعلومات، راجع بنية المسار.

مثال: /etc/init.d/networking
SrcFilePathType مستحسن Enumerated نوع SrcFilePath. لمزيد من المعلومات، راجع بنية المسار.
SrcFileMD5 اختياري MD5 تجزئة MD5 للملف المصدر.

مثال: 75a599802f1fa166cdadb360960b1dd0
SrcFileSHA1 اختياري SHA1 تجزئة SHA-1 للملف المصدر.

مثال:
d55c5a4df19b46db8c54
c801c4665d3338acdab0
SrcFileSHA256 اختياري SHA256 تجزئة SHA-256 للملف المصدر.

مثال:
e81bb824c4a09a811af17deae22f22dd
2e1ec8cbb00b22629d2899f7c68da274
SrcFileSHA512 اختياري SHA512 تجزئة SHA-512 للملف المصدر.
SrcFileSize اختياري طويل حجم الملف المصدر بالبايت.

حقول المستخدم

الحقل الفصل النوع ‏‏الوصف
ActorUserId مستحسن السلسلة‬ تمثيل فريد أبجدي رقمي قابل للقراءة آليًا للمستخدم. للحصول على التنسيق المدعوم لأنواع المعرفات المختلفة، ارجع إلى كيان المستخدم.

مثال: S-1-12
ActorScope اختياري السلسلة‬ النطاق، مثل مستأجر Microsoft Entra، حيث يتم تعريف ActorUserId و ActorUsername. أو مزيد من المعلومات وقائمة القيم المسموح بها، راجع UserScope في مقالة نظرة عامة على المخطط.
ActorScopeId اختياري السلسلة‬ معرف النطاق، مثل معرف دليل Microsoft Entra، حيث يتم تعريف ActorUserId و ActorUsername. أو مزيد من المعلومات وقائمة القيم المسموح بها، راجع UserScopeId في مقالة نظرة عامة على المخطط.
ActorUserIdType شرطي السلسلة‬ نوع المعرف المخزن في الحقل ActorUserId. للحصول على قائمة بالقيم المسموح بها ومعلومات إضافية، راجع UserIdType في مقالة نظرة عامة على المخطط.
ActorUsername إلزامي السلسلة‬ اسم مستخدم الممثل، بما في ذلك معلومات المجال عند توفرها. للحصول على التنسيق المدعوم لأنواع المعرفات المختلفة، ارجع إلى كيان المستخدم. استخدم النموذج البسيط فقط في حالة عدم توفر معلومات المجال.

خزّن نوع اسم المستخدم في الحقل ActorUsernameType. في حالة توفر تنسيقات أخرى لاسم المستخدم، قم بتخزينها في الحقول ActorUsername<UsernameType>.

مثال: AlbertE
User الاسم المستعار الاسم المستعار للحقل ActorUsername.

مثال: CONTOSO\dadmin
ActorUsernameType شرطي Enumerated يحدد نوع اسم المستخدم المخزن في الحقل ActorUsername. للحصول على قائمة بالقيم المسموح بها ومعلومات إضافية، راجع نوع اسم المستخدم في مقالة نظرة عامة على المخطط.

مثال: Windows
ActorSessionId اختياري السلسلة‬ المعرف الفريد لجلسة تسجيل دخول الممثل.

مثال: 999

ملاحظة: يتم تعريف النوع على أنه سلسلة لدعم الأنظمة المختلفة، ولكن في Windows يجب أن تكون هذه القيمة رقمية.

إذا كنت تستخدم جهازًا يعمل بنظام التشغيل Windows أو Linux واستخدمت نوعًا مختلفًا، فتأكد من تحويل القيم. على سبيل المثال، إذا استخدمت قيمة سداسية عشرية، فحولها إلى قيمة عشرية.
ActorUserType اختياري UserType نوع الفاعل. للحصول على قائمة بالقيم المسموح بها ومعلومات إضافية، راجع UserType في مقالة نظرة عامة على المخطط.

ملاحظة: قد يتم توفير القيمة في سجل المصدر باستخدام مصطلحات مختلفة، والتي يجب تسويتها مع هذه القيم. تخزين القيمة الأصلية في حقل ActorOriginalUserType.
ActorOriginalUserType اختياري السلسلة‬ نوع المستخدم الوجهة الأصلي، إذا تم توفيره بواسطة جهاز الإبلاغ.

مجالات عملية التمثيل

الحقل الفصل النوع ‏‏الوصف
ActingProcessCommandLine اختياري السلسلة‬ يستخدم سطر الأوامر لتشغيل عملية التمثيل.

مثال: "choco.exe" -v
ActingProcessName اختياري سلسلة اسم عملية التمثيل. يُشتق هذا الاسم بشكل شائع من الصورة أو الملف القابل للتنفيذ الذي يُستخدم لتحديد التعليمة البرمجية الأولي والبيانات التي تم تعيينها في مساحة العنوان الظاهرية للعملية.

مثال: C:\Windows\explorer.exe
العملية الاسم المستعار الاسم المستعار لـ ActingProcessName
ActingProcessId اختياري السلسلة‬ معرّف العملية (PID) لعملية التمثيل.

مثال: 48610176

ملاحظة: يتم تعريف النوع على أنه سلسلة لدعم الأنظمة المختلفة، ولكن في نظامي التشغيل Windows وLinux، يجب أن تكون هذه القيمة رقمية.

إذا كنت تستخدم جهازاً يعمل بنظام Windows أو Linux وتستخدم نوعاً مختلفاً، فتأكد من تحويل القيم. على سبيل المثال، إذا استخدمت قيمة سداسية عشرية، فحولها إلى قيمة عشرية.
ActingProcessGuid اختياري سلسلة معرف فريد تم إنشاؤه (GUID) لعملية التمثيل. تمكن من تحديد العملية عبر الأنظمة.

مثال: EF3BD0BD-2B74-60C5-AF5C-010000001E00

تمثل الحقول التالية معلومات حول النظام الذي يبدأ نشاط الملف، عادة عند نقله عبر الشبكة.

الحقل الفصل النوع ‏‏الوصف
SrcIpAddr مستحسن عنوان IP عند بدء العملية بواسطة نظام بعيد، عنوان IP لهذا النظام.

مثال: 185.175.35.214
IpAddr الاسم المستعار الاسم المستعار لـ SrcIpAddr
Src الاسم المستعار الاسم المستعار لـ SrcIpAddr
SrcPortNumber اختياري رقم صحيح عند بدء العملية بواسطة نظام بعيد، رقم المنفذ الذي تم بدء الاتصال منه.

مثال: 2335
اسم SrcHostname مستحسن اسم المضيف اسم مضيف الجهاز المصدر، باستثناء معلومات المجال. إذا لم يتوفر اسم الجهاز، فخزن عنوان IP ذا الصلة في هذا الحقل.

مثال: DESKTOP-1282V4D
SrcDomain مستحسن السلسلة‬ مجال الجهاز المصدر.

مثال: Contoso
SrcDomainType شرطي DomainType نوع SrcDomain. للحصول على قائمة بالقيم المسموح بها ومزيد من المعلومات، ارجع إلى DomainType في مقالة نظرة عامة على المخطط.

مطلوب في حال استخدام SrcDomain.
SrcFQDN اختياري السلسلة‬ اسم مضيف الجهاز المصدر، بما يشمل معلومات المجال عند توفرها.

ملاحظة: يدعم هذا الحقل كلًا من تنسيق FQDN التقليدي وتنسيق Windows domain \ hostname. يعكس الحقل SrcDomainType التنسيق المُستخدم.

مثال: Contoso\DESKTOP-1282V4D
SrcDescription اختياري السلسلة‬ نص وصفي مرتبط بالجهاز. على سبيل المثال: Primary Domain Controller.
SrcDvcId اختياري السلسلة‬ معرّف الجهاز المصدر. في حالة توفر معرفات متعددة، استخدم المعرف الأكثر أهمية، وقم بتخزين المعرفات الأخرى في الحقولSrcDvc<DvcIdType>.

مثال: ac7e9755-8eae-4ffc-8a02-50ed7a2216c3
SrcDvcScopeId اختياري السلسلة‬ معرف نطاق النظام الأساسي السحابي الذي ينتمي إليه الجهاز. مخطط SrcDvcScopeId إلى معرف اشتراك على Azure ومعرف حساب على AWS.
SrcDvcScope اختياري السلسلة‬ نطاق النظام الأساسي السحابي الذي ينتمي إليه الجهاز. مخطط SrcDvcScope إلى معرف اشتراك على Azure وإلى معرف حساب على AWS.
SrcDvcIdType شرطي DvcIdType نوع SrcDvcId. للحصول على قائمة بالقيم المسموح بها ومزيد من المعلومات، ارجع إلى DvcIdType في مقالة نظرة عامة على المخطط.

ملاحظة: هذا الحقل مطلوب في حال استخدام SrcDvcId.
SrcDeviceType اختياري نوع الجهاز نوع الجهاز المصدر. للحصول على قائمة بالقيم المسموح بها ومعلومات إضافية، راجع DeviceType في مقالة نظرة عامة على المخطط.
SrcSubscriptionId اختياري السلسلة‬ معرف اشتراك النظام الأساسي السحابي الذي ينتمي إليه الجهاز المصدر. عين SrcSubscriptionId إلى معرف اشتراك على Azure وإلى معرّف حساب AWS.
SrcGeoCountry اختياري الدولة البلد المقترن بعنوان IP للمصدر.

مثال: USA
SrcGeoRegion اختياري المنطقة المنطقة المقترنة بعنوان IP المصدر.

مثال: Vermont
SrcGeoCity اختياري المدينة المدينة المقترنة بعنوان IP للمصدر.

مثال: Burlington
SrcGeoLatitude اختياري Latitude خط عرض الإحداثيات الجغرافية المقترنة بعنوان IP المصدر.

مثال: 44.475833
SrcGeoLongitude اختياري Longitude خط طول الإحداثيات الجغرافية المقترنة بعنوان IP المصدر.

مثال: 73.211944

تمثل الحقول التالية معلومات حول جلسة عمل الشبكة عند نقل نشاط الملف عبر الشبكة.

الحقل الفصل النوع ‏‏الوصف
HttpUserAgent اختياري السلسلة‬ عندما يتم بدء العملية بواسطة نظام بعيد باستخدام HTTP أو HTTPS، يتم استخدام عامل المستخدم.

على سبيل المثال:
Mozilla/5.0 (Windows NT 10.0; Win64; x64)
AppleWebKit/537.36 (KHTML, like Gecko)
Chrome/42.0.2311.135
Safari/537.36 Edge/12.246
NetworkApplicationProtocol اختياري السلسلة‬ عند بدء العملية بواسطة نظام بعيد، تكون هذه القيمة هي بروتوكول طبقة التطبيق المستخدم في نموذج OSI.

على الرغم من عدم تعداد هذا الحقل وقبول أي قيمة، فإن القيم المفضلة تشمل: HTTP، HTTPS، SMB،FTP وSSH

مثال: SMB

حقول التطبيق الهدف

تمثل الحقول التالية معلومات حول التطبيق الوجهة الذي يقوم بنشاط الملف نيابة عن المستخدم. عادة ما يرتبط تطبيق الوجهة بنشاط الملفات عبر الشبكة، على سبيل المثال باستخدام تطبيقات Saas (البرامج كخدمة).

الحقل الفصل النوع ‏‏الوصف
TargetAppName اختياري السلسلة‬ اسم التطبيق الوجهة.

مثال: Facebook
التطبيق الاسم المستعار الاسم المستعار ل TargetAppName.
TargetAppId اختياري السلسلة‬ معرف التطبيق الوجهة، كما تم الإبلاغ عنه بواسطة جهاز التقارير.
TargetAppType اختياري AppType نوع التطبيق الوجهة. للحصول على قائمة بالقيم المسموح بها ومعلومات إضافية، راجع AppType في مقالة نظرة عامة على المخطط.

هذا الحقل إلزامي إذا تم استخدام TargetAppName أو TargetAppId .
TargetUrl اختياري السلسلة‬ عند بدء العملية باستخدام HTTP أو HTTPS، يتم استخدام عنوان URL.

مثال: https://onedrive.live.com/?authkey=...
Url الاسم المستعار الاسم المستعار ل TargetUrl

حقول الفحص

تستخدم الحقول التالية لتمثيل هذا الفحص الذي يقوم به نظام أمان مثل نظام مكافحة الفيروسات. عادة ما يقترن مؤشر الترابط المحدد بالملف الذي تم تنفيذ النشاط عليه بدلا من النشاط نفسه.

الحقل الفصل النوع ‏‏الوصف
RuleName اختياري السلسلة‬ اسم القاعدة أو معرفها المرتبط بنتائج الفحص.
RuleNumber اختياري رقم صحيح عدد القاعدة المقترنة بنتائج الفحص.
حكم شرطي السلسلة‬ إما قيمة kRuleName أو قيمة RuleNumber. إذا تم استخدام قيمة RuleNumber ، يجب تحويل النوع إلى سلسلة.
ThreatId اختياري السلسلة‬ معرف التهديد أو البرامج الضارة المحددة في نشاط الملف.
ThreatName اختياري السلسلة‬ اسم التهديد أو البرامج الضارة المحددة في نشاط الملف.

مثال: EICAR Test File
ThreatCategory اختياري السلسلة‬ فئة التهديد أو البرامج الضارة المحددة في نشاط الملف.

مثال: Trojan
ThreatRiskLevel اختياري رقم صحيح مستوى المخاطر المرتبط بالتهديد المحدد. يلزم أن يكون المستوى رقمًا بين 0 و100.

ملاحظة: قد تتوفر القيمة في سجل المصدر باستخدام أحجام مختلفة، والتي يجب أن تكون مطابقة لهذا الحجم. ينبغي تخزين القيمة الأصلية في ThreatRiskLevelOriginal.
ThreatOriginalRiskLevel اختياري السلسلة‬ مستوى المخاطر كما تم الإبلاغ عنه من جهاز إعداد التقارير.
مسار ملف التهديد اختياري السلسلة‬ مسار ملف تم تحديد تهديد له. يحتوي الحقل ThreatField على اسم الحقل ThreatFilePath الذي يمثله.
ThreatField اختياري Enumerated الحقل الذي تم تحديد تهديد له. القيمة هي إما SrcFilePath أو DstFilePath.
ThreatConfidence اختياري رقم صحيح مستوى ثقة التهديد المحدد، الذي تمت تسويته إلى قيمة بين 0 و100.
ThreatOriginalConfidence اختياري السلسلة‬ مستوى الثقة الأصلي للتهديد المحدد، كما تم الإبلاغ عنه من قبل جهاز الإبلاغ.
ThreatIsActive اختياري Boolean صحيح إذا كان التهديد المحدد يعتبر تهديدا نشطا.
ThreatFirstReportedTime اختياري datetime في المرة الأولى التي تم فيها تحديد عنوان IP أو المجال كتهديد.
ThreatLastReportedTime اختياري datetime في المرة الأخيرة التي تم فيها تحديد عنوان IP أو المجال كتهديد.

هيكل المسار

يجب تسوية المسار ليطابق أحد التنسيقات التالية. سينعكس التنسيق الذي تمت تسويته للقيمة في الحقل FilePathType ذي الصلة.

نوع مثال ملاحظات
Windows Local C:\Windows\System32\notepad.exe نظراً لأن أسماء مسار Windows غير حساسة لحالة الأحرف، فإن هذا النوع يعني أن القيمة غير حساسة لحالة الأحرف.
Windows Share \\Documents\My Shapes\Favorites.vssx نظراً لأن أسماء مسار Windows غير حساسة لحالة الأحرف، فإن هذا النوع يعني أن القيمة غير حساسة لحالة الأحرف.
Unix /etc/init.d/networking نظراً لأن أسماء مسار Unix حساسة لحالة الأحرف، فإن هذا النوع يعني أن القيمة حساسة لحالة الأحرف.

- استخدم هذا النوع لـ AWS S3. اربط الحاوية وأسماء المفاتيح لإنشاء المسار.

- استخدم هذا النوع لمفاتيح عناصر موقع تخزين Azure Blob.
عنوان URL https://1drv.ms/p/s!Av04S_*********we استخدمه عندما يكون مسار الملف متاحاً كعنوان URL. لا تقتصر عناوين URL على http أو https، وتعتبر أي قيمة صالحة، بما في ذلك قيمة FTP.

تحديثات المخطط

هذه هي التغييرات في الإصدار 0.1.1 من المخطط:

  • تمت إضافة الحقل EventSchema.

هناك التغييرات في الإصدار 0.2 من المخطط:

  • تمت إضافة حقول الفحص.
  • تمت إضافة الحقول ActorScopeو TargetUserScopeو HashTypeو TargetAppIdTargetAppNameو TargetAppTypeوDvcScopeIdSrcGeoRegionSrcGeoCountrySrcGeoLongitudeSrcGeoLatitudeActorSessionId.DvcScope
  • تمت إضافة الأسماء المستعارة Urlو'FileName IpAddr' و Src.

هناك التغييرات في الإصدار 0.2.1 من المخطط:

  • تمت إضافتها Application باسم مستعار إلى TargetAppName.
  • تمت إضافة الحقل ActorScopeId
  • تمت إضافة حقول متعلقة بجهاز المصدر.

الخطوات التالية

لمزيد من المعلومات، راجع: